CELEX: 62020CC0534
Language: lt
Date: 2022-01-27
Title: Generalinio advokato J. Richard de la Tour išvada, pateikta 2022 m. sausio 27 d.#Leistritz AG prieš LH.#Bundesarbeitsgericht prašymas priimti prejudicinį sprendimą.#Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 38 straipsnio 3 dalies antras sakinys – Duomenų apsaugos pareigūnas – Draudimas duomenų valdytojui ar duomenų tvarkytojui atleisti duomenų apsaugos pareigūną arba jį bausti dėl jam nustatytų užduočių atlikimo – Teisinis pagrindas – SESV 16 straipsnis – Veiklos nepriklausomumo reikalavimas – Nacionalinės teisės nuostatos, pagal kurias draudžiama atleisti duomenų apsaugos pareigūną nesant svarbios priežasties.#Byla C-534/20.

GENERALINIO ADVOKATO
JEAN RICHARD DE LA TOUR IŠVADA,
pateikta 2022 m. sausio 27 d.(1)

Byla C‑534/20

Leistritz AG

prieš

LH

(Bundesarbeitsgericht (Federalinis darbo teismas, Vokietija) prašymas priimti prejudicinį sprendimą)
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 38 straipsnio 3 dalies antras sakinys – Duomenų apsaugos pareigūnas – Draudimas atleisti iš pareigų dėl jam nustatytų užduočių atlikimo – Teisinis pagrindas – SESV 16 straipsnis – Galiojimas – Veiklos nepriklausomumo reikalavimas – Suderinimo apimtis – Nacionalinės teisės nuostata, pagal kurią draudžiama nutraukti darbo sutartį su duomenų apsaugos pareigūnu nesant svarbios priežasties – Duomenų apsaugos pareigūnas, privalomai skiriamas pagal nacionalinę teisę“

I.      Įvadas

1.        Bundesarbeitsgericht (Federalinis darbo teismas, Vokietija) prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas)(2) 38 straipsnio 3 dalies antro sakinio išaiškinimo ir galiojimo.

2.        Šis prašymas pateiktas nagrinėjant LH ir jos darbdavio Leistritz AG ginčą dėl darbo sutarties su ja nutraukimo remiantis įmonėje įvykdytu pertvarkymu, nors pagal taikytiną Vokietijos teisę LH, kaip paskirta duomenų apsaugos pareigūnė, gali būti atleista nesilaikant įspėjimo termino tik dėl svarbios priežasties.

3.        Šioje išvadoje išdėstysiu priežastis, dėl kurių manau, kad draudimo atleisti iš pareigų duomenų apsaugos pareigūną, nustatyto Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje, nelemia darbo teisės materialinių normų suderinimas, o tai leidžia valstybėms narėms nacionalinės teisės aktuose įvairiose srityse sustiprinti šio pareigūno apsaugą atsižvelgiant į šiuo reglamentu siekiamą tikslą.
II.    Teisinis pagrindas

A.      Reglamentas 2016/679

4.        Reglamento 2016/679 10, 13 ir 97 konstatuojamosiose dalyse nurodyta:
„(10)      Siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo [Europos] Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. <…>
<…>
(13)      Siekiant užtikrinti vienodo lygio fizinių asmenų apsaugą visoje Sąjungoje ir neleisti atsirasti skirtumams, kurie kliudo laisvam asmens duomenų judėjimui vidaus rinkoje, reikia priimti reglamentą, kuriuo būtų užtikrintas teisinis tikrumas ir skaidrumas ekonominės veiklos vykdytojams, įskaitant labai mažas, mažąsias ir vidutines įmones, kuriuo fiziniams asmenims visose valstybėse narėse būtų užtikrintos vienodo lygio teisiškai įgyvendinamos teisės, o duomenų valdytojams ir duomenų tvarkytojams būtų nustatytos vienodo lygio prievolės bei atsakomybė, ir kuriuo būtų užtikrinta nuosekli asmens duomenų tvarkymo stebėsena ir lygiavertės sankcijos visose valstybėse narėse, taip pat veiksmingas skirtingų valstybių narių priežiūros institucijų bendradarbiavimas. <…>
<…>
(97)      <…> [D]uomenų apsaugos pareigūnai, nepriklausomai nuo to, ar jie yra duomenų valdytojo darbuotojai, savo pareigas ir užduotis turėtų galėti atlikti nepriklausomai.“

5.        Šio reglamento 1 straipsnio „Dalykas ir tikslai“ 1 dalyje nustatyta:
„Šiuo reglamentu nustatomos taisyklės, susijusios su fizinių asmenų apsauga tvarkant jų asmens duomenis, ir taisyklės, susijusios su laisvu asmens duomenų judėjimu.“

6.        Minėto reglamento 37 straipsnio „Duomenų apsaugos pareigūno skyrimas“ 1 ir 4–6 dalyse įtvirtinta:
„1.      Duomenų valdytojas ir duomenų tvarkytojas paskiria duomenų apsaugos pareigūną, kai:
a)      duomenis tvarko valdžios institucija arba įstaiga, išskyrus teismus, kai jie vykdo savo teismines funkcijas;
b)      duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra duomenų tvarkymo operacijos, dėl kurių pobūdžio, aprėpties ir (arba) tikslų būtina reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus; arba
c)      duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu pagal 9 straipsnį arba 10 straipsnyje nurodytų asmens duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymas dideliu mastu.
<…>
4.      Kitais 1 dalyje nenurodytais atvejais duomenų valdytojas arba duomenų tvarkytojas, arba asociacijos ir kitos įstaigos, atstovaujančios įvairių kategorijų duomenų valdytojams arba duomenų tvarkytojams, gali paskirti arba, jei to reikalaujama Sąjungos ar valstybės narės teisėje, paskiria duomenų apsaugos pareigūną. Duomenų pareigūnas gali veikti tokių asociacijų ir kitų įstaigų, atstovaujančių duomenų valdytojams arba duomenų tvarkytojams, vardu.
5.      Duomenų apsaugos pareigūnas paskiriamas remiantis profesinėmis savybėmis, visų pirma duomenų apsaugos teisės ir praktikos ekspertinėmis žiniomis, taip pat gebėjimu atlikti 39 straipsnyje nurodytas užduotis.
6.      Duomenų apsaugos pareigūnas gali būti duomenų valdytojo arba duomenų tvarkytojo personalo narys arba atlikti užduotis pagal paslaugų teikimo sutartį.“

7.        To paties reglamento 38 straipsnyje „Duomenų apsaugos pareigūno statusas“ nustatyta:
„1.      Duomenų valdytojas ir duomenų tvarkytojas užtikrina, kad duomenų apsaugos pareigūnas būtų tinkamai ir laiku įtraukiamas į visų su asmens duomenų apsauga susijusių klausimų nagrinėjimą.
<…>
3.      Duomenų valdytojas ir duomenų tvarkytojas užtikrina, kad duomenų apsaugos pareigūnas negautų jokių nurodymų dėl tų užduočių vykdymo. Duomenų valdytojas arba duomenų tvarkytojas negali jo atleisti arba bausti dėl jam nustatytų užduočių atlikimo. Duomenų apsaugos pareigūnas tiesiogiai atsiskaito duomenų valdytojo arba duomenų tvarkytojo aukščiausio lygio vadovybei.
4.      Duomenų subjektai gali kreiptis į duomenų apsaugos pareigūną visais klausimais, susijusiais [su] jų asmeninių duomenų tvarkymu ir naudojimusi savo teisėmis pagal šį reglamentą.
5.      Duomenų apsaugos pareigūnas privalo užtikrinti slaptumą arba konfidencialumą, susijusį su jo užduočių vykdymu, laikydamasis Sąjungos ar valstybės narės teisės.
6.      Duomenų apsaugos pareigūnas gali vykdyti kitas užduotis ir pareigas. Duomenų valdytojas arba duomenų tvarkytojas užtikrina, kad dėl bet kokių tokių užduočių ir pareigų nekiltų interesų konfliktas.“

8.        Reglamento 2016/679 39 straipsnyje nurodytos pagrindinės duomenų apsaugos pareigūno užduotys.
B.      Vokietijos teisė

9.        1990 m. gruodžio 20 d. Bundesdatenschutzgesetz (Federalinis duomenų apsaugos įstatymas)(3) (redakcija, galiojusi nuo 2018 m. gegužės 25 d. iki 2019 m. lapkričio 25 d.(4)) 6 straipsnio „Pareigybė“ 4 dalyje nustatyta:
„Atleisti duomenų apsaugos pareigūną galima tik atitinkamai taikant Bürgerliches Gesetzbuch [Civilinis kodeksas] 626 straipsnį. Nutraukti darbo santykius draudžiama, išskyrus tuos atvejus, kai yra žinoma faktų, dėl kurių esant svarbiai priežasčiai valdžios institucija juos gali nutraukti nesilaikydama įspėjimo termino. Asmeniui baigus eiti duomenų apsaugos pareigūno pareigas, vienus metus nutraukti darbo santykių su juo negalima, išskyrus atvejus, kai valdžios institucija gali sutartį nutraukti dėl svarbios priežasties, nesilaikydama įspėjimo termino.“

10.      BDSG 38 straipsnyje „Neviešųjų subjektų duomenų apsaugos pareigūnai“ nurodyta:
„1.      Jei paprastai duomenis nuolat automatizuotomis priemonėmis tvarko ne mažiau kaip dešimt asmenų[(5)], papildant Reglamento <…> 2016/679 37 straipsnio 1 dalies b ir c punktų nuostatas duomenų valdytojas ir duomenų tvarkytojas skiria duomenų apsaugos pareigūną. <…>
2.      Taikoma 6 straipsnio 4 dalis, 5 dalies antras sakinys ir 6 dalis; tačiau 6 straipsnio 4 dalis taikoma tik tuo atveju, jei skirti duomenų apsaugos pareigūną yra privaloma.“

11.      2002 m. sausio 2 d. paskelbtos redakcijos Civilinio kodekso(6) 134 straipsnis „Įstatymuose nustatytas draudimas“ suformuluotas taip:
„Jeigu įstatyme nenurodyta kitaip, teisinis sandoris, kuriuo pažeidžiamas įstatymuose nustatytas draudimas, laikomas negaliojančiu.“

12.      Civilinio kodekso 626 straipsnyje „Darbo santykių nutraukimas esant svarbiai priežasčiai be įspėjimo“ įtvirtinta:
„1.      Bet kuri sutarties šalis esant svarbiai priežasčiai gali nutraukti darbo santykius nesilaikydama įspėjimo termino, jeigu yra aplinkybių, dėl kurių nutraukiantysis asmuo, atsižvelgdamas į visas konkretaus atvejo aplinkybes ir įvertinęs abiejų sutarties šalių interesus, pagrįstai nebegali tęsti darbo santykių iki sueis įspėjimo terminas arba darbo santykiai pasibaigs sutartu laiku.
2.      Darbo santykiai gali būti nutraukiami tik per dvi savaites. Terminas pradedamas skaičiuoti nuo tada, kai nutraukimo teisę turintis asmuo sužino sutarčiai nutraukti svarbius faktus. <…>“
III. Pagrindinė byla ir prejudiciniai klausimai

13.      Leistritz yra privatinės teisės reglamentuojama bendrovė, pagal Vokietijos teisę privalanti skirti duomenų apsaugos pareigūną. LH šioje bendrovėje dirbo teisės grupės vadove ir vidaus duomenų apsaugos pareigūne atitinkamai nuo 2018 m. sausio 15 d. ir nuo 2018 m. vasario 1 d.

14.      2018 m. liepos 13 d. raštu Leistritz, iš anksto įspėjusi LH, nutraukė darbo santykius su ja nuo 2018 m. rugpjūčio 15 d., nutraukimo pagrindu nurodžiusi įmonės restruktūrizavimo priemonę, kurią vykdant vidaus teisinių konsultacijų ir duomenų apsaugos veikla buvo perkelta į išorę.

15.      Bylą iš esmės nagrinėjęs teismas, kuriame LH pareiškė ieškinį dėl darbo santykių su ja nutraukimo neteisėtumo, nusprendė, kad pagal BDSG 38 straipsnio 2 dalį, siejamą su 6 straipsnio 4 dalies antru sakiniu, darbo santykiai su LH, kaip duomenų apsaugos pareigūne, gali būti nutraukti be įspėjimo tik dėl svarbios priežasties. Tačiau Leistritz nurodyta restruktūrizavimo priemonė nėra svarbi priežastis be įspėjimo nutraukti darbo santykius.

16.      Prašymą priimti prejudicinį sprendimą pateikęs teismas, kuris gavo Leistritz kasacinį skundą, pažymi, kad pagal Vokietijos teisę darbo santykių su LH nutraukimas yra negaliojantis remiantis minėtomis nuostatomis ir Civilinio kodekso 134 straipsniu(7). Vis dėlto šis teismas pažymi, kad šių nuostatų taikymas priklauso nuo to, ar pagal Sąjungos teisę, pirmiausia pagal Reglamento 2016/679 38 straipsnio 3 dalies antrą sakinį, leidžiama valstybės narės nacionalinės teisės nuostata, pagal kurią darbo santykių su duomenų apsaugos pareigūnu nutraukimas siejamas su griežtesniais reikalavimais nei pagal Sąjungos teisę. Jei ne, jis turėtų patenkinti kasacinį skundą.

17.      Šiomis aplinkybėmis Bundesarbeitsgericht (Federalinis darbo teismas) nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1.      Ar [Reglamento 2016/679] 38 straipsnio 3 dalies antras sakinys turi būti aiškinamas taip, kad pagal jį draudžiamos nacionalinės teisės nuostatos (nagrinėjamu atveju [BDSG] 38 straipsnio 1 ir 2 dalys kartu su 6 straipsnio 4 dalies antru sakiniu), pagal kurias duomenų valdytojui, kuris kartu yra ir darbdavys, draudžiama pateikus įspėjimą nutraukti darbo santykius su duomenų apsaugos pareigūnu, neatsižvelgiant į tai, ar nutraukimas yra susijęs su jo užduočių vykdymu?
2.      Jeigu į pirmąjį klausimą būtų atsakyta teigiamai:
ar pagal [Reglamento 2016/679] 38 straipsnio 3 dalies antrą sakinį tokios nacionalinės teisės nuostatos draudžiamos ir tuo atveju, kai skirti duomenų apsaugos pareigūną privaloma ne pagal [šio reglamento] 37 straipsnio 1 dalį, o pagal valstybės narės teisę?
3.      Jeigu į pirmąjį klausimą būtų atsakyta teigiamai:
ar [Reglamento 2016/679] 38 straipsnio 3 dalies antras sakinys turi pakankamą teisinį pagrindą, ypač kiek tai susiję su duomenų apsaugos pareigūnu, kurį su duomenų valdytoju sieja darbo santykiai?“

18.      LH, Leistritz, Vokietijos ir Rumunijos vyriausybės, Europos Sąjungos Taryba ir Europos Komisija pateikė rašytines pastabas. Šios šalys, išskyrus Vokietijos ir Rumunijos vyriausybes, per 2021 m. lapkričio 18 d. įvykusį posėdį pateikė žodines pastabas.
IV.    Analizė

A.      Dėl pirmojo prejudicinio klausimo

19.      Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas Teisingumo Teismo iš esmės klausia, ar Reglamento 2016/679 38 straipsnio 3 dalies antras sakinys turi būti aiškinamas taip, kad pagal jį draudžiama nacionalinės teisės nuostata, kurioje nurodyta, kad duomenų apsaugos pareigūno darbdavys gali nutraukti darbo santykius su šiuo pareigūnu tik dėl svarbios priežasties, net jei šis nutraukimas nėra susijęs su šio pareigūno užduočių vykdymu.

20.      Siekiant atsakyti į šį klausimą reikia, pirma, patikslinti, ką reiškia žodžių junginys „negali jo atleisti <…> dėl jam nustatytų užduočių atlikimo“, Sąjungos teisės aktų leidėjo pavartotas Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje. Antra, reikia nustatyti, ar valstybės narės gali išplėsti garantijas, kurios duomenų apsaugos pareigūnui suteikiamos pagal šią nuostatą.
1.      Dėl duomenų apsaugos pareigūno apsaugos, numatytos Reglamento 2016/679 38 straipsnio 3 dalies antru sakiniu

21.      Reglamento 2016/679 38 straipsnis yra šio reglamento IV skyriuje, susijusiame su „duomenų valdytoju ir duomenų tvarkytoju“, būtent 4 skirsnyje „Duomenų apsaugos pareigūnas“. Šiame skirsnyje yra trys straipsniai, susiję atitinkamai su duomenų apsaugos pareigūno skyrimu(8), jo statusu(9) ir jo užduotimis, kurios iš esmės reiškia asmeninį konsultavimą duomenų tvarkymo klausimais ir duomenų apsaugos taisyklių laikymosi kontrolę(10).

22.      Aiškinant Reglamento 2016/679 38 straipsnio 3 dalies antrą sakinį pagal Teisingumo Teismo suformuotą jurisprudenciją reikia atsižvelgti ne tik į šios nuostatos formuluotę, bet ir į kontekstą bei teisės akto, kuriame ji įtvirtinta, tikslus(11).

23.      Dėl Reglamento 2016/679 38 straipsnio 3 dalies antro sakinio formuluotės pažymėtina, kad joje pareiga nustatyta neigiama forma. Iš tikrųjų joje nurodyta, kad „duomenų valdytojas arba duomenų tvarkytojas negali [duomenų apsaugos pareigūno] atleisti arba bausti dėl jam nustatytų užduočių atlikimo“(12).

24.      Taigi šioje nuostatoje apibrėžtos duomenų apsaugos pareigūno apsaugos ribos. Jis apsaugotas, pirma, nuo bet kokio sprendimo, kuriuo būtų nutraukti darbo santykiai su juo arba dėl kurio jis atsidurtų nepalankioje padėtyje, kai, antra, toks sprendimas yra susijęs su jam nustatytų užduočių atlikimu.

25.      Dėl skirtumo tarp duomenų apsaugos pareigūno atleidimo priemonės ir jo baudimo priemonės, pirma, konstatuotina, kad jokioje Reglamento 2016/679 nuostatoje šios priemonės nėra aiškiai ar numanomai apibrėžtos(13).

26.      Palyginus kitas kalbines versijas galima manyti, kad Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje nustatytos dviejų rūšių priemonės, t. y. priemonės, kuriomis nutraukiami darbo santykiai su duomenų apsaugos pareigūnu, ir priemonės, kurios reiškia nuobaudas arba dėl kurių šis pareigūnas atsiduria nepalankioje padėtyje, kad ir kokios būtų jų skyrimo aplinkybės. Taigi šios apibrėžtys gali apimti atleidimą, kuriuo darbdavys nutraukia darbo santykius(14).

27.      Paieškų, susijusių su Reglamento 2016/679 38 straipsnio priėmimo istorija, kurias buvo įmanoma atlikti, rezultatai trūkstant išsamumo neleidžia aiškiai suprasti konkrečių Sąjungos teisės aktų leidėjo ketinimų kalbant apie žodžio „atleisti“ (prancūzų k. „relevé“) reikšmę. Galima tik konstatuoti, kad redakcinio pobūdžio papildymas, susijęs su atleidimu iš pareigų, buvo vėlai padarytas vykstant teisėkūros procesui(15), per kurį kartu buvo panaikinta tolesnio sakinio dalis, buvusi po žodžių junginio „duomenų valdytojas ir duomenų tvarkytojas užtikrina, kad duomenų apsaugos pareigūnas“: „atlikdamas savo užduotis galėtų veikti visiškai nepriklausomai“(16). Iš to būtų galima daryti išvadą, kad šis teisės aktų leidėjas norėjo sukonkretinti pareigą neatleisti duomenų apsaugos pareigūno iš pareigų dėl jam nustatytų užduočių atlikimo.

28.      Taip pat pažymėtina, kad Sąjungos teisės aktų leidėjas pasirinko Reglamento 2016/679 38 straipsnio 3 dalies antro sakinio formuluotę pakartoti ir 2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB(17), 44 straipsnio 3 dalies antrame sakinyje. Tačiau jokio patikslinimo negalima padaryti remiantis dokumentais, susijusiais su Reglamento 2018/1725 rengimu, o tai, mano nuomone, paaiškinama tuo, kad 44 straipsnio 8 dalis papildyta kita esmine garantija, suteikiama duomenų apsaugos pareigūnui, t. y. kad jį „paskyrusi Sąjungos institucija ar organas gali atleisti jį iš šių pareigų, jeigu duomenų apsaugos pareigūnas nebeatitinka jo pareigoms nustatytų sąlygų, ir tik Europos duomenų apsaugos priežiūros pareigūno sutikimu.“

29.      Antra, reikia pažymėti, kad Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje nėra atsižvelgiama į tai, ar duomenų apsaugos pareigūnas yra arba nėra duomenų valdytojo ar duomenų tvarkytojo personalo narys(18). Iš tikrųjų šiame reglamente nėra jokios nuostatos, susijusios su darbdavio priimamų sprendimų dėl darbo santykių ir sprendimų dėl šio pareigūno pareigų tarpusavio priklausomybės ryšiu. Vienintelis nustatytas apribojimas yra susijęs su pagrindu, kuriuo remiantis negalima atleisti duomenų apsaugos pareigūno, t. y. su bet kuriuo pagrindu, grindžiamu jam nustatytų užduočių atlikimu.

30.      Dėl Sąjungos teisės aktų leidėjo siekiamo tikslo pažymėtina, kad juo pateisinama Reglamento 2016/679 38 straipsnio 3 dalies antro sakinio bendro pobūdžio formuluotė, taip pat šio apribojimo pasirinkimas.

31.      Iš tikrųjų Tarybos motyvų pareiškimo projekte patikslinama, kad skiriant duomenų apsaugos pareigūną siekiama pagerinti Reglamento 2016/679 nuostatų laikymąsi(19). Todėl šio reglamento 38 straipsnio 3 dalies antrame sakinyje nustatytos pareigos, turinčios užtikrinti šio pareigūno nepriklausomumą. Pavyzdžiui, šiame straipsnyje nurodyta, kad duomenų apsaugos pareigūnas neturi gauti jokių nurodymų dėl savo užduočių vykdymo ir kad jis tiesiogiai atsiskaito duomenų valdytojo arba duomenų tvarkytojo aukščiausio lygio vadovybei(20). Jis taip pat privalo užtikrinti slaptumą arba konfidencialumą(21).

32.      Taigi daug dėmesio skiriama griežtam duomenų apsaugos pareigūno pareigų apibrėžimui, o tai ypač pateisinama, kai šį pareigūną skiria duomenų valdytojas, kuris yra jo darbdavys. Todėl draudimu, nustatytu Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje, yra užtikrinamos prerogatyvos, kurias turi šis pareigūnas atlikdamas savo užduotis ir kurios kartais gali būti sunkiai suderinamos su prerogatyvomis, darbdavio nustatytomis darbo santykių srityje.

33.      Analizę, pagal kurią šia nuostata siekiama vienintelio tikslo – organizuoti visiškai nepriklausomą duomenų apsaugos pareigūno veiklą, patvirtina aplinkybės, kuriomis ji buvo priimta.

34.      Šiuo klausimu pabrėžtina, kad Reglamentu 2016/679 pagal jo 1 straipsnį siekiama nustatyti taisykles, susijusias su fizinių asmenų apsauga tvarkant jų asmens duomenis, taip pat taisykles, susijusias su laisvu asmens duomenų judėjimu. Jis buvo priimtas remiantis SESV 16 straipsnio 2 dalimi(22), o tai leidžia manyti, kad, kaip jau esu minėjęs anksčiau pateiktoje išvadoje, nors asmens duomenų apsauga iš esmės yra universalaus pobūdžio, šiuo reglamentu atliekamas suderinimas apsiriboja aspektais, kuriuos konkrečiai apima šis reglamentas šioje srityje(23).

35.      Dėl visų šių priežasčių, mano manymu, neabejotina, kad specifinė duomenų apsaugos pareigūno apsauga, nustatyta Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje, atitinka šio reglamento tikslą, nes ja siekiama sustiprinti šio pareigūno savarankiškumą. Taigi ji nepatenka į platesnę darbuotojų apsaugos sritį(24).

36.      Todėl vėl kyla klausimas, ar dėl aspektų, kurių konkrečiai neapima Reglamentas 2016/679, valstybės narės gali laisvai priimti teisės aktus, jeigu jie suderinami su šio reglamento turiniu ir netrukdo įgyvendinti juo siekiamų tikslų(25).
2.      Dėl valstybių narių teisės išplėsti garantijas, suteikiamas duomenų apsaugos pareigūnui Reglamento 2016/679 38 straipsnio 3 dalies antru sakiniu

37.      Mano manymu, Reglamento 2016/679 tikslu, nurodytu jo 13 konstatuojamojoje dalyje, kurią taikant Sąjungos teisės aktų leidėjas užtikrina duomenų apsaugos pareigūno nepriklausomumą bendrai suformuluotu šio reglamento 38 straipsnio 3 dalies antru sakiniu(26), pateisinama tai, kad valstybė narė turi galėti priimti bet kokią kitą priemonę, kuria siekiama sustiprinti šio pareigūno savarankiškumą atliekant jam nustatytas užduotis.

38.      Ši analizė neprieštarauja nei reglamento poveikiui, apibrėžtam SESV 288 straipsnio antroje pastraipoje, nei iš to kylančiai valstybių narių pareigai nenukrypti nuo reglamento, kuris yra privalomas visas ir tiesiogiai taikomas, arba jo nepapildyti, nebent reglamento nuostatose pripažįstama valstybių narių diskrecija, kuria pagal aplinkybes jos gali pasinaudoti atsižvelgdamos į šiose nuostatose nurodytas sąlygas ir apribojimus(27).

39.      Todėl pakartoju savo nuomonę, kad Reglamentu 2016/679 atlikto suderinimo apimtis pagal atitinkamas nuostatas skiriasi. Taigi, siekiant nustatyti norminę šio reglamento taikymo sritį, kiekvieną atvejį reikia nagrinėti atskirai(28).

40.      Šiuo klausimu pažymėtina, kad Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje kalbama apie duomenų apsaugos pareigūno atleidimą, susijusį vien su jo pareigų atlikimu, preziumuojant, kad jos atliekamos tinkamai(29), draudimo forma, nenurodant pateikto motyvo svarumo laipsnio ar įvairių pavaldumo ryšio su darbdaviu aspektų, galinčių turėti įtakos jo skyrimui. Nėra nurodyta, pavyzdžiui, darbo sutarties galiojimo trukmės arba šios sutarties nutraukimo asmeninio ar ekonominio pobūdžio pagrindo, dėl kurio prireikus būtų galima tartis, arba darbo santykių sustabdymo dėl ligos, mokymo, kasmetinių ar ilgai trunkančių atostogų.

41.      Be to, Sąjungos teisės aktų leidėjo noras palikti valstybėms narėms laisvę papildyti nuostatas, kuriomis apsaugomas duomenų apsaugos pareigūno nepriklausomumas, remiantis minimaliu teisiniu pagrindu, susijusiu su jam nustatytų užduočių atlikimu, apibrėžtu pagal Reglamento 2016/679 tikslus, matyti ir iš to, kad nėra reikalavimo, susijusio su šio pareigūno kadencijos trukme – kitaip, nei numatyta Reglamento 2018/1725 44 straipsnio 8 dalies pirmame sakinyje(30) – arba su atveju, kai, kaip šioje byloje, pertvarkant įmonę duomenų apsaugos pareigūno funkcijos perkeliamos į išorę dėl su jam nustatytų užduočių atlikimu nesusijusių priežasčių.

42.      Todėl valstybės narės, atsižvelgdamos į tai, kad duomenų apsaugos pareigūnas prisideda įgyvendinant Reglamento 2016/679 tikslus, gali nuspręsti sustiprinti jo nepriklausomumą, būtent darbo santykių nutraukimo srityje, nes nėra jokios Sąjungos teisės nuostatos, kuria būtų galima pagrįsti specialią ir konkrečią jo apsaugą nuo darbo santykių nutraukimo dėl priežasties, nesusijusios su jam nustatytų užduočių atlikimu, o darbo santykių nutraukimas būtinai lemia tai, kad šios užduotys nebeatliekamos.

43.      Šiuo klausimu primintina, kad darbuotojų apsaugos srityje darbo santykių nutraukimo atveju SESV 153 straipsnio 1 dalies d punkte patikslinama, jog Sąjunga remia ir papildo valstybių narių veiklą ir kad apskritai socialinės politikos srityje Sąjunga ir valstybės narės pagal SESV 4 straipsnio 2 dalies b punktą dėl aspektų, apibrėžtų SESV, dalijasi kompetencija, kaip tai suprantama pagal SESV 2 straipsnio 2 dalį.

44.      Šiomis aplinkybėmis valstybė narė gali priimti konkrečias nuostatas, susijusias su duomenų apsaugos pareigūno atleidimu, jei šios nuostatos suderinamos su jį apsaugančia sistema, nustatyta Reglamente 2016/679(31).

45.      Kaip matyti iš trumpos valstybių narių teisės aktų, kuriuos galėjau peržiūrėti(32), analizės, dauguma jų nepriėmė konkrečių nuostatų, susijusių su darbo santykių nutraukimu, apsiribodamos tiesiogiai taikomu draudimu, nustatytu Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje(33).

46.      Vis dėlto kitos valstybės narės nusprendė papildyti šį straipsnį(34).

47.      Šiuo klausimu pažymėtina, kad 29 straipsnio grupė nurodė, jog, „taikant įprastą valdymo tvarką, kaip ir bet kurio kito darbuotojo ar rangovo atveju, ir taikant atitinkamą nacionalinę sutarčių arba darbo teisę ir baudžiamąją teisę, duomenų apsaugos pareigūną vis dėlto galima teisėtai atleisti dėl priežasčių, nesusijusių su jo, kaip duomenų apsaugos pareigūno, pareigų vykdymu (pavyzdžiui, dėl vagystės, psichologinio ar seksualinio priekabiavimo ar panašaus labai netinkamo elgesio)“(35).

48.      Kad ir koks būtų valstybių narių pasirinkimas, kiekvienos jų administracinė ar teisminė institucija, atsakinga už duomenų apsaugos pareigūno atleidimo teisėtumo kontrolę, mano manymu, taip pat prisideda užtikrinant šio pareigūno nepriklausomumą.

49.      Iš tikrųjų, kadangi labai tikėtina, jog ryšys su tinkamu duomenų apsaugos pareigūno užduočių atlikimu nebus aiškiai matomas sprendime jį atleisti(36), priimtina bendra apsauga, grindžiama vien duomenų apsaugos pareigūno statusu. Nagrinėjamu atveju iš prašymą priimti prejudicinį sprendimą pateikusio teismo paaiškinimų matyti, kad būtent sąvoka „rimta priežastis“, kaip ji aiškinama Vokietijos teisėje, siekiant papildomos apsaugos lemia požiūrį, kad restruktūrizavimo atveju negalima nutraukti darbo santykių su duomenų apsaugos pareigūnu(37). Be to, būtų galima manyti, kad įmonei, kuri privalo paskirti duomenų apsaugos pareigūną ir kuri tuo tikslu pasirenka vieną iš savo darbuotojų, patiriant ekonominių sunkumų, šio pareigūno užduotys, atsižvelgiant į Reglamento 2016/679 tikslą ir tai, kad toks pareigūnas prisideda įgyvendinant šį tikslą, turėtų būti atliekamos tol, kol vykdoma darbdavio veikla.

50.      Vis dėlto draudimas, įtvirtintas Reglamento 2016/679 38 straipsnio 3 dalies antrame sakinyje, tikrai turi ribas, jeigu duomenų apsaugos pareigūnui atliekant jam nustatytas užduotis konstatuojami objektyvūs sutrikimai. Šios ribos turi būti nustatytos atsižvelgiant į šiuo reglamentu siekiamą tikslą(38).

51.      Taigi atsižvelgiant į aiškinimą, atitinkantį ir Reglamento 2016/679 tikslą, mano manymu, reikia pripažinti, kad duomenų apsaugos pareigūnas gali būti ateistas iš pareigų, jei nebeatitinka kiekybinių kriterijų, taikomų jo užduotims atlikti, kaip antai nustatytų šio reglamento 37 straipsnio 5 dalyje, arba neįvykdo pareigų, nurodytų šio reglamento 38 straipsnio 3 dalies pirmame ir trečiame sakiniuose bei 5 ir 6 dalyse(39), arba jei nustatoma, kad jo įgūdžių lygis yra nepakankamas(40).

52.      Todėl esu tos nuomonės, kad Reglamento 2016/679 38 straipsnio 3 dalies antras sakinys turi būti aiškinamas taip, kad pagal jį nedraudžiama nacionalinės teisės nuostata, kurioje nurodyta, kad duomenų apsaugos pareigūno darbdavys gali nutraukti darbo santykius su šiuo pareigūnu tik dėl svarbios priežasties, net jei šis nutraukimas nėra susijęs su šio pareigūno užduočių atlikimu.

53.      Jei vis dėlto Teisingumo Teismas nepritartų šiai nuomonei ir nuspręstų į prašymą priimti prejudicinį sprendimą pateikusio teismo pirmąjį klausimą atsakyti teigiamai, reikėtų atsakyti į du kitus prejudicinius klausimus.
B.      Dėl antrojo prejudicinio klausimo

54.      Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar pagal Reglamento 2016/679 38 straipsnio 3 dalies antrą sakinį draudžiama nacionalinės teisės nuostata, kurioje nurodyta, kad darbdaviui nutraukus darbo santykius su duomenų apsaugos pareigūnu nesant svarbios priežasties toks nutraukimas yra neteisėtas, net jeigu jis nėra susijęs su šio pareigūno užduočių atlikimu, kai duomenų apsaugos pareigūną privaloma skirti ne pagal šio reglamento 37 straipsnio 1 dalį, o vien pagal nacionalinę teisę, kaip numatyta šio reglamento 37 straipsnio 4 dalyje.

55.      Pažymėtina, kad nei Reglamento 2016/679 38 straipsnio 3 dalyje, nei kitose šio reglamento 4 skirsnio nuostatose, susijusiose su duomenų apsaugos pareigūnu, neatsižvelgiama į tai, ar šio pareigūno skyrimas yra privalomas, ar ne.

56.      Todėl, mano nuomone, prašymą priimti prejudicinį sprendimą pateikusiam teismui reikia atsakyti, kad Reglamento 2016/679 38 straipsnio 3 dalies antras sakinys taikomas neatsižvelgiant į tai, ar duomenų apsaugos pareigūną privaloma skirti pagal Sąjungos teisę, ar pagal nacionalinę teisę.
C.      Dėl trečiojo prejudicinio klausimo

57.      Trečiuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas klausia dėl Reglamento 2016/679 38 straipsnio 3 dalies antro sakinio galiojimo, pirmiausia, ar ši nuostata turi pakankamą teisinį pagrindą, ypač kiek ji susijusi su duomenų apsaugos pareigūnais, kuriuos su duomenų valdytoju sieja darbo santykiai.

58.      Siūlau Teisingumo Teismui nuspręsti, kad Reglamento 2016/679 38 straipsnio 3 dalies antras sakinys turi pakankamą teisinį pagrindą, nes juo siekiama vien apsaugoti duomenų apsaugos pareigūną nuo bet kurių kliūčių atliekant jam nustatytas užduotis ir šia garantija, neatsižvelgiant į darbo santykių buvimą, prisidedama siekiant veiksmingai įgyvendinti šio reglamento tikslus.

59.      Iš tikrųjų, viena vertus, kaip minėta nagrinėjant pirmąjį prejudicinį klausimą(41), SESV 16 straipsnis sudaro teisinį pagrindą, kuriuo grindžiamas šis reglamentas. Be to, Teisingumo Teismas yra nusprendęs, kad šis straipsnis, nepažeidžiant ESS 39 straipsnio, laikytinas tinkamu teisiniu pagrindu, kai asmens duomenų apsauga yra vienas iš pagrindinių Sąjungos teisės aktų leidėjo nustatytų taisyklių tikslų arba viena iš pagrindinių tokių taisyklių sudedamųjų dalių(42).

60.      Kita vertus, viena iš šių sąlygų, mano nuomone, yra visiškai įvykdyta kalbant apie duomenų apsaugos pareigūno vaidmenį ir pareigas, apibrėžtus Reglamente 2016/679. Šio pareigūno veiklos nepriklausomumo garantija, kuria siekiama atitikti reikalavimą užtikrinti aukštą asmenų pagrindinių teisių apsaugos lygį tvarkant asmens duomenis(43), pasireiškia šio reglamento 38 straipsnio 3 dalies antrame sakinyje nustatytu draudimu nutraukti darbo santykius su šiuo pareigūnu dėl priežasčių, susijusių su jam nustatytų užduočių atlikimu. Kadangi šia nuostata nėra atliktas joks suderinimas darbo teisės srityje, Sąjungos teisės aktų leidėjas neviršijo teisėkūros įgaliojimų, jam suteiktų pagal SESV 16 straipsnio 2 dalį.

61.      Dėl subsidiarumo ir proporcingumo principų, dėl kurių prašymą priimti prejudicinį sprendimą pateikusiam teismui taip pat kyla klausimų, pažymėtina, pirma, kad dėl tarpvalstybinio asmens duomenų tvarkymo suintensyvėjimo pateisinamas jų apsaugos atsižvelgiant į pagrindines teises įgyvendinimas Sąjungos lygiu(44), užtikrinant pirmiausia asmens duomenų pareigūno, laikomo „vienu pagrindinių dalyvių“ taikant šią apsaugą, prerogatyvas(45). Antra, Reglamento 2016/679 38 straipsnio 3 dalies antru sakiniu, mano manymu, nėra viršijama tai, kas būtina siekiant užtikrinti šio pareigūno veiklos nepriklausomumą. Tiesa, šioje nuostatoje įtvirtinta neatleidimo iš pareigų garantija būtinai turi poveikį darbo santykiams. Vis dėlto šiuo poveikiu siekiama tik apsaugoti asmens duomenų pareigūno pareigybės veiksmingumą.

62.      Todėl esu tos nuomonės, kad prašymą priimti prejudicinį sprendimą pateikusiam teismui reikia atsakyti, jog išnagrinėjus trečiąjį prejudicinį klausimą nenustatyta nieko, kas galėtų paveikti Reglamento 2016/679 38 straipsnio 3 dalies antro sakinio galiojimą.
V.      Išvada

63.      Atsižvelgdamas į tai, kas išdėstyta, siūlau Teisingumo Teismui į Bundesarbeitsgericht (Federalinis darbo teismas, Vokietija) pateiktus prejudicinius klausimus atsakyti taip:
Iš esmės:
–        2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 38 straipsnio 3 dalies antras sakinys turi būti aiškinamas taip, kad pagal jį nedraudžiama nacionalinės teisės nuostata, kurioje nurodyta, kad duomenų apsaugos pareigūno darbdavys gali nutraukti darbo santykius su šiuo pareigūnu tik dėl svarbios priežasties, net jei šis nutraukimas nėra susijęs su šio pareigūno užduočių atlikimu.
Papildomai tuo atveju, jei Teisingumo Teismas į pirmąjį prejudicinį klausimą atsakytų teigiamai:
–        Reglamento 2016/679 38 straipsnio 3 dalies antras sakinys taikomas neatsižvelgiant į tai, ar duomenų apsaugos pareigūną privaloma skirti pagal Sąjungos teisę, ar pagal nacionalinę teisę.
–        Išnagrinėjus trečiąjį prejudicinį klausimą nenustatyta nieko, kas galėtų paveikti Reglamento 2016/679 38 straipsnio 3 dalies antro sakinio galiojimą.

1      Originalo kalba: prancūzų.

2      OL L 119, 2016, p. 1; klaidų ištaisymai: OL L 127, 2018 5 23, p. 2, ir OL L 74, 2021 3 4, p. 35.

3      BGBl. I, 1990, p. 2954.

4      BGBl. I, 2017, p. 2097, toliau – BDSG.

5      Pagal nuo 2019 m. lapkričio 26 d. galiojančios redakcijos BDSG 38 straipsnio 1 dalies pirmą sakinį darbuotojų skaičius yra „20“.

6      BGBl. I, 2002, p. 42, klaidų ištaisymas p. 2909, ir BGBl. I, 2003, p. 738.

7      Prašymą priimti prejudicinį sprendimą pateikęs teismas priduria, kad pagal jo jurisprudenciją tai, kad atlikus pertvarkymą duomenų apsaugą įmonėje ateityje užtikrins išorės duomenų apsaugos pareigūnas, nėra svarbi priežastis nutraukti darbo santykius (žr. 2011 m. kovo 23 d. Bundesarbeitsgericht (Federalinis darbo teismas) sprendimo Nr. 10 AZR 562/09, pateikto internete adresu https://www.bundesarbeitsgericht.de/entscheidung/10-azr-562-09/), 18 punktą).

8      Šio reglamento 37 straipsnis.

9      Šio reglamento 38 straipsnis.

10      Minėto reglamento 39 straipsnis.

11      Žr., be kita ko, 2021 m. gegužės 12 d. Sprendimą Bundesrepublik Deutschland (Interpolo raudonasis pranešimas) (C‑505/19, EU:C:2021:376, 77 punktas).

12      Išskirta mano.

13      Šiuo klausimu darbo grupė apsaugai tvarkant asmens duomenis, įsteigta 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 13; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) 29 straipsniu (toliau – 29 straipsnio darbo grupė), Duomenų apsaugos pareigūnų gairėse (toliau – DAP gairės), priimtose 2016 m. gruodžio 13 d., su paskutiniais 2017 m. balandžio 5 d. pakeitimais (pateikiamos internete adresu https://ec.europa.eu/newsroom/article29/items/612048/en) patikslino, kad „[n]uobaudos gali būti įvairios ir gali būti tiesioginės arba netiesioginės. Nuobauda, pavyzdžiui, gali būti tai, kad nepaaukštinamos asmens pareigos arba toks paaukštinimas vėlinamas; nesudaromos sąlygos daryti karjeros; neskiriami priedai, kurių gauna kiti darbuotojai. Šios nuobaudos nebūtinai turi būti faktiškai taikomos, užtenka vien grėsmės, kuria naudojamasi siekiant nubausti duomenų apsaugos pareigūną dėl priežasčių, susijusių su jo, kaip duomenų apsaugos pareigūno, veikla“ (p. 18 ir 19). Įsigaliojus Reglamentui 2016/679 šią darbo grupę pakeitė Europos duomenų apsaugos valdyba (EDAV). Ji patvirtino DAP gaires per savo pirmąją plenarinę sesiją 2018 m. gegužės 25 d. (žr. https://edpb.europa.eu/sites/default/files/files/news/endorsement_of_wp29_documents_en_0.pdf).

14      Kaip pabrėžia LH, ne tik iš Reglamento 2016/679 38 straipsnio 3 dalies antro sakinio versijos vokiečių kalba („abberufen“), bet ir iš kitų kalbinių versijų, kaip antai versijų ispanų kalba („destituido“), prancūzų kalba („relevé“) ar portugalų kalba („destituído“), aiškiai matyti, kad šiame reglamente kalbama apie duomenų apsaugos pareigūno atleidimą iš pareigų, o ne apie „darbo santykių“ nutraukimą (vokiečių k. „kündigen“). Taip pat žr. versijas anglų kalba („dismissed“), italų kalba („rimosso“), lenkų kalba („odwoływany“) ir rumunų kalba („demis“).

15      Žr. 2014 m. spalio 3 d. Europos Sąjungos Tarybai pirmininkaujančios valstybės narės pranešimą dėl pasiūlymo dėl Europos Parlamento ir Tarybos reglamento dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas) (pirmasis skaitymas) – IV skyrius (prieinamas internete adresu https://data.consilium.europa.eu/doc/document/ST-13772-2014-INIT/lt/pdf), kiek tai susiję su šio pasiūlymo dėl reglamento 36 straipsnio 3 dalies papildymo žodžiais, kad duomenų apsaugos pareigūnas negali būti baudžiamas už jam nustatytų užduočių atlikimą (p. 34). Taip pat žr. 2016 m. balandžio 6 d. Tarybos poziciją per pirmąjį svarstymą siekiant priimti Europos Parlamento ir Tarybos reglamentą dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (prieinama internete adresu https://EUR-lex.europa.eu/legal-content/LT/TXT/PDF/?uri=CONSIL:ST_5419_2016_INIT&from=LT), kurioje vartojama dabartinė Reglamento 2016/679 38 straipsnio formuluotė.

16      Žodžių junginys „[visiškai] nepriklausomai“ vartojamas Reglamento 2016/679 97 konstatuojamosios dalies paskutiniame sakinyje.

17      OL L 295, 2018, p. 39.

18      Žr. Reglamento 2016/679 37 straipsnio 6 dalį.

19      Žr. 2016 m. kovo 31 d. Tarybos poziciją per pirmąjį svarstymą siekiant priimti Europos Parlamento ir Tarybos reglamentą dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) – Tarybos motyvų pareiškimo projektą (prieinamas internete adresu https://EUR-lex.europa.eu/legal-content/LT/TXT/PDF/?uri=CONSIL:ST_5419_2016_ADD_1_REV_1&from=LT (p. 22). Dėl svarbaus duomenų apsaugos pareigūno vaidmens taikant Reglamentą 2016/679 žr. šio reglamento 97 konstatuojamąją dalį, taip pat jo užduotis, apibrėžtas šio reglamento 39 straipsnyje. Šiuo klausimu 29 straipsnio darbo grupė DAP gairėse priminė, kad prieš priimant Reglamentą 2016/679 ji teigė, jog duomenų apsaugos pareigūnas yra „atskaitomybės pagrindas ir kad paskyrus duomenų apsaugos pareigūną galima sudaryti palankesnes sąlygas laikytis reikalavimų“ (p. 5). Ši grupė taip pat pažymėjo, kad šiame reglamente duomenų apsaugos pareigūnas pripažįstamas „vienu pagrindinių dalyvių naujojoje duomenų valdymo sistemoje“ (p. 6). Kaip duomenų valdytojo arba duomenų tvarkytojo informacijos poreikio, kurį turėtų tenkinti duomenų apsaugos pareigūnas, pavyzdį žr. 2020 m. liepos 16 d. Sprendimą Facebook Ireland ir Schrems (C‑311/18, EU:C:2020:559, 134 punktas).

20      Žr. Reglamento 2016/679 38 straipsnio 3 dalies pirmą ir trečią sakinius.

21      Žr. Reglamento 2016/679 38 straipsnio 5 dalį.

22      Žr. Reglamento 2016/679 preambulę ir 12 konstatuojamąją dalį, taip pat 2021 m. birželio 15 d. Sprendimą Facebook Ireland ir kt. (C‑645/19, EU:C:2021:483, 44 punktas).

23      Žr. mano išvadą byloje Facebook Ireland (C‑319/20, EU:C:2021:979, 51 punktas).

24      Šiomis aplinkybėmis esu tos nuomonės, kad negalima remtis šio reglamento 88 straipsnio 1 dalies nuostatomis, manant, kad jos reiškia išlygą.

25      Žr. mano išvadą byloje Facebook Ireland (C‑319/20, EU:C:2021:979, 51 punktas).

26      Žr. šios išvados 31 punktą.

27      Dėl Reglamento 2016/679 žr., be kita ko, mano išvadą byloje Facebook Ireland (C‑319/20, EU:C:2021:979, 52 punktas).

28      Žr. mano išvadą byloje Facebook Ireland (C‑319/20, EU:C:2021:979, 52 punktas). Be to, tos išvados 55 punkte jau atkreipiau Teisingumo Teismo dėmesį į tai, kad Reglamente 2016/679 yra išlygų, pagal kurias šiuo reglamentu teisėkūros įgaliojimai aiškiai perleidžiami valstybėms narėms, dėl to jis tampa išskirtinis, palyginti su įprastu reglamentu, ir primena direktyvą.

29      Šiuo klausimu, kaip pabrėžia Bielak‑Jomaa, E., „Artykuł 38. Status inspektora ochrony danych“, leidinyje Bielak‑Jomaa, E. ir Lubasz, D., RODO. Ogólne rozporządzenie o ochronie danych. Komentarz,  Wolters Kluwer, Varšuva, 2018, p. 794–806, pirmiausia 5 punkto ketvirtoje pastraipoje, 29 straipsnio darbo grupė nenurodė jokio kriterijaus, kuris būtų naudingas siekiant nustatyti, ar duomenų apsaugos pareigūnas tinkamai atlieka užduotis. Taip pat Foret, O., „Le rôle du DPO“, leidinyje Bensamoun, A. ir Bertrand, B., Le règlement général sur la protection des données, Aspects institutionnels et matériels, Mare et Martin, Paryžius, 2020, p. 233–239, pirmiausia p. 235 ir 236, pažymi, jog „EDAV savo gairėse patikslina, kad <…> „[skiriant duomenų apsaugos pareigūną] reikiamas žinių lygis nėra griežtai apibrėžtas, tačiau jis turi atitikti duomenų neskelbtinumą, sudėtingumą, kiekį ir organizacinius procesus“ (žr. DAP gaires, p. 13). Taip pat žr. šių gairių p. 14. Be to, žr. šios išvados 50 ir 51 punktus.

30      Žr. Bergt, M. „Art 38. Stellung des Datenschutzbeauftragten“, leidinyje Kühling, J. ir Buchner, B., Datenschutz‑Grundverordnung, Bundesdatenschutzgesetz, Kommentar, 3‑iasis leidimas, C. H. Beck, Miunchenas, 2020, pirmiausia 29 punktas. Šis autorius pabrėžia, kad, „kitaip nei Komisijos ir Parlamento projektuose, 38 straipsnyje nenumatyta minimali kadencijos, kuriai turi būti paskirtas duomenų apsaugos pareigūnas, trukmė“ (laisvas vertimas).

31      Žr. šios išvados 31 ir 32 punktus. Galima pridurti, kad Sąjungos teisės aktų leidėjas sąmoningai pasirinko šį variantą, nepritardamas Europos ekonomikos ir socialinių reikalų komiteto pasiūlymui, pateiktam vykstant parengiamajam darbui prieš priimant Reglamentą 2016/679, kuriuo buvo siekiama tiksliau apibrėžti „su [duomenų apsaugos pareigūno] pareigomis susijusias sąlygas, visų pirma aiškiai apibrėžti apsaugos nuo atleidimo iš darbo lygį, nes ši apsauga turi galioti ilgiau nei suinteresuotojo asmens veiklos einant šias pareigas trukmė“ (žr. Europos ekonomikos ir socialinių reikalų komiteto nuomonės dėl pasiūlymo dėl Europos Parlamento ir Tarybos reglamento dėl fiziniu asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas) 4.11.1 punktą (OL C 229, 2012, p. 90)).

32      Žr., be kita ko, informaciją, pateikiamą internete adresais https://www.dlapiperdataprotection.com/index.html?t=data-protection-officers&c=HR&c2= ir https://www.dataprotection.ro/index.jsp?page=Responsabilul_cu_protectia_datelor&lang=en.

33      Taip pasielgė Danijos Karalystė, Airija, Kroatijos Respublika, Italijos Respublika, Kipro Respublika, Maltos Respublika, Nyderlandų Karalystė, Austrijos Respublika, Lenkijos Respublika, Portugalijos Respublika, Rumunija ir Suomijos Respublika. Kroatijos Respublikoje, Maltoje ir Lenkijoje, taip pat Bulgarijos Respublikoje, apie duomenų apsaugos pareigūno atleidimą ar pakeitimą turi būti pranešta nacionalinei asmens duomenų apsaugos valdžios institucijai. Kai kurių valstybių narių, kaip antai Prancūzijos Respublikos ir Liuksemburgo Didžiosios Hercogystės, teisėje buvo patikslinta, kad duomenų apsaugos pareigūnas neturi apsaugoto pagal darbo sutartį dirbančio asmens statuso, kuriuo jam būtų suteikiama papildoma garantija, palyginti su nustatyta Reglamente 2016/679.

34      Kalbant apie Belgijos teisę žr. 2015 m. gruodžio 6 d. Karaliaus dekreto dėl patarėjų saugumo ir privataus gyvenimo apsaugos klausimais bei saugumo ir duomenų apsaugos platformos (Moniteur belge, 2015 m. gruodžio 28 d., p. 79268), priimto prieš įsigaliojant Reglamentui 2016/679, 6 straipsnio trečią pastraipą, pagal kurią „darbdavys arba kompetentinga valdžios institucija gali nutraukti sutartį su patarėju, nutraukti jo, kaip statutinio pareigūno, veiklą arba nušalinti jį nuo pareigų tik dėl priežasčių, nesusijusių su jo nepriklausomumu arba įrodančių, kad jis nekompetentingas atlikti jam nustatytas užduotis“. Išskirta mano. Taip pat žr., kalbant apie Ispanijos teisę, Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (2018 m. gruodžio 5 d. Pagrindų įstatymas Nr. 3/2018 dėl asmens duomenų apsaugos ir skaitmeninių teisių garantijos) (BOE, Nr. 294, 2018 m. gruodžio 6 d., p. 119788) 36 straipsnio 2 dalį, pagal kurią „jei duomenų apsaugos pareigūnas yra fizinis asmuo, dirbantis duomenų valdytojo arba duomenų tvarkytojo įstaigoje, duomenų valdytojas arba duomenų tvarkytojas negali jo nei atleisti, nei atšaukti, nei bausti dėl jam nustatytų užduočių atlikimo, nebent dėl tyčinės klaidos ar didelio aplaidumo atliekant šias užduotis.“ Išskirta mano.

35      Žr. DAP gaires (p. 19). Išskirta mano.

36      Šiuo klausimu žr. Fajgielski, P., „Artykuł 38. Status inspektora ochrony danych“, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Wolters Kluwer, Varšuva, 2018, p. 430–437, pirmiausia 5 punkto penktą pastraipą. Taip pat žr. Kremer, S., „§ 6 Datenschutzbeauftragter“, leidinyje Laue, P., Nink, J. ir Kremer, S., Das neue Datenschutzrecht in der betrieblichen Praxis, 2‑asis leidimas, Nomos, Baden Badenas, 2019, pirmiausia 36 punktą, ir Bergt, M., „Art. 38. Stellung des Datenschutzbeauftragten“, op. cit., pirmiausia 30 punktą, taip pat Bussche, A., „Art. 38 DSGVO“, leidinyje Plath, K.‑U., DSGVO/BDSG, Kommentar zum BDSG und zur DSGVO sowie den  Datenschutzbestimmungen des TMG und TKG, 3‑asis leidimas, Otto Schmidt, Kelnas, 2018, pirmiausia 19 punktą.

37      Žr. šios išvados 7 išnašą.

38      Žr. šios išvados 31, 60 ir 61 punktus.

39      Žr. šios išvados 31 punktą. Taip pat žr. šiuo metu nagrinėjamas bylas X‑FAB Dresden (C‑453/21) ir KISA (C‑560/21), dėl kurių į Teisingumo Teismą kreipėsi dvi skirtingos Bundesarbeitsgericht (Federalinis darbo teismas) kolegijos, pateikusios tokius pačius prejudicinius klausimus, bet darbo santykių nutraukimo dėl interesų konflikto atvejais. Pirmojoje iš šių bylų papildomas klausimas susijęs su tokio konflikto kriterijais.

40      Šiuo klausimu žr. Kremer, S., „§ 6 Datenschutzbeauftragter“, op. cit., pirmiausia 35 punktą, taip pat Bussche, A., „Art. 38 DSGVO“, op. cit., pirmiausia 17 punktą.

41      Žr. šios išvados 34 punktą.

42      2017 m. liepos 26 d. Nuomonė 1/15 (Europos Sąjungos ir Kanados susitarimas dėl PNR) (EU:C:2017:592, 96 punktas).

43      Žr. 2021 m. birželio 15 d. Sprendimą Facebook Ireland ir kt. (C‑645/19, EU:C:2021:483, 44, 45 ir 91 punktai).

44      Šiuo klausimu žr. 2021 m. birželio 15 d. Sprendimą Facebook Ireland ir kt. (C‑645/19, EU:C:2021:483, 45 punktas ir pagal analogiją 47 punktas).

45      Žr. šios išvados 19 išnašos ketvirtą sakinį.