CELEX: 62020CC0534
Language: fi
Date: 2022-01-27
Title: Julkisasiamies J. Richard de la Tour ratkaisuehdotus 27.1.2022.###

Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
JEAN RICHARD DE LA TOUR
27 päivänä tammikuuta 2022 (1)

Asia C-534/20

Leistritz AG

vastaan

LH

(Ennakkoratkaisupyyntö – Bundesarbeitsgericht (liittovaltion ylin työtuomioistuin, Saksa))
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 38 artiklan 3 kohdan toinen virke – Tietosuojavastaava – Kielto erottaa tietosuojaavastaavaa sen vuoksi, että hän on hoitanut tehtäviään – Oikeusperusta – SEUT 16 artikla – Pätevyys – Toiminnallista riippumattomuutta koskeva vaatimus – Yhdenmukaistamisen laajuus – Kansallinen lainsäädäntö, jossa kielletään tietosuojavastaavan irtisanominen, jollei siihen ole painavaa syytä – Tietosuojavastaava, joka on kansallisen lainsäädännön nojalla nimitetty pakollisesti

I       Johdanto

1.        Bundesarbeitsgerichtin (liittovaltion ylin työtuomioistuin, Saksa) ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus)(2) 38 artiklan 3 kohdan toisen virkkeen tulkintaa ja pätevyyttä.

2.        Tämä pyyntö on esitetty LH:n ja hänen työnantajansa Leistritz AG:n välisessä riita-asiassa, joka koskee hänen työsopimuksensa irtisanomista, jota perusteltiin hänen tehtäviensä uudelleenjärjestelyllä, vaikka sovellettavan Saksan lain mukaan LH voidaan irtisanoa irtisanomisaikaa noudattamatta vain painavasta syystä, koska hänet on nimitetty tietosuojavastaavaksi.

3.        Tuon tässä ratkaisuehdotuksessa esiin syyt, joiden vuoksi katson, ettei asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä säädetty kielto erottaa tietosuojavastaavaa ole seurausta työoikeuden aineellisten säännösten yhdenmukaistamisesta, joten jäsenvaltioille jää toimivalta vahvistaa tietosuojavastaavan suojaa eri alojen kansallisessa lainsäädännössään sen tavoitteen mukaisesti, johon asetuksella pyritään.
II     Asiaa koskevat oikeussäännöt

A       Asetus 2016/679

4.        Asetuksen 2016/679 johdanto-osan 10, 13 ja 97 perustelukappaleessa todetaan seuraavaa:
”(10)      Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja  ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
– –
(13)      Jotta voitaisiin varmistaa luonnollisten henkilöiden yhdenmukainen suoja kaikkialla unionissa ja estää eroavuudet, jotka haittaavat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla, tarvitaan asetus, jolla taataan oikeusvarmuus ja läpinäkyvyys talouden toimijoille, kuten mikroyrityksille sekä pienille ja keskisuurille yrityksille, annetaan luonnollisille henkilöille kaikissa jäsenvaltioissa samantasoiset, oikeudellisesti täytäntöönpanokelpoiset oikeudet ja rekisterinpitäjille ja henkilötietojen käsittelijöille velvollisuudet ja vastuut, joilla varmistetaan henkilötietojen käsittelyn yhdenmukainen valvonta ja samantasoiset seuraamukset kaikissa jäsenvaltioissa sekä tehokas yhteistyö eri jäsenvaltioiden valvontaviranomaisten välillä.  – –
– –
(97)      – – Tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti, olipa hän palvelussuhteessa rekisterinpitäjään tai ei.”

5.        Asetuksen 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 1 kohdassa säädetään seuraavaa:
”Tällä asetuksella vahvistetaan säännöt luonnollisten henkilöiden suojelulle henkilötietojen käsittelyssä sekä säännöt, jotka koskevat henkilötietojen vapaata liikkuvuutta.”

6.        Kyseisen asetuksen 37 artiklan, jonka otsikko on ”Tietosuojavastaavan nimittäminen”, 1 ja 4–6 kohdassa säädetään seuraavaa:
”1.      Rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava aina kun
a)      tietojenkäsittelyä suorittaa jokin muu viranomainen tai julkishallinnon elin kuin lainkäyttötehtäviään hoitava tuomioistuin;
b)      rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laajuutensa ja/tai tarkoitustensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa; tai
c)      rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat laajamittaisesta käsittelystä, joka kohdistuu 9 artiklan mukaisiin erityisiin henkilötietoryhmiin tai 10 artiklassa tarkoitettuihin rikostuomioihin tai rikoksiin liittyviin henkilötietoihin.
– –
4.      Muissa kuin 1 kohdassa tarkoitetuissa tapauksissa rekisterinpitäjä tai henkilötietojen käsittelijä tai rekisterinpitäjien tai henkilötietojen käsittelijöiden eri ryhmiä edustavat yhdistykset ja muut elimet voivat nimittää tietosuojavastaavan tai, jos unionin oikeudessa tai jäsenvaltion lainsäädännössä niin vaaditaan, niiden on nimitettävä tietosuojavastaava. Tietosuojavastaava voi toimia tällaisten rekisterinpitäjiä tai henkilötietojen käsittelijöitä edustavien yhdistysten ja muiden elinten puolesta.
5.      Tietosuojavastaavaa nimitettäessä otetaan huomioon henkilön ammattipätevyys ja erityisesti asiantuntemus tietosuojalainsäädännöstä ja alan käytänteistä sekä valmiudet suorittaa 39 artiklassa tarkoitetut tehtävät.
6.      Tietosuojavastaava voi olla rekisterinpitäjän tai henkilötietojen käsittelijän henkilöstön jäsen tai tietosuojavastaava voi hoitaa tehtäviään palvelusopimuksen perusteella.”

7.        Asetuksen 38 artiklassa, jonka otsikko on ”Tietosuojavastaavan asema”, säädetään seuraavaa:
”1.      Rekisterinpitäjän ja henkilötietojen käsittelijän on varmistettava, että tietosuojavastaava otetaan asianmukaisesti ja riittävän ajoissa mukaan kaikkien henkilötietojen suojaa koskevien kysymysten käsittelyyn.
– –
3.      Rekisterinpitäjän ja henkilötietojen käsittelijän on varmistettava, ettei tietosuojavastaava ota vastaan ohjeita näiden tehtävien hoitamisen yhteydessä. Rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa tai rangaista tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään. Tietosuojavastaava raportoi suoraan rekisterinpitäjän tai henkilötietojen käsittelijän ylimmälle johdolle.
4.      Rekisteröidyt voivat ottaa yhteyttä tietosuojavastaavaan kaikissa asioissa, jotka liittyvät heidän henkilötietojensa käsittelyyn ja tähän asetukseen perustuvien oikeuksiensa käyttöön.
5.      Tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.
6.      Tietosuojavastaava voi suorittaa muita tehtäviä ja velvollisuuksia. Rekisterinpitäjän tai henkilötietojen käsittelijän on varmistettava, että tällaiset tehtävät ja velvollisuudet eivät aiheuta eturistiriitoja.”

8.        Asetuksen 2016/679 39 artiklassa säädetään tietosuojavastaavan pääasiallisista tehtävistä.
B       Saksan lainsäädäntö

9.        20.12.1990 annetun liittovaltion tietosuojalain (Bundesdatenschutzgesetz),(3) sellaisena kuin se oli voimassa 25.5.2018–25.11.2019,(4) 6 §:n, jonka otsikko on ”Asema”, 4 momentissa säädetään seuraavaa:
”Tietosuojavastaavan erottaminen on sallittua ainoastaan soveltaen vastaavasti siviililain [Bürgerliches Gesetzbuch] 626 §:ää. Työsuhteen irtisanominen on kiellettyä, ellei ole olemassa tosiseikkoja, jotka oikeuttavat julkishallinnon elimen irtisanomaan painavasta syystä ilman irtisanomisaikaa. Työsuhteen irtisanominen vuoden kuluessa siitä, kun työskentely tietosuojavastaavana on päättynyt, on kiellettyä, ellei julkishallinnon elin ole oikeutettu irtisanomaan painavasta syystä ilman irtisanomisaikaa.”

10.      BDSG:n 38 §:ssä, jonka otsikko on ”Muiden kuin julkisten elinten tietosuojavastaavat”, säädetään seuraavaa:
”(1)      Asetuksen – – 2016/679 37 artiklan 1 kohdan b ja c alakohtaa täydentäen säädetään, että rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava, mikäli niiden palveluksessa työskentelee pääsääntöisesti vähintään kymmenen henkilöä[(5)] jatkuvasti henkilötietojen automaattisen käsittelyn parissa.  – –
(2)      Edellä olevia 6 §:n 4 momenttia, 5 momentin toista virkettä ja 6 momenttia sovelletaan, 6 §:n 4 momenttia kuitenkin vain, jos tietosuojavaltuutetun nimittäminen on pakollista.”

11.      Siviililain, sellaisena kuin se on julkaistu 2.1.2002,(6) 134 §:ssä, jonka otsikko on ”Lakisääteinen kielto”, säädetään seuraavaa:
”Lakisääteisen kiellon vastainen oikeustoimi on pätemätön, jollei laista muuta johdu.”

12.      Siviililain 626 §:ssä, jonka otsikko on ”Irtisanominen ilman irtisanomisaikaa painavasta syystä”, säädetään seuraavaa:
”(1)      Kumpikin sopimuspuoli voi irtisanoa työsuhteen painavasta syystä ilman irtisanomisaikaa, jos on olemassa tosiseikkoja, joiden vuoksi irtisanovan sopimuspuolen ei voida edellyttää jatkavan työsuhdetta irtisanomisajan päättymiseen tai työsuhteen sovittuun päättymisajankohtaan saakka, kun otetaan huomioon kaikki kyseisen tapauksen olosuhteet ja punnitaan molempien sopimuspuolten etuja.
(2)      Irtisanominen voi tapahtua vain kahden viikon kuluessa. Määräaika alkaa ajankohdasta, jona irtisanomiseen oikeutettu saa tiedon irtisanomisen kannalta merkityksellisistä tosiseikoista  – –”
III  Pääasia ja ennakkoratkaisukysymykset

13.      Leistritz on yksityisoikeudellinen yhtiö, joka on Saksan lainsäädännön mukaan velvollinen nimittämään tietosuojavastaavan. LH oli toiminut kyseisessä yhtiössä oikeudellisen yksikön tiiminvetäjänä 15.1.2018 alkaen ja sisäisenä tietosuojavastaavana 1.2.2018 alkaen.

14.      Leistritz irtisanoi LH:n 13.7.2018 päivätyllä kirjeellä irtisanomisaikaa noudattaen, niin että irtisanominen tulee voimaan 15.8.2018, ja se perusteli irtisanomista yrityksen uudelleenjärjestelyllä, jonka yhteydessä sisäinen oikeudellinen neuvontatoiminta ja tietosuojapalvelu ulkoistettiin.

15.      Asiakysymystä käsitelleet tuomioistuimet, joissa LH oli riitauttanut irtisanomisensa pätevyyden, olivat katsoneet, että kun BDSG:n 38 §:n 2 momentti ja 6 §:n 4 momentin toinen virke luetaan yhdessä, niiden mukaan LH voidaan tietosuojavastaavan asemansa vuoksi irtisanoa ilman irtisanomisaikaa vain painavasta syystä. Leistritzin kuvailema uudelleenjärjestelytoimenpide ei kuitenkaan ole painava syy ilman irtisanomisaikaa tapahtuvalla irtisanomiselle.

16.      Ennakkoratkaisua pyytänyt tuomioistuin, jonka käsiteltäväksi asia on saatettu Leistritzin tekemällä Revision-valituksella, toteaa, että Saksan lainsäädännön mukaan LH:n irtisanominen on edellä mainittujen säännösten ja siviililain 134 §:n perusteella pätemätön.(7) Se toteaa kuitenkin, että näiden säännösten sovellettavuus riippuu siitä, sallitaanko unionin oikeudessa ja erityisesti asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä jäsenvaltion lainsäädäntö, jossa asetetaan tietosuojavastaavan irtisanomiselle edellytyksiä, jotka ovat tiukempia kuin unionin oikeudessa säädetyt. Jos näin ei ole, sen on hyväksyttävä Revision-valitus.

17.      Tässä tilanteessa Bundesarbeitsgericht on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)      Onko asetuksen [2016/679] 38 artiklan 3 kohdan toista virkettä tulkittava siten, että se on esteenä käsiteltävässä asiassa kyseessä olevan [BDSG:n] 38 §:n 1 ja 2 momentin, luettuina yhdessä 6 §:n 4 momentin toisen virkkeen kanssa, kaltaisille kansallisille säännöksille, joiden mukaan se, että rekisterinpitäjä, joka on tietosuojavastaavan työnantaja, irtisanoo tietosuojavastaavan työsuhteen irtisanomisaikaa noudattaen, on kiellettyä riippumatta siitä, tapahtuuko irtisanominen sen vuoksi, että tietosuojavastaava on hoitanut tehtäviään?
2)      Jos ensimmäiseen kysymykseen vastataan myöntävästi:
Onko  [asetuksen 2016/679]  38 artiklan 3 kohdan toinen virke esteenä tällaisille kansallisille säännöksille myös silloin, kun tietosuojavastaavan nimittäminen ei ole pakollista [tämän asetuksen] 37 artiklan 1 kohdan vaan ainoastaan jäsenvaltion lainsäädännön nojalla?
3)      Jos ensimmäiseen kysymykseen vastataan myöntävästi:
Perustuuko [asetuksen 2016/679]  38 artiklan 3 kohdan toinen virke riittävään toimivaltaperustaan, etenkin siltä osin kuin se käsittää tietosuojavastaavat, jotka ovat työsuhteessa rekisterinpitäjään?”

18.      LH, Leistritz, Saksan ja Romanian hallitukset sekä Euroopan parlamentti, Euroopan unionin neuvosto ja Euroopan komissio ovat esittäneet kirjallisia huomautuksia. Nämä osapuolet Saksan ja Romanian hallituksia lukuun ottamatta ovat esittäneet suulliset huomautuksensa 18.11.2021 pidetyssä istunnossa.
IV     Asian tarkastelu

A       Ensimmäinen ennakkoratkaisukysymys

19.      Ensimmäisellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin kysyy unionin tuomioistuimelta pääasiallisesti, onko asetuksen 2016/679  38 artiklan 3 kohdan toista virkettä tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan tietosuojavastaavan työnantaja voi irtisanoa hänet vain painavasta syystä, vaikka irtisanominen ei liity hänen tehtäviensä hoitamiseen.

20.      Tähän kysymykseen vastaaminen edellyttää, että täsmennetään ensin, mitä unionin lainsäätäjän asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä käyttämä ilmaisu ”erottaa – –tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään” kattaa. Toiseksi on määritettävä, onko jäsenvaltioilla toimivalta laajentaa takeita, joita tietosuojavastaavalla on tämän säännöksen perusteella.
1.     Asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä säädetty tietosuojavastaavan suoja

21.      Asetuksen 2016/679 38 artikla on ”rekisterinpitäjä[ä] ja henkilötietojen käsittelijä[ä]” koskevassa asetuksen IV luvussa ja tarkemmin sanottuna tämän luvun 4 jaksossa, jonka otsikko on ”Tietosuojavastaava”. Tässä jaksossa on kolme artiklaa, jotka koskevat tietosuojavastaavan nimittämistä,(8) hänen asemaansa(9) ja tehtäviään, jotka muodostuvat pääasiallisesti tietojen käsittelyä koskevien henkilökohtaisten neuvojen antamisesta ja tietosuojaa koskevien sääntöjen noudattamisen seuraamisesta.(10)

22.      Asetuksen 2016/679 38 artiklan 3 kohdan toista virkettä tulkittaessa on unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan otettava huomioon paitsi tämän säännöksen sanamuoto myös säännöksen asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa säännös on.(11)

23.      Siltä osin kuin on kyse asetuksen 2016/679 38 artiklan 3 kohdan toisen virkkeen sanamuodosta, totean, että siinä ilmaistaan velvollisuus käyttämällä kielteistä sanamuotoa. Siinä todetaan nimittäin, että ”rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa tai rangaista tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään”.(12)

24.      Tässä säännöksessä määritetään siten tietosuojavastaavan suojan laajuus. Häntä – yhtäältä – suojataan kaikilta päätöksiltä, joilla lopetetaan hänen asemansa tai aiheutetaan hänelle haittaa, kun – toisaalta – tällainen päätös liittyy siihen, että hän on hoitanut tehtäviään.

25.      Siltä osin kuin on kyse toimenpiteen, jolla tietosuojavastaava erotetaan, ja toimenpiteen, jolla häntä rangaistaan, välisestä erosta, totean ensinnäkin, ettei missään asetuksen 2016/679 säännöksessä määritellä näitä toimenpiteitä nimenomaisesti tai implisiittisesti.(13)

26.      Muiden kieliversioiden vertailevan analyysin perusteella voidaan katsoa, että asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä tarkoitetaan kahden tyyppisiä toimenpiteitä eli toimenpiteitä, joilla lopetetaan tietosuojavastaavan asema, sekä toimenpiteitä, jotka ovat rangaistuksia tai joilla asetetaan hänet epäedulliseen asemaan, siitä riippumatta, mikä on toimenpiteiden asiayhteys. Nämä määritelmät voivat siten kattaa irtisanomiset, joilla työnantaja päättää työsopimuksen.(14)

27.      Asetuksen 2016/679 38 artiklan lainsäädäntöhistoriaa, johon olen voinut tutustua, koskevien tutkimusten tuloksista ei yksityiskohtaisten seikkojen puuttumisen vuoksi ole mahdollista saada selville, mitkä olivat unionin lainsäätäjän tarkat aikomukset ”erottaa”-sanan ulottuvuuden osalta. Voidaan pelkästään todeta, että erottamista koskeva toimituksellinen lisäys on tapahtunut lainsäädäntöprosessin myöhäisessä vaiheessa,(15) jossa on samanaikaisesti poistettu ”rekisterinpitäjän ja henkilötietojen käsittelijän on varmistettava, että tietosuojavastaava”  ‑ilmaisun perässä ollut ”voi suorittaa tehtävänsä riippumattomasti”  ‑toteamus.(16) Tästä voidaan päätellä, että lainsäätäjä on halunnut konkretisoida velvollisuuden, ettei tietosuojavastaavaa eroteta sen vuoksi, että hän on hoitanut tehtäviään.

28.      Huomautan myös, että unionin lainsäätäjä on valinnut, että se toistaa asetuksen 2016/679 38 artiklan 3 kohdan toisen virkkeen sanamuodon täysin samana luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23.10.2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725(17) 44 artiklan 3 kohdan toisessa virkkeessä. Asetuksen 2018/1725 laatimiseen liittyvistä asiakirjoista ei kuitenkaan voida johtaa mitään täsmällisempiä tietoja, mikä on käsitykseni mukaan perusteltua sen vuoksi, että 44 artiklan 8 kohtaan on lisätty tietosuojavastaavalle annettava toinen olennainen tae eli se, että  tietosuojavastaavan ”nimittänyt unionin toimielin tai elin voi erottaa hänet, jos hän ei enää täytä tehtäviensä suorittamiseksi vaadittavia edellytyksiä ja ainoastaan jos Euroopan tietosuojavaltuutettu on antanut tätä koskevan suostumuksen”.

29.      Totean toiseksi, ettei asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä ole tehtyä eroa sen mukaan, onko tietosuojavastaava rekisterinpitäjän tai henkilötietojen käsittelijän henkilöstön jäsen.(18) Asetuksessa ei nimittäin ole mitään säännöstä, joka koskisi työnantajan työsuhteen yhteydessä tekemien päätösten ja tietosuojavastaavan asemaa koskevien päätösten keskinäistä riippuvuutta. Ainoa asetettu rajoitus koskee syytä, jonka vuoksi tietosuojavastaavaa ei voida erottaa, eli mitä tahansa syytä, joka koskee sitä, että hän on hoitanut tehtäviään.

30.      Siltä osin kuin on kyse unionin lainsäätäjän tavoitteesta, on todettava, että se tekee perustelluksi asetuksen 2016/679 38 artiklan 3 kohdan toisen virkkeen yleisluonteisen sanamuodon sekä tämän rajoituksen valinnan.

31.      Ehdotuksessa neuvoston perusteluiksi nimittäin täsmennetään, että tietosuojavastaavan nimittämisen tarkoituksena on parantaa asetuksen 2016/679 noudattamista.(19) Tämän vuoksi asetuksen 38 artiklan 3 kohdan toisessa virkkeessä asetetaan velvoitteita, jotka ovat omiaan takaaman tietosuojavastaavan riippumattomuuden. Tässä artiklassa on siten säädetty, ettei tietosuojavastaava saa ottaa vastaan ohjeita näiden tehtävien hoitamisen yhteydessä ja että hänen on raportoitava suoraan rekisterinpitäjän tai henkilötietojen käsittelijän ylimmälle johdolle.(20) Häntä sitoo myös salassapitovelvollisuus.(21)

32.      Paino on siis asetettu tietosuojavastaavan asemaa koskevien puitteiden tiukkuudelle, mikä on erityisen perusteltua silloin, kun tietosuojavastaavan on nimittänyt rekisterinpitäjä tai henkilötietojen käsittelijä, joka on hänen työnantajansa. Asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä asetetulla kiellolla taataan näin ollen oikeudet, joita tietosuojavastaavalla on hoitaessaan tehtäviään, joita voi tietyissä tapauksissa olla vaikea sovittaa yhteen niiden tehtävien kanssa, joita työnantaja on määrännyt työsuhteen yhteydessä.

33.      Käsitystä, jonka mukaan tässä säännöksessä pyritään ainoastaan organisoimaan tietosuojavastaavan aseman täysin riippumaton hoitaminen, tukee asiayhteys, jossa säännös on annettu.

34.      Tässä yhteydessä on tähdennettävä, että asetuksen 2016/679 1 artiklan mukaan asetuksen kohteena on sääntöjen vahvistaminen luonnollisten henkilöiden suojelulle henkilötietojen käsittelyssä sekä henkilötietojen vapaata liikkuvuutta koskevien sääntöjen vahvistaminen. Asetus on siten annettu SEUT 16 artiklan 2 kohdan perusteella,(22) mikä saa aikaisemmassa ratkaisuehdotuksessani esiin tuomani tavoin katsomaan, että vaikka henkilötietojen suojelu on luonteeltaan laaja-alaista, tällä asetuksella toteutettu yhdenmukaistaminen rajoittuu niihin näkökohtiin, jotka kuuluvat nimenomaisesti kyseisen asetuksen soveltamisalaan tällä alalla.(23)

35.      Katson kaikista näistä syistä, ettei ole epäilyä siitä, että asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä säädetty tietosuojavastaavan erityinen suoja on ominainen asetuksen kohteelle, koska sillä vahvistetaan tietosuojavastaavan itsenäisyyttä. Se ei siten kuulu työntekijöiden suojan laajempaan alaan.(24)

36.      Näin ollen nousee uudelleen esiin kysymys siitä, voivatko jäsenvaltiot nimenomaisesti asetuksen 2016/679 soveltamisalaan kuuluvien näkökohtien ulkopuolella yhä vapaasti antaa lainsäädäntöä, kunhan ne eivät vahingoita tämän asetuksen sisältöä ja tavoitteita.(25)
2.     Jäsenvaltioiden toimivalta laajentaa asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä tietosuojavastaavalle annettuja takeita

37.      Käsitykseni mukaan asetuksen 2016/679 tavoite, joka tuodaan esiin sen johdanto-osan 13 perustelukappaleessa ja jonka perusteella unionin lainsäätäjä takaa asetuksen 38 artiklan 3 kohdan toisessa virkkeessä tietosuojavastaavan riippumattomuuden yleisluonteisin ilmaisuin,(26) tekee perustelluksi, että jäsenvaltion on voitava toteuttaa mikä tahansa muu toimenpide, jolla on tarkoitus vahvistaa tietosuojavastaavan itsenäisyyttä tehtäviensä hoitamisessa.

38.      Tämä arvio ei ole ristiriidassa asetuksen vaikutusten kanssa, sellaisina kuin ne määritellään SEUT 288 artiklan toisessa kohdassa, eikä sen velvollisuuden kanssa, joka tästä seuraa jäsenvaltioille ja jonka johdosta niiden on oltava poikkeamatta kaikilta osiltaan sitovasta ja suoraan sovellettavasta asetuksesta tai täydentämättä sitä, paitsi jos kyseisen asetuksen säännöksissä jäsenvaltioille annetaan liikkumavaraa, jota näiden pitää tai jota ne voivat käyttää näissä säännöksissä säädetyin edellytyksin ja niissä säädetyissä rajoissa.(27)

39.      Toistan näin ollen kantani, jonka mukaan asetuksella 2016/679 toteutetun yhdenmukaistamisen laajuus vaihtelee tarkasteltavien säännösten mukaan. Tämän asetuksen normatiivisen ulottuvuuden määrittäminen edellyttää näin ollen tapauskohtaista tarkastelua.(28)

40.      Totean tässä yhteydessä, että asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä käsitellään tietosuojavastaavan erottamista yksinomaan siltä osin kuin se liittyy hänen tehtäviensä hoitamiseen, jonka oletetaan olevan asianmukaista,(29) niin että erottaminen kielletään säätämättä esitetyn syyn vakavuuden asteesta tai ottamatta huomioon tietosuojavastaavan ja hänen työnantajansa väliseen alisteisuussuhteeseen liittyviä eri näkökohtia, jotka mahdollisesti vaikuttavat hänen nimittämiseensä. Huomioon ei siten ole otettu esimerkiksi työsopimuksen kestoa taikka henkilöön liittyvää tai taloudellista syytä työsopimuksen päättämiseen, josta voidaan mahdollisesti neuvotella, tai vielä työsuhteen keskeytymistä sairauden, koulutuksen, vuosiloman tai pitkäkestoisen loman vuoksi.

41.      Se, että unionin lainsäätäjä aikoo jättää tietosuojavastaavan riippumattomuutta suojaavien säännösten täydentämisen jäsenvaltioiden tehtäväksi tietosuojavastaavan tehtävien hoitamista koskevan asetuksen 2016/679 tavoitteiden mukaisesti määritellyn minimaalisen lainsäädännöllisen kehyksen perusteella, ilmenee myös siinä, ettei asetuksessa ole säännöstä, jossa säädettäisiin tietosuojavastaavan toimikauden kestosta – toisin kuin asetuksen 2018/1725 44 artiklan 8 kohdan ensimmäisessä virkkeessä(30) – tai yrityksen uudelleenjärjestelystä, josta on kyse tässä tapauksessa ja jonka johdosta tietosuojavastaavan tehtävät ulkoistetaan syistä, jotka eivät liity siihen, miten hän on suorittanut tehtävänsä.

42.      Jäsenvaltiot voivat näin ollen päättää vahvistaa tietotuojavastaavan riippumattomuutta, koska se edistää asetuksen 2016/679 tavoitteiden toteuttamista, erityisesti irtisanomisen osalta, koska unionin oikeudessa ei ole mitään säännöstä, joka voisi olla perustana tietosuojavastaavan erityiselle ja konkreettiselle suojalle sitä vastaan, että hänet irtisanotaan syystä, joka ei liity hänen tehtäviensä hoitamiseen, sillä työsuhteen päättäminen väistämättä lopettaa nämä tehtävät.

43.      Tässä yhteydessä on muistutettava, että työsopimuksen päättymisen yhteydessä työntekijöille annettavan suojelun alalla SEUT 153 artiklan 1 kohdan d alakohdassa määrätään, että unioni tukee ja täydentää jäsenvaltioiden toimintaa, ja että yleisemmin sosiaalipolitiikan alalla unionilla ja jäsenvaltioilla on SEUT 4 artiklan 2 kohdan b alakohdan nojalla SEUT 2 artiklan 2 kohdassa tarkoitettu jaettu toimivalta EUT-sopimuksessa määriteltyjen näkökohtien osalta.

44.      Jokaisella jäsenvaltiolla on näin ollen vapaus säätää tietosuojavastaavan irtisanomista koskevia erityisiä säännöksiä, kunhan nämä ovat yhteensopivia asetuksessa 2016/679 säädetyn tietosuojavastaavaa koskevan suojajärjestelmän kanssa.(31)

45.      Kuten ilmenee jäsenvaltioiden lainsäädäntöä koskevasta suppeasta tutkimuksesta, johon olen voinut tutustua,(32) suurimmassa osassa niistä ei ole irtisanomista koskevia erityisiä säännöksiä, vaan niissä on tyydytty suoraan sovellettavan asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä ilmaistuun kieltoon.(33)

46.      Toiset jäsenvaltiot ovat kuitenkin valinneet, että ne täydentävät tätä artiklaa.(34)

47.      Totean tässä yhteydessä, että 29 artiklan mukainen tietosuojatyöryhmä on katsonut, että ”jos erottaminen toteutetaan tavanomaisena johdon määräyksenä ja ehdoin, jotka kansallisen sopimuslainsäädännön tai työ- tai rikoslainsäädännön nojalla koskevat myös kaikkia muita työntekijöitä tai toimeksisaajia, tietosuojavastaava voidaan erottaa lainmukaisesti perustein, jotka eivät liity hänen tehtäviensä hoitamiseen (esim. varkauden, fyysisen, psyykkisen tai seksuaalisen häirinnän tai vastaavan vakavan rikkomuksen vuoksi)”.(35)

48.      Siitä riippumatta, millaisen valinnan jäsenvaltiot ovat tehneet, myös hallintoelin tai lainkäyttöelin, joka kussakin jäsenvaltiossa vastaa tietosuojavastaavan erottamisen perusteen lainmukaisuuden valvonnasta, osallistuu käsitykseni mukaan tietosuojavastaavan riippumattomuuden takaamiseen.

49.      Koska on erittäin todennäköistä, ettei yhteys tietosuojavastaavan tehtävien tyydyttävään hoitamiseen ilmene nimenomaisesti päätöksestä, jolla tietosuojavastaava erotetaan,(36) yleinen suoja, joka perustuu pelkkään tietosuojavastaavan asemaan, on ymmärrettävä. Käsiteltävässä asiassa ennakkoratkaisua pyytäneen tuomioistuimen selvityksistä ilmenee, että nimenomaan painavan syyn käsite, sellaisena kuin sitä on tulkittu Saksan oikeudessa, saa katsomaan lisäsuojasta huolehtimiseksi, ettei tietosuojavastaava voida erottaa uudelleenjärjestelytapauksessa.(37) Voitaisiin sitä paitsi katsoa samansuuntaisesti, että kun yrityksellä, joka on velvollinen nimittämään tietosuojavastaavan ja joka on valinnut tähän tehtävään jonkin työntekijöistään, on taloudellisia ongelmia, tietosuojavastaavan tehtävien hoitamista on asetuksen 2016/679 tavoitteen vuoksi ja sen panoksen vuoksi, jonka tällainen tietosuojavastaava antaa asetuksen tavoitteen täyttämiseen, jatkettava niin kauan kuin työnantajan toiminta jatkuu.

50.      Asetuksen 2016/679 38 artiklan 3 kohdan toisessa virkkeessä säädetyllä kiellolla on kuitenkin väistämättä rajansa, kun tietosuojavastaavan tehtävien hoito on objektiivisesti häiriintynyt siihen nähden, mitkä ovat hänen velvoitteensa. Nämä rajat on vahvistettava sen tavoitteen mukaisesti, johon asetuksella pyritään.(38)

51.      Tulkinnan, joka on myös asetuksen 2016/679 tavoitteen mukainen, on käsitykseni mukaan siten johdettava sen myöntämiseen, että tietosuojavastaava voidaan erottaa, jos hän ei enää täytä tehtäviensä hoitamisen edellyttämiä laadullisia arviointiperusteita, kuten asetuksen 37 artiklan 5 kohdassa mainittuja arviointiperusteita, tai ei täytä asetuksen 38 artiklan 3 kohdan ensimmäisessä ja kolmannessa virkkeessä sekä 5 ja 6 kohdassa säädettyjä velvollisuuksia(39) tai vielä kun hänen asiantuntemuksensa osoittautuu riittämättömäksi.(40)

52.      Katson tämän vuoksi, että asetuksen 2016/679 38 artiklan 3 kohdan toista virkettä on tulkittava siten, ettei se ole esteenä kansalliselle lainsäädännölle, jonka mukaan tietosuojavastaavan työnantaja voi irtisanoa hänet vain painavasta syystä, vaikka irtisanominen ei liity tietosuojavastaavan tehtävien hoitamiseen.

53.      Jos unionin tuomioistuin ei kuitenkaan yhdy tähän käsitykseen vaan päättää vastata ennakkoratkaisua pyytäneen tuomioistuimen ensimmäiseen kysymykseen myöntävästi, on vastattava kahteen muuhun ennakkoratkaisukysymykseen.
B       Toinen ennakkoratkaisukysymys

54.      Toisella ennakkoratkaisukysymyksellään ennakkoratkaisua pyytänyt tuomioistuin haluaa selvittää, onko asetuksen 2016/679 38 artiklan 3 kohdan toinen virke esteenä kansalliselle lainsäädännölle, jonka mukaan se, että tietosuojavastaavan työnantaja irtisanoo hänet ilman painavaa syytää, on lainvastaista, vaikka irtisanominen ei liity tietosuojavastaavan tehtävien hoitamiseen, silloin kun tietosuojavastaavan nimittäminen ei ole pakollista tämän asetuksen 37 artiklan 1 kohdan vaan ainoastaan kansallisen lainsäädännön nojalla, siten kuin asetuksen 37 artiklan 4 kohdassa säädetään.

55.      Totean, ettei asetuksen 2016/679 38 artiklan 3 kohdassa eikä missään muussakaan tietosuojavastaavia koskevan 4 jakson säännöksessä tehdä eroa sen perusteella, onko tietosuojavastaavan nimittäminen pakollista vai valinnaista.

56.      Katson näin ollen, että ennakkoratkaisua pyytäneelle tuomioistuimelle on vastattava, ettei asetuksen 2016/679 38 artiklan 3 kohdan toista virkettä sovellettaessa ole tehtävä eroa sen perusteella, onko tietosuojavastaavan nimittäminen ollut pakollista unionin oikeuden perusteella vai kansallisen oikeuden perusteella.
C       Kolmas ennakkoratkaisukysymys

57.      Kolmannessa ennakkoratkaisukysymyksessään ennakkoratkaisua pyytänyt tuomioistuin pohtii asetuksen 2016/679  38 artiklan 3 kohdan toisen virkkeen pätevyyttä ja erityisesti sitä, perustuuko tämä säännös riittävään oikeusperustaan, etenkin siltä osin kuin se käsittää tietosuojavastaavat, jotka ovat työsuhteessa rekisterinpitäjään.

58.      Ehdotan, että unionin tuomioistuin katsoo, että asetuksen 2016/679 38 artiklan 3 kohdan toinen virke perustuu riittävään oikeusperustaan, koska sillä pyritään ainoastaan suojaamaan tietosuojavastaavaa esteiltä hänen suorittaessaan tehtäviään ja koska tämä tae – työsuhteen olemassaolosta riippumatta – edistää asetuksen tavoitteiden tehokasta saavuttamista.

59.      On nimittäin yhtäältä todettava, että – kuten olen tuonut esiin ensimmäistä ennakkoratkaisukysymystä koskevassa analyysissä(41) – asetuksen 2016/679 oikeusperusta on SEUT 16 artikla. Unionin tuomioistuin on lisäksi katsonut, että tätä artiklaa on pidettävä – rajoittamatta SEU 39 artiklan soveltamista – asianmukaisena oikeusperustana silloin, kun henkilötietojen suojaaminen on yksi unionin lainsäätäjän antamien sääntöjen olennaisista tarkoituksista tai tekijöistä.(42)

60.      Toisaalta yksi näistä edellytyksistä täyttyy mielestäni täysin, siltä osin kuin on kyse tietosuojavastaavan roolista ja häneen kohdistuvasta työnjohdosta, sellaisina kuin nämä määritellään asetuksessa 2016/679. Tietosuojavastaavan toiminnallisen riippumattomuuden takaaminen, millä pyritään täyttämään vaatimus siitä, että varmistetaan rekisteröityjen, joita henkilötietojen käsittely koskee, perusoikeuksien kunnioittamisen korkea taso,(43) ilmenee asetuksen 38 artiklan 3 kohdan toisessa virkkeessä siten, että siinä kielletään erottamasta häntä hänen tehtäviinsä luonteenomaisesti liittyvistä syistä. Koska tässä säännöksessä ei edellytetä minkäänlaista työoikeuden yhdenmukaistamista, unionin lainsäätäjä ei ole ylittänyt sille SEUT 16 artiklan 2 kohdassa annettua lainsäädäntövaltaa.

61.      Siltä osin kuin on kyse toissijaisuusperiaatteen ja suhteellisuusperiaatteen noudattamisesta, mitä ennakkoratkaisua pyytänyt tuomioistuin myös pohtii, totean ensinnäkin, että henkilötietojen rajatylittävien käsittelyjen kasvun vuoksi on perusteltua, että näiden tietojen suoja perusoikeuksien kannalta toteutetaan unionin tasolla(44) niin, että taataan erityisesti tämän suojan ”keskeisenä toimijana” pidettävän tietosuojavastaavan oikeudet.(45) Totean toiseksi, ettei asetuksen 2016/679 38 artiklan 3 kohdan toinen virke käsitykseni mukaan ylitä sitä, mikä on välttämätöntä tietosuojavastaavan toiminnallisen riippumattomuuden takaamiseksi. Tässä säännöksessä säädetty tae siitä, ettei häntä eroteta, kylläkin väistämättä vaikuttaa työsuhteeseen. Tällä vaikutuksella kuitenkin pyritään vain säilyttämään tietosuojavastaavan aseman tehokas vaikutus.

62.      Katson näin ollen, että ennakkoratkaisua pyytäneelle tuomioistuimelle on vastattava, ettei kolmannen ennakkoratkaisukysymyksen tarkastelussa ole tullut esiin mitään seikkaa, joka olisi omiaan vaikuttamaan asetuksen 2016/679 38 artiklan 3 kohdan toisen virkkeen pätevyyteen.
V       Ratkaisuehdotus

63.      Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Bundesarbeitsgerichtin ennakkoratkaisukysymyksiin seuraavasti:
Ensisijaisesti:
–        Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 38 artiklan 3 kohdan toista virkettä on tulkittava siten, ettei se ole esteenä kansalliselle lainsäädännölle, jossa säädetään, että tietosuojavastaavan työnantaja voi irtisanoa hänet vain painavasta syystä, vaikka irtisanominen ei liity tietosuojavastaavan tehtävien hoitamiseen.
Toissijaisesti siltä varalta, että unionin tuomioistuin vastaa ensimmäiseen ennakkoratkaisukysymykseen myöntävästi:
–        Asetuksen 2016/679 38 artiklan 3 kohdan toista virkettä sovellettaessa ei ole tehtävä eroa sen perusteella, onko tietosuojavastaavan nimittäminen ollut pakollista unionin oikeuden perusteella vai kansallisen oikeuden perusteella.
–        Kolmannen ennakkoratkaisukysymyksen tarkastelussa ei ole tullut esiin mitään seikkaa, joka olisi omiaan vaikuttamaan asetuksen 2016/679 38 artiklan 3 kohdan toisen virkkeen pätevyyteen.

1      Alkuperäinen kieli: ranska.

2      EUVL 2016, L 119, s. 1.

3      BGBl. 1990 I, s. 2954.

4      BGBl. 2017 I, s. 2097; jäljempänä BDSG.

5      BDSG:n, sellaisena kuin se on voimassa 26.11.2019 lähtien, 38 §:n 1 momentin ensimmäisessä virkkeessä työntekijöiden määrä on nostettu 20:een.

6      BGBl. 2002 I, s. 42, oikaisut  s. 2909 ja BGBl. 2003 I, s. 738.

7      Ennakkoratkaisua pyytänyt tuomioistuin on lisäksi todennut, että sen oikeuskäytännön mukaan se, että organisatorisen muutoksen seurauksena ulkoinen tietosuojavastaava vastaa jatkossa yrityksen tietosuojasta, ei ole painava syy erottamiseen (ks. Bundesarbeitsgerichtin 23.3.2011 antama tuomio nro 10 AZR 562/09, 18 kohta;  saatavilla internetosoitteessa https://www.bundesarbeitsgericht.de/entscheidung/10-azr-562-09/).

8      Asetuksen 37 artikla.

9      Asetuksen 38 artikla.

10      Asetuksen 39 artikla.

11      Ks. mm. tuomio 12.5.2021, Saksan liittotasavalta (Interpolin punainen ilmoitus) (C-505/19, EU:C:2021:376, 77 kohta).

12      Kursivointi tässä.

13      Yksilöiden suojelua henkilötietojen käsittelyssä koskeva työryhmä, joka on perustettu yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 13) 29 artiklalla (jäljempänä 29 artiklan mukainen tietosuojatyöryhmä), on 13.12.2016 hyväksytyissä ja 5.4.2017 tarkistetuissa Tietosuojavastaavia koskevissa ohjeissa, jotka ovat saatavissa internetosoitteessa https://ec.europa.eu/newsroom/article29/items/612048/en), täsmentänyt tältä osin, että ”rangaistukset voivat olla erilaisia, ja ne voivat olla suoria tai välillisiä. Rangaistus voi olla esimerkiksi ylennyksen tekemättä jättäminen tai viivästyminen, urakehityksen estäminen tai sellaisten etuuksien epääminen, joita muut työntekijät saavat. Näiden rangaistusten ei tarvitse tosiasiallisesti toteutua, vaan pelkkä uhka riittää edellyttäen, että sitä käytetään rankaisemaan tietosuojavastaavaa tehtäviensä hoitamisesta” (s. 18 ja 19). Asetuksen 2016/679 voimaantulosta lähtien tämä työryhmä on korvattu Euroopan tietosuojaneuvostolla (EDPB). Se on hyväksynyt tietosuojavastaavia koskevat ohjeet 25.5.2018 pidetyssä ensimmäisessä yleiskokouksessaan (ks. https://edpb.europa.eu/sites/default/files/files/news/endorsement_of_wp29_documents_en_0.pdf).

14      Kuten LH tähdentää, asetuksen 2016/679 38 artiklan 3 kohdan toisen virkkeen saksankielisen version (”abberufen”) lisäksi muissakin kieliversioissa, kuten espanjankielisessä (”destituido”), ranskankielisessä (”relevé”) tai portugalinkielisessä (”destituído”) versiossa, todetaan selvästi, että asetus koskee tietosuojavastaavan aseman päättämistä eikä ”työsuhteen” päättämistä (saksaksi ”kündigen”). Ks. myös englanninkielinen (”dismissed”), italiankielinen (”rimosso”), puolankielinen (”odwoływany”) ja romaniankielinen (”demis”) versio.

15      Ks. Euroopan unionin neuvoston puheenjohtajavaltion 3.10.2014 antama ilmoitus ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus) [Ensimmäinen käsittely] –  IV luku, joka on saatavissa internetosoitteessa https://data.consilium.europa.eu/doc/document/ST-13772-2014-INIT/fi/pdf)  ja joka koskee sitä, että tämän ehdotuksen 36 artiklan 3 kohtaan lisätään, ettei tietosuojavastaavalle saa määrätä hänen tehtäviensä hoitamiseen liittyviä seuraamuksia (s. 34). Ks. myös neuvoston ensimmäisessä käsittelyssä 6.4.2016 vahvistama kanta Euroopan parlamentin ja neuvoston asetuksen antamiseksi luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus), joka on saatavissa internetosoitteesta https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CONSIL:ST_5419_2016_INIT&from=FI ja jossa hyväksyttiin asetuksen 2016/679 38 artiklan tämän hetkinen sanamuoto.

16      ”Riippumattomasti”-sana esiintyy asetuksen 2016/679 johdanto-osan 97 perustelukappaleen viimeisessä virkkeessä.

17      EUVL 2018, L 295, s. 39.

18      Ks. asetuksen 2016/679 37 artiklan 6 kohta.

19      Ks. neuvoston ensimmäisen käsittelyn kanta Euroopan parlamentin ja neuvoston asetuksen antamiseksi luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) – Ehdotus neuvoston perusteluiksi 31.3.2016, joka on saatavissa internetosoitteessa https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CONSIL:ST_5419_2016_ADD_1_REV_1&from=FI (s. 22). Tietosuojavastaavan suuresta roolista asetuksen 2016/679 soveltamisessa ks. asetuksen johdanto-osan 97 perustelukappale sekä tietosuojavaltuutetun tehtävät, jotka määritellään asetuksen 39 artiklassa. Tässä yhteydessä 29 artiklan mukainen tietosuojatyöryhmä on tietosuojavastaavia koskevissa ohjeissaan muistuttanut, että se totesi jo ennen asetuksen 2016/679 hyväksymistä, että tietosuojavastaava on ”tilivelvollisuuden kulmakivi ja että tietosuojavastaavan nimittäminen voi helpottaa säännösten noudattamista” (s. 5). Tämä työryhmä on todennut myös, että tässä asetuksessa todetaan tietosuojavastaavan olevan ”keskeinen toimija uudessa tietohallintojärjestelmässä” (s. 6). Ks. esimerkkinä rekisterinpitäjän tai henkilötietojen käsittelijän tietotarpeista, joihin tietosuojavastaavan olisi vastattava, tuomio 16.7.2020, Facebook Ireland ja Schrems (C-311/18, EU:C:2020:559, 134 kohta).

20      Ks. asetuksen 2016/679 38 artiklan 3 kohdan ensimmäinen ja kolmas virke.

21      Ks. asetuksen 2016/679 38 artiklan 5 kohta.

22      Ks. asetuksen 2016/679 johdanto-osa ja johdanto-osan 12 perustelukappale sekä tuomio 15.6.2021, Facebook Ireland ym. (C-645/19, EU:C:2021:483, 44 kohta).

23      Ks. ratkaisuehdotukseni Facebook Ireland (C-319/20, EU:C:2021:979, 51 kohta).

24      Katson tässä yhteydessä, ettei asetuksen 88 artiklan 1 kohdan säännöksistä voida johtaa perusteita käsitykselle, että kyseiset säännökset ovat avoin lauseke.

25      Ks. ratkaisuehdotukseni Facebook Ireland (C-319/20, EU:C:2021:979, 51 kohta).

26      Ks. tämän ratkaisuehdotuksen 31 kohta.

27      Ks. erityisesti asetuksen 2016/679 osalta ratkaisuehdotukseni Facebook Ireland (C-319/20, EU:C:2021:979, 52 kohta).

28      Ks. ratkaisuehdotukseni Facebook Ireland (C-319/20, EU:C:2021:979, 52 kohta). Lisäksi olen kyseisen ratkaisuehdotuksen 55 kohdassa jo kiinnittänyt unionin tuomioistuimen huomiota siihen, että asetus 2016/679 sisältää monia avoimia lausekkeita, joilla siinä nimenomaisesti siirretään lainsäädäntötoimivaltaa jäsenvaltioille, minkä johdosta tämä asetus voidaan erottaa perinteisestä asetuksesta ja mikä saa sen muistuttamaan direktiiviä.

29      Kuten Bielak-Jomaa, E. tähdentää kirjoituksessaan ”Artykuł 38. Status inspektora ochrony danych” teoksessa Bielak-Jomaa, E. ja Lubasz, D., RODO.  Ogólne rozporządzenie o ochronie danych. Komentarz, Wolters Kluwer, Varsova, 2018, s. 794–806, erityisesti 5 kohdan neljäs kappale, 29 artiklan mukainen tietosuojatyöryhmä ei ole esittänyt tältä osin mitään arviointiperustetta, josta olisi hyötyä määritettäessä, onko tietosuojavastaavan tehtävät suoritettu oikein vai väärin. Samoin Foret, O. toteaa kirjoituksessaan ”Le rôle du DPO” teoksessa Bensamoun, A. ja Bertrand, B., Le règlement général sur la protection des données, Aspects institutionnels et matériels, Mare et Martin, Pariisi, 2020, s. 233–239, erityisesti s. 235 ja 236, että ”EDPB täsmentää ohjeissaan, että – – '[tietosuojavastaavaksi nimittämiseksi vaadittua] asiantuntemuksen tasoa ei määritellä täsmällisesti, mutta tason on oltava asianmukainen suhteessa organisaation käsittelemien tietojen arkaluonteisuuteen, monimutkaisuuteen ja määrään'” (ks. tietosuojavastaavia koskevat ohjeet, s. 13). Ks. myös näiden ohjeiden s. 14. Ks. lisäksi tämän ratkaisuehdotuksen 50 ja 51 kohta.

30      Ks. Bergt, M., ”Art 38. Stellung des Datenschutzbeauftragten” teoksessa Kühling, J. ja Buchner, B., Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, Kommentar, 3. laitos, C. H. Beck, München, 2020, erityisesti 29 kohta. Tämä kirjoittaja tähdentää, että ”komission ja parlamentin esitysten vastaisesti 38 artiklassa ei säädetä toimikauden vähimmäiskestosta, joksi tietosuojavastaava on nimitettävä”.

31      Ks. tämän ratkaisuehdotuksen 31 ja 32 kohta. Voidaan lisäksi todeta, että unionin lainsäätäjä on tehnyt tämän valinnan tarkoituksellisesti, kun se ei hyväksynyt Euroopan talous- ja sosiaalikomitean asetusta 2016/679 koskevan lainsäädäntötyön yhteydessä tekemää ehdotusta siitä, että määriteltäisiin nykyistä selkeämmin ”tietosuojavastaavien tehtäviin liittyvät edellytykset – –. Tämä koskee erityisesti irtisanomissuojaa, joka on määriteltävä selkeästi ja jonka on kestettävä pidempään kuin ajanjakso, jonka asianomainen henkilö hoitaa kyseistä tehtävää”, ks. Euroopan talous- ja sosiaalikomitean lausunto aiheesta ”Ehdotus Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus)”, 4.11.1 kohta (EUVL 2012, C 229, s. 90).

32      Ks. erityisesti tiedot, jotka ovat saatavissa internetosoitteissa https://www.dlapiperdataprotection.com/index.html?t=data-protection-officers&c=HR&c2= ja https://www.dataprotection.ro/index.jsp?page=Responsabilul_cu_protectia_datelor&lang=en.

33      Tämä koskee Tanskan kuningaskuntaa, Irlantia, Kroatian tasavaltaa, Italian tasavaltaa, Kyproksen tasavaltaa, Maltan tasavaltaa, Alankomaiden kuningaskuntaa, Itävallan tasavaltaa, Puolan tasavaltaa, Portugalin tasavaltaa, Romaniaa ja Suomen tasavaltaa. Kroatian, Maltan ja Puolan tasavalloissa samoin kuin Bulgarian tasavallassa tietosuojavastaavan erottamisesta tai vaihtamisesta on ilmoitettava kansalliselle tietosuojaviranomaiselle. Eräissä jäsenvaltioissa, kuten Ranskan tasavallassa ja Luxemburgin suurherttuakunnassa, on täsmennetty, ettei tietosuojavastaavalla ole suojatun työntekijän asemaa, joka antaisi lisäturvaa asetuksessa 2016/679 säädettyyn turvaan nähden.

34      Ks. Belgian lainsäädännön osalta asetuksen 2016/679 voimaantuloa edeltäneen turvallisuus- ja yksityisyydensuojavaltuutetuista sekä tietoturva- ja tietosuojaohjelmasta 6.12.2015 annetun kuninkaan asetuksen (arrêté royal relatif aux conseiller en sécurité et en protection de la vie privée et à la plate-forme de la sécurité et de la protection des données; Moniteur belge, 28.12.2015, s. 79268) 6 §:n 3 momentin kolmas kohta, jonka mukaan ”työnantaja tai toimivaltainen viranomainen voi päättää valtuutetun sopimuksen, lakkauttaa  valtuutetun sääntömääräisen tehtävän tai erottaa hänet tehtävästään vain syistä, jotka eivät liity hänen riippumattomuuteensa, tai syistä, jotka osoittavat, ettei hänellä ole pätevyyttä tehtäviensä hoitamiseen”. Kursivointi tässä. Ks. myös Espanjan lainsäädännön osalta henkilötietojen suojasta ja digitaalisten oikeuksien takaamisesta 5.12.2018 annetun lain 3/2018 (Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales; BOE nro 294, 6.12.2018, s. 119788) 36 §:n 2 momentti, jossa säädetään, että ”kun tietosuojavastaava on rekisterinpitäjän tai henkilötietojen käsittelijän organisaatioon kuuluva luonnollinen henkilö, rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa häntä tai määrätä hänelle seuraamuksia sen vuoksi, että hän on hoitanut tehtäviään, muutoin kuin siinä tapauksessa, että hän on tehtäviään hoitaessaan syyllistynyt tahalliseen virheeseen tai vakavaan laiminlyöntiin ”. Kursivointi tässä.

35      Ks. tietosuojavastaavia koskevat ohjeet (s. 19). Kursivointi tässä.

36      Ks. vastaavasti Fajgielski, P., ”Artykuł 38. Status inspektora ochrony danych”, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Wolters Kluwer, Varsova, 2018, s. 430–437, erityisesti 5 kohdan viides kappale. Ks. myös Kremer, S., ”§ 6 Datenschutzbeauftragter” teoksessa Laue, P., Nink, J. ja Kremer, S., Das neue Datenschutzrecht in der betrieblichen Praxis, 2. laitos, Nomos, Baden-Baden, 2019, erityisesti 36 kohta ja Bergt, M., ”Art 38. Stellung des Datenschutzbeauftragten”, em. teos, erityisesti 30 kohta sekä Bussche, A., ”Art. 38 DSGVO” teoksessa Plath, K.-U., DSGVO/BDSG, Kommentar zum BDSG und zur DSGVO sowie den Datenschutzbestimmungen des TMG und TKG, 3. laitos, Otto Schmidt, Köln, 2018, erityisesti 19 kohta.

37      Ks. tämän ratkaisuehdotuksen alaviite 7.

38      Ks. tämän ratkaisuehdotuksen 31, 60 ja 61 kohta.

39      Ks. tämän ratkaisuehdotuksen 31 kohta. Ks. myös vireillä olevat asiat X-FAB Dresden (C‑453/21) ja KISA (C-560/21), joissa unionin tuomioistuimen puoleen on kääntynyt Bundesarbeitsgerichtin kaksi eri jaostoa, jotka ovat esittäneet samat ennakkoratkaisukysymykset mutta tapauksissa, joissa erottaminen johtuu eturistiriidasta. Ensin mainitussa asiassa on esitetty lisäkysymys, joka koskee tällaisen ristiriidan kriteerejä.

40      Ks. vastaavasti Kremer, S., ”§ 6 Datenschutzbeauftragter”, em. teos, erityisesti 35 kohta sekä Bussche, A., ”Art. 38 DSGVO”, em. teos, erityisesti 17 kohta.

41      Ks. tämän ratkaisuehdotuksen 34 kohta.

42      Lausunto 1/15 (EU:n ja Kanadan välinen PNR-sopimus), 26.7.2017 (EU:C:2017:592, 96 kohta).

43      Ks. tuomio 15.6.2021, Facebook Ireland ym. (C-645/19, EU:C:2021:483, 44, 45 ja 91 kohta).

44      Ks. vastaavasti tuomio 15.6.2021, Facebook Ireland ym. (C-645/19, EU:C:2021:483, 45 kohta ja analogisesti 47 kohta).

45      Ks. tämän ratkaisuehdotuksen alaviite 19, neljäs virke.