Feiten

FC is sinds 1 november 1993 in dienst bij X-FAB. Hij oefent in deze onderneming de functie van voorzitter van de ondernemingsraad uit en is bijgevolg gedeeltelijk vrijgesteld van het werk. Daarnaast bekleedt hij de functie van vicevoorzitter van de centrale ondernemingsraad die is opgericht voor drie in Duitsland gevestigde ondernemingen van de groep ondernemingen waartoe X-FAB behoort. Met ingang van 1 juni 2015 is FC door X-FAB, haar moedermaatschappij en de overige in Duitsland gevestigde dochterondernemingen telkens afzonderlijk aangewezen als functionaris voor gegevensbescherming, hierna: DPO. Volgens de verwijzende rechter had deze parallelle aanwijzing van FC als DPO van al deze ondernemingen tot doel een uniforme standaard voor de gegevensbescherming in die ondernemingen tot stand te brengen. Op 1 december 2017 is FC ontslagen als DPO, omdat een belangenconflict dreigt te ontstaan indien FC tegelijkertijd DPO en voorzitter van de ondernemingsraad is. De Duitse wet kent strenge(re) eisen aan ontslag van een DPO. De verwijzende rechter vraagt zich af hoe deze strenge(re) ontslagtoets zich verhoudt tot Unierecht.

Oordeel

Het Hof van Justitie EU oordeelt als volgt. 

Verhoogde ontslagbescherming functionaris gegevensbescherming mag de verwezenlijking van de doelstellingen van de AVG niet ondermijnen

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling op grond waarvan een verwerkingsverantwoordelijke of een verwerker een DPO die bij hem in dienst is, alleen kan ontslaan om een gewichtige reden, ook al houdt het ontslag geen verband met de uitvoering van de taken van de betrokken DPO.  In dit verband heeft het Hof in het arrest van 22 juni 2022, Leistritz (C-534/20, ECLI:EU:C:2022:495, punten 20 en 21), na te hebben vastgesteld dat de AVG geen definitie geeft van de in artikel 38, lid 3, tweede volzin, gebezigde begrippen ‘ontslagen’, ‘gestraft’ en ‘voor de uitvoering van zijn taken’,  benadrukt dat het verbod voor de verwerkingsverantwoordelijke of verwerker om een DPO te ontslaan of te straffen volgens de betekenis van die begrippen in de omgangstaal impliceert dat de betrokken DPO moet worden beschermd tegen elke beslissing waarbij aan zijn functie een einde wordt gemaakt, hem nadeel wordt toegebracht of hem een sanctie wordt opgelegd. 

Elke lidstaat is vrij om in de uitoefening van de bevoegdheid die hij heeft behouden, specifieke bepalingen vast te stellen die op het gebied van ontslag van de DPO een grotere bescherming bieden, mits deze bepalingen verenigbaar zijn met het Unierecht en in het bijzonder met de AVG, meer bepaald artikel 38, lid 3, tweede volzin, ervan (zie in die zin Leistritz, punt 34).  Een dergelijke verhoogde bescherming mag met name de verwezenlijking van de doelstellingen van de AVG niet ondermijnen. Dat zou echter het geval zijn indien zij er zonder uitzondering aan in de weg zou staan dat een verwerkingsverantwoordelijke of verwerker een DPO ontslaat die niet langer overeenkomstig artikel 37, lid 5, AVG beschikt over de voor de uitvoering van zijn taken noodzakelijke professionele kwaliteiten of die zijn taken niet overeenkomstig de AVG uitvoert (zie in die zin Leistritz, punt 35). In dit verband zij eraan herinnerd dat de AVG  een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen in verband met de verwerking van hun persoonsgegevens, en dat de DPO voor de verwezenlijking van deze doelstelling in staat moet zijn om zijn taken en verplichtingen onafhankelijk te vervullen. Een verhoogde bescherming van de DPO zou de verwezenlijking van deze doelstelling dus in gevaar brengen indien zij er zonder uitzondering aan in de weg zou staan dat de DPO wordt ontslagen wanneer hij zijn taken niet of niet langer onafhankelijk kan vervullen wegens het bestaan van een belangenconflict.

Gelet op het voorgaande dient op de eerste vraag te worden geantwoord dat artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat het zich niet verzet tegen een nationale regeling op grond waarvan een verwerkingsverantwoordelijke of een verwerker een DPO die bij hem in dienst is, alleen kan ontslaan om een gewichtige reden, ook al houdt het ontslag geen verband met de uitvoering van de taken van de betrokken DPO, mits die regeling de verwezenlijking van de doelstellingen van de AVG niet ondermijnt.

Belangenconflict functionaris gegevensbescherming: 

Gelet op de betekenis van deze woorden in de omgangstaal moet worden geoordeeld dat – overeenkomstig de doelstelling van artikel 38, lid 6, AVG – geen taken of plichten aan de DPO kunnen worden toevertrouwd die de uitvoering van zijn taken als DPO zouden kunnen belemmeren.  Wat deze doelstelling betreft, moet in de tweede plaats worden opgemerkt dat deze bepaling in wezen tot doel heeft de functionele onafhankelijkheid van de DPO te vrijwaren en aldus de doeltreffendheid van de bepalingen van de AVG te waarborgen. Wat in de derde plaats de context van artikel 38, lid 6, AVG betreft, moet worden opgemerkt dat de DPO volgens artikel 39, lid 1, onder b, AVG met name tot taak heeft toezicht te houden op de naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, daaronder begrepen de toewijzing van verantwoordelijkheden, de bewustmaking en de opleiding van het bij de verwerking betrokken personeel en de betreffende audits.

Aan een DPO kunnen geen taken of plichten  worden toevertrouwd die hem ertoe zouden brengen de doeleinden van en de middelen voor de verwerking van persoonsgegevens bij de verwerkingsverantwoordelijke of zijn verwerker vast te stellen. Overeenkomstig het Unierecht of het recht van de lidstaten inzake gegevensbescherming moet de DPO het toezicht op deze doeleinden en middelen immers onafhankelijk verrichten. Of er een belangenconflict in de zin van artikel 38, lid 6, AVG bestaat, moet van geval tot geval worden nagegaan op basis van een beoordeling van alle relevante omstandigheden, met name de organisatiestructuur van de verwerkingsverantwoordelijke of zijn verwerker, en in het licht van de toepasselijke regeling in haar geheel, daaronder begrepen het eventuele beleid van de verwerkingsverantwoordelijke of zijn verwerker.

Gelet op een en ander moet op de vierde prejudiciële vraag worden geantwoord dat artikel 38, lid 6, AVG aldus moet worden uitgelegd dat er van een ‘belangenconflict’ in de zin van die bepaling sprake kan zijn wanneer aan een DPO andere taken of plichten worden toevertrouwd die hem ertoe zouden brengen de doeleinden van en de middelen voor de verwerking van persoonsgegevens bij de verwerkingsverantwoordelijke of zijn verwerker vast te stellen. Het staat aan de nationale rechter om van geval tot geval na te gaan of dat zo is, op basis van een beoordeling van alle relevante omstandigheden, met name de organisatiestructuur van de verwerkingsverantwoordelijke of zijn verwerker, en in het licht van de toepasselijke regeling in haar geheel, daaronder begrepen het eventuele beleid van de verwerkingsverantwoordelijke of zijn verwerker.