–

pentru Leistritz AG, de O. Seeling și C. Wencker, Rechtsanwälte;

–

pentru LH, de S. Lohneis, Rechtsanwalt;

–

pentru guvernul german, de J. Möller și S. K. Costanzo, în calitate de agenți;

–

pentru guvernul român, de E. Gane, în calitate de agent;

–

pentru Parlamentul European, de O. Hrstková Šolcová, P. López‑Carceller și B. Schäfer, în calitate de agenți;

–

pentru Consiliul Uniunii Europene, de T. Haas și K. Pleśniak, în calitate de agenți;

–

pentru Comisia Europeană, de K. Herrmann, H. Kranenborg și D. Nardi, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea și validitatea articolului 38 alineatul (3) a doua teză din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare JO 2018, L 127, p. 2, denumit în continuare „RGPD”).

2

Această cerere a fost formulată în cadrul unui litigiu între Leistritz AG, pe de o parte, și LH, pe de altă parte, care exercita funcția de responsabilă cu protecția datelor în cadrul acestei societăți, în legătură cu încetarea contractului său de muncă pentru motivul reorganizării serviciilor respectivei societăți.

3

În considerentele (10) și (97) ale RGPD se afirmă:

[…]

4

Articolul 37 din RGPD, intitulat „Desemnarea responsabilului cu protecția datelor”, are următorul cuprins:

„(1)   Operatorul și persoana împuternicită de operator desemnează un responsabil cu protecția datelor ori de câte ori:

[…]

(6)   Responsabilul cu protecția datelor poate fi un membru al personalului operatorului sau persoanei împuternicite de operator sau poate să își îndeplinească sarcinile în baza unui contract de servicii.

[…]”

5

Articolul 38 din RGPD, intitulat „Funcția responsabilului cu protecția datelor”, prevede la alineatele (3) și (5):

„(3)   Operatorul și persoana împuternicită de operator se asigură că responsabilul cu protecția datelor nu primește niciun fel de instrucțiuni în ceea ce privește îndeplinirea acestor sarcini. Acesta nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale. Responsabilul cu protecția datelor răspunde direct în fața celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator.

[…]

(5)   Responsabilul cu protecția datelor are obligația de a respecta secretul sau confidențialitatea în ceea ce privește îndeplinirea sarcinilor sale, în conformitate cu dreptul Uniunii sau cu dreptul intern.”

6

Articolul 39 din RGPD, intitulat „Sarcinile responsabilului cu protecția datelor”, prevede la alineatul (1) litera (b):

„Responsabilul cu protecția datelor are cel puțin următoarele sarcini:

[…]

[…]”

7

Articolul 6 din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 20 decembrie 1990 (BGBl. 1990 I, p. 2954), în versiunea în vigoare între 25 mai 2018 și 25 noiembrie 2019 (BGBl. 2017 I, p. 2097) (denumit în continuare „BDSG”), intitulat „Funcția”, prevede la alineatul (4):

„Demiterea responsabilului cu protecția datelor este autorizată numai cu aplicarea prin analogie a articolului 626 din Bürgerliches Gesetzbuch [(Codul civil), în versiunea publicată la 2 ianuarie 2002 (BGBl. 2002 I, p. 42, rectificare în BGBl. 2002 I, p. 2909, și în BGBl. 2003 I, p. 738)]. Rezilierea raportului de muncă este interzisă, cu excepția cazului în care există elemente de fapt care îndreptățesc autoritatea publică să procedeze la concediere pentru un motiv grav, fără respectarea unui termen de preaviz. După sfârșitul activității în calitate de responsabil cu protecția datelor, rezilierea raportului de muncă este interzisă pentru o durată de un an, cu excepția cazului în care autoritatea publică este îndreptățită să procedeze la concedierea pentru un motiv grav, fără respectarea unui termen de preaviz.”

8

Articolul 38 din BDSG, intitulat „Responsabilul cu protecția datelor al unor entități private”, prevede:

„(1)   În completarea articolului 37 alineatul (1) literele (b) și (c) din [RGPD], operatorul și persoana împuternicită de operator desemnează un responsabil cu protecția datelor, dacă aceștia au în permanență, în mod obișnuit, cel puțin 10 angajați pentru prelucrarea automată a datelor cu caracter personal. […]

(2)   Dispozițiile articolului 6 alineatul (4), alineatul (5) a doua teză și alineatul (6) se aplică; totuși, dispozițiile articolului 6 alineatul (4) nu se aplică decât atunci când desemnarea unui responsabil cu protecția datelor este obligatorie.”

9

Articolul 134 din Codul civil, în versiunea publicată la 2 ianuarie 2002 (denumit în continuare „Codul civil”), intitulat „Interdicție legală”, are următorul cuprins:

„Un act juridic care încalcă o interdicție stabilită de lege este nul atunci când legea nu prevede altfel.”

10

Articolul 626 din Codul civil, intitulat „Reziliere pentru un motiv grav fără preaviz”, prevede:

„(1)   Contractul de muncă poate fi reziliat de orice parte contractantă pentru un motiv grav, fără a respecta un termen de preaviz, dacă există elemente de fapt pe baza cărora, ținând seama de toate împrejurările speței și prin evaluarea comparativă a intereselor celor două părți contractante, nu se poate impune ca partea care reziliază să continue raportul de muncă până la expirarea termenului de preaviz sau până la încetarea convenită a raportului de muncă.

(2)   Rezilierea poate avea loc numai în termen de două săptămâni. Termenul începe să curgă din momentul în care partea autorizată să rezilieze contractul a luat cunoștință de faptele pertinente pentru reziliere. […]”

11

Leistritz este o societate de drept privat, obligată în temeiul dreptului german să desemneze un responsabil cu protecția datelor. LH a exercitat în cadrul acestei societăți funcțiile de „șefă a Serviciului juridic” începând cu 15 ianuarie 2018 și de responsabilă cu protecția datelor începând cu 1 februarie 2018.

12

Printr‑o scrisoare din 13 iulie 2018, Leistritz a concediat‑o pe LH cu preaviz, începând cu 15 august 2018, invocând o măsură de restructurare a societății, în cadrul căreia au fost externalizate activitatea internă de consiliere juridică și serviciul de protecție a datelor.

13

Instanțele de fond sesizate de LH cu contestarea validității concedierii sale au hotărât că această concediere era nelegală deoarece, în conformitate cu articolul 38 alineatul (2) coroborat cu articolul 6 alineatul (4) a doua teză din BDSG, LH, în calitate de responsabilă cu protecția datelor, putea fi concediată fără preaviz numai pentru un motiv grav. Or, măsura de restructurare descrisă de Leistritz nu ar constitui un astfel de motiv.

14

Instanța de trimitere, sesizată cu recursul formulat de Leistritz, arată că, potrivit dreptului german, concedierea lui LH este nulă, în conformitate cu aceste dispoziții și cu articolul 134 din Codul civil. Ea remarcă totodată că aplicabilitatea articolului 38 alineatul (2) și a articolului 6 alineatul (4) a doua teză din BDSG depinde de aspectul dacă dreptul Uniunii, în special articolul 38 alineatul (3) a doua teză din RGPD, autorizează o reglementare a unui stat membru care supune concedierea unui responsabil cu protecția datelor unor condiții mai stricte decât cele prevăzute de dreptul Uniunii. În cazul unui răspuns negativ, instanța de trimitere ar fi obligată să admită recursul.

15

Instanța de trimitere precizează că îndoielile sale sunt determinate în special de existența unei divergențe în doctrina națională. Pe de o parte, opinia majoritară consideră că protecția specială împotriva concedierii prevăzută de dispozițiile coroborate ale articolului 38 alineatul (2) și ale articolului 6 alineatul (4) a doua teză din BDSG constituie o normă materială de dreptul muncii în privința căreia Uniunea nu dispune de competență legislativă, astfel încât dispozițiile menționate nu ar fi contrare articolului 38 alineatul (3) a doua teză din RGPD. Pe de altă parte, potrivit susținătorilor opiniei minoritare, legăturile dintre această protecție și funcția de responsabil cu protecția datelor intră în conflict cu dreptul Uniunii și determină o presiune economică de a menține în funcție pe termen lung un responsabil cu protecția datelor odată ce a fost desemnat.

16

În aceste condiții, Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

17

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 38 alineatul (3) a doua teză din RGPD trebuie interpretat în sensul că se opune unei reglementări naționale care prevede că un operator sau o persoană împuternicită de operator poate concedia un responsabil cu protecția datelor care este membru al personalului său numai pentru un motiv grav, chiar dacă concedierea nu are legătură cu îndeplinirea sarcinilor acestui responsabil.

18

Astfel cum reiese dintr‑o jurisprudență constantă, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de formularea acesteia în conformitate cu sensul său obișnuit în limbajul curent, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție (Hotărârea din 22 februarie 2022, Stichting Rookpreventie Jeugd și alții, C‑160/20, EU:C:2022:101, punctul 29, precum și jurisprudența citată).

19

În primul rând, în ceea ce privește modul de redactare a dispoziției în cauză, trebuie amintit că articolul 38 alineatul (3) din RGPD prevede în a doua teză că „[r]esponsabilul cu protecția datelor nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale”.

20

Este necesar să se arate de la bun început că RGPD nu definește termenii „demis”, „sancționat” și „pentru îndeplinirea sarcinilor sale”, care figurează la acest articol 38 alineatul (3) a doua teză.

21

În aceste condiții, primo, în conformitate cu sensul acestor termeni în limbajul curent, interdicția impusă operatorului sau persoanei împuternicite de operator de a demite responsabilul cu protecția datelor din funcție sau de a‑l sancționa înseamnă, astfel cum a arătat avocatul general în esență la punctele 24 și 26 din concluzii, că acest responsabil trebuie protejat împotriva oricărei decizii prin care i‑ar înceta funcția, prin care ar suferi un dezavantaj sau care ar constitui o sancțiune.

22

În acest sens, poate constitui o asemenea decizie măsura de concediere a unui responsabil cu protecția datelor care ar fi luată de angajatorul său și care ar pune capăt raportului de muncă existent între acest responsabil și respectivul angajator, precum și, prin urmare, și funcției de responsabil cu protecția datelor în cadrul întreprinderii în cauză.

23

Secundo, trebuie să se constate că articolul 38 alineatul (3) a doua teză din RGPD se aplică fără distincție atât responsabilului cu protecția datelor care este membru al personalului operatorului sau al persoanei împuternicite de operator, cât și celui care își exercită sarcinile pe baza unui contract de prestări de servicii încheiat cu aceștia din urmă, în conformitate cu articolul 37 alineatul (6) din RGPD.

24

Rezultă că articolul 38 alineatul (3) a doua teză din RGPD are vocația de a se aplica raporturilor dintre un responsabil cu protecția datelor și un operator sau o persoană împuternicită de operator, indiferent de natura raportului de muncă dintre respectivul responsabil și aceștia.

25

Tertio, trebuie arătat că această dispoziție stabilește o limită care constă, după cum a subliniat avocatul general în esență la punctul 29 din concluzii, în a interzice concedierea unui responsabil cu protecția datelor pentru un motiv întemeiat pe îndeplinirea sarcinilor sale, care cuprind în special, în temeiul articolului 39 alineatul (1) litera (b) din RGPD, monitorizarea respectării dispozițiilor de drept al Uniunii sau de drept intern în materie de protecție a datelor, precum și a normelor interne ale operatorului sau ale persoanei împuternicite de operator în materie de protecție a datelor cu caracter personal.

26

În al doilea rând, în ceea ce privește obiectivul urmărit de articolul 38 alineatul (3) a doua teză din RGPD, este necesar să se sublinieze, primo, că considerentul (97) al acestui regulament prevede că responsabilii cu protecția datelor, indiferent dacă sunt sau nu sunt angajați ai operatorului, ar trebui să fie în măsură să își exercite atribuțiile și sarcinile în mod independent. În acest sens, o asemenea independență trebuie să le permită în mod necesar să își exercite aceste sarcini în conformitate cu obiectivul RGPD, care urmărește în special, astfel cum reiese din considerentul (10) al acestuia, să asigure un nivel ridicat de protecție a persoanelor fizice în cadrul Uniunii și, în acest scop, să asigure o aplicare consecventă și omogenă a normelor în materie de protecție a libertăților și a drepturilor fundamentale ale acestor persoane în ceea ce privește prelucrarea datelor cu caracter personal în întreaga Uniune (Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții, C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 207, precum și jurisprudența citată).

27

Secundo, obiectivul care urmărește să garanteze independența funcțională a responsabilului cu protecția datelor, astfel cum decurge din articolul 38 alineatul (3) a doua teză din RGPD, rezultă și din acest articol 38 alineatul (3) prima și a treia teză, care impune ca responsabilul respectiv să nu primească niciun fel de instrucțiuni în ceea ce privește îndeplinirea sarcinilor sale și să răspundă direct în fața celui mai înalt nivel al conducerii operatorului sau al persoanei împuternicite de operator, precum și din articolul 38 alineatul (5), care prevede, în ceea ce privește îndeplinirea sarcinilor, că respectivul responsabil are obligația de a respecta secretul profesional sau confidențialitatea.

28

Așadar, trebuie să se considere că articolul 38 alineatul (3) a doua teză din RGPD, prin faptul că protejează responsabilul cu protecția datelor împotriva oricărei decizii prin care i‑ar înceta funcția, prin care ar suferi un dezavantaj sau care ar constitui o sancțiune, atunci când o asemenea decizie ar avea legătură cu îndeplinirea sarcinilor sale, urmărește în esență să protejeze independența funcțională a responsabilului cu protecția datelor și, prin urmare, să garanteze efectivitatea dispozițiilor RGPD. În schimb, această dispoziție nu are ca obiect reglementarea globală a raporturilor de muncă dintre un operator sau o persoană împuternicită de operator și membrii personalului său, care pot fi afectați numai în mod incident, în măsura strict necesară atingerii acestor obiective.

29

Această interpretare este confirmată, în al treilea rând, de contextul în care se înscrie dispoziția menționată și în special de temeiul juridic reținut de legiuitorul Uniunii la adoptarea RGPD.

30

Astfel, din preambulul RGPD reiese că acesta a fost adoptat în temeiul articolului 16 TFUE, al cărui alineat (2) prevede, printre altele, că Parlamentul European și Consiliul Uniunii, hotărând în conformitate cu procedura legislativă ordinară, stabilesc normele referitoare, pe de o parte, la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii, precum și de către statele membre în exercitarea activităților care fac parte din domeniul de aplicare a dreptului Uniunii, precum și, pe de altă parte, la libera circulație a acestor date.

31

În schimb, în afara protecției specifice a responsabilului cu protecția datelor prevăzute la articolul 38 alineatul (3) a doua teză din RGPD, stabilirea unor norme referitoare la protecția împotriva concedierii unui responsabil cu protecția datelor angajat de un operator sau de o persoană împuternicită de operator nu ține nici de protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, nici de libera circulație a acestor date, ci intră în domeniul politicii sociale.

32

În această privință trebuie amintit, pe de o parte, că, în temeiul articolului 4 alineatul (2) litera (b) TFUE, Uniunea și statele membre dispun în domeniul politicii sociale, pentru aspectele definite în Tratatul FUE, de o competență partajată, în sensul articolului 2 alineatul (2) TFUE. Pe de altă parte, după cum precizează articolul 153 alineatul (1) litera (d) TFUE, Uniunea susține și completează acțiunea statelor membre în domeniul protecției lucrătorilor în caz de reziliere a contractului de muncă (a se vedea prin analogie Hotărârea din 19 noiembrie 2019, TSN și AKT, C‑609/17 și C‑610/17, EU:C:2019:981, punctul 47).

33

În aceste condiții, astfel cum rezultă din articolul 153 alineatul (2) litera (b) TFUE, Parlamentul și Consiliul pot adopta, prin intermediul directivelor, recomandări minime în acest sens, asemenea recomandări minime neputând, potrivit jurisprudenței Curții, din perspectiva articolului 153 alineatul (4) TFUE, să împiedice un stat membru să mențină sau să adopte măsuri de protecție mai stricte, compatibile cu tratatele (a se vedea în acest sens Hotărârea din 19 noiembrie 2019, TSN și AKT, C‑609/17 și C‑610/17, EU:C:2019:981, punctul 48).

34

Rezultă, după cum a subliniat avocatul general în esență la punctul 44 din concluzii, că fiecare stat membru este liber, în exercitarea competenței care îi este rezervată, să prevadă dispoziții speciale mai protective în materie de concediere a responsabilului cu protecția datelor, cu condiția ca aceste dispoziții să fie compatibile cu dreptul Uniunii și în special cu dispozițiile RGPD, mai precis cu articolul 38 alineatul (3) a doua teză din acesta.

35

În special, astfel cum a arătat avocatul general la punctele 50 și 51 din concluzii, o asemenea protecție sporită nu trebuie să compromită atingerea obiectivelor RGPD. Or, acesta s‑ar întâmpla dacă dispozițiile speciale ar împiedica orice concediere de către un operator sau de către o persoană împuternicită a unui responsabil cu protecția datelor care nu ar mai avea calitățile profesionale necesare pentru a‑și îndeplini sarcinile sau care nu le‑ar îndeplini în conformitate cu dispozițiile RGPD.

36

Având în vedere considerațiile care precedă, este necesar să se răspundă la prima întrebare că articolul 38 alineatul (3) a doua teză din RGPD trebuie interpretat în sensul că nu se opune unei reglementări naționale care prevede că un operator sau o persoană împuternicită de operator poate concedia un responsabil cu protecția datelor care este membru al personalului său numai pentru un motiv grav, chiar dacă concedierea nu are legătură cu îndeplinirea sarcinilor acestui responsabil, cu condiția ca o astfel de reglementare să nu compromită atingerea obiectivelor RGPD.

37

Având în vedere răspunsul dat la prima întrebare, nu este necesar să se răspundă la a doua și la a treia întrebare.

38

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară:

Articolul 38 alineatul (3) a doua teză din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretat în sensul că nu se opune unei reglementări naționale care prevede că un operator sau o persoană împuternicită de operator poate concedia un responsabil cu protecția datelor care este membru al personalului său numai pentru un motiv grav, chiar dacă concedierea nu are legătură cu îndeplinirea sarcinilor acestui responsabil, cu condiția ca o astfel de reglementare să nu compromită atingerea obiectivelor regulamentul menționat.