–

za X-FAB Dresden GmbH & Co. KG S. Leesem, Rechtsanwalt,

–

za FC R. Buschmannem a T. Hellerem, Prozessbevollmächtigte,

–

za německou vládu J. Möllerem, D. Klebsem a P.-L. Krügerem, jako zmocněnci,

–

za Evropský parlament O. Hrstkovou Šolcovou a B. Schäfer, jako zmocněnkyněmi,

–

za Radu Evropské unie T. Haas a K. Pleśniakem, jako zmocněnci,

–

za Evropskou komisi A. Bouchagiarem, K. Herrmann a H. Kranenborgem, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu a platnosti čl. 38 odst. 3 druhé věty nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1 a oprava Úř. věst. 2018, L 127, s. 2, dále jen „GDPR“), jakož i výkladu čl. 38 odst. 6 tohoto nařízení.

2

Tato žádost byla předložena v rámci sporu mezi společností X-FAB Dresden GmbH & Co. KG (dále jen „X-FAB“) a FC, jejím zaměstnancem, ve věci odvolání FC z funkce pověřence pro ochranu osobních údajů (dále jen „pověřenec“), o němž rozhodla společnost X-FAB.

3

Body 10 a 97 odůvodnění GDPR zní:

[…]

4

Článek 37 GDPR, nadepsaný „Jmenování [pověřence]“, v odstavcích 5 a 6 stanoví:

„5.   [Pověřenec] musí být jmenován na základě svých profesních kvalit, zejména na základě svých odborných znalostí práva a praxe v oblasti ochrany údajů a své schopnosti plnit úkoly stanovené v článku 39.

6.   [Pověřenec] může být pracovníkem správce či zpracovatele, nebo může úkoly plnit na základě smlouvy o poskytování služeb.“

5

Článek 38 GDPR, nadepsaný „Postavení [pověřence]“, v odstavcích 3, 5 a 6 stanoví:

„3.   Správce a zpracovatel zajistí, aby [pověřenec] nedostával žádné pokyny týkající se výkonu těchto úkolů. V souvislosti s plněním svých úkolů není správcem nebo zpracovatelem propuštěn ani sankcionován. [Pověřenec] je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele.

[…]

5.   [Pověřenec] je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností, v souladu s právem Unie nebo členského státu.

6.   [Pověřenec] může plnit i jiné úkoly a povinnosti. Správce nebo zpracovatel zajistí, aby žádné z těchto úkolů a povinností nevedly ke střetu zájmů.“

6

Článek 39 GDPR, nadepsaný „Úkoly [pověřence]“, zní následovně:

„1.   [Pověřenec] vykonává alespoň tyto úkoly:

2.   [Pověřenec] bere při plnění svých úkolů patřičný ohled na riziko spojené s operacemi zpracování a současně přihlíží k povaze, rozsahu, kontextu a účelům zpracování.“

7

Ustanovení § 6 Bundesdatenschutzgesetz (spolkový zákon o ochraně osobních údajů) ze dne 20. prosince 1990 (BGBl. 1990 I, s. 2954), ve znění účinném od 25. května 2018 do 25. listopadu 2019 (BGBl. 2017 I, s. 2097) (dále jen „BDSG“), nadepsané „Postavení“, v odstavci 4 stanoví:

„Odvolání [pověřence] je přípustné pouze za podmínek vyplývajících z obdobného použití § 626 Bürgerliches Gesetzbuch [(občanský zákoník), ve znění zveřejněném dne 2. ledna 2002 (BGBl. 2002 I, s. 42 a opravy BGBl. 2002 I, s. 2909, a BGBl. 2003 I, s. 738)]. Propuštění [pověřence] je nepřípustné, pokud nenastaly skutečnosti, které veřejný subjekt opravňují k propuštění ze závažného důvodu bez dodržení výpovědní doby. Po skončení výkonu činnosti pověřence pro ochranu osobních údajů je propuštění po dobu jednoho roku nepřípustné, pokud veřejný subjekt není oprávněn k propuštění ze závažného důvodu bez dodržení výpovědní doby.“

8

Ustanovení § 38 BDSG, nadepsané „[Pověřenci] neveřejných subjektů“, stanoví:

„(1)   Kromě případů uvedených v čl. 37 odst. 1 písm. b) a c) [GDPR] správce a zpracovatel jmenují [pověřence] v případě, že zpravidla soustavně zaměstnávají nejméně deset osob automatizovaným zpracováním osobních údajů. […]

(2)   Ustanovení § 6 odst. 4, odst. 5 druhé věty a §6 odst. 6 se použijí, ustanovení § 6 odst. 4 se však pouze v případě, že je jmenování [pověřence] povinné.“

9

Ustanovení § 626 občanského zákoníku, nadepsané „Okamžitá výpověď ze závažného důvodu“, stanoví:

„(1)   Pracovní poměr může být každou ze smluvních stran ukončen ze závažného důvodu bez dodržení výpovědní doby, pokud nastaly skutečnosti, na jejichž základě nelze od osoby dávající výpověď s přihlédnutím ke všem okolnostem daného případu a při zvážení zájmů obou smluvních stran požadovat pokračování pracovního poměru až do uplynutí výpovědní doby nebo do sjednaného konce pracovního poměru.

(2)   K výpovědi může dojít pouze do dvou týdnů. Uvedená lhůta začíná běžet okamžikem, kdy se osoba oprávněná dát výpověď dozví o skutečnostech, které jsou pro výpověď rozhodné. […]“

10

FC je od 1. listopadu 1993 zaměstnán u společnosti X-FAB.

11

V této společnosti vykonává funkci předsedy podnikové rady a z tohoto důvodu je částečně uvolněn z práce. Kromě toho zastává funkci místopředsedy ústřední podnikové rady, která byla zřízena pro tři podniky skupiny společností, k níž patří společnost X-FAB, které mají sídlo v Německu.

12

S účinností k 1. červnu 2015 byl žalobce společností X-FAB a její mateřskou společností, jakož i dalšími jejími dceřinými společnostmi usazenými v Německu ustanoven pověřencem, a to každou zvlášť. Podle předkládajícího soudu bylo cílem tohoto souběžného ustanovení FC pověřencem všech těchto podniků dosažení jednotného standardu ochrany údajů v uvedených podnicích.

13

Na žádost pověřence pro ochranu osobních údajů a svobodu informací Durynska (Německo) společnost X-FAB a podniky uvedené v bodě 12 tohoto rozsudku odvolaly s okamžitým účinkem prostřednictvím dopisů ze dne 1. prosince 2017 FC z funkce pověřence. Samostatnými dopisy ze dne 25. května 2018 zopakovaly tyto podniky pro všechny případy svůj postup na základě čl. 38 odst. 3 druhé věty GDPR, který se mezitím stal účinným, přičemž se dovolávaly důvodů souvisejících se skupinou společností, k níž patří společnost X-FAB.

14

Žaloba podaná FC k německým soudům směřuje k určení, že je stále pověřencem společnosti X-FAB. Společnost X-FAB tvrdí, že existuje nebezpečí střetu zájmů, vykonává-li FC současně funkci pověřence a předsedy podnikové rady, a to z důvodu, že tyto dvě pozice jsou neslučitelné. V důsledku toho existuje vážný důvod pro to, aby byl FC odvolán z funkce pověřence.

15

Soud prvního stupně a odvolací soud žalobě podané FC vyhověly. Společnost X-FAB se prostřednictvím opravného prostředku „Revision“, který podala k předkládajícímu soudu Bundesarbeitsgericht (Spolkový pracovněprávní soud, Německo), domáhá zamítnutí této žaloby.

16

Předkládající soud uvádí, že výsledek tohoto opravného prostředku závisí na výkladu unijního práva. Konkrétně vyvstává otázka, zda čl. 38 odst. 3 druhá věta GDPR brání tomu, aby právní úprava členského státu podmínila odvolání pověřence přísnějšími podmínkami, než které stanoví unijní právo, a pokud ano, zda toto ustanovení spočívá na dostatečném právním základě. V případě, že by měl Soudní dvůr za to, že podmínky, na které BDSG váže odvolání, jsou v souladu s unijním právem, je třeba určit, zda funkce předsedy podnikové rady a pověřence může vykonávat jedna a tatáž osoba, nebo zda to vede ke střetu zájmů ve smyslu čl. 38 odst. 6 druhé věty GDPR.

17

Za těchto podmínek se Bundesarbeitsgericht (Spolkový pracovněprávní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

V případě kladné odpovědi na první otázku:

V případě kladné odpovědi na první otázku:

V případě záporné odpovědi na první otázku:

18

Podstatou první otázky předkládajícího soudu je, zda čl. 38 odst. 3 druhá věta GDPR musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě, jež stanoví, že správce nebo zpracovatel může odvolat pověřence, který je jeho zaměstnancem, pouze ze závažného důvodu, i když odvolání nesouvisí s výkonem úkolů tohoto pověřence.

19

Jak vyplývá z ustálené judikatury, pro výklad ustanovení unijního práva je třeba vzít v úvahu nejen jeho znění v souladu s jeho obvyklým významem v běžném jazyce, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí (rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 18 a citovaná judikatura).

20

V prvním sledu, pokud jde o znění dotčeného ustanovení, je třeba uvést, že čl. 38 odst. 3 GDPR ve své druhé větě stanoví, že „[v] souvislosti s plněním svých úkolů není [pověřenec] správcem nebo zpracovatelem propuštěn ani sankcionován“.

21

V tomto ohledu Soudní dvůr v rozsudku ze dne 22. června 2022, Leistritz (C‑534/20, EU:C:2022:495, body 20 a 21), poté, co konstatoval, že GDPR nedefinuje pojmy „propuštěn“, „sankcionován“ a „v souvislosti s plněním svých úkolů“, které jsou uvedeny v čl. 38 odst. 3 druhé větě, zaprvé zdůraznil, že podle významu, který tyto výrazy mají v běžném jazyce, skutečnost, že správce nebo zpracovatel má zakázáno pověřence propustit nebo sankcionovat, znamená, že tento pověřenec musí být chráněn před jakýmkoliv rozhodnutím, kterým by byl ukončen výkon jeho funkce, které by mu způsobovalo újmu, nebo které by představovalo sankci.

22

Takové rozhodnutí přitom může představovat odvolání pověřence, které by bylo přijato jeho zaměstnavatelem a mělo by za následek, že pověřenec bude správcem nebo zpracovatelem propuštěn.

23

Zadruhé, jak rovněž uvedl Soudní dvůr, čl. 38 odst. 3 druhá věta GDPR se podle čl. 37 odst. 6 GDPR vztahuje bez rozdílu jak na pověřence, který je pracovníkem správce či zpracovatele, tak i na pověřence, jenž plní své úkoly na základě smlouvy o poskytování služeb uzavřené se správcem nebo zpracovatelem, takže se tento čl. 38 odst. 3 druhá věta GDPR vztahuje na vztahy mezi pověřencem a správcem nebo zpracovatelem, nezávisle na povaze pracovní vazby mezi nimi (rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, body 23 a 24).

24

Zatřetí posledně uvedené ustanovení stanoví mez, která spočívá v zákazu propuštění pověřence z jakéhokoli důvodu souvisejícího s plněním jeho úkolů, ke kterým podle čl. 39 odst. 1 písm. b) GDPR patří zejména kontrola dodržování ustanovení unijního práva nebo práva členských států v oblasti ochrany osobních údajů, jakož i interních pravidel správce nebo zpracovatele v oblasti ochrany osobních údajů. (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 25).

25

V druhém sledu, pokud jde o cíl sledovaný čl. 38 odst. 3 druhou větou GDPR, uvádí zaprvé bod 97 odůvodnění GDPR, že pověřenci bez ohledu na to, zda se jedná o zaměstnance správce, by měli být schopni plnit své povinnosti a úkoly nezávislým způsobem. V tomto ohledu jim takováto nezávislost musí nutně umožnit plnění těchto úkolů v souladu s cílem GDPR, kterým je, jak vyplývá z bodu 10 jeho odůvodnění, zejména zajistit vysokou úroveň ochrany fyzických osob v Unii, a za tím účelem zajistit v celé Unii soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod těchto osob v souvislosti se zpracováváním osobních údajů (rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 26 a citovaná judikatura).

26

Zadruhé cíl zaručit funkční nezávislost pověřence, který vyplývá z čl. 38 odst. 3 druhé věty GDPR, vyplývá rovněž z čl. 38 odst. 3 první a třetí věty, které stanoví, že tento pověřenec nedostává žádné pokyny týkající se výkonu jeho úkolů, a je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele, jakož i z uvedeného čl. 38 odst. 5, který stanoví, že uvedený pověřenec je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností (rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 27).

27

Článek 38 odst. 3 druhá věta GDPR, který chrání pověřence před jakýmkoliv rozhodnutím, jímž by byl ukončen výkon jeho funkce, které by mu způsobovalo újmu, nebo by představovalo sankci, pokud by souviselo s výkonem jeho úkolů, proto musí být považován za ustanovení, jehož hlavním cílem je zachovat funkční nezávislost pověřence a tím zaručit účinnost ustanovení GDPR (rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 28).

28

Jak Soudní dvůr rovněž rozhodl, tento výklad je ve třetím sledu potvrzen kontextem, do něhož uvedené ustanovení zapadá, a zejména právním základem, na jehož základě unijní normotvůrce GDPR přijal (rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 29).

29

Z preambule GDPR totiž vyplývá, že toto nařízení bylo přijato na základě článku 16 SFEU, jehož odstavec 2 zejména stanoví, že Evropský parlament a Rada Evropské unie přijmou řádným legislativním postupem pravidla o ochraně fyzických osob při zpracovávání osobních údajů orgány, institucemi a jinými subjekty Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů (rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 30).

30

V tomto ohledu stanovení pravidel o ochraně pověřence zaměstnaného správcem nebo zpracovatelem před odvoláním spadá pod ochranu fyzických osob při zpracování osobních údajů pouze v rozsahu, v němž taková pravidla směřují k zachování funkční nezávislosti pověřence v souladu s čl. 38 odst. 3 druhou větou GDPR (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 31).

31

Z toho vyplývá, že každý členský stát může při výkonu své pravomoci stanovit zvláštní ochranná ustanovení v oblasti odvolávání pověřence, pokud jsou tato ustanovení slučitelná s unijním právem, a zejména s ustanoveními GDPR, především s jeho čl. 38 odst. 3 druhou větou (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 34).

32

Takováto zvýšená ochrana zejména nesmí ohrozit dosažení cílů GDPR. Tak by tomu přitom bylo tehdy, pokud by tato ochrana bránila jakémukoli odvolání ze strany správce nebo zpracovatele pověřence, který by již neměl profesní kvality vyžadované pro výkon jeho úkolů v souladu s čl. 37 odst. 5 GDPR nebo by tyto úkoly neplnil v souladu s ustanoveními tohoto nařízení (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 35).

33

V tomto ohledu je třeba připomenout, jak bylo uvedeno v bodě 25 tohoto rozsudku, že GDPR má zajistit vysokou úroveň ochrany fyzických osob v Unii, pokud jde o zpracování jejich osobních údajů, a pro dosažení tohoto cíle musí být pověřenec schopen plnit své povinnosti a úkoly nezávislým způsobem.

34

Zvýšená ochrana pověřence, která by bránila jakémukoli odvolání pověřence v případě, že by již nemohl plnit své povinnosti a úkoly nezávislým způsobem z důvodu střetu zájmů, by tak ohrozila dosažení tohoto cíle.

35

Je na vnitrostátním soudu, aby se ujistil, že taková zvláštní ustanovení, jako jsou ustanovení uvedená v bodě 31 tohoto rozsudku, jsou slučitelná s unijním právem a zejména s ustanoveními GDPR.

36

S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět, že čl. 38 odst. 3 druhá věta GDPR musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, jež stanoví, že správce nebo zpracovatel může odvolat pověřence, který je jeho zaměstnancem, pouze ze závažného důvodu, i když odvolání nesouvisí s výkonem úkolů tohoto pověřence, pokud tato právní úprava neohrožuje dosažení cílů GDPR.

37

S ohledem na odpověď podanou na první otázku není důvodné odpovídat na druhou a třetí otázku.

38

Podstatou čtvrté otázky předkládajícího soudu je, za jakých podmínek lze konstatovat existenci „střetu zájmů“ ve smyslu čl. 38 odst. 6 GDPR.

39

Pokud jde v první řadě o znění dotčeného ustanovení, je třeba uvést, že podle čl. 38 odst. 6 GDPR „[Pověřenec] může plnit i jiné úkoly a povinnosti. Správce nebo zpracovatel zajistí, aby žádné z těchto úkolů a povinností nevedly ke střetu zájmů.“

40

Ze znění tohoto ustanovení tak zaprvé vyplývá, že GDPR nestanoví zásadní neslučitelnost výkonu funkce pověřence s výkonem jiných funkcí u správce nebo zpracovatele. Článek 38 odst. 6 tohoto nařízení totiž konkrétně stanoví, že pověřenec může plnit i jiné úkoly a povinnosti, než jsou ty, které mu ukládá článek 39 GDPR.

41

Zadruhé však správce nebo zpracovatel musí zajistit, aby žádné z těchto úkolů a povinností nevedly ke „střetu zájmů“. S ohledem na význam těchto výrazů v běžném jazyce je třeba mít za to, že v souladu s cílem sledovaným čl. 38 odst. 6 GDPR nelze pověřenci svěřit plnění úkolů nebo povinností, které by mohly narušit plnění povinností, které plní jako pověřenec.

42

Pokud jde o tento cíl, je třeba v druhé řadě uvést, že toto ustanovení směřuje, stejně jako ostatní ustanovení uvedená v bodě 25 tohoto rozsudku, především k zachování funkční nezávislosti pověřence, a tudíž k zajištění účinnosti ustanovení GDPR.

43

V třetí řadě, pokud jde o kontext, do něhož spadá čl. 38 odst. 6 GDPR, je třeba uvést, že podle čl. 39 odst. 1 písm. b) GDPR je úkolem pověřence zejména monitorování souladu s GDPR, dalšími předpisy Unie nebo členských států v oblasti ochrany údajů a s koncepcemi správce nebo zpracovatele v oblasti ochrany osobních údajů, včetně rozdělení odpovědnosti, zvyšování povědomí a odborné přípravy pracovníků zapojených do operací zpracování a souvisejících auditů.

44

Z toho zejména vyplývá, že pověřenec nemůže plnit úkoly nebo povinnosti, které by ho vedly k určování účelů a prostředků zpracování osobních údajů u správce nebo zpracovatele. V souladu s unijním právem nebo s právem členských států v oblasti ochrany osobních údajů musí být totiž kontrola těchto účelů a prostředků vykonávána nezávisle pověřencem.

45

Určení existence střetu zájmů ve smyslu čl. 38 odst. 6 GDPR musí být provedeno případ od případu na základě posouzení všech relevantních okolností, zejména organizační struktury správce nebo zpracovatele, a ve světle veškeré použitelné právní úpravy, včetně případných vnitřních pravidel tohoto správce či zpracovatele.

46

S ohledem na všechny výše uvedené úvahy je třeba na čtvrtou otázku odpovědět tak, že čl. 38 odst. 6 GDPR musí být vykládán v tom smyslu, že „střet zájmů“ ve smyslu tohoto ustanovení může nastat, pokud jsou pověřenci svěřeny jiné úkoly nebo povinnosti, které by vedly k tomu, že by tento pověřenec určoval účely a prostředky zpracování osobních údajů u správce nebo zpracovatele, což musí vnitrostátní soud určit případ od případu na základě posouzení všech relevantních okolností, zejména organizační struktury správce nebo zpracovatele, a ve světle veškeré použitelné právní úpravy, včetně případných interních pravidel tohoto správce či zpracovatele.

47

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (šestý senát) rozhodl takto: