Hotărârea Curții (Camera a șasea) din 9 februarie 2023.#X-FAB Dresden GmbH & Co. KG împotriva FC.#Cerere de decizie preliminară formulată de Bundesarbeitsgericht.#Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 38 alineatul (3) – Responsabil cu protecția datelor – Interzicerea demiterii pentru îndeplinirea sarcinilor sale – Cerința independenței funcționale – Reglementare națională care interzice demiterea din funcție a unui responsabil cu protecția datelor în lipsa unui motiv grav – Articolul 38 alineatul (6) – Conflict de interese – Criterii.#Cauza C-453/21.

Cererea de decizie preliminară privește interpretarea și validitatea articolului 38 alineatul (3) a doua teză din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”), precum și interpretarea articolului 38 alineatul (6) din acest regulament.

Această cerere a fost formulată în cadrul unui litigiu între X‑FAB Dresden GmbH & Co. KG (denumită în continuare „X‑FAB”), pe de o parte, și FC, angajatul său, pe de altă parte, cu privire la revocarea acestuia din urmă din funcția de responsabil cu protecția datelor (denumit în continuare „RPD”), pronunțată de X‑FAB.

Considerentele (10) și (97) ale RGPD au următorul cuprins: „(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. […] […] (97) […] Acești [RPD], indiferent dacă sunt sau nu angajați ai operatorului, ar trebui să fie în măsură să își îndeplinească atribuțiile și sarcinile în mod independent.”

Articolul 37 din RGPD, intitulat „Desemnarea [RPD]”, prevede la alineatele (5) și (6): „(5) [RPD] este desemnat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în dreptul și practicile din domeniul protecției datelor, precum și pe baza capacității de a îndeplini sarcinile prevăzute la articolul 39. (6) [RPD] poate fi un membru al personalului operatorului sau persoanei împuternicite de operator sau poate să își îndeplinească sarcinile în baza unui contract de servicii.”

Articolul 38 din RGPD, intitulat „Funcția [RPD]”, prevede la alineatele (3), (5) și (6): „(3) Operatorul și persoana împuternicită de operator se asigură că [RPD] nu primește niciun fel de instrucțiuni în ceea ce privește îndeplinirea acestor sarcini. [RPD] nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale. [RPD] răspunde direct în fața celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator. […] (5) [RPD] are obligația de a respecta secretul sau confidențialitatea în ceea ce privește îndeplinirea sarcinilor sale, în conformitate cu dreptul Uniunii sau cu dreptul intern. (6) [RPD] poate îndeplini și alte sarcini și atribuții. Operatorul sau persoana împuternicită de operator se asigură că niciuna dintre aceste sarcini și atribuții nu generează un conflict de interese.”

Articolul 39 din RGPD, intitulat „Sarcinile [RPD]”, are următorul cuprins: „(1) [RPD] are cel puțin următoarele sarcini: (a) informarea și consilierea operatorului sau a persoanei împuternicite de operator, precum și a angajaților care se ocupă de prelucrare cu privire la obligațiile care le revin în temeiul prezentului regulament și al altor dispoziții de drept al Uniunii sau drept intern referitoare la protecția datelor; (b) monitorizarea respectării prezentului regulament, a altor dispoziții de drept al Uniunii sau de drept intern referitoare la protecția datelor și a politicilor operatorului sau ale persoanei împuternicite de operator în ceea ce privește protecția datelor cu caracter personal, inclusiv alocarea responsabilităților și acțiunile de sensibilizare și de formare a personalului implicat în operațiunile de prelucrare, precum și auditurile aferente; (c) furnizarea de consiliere la cerere în ceea ce privește evaluarea impactului asupra protecției datelor și monitorizarea funcționării acesteia, în conformitate cu articolul 35; (d) cooperarea cu autoritatea de supraveghere; (e) asumarea rolului de punct de contact pentru autoritatea de supraveghere privind aspectele legate de prelucrare, inclusiv consultarea prealabilă menționată la articolul 36, precum și, dacă este cazul, consultarea cu privire la orice altă chestiune. (2) În îndeplinirea sarcinilor sale, [RPD] ține seama în mod corespunzător de riscul asociat operațiunilor de prelucrare, luând în considerare natura, domeniul de aplicare, contextul și scopurile prelucrării.”

Articolul 6 din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 20 decembrie 1990 (BGBl. 1990 I, p. 2954), în versiunea în vigoare între 25 mai 2018 și 25 noiembrie 2019 (BGBl. 2017 I, p. 2097) (denumită în continuare „BDSG”), intitulat „Funcția”, prevede la alineatul (4): „Demiterea [RPD] este autorizată numai cu aplicarea prin analogie a articolului 626 din Bürgerliches Gesetzbuch [(Codul civil), în versiunea publicată la 2 ianuarie 2002 (BGBl. 2002 I, p. 42, rectificare în BGBl. 2002 I, p. 2909, și în BGBl. 2003 I, p. 738)]. Rezilierea raportului de muncă este nelegală, cu excepția cazului în care există elemente de fapt care îndreptățesc autoritatea publică să procedeze la concediere pentru un motiv grav, fără respectarea unui termen de preaviz. După sfârșitul activității în calitate de [RPD], rezilierea raportului de muncă este interzisă pentru o durată de un an, cu excepția cazului în care autoritatea publică este îndreptățită să procedeze la concedierea pentru un motiv grav, fără respectarea unui termen de preaviz.”

Articolul 38 din BDSG, intitulat „[RPD] al unor entități private”, prevede: „(1) În completarea articolului 37 alineatul (1) literele (b) și (c) din [RGPD], operatorul și persoana împuternicită de operator desemnează un [RPD], dacă aceștia au în permanență, în mod obișnuit, cel puțin 10 angajați pentru prelucrarea automată a datelor cu caracter personal. […] (2) Dispozițiile articolului 6 alineatul (4), alineatul (5) a doua teză și alineatul (6) se aplică; totuși, dispozițiile articolului 6 alineatul (4) nu se aplică decât atunci când desemnarea unui [RPD] este obligatorie.”

Articolul 626 din Codul civil, intitulat „Reziliere pentru un motiv grav fără preaviz”, prevede: „(1) Contractul de muncă poate fi reziliat de orice parte contractantă pentru un motiv grav, fără a respecta un termen de preaviz, dacă există elemente de fapt pe baza cărora, ținând seama de toate împrejurările speței și prin evaluarea comparativă a intereselor celor două părți contractante, nu se poate impune ca partea care reziliază să continue raportul de muncă până la expirarea termenului de preaviz sau până la încetarea convenită a raportului de muncă. (2) Rezilierea poate avea loc numai în termen de două săptămâni. Termenul începe să curgă din momentul în care partea autorizată să rezilieze contractul a luat cunoștință de faptele pertinente pentru reziliere. […]”

FC este angajat al X‑FAB de la 1 noiembrie 1993.

În cadrul acestei societăți, el exercită funcția de președinte al comitetului de întreprindere și este, în această calitate, dispensat parțial de muncă. În plus, acesta ocupă funcția de vicepreședinte al comitetului central de întreprindere, care a fost constituit pentru trei întreprinderi din grupul de societăți căruia îi aparține X‑FAB, care sunt stabilite în Germania.

Începând cu 1 iunie 2015, FC a fost desemnat, de fiecare întreprindere în mod separat, în calitate de RPD al X‑FAB, al societății‑mamă a acesteia, precum și al celorlalte filiale ale acesteia din urmă cu sediul în Germania. Potrivit instanței de trimitere, scopul acestei desemnări paralele a lui FC în calitate de RPD al tuturor acestor întreprinderi era realizarea unui standard de protecție a datelor uniform în întreprinderile respective.

La cererea responsabilului cu protecția datelor și libertatea de informare din Turingia (Germania), X‑FAB și întreprinderile menționate la punctul 12 din prezenta hotărâre l‑au demis, cu efect imediat, prin scrisorile din 1 decembrie 2017, pe FC din funcția de RPD. Prin scrisori separate datate 25 mai 2018, aceste întreprinderi și‑au reiterat, pentru orice eventualitate, demersul, în temeiul articolului 38 alineatul (3) a doua teză din RGPD, devenit aplicabil între timp, invocând motive legate de grupul de societăți căruia îi aparține X‑FAB.

Acțiunea formulată de FC în fața instanțelor germane urmărește să se constate că acesta are în continuare calitatea de RPD al X‑FAB. Aceasta susține că există un risc de conflict de interese dacă FC exercită în același timp funcția de RPD și cea de președinte al comitetului de întreprindere, pentru motivul că aceste două posturi sunt incompatibile. Ar exista, în consecință, un motiv grav care ar justifica demiterea lui FC din funcția de RPD.

Instanța de prim grad de jurisdicție și instanța de apel au admis acțiunea formulată de FC. Prin recursul formulat de X‑FAB la Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania), care este instanța de trimitere, se solicită respingerea acestei acțiuni.

Instanța de trimitere arată că soluționarea acestui recurs depinde de interpretarea dreptului Uniunii. În special, s‑ar ridica, pe de o parte, problema dacă articolul 38 alineatul (3) a doua teză din RGPD se opune ca reglementarea unui stat membru să supună revocarea unui RPD unor condiții mai stricte decât cele prevăzute de dreptul Uniunii, iar în cazul unui răspuns afirmativ, dacă această dispoziție are un temei juridic suficient. În ipoteza în care Curtea ar aprecia că condițiile la care BDSG supune revocarea sunt conforme cu dreptul Uniunii, ar trebui să se stabilească dacă funcțiile de președinte al comitetului de întreprindere și de RPD al aceleiași întreprinderi pot fi exercitate de una și aceeași persoană sau dacă aceasta determină un conflict de interese în sensul articolului 38 alineatul (6) a doua teză din RGPD.

În aceste condiții, Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: „1) Articolul 38 alineatul (3) a doua teză din [RGPD] trebuie să fie interpretat în sensul că se opune unei dispoziții naționale precum, în speță, dispozițiile coroborate ale articolului 38 alineatele (1) și (2) și ale articolului 6 alineatul (4) prima teză din [BDSG], care supun revocarea [RPD] de către operator, care este angajatorul său, anumitor condiții, indiferent de aspectul dacă RPD este demis din funcție ca urmare a îndeplinirii sarcinilor sale? În cazul unui răspuns afirmativ la prima întrebare: 2) Articolul 38 alineatul (3) a doua teză din RGPD se opune unei asemenea dispoziții de drept național și atunci când desemnarea [RPD] nu este obligatorie în temeiul articolului 37 alineatul (1) din RGPD, ci numai în temeiul dreptului statului membru? În cazul unui răspuns afirmativ la prima întrebare: 3) În special în măsura în care vizează [RPD] care au un contract de muncă cu operatorul, articolul 38 alineatul (3) a doua teză din RGPD are un temei juridic suficient? În cazul unui răspuns negativ la prima întrebare: 4) Există un conflict de interese în sensul articolului 38 alineatul (6) a doua teză din RGPD atunci când [RPD] deține în același timp funcția de președinte al comitetului de întreprindere constituit în cadrul operatorului? Pentru a concluziona în sensul existenței unui asemenea conflict de interese, este necesar să existe o atribuire specială a sarcinilor în cadrul comitetului de întreprindere?”

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 38 alineatul (3) a doua teză din RGPD trebuie interpretat în sensul că se opune unei reglementări naționale care prevede că un operator sau o persoană împuternicită de operator poate revoca un RPD care este membru al personalului său numai pentru un motiv grav, chiar dacă revocarea nu are legătură cu îndeplinirea sarcinilor acestui responsabil.

Astfel cum reiese dintr‑o jurisprudență constantă, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de formularea acesteia în conformitate cu sensul său obișnuit în limbajul curent, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție (Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 18 și jurisprudența citată).

În primul rând, în ceea ce privește modul de redactare a dispoziției în cauză, trebuie arătat că articolul 38 alineatul (3) din RGPD prevede în a doua teză că „[RPD] nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale”.

În această privință, în Hotărârea din 22 iunie 2022, Leistritz (C‑534/20, EU:C:2022:495, punctele 20 și 21), Curtea, după ce a constatat că RGPD nu definește termenii „demis”, „sancționat” și „pentru îndeplinirea sarcinilor sale”, care figurează la acest articol 38 alineatul (3) a doua teză, a subliniat, primo, că, în conformitate cu sensul acestor termeni în limbajul curent, interdicția impusă operatorului sau persoanei împuternicite de operator de a demite RPD din funcție sau de a‑l sancționa înseamnă că acest RPD trebuie protejat împotriva oricărei decizii prin care i‑ar înceta funcția, prin care ar suferi un dezavantaj sau care ar constitui o sancțiune.

Or, poate constitui o asemenea decizie o măsură de revocare a unui RPD care ar fi luată de angajatorul său și care ar avea drept consecință demiterea RPD din cadrul operatorului sau persoanei împuternicite de operator.

Secundo, așa cum a arătat de asemenea Curtea, articolul 38 alineatul (3) a doua teză din RGPD se aplică fără distincție atât RPD care este membru al personalului operatorului sau al persoanei împuternicite de operator, cât și celui care își îndeplinește sarcinile pe baza unui contract de prestări de servicii încheiat cu aceștia din urmă, în conformitate cu articolul 37 alineatul (6) din RGPD, astfel încât acest articol 38 alineatul (3) a doua teză are vocația de a se aplica raporturilor dintre un RPD și un operator sau o persoană împuternicită de operator, indiferent de natura raportului de muncă dintre respectivul RPD și aceștia (Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctele 23 și 24).

Tertio, această din urmă dispoziție stabilește o limită care constă în a interzice demiterea din funcție a unui RPD pentru un motiv întemeiat pe îndeplinirea sarcinilor sale, care cuprind în special, în temeiul articolului 39 alineatul (1) litera (b) din RGPD, monitorizarea respectării dispozițiilor de drept al Uniunii sau de drept intern în materie de protecție a datelor, precum și a normelor interne ale operatorului sau ale persoanei împuternicite de operator în materie de protecție a datelor cu caracter personal (a se vedea în acest sens Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 25).

În al doilea rând, în ceea ce privește obiectivul urmărit de articolul 38 alineatul (3) a doua teză din RGPD, primo, considerentul (97) al acestuia prevede că RPD, indiferent dacă sunt sau nu sunt angajați ai operatorului, ar trebui să fie în măsură să își îndeplinească atribuțiile și sarcinile în mod independent. În acest sens, o asemenea independență trebuie să le permită în mod necesar să își îndeplinească aceste sarcini în conformitate cu obiectivul RGPD, care urmărește în special, astfel cum reiese din considerentul (10) al acestuia, să asigure un nivel ridicat de protecție a persoanelor fizice în cadrul Uniunii și, în acest scop, să asigure o aplicare consecventă și omogenă a normelor în materie de protecție a libertăților și a drepturilor fundamentale ale acestor persoane în ceea ce privește prelucrarea datelor cu caracter personal în întreaga Uniune (Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 26 și jurisprudența citată).

Secundo, obiectivul care urmărește să garanteze independența funcțională a RPD, astfel cum decurge din articolul 38 alineatul (3) a doua teză din RGPD, rezultă și din acest articol 38 alineatul (3) prima și a treia teză, care impune ca RPD menționat să nu primească niciun fel de instrucțiuni în ceea ce privește îndeplinirea sarcinilor sale și să răspundă direct în fața celui mai înalt nivel al conducerii operatorului sau al persoanei împuternicite de operator, precum și din articolul 38 alineatul (5), care prevede, în ceea ce privește îndeplinirea sarcinilor, că respectivul RPD are obligația de a respecta secretul profesional sau confidențialitatea (Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 27).

Așadar, trebuie să se considere că articolul 38 alineatul (3) a doua teză din RGPD, prin faptul că protejează RPD împotriva oricărei decizii prin care i‑ar înceta funcția, prin care ar suferi un dezavantaj sau care ar constitui o sancțiune, atunci când o asemenea decizie ar avea legătură cu îndeplinirea sarcinilor sale, urmărește în esență să protejeze independența funcțională a RPD și, prin urmare, să garanteze efectivitatea dispozițiilor RGPD (Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 28).

Așa cum a statuat de asemenea Curtea, această interpretare este confirmată, în al treilea rând, de contextul în care se înscrie dispoziția menționată și în special de temeiul juridic reținut de legiuitorul Uniunii la adoptarea RGPD (Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 29).

Astfel, din preambulul RGPD reiese că acesta a fost adoptat în temeiul articolului 16 TFUE, al cărui alineat (2) prevede printre altele că Parlamentul European și Consiliul Uniunii, hotărând în conformitate cu procedura legislativă ordinară, stabilesc normele referitoare, pe de o parte, la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii, precum și de către statele membre în exercitarea activităților care fac parte din domeniul de aplicare a dreptului Uniunii, precum și, pe de altă parte, la libera circulație a acestor date (Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 30).

În această privință, stabilirea unor norme referitoare la protecția împotriva revocării unui RPD angajat de un operator sau de o persoană împuternicită de operator nu ține de protecția persoanelor fizice în ceea ce privește prelucrarea datelor decât în măsura strictă în care astfel de norme urmăresc să protejeze independența funcțională a acestuia din urmă, în conformitate cu articolul 38 alineatul (3) a doua teză din RGPD (a se vedea în acest sens Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 31).

Rezultă că fiecare stat membru este liber, în exercitarea competenței care îi este rezervată, să prevadă dispoziții speciale mai protective în materie de revocare a RPD, cu condiția ca aceste dispoziții să fie compatibile cu dreptul Uniunii și în special cu dispozițiile RGPD, mai precis cu articolul 38 alineatul (3) a doua teză din acesta (a se vedea în acest sens Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 34).

În special, o asemenea protecție sporită nu poate să afecteze realizarea obiectivelor RGPD. Or, aceasta s‑ar întâmpla dacă dispozițiile speciale ar împiedica orice revocare de către un operator sau de către o persoană împuternicită a unui RPD care nu ar mai avea calitățile profesionale necesare pentru a‑și îndeplini sarcinile, conform articolului 37 alineatul (5) din RGPD, sau care nu le‑ar îndeplini în conformitate cu dispozițiile regulamentului menționat (a se vedea în acest sens Hotărârea din 22 iunie 2022, Leistritz, C‑534/20, EU:C:2022:495, punctul 35).

În această privință, este necesar să se amintească, astfel cum s‑a arătat la punctul 25 din prezenta hotărâre, că RGPD urmărește să asigure un nivel ridicat de protecție a persoanelor fizice în cadrul Uniunii în ceea ce privește prelucrarea datelor lor cu caracter personal și că, pentru realizarea acestui obiectiv, RPD trebuie să fie în măsură să își îndeplinească atribuțiile și sarcinile în mod independent.

Așadar, o protecție sporită a RPD care ar împiedica revocarea acestuia, în ipoteza în care nu este sau nu ar mai fi în măsură să își îndeplinească atribuțiile în mod independent ca urmare a existenței unui conflict de interese, ar afecta realizarea acestui obiectiv.

Revine instanței naționale sarcina de a se asigura că dispoziții speciale precum cele vizate la punctul 31 din prezenta hotărâre sunt compatibile cu dreptul Uniunii și în special cu dispozițiile RGPD.

Având în vedere considerațiile care precedă, este necesar să se răspundă la prima întrebare că articolul 38 alineatul (3) a doua teză din RGPD trebuie interpretat în sensul că nu se opune unei reglementări naționale care prevede că un operator sau o persoană împuternicită de operator poate revoca un RPD care este membru al personalului său numai pentru un motiv grav, chiar dacă revocarea nu are legătură cu îndeplinirea sarcinilor acestui RPD, în măsura în care o astfel de reglementare nu afectează realizarea obiectivelor RGPD.

Având în vedere răspunsul dat la prima întrebare, nu este necesar să se răspundă la a doua și la a treia întrebare.

Prin intermediul celei de a patra întrebări, instanța de trimitere solicită în esență să se stabilească în ce condiții poate fi constatată existența unui „conflict de interese”, în sensul articolului 38 alineatul (6) din RGPD.

În ceea ce privește, în primul rând, modul de redactare a dispoziției în cauză, trebuie arătat că, potrivit articolului 38 alineatul (6) a doua teză din RGPD, „[RPD] poate îndeplini și alte sarcini și atribuții. Operatorul sau persoana împuternicită de operator se asigură că niciuna dintre aceste sarcini și atribuții nu generează un conflict de interese.”

Rezultă astfel din termenii acestei dispoziții, primo, că RGPD nu stabilește o incompatibilitate de principiu între, pe de o parte, îndeplinirea funcției de RPD și, pe de altă parte, îndeplinirea altor funcții în cadrul operatorului sau al persoanei împuternicite de operator. Așadar, articolul 38 alineatul (6) din acest regulament prevede în mod specific că RPD i se pot încredința îndeplinirea altor sarcini și atribuții decât cele care îi revin în temeiul articolului 39 din RGPD.

Nu este mai puțin adevărat, secundo, că operatorul sau persoana împuternicită de operator trebuie să se asigure că niciuna dintre aceste alte sarcini și atribuții nu generează un „conflict de interese”. Având în vedere sensul acestor termeni în limbajul curent, este necesar să se considere că, în conformitate cu obiectivul urmărit de articolul 38 alineatul (6) din RGPD, unui RPD nu i se poate încredința îndeplinirea unor sarcini sau a unor atribuții care ar putea dăuna exercitării funcției pe care o exercită în calitate de RPD.

În ceea ce privește acest obiectiv, trebuie, în al doilea rând, să se arate că această dispoziție urmărește în esență, asemenea celorlalte dispoziții menționate la punctul 25 din prezenta hotărâre, să protejeze independența funcțională a RPD și, prin urmare, să garanteze efectivitatea dispozițiilor RGPD.

În al treilea rând, în ceea ce privește contextul în care se înscrie articolul 38 alineatul (6) din RGPD, trebuie arătat că, potrivit articolului 39 alineatul (1) litera (b) din RGPD, RPD are printre altele sarcina să monitorizeze respectarea RGPD, a altor dispoziții de drept al Uniunii sau de drept intern referitoare la protecția datelor și a politicilor operatorului sau ale persoanei împuternicite de operator în ceea ce privește protecția datelor cu caracter personal, inclusiv alocarea responsabilităților și acțiunile de sensibilizare și de formare a personalului implicat în operațiunile de prelucrare, precum și auditurile aferente.

Rezultă în special că unui RPD nu i se pot încredința sarcini sau atribuții care l‑ar determina să stabilească scopurile și mijloacele de prelucrare a datelor cu caracter personal în cadrul operatorului sau al persoanei împuternicite de operator. Așadar, în conformitate cu dreptul Uniunii sau cu dreptul intern al protecției datelor, controlul acestor scopuri și mijloace trebuie efectuat de RPD în mod independent.

Stabilirea existenței unui conflict de interese, în sensul articolului 38 alineatul (6) din RGPD, trebuie efectuată de la caz la caz, pe baza unei aprecieri a tuturor împrejurărilor relevante, în special a structurii organizaționale a operatorului sau a persoanei împuternicite de operator și în lumina ansamblului reglementării aplicabile, inclusiv a eventualelor politici ale acestora din urmă.

Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la a patra întrebare că articolul 38 alineatul (6) din RGPD trebuie interpretat în sensul că un „conflict de interese”, conform acestei dispoziții, poate exista atunci când unui RPD i se încredințează alte sarcini sau atribuții, care l‑ar determina pe acesta din urmă să stabilească scopurile și mijloacele de prelucrare a datelor cu caracter personal în cadrul operatorului sau al persoanei împuternicite de operator, aspect a cărui stabilire revine instanței naționale de la caz la caz, pe baza unei aprecieri a tuturor împrejurărilor relevante, în special a structurii organizaționale a operatorului sau a persoanei împuternicite de operator și în lumina ansamblului reglementării aplicabile, inclusiv a eventualelor politici ale acestora din urmă.

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

HOTĂRÂREA CURȚII (Camera a șasea)

9 februarie 2023 ( *1 )

Hotărâre

Cadrul juridic

Dreptul Uniunii

Dreptul german

BDSG

Codul civil

Litigiul principal și întrebările preliminare

Cu privire la întrebările preliminare

Cu privire la prima întrebare

Cu privire la a doua și la a treia întrebare

Cu privire la a patra întrebare

Cu privire la cheltuielile de judecată