Corte di giustizia, Sentenza C-453/21

Responsabile della protezione dei dati: rimozione solo per giusta causa e conflitto di interessi

La pronuncia è resa in un rinvio pregiudiziale del Bundesarbeitsgericht (Germania) in una controversia tra una società e un proprio dipendente designato come responsabile della protezione dei dati (RPD). La Corte interpreta l'articolo 38 del RGPD in relazione alla disciplina tedesca che limita la rimozione del RPD dipendente alla sola giusta causa.

Fatti e procedimento principale

FC era dipendente della X-FAB Dresden GmbH & Co. KG e svolgeva al contempo funzioni sindacali/aziendali, tra cui la presidenza del consiglio aziendale. Dal 1° giugno 2015 era stato designato RPD della X-FAB e di altre società del gruppo. Nel 2017 e poi nel 2018 la società lo aveva rimosso dalle funzioni di RPD, sostenendo l'esistenza di un conflitto di interessi tra il ruolo di presidente del consiglio aziendale e quello di RPD. FC agiva in giudizio per far accertare di continuare a rivestire la qualità di RPD.

Normativa rilevante

La Corte richiama in particolare:

• i considerando 10 e 97 del RGPD, relativi a un livello elevato e uniforme di protezione dei dati e all'indipendenza del RPD;
• l'articolo 37 RGPD, sulla designazione del RPD;
• l'articolo 38 RGPD, in particolare il paragrafo 3, seconda frase, sul divieto di rimozione o penalizzazione del RPD per l'adempimento dei suoi compiti, e il paragrafo 6 sul conflitto di interessi;
• l'articolo 39 RGPD, sui compiti del RPD;
• l'articolo 16 TFUE, base giuridica del RGPD;
• la normativa tedesca BDSG e l'articolo 626 BGB, che prevedono la rimozione solo per giusta causa.

Prima questione: rimozione del RPD dipendente e normativa nazionale più protettiva

La Corte ribadisce che l'articolo 38, paragrafo 3, seconda frase, tutela il RPD contro misure che pongano fine alle sue funzioni, lo penalizzino o lo sanzionino quando tali misure siano collegate all'adempimento dei suoi compiti. La disposizione mira essenzialmente a preservare l'indipendenza funzionale del RPD e, quindi, l'effettività del RGPD.

Tuttavia, la Corte precisa che gli Stati membri possono prevedere regole più protettive sulla rimozione del RPD, purché compatibili con il diritto dell'Unione. Una tutela rafforzata non è ammissibile se impedisce di rimuovere un RPD che non possieda più le qualità professionali richieste o che non svolga i compiti in modo indipendente, ad esempio per un conflitto di interessi. Spetta al giudice nazionale verificare la compatibilità della disciplina interna con il RGPD.

Ne consegue che una norma nazionale che consenta la rimozione del RPD dipendente solo per giusta causa non è, di per sé, contraria all'articolo 38, paragrafo 3, seconda frase, purché non comprometta gli obiettivi del regolamento.

Seconda e terza questione

Poiché la Corte ha dato risposta negativa alla prima questione nel senso della compatibilità in linea di principio della disciplina nazionale più protettiva, non occorreva esaminare le questioni relative all'eventuale obbligatorietà della designazione del RPD solo secondo il diritto nazionale e alla sufficienza della base giuridica dell'articolo 38, paragrafo 3, seconda frase, del RGPD.

Quarta questione: conflitto di interessi ai sensi dell'articolo 38, paragrafo 6

La Corte afferma che il RGPD non stabilisce un'incompatibilità generale tra la funzione di RPD e altre funzioni presso il titolare o il responsabile del trattamento. L'articolo 38, paragrafo 6, consente espressamente che al RPD siano affidati altri compiti, ma impone al titolare o al responsabile del trattamento di garantire che tali compiti non generino conflitti di interessi.

Il conflitto va inteso in senso funzionale: vi è quando altri compiti o funzioni potrebbero compromettere l'esercizio indipendente delle funzioni di RPD. In particolare, un RPD non può essere incaricato di compiti che lo portino a determinare finalità e mezzi del trattamento dei dati personali, poiché ciò lo porrebbe in una posizione incompatibile con il compito di controllo imparziale previsto dall'articolo 39, paragrafo 1, lettera b), del RGPD.

La Corte precisa che l'accertamento del conflitto di interessi richiede una valutazione caso per caso, complessiva, delle circostanze pertinenti, della struttura organizzativa del titolare o responsabile del trattamento e delle eventuali politiche interne, oltre che dell'intera normativa applicabile. Non viene quindi affermata un'incompatibilità automatica tra ruolo di presidente del consiglio aziendale e ruolo di RPD.

Decisione e dispositivo

La Corte dichiara che:

• l'articolo 38, paragrafo 3, seconda frase, del RGPD non osta a una normativa nazionale che consenta la rimozione del RPD dipendente solo per giusta causa, anche se la rimozione non è collegata ai suoi compiti, purché non si compromettano gli obiettivi del regolamento;
• l'articolo 38, paragrafo 6, del RGPD deve essere interpretato nel senso che può sussistere un conflitto di interessi quando il RPD svolga altri compiti o funzioni che lo inducano a determinare le finalità e i mezzi del trattamento, spettando al giudice nazionale una verifica concreta caso per caso.

Principi affermati

La sentenza conferma che l'indipendenza funzionale del RPD è il parametro decisivo per valutare tanto la sua protezione contro la rimozione quanto l'eventuale incompatibilità con altri incarichi. Gli Stati membri possono rafforzare la tutela del RPD, ma non fino al punto di neutralizzare l'effettività del sistema del RGPD o di impedire la rimozione di un RPD divenuto non indipendente.