Corte di giustizia, Sentenza C-534/20

Responsabile della protezione dei dati: tutela contro il licenziamento e compatibilità con il diritto nazionale

La pronuncia riguarda un rinvio pregiudiziale del Bundesarbeitsgericht in una controversia tra una società privata tedesca e la propria dipendente, nominata responsabile della protezione dei dati. Il nodo centrale è se il RGPD consenta a uno Stato membro di prevedere una protezione rafforzata contro il licenziamento del DPO dipendente, subordinandolo alla sola giusta causa anche quando il recesso non sia collegato ai compiti svolti in materia di protezione dei dati.

Fatti e procedimento principale

LH svolgeva per Leistritz AG sia funzioni legate agli affari legali sia quelle di responsabile della protezione dei dati. La società l’ha licenziata per ragioni di riorganizzazione e esternalizzazione di alcune attività interne. I giudici nazionali di merito hanno ritenuto nullo il licenziamento perché il diritto tedesco, per i DPO obbligatori, consente la cessazione del rapporto di lavoro solo per giusta causa senza preavviso.

Il giudice del rinvio ha dubitato della compatibilità di tale disciplina con l’articolo 38, paragrafo 3, seconda frase, del RGPD e ha sottoposto tre questioni pregiudiziali. La Corte ha deciso di concentrarsi sulla prima, ritenendo assorbite la seconda e la terza.

Normativa rilevante

Sul piano dell’Unione, la Corte richiama in particolare:

• il considerando 10 del RGPD, che esige un elevato e uniforme livello di protezione dei dati personali nell’Unione;
• il considerando 97 del RGPD, secondo cui i DPO, dipendenti o meno, devono poter svolgere i propri compiti in modo indipendente;
• l’articolo 37 RGPD, sulla designazione del DPO;
• l’articolo 38 RGPD, soprattutto il paragrafo 3, seconda frase, che vieta di rimuovere o penalizzare il DPO per l’adempimento dei suoi compiti;
• l’articolo 39 RGPD, sui compiti del DPO.

La Corte considera inoltre il fondamento giuridico del RGPD nell’articolo 16 TFUE e richiama, per delimitare le competenze, gli articoli 4, paragrafo 2, lettera b), e 153 TFUE, relativi alla politica sociale e alla tutela dei lavoratori in caso di risoluzione del contratto di lavoro.

Sul piano nazionale, sono rilevanti le disposizioni del BDSG, in particolare l’articolo 6, paragrafo 4, che limita la rimozione e il licenziamento del DPO alle ipotesi di giusta causa, e l’articolo 38 BDSG, che disciplina i DPO presso soggetti non pubblici.

Ragionamento della Corte

La Corte interpreta l’articolo 38, paragrafo 3, seconda frase, partendo dal suo tenore letterale, dal contesto e dalle finalità.

Sul piano letterale, il divieto di essere "rimosso o penalizzato" per l’adempimento dei compiti copre anche un licenziamento che faccia cessare sia il rapporto di lavoro sia la funzione di DPO, quando la misura sia collegata all’esercizio delle mansioni di protezione dei dati.

Sul piano teleologico, la norma mira a garantire l’indipendenza funzionale del DPO, come confermato dal considerando 97 e dalle altre prescrizioni dell’articolo 38, che vietano istruzioni sull’esecuzione dei compiti, prevedono il rapporto diretto con il vertice e impongono riservatezza.

La Corte osserva però che la disposizione non intende regolare in modo generale i rapporti di lavoro tra datore e dipendente: la tutela contro il licenziamento del DPO, in quanto aspetto della politica sociale, rientra nella competenza degli Stati membri, che possono adottare misure più protettive purché compatibili con il diritto dell’Unione.

Ne deriva che una normativa nazionale può rafforzare la stabilità del rapporto di lavoro del DPO, purché non pregiudichi gli obiettivi del RGPD. Ciò avverrebbe, ad esempio, se la disciplina impedisse in assoluto il licenziamento di un DPO che non possieda più le qualità richieste o che non svolga i propri compiti conformemente al regolamento.

Decisione

La Corte risponde che l’articolo 38, paragrafo 3, seconda frase, del RGPD non osta a una normativa nazionale che consenta il licenziamento del responsabile della protezione dei dati dipendente solo per giusta causa, anche se il licenziamento non è connesso all’esercizio dei suoi compiti, a condizione che tale normativa non comprometta la realizzazione degli obiettivi del RGPD. In conseguenza di tale risposta, non è stato necessario esaminare la seconda e la terza questione.

Principio affermato

Il divieto di rimozione o penalizzazione del DPO previsto dal RGPD tutela la sua indipendenza funzionale rispetto ai compiti in materia di protezione dei dati, ma non armonizza in modo completo il regime nazionale del licenziamento. Gli Stati membri possono quindi prevedere una tutela più intensa del DPO dipendente, sempre che essa non ostacoli l’effettiva attuazione del RGPD e la possibilità di sostituire un DPO non idoneo o non diligente.