Responsabile della protezione dei dati – Divieto di rimozione dalle sue funzioni per l’adempimento dei propri compiti – Requisito di indipendenza funzionale 

estimated reading time: 23 min

Edizione provvisoria

SENTENZA DELLA CORTE (Sesta Sezione)

9 febbraio 2023 (*)

«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al Trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 38, paragrafo 3 – Responsabile della protezione dei dati – Divieto di rimozione dalle sue funzioni per l’adempimento dei propri compiti – Requisito di indipendenza funzionale – Normativa nazionale che vieta la rimozione di un Responsabile della protezione dei dati in assenza di giusta causa – Articolo 38, paragrafo 6 – Conflitto di interessi – Criteri»

Nella causa C‑453/21,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Bundesarbeitsgericht (Corte federale del lavoro, Germania), con decisione del 27 aprile 2021, pervenuta in cancelleria il 21 luglio 2021, nel procedimento

X-FAB Dresden GmbH & Co. KG

contro

FC,

LA CORTE (Sesta Sezione),

composta da P.G. Xuereb, presidente di sezione, A. Kumin e I. Ziemele (relatrice), giudici,

avvocato generale: J. Richard de la Tour

cancelliere: D. Dittert, capo unità

vista la fase scritta del procedimento e in seguito all’udienza del 26 settembre 2022,

considerate le osservazioni presentate:

–        per la X-FAB Dresden GmbH & Co. KG, da S. Leese, Rechtsanwalt;

–        per FC, da R. Buschmann e T. Heller, agenti;

–        per il governo tedesco, da J. Möller, D. Klebs e P.-L. Krüger, in qualità di agenti;

–        per il Parlamento europeo, da O. Hrstková Šolcová e B. Schäfer, in qualità di agenti;

–        per il Consiglio dell’Unione europea, da T. Haas e K. Pleśniak, in qualità di agenti;

–        per la Commissione europea, da A. Bouchagiar, K. Herrmann e H. Kranenborg, in qualità di agenti,

vista la decisione, adottata dopo aver sentito l’avvocato generale, di giudicare la causa senza conclusioni,

ha pronunciato la seguente

Sentenza

1        La domanda di pronuncia pregiudiziale verte sull’interpretazione e la validità dell’articolo 38, paragrafo 3, seconda frase, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, e rettifica in GU 2018, L 127, pag. 2; in prosieguo: il «RGPD»), nonché sull’interpretazione dell’articolo 38, paragrafo 6, di tale regolamento.

2        Tale domanda è stata presentata nell’ambito di una controversia tra la X-FAB Dresden GmbH & Co. KG (in prosieguo: la «X-FAB») e FC, suo dipendente, in merito alla rimozione di quest’ultimo dalle sue funzioni di Responsabile della protezione dei dati (in prosieguo: il «RPD»), disposta dalla X-FAB.

 Contesto normativo

 Diritto dell’Unione

3        I considerando 10 e 97 del RGPD enunciano quanto segue:

«(10)      Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei Dati personali all’interno dell’Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al Trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al Trattamento dei Dati personali in tutta l’Unione. (...)

(...)

(97)      (...) Tali [RPD], dipendenti o meno del Titolare del trattamento, dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente».

4        L’articolo 37 del RGPD, intitolato «Designazione del [RPD]», ai paragrafi 5 e 6 così dispone:

«5.      Il [RPD] è Designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39.

6.      Il [RPD] può essere un dipendente del Titolare del Trattamento o del Responsabile del Trattamento oppure assolvere i suoi compiti in base a un contratto di servizi».

5        L’articolo 38 del RGPD, intitolato «Posizione del [RPD]», ai paragrafi 3, 5 e 6 prevede quanto segue:

«3.      Il Titolare del Trattamento e il Responsabile del Trattamento si assicurano che il [RPD] non riceva alcuna istruzione per quanto riguarda l’esecuzione di tali compiti. Il [RPD] non è rimosso o penalizzato dal Titolare del Trattamento o dal Responsabile del Trattamento per l’adempimento dei propri compiti. Il [RPD] riferisce direttamente al vertice gerarchico del Titolare del Trattamento o del Responsabile del trattamento.

(...)

5.      Il [RPD] è tenuto al segreto o alla riservatezza in merito all’adempimento dei propri compiti, in conformità del diritto dell’Unione o degli Stati membri.

6.      Il [RPD] può svolgere altri compiti e funzioni. Il Titolare del Trattamento o il Responsabile del Trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi».

6        L’articolo 39 del RGPD, intitolato «Compiti del [RPD]», così recita:

«1.      Il [RPD] è incaricato almeno dei seguenti compiti:

a)      informare e fornire consulenza al Titolare del Trattamento o al Responsabile del Trattamento nonché ai dipendenti che eseguono il Trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;

b)      sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del Titolare del Trattamento o del Responsabile del Trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;

c)      fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35;

d)      cooperare con l’autorità di controllo; e

e)      fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

2.      Nell’eseguire i propri compiti il [RPD] considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del medesimo».

 Diritto tedesco

 Il BDSG

7        L’articolo 6 del Bundesdatenschutzgesetz (legge federale sulla protezione dei dati), del 20 dicembre 1990 (BGBl. 1990 I, pag. 2954), nella versione in vigore dal 25 maggio 2018 al 25 novembre 2019 (BGBl. 2017 I, pag. 2097) (in prosieguo: il «BDSG»), intitolato «Posizione», al paragrafo 4 dispone quanto segue:

«La rimozione del/della [RPD] è consentita solo in applicazione analogica dell’articolo 626 del Bürgerliches Gesetzbuch [(codice civile), nella versione pubblicata il 2 gennaio 2002 (BGBl. 2002 I, pag. 42, e rettifiche in BGBl. 2002 I, pag. 2909, e in BGBl. 2003 I, pag. 738)]. Non è ammessa la risoluzione del rapporto di lavoro se non in presenza di fatti tali da consentire all’organismo pubblico una risoluzione per giusta causa senza preavviso. Dopo la cessazione dell’attività in qualità di [RPD], la risoluzione del rapporto di lavoro non è consentita per il periodo di un anno, a meno che l’organismo pubblico non sia legittimato alla risoluzione per giusta causa senza preavviso».

8        L’articolo 38 del BDSG, intitolato «[RPD] di enti non pubblici», prevede quanto segue:

«(1)      Ad integrazione dell’articolo 37, paragrafo 1, lettere b) e c), del [RGPD], il Titolare del Trattamento e il Responsabile del Trattamento designano un/una [RPD], se hanno alle loro dipendenze di norma almeno dieci persone impegnate in modo permanente nel Trattamento automatizzato dei dati personali. (...)

(2)      Si applica l’articolo 6, paragrafi 4, 5, seconda frase, e 6, ma il paragrafo 4 solo nel caso di obbligatorietà della designazione di un/una [RPD]».

 Codice civile

9        L’articolo 626 del codice civile, intitolato «Risoluzione per giusta causa senza preavviso», stabilisce quanto segue:

«(1)      Il rapporto di servizio può essere risolto da ciascuna delle parti del contratto per giusta causa senza osservare un periodo di preavviso, in presenza di fatti in base ai quali non sia esigibile dalla parte che agisce in risoluzione la continuazione del rapporto di servizio fino alla scadenza del periodo di preavviso oppure fino alla cessazione prevista di detto rapporto, tenendo conto di tutte le circostanze del singolo caso e valutando gli interessi di entrambe le parti del contratto.

(2)      La risoluzione può aver luogo solo entro due settimane. Il termine inizia a decorrere dal momento in cui la parte avente diritto alla risoluzione viene a conoscenza dei fatti rilevanti ai fini di detta risoluzione. (…)».

 Procedimento principale e questioni pregiudiziali

10      FC è alle dipendenze della X-FAB dal 1º novembre 1993.

11      In tale società egli esercita le funzioni di presidente del consiglio aziendale ed è quindi parzialmente esonerato dal lavoro. Egli svolge inoltre la funzione di vicepresidente del consiglio aziendale centrale, istituito per tre imprese del gruppo di società di cui fa parte la X-FAB, aventi sede in Germania.

12      Con effetto dal 1º giugno 2015, FC è stato designato, da ciascuna impresa separatamente, come RPD della X-FAB, della sua società madre nonché delle altre società figlie di quest’ultima stabilite in Germania. Secondo il giudice del rinvio, lo scopo di tale designazione in parallelo di FC come RPD di tutte queste imprese era di garantire un livello uniforme di protezione dei dati in dette imprese.

13      Su richiesta del Responsabile della protezione dei dati e della libertà di informazione della Turingia (Germania), la X-FAB e le imprese menzionate al punto 12 della presente sentenza, con lettere del 1º dicembre 2017, hanno rimosso con effetto immediato FC dalle sue funzioni di RPD. Con lettere separate del 25 maggio 2018, tali imprese, in via cautelativa, hanno ripetuto l’iniziativa, sulla base dell’articolo 38, paragrafo 3, seconda frase, del RGPD, divenuto nel frattempo applicabile, invocando motivazioni connesse al gruppo di società di cui fa parte la X-FAB.

14      L’azione promossa da FC dinanzi ai giudici tedeschi mira a far dichiarare che egli continua a rivestire la qualità di RPD della X-FAB. Quest’ultima fa valere che esiste un rischio di conflitto di interessi se FC esercita contemporaneamente le funzioni di RPD e di presidente del consiglio aziendale, poiché queste due cariche sono incompatibili. Di conseguenza, ricorrerebbe una giusta causa di rimozione di FC dalle sue funzioni di RPD.

15      I giudici di primo grado e di appello hanno accolto l’azione promossa da FC. Il ricorso per cassazione (Revision),  proposto dalla X-FAB dinanzi al Bundesarbeitsgericht (Corte federale del lavoro, Germania), che è il giudice del rinvio, tende al rigetto di detta azione.

16      Il giudice del rinvio osserva che l’esito di tale ricorso per cassazione dipende dall’interpretazione del diritto dell’Unione. In particolare, si porrebbe, da un lato, la questione se l’articolo 38, paragrafo 3, seconda frase, del RGPD osti a che la normativa di uno Stato membro subordini la rimozione di un RPD a condizioni più rigorose di quelle previste dal diritto dell’Unione e, in caso affermativo, se tale disposizione si fondi su una base giuridica sufficiente. Laddove la Corte dovesse considerare conformi al diritto dell’Unione le condizioni alle quali il BDSG subordina la rimozione, occorrerebbe determinare se le funzioni di presidente del consiglio aziendale e di RPD di questa stessa azienda possano essere esercitate da una stessa persona o se ciò comporti un conflitto di interessi ai sensi dell’articolo 38, paragrafo 6, seconda frase, del RGPD.

17      È in tale contesto che il Bundesarbeitsgericht (Corte federale del lavoro) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1)      Se l’articolo 38, paragrafo 3, seconda frase, del [RGPD] debba essere interpretato nel senso che esso osta ad una disposizione nazionale, quale l’articolo 38, paragrafi 1 e 2, in combinato disposto con l’articolo 6, paragrafo 4, prima frase, del [BDSG], che subordina la rimozione del [RPD] da parte del Titolare del trattamento, suo datore di lavoro, alle condizioni ivi menzionate, indipendentemente dal fatto che tale rimozione avvenga per motivi inerenti all’adempimento dei compiti assegnatigli.

In caso di risposta affermativa alla prima questione:

2)      Se l’articolo 38, paragrafo 3, seconda frase, del RGPD osti ad una disposizione nazionale siffatta anche qualora la designazione del [RPD] sia obbligatoria non ai sensi dell’articolo 37, paragrafo 1, del RGPD, bensì unicamente in base alla normativa dello Stato membro.

In caso di risposta affermativa alla prima questione:

3)      Se l’articolo 38, paragrafo 3, seconda frase, del RGPD abbia una base giuridica sufficiente, in particolare nella parte in cui si riferisce a [RPD] che hanno un rapporto di lavoro con il Titolare del trattamento.

In caso di risposta negativa alla prima questione:

4)      Se sussista un conflitto di interessi ai sensi dell’articolo 38, paragrafo 6, seconda frase, del RGPD qualora il [RPD] rivesta anche la carica di presidente del consiglio aziendale all’interno dell’organismo di cui trattasi. Se, ai fini del riconoscimento di un tale conflitto di interessi, occorra una specifica attribuzione di compiti all’interno del consiglio aziendale».

 Sulle questioni pregiudiziali

 Sulla prima questione

18      Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 38, paragrafo 3, seconda frase, del RGPD debba essere interpretato nel senso che esso osta a una normativa nazionale che prevede che un Titolare del Trattamento o un Responsabile del Trattamento possa rimuovere un RPD, che sia suo dipendente, solo per giusta causa, anche se la rimozione non è connessa all’adempimento dei compiti di tale responsabile.

19      Come risulta da una giurisprudenza costante, ai fini dell’interpretazione di una disposizione del diritto dell’Unione, si deve tener conto non soltanto della lettera della stessa secondo il suo significato abituale nel linguaggio corrente, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte (sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 18 e giurisprudenza ivi citata).

20      In primo luogo, per quanto riguarda il tenore letterale della disposizione di cui trattasi, occorre rilevare che l’articolo 38, paragrafo 3, del RGPD dispone, nella seconda frase, che «[i]l [RPD] non è rimosso o penalizzato dal Titolare del Trattamento o dal Responsabile del Trattamento per l’adempimento dei propri compiti».

21      In proposito, nella sua sentenza del 22 giugno 2022, Leistritz (C‑534/20, EU:C:2022:495, punti 20 e 21), la Corte, dopo aver constatato che il RGPD non definisce i termini «rimosso», «penalizzato» e «per l’adempimento dei propri compiti», contenuti nel suddetto articolo 38, paragrafo 3, seconda frase, ha sottolineato, sotto un primo profilo, che, conformemente al significato di tali termini nel linguaggio corrente, il divieto imposto al Titolare del Trattamento o al Responsabile del Trattamento di rimuovere o penalizzare un RPD significa che quest’ultimo deve essere tutelato contro qualsiasi decisione che ponga fine ai suoi compiti, gli faccia subire uno svantaggio o costituisca una sanzione.

22      Orbene, può costituire una siffatta decisione un provvedimento di rimozione di un RPD che sia adottato dal suo datore di lavoro e che comporti la rimozione del RPD dalle sue funzioni presso il Titolare del Trattamento o il Responsabile del trattamento.

23      Sotto un secondo profilo, come anche rilevato dalla Corte, l’articolo 38, paragrafo 3, seconda frase, del RGPD si applica indistintamente tanto al RPD che sia dipendente del Titolare del Trattamento o del Responsabile del trattamento, quanto a colui che assolva i suoi compiti in base a un contratto di servizi concluso con questi ultimi, conformemente all’articolo 37, paragrafo 6, del RGPD, cosicché il suddetto articolo 38, paragrafo 3, seconda frase, è destinato ad applicarsi ai rapporti tra il RPD e il Titolare del Trattamento o il Responsabile del trattamento, indipendentemente dalla natura del rapporto di lavoro che lega tale RPD a questi ultimi (sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punti 23 e 24).

24      Sotto un Terzo profilo, quest’ultima disposizione stabilisce un limite che consiste nel vietare la rimozione di un RPD per un motivo relativo all’adempimento dei suoi compiti, i quali comprendono, in particolare, in forza dell’articolo 39, paragrafo 1, lettera b), del RGPD, il controllo dell’osservanza delle disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del Titolare del Trattamento o del Responsabile del Trattamento in materia di protezione dei Dati personali (v., in tal senso, sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 25).

25      In secondo luogo, per quanto riguarda l’obiettivo perseguito dall’articolo 38, paragrafo 3, seconda frase, del RGPD, sotto un primo profilo, il considerando 97 di quest’ultimo enuncia che i RPD, dipendenti o meno del Titolare del trattamento, dovrebbero poter adempiere le funzioni e i compiti loro incombenti in maniera indipendente. A questo proposito, una simile indipendenza deve necessariamente consentire loro di adempiere tali compiti conformemente all’obiettivo del RGPD, il quale mira in particolare, come emerge dal suo considerando 10, a garantire un livello elevato di protezione delle persone fisiche all’interno dell’Unione e, a tal fine, ad assicurare un’applicazione coerente e omogenea delle norme a protezione delle libertà e dei diritti fondamentali di tali persone con riguardo al Trattamento dei Dati personali in tutta l’Unione (sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 26 e giurisprudenza ivi citata).

26      Sotto un secondo profilo, l’obiettivo di garantire l’indipendenza funzionale del RPD, quale risulta dall’articolo 38, paragrafo 3, seconda frase, del RGPD, emerge altresì dal medesimo articolo 38, paragrafo 3, prima e terza frase, il quale richiede che tale RPD non riceva alcuna istruzione per quanto concerne l’esecuzione dei suoi compiti e riferisca direttamente al vertice gerarchico del Titolare del Trattamento o del Responsabile del trattamento, nonché dal citato articolo 38, paragrafo 5, il quale prevede, relativamente all’esecuzione in parola, che detto RPD sia tenuto al segreto o alla riservatezza (sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 27).

27      Pertanto, si deve considerare che l’articolo 38, paragrafo 3, seconda frase, del RGPD, tutelando il RPD contro qualsiasi decisione che ponga fine alle sue funzioni, gli faccia subire uno svantaggio o costituisca una sanzione, qualora una siffatta decisione sia connessa all’adempimento dei suoi compiti, miri essenzialmente a preservare l’indipendenza funzionale del RPD e, pertanto, a garantire l’efficacia delle disposizioni del RGPD (sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 28).

28      Come anche dichiarato dalla Corte, tale interpretazione è corroborata, in Terzo luogo, dal contesto in cui si inserisce detta disposizione e, in particolare, dalla base giuridica sul cui fondamento il legislatore dell’Unione ha adottato il RGPD (sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 29).

29      Infatti, dal preambolo del RGPD emerge che quest’ultimo è stato adottato sulla base dell’articolo 16 TFUE, il cui paragrafo 2 prevede, in particolare, che il Parlamento europeo e il Consiglio dell’Unione europea, deliberando secondo la procedura legislativa ordinaria, stabiliscano, da un lato, le norme relative alla protezione delle persone fisiche con riguardo al Trattamento dei dati di carattere personale da parte delle istituzioni, degli organi e degli organismi dell’Unione, nonché da parte degli Stati membri nell’esercizio di attività che rientrano nell’ambito di applicazione del diritto dell’Unione, e, dall’altro, le norme relative alla libera circolazione di tali dati (sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 30).

30      In proposito, la fissazione di norme relative alla tutela contro la rimozione di un RPD che sia dipendente di un Titolare del Trattamento o di un Responsabile del Trattamento rientra nell’ambito della protezione delle persone fisiche con riguardo al Trattamento dei dati di carattere personale solo nella stretta misura in cui tali norme mirano a preservare l’indipendenza funzionale di detto RPD, conformemente all’articolo 38, paragrafo 3, seconda frase, del RGPD (v., in tal senso, sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 31).

31      Ne consegue che ciascuno Stato membro è libero, nell’esercizio della competenza da esso conservata, di prevedere disposizioni particolari più protettive in materia di rimozione del RPD, a condizione che tali disposizioni siano compatibili con il diritto dell’Unione e, in particolare, con le disposizioni del RGPD, segnatamente con il suo articolo 38, paragrafo 3, seconda frase (v., in tal senso, sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 34).

32      In particolare, una simile protezione rafforzata non può compromettere la realizzazione degli obiettivi del RGPD. Orbene, ciò si verificherebbe se essa impedisse qualsiasi rimozione, da parte di un Titolare del Trattamento o di un Responsabile del trattamento, di un RPD che non possieda più le qualità professionali richieste per assolvere i suoi compiti, ai sensi dell’articolo 37, paragrafo 5, del RGPD, o che non li svolga in conformità alle disposizioni di tale regolamento (v., in tal senso, sentenza del 22 giugno 2022, Leistritz, C‑534/20, EU:C:2022:495, punto 35).

33      Occorre ricordare in proposito, come rilevato al punto 25 della presente sentenza, che il RGPD mira ad assicurare un livello elevato di protezione delle persone fisiche all’interno dell’Unione per quanto riguarda il Trattamento dei loro dati di carattere personale e che, per la realizzazione di tale obiettivo, il RPD deve poter adempiere le sue funzioni e compiti in piena indipendenza.

34      Pertanto, una protezione rafforzata del RPD che impedisca qualsiasi sua rimozione nell’ipotesi in cui non sia o non sia più in grado di adempiere i propri compiti in piena indipendenza a causa dell’esistenza di un conflitto di interessi comprometterebbe la realizzazione di tale obiettivo.

35      Spetta al giudice nazionale assicurarsi che disposizioni particolari come quelle di cui al punto 31 della presente sentenza siano compatibili con il diritto dell’Unione e, in particolare, con le disposizioni del RGPD.

36      Alla luce delle considerazioni che precedono, si deve rispondere alla prima questione dichiarando che l’articolo 38, paragrafo 3, seconda frase, del RGPD deve essere interpretato nel senso che esso non osta a una normativa nazionale che prevede che il Titolare del Trattamento o il Responsabile del Trattamento possa rimuovere il RPD, che sia suo dipendente, solo per giusta causa, anche se la rimozione non è connessa all’adempimento dei compiti di tale RPD, a condizione che una siffatta normativa non comprometta la realizzazione degli obiettivi del RGPD.

 Sulla seconda e sulla terza questione

37      Alla luce della risposta fornita alla prima questione, non occorre rispondere alla seconda e alla terza questione.

 Sulla quarta questione

38      Con la sua quarta questione, il giudice del rinvio chiede, in sostanza, quali siano le circostanze in cui può essere constatata l’esistenza di un «conflitto di interessi» ai sensi dell’articolo 38, paragrafo 6, del RGPD.

39      Per quanto concerne, in primo luogo, il testo della disposizione in questione, occorre rilevare che, ai sensi dell’articolo 38, paragrafo 6, seconda frase, del RGPD, «[i]l [RPD] può svolgere altri compiti e funzioni. Il Titolare del Trattamento o il Responsabile del Trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi».

40      Dal tenore di detta disposizione risulta quindi, sotto un primo profilo, che il RGPD non stabilisce alcuna incompatibilità di principio tra, da un lato, l’esercizio delle funzioni di RPD e, dall’altro, quello di altre funzioni presso il Titolare del Trattamento o il Responsabile del trattamento. Infatti, l’articolo 38, paragrafo 6, di tale regolamento prevede specificamente che al RPD possa essere affidata l’esecuzione di compiti e funzioni diversi da quelli cui è tenuto in forza dell’articolo 39 del RGPD.

41      Resta però il fatto, sotto un secondo profilo, che il Titolare del Trattamento o il Responsabile del Trattamento deve assicurarsi che tali altri compiti e funzioni non diano adito a un «conflitto di interessi». Alla luce del significato di tali termini nel linguaggio corrente, si deve ritenere che, conformemente all’obiettivo perseguito dall’articolo 38, paragrafo 6, del RGPD, il RPD non possa essere incaricato dell’esecuzione di compiti o funzioni che possano compromettere l’esercizio delle funzioni che egli svolge in qualità di RPD.

42      Per quanto concerne detto obiettivo, occorre, in secondo luogo, rilevare che tale disposizione mira essenzialmente, al pari delle altre disposizioni di cui al punto 25 della presente sentenza, a preservare l’indipendenza funzionale del RPD e, pertanto, a garantire l’efficacia delle disposizioni del RGPD.

43      In Terzo luogo, per quanto riguarda il contesto in cui si inserisce l’articolo 38, paragrafo 6, del RGPD, si deve osservare che, ai sensi dell’articolo 39, paragrafo 1, lettera b), del RGPD, il RPD ha il compito, in particolare, di sorvegliare l’osservanza del RGPD, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del Titolare del Trattamento o del Responsabile del Trattamento in materia di protezione dei dati personali, comprese l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo.

44      Ne consegue, in particolare, che un RPD non può essere incaricato di svolgere compiti o funzioni che lo indurrebbero a determinare le finalità e i mezzi del Trattamento dei Dati personali presso il Titolare del Trattamento o il Responsabile del trattamento. Infatti, conformemente al diritto dell’Unione o al diritto degli Stati membri in materia di protezione dei dati, il controllo di tali finalità e mezzi deve essere effettuato in modo indipendente dal RPD.

45      La determinazione dell’esistenza di un conflitto di interessi, a norma dell’articolo 38, paragrafo 6, del RGPD, deve essere effettuata caso per caso, sulla base di una valutazione complessiva delle circostanze rilevanti, in particolare della struttura organizzativa del Titolare del Trattamento o del Responsabile del Trattamento e alla luce dell’insieme della normativa applicabile, ivi comprese eventuali politiche interne di questi ultimi.

46      Tenuto conto di tutte le considerazioni che precedono, si deve rispondere alla quarta questione dichiarando che l’articolo 38, paragrafo 6, del RGPD deve essere interpretato nel senso che può configurarsi un «conflitto di interessi», ai sensi di tale disposizione, qualora il RPD sia incaricato di altri compiti o funzioni che lo indurrebbero a determinare le finalità e i mezzi del Trattamento di Dati personali presso il Titolare del Trattamento o il Responsabile del trattamento, circostanza che spetta al giudice nazionale stabilire caso per caso, sulla base di una valutazione complessiva delle circostanze pertinenti, in particolare della struttura organizzativa del Titolare del Trattamento o del Responsabile del Trattamento e alla luce dell’insieme della normativa applicabile, ivi comprese eventuali politiche interne di questi ultimi.

 Sulle spese

47      Nei confronti delle parti nel procedimento principale la presente causa costituisce un Incidente sollevato dinanzi al giudice del rinvio, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

1)      L’articolo 38, paragrafo 3, seconda frase, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che esso non osta a una normativa nazionale che prevede che il Titolare del Trattamento o il Responsabile del Trattamento possa rimuovere il Responsabile della protezione dei dati, che sia suo dipendente, solo per giusta causa, anche se la rimozione non è connessa all’adempimento dei compiti di tale responsabile, a condizione che una siffatta normativa non comprometta la realizzazione degli obiettivi di tale regolamento.

2)      L’articolo 38, paragrafo 6, del regolamento 2016/679 deve essere interpretato nel senso che può configurarsi un «conflitto di interessi», ai sensi di tale disposizione, qualora il Responsabile della protezione dei dati sia incaricato di altri compiti o funzioni che lo indurrebbero a determinare le finalità e i mezzi del Trattamento di Dati personali presso il Titolare del Trattamento o il Responsabile del trattamento, circostanza che spetta al giudice nazionale stabilire caso per caso, sulla base di una valutazione complessiva delle circostanze pertinenti, in particolare della struttura organizzativa del Titolare del Trattamento o del Responsabile del Trattamento e alla luce dell’insieme della normativa applicabile, ivi comprese eventuali politiche interne di questi ultimi.

Firme

*      Lingua processuale: il tedesco.