Arrest van het Hof (Eerste kamer) van 22 juni 2022

Unierecht

3 De overwegingen 10 en 97 AVG luiden als volgt:

„(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]

[...]

(97) [...] [F]unctionarissen voor gegevensbescherming dienen in staat te zijn hun taken en verplichtingen onafhankelijk te vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke.”

4 Artikel 37 AVG, met als opschrift „Aanwijzing van de functionaris voor gegevensbescherming”, bepaalt:

„1.

De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in elk geval waarin:

1. de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken;

2. [de] verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen; of

3. de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met grootschalige verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9 of van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10.

[...]

6.

De functionaris voor gegevensbescherming kan een personeelslid van de verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een dienstverleningsovereenkomst verrichten.

[...]”

5 Artikel 38 AVG heeft als opschrift „Positie van de functionaris voor gegevensbescherming” en bepaalt in de leden 3 en 5:

„3.

De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag uit aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke of de verwerker.

[...]

5.

De functionaris voor gegevensbescherming is met betrekking tot de uitvoering van zijn taken overeenkomstig het Unierecht of het lidstatelijke recht tot geheimhouding of vertrouwelijkheid gehouden.”

6 Artikel 39 AVG, „Taken van de functionaris voor gegevensbescherming”, bepaalt in lid 1, onder b):

„De functionaris voor gegevensbescherming vervult ten minste de volgende taken:

[...]

1. toezien op [de] naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits;”

Duits recht

7 § 6 van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 20 december 1990 (BGBl. 1990 I, blz. 2954), in de van 25 mei 2018 tot en met 25 november 2019 geldende versie (BGBl. 2017 I, blz. 2097) (hierna: „BDSG”), heeft als opschrift „Positie” en bepaalt in lid 4:

„De functionaris voor gegevensbescherming mag uitsluitend worden ontslagen met overeenkomstige toepassing van § 626 van het Bürgerliche Gesetzbuch [(burgerlijk wetboek), in de op 2 januari 2002 gepubliceerde versie (BGBl. 2002 I, blz. 42, met rectificatie in BGBl. 2002 I, blz. 2909, en BGBl. 2003 I, blz. 738)]. Beëindiging van de arbeidsverhouding is niet toegestaan tenzij er sprake is van feiten op grond waarvan het overheidsorgaan gerechtigd is de arbeidsverhouding om gewichtige redenen te beëindigen zonder inachtneming van een opzeggingstermijn. Het is niet toegestaan om de arbeidsverhouding binnen een jaar na afloop van de activiteiten als functionaris voor gegevensbescherming te beëindigen, tenzij het overheidsorgaan gerechtigd is de arbeidsverhouding om gewichtige redenen te beëindigen zonder inachtneming van een opzeggingstermijn.”

8 § 38 BDSG, met als opschrift „Functionarissen voor gegevensbescherming die niet bij overheidsorganen in dienst zijn”, bepaalt:

„(1)

In aanvulling op artikel 37, lid 1, onder b) en c), [AVG] wijzen de verwerkingsverantwoordelijke en de verwerker een functionaris voor gegevensbescherming aan, indien zij in de regel ten minste tien personen in dienst hebben die zich doorlopend bezighouden met de geautomatiseerde verwerking van persoonsgegevens. [...]

(2)

§ 6, lid 4, lid 5, tweede volzin, en lid 6 is van toepassing, met dien verstande dat § 6, lid 4, slechts van toepassing is wanneer de aanwijzing van een functionaris voor gegevensbescherming verplicht is.”

9 § 134 van het burgerlijk wetboek, in de versie die is bekendgemaakt op 2 januari 2002 (hierna: „BW”), heeft als opschrift „Wettelijk verbod” en luidt:

„Een rechtshandeling die een wettelijk verbod schendt, is nietig tenzij de wet anders bepaalt.”

10 § 626 BW, „Opzegging om gewichtige redenen zonder inachtneming van een opzeggingstermijn”, luidt als volgt:

„(1)

De arbeidsverhouding kan door elk van de contractpartijen om gewichtige redenen worden opgezegd zonder inachtneming van een opzeggingstermijn indien er sprake is van feiten op grond waarvan, rekening houdend met alle omstandigheden van het concrete geval en na afweging van de belangen van beide contractpartijen, redelijkerwijs niet van de opzeggende partij kan worden verwacht dat zij de arbeidsverhouding voortzet tot het verstrijken van de opzeggingstermijn of tot de contractueel overeengekomen beëindiging van de arbeidsverhouding.

(2)

Opzegging is uitsluitend mogelijk binnen twee weken. De termijn begint te lopen vanaf het tijdstip waarop de tot opzegging van de overeenkomst gerechtigde partij kennis krijgt van de voor de opzegging relevante feiten. [...]”

Eerste vraag

17 Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat dit voorschrift zich verzet tegen een nationale regeling waarbij een functionaris voor gegevensbescherming die in dienst is bij een verwerkingsverantwoordelijke of een verwerker, door laatstgenoemden alleen om een gewichtige reden kan worden ontslagen, ook al houdt het ontslag geen verband met de uitvoering van zijn taken.

18 Volgens vaste rechtspraak moet voor de uitlegging van een bepaling van Unierecht niet alleen rekening worden gehouden met de bewoordingen van deze bepaling in overeenstemming met de in de omgangstaal gebruikelijke betekenis ervan, maar ook met de context en met de doelstellingen die de regeling waarvan zij deel uitmaakt, nastreeft (arrest van 22 februari 2022, Stichting Rookpreventie Jeugd e.a., C‑160/20, EU:C:2022:101, punt 29 en aldaar aangehaalde rechtspraak).

19 Wat in de eerste plaats de bewoordingen van de betrokken bepaling betreft, zij eraan herinnerd dat artikel 38, lid 3, AVG in de tweede volzin bepaalt dat „[de functionaris voor gegevensbescherming] door de verwerkingsverantwoordelijke of de verwerker niet [wordt] ontslagen of gestraft voor de uitvoering van zijn taken”.

20 Meteen moet worden opgemerkt dat de AVG geen definitie geeft van de begrippen „ontslagen”, „gestraft” en „voor de uitvoering van zijn taken”, die in artikel 38, lid 3, tweede volzin, worden gehanteerd.

21 Niettemin is het ten eerste zo dat het verbod voor de verwerkingsverantwoordelijke of de verwerker om een functionaris voor gegevensbescherming te ontslaan of te straffen, in de omgangstaal betekent dat de functionaris beschermd moet zijn tegen elke beslissing die aan zijn positie een einde maakt, die hem nadeel toebrengt of waarbij een sanctie wordt opgelegd, zoals de advocaat-generaal in wezen heeft opgemerkt in de punten 24 en 26 van zijn conclusie.

22 Een beslissing van een werkgever om zijn functionaris voor gegevensbescherming te ontslaan, waarmee een einde wordt gemaakt aan hun arbeidsverhouding en dus ook aan de positie van functionaris voor gegevensbescherming binnen de betrokken onderneming, kan een dergelijke beslissing zijn.

23 Ten tweede moet worden geconstateerd dat artikel 38, lid 3, tweede volzin, AVG geen onderscheid maakt naargelang de functionaris voor gegevensbescherming een personeelslid is van de verwerkingsverantwoordelijke of de verwerker dan wel zijn taken verricht op grond van een met hen gesloten dienstverleningsovereenkomst als bedoeld in artikel 37, lid 6, AVG.

24 Bijgevolg is artikel 38, lid 3, tweede volzin, AVG van toepassing op de verhouding tussen functionarissen voor gegevensbescherming en verwerkingsverantwoordelijken of verwerkers, ongeacht de aard van de tussen hen bestaande arbeidsverhouding.

25 Ten derde zij erop gewezen dat in deze bepaling een beperking wordt gesteld, namelijk dat, zoals de advocaat-generaal in punt 29 van zijn conclusie in essentie heeft beklemtoond, een functionaris voor gegevensbescherming niet kan worden ontslagen voor een reden die met de uitvoering van zijn taken te maken heeft. Een van die taken is volgens artikel 39, lid 1, onder b), AVG het toezien op de naleving van de Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens.

26 Wat in de tweede plaats de doelstelling van artikel 38, lid 3, tweede volzin, AVG betreft, moet om te beginnen worden benadrukt dat functionarissen voor gegevensbescherming volgens overweging 97 van deze verordening hun taken en verplichtingen onafhankelijk moeten kunnen vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke. Die onafhankelijkheid moet hen noodzakelijkerwijs in staat stellen hun taken te vervullen in overeenstemming met de doelstelling van de AVG, die, zoals uit overweging 10 ervan blijkt, met name een consistent en hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen en daartoe een coherente en homogene toepassing van de regels inzake bescherming van de fundamentele vrijheden en de grondrechten van deze personen in verband met de verwerking van persoonsgegevens binnen de gehele Unie wil verzekeren (arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 207 en aldaar aangehaalde rechtspraak).

27 Voorts komt de doelstelling om de functionele onafhankelijkheid van de functionaris voor gegevensbescherming te waarborgen, die blijkt uit artikel 38, lid 3, tweede volzin, AVG, ook tot uiting in de eerste en de derde volzin van dit lid, waarin staat dat de functionaris geen instructies mag ontvangen met betrekking tot de uitvoering van zijn taken en rechtstreeks verslag uitbrengt aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke of de verwerker, alsook in lid 5 van dit artikel, dat luidt dat de functionaris met betrekking tot die uitvoering tot geheimhouding of vertrouwelijkheid is gehouden.

28 Artikel 38, lid 3, tweede volzin, AVG, waarbij de functionaris voor gegevensbescherming wordt beschermd tegen elke beslissing die een einde maakt aan zijn positie, hem nadeel toebrengt of waarbij een sanctie wordt opgelegd en die verband houdt met de uitoefening van zijn taken, moet dan ook worden geacht hoofdzakelijk te zijn bedoeld om de functionele onafhankelijkheid van de functionaris te vrijwaren en dus om de nuttige werking van de AVG-voorschriften te verzekeren. Deze bepaling heeft daarentegen niet tot doel de arbeidsverhoudingen tussen de verwerkingsverantwoordelijke of de verwerker en hun personeelsleden algemeen te regelen: die verhoudingen worden slechts bijkomend beoogd, voor zover dat strikt noodzakelijk is om deze doelstellingen te verwezenlijken.

29 Deze uitlegging wordt in de derde plaats bevestigd door de context van deze bepaling en in het bijzonder door de rechtsgrond waarop de Uniewetgever de AVG heeft vastgesteld.

30 Volgens de preambule van de AVG is deze verordening namelijk vastgesteld op grond van artikel 16 VWEU, waarvan lid 2 bepaalt dat het Europees Parlement en de Raad van de Europese Unie volgens de gewone wetgevingsprocedure de voorschriften vaststellen betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie, alsook door de lidstaten, bij de uitoefening van activiteiten die binnen het toepassingsgebied van het recht van de Unie vallen, alsmede de voorschriften betreffende het vrije verkeer van die gegevens.

31 Met uitzondering van de specifieke bescherming van de functionaris voor gegevensbescherming waarin artikel 38, lid 3, tweede volzin, AVG voorziet, is het vaststellen van voorschriften ter bescherming tegen ontslag van een functionaris voor gegevensbescherming die bij een verwerkingsverantwoordelijke of verwerker in dienst is, echter geen kwestie van bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens of van het vrije verkeer van die gegevens, maar van sociaal beleid.

32 In dit verband zij er ten eerste aan herinnerd dat de Unie en de lidstaten krachtens artikel 4, lid 2, onder b), VWEU op het gebied van sociaal beleid, voor de in het VWEU genoemde aspecten, over een gedeelde bevoegdheid beschikken in de zin van artikel 2, lid 2, VWEU. Ten tweede bepaalt artikel 153, lid 1, onder d), VWEU dat het optreden van de lidstaten op het gebied van bescherming van werknemers bij beëindiging van de arbeidsovereenkomst, door de Unie wordt ondersteund en aangevuld (zie naar analogie arrest van 19 november 2019, TSN en AKT, C‑609/17 en C‑610/17, EU:C:2019:981, punt 47 ).

33 Uit artikel 153, lid 2, onder b), VWEU blijkt dat het Parlement en de Raad op dit gebied door middel van richtlijnen minimumvoorschriften kunnen vaststellen, die volgens de rechtspraak van het Hof in het licht van artikel 153, lid 4, VWEU een lidstaat niet beletten om maatregelen met een hogere graad van bescherming te handhaven of in te voeren die met de Verdragen verenigbaar zijn (zie in die zin arrest van 19 november 2019, TSN en AKT, C‑609/17 en C‑610/17, EU:C:2019:981, punt 48 ).

34 Zoals de advocaat-generaal in wezen heeft benadrukt in punt 44 van zijn conclusie, staat het de lidstaten dan ook vrij om in de uitoefening van de bevoegdheid die zij hebben behouden, bijzondere bepalingen vast te stellen die op het gebied van ontslag van de functionaris voor gegevensbescherming een grotere bescherming bieden, zolang die bepalingen verenigbaar zijn met het Unierecht en met name met de AVG, meer bepaald artikel 38, lid 3, tweede volzin, ervan.

35 Die verhoogde bescherming mag met name niet de verwezenlijking van de doelstellingen van de AVG ondermijnen, wat het geval zou zijn indien zij zou verhinderen dat een verwerkingsverantwoordelijke of verwerker een functionaris voor gegevensbescherming ontslaat die niet meer beschikt over de voor de uitvoering van zijn taken noodzakelijke professionele kwaliteiten of die zijn taken niet overeenkomstig de AVG uitvoert, zoals de advocaat-generaal in de punten 50 en 51 van zijn conclusie heeft opgemerkt.

36 Gelet op het voorgaande dient op de eerste vraag te worden geantwoord dat artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat dit voorschrift zich niet verzet tegen een nationale regeling waarbij een functionaris voor gegevensbescherming die in dienst is bij een verwerkingsverantwoordelijke of een verwerker, door laatstgenoemden alleen om een gewichtige reden kan worden ontslagen, ook al houdt het ontslag geen verband met de uitvoering van zijn taken, op voorwaarde dat die regeling de verwezenlijking van de doelstellingen van de AVG niet ondermijnt.

Tweede en derde vraag

37 Gelet op het antwoord op de eerste vraag hoeven de tweede en de derde vraag niet te worden beantwoord.