Licenziamento del Responsabile della protezione dei dati personali (RPD/DPO interno) dipendente del Titolare del trattamento per giusta causa: la sentenza interpretativa della Corte di Giustizia UE nella causa C‑453/21.

In questo articolo il Prof. Avv. Alessandro del Ninno commenta la sentenza della Corte di Giustizia UE nella causa C‑453/21 (X-FAB Dresden GmbH & Co. KG vs. FC), avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte dal Bundesarbeitsgericht (Corte federale del lavoro, Germania) relativamente alla interpretazione dell’articolo 38, paragrafo 3, seconda frase (“Il Responsabile della protezione dei dati personali non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l’adempimento dei propri compiti”) e dell’articolo 38, comma 6, (“Il Responsabile della protezione dei dati personali può svolgere altri compiti e funzioni. Il titolare del trattamento o il responsabile del trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi”), del Regolamento (UE) 2016/679 sulla protezione dei dati.

La Corte chiarisce in via interpretativa due importanti aspetti: il primo, stabilendo che l’articolo 38, comma 3, seconda frase del RGPD deve essere interpretato nel senso che esso non osta a una normativa nazionale che prevede che il titolare del trattamento o il responsabile del trattamento possa rimuovere il responsabile della protezione dei dati (“DPO”), che sia suo dipendente, solo per giusta causa, anche se la rimozione non è connessa all’adempimento dei compiti di tale DPO, a condizione che una siffatta normativa non comprometta la realizzazione degli obiettivi del RGPD.
Quanto al secondo aspetto, in merito all’insorgere di conflitti di interessi del DPO che svolge anche altre funzioni, la Corte chiarisce che l’articolo 38, comma 6 del RGPD va interpretato nel senso che può configurarsi un «conflitto di interessi», ai sensi di tale disposizione, qualora il DPO sia incaricato di altri compiti o funzioni che lo portano a determinare le finalità e i mezzi del trattamento di dati personali presso il titolare del trattamento o il responsabile del trattamento, ma tale circostanza va appurata a cura del giudice nazionale che stabilirà caso per caso, sulla base di una valutazione complessiva dei fatti pertinenti, in particolare della struttura organizzativa del titolare del trattamento o del responsabile del trattamento e alla luce dell’insieme della normativa applicabile, ivi comprese eventuali politiche interne di questi ultimi.