Par un arrêt rendu le 22 juin dernier, la CJUE a apporté des précisions sur les possibilités de licenciement du Délégué à la Protection des Données (DPO).
Pour mémoire, l’article 38 du RGPD dispose que le DPO « ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l’exercice de ses missions ».
Comme l’a rappelé la CNIL, cette règle « signifie qu’un DPO ne peut être inquiété pour des analyses ou remarques fondées en matière de protection des données qu’il adresserait aux opérations de traitement de son employeur »[1]. En revanche, le DPO salarié peut être licencié conformément au droit du travail, notamment pour vol, harcèlement, autre faute grave.
Le droit allemand prévoit des règles plus protectrices du DPO salarié : il ne peut être licencié que pour faute grave, peu important que le licenciement soit lié ou non à l’exercice des missions de DPO.
A l’occasion d’un litige relatif au licenciement d’un DPO salarié allemand (exerçant également les fonctions de chef du service juridique) pour « restructuration » des services, la CJUE a été interrogée sur la compatibilité d’une telle règle nationale avec l’article 38 du RGPD.
Dans son arrêt du 22 juin dernier, la CJUE indique que l’article 38 du RGPD fixe une limite revenant à interdire le licenciement d’un DPO pour un motif lié à l’exercice de ses missions (contrôle du respect de la règlementation en matière de protection des données, etc.), étant précisé que :
- cette règle vise « essentiellement à préserver l’indépendance fonctionnelle » du DPO « et, partant à garantir l’effectivité des dispositions du RGPD » ;
- « Cette disposition n’a, en revanche, pas pour objet de régir globalement les relations de travail » entre le DPO salarié et son employeur.
La CJUE estime toutefois que le droit de l’Union ne s’oppose pas à une réglementation nationale « plus protectrice en matière de licenciement [du DPO] » « pour autant qu’une telle réglementation ne compromette pas la réalisation des objectifs [du RGPD] ».
Selon la Cour, le licenciement d’un DPO salarié doit notamment demeurer possible si le DPO « ne posséderait plus les qualités professionnelles requises pour exercer ces missions ou […] ne s’acquitterait pas de celles-ci conformément au [RGPD] ».
A suivre la CJUE, le licenciement du DPO est donc possible, non seulement en cas de faute grave, mais aussi si le DPO ne dispose plus des qualités professionnelles pour exercer son mandat de délégué.
Source : ici
[1] Guide pratique RGPD – Délégués à la protection des données.
