Dans un arrêt du 21 octobre 2022, le Conseil d'État rappelle que le Délégué à la Protection des Données (DPO) n'est pas protégé contre les sanctions disciplinaires ou les licenciements « à raison de manquements aux règles internes à l’entreprise applicables à tous ses salariés ».
L'article 39 du Règlement Général sur la Protection des Données (RGPD) indique en effet que le responsable du traitement et le sous-traitant veillent à ce que le DPO ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Il ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions.
La Cour de justice de l'Union européenne a rappelé, dans son arrêt du 22 juin 2022 (C-534/20), Leistritz AG c/ LH, que ces dispositions visent essentiellement à préserver l'indépendance fonctionnelle du délégué à la protection des données. Toutefois, comme reprend le Conseil d'État :
- Elles ne font pas obstacle au licenciement d'un délégué qui ne posséderait plus les qualités professionnelles requises pour exercer ses missions ou qui ne s'acquitterait pas de celles-ci conformément aux dispositions du RGPD ;
- Elles n'ont pas pour objet de régir globalement les relations de travail entre un responsable du traitement ou un sous-traitant et des membres de son personnel.
Dès lors, il est possible de reprocher au DPO des carences dans l'exercice de ses fonctions ainsi que le non-respect de règles internes à la société, dont il n'est pas allégué qu'elles étaient incompatibles avec son indépendance fonctionnelle.