Nadomeščanje DPO

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede nadomeščanja pooblaščene osebe za varstvo podatkov (ang. DPO).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da je treba pri imenovanju pooblaščene osebe vsekakor ravnati skrbno in previdno ter upoštevati vsa dejanja obdelave osebnih podatkov, ki jih izvajate, ter vrsto in obseg podatkov, ki se obdelujejo. V skladu z določbami oddelka 4 IV. poglavja Splošne uredbe o varstvu podatkov mora biti pooblaščena oseba za varstvo podatkov učinkovito dostopna. Pojem dostopnosti se nanaša na naloge pooblaščene osebe za varstvo podatkov kot kontaktne točke za posameznike, na katere se nanašajo osebni podatki, za nadzorni organ, pa tudi znotraj organizacije, glede na to, da je v skladu s členom 39 (1)(a) Splošne uredbe o varstvu podatkov ena od nalog pooblaščene osebe za varstvo podatkov obveščanje upravljavca ali obdelovalca in zaposlenih, ki izvajajo obdelavo, ter svetovanje navedenim o njihovih obveznostih v skladu s Splošno uredbo o varstvu podatkov. Posamezniki, na katere se nanašajo osebni podatki, morajo namreč imeti možnost stopiti v stik s pooblaščeno osebo za varstvo podatkov glede vseh vprašanj, povezanih z obdelavo njihovih osebnih podatkov, in uresničevanjem njihovih pravic na podlagi Splošne uredbe o varstvu podatkov.

Dostopnost pooblaščene osebe za varstvo podatkov (bodisi fizična v istih prostorih kot zaposleni bodisi preko namenske telefonske linije ali drugih varnih komunikacijskih sredstev) je tako bistvena za zagotovitev, da bodo lahko posamezniki, na katere se nanašajo osebni podatki, stopili v stik s pooblaščeno osebo za varstvo podatkov in z njo učinkovito komunicirali.

Glede imenovanja pooblaščene osebe za varstvo osebnih podatkov so evropski nadzorni organi za varstvo osebnih podatkov že pripravili podrobne smernice, ki so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf.

IP sklepno pojasnjuje, da tako v Splošni uredbi o varstvu podatkov kot v navedenih smernicah ni podrobneje opredeljeno, v katerih primerih, na kakšen način in za kakšno časovno obdobje je mogoče pooblaščeno osebo za varstvo podatkov nadomestiti z drugo osebo. Zato je odločitev, na kakšen način zagotoviti dostopnost pooblaščene osebe za varstvo podatkov, bodisi znotraj ali zunaj organizacije, povsem na strani upravljavca, ki z internimi organizacijskimi postopki določi ustrezen način nadomeščanja imenovane pooblaščene osebe za varstvo podatkov.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka