Objava podatkov o DPO

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede objave informacij o pooblaščeni osebi za varstvo podatkov (ang. DPO).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti s Splošno uredbo o varstvu podatkov. IP se tako v okviru mnenja ne more opredeljevati glede skladnosti konkretnih rešitev, ki jih predlaga posamezni upravljavec, z vidika skladnosti s Splošno uredbo o varstvu podatkov.

IP pojasnjuje, da Splošna uredba o varstvu podatkov v sedmem odstavku 37. člena določa obveznost, da upravljavec ali obdelovalec objavi kontaktne podatke pooblaščene osebe za varstvo podatkov in jih sporoči nadzornemu organu. Na ta način lahko posamezniki, na katere se nanašajo osebni podatki, stopijo v stik s pooblaščeno osebo za varstvo podatkov, ne da bi jim bilo treba stopiti v stik z drugim delom organizacije. Kontaktni podatki morajo vsebovati poštni naslov, namensko telefonsko številko in/ali namenski e-poštni naslov. Te informacije posameznikom omogočajo preprosto vzpostavitev stika s pooblaščeno osebo za varstvo podatkov. Navedena določba Splošne uredbe o varstvu podatkov ne določa, da morajo objavljeni kontaktni podatki vključevati tudi ime pooblaščene osebe za varstvo podatkov, vsekakor pa je to lahko dobra praksa. Odločitev o tem, ali objaviti tudi osebno ime pooblaščene osebe za varstvo podatkov, pa sprejme vsak upravljavec sam. Splošna uredba o varstvu podatkov, kot rečeno, te obveznosti namreč ne določa, je pa treba obvezno sporočiti njeno ime nadzornemu organu (IP).

V zvezi s pooblaščenimi osebami za varstvo podatkov so evropski nadzorni organi za varstvo podatkov že pripravili podrobne smernice, ki vam bodo v pomoč pri vaši odločitvi o objavi podatkov pooblaščene osebe za varstvo podatkov:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf.

Navedene smernice med drugim določajo, da mora biti pooblaščena oseba za varstvo podatkov, po potrebi s pomočjo svoje ekipe, sposobna učinkovito komunicirati s posamezniki, na katere se nanašajo osebni podatki, in sodelovati z zadevnimi nadzornimi organi. To pomeni tudi, da se mora ta komunikacija izvajati v jeziku ali jezikih, ki jih uporabljajo zadevni nadzorni organi in posamezniki, na katere se nanašajo osebni podatki. Dostopnost pooblaščene osebe za varstvo podatkov (bodisi fizična v istih prostorih kot zaposleni, prek namenske telefonske linije ali drugih varnih komunikacijskih sredstev) je bistvena za zagotovitev, da bodo lahko posamezniki, na katere se nanašajo osebni podatki, stopili v stik s pooblaščeno osebo za varstvo podatkov.

Uporabne napotke glede objave informacij o pooblaščeni osebi za varstvo podatkov lahko najdete tudi na spletni strani IP:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pooblascena-oseba-za-varstvo-podatkov/.

IP je izdal tudi priporočila glede delovanja pooblaščene osebe za varstvo podatkov, ki so prav tako dostopna na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/novice/Priporocila_IP_glede_delovanja_DPO_koncno.pdf

IP sklepno ponavlja, da se v okviru mnenja ne more opredeljevati glede skladnosti konkretnih rešitev, ki jih predlaga posamezni upravljavec, z vidika skladnosti s Splošno uredbo o varstvu podatkov. Vsekakor pa IP priporoča, da se informacije o pooblaščeni osebi za varstvo podatkov objavijo na vidnem mestu na spletnih straneh, s katerimi upravlja posamezni upravljavec, kjer so posamezniku lahko dostopne oziroma vidne.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka