Imenovanje pooblaščene osebe za varstvo podatkov (DPO)

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše sporočilo, v katerem nas prosite za mnenje glede imenovanja pooblaščene osebe za varstvo podatkov (DPO). Kot ste pojasnili ste javni zavod (osnovna šola). Imenovana pooblaščenka za varstvo osebnih podatkov je pred kratkim prenehalo delovno razmerje, zato morate spremeniti oziroma na novo pooblastiti drugo osebo. Zanima vas, ai so kakšni posebni pogoji, kot npr. izobrazba, dodatna usposabljanja (npr. ZUP), ki bi jih moral izpolnjevati pooblaščenec v zavodu ali ravnateljica zavoda lahko imenuje naslednico – tajnik VIZ/poslovni sekreta, ki je prevzela delovno mesto predhodnice)?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da določbe Splošne uredba, ki urejajo imenovanje, položaj in naloge DPO (členi 37 do 39 Splošne uredbe) ne vsebujejo zelo konkretnih zahtev glede potrebne stopnje izobrazbe, poklicnih odlik ali znanj, ki bi jih morala izpolnjevati oziroma imeti pooblaščena oseba za varstvo osebnih podatkov. 5. odstavek člena 38 Splošne uredbe tako precej splošno določa, da se pooblaščena oseba za varstvo podatkov  imenuje na podlagi poklicnih odlik in zlasti strokovnega znanja o zakonodaji in praksi na področju varstva podatkov ter zmožnosti za izpolnjevanje nalog iz člena 39, ne precizira pa, kaj konkretno naj bi to pomenilo. Glede samega položaja opozarjamo še na previdnost glede konflikta interesov - pooblaščena oseba za varstvo podatkov lahko opravlja druge naloge in dolžnosti, pri čemer upravljavec ali obdelovalec zagotovi, da zaradi vsakršnih takih nalog in dolžnosti ne pride do nasprotja interesov.

Menimo, da vam bodo pri presojanju ustreznih pogojev ob imenovanju primerne pooblaščene osebe – tako glede pogojev za učinkovito opravljanje nalog kot glede potencialnega konflikta interesov - zlasti lahko v  pomoč smernice Evropskega odbora za varstvo podatkov, ki so dostopne na:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf

V pomoč vam bodo tudi Priporočila IP glede pooblaščenih oseb za varstvo osebnih podatkov, ki so dostopna na:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/novice/Priporocila_IP_glede_delovanja_DPO_koncno.pdf

Zaključno dodajamo še, da lahko pogoje glede strokovnega znanja in ostalih kvalifikacij DPO potencialno spremeni sprejem novega Zakona o varstvu osebnih podatkov (ZVOP-2), ki pa v času izdaje tega mnenja še ni sprejet.

S spoštovanjem,

Mojca Prelesnik, univ.dipl.prav.,                                                                                                  

informacijska pooblaščenka

Pripravil:                                                                                                                                 

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke