Imenovanje pooblaščene osebe za varstvo podatkov (DPO)

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo 24. 10. 2022 prejeli vaše zaprosilo za mnenje glede imenovanja pooblaščene osebe za varstvo podatkov (DPO).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obveznost imenovanja pooblaščene osebe ni vezana na število zaposlenih v podjetju.

37. člen Splošne uredbe o varstvu podatkov namreč določa, da morajo pooblaščeno osebo imenovati:

- javni organi in telesa;

- podjetja, katerih temeljne dejavnosti zajemajo dejanja obdelave, pri katerih je treba posameznike redno in sistematično obsežno spremljati;

- podjetja in institucije, ki izvajajo obsežno obdelavo zdravstvenih in drugih občutljivih podatkov.

Primarni namen pooblaščene osebe za varstvo podatkov ni obdelava osebnih podatkov, temveč izvajanje nadzornih, ozaveščevalnih, svetovalnih in drugih nalog, ki jih takšni osebi nalaga Splošna uredba o varstvu podatkov. Ob tem IP dodaja še, da je ključno vodilo pri izvajanju nalog pooblaščene osebe neodvisnost. To predvsem pomeni, da pooblaščena oseba v organizaciji ne sme imeti položaja, ki bi omogočala opredelitev namenov ali storitev obdelave osebnih podatkov.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da je presoja, v kolikšni meri je posamezen subjekt glede na dejavnost in obseg osebnih podatkov, ki jih obdeluje, zavezan k imenovanju pooblaščene osebe za varstvo podatkov, koga imenuje in kakšen je njen položaj, v celoti na strani samega subjekta, saj IP izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. IP tako ne more konkretno odgovoriti na vprašanja iz vašega zaprosila za mnenje niti presojati posameznih konkretnih obdelav osebnih podatkov, ki jih navajate, ampak v nadaljevanju podaja splošna pojasnila.

Obveznost imenovanja pooblaščene osebe ni vezana na število zaposlenih v podjetju, temveč morate na podlagi spodaj navedenih kriterije oceniti, ali ste takšno podjetje ali institucija, ki mora imeti pooblaščeno osebo.

Splošna uredba o varstvu podatkov (v nadaljevanju Uredba) v 37. členu določa, da morajo pooblaščeno osebo imenovati:

1. javni organi in telesa. Kaj vse sodi med javni sektor oz. v definicijo javnega organa bo določil ZVOP-2.

2. Podjetja, katerih temeljne dejavnosti zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike redno in sistematično obsežno spremljati. Sem sodijo npr. banke, zavarovalnice, operaterji elektronskih komunikacij, trgovci s klubi zvestobe. Prav tako bi sem sodile kadrovske agencije, številne spletne trgovine in IT podjetja, ki vzdržujejo rešitve za obdelavo osebnih podatkov posameznikov, npr. sistemi za upravljanje podatkov kupcev in njihovo profiliranje (upravljanje odnosov s strankami, angl. CRM), zdravstveni IT sistemi. Proizvodna podjetja in druga podjetja, katerih temeljne storitve niso namenjene posameznikom, temveč drugim podjetjem in ki ne vključujejo obsežne obdelave osebnih podatkov, niso dolžna imenovati pooblaščene osebe.

3. Tista podjetja in institucije, ki izvajajo obsežno obdelavo zdravstvenih in drugih občutljivih podatkov, ki sodijo med t.i. posebne vrste podatkov, npr. bolnišnice in klinike, zdravstveni in socialno-varstveni zavodi, ponudniki zdravstvenih informacijskih sistemov in storitev. Posamezen zasebni zdravnik, zobozdravnik ali odvetnik ni dolžan imenovati pooblaščene osebe.

IP ob tem razlaga, da so po 39. členu Uredbe naloge pooblaščene osebe predvsem svetovalno-nadzorne narave:

(a) obveščanje upravljavca ali obdelovalca in zaposlenih, ki izvajajo obdelavo, ter svetovanje navedenim o njihovih obveznostih v skladu s to Uredbo in drugimi določbami prava Unije ali prava države članice o varstvu podatkov;

(b) spremljanje skladnosti s to uredbo, drugimi določbami prava Unije ali prava države članice o varstvu podatkov in politikami upravljavca ali obdelovalca v zvezi z varstvom osebnih podatkov, vključno z dodeljevanjem nalog, ozaveščanjem in usposabljanjem osebja, vključenega v dejanja obdelave, ter s tem povezanimi revizijami;

(c) svetovanje, kadar je to zahtevano, glede ocene učinka v zvezi z varstvom podatkov in spremljanje njenega izvajanja v skladu s členom 35;

(d) sodelovanje z nadzornim organom;

(e) delovanje kot kontaktna točka za nadzorni organ pri vprašanjih v zvezi z obdelavo, vključno s predhodnim posvetovanjem iz člena 36, in, kjer je ustrezno, posvetovanje glede katere koli druge zadeve.

Pooblaščena oseba naj torej deluje kot notranji revizor za varstvo osebnih podatkov, med njene glavne naloge pa spadajo spremljanje skladnosti z Uredbo, svetovanje upravljavcem in obdelovalcem o njihovih obveznostih, izobraževanje in ozaveščanje zaposlenih ter svetovanje glede izvedbe ocene učinka v zvezi z varstvom podatkov.

Ob tem IP dodaja še, da mora biti ključno vodilo pri izvajanju nalog pooblaščene osebe neodvisnost. To predvsem pomeni, da pooblaščena oseba v organizaciji ne sme imeti položaja, ki bi omogočala opredelitev namenov ali storitev obdelave osebnih podatkov. Na splošno gledano, nasprotujoči si položaji v organizaciji vključujejo položaje višjega vodstva (kot so izvršni direktor, operativni direktor, finančni direktor, vodja zdravstvene službe, vodja oddelka za trženje, vodja službe za človeške vire ali vodja oddelkov za informacijsko tehnologijo) in tudi druge vloge na nižji ravni organizacijske strukture, če taki položaji ali vloge vodijo v določitev namenov in sredstev obdelave.

IP sklepno dodaja še, da so evropski nadzorni organi za varstvo osebnih podatkov že pripravili podrobne smernice o pooblaščenih osebah za varstvo podatkov, ki so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf.

V upanju, da smo vam pomagali, vas lepo pozdravljamo,

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka