Odločitev upravljavca o razrešitvi pooblaščene osebe za varstvo osebnih podatkov

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše vprašanje o dopustnosti postopka razrešitve pooblaščene osebe za varstvo osebnih podatkov ter glede pristojnega organa za izpodbijanje take odločitve upravljavca.

V nadaljevanju vam na podlagi informacij, ki ste nam jih posredovali, skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov oz. Uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo pojasnila IP.

Splošna uredba o varstvu podatkov podrobneje ne določa samega postopka razrešitve ali zamenjave pooblaščene osebe za varstvo podatkov, niti v ničemer ne prepoveduje takšne razrešitve ali zamenjave. Splošna uredba v členu 37 opredeljuje obveznost imenovanja pooblaščene osebe ter še določa, da se pooblaščena oseba za varstvo podatkov imenuje na podlagi poklicnih odlik in zlasti strokovnega znanja o zakonodaji in praksi na področju varstva podatkov ter zmožnosti za izpolnjevanje nalog iz člena 39 Splošne uredbe. Nadalje člen 38 Splošne uredbe določa vsebinsko vidike položaja pooblaščene osebe glede vprašanja razrešitve pa določa, da pooblaščena oseba za varstvo podatkov ne sme biti razrešena ali kaznovana zaradi opravljanja svojih nalog ter, da pooblaščena oseba za varstvo podatkov neposredno poroča najvišji upravni ravni upravljavca ali obdelovalca. V členu 39 pa Splošna uredba določa konkretne minimalne naloge, ki naj jih pooblaščena oseba opravlja.

Pogodbeni vidiki razmerja med pooblaščeno osebo in upravljavcev so torej lahko različni. Lahko gre za delovnopravno razmerje ali pa za klasično civilnopravno pogodbeno razmerje o opravljanju določenih storitev. IP ni pristojen za tolmačenje ureditve takšnega pogodbenega razmerja in medsebojnih obveznosti pogodbenih strank. Ti so v primeru, da gre za razmerje zaposlitve, podvrženi postopkovnim in drugim pravilom delovnopravne zakonodaje, ki velja za posameznega delodajalca in zaposlenega. Zato IP tudi ne more podajati nasvetov glede pravnih sredstev, ki so v posameznem primeru na voljo ob sumu kršitev bodisi delovnopravnih bodisi drugih pogodbenih obveznosti.

IP lahko presoja zgolj o morebitnem sumu kršitev določb Splošne uredbe v inšpekcijskem postopku (npr. če bi šlo za sum kršitve 37., 38. ali 39. člena Splošne uredbe), ni pa pristojen drugostopenjski organ za presojo procesne in vsebinske zakonitosti posameznih pravnih dejanj, ki izhajajo bodisi iz delovnopravnega bodisi iz drugega pogodbenega razmerja med pooblaščeno osebo in upravljavcem.

Splošna uredba v členu 82 določa, da ima vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo. O tem v Sloveniji presojajo sodišča.

Lepo vas pozdravljamo,

Pripravila:

Alenka Jerše, univ. dipl. prav.

namestnica informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka