Postavitev začasne pooblaščene osebe za varstvo podatkov

Datum

15.02.2024

Številka

07121-1/2024/159

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše vprašanje. Zanima vas, če je lahko začasni DPO vodja kadrovske službe, dokler ne najdete zunanjega pooblaščenca.

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec imenuje pooblaščeno osebo, ki izpolnjuje pogoje, navedene v Splošni uredbi, oz. ZVOP-2. Imenuje jo predvsem na podlagi poklicnih odlik in zlasti strokovnega znanja o zakonodaji in praksi na področju varstva podatkov. Pooblaščena oseba lahko opravlja tudi druge naloge in dolžnosti, vendar mora ob tem upravljavec zagotoviti, da zaradi izvajanja drugih nalog in dolžnosti ne pride do nasprotja interesov. IP meni, da ta obveznost velja tudi v primeru, če se imenuje začasno pooblaščeno osebo za varstvo podatkov. Ali bi lahko bila določena oseba v konfliktu interesov zaradi opravljanja drugih nalog, pa mora presoditi upravljavec v konkretnem primeru.

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

IP je na vprašanja položaju in o konfliktu interesov pooblaščenih oseb za varstvo podatkov (t.i. »DPO«) že odgovarjal v izdanih mnenjih IP, ki so dostopna s pomočjo iskalnikov na https://www.ip-rs.si/mnenja-zvop-2/, npr. v mnenjih št. 07120-1/2023/261 z dne 8. 5. 2023 in št. 07120-1/2023/125 z dne 13. 3. 2023.

Pooblaščeno osebo za varstvo podatkov (ang. »DPO«) morajo med drugim imenovati vsi upravljavci in obdelovalci v javnem sektorju. Pooblaščeno osebo upravljavec imenuje predvsem na podlagi poklicnih odlik in zlasti strokovnega znanja o zakonodaji in praksi na področju varstva podatkov. Več o pogojih za imenovanje in njenih nalogah, lahko preberete v zgoraj citiranem mnenju št. št. 07120-1/2023/261.

Nadalje pojasnjujemo, da lahko v skladu s šestim odstavkom 38. člena Splošne uredbe pooblaščena oseba za varstvo podatkov opravlja tudi druge naloge in dolžnosti. Vendar pa mora pri tem vsak upravljavec zagotoviti, da zaradi vsakršnih takih nalog in dolžnosti ne pride do nasprotja interesov.

Pooblaščena oseba mora biti pri opravljanju svojega dela neodvisna in mora izvrševati naloge in imeti ustrezno pozicijo tako, da pri tem ne pride do konflikta interesov. To predvsem pomeni, da pooblaščena oseba v organizaciji ne sme imeti položaja, ki bi omogočala opredelitev namenov ali storitev obdelave osebnih podatkov. Iz navedenega razloga nalog pooblaščene osebe ne more opravljati nekdo, ki odloča o sredstvih in namenih obdelave osebnih podatkov, saj bi sicer pooblaščena oseba nadzirala samo sebe. Šesti odstavek 46. člena ZVOP-2 v zvezi s tem določa, da se v javnem sektorju šteje, da je določena oseba v nasprotju interesov, če je določena kot upravljavec informacijskega sistema, skrbnik informacijskega sistema ali vodja informacijske varnosti, ima položaj predstojnika v osebi javnega sektorja, če je član organov upravljanja ali nadzora pri upravljavcu ali obdelovalcu, če njene druge naloge vključujejo sistemsko odločanje o obdelavi osebnih podatkov pri upravljavcu ali obdelovalcu ali če zastopa upravljavca oziroma obdelovalca v sodnih ali arbitražnih postopkih v zvezi z vprašanji varstva osebnih podatkov. Določbe tega odstavka se smiselno uporabljajo za zasebni sektor.

Kot smo že večkrat poudarili, lahko splošno gledano nasprotujoči si položaji v organizaciji vključujejo položaje višjega vodstva (kot je med drugim tudi vodja službe za upravljanje s človeškimi viri) in tudi druge vloge na nižji ravni organizacijske strukture, če taki položaji ali vloge vodijo v določitev namenov in sredstev obdelave. Bistveno torej ni, ali konkretna oseba (zaposleni) obdeluje osebne podatke, ampak ali odloča o sredstvih in namenih njihove obdelave.

Če je v vašem primeru upravljavec presodil, da vodja kadrovske službe odloča o sredstvih in namenih obdelave osebnih podatkov, potem po mnenju IP ne sme opravljati nalog začasno imenovane pooblaščene osebe za varstvo podatkov. Vodja kadrovske službe bi namreč imel v času imenovanja enake pravice in dolžnosti po Splošni uredbi in ZVOP-2 kot pooblaščena oseba, kar pomeni, da bi pri izvajanju svojih nalog dejansko prišel v situacijo, ko bi bil v nasprotju interesov, kar pa Splošna uredba izrecno prepoveduje.

Več o položaju pooblaščenih oseb lahko preberete tudi v Smernicah o pooblaščenih osebah za varstvo podatkov Delovne skupine za varstvo podatkov iz člena 29 (dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf) in na spletni strani IP »Pooblaščena oseba za varstvo podatkov po Splošni uredbi in ZVOP-2«: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/pooblaščena-oseba-za-varstvo-podatkov.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo