Način organiziranosti instituta pooblaščene osebe za varstvo osebnih podatkov na ministrstvu

Datum

31.03.2025

Številka

07120-1/2025/139

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje in sicer prosite za mnenje in usmeritve glede možnosti in načina organizacije pooblaščene osebe za varstvo osebnih podatkov (v nadaljevanju DPO) na ministrstvu, predvsem v smislu možnosti oblikovanja DPO kot kolegijskega organa kot tudi glede primernosti tega, da se DPO »profesionalizira« v smislu, da med delovnim časom opravlja samo naloge DPO in ne tudi naloge z drugih delovnih področij. Poleg tega prosite tudi za podrobnejše pojasnilo tretjega odstavka 45. člena ZVOP-2, predvsem v smislu, ali je dopustno, da ima DPO več namestnikov in ali lahko DPO zaupa posamezne naloge v trajno izvrševanje namestniku s pooblastilom.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uvodoma moramo izpostaviti, da se IP v okviru nezavezujočih mnenj ne more in ne sme opredeljevati, ali je določena obveznost zavezanca v konkretnem primeru izpolnjena ali ne, temveč lahko izven uradnega inšpekcijskega postopka podamo le nezavezujoče mnenje na osnovi informacij, ki in kot so nam bile predstavljene.

IP je glede pooblaščenih oseb za varstvo osebnih podatkov (DPO) objavil vse pomembne informacije na naši spletni strani pod zavihkom »Ključna področja po Splošni uredbi in ZVOP-2«, in sicer na naslovu:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/poobla%C5%A1%C4%8Dena-oseba-za-varstvo-podatkov.

Glede na to, da ministrstva pri izvajanju svojih pristojnosti opravljajo številne in kompleksne naloge v povezavi z obdelavo osebnih podatkov, ne vidimo posebnih zadržkov, da se naloge DPO na ministrstvu (ob izpolnjevanju pogojev glede nalog, imenovanja in položaja DPO po splošni uredbi in ZVOP-2) ne bi smelo opravljati kot kolegijski organ. Prav tako glede na navedeno in tudi glede na ugotovitve iz preventivnih aktivnosti za skladnost, iz katerih tako na nacionalnem kot na evropskem nivoju izhaja, da imajo v splošnem DPO za opravljanje svojih nalog premalo časa, ne vidimo posebnih zadržkov, da DPO na ministrstvu med delovnim časom opravlja samo naloge DPO in ne tudi nalog z drugih delovnih področij oziroma je to verjetno celo priporočljivo glede na obseg in kompleksnost obdelav osebnih podatkov na ministrstvih.

Tretji odstavek 45. člena ZVOP-2 določa, da lahko vsak upravljavec ali obdelovalec določi tudi namestnika pooblaščene osebe. Pooblaščena oseba svojega namestnika pooblasti, da opravlja s pooblastilom določene naloge pooblaščene osebe. Zanima vas, ali je dopustno, da ima DPO več namestnikov in ali lahko DPO zaupa posamezne naloge v trajno izvrševanje namestniku s pooblastilom.

IP meni, da lahko upravljavec imenuje tudi več namestnikov DPO, pri čemer je bistveno, da z imenovanjem namestnika oziroma namestnikov ne pride do zniževanja standardov oziroma kriterijev, ki jih za imenovanje, položaj in naloge DPO določata Splošna uredba in ZVOP-2 (npr. da tudi namestnik ni v nasprotju interesov). Vsak od namestnikov mora izpolnjevati pogoje, kot veljajo za določitev DPO po Splošni uredbi in ZVOP-2, poleg ostalih pogojev pa je v primeru ministrstev treba upoštevati tudi določbo tretjega odstavka 49. člena ZVOP-2, ki določa, da vsak minister ali ministrica določi pooblaščeno osebo, ki je zaposlena na tem ministrstvu, v primeru ministrstva brez listnice pa na organu ali v službi ministra, da torej isti pogoj velja tudi za vse namestnike DPO na ministrstvu. Tako kot navajajo Smernice o pooblaščenih osebah za varstvo osebnih podatkov Evropskega odbora za varstvo podatkov, bi bilo v teh primerih treba jasno oblikovati notranjo strukturo ekipe ter naloge in odgovornosti vsakega od njenih članov.

Glede samega pooblastila ZVOP-2 ne vsebuje posebnih ali specifičnih omejitev glede trajanja pooblastila, s katerim (lahko) DPO svojega namestnika pooblasti, da s pooblastilom opravlja določene naloge pooblaščene osebe.

Lepo vas pozdravljamo,

dr. Jelena Virant Burnik,

Informacijska pooblaščenka

Pripravil:

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke

---

[1]Informacijski pooblaščenec: Dan varstva osebnih podatkov 2020 – Pooblaščene osebe za varstvo osebnih podatkov v javnem sektorju – med zahtevami in realnostjo; dostopno na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Porocila_IP/Dan%20varstva%20OP%202020%20-%20rezultati%20DPO%2520ankete.pdf.

[2]Glej EDPB - Coordinated Enforcement Action, Designation and Position of Data Protection Officers; dostopno na: https://www.edpb.europa.eu/our-work-tools/our-documents/other/coordinated-enforcement-action-designation-and-position-data_en.

[3]https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf