Položaj DPO

Datum

09.06.2023

Številka

07121-1/2023/779

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede položaja pooblaščene osebe za varstvo podatkov (ang. DPO).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Presoja glede določitve in položaja pooblaščene osebe za varstvo podatkov je v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov.

Določbe šestega odstavka 46. člena ZVOP-2, ki določajo, kdaj se v javnem sektorju šteje, da je določena oseba v nasprotju interesov, se smiselno uporabljajo tudi za zasebni sektor.

Obrazložitev

IP uvodoma poudarja, da je končna presoja glede določitve in položaja pooblaščene osebe za varstvo podatkov v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov in IP po Splošni uredbi v postopku imenovanja te osebe nima nobenih pristojnosti ter se glede tega ne more in ne sme opredeljevati. IP lahko svojo zavezujočo oceno poda le v konkretnem inšpekcijskem postopku.

IP poudarja, da v okviru neobvezujočega mnenja ne more dokončno presojati, ali za konkretno osebo, ki jo opisujete v vašem zaprosilu za mnenje, obstaja konflikt interesov. IP pojasnjuje, da v skladu s šestim odstavkom 38. člena Splošne uredbe pooblaščena oseba za varstvo podatkov lahko opravlja tudi druge naloge in dolžnosti. Vendar pa mora pri tem vsak upravljavec (v konkretnem primeru vaše podjetje) zagotoviti, da zaradi vsakršnih takih nalog in dolžnosti ne pride do nasprotja interesov. Eno izmed vodil pri delu pooblaščene osebe je namreč njena neodvisnost, saj pooblaščena oseba med drugim ne sme biti v konfliktu (nasprotju) interesov. To predvsem pomeni, da pooblaščena oseba v organizaciji ne sme imeti položaja, ki bi omogočala opredelitev namenov ali storitev obdelave osebnih podatkov. Iz navedenega razloga nalog pooblaščene osebe ne more opravljati nekdo, ki odloča o sredstvih in namenih obdelave osebnih podatkov, saj bi sicer pooblaščena oseba nadzirala samo sebe. Podrobnejše določbe glede nasprotja interesov vsebuje tudi ZVOP-2 v petem in šestem odstavku 46. člena. Slednji podrobneje opredeljuje nasprotje interesov, saj določa, da se v javnem sektorju šteje, da je določena oseba v nasprotju interesov, če je določena kot upravljavec informacijskega sistema, skrbnik informacijskega sistema ali vodja informacijske varnosti, ima položaj predstojnika v osebi javnega sektorja, če je član organov upravljanja ali nadzora pri upravljavcu ali obdelovalcu, če njene druge naloge vključujejo sistemsko odločanje o obdelavi osebnih podatkov pri upravljavcu ali obdelovalcu ali če zastopa upravljavca oziroma obdelovalca v sodnih ali arbitražnih postopkih v zvezi z vprašanji varstva osebnih podatkov. Določbe tega odstavka se smiselno uporabljajo tudi za zasebni sektor.

Splošno gledano lahko nasprotujoči si položaji v javnem sektorju vključujejo položaje višjega vodstva (kot so predstojnik oziroma direktor, vodja službe za upravljanje s človeškimi viri, vodja oddelka za informacijsko tehnologijo) in tudi druge vloge na nižji ravni organizacijske strukture, če taki položaji ali vloge vodijo v določitev namenov in sredstev obdelave. Bistveno torej ni, ali konkretna oseba (zaposleni) obdeluje osebne podatke, ampak ali odloča o sredstvih in namenih njihove obdelave. IP ob tem pojasnjuje tudi, da je zaradi posebne organizacijske strukture vsakega upravljavca to treba obravnavati za vsak primer posebej, zato je priporočljivo, da vsak upravljavec posebej opredeli položaje, ki so glede na njegovo organizacijsko strukturo nezdružljivi s funkcijo pooblaščene osebe za varstvo podatkov.

IP pojasnjuje tudi, da potrebna raven formalne izobrazbe pooblaščene osebe za varstvo podatkov v Splošni uredbi oziroma ZVOP-2 ni izrecno predpisana. Glede strokovnega znanja pa ZVOP-2 v prvem odstavku 46. člena med drugim določa, da je za pooblaščeno osebo upravljavca ali obdelovalca in njenega namestnika lahko določen posameznik, ki ima znanja oziroma praktične izkušnje s področja varstva osebnih podatkov. Stopnja znanja in praktičnih izkušenj ni nadalje predpisana, vsekakor pa mora biti v sorazmerju z občutljivostjo, zapletenostjo in količino podatkov, ki jih obdeluje upravljavec. Ob tem bi morala pooblaščena oseba dobro poznati in razumeti dejanja obdelave, ki se izvajajo, ter potrebe upravljavca v zvezi z varstvom podatkov. Prav tako bi pooblaščena oseba morala dobro razumeti tudi informacijske sisteme, ki se uporabljajo, ter potrebe upravljavca v zvezi z varnostjo in varstvom podatkov. Omenjene kriterije je torej treba v konkretnem primeru obravnavati glede na značilnosti in organizacijsko strukturo vašega podjetja.

IP dodaja, da so evropski nadzorni organi za varstvo osebnih podatkov že pripravili podrobne smernice, ki vam bodo v pomoč pri presojanju položaja pooblaščene osebe:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf.

IP vas napotuje tudi na spletno stran IP, kjer lahko prav tako najdete uporabne napotke glede pooblaščene osebe za varstvo podatkov:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/pooblaščena-oseba-za-varstvo-podatkov

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka