Pooblaščena oseba za varstvo osebnih podatkov in nasprotje interesov

Datum

25.11.2025

Številka

07121-1/2025/1324

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje in sicer prosite za mnenje glede določb Splošne uredbe o varstvu podatkov v zvezi z neodvisnostjo pooblaščene osebe za varstvo osebnih podatkov (DPO). Zanima vas, ali je lahko za DPO imenovana oseba, ki je predhodno sodelovala pri pripravi internih pravnih aktov podjetja na področju varstva osebnih podatkov in drugih pravnih podlag, oziroma natančneje, ali je lahko pooblaščena oseba nekdo iz odvetniške pisarne, ki podjetju hkrati nudi pravno svetovanje in je te akte pripravljal. Prosite za pojasnilo, ali bi takšna vloga predstavljala nasprotje interesov oziroma kršitev načela neodvisnosti pooblaščene osebe za varstvo podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uvodoma moramo izpostaviti, da se IP v okviru nezavezujočih mnenj ne more in ne sme opredeljevati, ali je določena obveznost zavezanca v konkretnem primeru izpolnjena oziroma kršena, temveč lahko izven uradnega inšpekcijskega postopka podamo le nezavezujoče mnenje na osnovi informacij, ki in kot so nam bile predstavljene.

IP je glede pooblaščenih oseb za varstvo osebnih podatkov (DPO) objavil vse pomembne informacije na naši spletni strani pod zavihkom »Ključna področja po Splošni uredbi in ZVOP-2«, in sicer na naslovu:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/poobla%C5%A1%C4%8Dena-oseba-za-varstvo-podatkov.

Splošna uredba izrecno ne opredeljuje, kdaj nastopi nasprotje interesov, v pomoč pa so lahko smernice Evropskega odbora za varstvo podatkov o DPO (WP243rev1; dostopno na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf; str.18-19), kjer je navedeno:

»Odsotnost nasprotja interesov je tesno povezana z zahtevo glede neodvisnega delovanja. Čeprav lahko imajo pooblaščene osebe za varstvo podatkov tudi druge funkcije, se jim lahko druge naloge in dolžnosti zaupajo le, če slednje ne povzročajo nasprotij interesov. To zlasti pomeni, da pooblaščena oseba za varstvo podatkov v organizaciji ne sme zavzemati položaja, v okviru katerega lahko določi namene in sredstva obdelave osebnih podatkov. Zaradi posebne organizacijske strukture vsake organizacije je treba to obravnavati za vsak primer posebej.

Splošno gledano lahko nasprotujoči si položaji v organizaciji vključujejo položaje višjega vodstva (kot so izvršni direktor, operativni direktor, finančni direktor, vodja zdravstvene službe, vodja oddelka za trženje, vodja službe za človeške vire ali vodja oddelkov za informacijsko tehnologijo) in tudi druge vloge na nižji ravni organizacijske strukture, če taki položaji ali vloge vodijo v določitev namenov in sredstev obdelave. Nasprotje interesov lahko poleg tega na primer nastopi, če je zunanja pooblaščena oseba za varstvo podatkov zaprošena, da upravljavca ali obdelovalca v zadevah, povezanih z varstvom podatkov, zastopa pred sodišči. Glede na dejavnost, velikost in strukturo organizacije lahko dobra praksa upravljavcev ali obdelovalcev pomeni:

opredelitev položajev, ki bi bili nezdružljivi s funkcijo pooblaščene osebe za varstvo podatkov;

oblikovanje notranjih pravil o tem, da bi preprečili nasprotja interesov;

vključitev splošnejše razlage nasprotij interesov;

izjavo, da njihova pooblaščena oseba za varstvo podatkov ni v nasprotju interesov v zvezi s svojo funkcijo, kot način seznanjanja s to zahtevo ter vključitev zaščitnih ukrepov v notranja pravila organizacije in zagotovitev, da je razpis prostega delovnega mesta pooblaščene osebe za varstvo podatkov ali pogodba o storitvah dovolj natančna in podrobna za preprečevanje nasprotja interesov. V zvezi s tem bi bilo treba upoštevati tudi, da imajo lahko nasprotja interesov različne oblike glede na to, ali je pooblaščena oseba za varstvo podatkov zaposlena notranje ali zunanje.

Smernice dalje na str. 24-25 glede zunanjih pooblaščenih oseb pojasnjuje naslednje:

»Kadar funkcijo pooblaščene osebe za varstvo podatkov opravlja zunanji ponudnik storitev, lahko ekipa posameznikov, ki delajo za ta subjekt, kot taka učinkovito izvaja naloge pooblaščene osebe za varstvo podatkov v okviru odgovornosti pooblaščene glavne kontaktne osebe in „pristojne osebe“ za stranko. V tem primeru je bistveno, da vsak član zunanje organizacije, ki izvaja funkcije pooblaščene osebe za varstvo podatkov, izpolnjuje vse veljavne zahteve iz Splošne uredbe o varstvu podatkov. Zaradi pravne jasnosti in dobre organizacije ter preprečevanja nasprotij interesov med člani ekipe je v smernicah priporočeno, da se v pogodbi o storitvah jasno razdelijo naloge v ekipi zunanje pooblaščene osebe za varstvo podatkov in da se za glavno kontaktno točko in „pristojno“ osebo za stranko določi en posameznik.«

Smernice sicer izredno ne naslavljajo vašega vprašanja, ali je lahko za DPO imenovana oseba, ki je predhodno sodelovala pri pripravi internih pravnih aktov podjetja na področju varstva osebnih podatkov in drugih pravnih podlag, oziroma ali je lahko pooblaščena oseba nekdo iz odvetniške pisarne, ki podjetju hkrati nudi pravno svetovanje in je te akte pripravljal. Menimo pa, da je treba pri tem izhajati iz temeljnega poslanstva DPO, t.j. da - poleg ostalih nalog - opravlja neodvisen nadzor nad obdelavo osebnih podatkov, kar bi bilo v situaciji, ko bi moral DPO nadzirati lastne izdelke, sporno, saj bi to pomenilo poseg v njegovo neodvisnost. Tako menimo, da oseba iz odvetniške pisarne, ki podjetju hkrati nudi pravno svetovanje in pripravlja interne akte glede obdelave osebnih podatkov, ne bi smela hkrati opravljati tudi vlogo zunanje pooblaščena osebe za to podjetje.

Lepo vas pozdravljamo,

dr. Jelena Virant Burnik,

Informacijska pooblaščenka

Pripravil:

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke