Imenovanje zunanje pooblaščene osebe za varstvo podatkov

Datum

25.02.2025

Številka

07121-1/2025/171

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO

Pri Informacijskem pooblaščencu (IP) smo 29. 1. 2025 prejeli vaše zaprosilo za mnenje glede imenovanja zunanje pooblaščene osebe za varstvo podatkov (DPO). Zanima vas, ali lahko funkcijo opravlja pravna oseba in ali se lahko za izvajanje nalog DPO imenuje vodilna oseba.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pooblaščena oseba za varstvo podatkov je lahko zunanja pravna oseba, ki svojo funkcijo izvaja na podlagi pogodbe o storitvah, ki jo sklene z organizacijo. Pri tem je bistveno, da vsaka oseba, ki izvaja funkcije pooblaščene osebe za varstvo podatkov, izpolnjuje vse veljavne zahteve iz Splošne uredbe o varstvu podatkov.

Za izvajanje nalog pooblaščene osebe za varstvo osebnih podatkov se izmed članov zunanje ekipe lahko določi en posameznik kot glavna kontaktna točka in „pristojna“ oseba za stranko.

Obrazložitev

Zunanja pooblaščena oseba za varstvo podatkov (DPO) je na podlagi šestega odstavka 37. člena Splošne uredbe lahko član osebja upravljavca ali obdelovalca ali pa naloge opravlja na podlagi pogodbe o storitvah. To pomeni, da je lahko pooblaščena oseba za varstvo podatkov zunanja in lahko svojo funkcijo izvaja na podlagi pogodbe o storitvah, ki jo sklene z organizacijo.

Kadar funkcijo pooblaščene osebe za varstvo podatkov opravlja zunanji ponudnik storitev, lahko ekipa posameznikov, ki delajo za ponudnika, izvaja naloge pooblaščene osebe za varstvo podatkov v okviru odgovornosti pooblaščene glavne kontaktne osebe in „pristojne osebe“ za stranko. Pri tem pa je bistveno, da vsaka oseba, ki izvaja funkcije pooblaščene osebe za varstvo podatkov, izpolnjuje vse veljavne zahteve iz Splošne uredbe o varstvu podatkov.

Za izvajanje nalog pooblaščene osebe za varstvo osebnih podatkov se torej lahko imenuje 'vodilna' oziroma pristojna oseba, celo priporočljivo je, da se zaradi pravne jasnosti in dobre organizacije ter preprečevanja nasprotij interesov med člani ekipe v pogodbi o storitvah jasno razdelijo naloge v ekipi zunanje pooblaščene osebe za varstvo podatkov in da se za glavno kontaktno točko in „pristojno“ osebo za stranko določi en posameznik.

V pomoč vam pošiljamo še povezavo do naše spletne strani, kjer lahko najdete podrobnejše informacije o institutu pooblaščene osebe za varstvo podatkov: IPRS - Pooblaščena oseba za varstvo podatkov po Splošni uredbi in ZVOP-2.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik,

informacijska pooblaščenka