Imenovanje DPO

Datum

01.03.2023

Številka

07121-1/2023/285

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede imenovanja pooblaščene osebe za varstvo podatkov (ang. DPO).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZustS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Presoja glede določitve in položaja pooblaščene osebe za varstvo podatkov je v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov.

Pri odločitvi o imenovanju pooblaščene osebe je treba ravnati skrbno in previdno ter upoštevati vsa dejanja obdelave osebnih podatkov, ki jih izvaja posamezni upravljavec/obdelovalec, ter vrsto in obseg podatkov, ki se obdelujejo.

Pooblaščeno osebo za varstvo podatkov je obvezno določiti le v tistih primerih, ki jih določata 37. člen Splošne uredbe in 45. člen ZVOP-2.

Obrazložitev

IP uvodoma poudarja, da je končna presoja glede določitve in položaja pooblaščene osebe za varstvo podatkov v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov in IP po Splošni uredbi o varstvu podatkov v postopku imenovanja te osebe nima nobenih pristojnosti ter se glede tega ne more in ne sme opredeljevati. IP lahko svojo zavezujočo oceno poda le v konkretnem inšpekcijskem postopku.

IP pojasnjuje, da je treba pri odločitvi o imenovanju pooblaščene osebe vsekakor ravnati skrbno in previdno ter upoštevati vsa dejanja obdelave osebnih podatkov, ki jih izvaja posamezni upravljavec/obdelovalec, ter vrsto in obseg podatkov, ki se obdelujejo. Vlogo pooblaščene osebe je treba razumeti kot neodvisnega notranjega svetovalca in »revizorja« glede osebnih podatkov, saj mora izvajati preglede, ozaveščati sodelavce in poročati vodstvu o svojih ugotovitvah.

IP nadalje pojasnjuje, da tretji odstavek 76. člena ZVOP-2 določa, da mora upravljavec, ki izvaja videonadzor, o tem objaviti obvestilo. To se objavi vidno in razločno na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Nadalje četrti odstavek istega člena določa, da mora obvestilo poleg informacij iz prvega odstavka 13. člena Splošne uredbe vsebovati naslednje informacije:

1.pisno ali nedvoumno grafično opisano dejstvo, da se izvaja videonadzor;

2.namene obdelave, navedbo upravljavca videonadzornega sistema, telefonsko številko ali naslov elektronske pošte ali spletni naslov za potrebe uveljavljanja pravic posameznika s področja varstva osebnih podatkov;

3.informacije o posebnih vplivih obdelave, zlasti nadaljnje obdelave;

4.kontaktne podatke pooblaščene osebe (telefonska številka ali naslov e-pošte);

5.neobičajne nadaljnje obdelave, kot so prenosi subjektom v tretje države, spremljanje dogajanja v živo, možnost zvočne intervencije v primeru spremljanja dogajanja v živo.

Peti odstavek 76. člena ZVOP-2 določa, da se namesto objave v obvestilu po tretjem odstavku tega člena lahko obveščanje posameznika izvede tudi na način, da upravljavec informacije iz prvega odstavka 13. člena Splošne uredbe in informacije iz 3. do 5. točke prejšnjega odstavka objavi na spletnih straneh. V tem primeru mora na obvestilu iz prejšnjega odstavka objaviti spletni naslov, kjer so te informacije dostopne. Šteje se, da je z obvestilom iz tretjega in petega odstavka 76. člena ZVOP-2 posameznik obveščen o obdelavi osebnih podatkov.

Glede točke 4. obvestila, ki jo izpostavljate v svojem zaprosilu za mnenje, IP meni, da je treba kontaktne podatke pooblaščene osebe (telefonska številka ali naslov e-pošte) na obvestilu (oziroma na spletnih straneh) navesti vselej, kadar takšna oseba obstaja. Po mnenju IP ta točka obvestila ne predstavlja obveznosti določitve pooblaščene osebe za varstvo podatkov v vseh primerih izvajanja videonadzora, ampak jo je obvezno določiti le v tistih primerih, ki jih določata 37. člen Splošne uredbe in 45. člen ZVOP-2. Seveda pa lahko posamezen upravljavec/obdelovalec vselej prostovoljno določi pooblaščeno osebo za varstvo podatkov, četudi njeno imenovanje ni obvezno.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka