Odvetniška družba oziroma odvetnik kot DPO

Datum

19.05.2025

Številka

07121-1/2025/604

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO

pri Informacijskem pooblaščencu (IP) smo dne 9. 5. 2025 prejeli vaše zaprosilo za mnenje glede pooblaščene osebe za varstvo osebnih podatkov (v nadaljevanju DPO). Zanima vas, ali upravljavec lahko imenuje odvetniško družbo za svojega DPO ter ali je lahko DPO odvetnik, zaposlen v odvetniški družbi.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) in/ali 5. točke prvega odstavka 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec lahko določi odvetniško družbo za DPO, vendar pa mora biti v tem primeru v pogodbi določen posameznik (npr. odvetnik), ki je odgovoren za delo pravne osebe kot DPO. Ta posameznik mora izpolnjevati pogoje za DPO in ne sme imeti nasprotij interesov z upravljavcem.

Upravljavec v tem primeru tudi objavi kontaktne podatke tega posameznika skladno s četrtim odstavkom 45. člena ZVOP-2 ter jih javi nadzornemu organu.

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V konkretnem primeru lahko torej IP zgolj opozori na ustrezno pravno podlago in poda splošne usmeritve glede vaših vprašanj.

Peti odstavek 37. člena Splošne uredbe določa, da se DPO imenuje na podlagi poklicnih odlik, zlasti strokovnega znanja o zakonodaji in praksi na področju varstva osebnih podatkov ter možnosti izpolnjevati naloge iz 39. člena Splošne uredbe. Splošna uredba določa tudi, da je lahko DPO ali član osebja upravljavca oziroma obdelovalca ali pa opravlja svoje naloge na podlagi pogodbe o storitvah.

Tretji odstavek 46. člena ZVOP-2 določa, da lahko upravljavci ali obdelovalci iz javnega sektorja, razen državnih organov, določijo tudi drugega DPO, če ga ni mogoče določiti znotraj osebe javnega sektorja. Pri tem lahko s pogodbo določijo tudi posameznika iz zasebnega sektorja ali pravno osebo iz zasebnega sektorja. Nadalje je v četrtem odstavku določeno, da upravljavci ali obdelovalci iz zasebnega sektorja za DPO določijo osebo, ki je zaposlena pri njih, ali pa s pogodbo določijo drugega posameznika ali pravno osebo.

V pogodbi s pravno osebo, ki mora biti v pisni obliki, se določi posameznik, ki odgovarja za delo pravne osebe kot DPO in čigar kontaktni podatki se objavijo skladno s četrtim odstavkom 45. člena ZVOP-2. Upravljavec oziroma obdelovalec mora:

vpisati kontaktne podatke DPO v skladu s 30. členom Splošne uredbe v svojo evidenco dejavnosti obdelav,

kontakt DPO za namen sodelovanja s posamezniki, na katere se nanašajo osebni podatki, javno objaviti na primeren način, zlasti na spletnih straneh ter

kontaktne podatke DPO in njegovega morebitnega namestnika sporočiti nadzornemu organu, ki jih vključi na svoj seznam.

Stališče IP glede tega, ali je mogoče za DPO imenovati odvetniško družbo, je bilo izraženo že v mnenju št. 07121-1/2023/1034 z dne 8. 8. 2025. Kot DPO se lahko imenuje odvetniška družba, vendar pa se mora, da je takšna praksa skladna z ZVOP-2, v pogodbi določiti tudi posameznik (npr. odvetnik, zaposlen pri odvetniški družbi), ki odgovarja za delo pravne osebe kot DPO. V skladu z zgoraj navedenimi zahtevami ZVOP-2 upravljavec tudi objavi podatke tega posameznika. Posameznik mora izpolnjevati pogoje za določitev DPO in ne sme imeti nasprotij interesov z upravljavcem oziroma obdelovalcem. Prav tako njegovo delo kot DPO ne sme biti v nasprotju s siceršnjimi nalogami pri upravljavcu oziroma obdelovalcu.

Več informacij glede DPO je dostopnih na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/poobla%C5%A1%C4%8Dena-oseba-za-varstvo-podatkov.

V upanju, da smo odgovorili na vaša vprašanja, vas lepo pozdravljamo.

dr. Jelena Virant Burnik,

informacijska pooblaščenka