Imenovanje DPO

Datum

15.06.2023

Številka

07121-1/2023/804

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO, Posebne vrste OP, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je dne 5. 6. 2023 prejel vašo prošnjo za mnenje. Navajate, da ste podjetje, ki se ukvarja s fizičnim urejanjem arhivov, vaše stranke (naročniki) pa so večinoma šole, zavodi, občine. Pri svojem delu, tj. pri urejanju arhivov, dostopate tudi do osebnih podatkov, vendar jih ne zbirate in ne upravljate. Do osebnih podatkov dostopate, ker gradivo popisujete, v popis pa vnašate zgolj meta podatke (npr. ime in priimek, leto rojstva). Ker je vaša dejavnost arhiviranje, vas zavezuje ZVDAGA. Naročniki vaših storitev so torej upravljavci osebnih podatkov, zanima pa vas, da je obveznost imenovanja pooblaščene osebe za varstvo podatkov na njihovi ali vaši strani.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Glede na podane okoliščine obdelave osebnih podatkov in pogoje, ki jih za postavitev pooblaščene osebe predpisuje Splošna uredba, IP ne more presoditi, ali morate v danem primeru pooblaščeno osebo imenovati samo vi, samo upravljavec ali oba. Po mnenju IP bi pooblaščeno osebo vsekakor morali imenovati, če so med podatki, ki jih obdelujete, kateri koli izmed posebnih vrst osebnih podatkov ali podatki iz kazenskih ali prekrškovnih evidenc.

V skladu z opredelitvijo iz 4. člena Splošne uredbe predstavlja obdelavo osebnih podatkov vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje, obdelovalec pa je fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

Pogoje za imenovanje pooblaščene osebe za varstvo podatkov določa prvi odstavek 37. člena Splošne uredbe, in sicer določa, da upravljavec in obdelovalec imenujeta pooblaščeno osebo za varstvo podatkov vedno, kadar: (a) obdelavo opravlja javni organ ali telo, razen sodišč, kadar delujejo kot sodni organ; (b) temeljne dejavnosti upravljavca ali obdelovalca zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike, na katere se nanašajo osebni podatki, redno in sistematično obsežno spremljati, ali (c) temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo posebnih vrst podatkov ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški.

Tudi če osebnih podatkov vaših naročnikov ne zbirate ali upravljate, jih z vpogledovanjem, razvrščanjem, popisovanjem ipd. obdelujete in ste zato obdelovalec osebnih podatkov, katerih upravljavci so vaši naročniki. Upravljavec in/ali obdelovalec morata imenovati pooblaščeno osebo za varstvo podatkov zlasti v primeru rednih in sistematičnih obsežnih obdelav osebnih podatkov in v primeru obdelav posebnih vrst osebnih podatkov. Glede na okoliščine obdelave osebnih podatkov, ki ste jih navedli, in omenjene pogoje iz Splošne uredbe, IP ne more presoditi, ali morate v danem primeru pooblaščeno osebo imenovati samo vi, samo upravljavec ali oba. Po mnenju IP bi pooblaščeno osebo vsekakor morali imenovati, če so med podatki, ki jih obdelujete (vpogledujete, razvrščate, popisujete), kateri koli osebni podatki posebnih vrst iz prvega odstavka 9. člena Splošne uredbe (npr. zdravstveni podatki) ali podatki iz kazenskih ali prekrškovnih evidenc.

Lep pozdrav,

Pripravila

Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov

Informacijski pooblaščenec

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka