Delovanje DPO + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 12.10.2022 Številka: 07121-1/2022/1081 Kategorije: --> Kategorije: Informiranje posameznika, Pooblaščene osebe za varstvo podatkov - DPO, Rok hrambe OP Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede delovanja pooblaščene osebe za varstvo podatkov (ang. DPO). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Končna presoja glede imenovanja in položaja pooblaščene osebe za varstvo podatkov je v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov in IP po Splošni uredbi o varstvu podatkov v postopku imenovanja te osebe nima nobenih pristojnosti ter se glede tega in tudi njenega položaja ne more in ne sme opredeljevati. O b r a z l o ž i t e v: IP uvodoma pojasnjuje, da je presoja, v kolikšni meri je posamezen subjekt glede na dejavnost in obseg osebnih podatkov, ki jih obdeluje, zavezan k imenovanju pooblaščene osebe za varstvo podatkov, koga imenuje zanjo in kakšen je njen položaj, v celoti na strani samega subjekta, saj IP izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. IP tako ne more konkretno odgovoriti na vprašanja iz vašega zaprosila za mnenje niti presojati posameznih konkretnih obdelav osebnih podatkov, ki jih navajate, ampak v nadaljevanju podaja splošna pojasnila. Glede rokov hrambe IP splošno pojasnjuje, da je primarno treba upoštevati morebitne področne predpise, ki urejajo materijo, ki je predmet posameznih pogodb. V primerih, ko področni predpisi ne določajo rokov hrambe, se roki hrambe določijo glede na predvideno izpolnitev namena obdelave oziroma skladno z zakonskimi in izkustvenimi predvidevanji o tem, koliko časa je treba pogodbe hraniti za zagotavljanje pravne varnosti. Po mnenju IP je treba posamezno dokumentacijo vsekakor hraniti najmanj toliko časa, dokler je mogoče uveljavljati posamezne pravice, ki izhajajo iz posameznih postopkov oziroma medsebojnih razmerij strank. Pri določanju roka hrambe tovrstne dokumentacije je tako treba (med drugim) upoštevati tudi zastaralne roke s področja obligacijskega ali kaznovalnega prava ter morebitne področne predpise, ki bi določali roke hrambe posamezne področne dokumentacije. Ob tem IP opozarja tudi, da Splošna uredba o varstvu podatkov v zvezi s shranjevanjem osebnih podatkov v členu 5.1(e) določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; za daljše obdobje pa se lahko shranjujejo le, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89
(1)Uredbe, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (»omejitev shranjevanja«). V zvezi z evidencami dejavnosti obdelave IP pojasnjuje, da mora evidenco dejanj obdelave voditi upravljavec ali obdelovalec in ne pooblaščena oseba za varstvo podatkov. Vendar pa upravljavcu ali obdelovalcu nič ne preprečuje, da pooblaščeni osebi za varstvo podatkov dodeli nalogo vodenja evidence dejanj obdelave v okviru odgovornosti upravljavca ali obdelovalca. Tako evidenco bi bilo treba obravnavati kot eno od orodij, ki pooblaščeni osebi za varstvo podatkov omogočajo izvajanje nalog spremljanja skladnosti ter obveščanja upravljavca ali obdelovalca in svetovanja navedenemu. Tudi obveščanje posameznikov o obdelavi je primarno naloga upravljavca. Skladno z določbo 13. člena Splošne uredbe o varstvu podatkov je namreč upravljavec dolžan v primeru, kadar so bili osebni podatki pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije: (a) identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; (b) kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; (c) namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; (d) kadar obdelava temelji na točki (f) člena 6
(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; (
- e)uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo; (
- f)kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49
(1)sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo; (
- g)tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena. Dodatno drugi odstavek 13. člena Splošne uredbe o varstvu podatkov zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Podobno 14. člen Splošne uredbe o varstvu podatkov določa informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, kadar osebni podatki niso bili pridobljeni od njega. IP nadalje pojasnjuje, da so naloge pooblaščene osebe za varstvo podatkov opredeljene v 39. členu Splošne uredbe o varstvu podatkov. Nekatere od njih že po naravi stvari vključujejo tudi obdelavo osebnih podatkov. Nadalje tretji odstavek 38. člena Splošne uredbe določa, da upravljavec in obdelovalec zagotovita, da pooblaščena oseba za varstvo podatkov pri opravljanju svojih nalog ne prejema nobenih navodil. Na drugi strani obdelovalec skladno z 8. točko 4. člena Splošne uredbe o varstvu podatkov pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Glede izvajanja pogodbene obdelave osebnih podatkov pa tretji odstavek 28. člena Splošne uredbe o varstvu podatkov določa, da obdelavo s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca; pogodba ali drug pravni akt pa mora med drugim določiti, da obdelovalec osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca. Nasprotno od tega pa torej v pooblaščena oseba za varstvo podatkov skladno z določbo tretjega odstavka 38. člena pri opravljanju svojih nalog ne prejema nobenih navodil. IP meni, da primarni namen najema zunanje pooblaščene osebe za varstvo podatkov ni obdelava osebnih podatkov, temveč izvajanje nadzornih, ozaveščevalnih, svetovalnih in drugih nalog, ki jih takšni osebi nalaga Splošna uredba o varstvu podatkov. Ob tem sicer neizogibno pride tudi do stika z določenim naborom osebnih podatkov, ni pa to primarni namen zunanjega izvajanja storitev pooblaščene osebe za varstvo podatkov. Obenem je treba ugotoviti, da podlago, ki omogoča zunanje izvajanje nalog pooblaščene osebe za varstvo podatkov, daje Splošna uredba o varstvu podatkov v šestem odstavku 37. člena. Pogodbeno razmerje z zunanjim izvajalcem storitev pooblaščene osebe za varstvo podatkov mora vsekakor biti urejeno tako, da se zagotovi ustrezna zaupnost in varnost podatkov, ne gre pa po mnenju IP za pogodbeno obdelavo osebnih podatkov. IP pojasnjuje tudi, da ni pristojen za tolmačenje določb Zakona o varstvu dokumentarnega in arhivskega gradiva (ZVDAGA; Uradni list RS, št. 30/06, 51/14). V skladu z določbo 75. člena tega zakona inšpekcijski nadzor nad izvajanjem določb tega zakona in na njegovi podlagi izdanih podzakonskih predpisov glede dokumentarnega in arhivskega gradiva ter arhivske javne službe izvaja inšpektorat, pristojen za področje varstva arhivskega gradiva. IP sklepno poudarja, da je končna presoja glede imenovanja in položaja pooblaščene osebe za varstvo podatkov v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov in IP po Splošni uredbi o varstvu podatkov v postopku imenovanja te osebe nima nobenih pristojnosti ter se glede tega in tudi njenega položaja ne more in ne sme opredeljevati. IP lahko svojo zavezujočo oceno poda le v konkretnem inšpekcijskem postopku. IP sklepno pojasnjuje, da so evropski nadzorni organi za varstvo osebnih podatkov že pripravili podrobne smernice o pooblaščenih osebah za varstvo podatkov, ki so dostopne na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026