Dolžnost imenovanja pooblaščene osebe za varstvo osebnih podatkov (DPO) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.06.2021 Številka: 07121-1/2021/1104 Kategorije: --> Kategorije: Pooblaščene osebe za varstvo podatkov - DPO Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer ste pojasnili, da upravljate s spletno trgovino. Osebni podatki, ki jih obdelujete, so: ime in priimek, naslov, e-naslov ter telefonska številka. Podatkov ne uporabljate za profiliranje strank ali naknadno tarčno oglaševanje, ampak zgolj za obdelavo naročil. Število oseb, katerih podatke obdelujete, je majhno napram celotni populaciji (nekaj 100 mesečno). Ali morate imenovati pooblaščeno osebo za varovanje podatkov? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da je več inforamcij glede imenovanja, položaja in nalog pooblaščenih oseb za varstvo osebnih podatkov na voljo na posebni podstrani IP in sicer: https://www.ip-rs.si/?id=100. Na navedeni povezavi najdete pojasnila, smernice in ostale informacije, ki vam bodo lahko v pomoč. Glede na vaš opis situacije, ni videti, da bi šlo vašem primeru za takšne okoliščine obdelave osebnih podatkov, ki bi terjale imenovanje pooblaščene osebe za varstvo osebnih podatkov. Splošna uredba v točki 1(
- b)člena 37 določa, da morajo pooblaščeno osebo imenovati upravljavci oziroma obdelovalci, katerih temeljne dejavnosti zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike redno in sistematično obsežno spremljati. Evropski odbor za varstvo osebnih podatkih je v Smernicah o pooblaščenih osebah za varstvo podatkov (dostopne so na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf) navedel, da se priporoča, naj se pri določanju, ali se obdelava izvaja v velikem obsegu, v vsakem primeru upoštevajo zlasti naslednji dejavniki: število zadevnih posameznikov, na katere se nanašajo osebni podatki – bodisi kot določeno število ali delež ustrezne populacije; količina podatkov in/ali obseg različnih podatkovnih postavk, ki se obdelujejo; trajanje ali stalnost dejavnosti obdelave podatkov in geografska razsežnost dejavnosti obdelave. Primeri obsežne obdelave vključujejo: obdelavo podatkov o bolnikih s strani bolnišnice v okviru običajnega poslovanja; obdelavo potovalnih podatkov posameznikov, ki uporabljajo sistem javnega mestnega prevoza (npr. sledenje prek vozovnic); obdelavo podatkov o zemljepisnem položaju strank mednarodne verige hitre prehrane v realnem času za statistične namene s strani obdelovalca, specializiranega za zagotavljanje teh storitev; obdelavo podatkov o strankah s strani zavarovalnice ali banke v okviru običajnega poslovanja; obdelavo osebnih podatkov za oglaševanje na podlagi vedenjskih vzorcev prek iskalnika in obdelavo podatkov (vsebine, prometa, položaja) s strani ponudnikov telefonskih ali internetnih storitev. Primeri neobsežne obdelave vključujejo: obdelavo podatkov o bolnikih s strani posameznega zdravnika in obdelavo osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški s strani posameznega odvetnika. Kot ste pojasnili gre v vašem primeru za nekaj 100 posameznikov mesečno, nabor osebnih podatkov je sorazmerno majhen (pri tem opozarjamo, da morate med obdelovane osebne podatke šteti tudi podatke o nakupih ipd.), osebnih podatkov pa ne uporabljate za profiliranje strank ali naknadno tarčno oglaševanje, in tako ne gre za redno in sistematično spremljanje posameznikov, zato nezavezujoče menimo, da ne gre za primer takšne obdelave, ki bi terjala imenovanje pooblaščene osebe. Splošna uredba v točki 1(
- c)člena 37 določa obveznost imenovanja pooblaščene osebe, ko temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo posebnih vrst podatkov v skladu s členom 9 in osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz člena 10 Splošne uredbe. Če tudi tega pogoja ne izpolnjujete – pri čemer pojasnjujemo, da nam ni znano, za kakšno vrsto spletne trgovine gre oziroma kakšni izdelki/storitve so na prodaj – potem nezavezujoče menimo, da ne gre za primer takšne obdelave, ki bi terjala imenovanje pooblaščene osebe. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026