DPIA, DPO + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.02.2022 Številka: 07121-1/2022/115 Kategorije: --> Kategorije: Ocene učinkov v zvezi z varstvom podatkov, Pooblaščene osebe za varstvo podatkov - DPO Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede izdelave ocene učinka v zvezi z varstvom podatkov (ang. DPIA) in imenovanja pooblaščene osebe za varstvo podatkov (ang. DPO). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. V zvezi s pooblaščeno osebo za varstvo podatkov IP pojasnjuje, da je presoja, v kolikšni meri je posamezen subjekt glede na dejavnost in obseg osebnih podatkov, ki jih obdeluje, zavezan k njenemu imenovanju, v celoti na strani samega subjekta, saj IP izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. IP pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku 37. člena določa, da morata upravljavec in obdelovalec imenovati pooblaščeno osebo za varstvo podatkov vedno, kadar:
- a)obdelavo opravlja javni organ ali telo, razen sodišč, kadar delujejo kot sodni organ; (
- b)temeljne dejavnosti upravljavca ali obdelovalca zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike, na katere se nanašajo osebni podatki, redno in sistematično obsežno spremljati, ali (
- c)temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo posebnih vrst podatkov v skladu s členom 9 in osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz člena 10. Točka
- a)tako to obveznost določa za primere, kadar obdelavo opravlja javni organ ali telo (z izjemo sodišč, kadar delujejo kot sodni organ), torej se primarno nanaša na subjekte javnega sektorja. Točki
- b)in
- c)pa določata, da je treba imenovati pooblaščeno osebo tudi, kadar temeljne dejavnosti upravljavca ali obdelovalca zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike, na katere se nanašajo osebni podatki, redno in sistematično obsežno spremljati ali kadar temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo posebnih vrst podatkov in osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški. Med posebne vrste podatkov spadajo osebni podatki, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, genetski podatki, biometrični podatki, podatki v zvezi z zdravjem in podatki v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo. Podatki o invalidnosti sodijo v kategorijo podatkov v zvezi z zdravjem in zato spadajo med posebne vrste osebnih podatkov. IP nadalje pojasnjuje, da so evropski nadzorni organi za varstvo osebnih podatkov že pripravili podrobne smernice, ki vam bodo v pomoč pri vaši odločitvi o imenovanju pooblaščene osebe: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf. Navedene smernice med drugim priporočajo, da se pri določanju, ali je obdelava obsežna, upoštevajo zlasti naslednji dejavniki: - število zadevnih posameznikov, na katere se nanašajo osebni podatki (bodisi kot določeno število ali delež ustrezne populacije); - količina podatkov in/ali razpon različnih podatkovnih postavk, ki se obdelujejo; - trajanje ali stalnost dejavnosti obdelave podatkov; - geografska razsežnost dejavnosti obdelave. Omenjene kriterije je treba v konkretnem primeru obravnavati glede na značilnosti in organizacijsko strukturo podjetja (naročnika vaših storitev) ter presoditi, ali gre pri opravljanju njegove dejavnosti za takšna dejanja obdelave oziroma takšen obseg obdelav, ki terjajo določitev pooblaščene osebe. Vsekakor je treba pri odločitvi o imenovanju pooblaščene osebe ravnati skrbno in previdno ter upoštevati vsa dejanja obdelave osebnih podatkov, ki jih podjetje izvaja, ter vrsto in obseg podatkov, ki se obdelujejo. IP poudarja, da je končna presoja glede imenovanja pooblaščene osebe za varstvo podatkov v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov in IP po Splošni uredbi o varstvu podatkov v postopku imenovanja te osebe nima nobenih pristojnosti ter se glede tega ne more in ne sme opredeljevati. Enako velja tudi glede vprašanja, ali za pooblaščeno osebo imenovati notranjo (zaposlenega) ali zunanjo osebo ter ali imenovati skupno pooblaščeno osebo. IP lahko svojo zavezujočo oceno poda le v konkretnem inšpekcijskem postopku. IP vas napotuje tudi na spletno stran IP, kjer lahko prav tako najdete uporabne napotke glede pooblaščene osebe za varstvo podatkov: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pooblascena-oseba-za-varstvo-podatkov/. Glede ocen učinka v zvezi z varstvom podatkov IP najprej prav tako splošno pojasnjuje, da kot nadzorni organ v mnenju ni pristojen podajati zavezujočih usmeritev za to, kdaj je za upravljavca izvedba ocene učinka v konkretnem primeru obvezna. IP je na to temo izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani IP: https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe o varstvu podatkov temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena. IP je tudi pripravil in na spletni strani objavil seznam dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama. Med kriteriji so med drugimi tudi obdelava posebnih vrst osebnih podatkov (v konkretnem primeru osebnih podatkov v zvezi z zdravjem), nesorazmerje moči (obdelava osebnih podatkov ranljivih skupin posameznikov, npr. invalidov) ter množičnost obdelave. Glede na navedbe v vašem zaprosilu za mnenje IP meni, da bi v konkretnem primeru lahko šlo za projekt, ki ima pomembne posledice na varstvo osebnih podatkov posameznikov in bi bilo glede na določbe Splošne uredbe o varstvu podatkov potrebno opraviti ustrezno oceno učinka v zvezi z varstvom osebnih podatkov. Ob tem IP ponavlja, da v okviru mnenja ni pristojen podajati zavezujočih usmeritev za to, kdaj je za upravljavca izvedba ocene učinka v konkretnem primeru obvezna, ampak mora to odločitev sprejeti sam upravljavec. IP sklepno dodaja, da vsekakor svetuje, da se v primerih rešitev, ki bi lahko imele pomembne posledice na varstvo osebnih podatkov posameznikov, opravi ustrezna ocena učinka na varstvo osebnih podatkov. IP lahko na pripravljeno oceno učinka poda mnenje, če bi bilo iz ocene učinka razvidno, da bi obdelava povzročila veliko tveganje, če upravljavec ne bi sprejel ukrepov za ublažitev tveganja. V tem primeru upravljavec podatkov oceno učinka posreduje v mnenje IP. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026