Navzkrižje interesov pri pooblaščeni osebi za varstvo podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.11.2021 Številka: 07121-1/2021/2322 Kategorije: --> Kategorije: Pooblaščene osebe za varstvo podatkov - DPO Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše vprašanje v zvezi z navzkrižjem interesov pri pooblaščeni osebi za varstvo podatkov (DPO). Navajate, da vas namerava podjetje, v katerem ste zaposleni, določiti kot pooblaščeno osebo za varstvo podatkov. Trenutno ste zaposleni v oddelku financ, kjer delate kot …. Pri svojem delu se srečujete tudi z obdelavo osebnih podatkov (na kadrovskem področju). Opisujete svoje delovne naloge in pojasnjujete, da je zbiranje in obdelava podatkov z vaše strani pod nadzorom vaše nadrejene ter da niste odgovorna oseba za zbiranje osebnih podatkov, temveč jih le obdelujete. Sprašujete, ali lahko zaradi vaše obdelave osebnih podatkov na kadrovskem področju pride do navzkrižja interesov? Zanima vas tudi ali lahko oz. do katere mere lahko obdelujete osebne podatke kot DPO oz. ali vas mora podjetje povsem izvzeti iz kadrovskega področja? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Uvodoma poudarjamo, da je zakonitost obdelave osebnih podatkov oz. usklajenost s pravili Splošne uredbe in ZVOP-1 odgovornost upravljavca, IP pa vam lahko v okviru nezavezujočega mnenja poda zgolj splošna pojasnila in napotila. Pooblaščeno osebo za varstvo podatkov (ang. »DPO«) imenuje upravljavec skladno z
- členom Splošne uredbe, predvsem na podlagi poklicnih odlik in zlasti strokovnega znanja o zakonodaji in praksi na področju varstva podatkov. Njene naloge so skladno z
- členom Splošne uredbe predvsem svetovalno-nadzorne narave, in sicer obveščanje in svetovanje upravljavcu in zaposlenim o varstvu osebnih podatkov, spremljanje skladnosti s Splošno uredbo, svetovanje glede ocene učinka in sodelovanje z nadzornim organom. Glede položaja pooblaščene osebe pa izpostavljamo šesti odstavek
- člena Splošne uredbe, ki določa, da lahko pooblaščena oseba opravlja druge naloge in dolžnosti; upravljavec ali obdelovalec pa mora zagotoviti, da zaradi vsakršnih takih nalog in dolžnosti ne pride do nasprotja interesov. Kot je poudarjeno v Smernicah o pooblaščenih osebah za varstvo podatkov Delovne skupine za varstvo podatkov iz člena 29 (nazadnje revidirane in sprejete
- aprila 2017, ki so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf), mora biti pooblaščena oseba za varstvo podatkov pri opravljanju svojih nalog neodvisna, kar pomeni, da mora izvrševati naloge, določene s Splošno uredbo in mora imeti položaj, v katerem ne pride do nasprotja interesov. Slednje predvsem pomeni, da pooblaščena oseba ne sme opravljati nalog, s katerimi bi opredelila namene ali sredstva obdelave osebnih podatkov. Pooblaščeno osebo je treba razumeti kot nekakšnega notranjega revizorja, ki kot rečeno, spremlja samo skladnost poslovanja z določbami Splošne uredbe in drugimi predpisi s področja varstva osebnih podatkov, in vodstvu ter osebam, ki obdelujejo osebne podatke svetuje in jih izobražuje. Preprečiti je torej treba situacijo, ko bi pooblaščena oseba pri svojem delu dejansko nadzirala oz. svetovala sama sebi. Ob tem je treba opozoriti predvsem na nezdružljive položaje s pooblaščeno osebo za varstvo podatkov, kot so npr. položaji višjega vodstva (npr. izvršni direktor, operativni direktor, finančni direktor, vodja oddelka za trženje, vodja službe za človeške vire ali vodja oddelkov za informacijsko tehnologijo) in tudi druge vloge na nižji ravni organizacijske strukture, če taki položaji ali vloge vodijo v določitev namenov in sredstev obdelave. Več napotkov smo podali v Priporočilih IP glede pooblaščenih oseb za varstvo osebnih podatkov, kjer smo tako npr. navedli, da pooblaščena oseba ne bi smela opravljati nalog kot so: odločanje o pravicah posameznikov, odločitev o vzpostavitvi novih zbirk osebnih podatkov, namenih in obsegih obdelave, odločanje o najemu obdelovalcev in priprava pogodb o najemu storitev obdelovalcev, priprava in ažuriranje evidenc dejavnosti obdelave, itd. Priporočila so dostopna na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/novice/Priporocila_IP_glede_delovanja_DPO_koncno.pdf. Upravljavcu se priporoča, da glede na svojo konkretno organizacijsko strukturo vnaprej določi, kateri so položaji, ki bi lahko pomenili navzkrižje interesov pri opravljanju nalog pooblaščene osebe za varstvo podatkov. V zvezi z imenovanjem pooblaščene osebe oz. glede konkretnih nalog, ki ste jih navedli v zaprosilu, se IP v okviru nezavezujočega mnenja ne more opredeljevati, zato vam podajamo zgolj splošne usmeritve. Izpolnjevanje pogojev, ki jih določa Splošna uredba in se nanašajo na pooblaščene osebe, bi lahko IP namreč preveril zgolj v inšpekcijskem postopku. Več odgovorov na vprašanja, ki se nanašajo na pooblaščeno osebo za varstvo podatkov pa lahko poiščete tudi v že izdanih mnenjih IP, ki so dosegljiva s pomočjo iskalnika na www.ip-rs.si/vop; glede izvajanja nalog pooblaščene osebe v povezavi z navzkrižjem interesov, pa si lahko nekaj usmeritev preberete npr. v mnenjih: - mnenje št. 0712-3/2018/763 z dne 21.6.2018 (obračun plač), - mnenje št. 0712-3/2018/2243 z dne 12.11.2018 (vodenje upravnega postopka), - mnenje št. 0712-1/2019/1110 z dne 26.6.2019 (pregled pogodb oz. sporazumov). Priporočamo vam, da se seznanite tudi z informacijami glede pooblaščene osebe na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/poobla%C5%A1%C4%8Dena-oseba-za-varstvo-podatkov. V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026