Pogoji za imenovanje pooblaščene osebe za varstvo osebnih podatkov - IPRS

Pogoji za imenovanje pooblaščene osebe za varstvo osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.10.2022 Številka: 07121-1/2022/1050 Kategorije: --> Kategorije: Pooblaščene osebe za varstvo podatkov - DPO, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem vas zanima, če morate kot samostojno nepridobitno društvo koronarnih bolnikov in njihovih svojcev ter drugih fizičnih oseb, ki ima tudi status humanitarne organizacije, imenovati pooblaščeno osebo za varstvo osebnih podatkov. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. 1. Upravljavec in obdelovalec mora imenovati pooblaščeno osebo za varstvo osebnih podatkov (t.i. DPO) glede na pogoje določene v prvem odstavku 37. člena Splošne uredbe o varstvu podatkov z upoštevanjem (

1. i)konkretnih podatkov, ki jih obdeluje ter (
2. ii)naravo obdelav, ki potekajo pri upravljavcu oz. obdelovalcu. 2. Upravljavci so dolžni objaviti kontaktne podatke pooblaščene osebe za varstvo podatkov in jih sporočiti nadzornemu organu (v RS je to Informacijski pooblaščenec). O b r a z l o ž i t e v: IP uvodoma poudarja, da konkretnega in dokončnega odgovora v kolikšni meri je posamezen subjekt glede na dejavnost in obseg osebnih podatkov, ki jih obdeluje, zavezan k imenovanju pooblaščene osebe za varstvo osebnih podatkov, v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka. V zvezi s pogoji imenovanja pooblaščene osebe za varstvo osebnih podatkov pa splošno pojasnjujemo, da Splošna uredba o varstvu podatkov v prvem odstavku 37. člena določa, da morata upravljavec in obdelovalec imenovati pooblaščeno osebo za varstvo podatkov vedno, kadar:
3. a)obdelavo opravlja javni organ ali telo, razen sodišč, kadar delujejo kot sodni organ;
4. b)temeljne dejavnosti upravljavca ali obdelovalca zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike, na katere se nanašajo osebni podatki, redno in sistematično obsežno spremljati, ali
5. c)temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo posebnih vrst podatkov v skladu s členom 9 in osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz člena 10. Točka
6. a)tako to obveznost določa za primere, kadar obdelavo opravlja javni organ ali telo (z izjemo sodišč, kadar delujejo kot sodni organ), torej se primarno nanaša na subjekte javnega sektorja. Točki
7. b)in
8. c)pa določata, da je treba imenovati pooblaščeno osebo tudi, kadar temeljne dejavnosti upravljavca ali obdelovalca zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike, na katere se nanašajo osebni podatki, redno in sistematično obsežno spremljati ali kadar temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo posebnih vrst podatkov in osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški. Evropski odbor za varstvo osebnih podatkih (prej Delovna skupina iz člena 29) je v Smernicah o pooblaščenih osebah za varstvo podatkov navedel, da se priporoča, naj se pri določanju, ali se obdelava izvaja v velikem obsegu, v vsakem primeru upoštevajo zlasti naslednji dejavniki: število zadevnih posameznikov, na katere se nanašajo osebni podatki – bodisi kot določeno število ali delež ustrezne populacije; količina podatkov in/ali obseg različnih podatkovnih postavk, ki se obdelujejo; trajanje ali stalnost dejavnosti obdelave podatkov in geografska razsežnost dejavnosti obdelave. Primeri obsežne obdelave vključujejo: obdelavo podatkov o bolnikih s strani bolnišnice v okviru običajnega poslovanja; obdelavo potovalnih podatkov posameznikov, ki uporabljajo sistem javnega mestnega prevoza (npr. sledenje prek vozovnic); obdelavo podatkov o zemljepisnem položaju strank mednarodne verige hitre prehrane v realnem času za statistične namene s strani obdelovalca, specializiranega za zagotavljanje teh storitev; obdelavo podatkov o strankah s strani zavarovalnice ali banke v okviru običajnega poslovanja; obdelavo osebnih podatkov za oglaševanje na podlagi vedenjskih vzorcev prek iskalnika in obdelavo podatkov (vsebine, prometa, položaja) s strani ponudnikov telefonskih ali internetnih storitev. Primeri neobsežne obdelave vključujejo: obdelavo podatkov o bolnikih s strani posameznega zdravnika in obdelavo osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški s strani posameznega odvetnika. IP v povezavi s točko (
9. c)prvega odstavka 37. člena Splošne uredbe še poudarja, da se imenovanje pooblaščene osebe za varstvo osebnih podatkov zahteva le kadar (
10. i)temeljne dejavnosti zajemajo (
11. ii)obsežno obdelavo (iii) posebnih vrst osebnih podatkov. Med posebne vrste osebnih podatkov (prvi odstavek 9. člena Splošne uredbe o varstvu podatkov) spadajo tisti osebni podatki, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, genetski podatki, biometrični podatki, podatki v zvezi z zdravjem in podatki v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo. Podatki o tem, da je določen posameznik koronarni bolnik tako nedvomno sodijo v kategorijo podatkov v zvezi z zdravjem in zato spadajo med posebne vrste osebnih podatkov. Kljub zgoraj zapisanemu pa se mora obveznost imenovanja pooblaščene osebe za varstvo podatkov venomer presojati glede na (
12. i)konkretne podatke, ki se obdelujejo pri upravljavcu oz. obdelovalcu in (
13. ii)naravo teh obdelav. Glede na konkretne obdelave osebnih podatkov, ki jih društvo izvaja je torej treba primarno presojati, ali društvo izvaja tako vrsto obdelave posebnih vrst osebnih podatkov, da je zanje obvezno imenovanje pooblaščene osebe (npr. kadar temeljne dejavnosti zajemajo obsežno obdelavo). V zvezi s tem dodatno še poudarjamo, da so upravljavci dolžni objaviti kontaktne podatke pooblaščene osebe za varstvo podatkov in jih tudi sporočiti nadzornemu organu (v RS je to Informacijski pooblaščenec). Nadzornemu organu je tako poleg kontaktnih podatkov treba sporočiti tudi ime pooblaščene osebe. IP navedene podatke vodi v okviru Registra pooblaščenih oseb za varstvo podatkov. Dodatno pa pojasnjujemo, da Splošna uredba o varstvu podatkov izrecno sicer ne predpisuje potrebne ravni formalne izobrazbe ali strokovnega znanja pooblaščene osebe za varstvo podatkov. Pomembno je, da pri izbiri pooblaščene osebe za varstvo podatkov upravljavci upoštevajo, da pooblaščena oseba dobro pozna in razume dejanja obdelave, ki se izvajajo pri vas kot upravljavcu, ter vaše potrebe v zvezi z varstvom podatkov. Prav tako bi pooblaščena oseba morala dobro razumeti tudi informacijske sisteme, ki se uporabljajo, ter potrebe upravljavca v zvezi z varnostjo in varstvom podatkov. V primeru javnega organa ali telesa pa bi morala dobro poznati tudi upravna pravila in postopke organizacije. Omenjene kriterije je torej treba v konkretnem primeru obravnavati glede na konkretne značilnosti in organizacijsko strukturo vašega društva. Dodatno pa je smiselno še opozoriti, da lahko pogoje glede strokovnega znanja in ostalih kvalifikacij pooblaščenih oseb za varstvo podatkov potencialno spremeni sprejem novega Zakona o varstvu osebnih podatkov (ZVOP-2), ki pa v času izdaje tega mnenja še ni sprejet. Sklepno vas IP še napotuje na nekatera naša gradiva, ki vam bodo v pomoč pri vaši odločitvi o imenovanju pooblaščene osebe: · mnenje IP št. 07121-1/2021/1104 z dne 14. 6. 2021: https://www.ip-rs.si/mnenja-gdpr/dolžnost-imenovanja-pooblaščene-osebe-za-varstvo-osebnih-podatkov-dpo-1644399139 · spletna (pod)stran IP, posvečena informacijam o pooblaščenih osebah za varstvo podatkov: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pooblascena-oseba-za-varstvo-podatkov/ V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo. Pripravil: Grega Rudolf, asistent svetovalca pri IP Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
14. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026