Pooblaščena osebe za varstvo osebnih podatkov in pogodbene obdelave osebnih podatkov - IPRS

Pooblaščena osebe za varstvo osebnih podatkov in pogodbene obdelave osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.04.2021 Številka: 07121-1/2021/643 Kategorije: --> Kategorije: Pogodbena obdelava podatkov, Pooblaščene osebe za varstvo podatkov - DPO Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše sporočilo, v katerem nas prosite za mnenje. Zanima vas, kakšno je stališče IP glede vprašanja, ali morajo zunanji izvajalci pooblaščene osebe za varstvo osebnih podatkov (DPO) skleniti pogodbo o obdelavi osebnih podatkov oziroma ali je zunanji DPO obdelovalec osebnih podatkov. Menite, da zunanji DPO ni ne obdelovalec ne upravljavec osebnih podatkov, ampak ima funkcijo nadzora, svetovanja, izobraževanja (ter druge naloge skladno z 39. členom Splošne uredbe) v organizaciji, predvsem pa je neodvisen nasproti upravljavcu oziroma obdelovalcu osebnih podatkov, kar pomeni, da zanj ne veljajo obveznosti iz člena 28 Splošne uredbe. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da so naloge pooblaščene osebe za varstvo osebnih podatkov (v nadaljevanju: DPO) opredeljene v členu 39 Splošne uredbe in sicer so to vsaj naslednje: (

1. a)obveščanje upravljavca ali obdelovalca in zaposlenih, ki izvajajo obdelavo, ter svetovanje navedenim o njihovih obveznostih v skladu s to uredbo in drugimi določbami prava Unije ali prava države članice o varstvu podatkov; (
2. b)spremljanje skladnosti s Splošno uredbo, drugimi določbami prava Unije ali prava države članice o varstvu podatkov in politikami upravljavca ali obdelovalca v zvezi z varstvom osebnih podatkov, vključno z dodeljevanjem nalog, ozaveščanjem in usposabljanjem osebja, vključenega v dejanja obdelave, ter s tem povezanimi revizijami; (
3. c)svetovanje, kadar je to zahtevano, glede ocene učinka v zvezi z varstvom podatkov in spremljanje njenega izvajanja v skladu s členom 35 Splošne uredbe; (
4. d)sodelovanje z nadzornim organom; (
5. e)delovanje kot kontaktna točka za nadzorni organ pri vprašanjih v zvezi z obdelavo, vključno s predhodnim posvetovanjem iz člena 36 Splošne uredbe, in, kjer je ustrezno, posvetovanje glede katere koli druge zadeve. Po naravi stvari torej vsaj nekatere naloge DPO vključujejo tudi obdelavo osebnih podatkov. Po določbi 6. odstavka člena 37 Splošne uredbe je DPO lahko član osebja upravljavca ali obdelovalca ali pa naloge opravlja na podlagi pogodbe o storitvah. Po definiciji 8. točke člena 4 Splošne uredbe obdelovalec pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca; Kot pravilno ugotavljate 3. odstavek člena 38 Splošne uredbe določa, da upravljavec in obdelovalec zagotovita, da pooblaščena oseba za varstvo podatkov pri opravljanju teh nalog ne prejema nobenih navodil. Pri izvajanju pogodbene obdelave osebnih podatkov pa 3. odstavek člena 28 Splošne uredbe določa, da obdelavo s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca; pogodba ali drug pravni akt pa mora med drugim določiti določa, da obdelovalec osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca. Kakšna je torej vloga zunanjega ponudnika storitev DPO? Smernice Evropskega odbora za varstvo podatkov o DPO (https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf) glede tega ne ponudijo odgovora. V smernicah o pogodbeni obdelavi osebnih podatkov(https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf) smo zapisali, da so pri ugotavljanju, ali gre za (pogodbenega) obdelovalca, pomembni naslednji elementi: Ali subjekt lahko sam določa namen in sredstva obdelave osebnih podatkov? Ali je upravljavec zbirke osebnih podatkov subjektu poveril v izvajanje opravila obdelave, ki bi jih sicer lahko izvajal upravljavec sam? Kakšna je intenzivnost obdelave, vezanost na navodila in nadzor upravljavca nad dejanji subjekta? Ali ima subjekt zakonska pooblastila oziroma pravno podlago, ki bi ga deloma ali v celoti postavila za upravljavca v zvezi z osebnimi podatki upravljavca? Ali je primarni namen najema storitev subjekta katero od dejanj obdelave osebnih podatkov (npr. hramba) ali pa je obdelava osebnih podatkov zgolj posledica najetja storitve subjekta? Če začnemo pri zadnjem kriteriju, potem je treba ugotoviti, da primarni namen najema zunanjega DPO ni obdelava osebnih podatkov, temveč izvajanje nadzornih, ozaveščevalnih, svetovalnih in drugih nalog, ki jih DPO nalaga Splošna uredba; do stika z določenim naborom osebnih podatkov pri tem neizogibno pride, ni pa to primarni namen zunanjega izvajanja storitev DPO. Obenem je treba ugotoviti, da podlago, ki omogoča zunanje izvajanje nalog DPO daje Splošna uredba v 6. odstavku člena 37. Pogodbeno razmerje z zunanjim izvajalcem storitev DPO mora vsekakor biti urejeno tako, da se zagotovi ustrezna zaupnost in varnost podatkov, ne gre pa po mnenju IP za pogodbeno obdelavo osebnih podatkov. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
6. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026