Pooblaščeno osebo za varstvo podatkov (DPO) morajo obvezno imenovati vsi javni organi, podjetja, katerih temeljna dejavnost zajema obsežno, redno in sistematično spremljanje posameznikov, ter organizacije, ki v večjem obsegu obdelujejo posebne (občutljive) vrste osebnih podatkov. Imenovanje je v zasebnem sektorju obvezno tudi za določene specifične panoge, ki jih natančno določa slovenski Zakon o varstvu osebnih podatkov (ZVOP-2). [1, 2]

Kdaj je imenovanje DPO obvezno?
Javni sektor: Vsi državni organi, samoupravne lokalne skupnosti (občine), javne agencije, šole, vrtci, zdravstveni domovi in bolnišnice (izvzeta so le sodišča, kadar delujejo v okviru svojih sodnih pristojnosti). [1]

Zasebni sektor (obsežno in sistematično spremljanje): Podjetja, katerih bistvo poslovanja zahteva redno in sistematično sledenje posameznikom na sistematičen način (npr. profiliranje uporabnikov, spletno oglaševanje, zavarovalniške storitve, bančništvo, upravljanje sistemov zvestobe). [1]

Obdelava občutljivih podatkov v večjem obsegu: Organizacije, ki kot svojo temeljno dejavnost obdelujejo posebne vrste osebnih podatkov (npr. zdravstvene podatke, biometrične ali genske podatke) ali podatke v zvezi s kazenskimi obsodbami in prekrški (zasebne klinike, laboratoriji, socialno-varstveni zavodi).

Posebne panoge po 45. členu ZVOP-2: Slovenska zakonodaja širi obveznost imenovanja DPO na podjetja, ki izvajajo:

• dejavnost preverjanja solventnosti oziroma bonitete (kreditni uradi, bonitetne hiše);

• detektivsko dejavnost;

• dejavnost zasebnega varovanja (skladno z zakonom, ki ureja zasebno varovanje).

Možnosti in izbira za podjetja
Prostovoljno imenovanje: Podjetja, ki zakonsko niso zavezana, se pogosto odločijo za prostovoljno imenovanje DPO. To pomembno krepi zaupanje strank, poslovnih partnerjev in dokazuje visoko raven korporativne odgovornosti. [1]

Zunanji ali notranji DPO: Vlogo DPO lahko opravlja zaposleni v podjetju (notranji) ali zunanji pogodbeni strokovnjak (zunanji DPO). Pri tem je ključno, da ne pride do konflikta interesov – DPO ne more biti oseba, ki v podjetju določa namene in sredstva obdelave podatkov (npr. direktor, vodja IT-oddelka ali vodja marketinga). [1]

Niste prepričani, ali vaša organizacija potrebuje DPO?
Če nam zaupate, s čim se ukvarja vaše podjetje in katere osebne podatke obdelujete, vam bo naša ekipa strokovnjakov na DATAINFO.SI z veseljem pripravila brezplačno preliminarno oceno vaše obveznosti.