Strokovnjak/strokovnjakinja za varstvo osebnih podatkov v Republiki Sloveniji

Pisni izpit preko interneta: 25. 9. 2019

Ustni zagovor: 3. 10. 2019

Raven: SOK 6/EOK 5

V maju 2018 bo začela v celotni EU veljati Splošna uredba o varstvu osebnih podatkov t. i. GDPR. Ena najpomembnejših novosti je obveznost številnih upravljavcev zbirk osebnih podatkov, da imenujejo pooblaščeno osebo za varstvo osebnih podatkov (t. i. DPO). Organizacija bo morala imenovati DPO glede na tri osnovne okoliščine:

1. Glede na pravno naravo organizacije (javni/zasebni sektor).
2. Glede na naravo osebnih podatkov (občutljivi oz. po novem posebni, »navadni« osebni podatki).
3. Glede na načine in namene obdelave osebnih podatkov in s tem povezanega tveganja za zasebnost posameznikov.

V praksi to pomeni, da bodo morali DPO imenovati vsi državni organi in agencije, občine, javni zavodi, izvajalci javnih služb in nosilci javnih pooblastil. Vsi, ki obsežno obdelujejo t. i. občutljive osebne podatke oziroma posebne vrste osebnih podatkov (npr. vse zdravstvene ustanove, sindikati, politične stranke, verske skupnosti) in vsi, ki posameznike redno in sistematično obsežno spremljajo, oblikujejo profile posameznikov in jih segmentirajo na podlagi osebnih podatkov (npr. banke, zavarovalnice, mobilni operaterji, klubi zvestobe trgovcev, kadrovske agencije, spletne trgovine, ki izvajajo vedenjsko trženje).

Z načrtovanim strokovnim usposabljanjem »strokovnjak/strokovnjakinja za varstvo osebnih podatkov« želimo med udeležence, ki bodo ali pa že opravljajo delo pooblaščene osebe za varstvo osebnih podatkov, razširiti kakovostno znanje o varstvu osebnih podatkov. Udeleženci bodo usposobljeni za samostojno opravljanje dela pooblaščene osebe za varstvo osebnih podatkov, skladno z zakonom, ki ureja varstvo osebnih podatkov in Splošno uredbo o varstvu osebnih podatkov. To pomeni, da bo udeleženec sposoben samostojno skrbeti za skladnost poslovanja s predpisi s področja varstva osebnih podatkov, prepoznal tveganja v zvezi z obdelavo osebnih podatkov in predlagati sprejem ustreznih ukrepov za omejitev tveganj, samostojno odločati o zahtevah posameznikov s področja varstva osebnih podatkov, strokovno zastopati organizacijo v inšpekcijskih in prekrškovnih postopkih, samostojno sodelovati z nadzornim organom na področju varstva osebnih podatkov in suvereno nastopati pred različnimi javnostmi (znotraj organizacije, do posameznikov, poslovnih partnerjev in medijev).

Skupaj z najkompetentnejšimi strokovnjaki s področja varstva osebnih podatkov v vlogi predavateljev želimo kandidate usposobiti za strokovno, suvereno in samostojno izvajanje dela v povezavi z varstvom osebnih podatkov. Celotno strokovno usposabljanje je zasnovano na razumljiv način in vključuje primere iz prakse. Zagotavljamo strokovnost vseh sodelujočih predavateljev, ki imajo izkušnje v praksi, pravilno izbiro predavatelja pa ob zaključku usposabljanja izmerimo z anketo in s t. i. follow up anketo po enem letu od zaključka usposabljanja. Na podlagi analize anket po potrebi uvajamo tako vsebinske kot kadrovske spremembe.

DPO bo pri upravljalcu oziroma obdelovalcu opravljal pomembno nalogo zagotavljanja skladnosti s predpisi s področja varstva osebnih podatkov; in sicer neodvisno, kar pomeni, da za svoje delo ne bo smel prejemati nobenih navodil in ne bo smel biti razrešen ali kaznovan zaradi opravljanja svojih nalog. DPO-jev položaj bo moral omogočati poročanje le vodstvu organizacije, kjer bo deloval. Če morda naredimo primerjavo, njegov položaj  znotraj organizacije bo v našem pravnem redu primerljiv položaju notranjega revizorja.

Poleg tega bo DPO dolžan komunicirati tudi s posamezniki, katerih osebni podatki se obdelujejo pri organizaciji, in jim odgovarjati na njihova vprašanja/zahteve glede pravic, ki jim jih daje GDPR. Ko bo organizacija deležna inšpekcijskega nadzora s strani nadzornega organa s področja varstva osebnih podatkov (npr. Informacijskega pooblaščenca RS), bo prav DPO tisti, ki bo moral v tem postopku aktivno sodelovati in odgovarjati na vprašanja nadzornika.

GDPR v določenih primerih določa tudi obvezno izvedbo presoje vplivov na zasebnost (t. i. PIA – Privacy Impact Assesment). To bo potrebno izvesti v primerih, ko bi vrsta obdelave lahko povzročila veliko tveganje za pravice in svoboščine fizičnih oseb. Pri presoji bo treba upoštevati zmožnosti novih tehnologij, naravo, obseg, okoliščine in namen obdelave, pri čemer bo imel v zvezi s tem prav DPO ključno vlogo.

Da bo DPO lahko suvereno in samostojno opravljal vse naloge, bo torej moral imeti interdisciplinarna znanja in kompetence, zlasti s področij prava in informacijskih tehnologij, poleg tega pa bo moral obvladati tudi osnove komunikacijskih in andragoških veščin.

Kadri, ki se ukvarjajo z varstvom osebnih podatkov, so po izobrazbi večinoma univerzitetni diplomirani ali diplomirani pravniki, ekonomisti, informatiki.

Osebe, ki se ali pa se še bodo ukvarjale z varstvom osebnih podatkov, zaznavajo primanjkljaj ustreznega kadra za imenovanje na funkcijo pooblaščene osebe za varstvo osebnih podatkov (DPO). Imajo pravnike in imajo informatike, nimajo pa strokovnjakov, ki bi imeli potrebna znanja z obeh področij. Potreba po programih, ki bi interdisciplinarno in usmerjeno izobraževali strokovnjake s področja varstva osebnih podatkov in ki bi lahko kompetentno opravljali naloge DPO, ki jih zahteva nova zakonodaja s področja varstva osebnih podatkov v EU (GDPR), je zato zelo velika.

Po uspešno opravljenem izpitu kandidati prejmejo certifikat/potrdilo o pridobitvi dodatne kvalifikacije strokovnjak/strokovnjakinja za varstvo osebnih podatkov, ki ga izda izvajalec dodatne kvalifikacije v skladu s Pravilnikom o določitvi obrazca potrdila o pridobitvi dodatne kvalifikacije, izdanem pri Ministrstvu za delo, družino, socialne zadeve in enake možnosti (Uradni list RS, št. 28/16).

Učni izidi, ki jih kandidat osvoji:

• kandidat je zmožen utemeljiti vlogo pooblaščene osebe za varstvo osebnih podatkov v organizaciji,
• kandidat je zmožen razložiti pojme, koncepte in načela s področja varstva osebnih podatkov,
• kandidat je zmožen načrtovati ustrezne ukrepe za zavarovanje zbirk osebnih podatkov,
• kandidat je zmožen sestaviti pravne akte, potrebne za skladnost poslovanja organizacije s predpisi s področja varstva osebnih podatkov (zlasti interne akte, pogodbe in privolitvene obrazce),
• kandidat je zmožen razložiti pojem oblačnih storitev, prepoznati tveganja v zvezi s temi storitvami in sprejeti ustrezne ukrepe za omejitev tveganj,
• kandidat je zmožen razložiti koncept vgrajene zasebnosti in ga uporabiti pri različnih načinih obdelave osebnih podatkov,
• kandidat je zmožen voditi evidenco dejavnosti obdelave osebnih podatkov in prepoznati različna tveganja pri posameznih vrstah/načinih obdelave,
• kandidat je zmožen prepoznati primere obdelave, v katerih je potrebna presoja vplivov na zasebnost, in izdelati enostavnejšo presojo vplivov na zasebnost,
• kandidat je zmožen voditi postopke in odločati o pravicah posameznikov v skladu s predpisi s področja varstva osebnih podatkov (o seznanitvi z lastnimi osebnimi podatki, pravici do prenosljivosti osebnih podatkov, pravici do pozabe, pravici do popravka, ugovora),
• kandidat je zmožen izvajati postopke notranje kontrole skladnosti obdelave osebnih podatkov s predpisi s področja varstva osebnih podatkov,
• kandidat je zmožen sodelovati z nadzornim organom na področju varstva osebnih podatkov v skladu s predpisi s področja varstva osebnih podatkov,
• kandidat je zmožen razložiti sistem odgovornosti upravljavca in obdelovalca osebnih podatkov in sistem upravnega nadzora nad njima,
• kandidat je zmožen organizirati interno izobraževanje za zaposlene in vodstvo organizacije na področju varstva osebnih podatkov,
• kandidat je zmožen samostojno komunicirati z notranjo in zunanjo javnostjo o pomembnih dogodkih in potrebnih ukrepih, povezanih z varstvom osebnih podatkov v organizaciji.

Temeljni cilji programa:

Kandidat je usposobljen za samostojno opravljanje dela pooblaščene osebe za varstvo osebnih podatkov skladno z zakonom, ki ureja varstvo osebnih podatkov in Splošno uredbo o varstvu osebnih podatkov, kar pomeni da je zmožen:

• v organizaciji samostojno skrbeti za skladnosti poslovanja s predpisi s področja varstva osebnih podatkov,
• prepoznati tveganja v zvezi z obdelavo osebnih podatkov in predlagati sprejem ustreznih ukrepov za omejitev tveganj,
• samostojno odločati o zahtevah posameznikov s področja varstva osebnih podatkov,
• strokovno zastopati organizacijo v inšpekcijskih in prekrškovnih postopkih,
• samostojno sodelovati z nadzornim organom na področju varstva osebnih podatkov,
• suvereno nastopati pred različnimi javnostmi (znotraj organizacije, do posameznikov, poslovnih partnerjev in medijev).

Pogoji za vključitev na dodatno kvalifikacijo:

• dokončana najmanj višja strokovna izobrazba

Način zaključnega preverjanja znanja:

• pisno preverjanja znanja
• ustni zagovor

Za ocenjevanje in preverjanje doseganja učnih izidov programa je odgovorna tričlanska strokovna komisija, ki jo s sklepom določi izvajalec usposabljanja.

Način in oblike izvajanja usposabljanja:

• predavanja
• vaje pod strokovnim vodstvom predavatelja

STRUKTURA PROGRAMA (opredelitev modulov)

1. modul: OSNOVE VARSTVA OSEBNIH PODATKOV IN UVOD V NALOGE POOBLAŠČENE OSEBE ZA VARSTVO OSEBNIH PODATKOV

Število ur: 8

Učni izidi:

• osnovne pojme in osnovna načela s področja prava varstva osebnih podatkov,
• obveznosti upravljavca in obdelovalca,
• pravne podlage za obdelavo osebnih podatkov,
• pojme in obveznosti, ki izhajajo iz pogodbene in podpogodbene obdelave osebnih podatkov,
• odgovornosti pooblaščene uradne osebe za varstvo osebnih podatkov,
• naloge pooblaščene uradne osebe za varstvo osebnih podatkov,
• pristojnosti pooblaščene uradne osebe za varstvo osebnih podatkov,
• potrebne kompetence pooblaščene uradne osebe za varstvo osebnih podatkov,
• položaj pooblaščene uradne osebe za varstvo osebnih podatkov znotraj upravljavca zbirk osebnih podatkov.

Oblike in metode dela: predavanja in vaje

2. modul: ZAVAROVANJE ZBIRK OSEBNIH PODATKOV IN KOMUNICIRANJE Z NADZORNIM ORGANOM

Število ur: 9

Učni izidi:

• osnove zavarovanja zbirk osebnih podatkov (vsebino načel celovitosti, zaupnosti in razpoložljivosti),
• vplive modernih informacijskih tehnologij na zasebnost (tudi tveganje socialnega inženiringa),
• osnove varnostnih politik,
• pomen pravilnika o zavarovanju zbirk osebnih podatkov in ga zna napisati,
• ukrepe zavarovanja zbirk osebnih podatkov,
• možnosti in vrste vdorov v informacijske sisteme,
• osnove inšpekcijskega postopka,
• osnove prekrškovnega postopka,
• tveganja za posameznika, ki so povezana z obdelavo osebnih podatkov in zna prilagoditi ukrepe zavarovanja stopnji tveganja,
• ukrepe, ki jih od upravljavca zbirk osebnih podatkov terjata slovenska in EU zakonodaja.

Oblike in metode dela: predavanje in vaje

3. modul: SKLADNOST IN PREGLEDNOST UPRAVLJANJA ZBIRK OSEBNIH PODATKOV

Število ur: 9

Učni izidi:

• napisati politiko zasebnosti,
• napisati del splošnih pogojev poslovanja, ki se nanašajo na obdelavo osebnih podatkov,
• presoditi ustreznost profiliranja in segmentiranja posameznikov, katerih osebni podatki se nahajajo v zbirkah osebnih podatkov in dopustnost nadaljnje obdelave profilov,
• napisati obrazec za pridobitev pisne privolitve,
• izdelati presojo vplivov na zasebnost,
• razumeti pomen vgrajene zasebnosti,
• odločati o dostopu do lastnih osebnih podatkov,
• odločati o popravku,
• odločati o pravici do pozabe,
• odločati o zahtevi posameznika glede prenosljivosti podatkov,
• izvesti prenos osebnih podatkov,
• odločati o ugovoru zoper profiliranje,
• poznati proces izdelave kodeksov ravnanja,
• odločati o iznosu osebnih podatkov v tretje države,
• prepoznati nevarnosti masovnih podatkov (Big data).

Oblike in metode dela: predavanje in vaje

4. modul: POSLEDICE NESKLADNOSTI POSLOVANJA IN KOMUNIKACIJSKE KOMPETENCE

Število ur: 8

Učni izidi:

• prekrškovno odgovornost upravljavca/obdelovalca in odgovorne osebe,
• civilno in kazensko odgovornost upravljavca/obdelovalca,
• tveganja za ugledu upravljalca ali obdelovalca zbirk osebnih podatkov,
• osnove priprav za izobraževanje sodelavcev,
• orodja in osnove komuniciranja z notranjimi javnostmi,
• osnove komuniciranja s posamezniki, katerih osebni podatki se nahajajo v zbirkah osebnih podatkov upravljavca ali obdelovalca,
• osnove odnosov z zunanjimi javnostmi.

Oblike in metode dela: predavanje in vaje

Skupaj trajanje dodatne kvalifikacije: 35 ur

Predavatelji in izpitna komisija