English · Slovenščina · Hrvatski
Procjena učinka na zaštitu podataka (DPIA) - predložak
Wise Ed, modul Pristup trećih strana (skrbnici, platitelji, sponzori). Za službenika za zaštitu podataka visokog učilišta, da je dopuni, o njoj odluči i čuva je. Pripremio Wise Technologies kao polazište; nije pravni savjet.
Navedene nacionalne odredbe rezultat su istraživanja i nisu pravni savjet; prije primjene mora ih potvrditi pravnik odnosno službenik za zaštitu podataka vaše ustanove. Prikupljene su u odjeljku 3a. Nacionalno pravo (Hrvatska).
Modul je prema zadanim postavkama isključen; uključuje ga učilište. Prije uključivanja učilište odlučuje je li procjena učinka na zaštitu podataka potrebna (članak 35. GDPR-a) - na to u pravilu upućuju obrada osobnih podataka o studentima mlađima od 18 godina, otkrivanje studijskih rezultata i računa trećim stranama te vođenje evidencije uvida. Ova stranica opisuje što programska podrška radi; siva polja popunjava učilište.
1. Procjena
| Voditelj obrade (učilište) | |
|---|---|
| Službenik za zaštitu podataka | |
| Procjenu izradio, datum | |
| Izvršitelj obrade | Wise Technologies d.o.o., Ljubljana, Slovenija (smještaj i rad sustava Wise Ed) - na temelju postojećeg ugovora o obradi osobnih podataka: |
| Sljedeća revizija | (i pri svakoj promjeni postavki u nastavku) |
2. Opis obrade osobnih podataka
Svrhe
- Skrbnik maloljetnog studenta vidi one dijelove studentovih podataka za koje je učilište odlučilo da ih prikaže (raspored, ispiti, ocjene i napredak, prisutnost, obavijesti, računi, razgovori s razrednikom).
- Platitelj (društvo ili osoba koja plaća studentove školarine i troškove) vidi račune naslovljene na njega, s uplatnicom, stanjem i opomenama - i prima jedan zbirni račun za više studenata.
- Punoljetni student sam bira, za svaku osobu i za svaki dio posebno, što vidi roditelj, platitelj ili sponzor, i privolu može u svakom trenutku povući s trenutačnim učinkom.
Ispitanici
Studenti (uključujući studente od 16 i 17 godina kada ih učilište upisuje); same treće strane (skrbnici, kontaktne osobe platitelja i sponzora).
Osobni podaci
| O trećoj strani | ime i prezime, adresa e-pošte (kojom se prijavljuje), telefon, jezik, vrsta veze (skrbnik, platitelj, sponzor), odnos, platitelj u Financijama kao koji plaća, uređaji za prijavu i jednokratni kodovi. |
|---|---|
| O studentu, prikazano po dijelovima (»opsezima«) | raspored; ispitni rokovi i prijave; ocjene i napredak prema diplomi; prisutnost i izostanci; obavijesti učilišta; računi i uplatnice; samo za skrbnika maloljetnog studenta razgovori s razrednikom. |
| Trećoj strani nikada se ne prikazuje | prilagodbe i bilo što o zdravlju; zahtjevi i njihovi dokumenti; studentove vlastite poruke; platitelju ili sponzoru razgovori. |
| Privole | koji je dio student odobrio kome, kada i kada je privolu povukao. |
| Evidencija uvida | jedan redak po vezi, dijelu i danu kada je treća strana otvorila taj dio (ne po svakom kliku). Student je vidi za posljednjih 12 mjeseci; treća strana je na svojoj stranici obaviještena da se njezini uvidi bilježe i da ih student vidi. |
Primatelji
Treće strane putem portala za roditelje, platitelje i sponzore (/a/parent) na mrežnim stranicama učilišta; zaposlenici učilišta s ulogama koje otvaraju zaslone modula; Wise Technologies kao izvršitelj obrade.
3. Pravna osnova
| Tko vidi | Osnova na koju se učilište poziva (potvrđuje učilište) |
|---|---|
| Skrbnik maloljetnog studenta | Zadaća učilišta propisana zakonom ili legitimni interes prema nacionalnom pravu: . Roditeljska skrb u Sloveniji, Hrvatskoj, Srbiji te Bosni i Hercegovini prestaje s 18 godina, a nijedan ondašnji zakon roditelju ne daje visokoškolske podatke 16- ili 17-godišnjaka - zato modul skrbnicima maloljetnog studenta ne prikazuje ništa dok učilište ne označi što se prikazuje. |
| Bilo tko, za punoljetnog studenta | Privola studenta (članak 6. stavak 1. točka (a) i članak 7. GDPR-a), za svaku osobu i za svaki dio posebno, koju je moguće odmah povući. Iznimka je skrbnik kojeg učilište poveže uz pisani pravni razlog (skrbnik kojeg je postavio sud); razlog se bilježi. |
| Platitelj, za račune naslovljene na njega | Ugovor ili legitimni interes platitelja i učilišta (članak 6. stavak 1. točka (b) ili (f) GDPR-a): . Za sve izvan tih računa potrebna je privola studenta. |
| Sponzor | Samo privola studenta. Studentov zaslon navodi da je izbor njegov i da ga učilište ne zahtijeva - privola nije uvjet studija (članak 7. stavak 4. GDPR-a). |
3a. Nacionalno pravo (Hrvatska)
- Pravni okvir: Opća uredba o zaštiti podataka (GDPR) i Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/18). Nadzorno tijelo: Agencija za zaštitu osobnih podataka (AZOP).
- Evidencije (čl. 75. ZVOZD-a): prema Zakonu o visokom obrazovanju i znanstvenoj djelatnosti (ZVOZD, NN 119/22) evidencije se dostavljaju samo ministarstvu; zakon roditelju ili sponzoru ne daje pravo na studentove podatke.
- Podaci o zdravlju (čl. 77. st. 4. ZVOZD-a): osnova za podatke o zdravlju studenata uz pravilnik visokog učilišta; bez pravilnika izričita privola studenta. Trećoj strani ti se podaci nikada ne prikazuju (odjeljak 2).
- Punoljetnost: roditeljska skrb prestaje s 18 godina (Obiteljski zakon); privola za mrežne usluge daje se od 16. godine.
- Popis vrsta obrade za koje je potrebna procjena učinka (AZOP): posebne kategorije osobnih podataka i maloljetnici ispunjavaju dva njegova kriterija. Popis (PDF)
4. Nužnost i proporcionalnost
- Smanjenje količine podataka po dijelovima: treća strana vidi samo odobrene ili postavljene dijelove; platitelj samo račune naslovljene na njega.
- Zadane postavke: modul isključen; portal isključen; dijelovi za maloljetne prazni.
- Punoljetnost: kada student postane punoljetan, nijedna veza sa skrbnikom više ništa ne prikazuje dok je student ne zadrži, suzi ili okonča.
- Zbirni računi: redak koji bi otkrio status (financijska potpora zbog statusa, oslobođenje od plaćanja) na računu naslovljenom na platitelja glasi samo »popust«.
- Transparentnost: student vidi tko je što pogledao i kada; treća strana je obaviještena da se njezini uvidi bilježe.
- Rok čuvanja: evidencija uvida čuva se onoliko dana koliko je postavljeno u postavkama modula ( dana; zadano 3 godine, 1095 dana); privole i veze ostaju dok postoji studentov zapis, okončane kao povijest: .
5. Rizici i mjere
| Rizik | Mjere u programskoj podršci | Vjerojatnost / ozbiljnost nakon mjera (učilište) |
|---|---|---|
| Netko čita podatke druge obitelji | Prijava jednokratnim kodom poslanim e-poštom ili pozivnim kodom učilišta; vjerodajnice uređaja koje je moguće opozvati; svako čitanje prolazi kroz jednu jedinu provjeru koja za tuđu vezu odgovara »nije pronađeno«. | |
| Treća strana vidi više nego što student želi | Odobrenja po dijelovima, s trenutačnim učinkom; ništa nije podijeljeno dok student ne podijeli; student može okončati vezu. | |
| Pritisak na studenta da dijeli (sponzor, poslodavac) | Zaslon za odobrenje navodi da je izbor studentov i da ga učilište ne zahtijeva; povlačenje je jedan dodir, a sponzor ne vidi razlog za njega. | |
| Posebne kategorije osobnih podataka dospijevaju trećoj strani | Prilagodbe, zdravstveni unosi, zahtjevi i dokumenti nikada nisu dio koji se može dijeliti; popusti koji otkrivaju status anonimizirani su na računima platiteljima. | |
| Roditelj zadržava pristup nakon što student postane punoljetan | Veza od dana punoljetnosti ne vidi ništa dok student ne odgovori; student je o tome obaviješten. | |
| Studentska služba poveže pogrešnu osobu | Studentska služba dobiva pitanje prije nego što veza čeka privolu punoljetnog studenta i prije nego što veza s platiteljem navede platitelja koji nije na studentovu računu; svaka se promjena bilježi. | |
| Evidencija uvida čuva se predugo | Rok čuvanja je postavka; stariji se redci brišu. |
Ostali rizici koje učilište uočava i njegove mjere:
6. Postavke o kojima učilište odlučuje prije uključivanja modula
- Dob punoljetnosti (prazno = prema državi):
- Što vidi skrbnik maloljetnog studenta (prema zadanim postavkama prazno):
- Broj dana čuvanja evidencije uvida:
- Tko u studentskoj službi smije otvarati zaslone modula (uloge):
- Kako se obavješćuju studenti, skrbnici, platitelji i sponzori (članci 13. i 14. GDPR-a):
7. Ishod
| Preostali rizik | |
|---|---|
| Je li potrebno prethodno savjetovanje s nadzornim tijelom - Agencijom za zaštitu osobnih podataka (članak 36. GDPR-a)? | |
| Mišljenje službenika za zaštitu podataka | |
| Odluka, donio, datum |