English · Slovenščina · Hrvatski
Ocena učinka v zvezi z varstvom podatkov (DPIA) - predloga
Wise Ed, modul Dostop tretjih oseb (skrbniki, plačniki, sponzorji). Za pooblaščeno osebo za varstvo podatkov zavoda, da jo dopolni, o njej odloči in jo hrani. Pripravila družba Wise Technologies kot izhodišče; ni pravni nasvet.
Navedene nacionalne določbe so rezultat raziskave in niso pravni nasvet; pred uporabo jih mora potrditi pravnik oz. pooblaščena oseba za varstvo podatkov vaše šole. Zbrane so v razdelku 3a. Nacionalno pravo (Slovenija).
Modul je privzeto izklopljen; vklopi ga zavod. Pred vklopom zavod presodi, ali je ocena učinka v zvezi z varstvom podatkov potrebna (35. člen GDPR) - nanjo praviloma kažejo obdelava osebnih podatkov o študentih, mlajših od 18 let, razkrivanje študijskih rezultatov in računov tretjim osebam ter vodenje evidence vpogledov. Ta stran opisuje, kaj počne programska oprema; siva polja izpolni zavod.
1. Ocena
| Upravljavec (zavod) | |
|---|---|
| Pooblaščena oseba za varstvo podatkov | |
| Oceno pripravil, datum | |
| Obdelovalec | Wise Technologies d.o.o., Ljubljana, Slovenija (gostovanje in delovanje sistema Wise Ed) - na podlagi veljavne pogodbe o obdelavi osebnih podatkov: |
| Naslednji pregled | (in ob vsaki spremembi spodnjih nastavitev) |
2. Opis obdelave osebnih podatkov
Nameni
- Skrbnik mladoletnega študenta vidi tiste dele študentovih podatkov, za katere je zavod odločil, da jih prikaže (urnik, izpiti, ocene in napredek, prisotnost, obvestila, računi, pogovori z razrednikom).
- Plačnik (podjetje ali oseba, ki plačuje študentove šolnine in prispevke) vidi račune, naslovljene nanj, s plačilnim nalogom, stanjem in opomini - in prejme en skupni račun za več študentov.
- Polnoletni študent sam izbere, za vsako osebo in za vsak del posebej, kaj vidi starš, plačnik ali sponzor, in lahko privolitev kadar koli prekliče s takojšnjim učinkom.
Posamezniki, na katere se nanašajo osebni podatki
Študenti (tudi 16- in 17-letni, kadar jih zavod vpisuje); tretje osebe same (skrbniki, kontaktne osebe plačnikov in sponzorjev).
Osebni podatki
| O tretji osebi | ime in priimek, e-poštni naslov (s katerim se prijavlja), telefon, jezik, vrsta povezave (skrbnik, plačnik, sponzor), razmerje, plačnik v Financah, kot katerega plačuje, naprave za prijavo in enkratne kode. |
|---|---|
| O študentu, prikazano po delih (»obsegih«) | urnik; izpitni roki in prijave; ocene in napredek do diplome; prisotnost in odsotnosti; obvestila zavoda; računi in plačilni nalogi; samo za skrbnika mladoletnega študenta pogovori z razrednikom. |
| Tretji osebi se nikoli ne prikaže | prilagoditve in karkoli o zdravju; prošnje in njihovi dokumenti; študentova lastna sporočila; plačniku ali sponzorju pogovori. |
| Privolitve | kateri del je študent odobril komu, kdaj in kdaj je privolitev preklical. |
| Evidenca vpogledov | ena vrstica na povezavo, del in dan, ko je tretja oseba odprla ta del (ne na vsak klik). Študent jo vidi za zadnjih 12 mesecev; tretja oseba je na svoji strani obveščena, da se njeni vpogledi beležijo in da jih študent vidi. |
Uporabniki
Tretje osebe prek portala za starše, plačnike in sponzorje (/a/parent) na spletnih straneh zavoda; zaposleni zavoda z vlogami, ki odpirajo zaslone modula; družba Wise Technologies kot obdelovalec.
3. Pravna podlaga
| Kdo vidi | Podlaga, na katero se sklicuje zavod (potrdi zavod) |
|---|---|
| Skrbnik mladoletnega študenta | Naloga zavoda, določena z zakonom, ali zakoniti interes po nacionalnem pravu: . Roditeljska skrb se v Sloveniji, na Hrvaškem, v Srbiji ter v Bosni in Hercegovini konča pri 18 letih, in noben tamkajšnji zakon staršem ne daje visokošolskih podatkov 16- ali 17-letnika - zato modul skrbnikom mladoletnega študenta ne prikaže ničesar, dokler zavod ne označi, kaj se prikaže. |
| Kdorkoli, za polnoletnega študenta | Privolitev študenta (točka (a) prvega odstavka 6. člena in 7. člen GDPR), za vsako osebo in za vsak del posebej, ki jo je mogoče takoj preklicati. Izjema je skrbnik, ki ga zavod poveže s pisnim pravnim razlogom (skrbnik, ki ga je postavilo sodišče); razlog se zabeleži. |
| Plačnik, za račune, naslovljene nanj | Pogodba ali zakoniti interes plačnika in zavoda (točka (b) ali (f) prvega odstavka 6. člena GDPR): . Za vse, kar presega te račune, je potrebna privolitev študenta. |
| Sponzor | Samo privolitev študenta. Študentov zaslon pove, da je odločitev njegova in da je zavod ne zahteva - privolitev ni pogoj za študij (četrti odstavek 7. člena GDPR). |
3a. Nacionalno pravo (Slovenija)
- Pravni okvir: Splošna uredba (GDPR) in Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/2022). Nadzorni organ: Informacijski pooblaščenec.
- Javni sektor (tretji odstavek 6. člena ZVOP-2): javni sektor se na privolitev ali zakoniti interes lahko opira le omejeno. Na javnem visokošolskem zavodu zato uporaba modula čaka na pritrditev pravnika; na zasebnem zavodu je običajna.
- Dnevnik obdelave (22. člen ZVOP-2): evidenca vpogledov je dnevnik obdelave in se hrani 2 leti po koncu leta, v katerem je nastal, največ 5 let. Privzeti rok hrambe v nastavitvah modula je zato 3 leta (1095 dni), kar to zahtevo vedno izpolni.
- Podatki o zdravlju: podlaga je izrecna privolitev študenta; ali Zakon o visokem šolstvu (ZViS-1, Uradni list RS, št. 56/2025) daje zakonsko podlago, ni potrjeno. Tretji osebi se ti podatki nikoli ne prikažejo (razdelek 2).
- Polnoletnost: roditeljska skrb se konča pri 18 letih (Družinski zakonik); zakonske pravice starša ali sponzorja do visokošolskih podatkov polnoletnega študenta nismo našli.
- Seznam vrst obdelav, za katere je ocena učinka obvezna (Informacijski pooblaščenec, 2018): posebne vrste osebnih podatkov in mladoletni izpolnjujejo dve njegovi merili. Seznam (PDF)
4. Nujnost in sorazmernost
- Najmanjši obseg podatkov po delih: tretja oseba vidi le dele, ki so ji odobreni ali nastavljeni; plačnik le račune, naslovljene nanj.
- Privzete nastavitve: modul izklopljen; portal izklopljen; deli za mladoletne prazni.
- Polnoletnost: ko študent postane polnoleten, nobena povezava s skrbnikom ne prikazuje ničesar več, dokler je študent ne ohrani, zoži ali konča.
- Skupni računi: vrstica, ki bi razkrila status (finančna pomoč zaradi statusa, oprostitev plačila), se na računu, naslovljenem na plačnika, glasi le »popust«.
- Preglednost: študent vidi, kdo je kaj pogledal in kdaj; tretja oseba je obveščena, da se njeni vpogledi beležijo.
- Hramba: evidenca vpogledov se hrani toliko dni, kot je nastavljeno v nastavitvah modula ( dni; privzeto 3 leta, 1095 dni); privolitve in povezave ostanejo, dokler obstaja študentova evidenca, končane kot zgodovina: . Za dnevnik obdelave glej 22. člen ZVOP-2 (razdelek 3a).
5. Tveganja in ukrepi
| Tveganje | Ukrepi v programski opremi | Verjetnost / resnost po ukrepih (zavod) |
|---|---|---|
| Nekdo bere podatke druge družine | Prijava z enkratno kodo po e-pošti ali z vabilno kodo zavoda; poverilnice naprav, ki jih je mogoče preklicati; vsako branje gre skozi eno samo preverjanje, ki za tujo povezavo odgovori »ni najdeno«. | |
| Tretja oseba vidi več, kot želi študent | Odobritve po delih, veljavne takoj; nič ni deljeno, dokler študent ne deli; študent lahko povezavo konča. | |
| Pritisk na študenta, naj deli (sponzor, delodajalec) | Zaslon za odobritev pove, da je odločitev študentova in da je zavod ne zahteva; preklic je en dotik, sponzor pa razloga zanj ne vidi. | |
| Posebne vrste osebnih podatkov pridejo do tretje osebe | Prilagoditve, zdravstveni vnosi, prošnje in dokumenti nikoli niso del, ki bi ga bilo mogoče deliti; popusti, ki razkrivajo status, so na računih plačnikom anonimizirani. | |
| Starš ohrani dostop, ko študent postane polnoleten | Povezava od dne polnoletnosti ne vidi ničesar, dokler študent ne odgovori; študent je o tem obveščen. | |
| Referat poveže napačno osebo | Referat je vprašan, preden povezava čaka na privolitev polnoletnega študenta in preden povezava s plačnikom navede plačnika, ki ni na študentovem računu; vsaka sprememba se zabeleži. | |
| Evidenca vpogledov se hrani predolgo | Rok hrambe je nastavitev; starejše vrstice se izbrišejo. |
Druga tveganja, ki jih vidi zavod, in njegovi ukrepi:
6. Nastavitve, o katerih zavod odloči pred vklopom modula
- Starost polnoletnosti (prazno = po državi):
- Kaj vidi skrbnik mladoletnega študenta (privzeto prazno):
- Število dni hrambe evidence vpogledov:
- Kdo v referatu sme odpirati zaslone modula (vloge):
- Kako so obveščeni študenti, skrbniki, plačniki in sponzorji (13. in 14. člen GDPR):
7. Izid
| Preostalo tveganje | |
|---|---|
| Ali je potrebno predhodno posvetovanje z nadzornim organom - Informacijskim pooblaščencem (36. člen GDPR)? | |
| Mnenje pooblaščene osebe za varstvo podatkov | |
| Odločitev, odločil, datum |