Spremembe pri elektronskem vpogledu v izpitno dokumentacijo splošne mature - IPRS

Spremembe pri elektronskem vpogledu v izpitno dokumentacijo splošne mature + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 13.02.2020 Številka: 07120-1/2020/83 Kategorije:Ocene učinkov v zvezi z varstvom podatkov , Pravne podlage, Šolstvo --> Kategorije: Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Šolstvo Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis št. 071-1/2020 z dne 14. 1. 2020, v katerem pojasnjujete, da želite pripraviti spremembe v postopku vpogledov in ugovorov na ocene kandidatov splošne mature. Navajate, da lahko po trenutnem sistemu kandidati prek računalnika s svojo EMŠO in maturitetno šifro dostopajo do rezultatov splošne mature, v izpitno dokumentacijo pa lahko vpogledajo na podlagi pisne vloge na samem Državnem izpitnem centru. Na podlagi vpogleda pa lahko kandidati vložijo ugovor na oceno. Spremembe, ki jih načrtujete, bi bile v smeri digitalizacije celotnega procesa, in sicer bi lahko kandidati z EMŠO in maturitetno šifro dostopali tako do ocen kot do same izpitne dokumentacije, saj bi se izpitne pole preslikale v elektronsko obliko, na elektronski način pa bi se opravilo tudi ocenjevanje. Do vsega navedenega bi imeli kandidati tako na voljo elektronski dostop. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da konkretnih obdelav osebnih podatkov izven postopka inšpekcijskega nadzora ne more dokončno presojati. Zato vam v okviru tega mnenja ne moremo podati dokončnega odgovora, ali so spremembe v smeri digitalizacije procesa ocenjevanja splošne mature, ki jih načrtujete, sprejemljive oziroma ali bi bile skladne z zakonodajo s področja varstva osebnih podatkov. Ta presoja je namreč naloga in odgovornost upravljavca, pri čemer morate posebno pozornost nameniti t.i. varnosti osebnih podatkov (angl. data security). Varnost osebnih podatkov pomeni zagotavljanje celovitosti, zaupnosti in razpoložljivosti takšnih podatkov. Glede varnosti osebnih podatkov Splošna uredba v členu 32 določa, da ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno: (

1. a)psevdonimizacijo in šifriranjem osebnih podatkov; (
2. b)zmožnostjo zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov in storitev za obdelavo; (
3. c)zmožnostjo pravočasno povrniti razpoložljivost in dostop do osebnih podatkov v primeru fizičnega ali tehničnega incidenta; (
4. d)postopkom rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotavljanje varnostni obdelave. Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani. Ob tem vas želimo napotiti še na izjemno pomemben vidik pri zagotavljanju varnosti in varstva osebnih podatkov, ki je tudi eden ključnih elementov zagotavljanja odgovornosti upravljavcev za varstvo osebnih podatkov. Gre za t.i. oceno učinkov v zvezi z varstvom podatkov (angl. Data Protection Impact Assessment, v nadaljevanju DPIA), ki jo Splošna uredba opredeljuje in predpisuje v 35. členu. V zvezi z DPIA je Informacijski pooblaščenec pripravil smernice, za katere močno priporočamo, da jih pred nadaljnjimi koraki v smeri spremembe obstoječega sistema temeljito preučite. Dostopne so na naši spletni strani prek povezave: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/ocene-ucinkov-na-varstvo-podatkov/. V smernicah IP poudarja, da je v inšpekcijskem nadzoru pogosto odkril nepravilnosti in kršitve zakona, do katerih ne bi prišlo, če bi zavezanec (upravljavec ali pogodbeni obdelovalec osebnih podatkov), pred izvedbo določnega projekta ali uporabo določene tehnologije pravočasno izvedel DPIA in tako sam zmanjšal tveganje za nastanek nezakonitosti ali takšno tveganje v celoti izničil. Pomen in učinkovitost DPIA narašča z velikostjo in intenzivnostjo obdelave osebnih podatkov v projektu, pri čemer lahko za »projekt« štejemo: spremembo zakonodaje, uvedbo, povezovanje ali razvoj novih informacijskih rešitev, konkretno uporabo določene tehnologije, razširitev namena obdelave že zbranih osebnih podatkov ali načina obdelave (npr. izvoz podatkov), drugo pomembno spremembo v poslovnem okolju s pomembnejšim vplivom na varstvo osebnih podatkov. Glede na vaše opisane načrte morate kot upravljavec osebnih podatkov ugotoviti, ali je izvedba DPIA za vas obvezna oziroma se odločiti, ali bi to oceno glede na naravo obdelave in morebitne posledice za pravice in svoboščine posameznikov v vsakem primeru opravili, tudi če stricto sensu ni obvezna. Informacijski pooblaščenec te odločitve za vas ne more sprejeti, vsekakor pa v konkretnem primeru najmanj priporočamo, da oceno učinkov pred morebitno uvedbo nameravanih sprememb izvedete. Rezultati DPIA vam bodo namreč dali usmeritve, ali bi sploh nadaljevali z uvedbo načrtovanih spremembam in če da, kako obvladovati tveganja za pravice posameznikov in zagotoviti skladnost s predpisi s področja varstva osebnih podatkov. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc Svetovalka pooblaščenca za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
5. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026