Ocena učinka v zvezi z varstvom podatkov (DPIA)
Ta ocena učinka v zvezi z varstvom podatkov (v nadaljevanju DPIA) je izdelana po členu 35 Splošne uredbe o varstvu podatkov (GDPR) in ZVOP-2 za storitev DvaDoma (spletna aplikacija za organizacijo življenja otroka med dvema domovoma). Ta dokument objavljamo zaradi preglednosti; izvirnik na zahtevo predložimo nadzornemu organu (Informacijski pooblaščenec RS). Dokument je treba brati skupaj z objavljeno Politiko zasebnosti, Pogoji uporabe, Politiko piškotkov, Politiko vračil in odpovedi ter Impressumom, s katerimi mora biti vsebinsko usklajen.
1. Uvod, upravljavec in razlog za DPIA
Upravljavec osebnih podatkov in ponudnik storitve je:
- Konsepto, oblikovanje in kreativne rešitve, d.o.o. (kratko: Konsepto d.o.o.)
- Sedež: Dunajska cesta 136, 1000 Ljubljana, Slovenija
- Matična številka: 7440405000 · ID za DDV: SI90994299
- Kontakt za zasebnost in uveljavljanje pravic: podpora@dvadoma.si
Nadzorni organ je Informacijski pooblaščenec RS, Dunajska cesta 22, 1000 Ljubljana, e-pošta gp.ip@ip-rs.si.
Pooblaščena oseba za varstvo podatkov (DPO). Ker jedro dejavnosti storitve vključuje redno in sistematično obdelavo posebnih vrst osebnih podatkov o otrocih, upravljavec presoja potrebo po imenovanju pooblaščene osebe po členu 37(1)(c) GDPR. Merilo za to imenovanje je obseg (»obsežnost«) obdelave. Odločitev: pri sedanjem obsegu (majhna ekipa, začetna baza uporabnikov) obdelava ni obsežna v smislu člena 37(1)(c), zato pooblaščena oseba trenutno ni imenovana; presoja se ponovi ob vsakem letnem pregledu te ocene in ob bistveni rasti obsega (razdelek 8). Obveznost izvedbe te DPIA od te presoje ni odvisna (glej spodaj).
Zakaj je DPIA obvezna. Obveznost izdelave DPIA v tem primeru izhaja iz kombinacije meril iz smernic EDPB (WP248) za obdelave, ki verjetno pomenijo veliko tveganje, in velja ne glede na obseg obdelave. Že sočasna izpolnitev naslednjih meril zadošča:
- občutljivi podatki po členu 9 – zdravstveni podatki otroka (alergije, krvna skupina, zdravila, zdravnik, številka zdravstvenega zavarovanja, zdravstvene opombe), dodatno tudi občutljive vsebine v prostih besedilih;
- ranljivi posamezniki – obdelava se nanaša na otroke (mladoletnike), med katerimi je razmerje moči neuravnoteženo, ter poteka v kontekstu ločenih in pogosto konfliktnih staršev;
- podatki o lokaciji in gibanju otroka skozi čas (razpored bivanja, dnevi bivanja, podrobnosti predaje);
- zbiranje podatkov o tretjih osebah, ki niso uporabniki (imenik, kontakti);
- mednarodni prenosi nekaterih podatkov v ZDA.
Že kombinacija posebnih vrst podatkov po členu 9 z ranljivostjo posameznikov (otroci) po smernicah EDPB zadošča za obveznost izvedbe DPIA, neodvisno od obsega obdelave. Če se pri ponovni presoji ob letnem pregledu (razdelek 8.3) potrdi tudi obsežnost obdelave, se obveznost dodatno opira na člen 35(3)(b) GDPR (obsežna obdelava posebnih vrst podatkov po členu 9). Upravljavec je zato DPIA izvedel pred začetkom obdelave oziroma pred njeno bistveno spremembo in jo bo periodično posodabljal (razdelek 8).
2. Sistematičen opis obdelave
2.1 Nameni obdelave
Namen storitve je staršema, ki otroka vzgajata v dveh domovih, omogočiti organizacijo in usklajevanje: koledar bivanja in razpored bivanja, deljenje in obračun stroškov, nespremenljivo sporočanje, trezor dokumentov, strukturirano banko podatkov o otroku, imenik kontaktov in dnevnik. Spremljajoči nameni so: upravljanje računa in transakcijska e-pošta, brezpiškotna zbirna statistika obiska (samogostovani Plausible, zakoniti interes), varnost in preprečevanje zlorab z revizijsko sledjo, obračun naročnine, ob privolitvi analitika in oglaševanje ter izpolnjevanje davčnih in računovodskih obveznosti.
2.2 Kategorije posameznikov
- Starši / uporabniki – osebe, ki ustvarijo račun in uporabljajo storitev.
- Otroci (mladoletniki) – posamezniki, o katerih se vodi vsebina; profil ustvari in vodi starš v okviru starševske odgovornosti, otrok storitve ne uporablja samostojno.
- Tretje osebe – osebe, katerih podatke vnese uporabnik (kontakti iz imenika: pediater, zobozdravnik, učitelj, varuška, trener, vrtec, nujni kontakti; osebe pri predaji otroka; imena v oznakah domov).
2.3 Kategorije podatkov
Spodnja tabela povzema avtoritativne kategorije podatkov (usklajene z razdelkom 3 Politike zasebnosti), z navedbo posameznika in stopnje občutljivosti.
| Oznaka | Kategorija | Posameznik | Občutljivost |
|---|---|---|---|
| A | Račun starša (ime, priimek, e-pošta, geslo kot argon2id, jezik, časovni pas, status, časi prijave) | Starš | Redna |
| B | Družina in gospodinjstvi (ime družine, oznaki domov – pogosto osebna imena, šolska regija) | Starš, tretje osebe | Redna |
| C | Otroci (ime, letnica rojstva – obvezni minimum; poln datum neobvezen; fotografija) | Otrok | Podatki o otroku (ranljivi posameznik) |
| D | Zdravstveni podatki otroka (alergije, krvna skupina, zdravila, zdravnik, št. zdr. zavarovanja, zdravstvene opombe; dogodki »zdravniško«; dokumenti »zdravje«) | Otrok | Posebna vrsta (člen 9) |
| E | Šolski podatki otroka (šola/vrtec, razred, učitelj in kontakt) | Otrok, tretje osebe | Podatki o otroku + tretja oseba |
| F | Razpored / skrbništvo (vzorci izmenjave, dnevi bivanja – lokacija otroka skozi čas, predlogi sprememb z razlogom, praznična pravila, podrobnosti predaje) | Otrok, starši, tretje osebe | Lokacija/gibanje otroka – povečana občutljivost |
| G | Stroški (opis, znesek, datum, delitev, opombe, priloge) | Starši, otrok | Redna; prosta besedila lahko občutljiva |
| H | Sporočila med starši (nespremenljiva, časovni žig, prosto besedilo, priloge) | Starši, otrok, tretje osebe | Prosta besedila lahko posebne vrste |
| I | Dokumenti / trezor (pravno, zdravje, šola, zavarovanje, drugo: sodne odločbe, izvidi) | Otrok, starši | Lahko posebne vrste (kategorija »zdravje«) |
| J | Dnevnik (zapisi + fotografije otroka) | Otrok | Podatki o otroku; prosta besedila lahko občutljiva |
| K | Imenik (kontakti tretjih: ime, vloga, organizacija, telefon, e-pošta, naslov) | Tretje osebe | Podatki tretjih, vneseni brez njihove privolitve |
| L | Priloge / datoteke (zunaj spletnega korena; dostop le prek članstva) | Vsi | Odvisno od vsebine |
| M | Poročila (PDF povzetki o otroku) | Otrok | Izvedeni podatki o otroku |
| N | Tehnični (IP v aplikaciji le kot hash, kratkotrajni strežniški dnevniki, seje, revizijska sled samo za dodajanje (append-only), žetoni za preverjanje/ponastavitev/povabila kot hash, calendar_token kot preklicna poverilnica) | Starš | Redna / varnostna |
| O | Plačilni podatki | Starš | Obdeluje Paddle; DvaDoma jih ne shranjuje |
2.4 Pravne podlage
| Namen | Pravna podlaga |
|---|---|
| Jedro storitve (račun, družina, otroci, razpored, stroški, sporočila, dokumenti, dnevnik, imenik, poročila) in transakcijska e-pošta | Izvajanje pogodbe – člen 6(1)(b) |
| Varnost, preprečevanje zlorab, revizijska sled, nespremenljivost sporočil, diagnostika in izboljšave | Zakoniti interes – člen 6(1)(f) (opravljen test tehtanja) |
| Analitika in oglaševanje (GA4, Google Ads, Meta Pixel; nefunkcijski piškotki) | Privolitev – člen 6(1)(a) in predhodna privolitev po ZEKom-2 |
| Izdaja računov ter računovodska in davčna evidenca | Zakonska obveznost – člen 6(1)(c) |
| Obravnava zahtev posameznikov za uveljavljanje pravic (dostop, popravek, izbris, omejitev, ugovor, prenosljivost) | Zakonska obveznost – člen 6(1)(c) (v povezavi s členi 15–22) |
| Zdravstveni podatki otroka (posebna vrsta) | Izvajanje pogodbe (člen 6(1)(b)) v kombinaciji z izrecno privolitvijo (člen 9(2)(a)), ki jo starš poda v imenu otroka |
Otroci in pravna podlaga. Okvir digitalne privolitve otroka (člen 8 GDPR oziroma člen 8 ZVOP-2, ki za Slovenijo določa starost 15 let) se ne uporablja neposredno, ker storitev ni ponujena neposredno otroku, temveč staršem. Obdelava podatkov o otroku se opira na starševsko odgovornost in največjo korist otroka. Izrecno privolitev za zdravstvene podatke poda nosilec starševske odgovornosti v imenu otroka; polja so neobvezna, privolitev se pridobi v ločenem postopku z zapisom časa in različice ter jo je mogoče kadar koli preklicati. Starševska izrecna privolitev ne nadomešča morebitne samostojne privolitve otroka; pri starejših mladoletnikih se ob upoštevanju njihove zmožnosti razumevanja upošteva tudi njihovo lastno gledišče, v skladu z načelom največje koristi otroka in objavljeno Politiko zasebnosti.
2.5 Pretok podatkov, podobdelovalci in prejemniki
Podatki praviloma mirujejo v EU (gostovanje in šifrirane varnostne kopije v Nemčiji). Dostop do vsebine je nadzorovan izključno prek aktivnega članstva v družini (ločevanje dostopa med družinami; uporabnik ene družine ne dostopa do druge). Naslednji prejemniki sodelujejo pri delovanju storitve:
| Prejemnik | Namen | Vloga | Lokacija / prenos |
|---|---|---|---|
| Hetzner Online GmbH | Gostovanje aplikacije in podatkov ter šifrirane varnostne kopije (AES-256, ločen ključ) | Podobdelovalec (člen 28) | Nemčija (EU) |
| Google (Gmail SMTP) | Transakcijska e-pošta (potrditve, ponastavitve gesla, povabila, obvestila) | Podobdelovalec (člen 28) | Prenos v ZDA |
| Paddle.com Market Ltd | Obdelava plačil, pogodbeni prodajalec (Merchant of Record): obračun in odvod DDV, računi, vračila | Ločen samostojni upravljavec plačilnih podatkov | Po Paddlovih pogojih |
| Google (GA4, Google Ads) – le ob privolitvi | Merjenje obiska in konverzijsko sledenje | Samostojni / skupni upravljavec | Prenos v ZDA |
| Meta Platforms (Facebook Pixel) – le ob privolitvi | Oglaševalsko in konverzijsko sledenje | Samostojni / skupni upravljavec | Prenos v ZDA |
| Google Koledar, Applov Koledar ali drug ponudnik koledarja (npr. Outlook) – le na pobudo uporabnika | Naročilo koledarja prek povezave iCal | Ločen ponudnik po izbiri uporabnika | Po pogojih ponudnika |
| Plausible Analytics CE (samogostovan) | Brezpiškotna zbirna statistika obiska (brez piškotkov, brez identifikatorjev) | Lastno orodje na lastni infrastrukturi – ni prejemnik | ni prenosa |
| Let’s Encrypt | Izdaja TLS-potrdil | Tehnični izdajatelj potrdil – ne obdeluje osebnih podatkov | ni prenosa |
Mednarodni prenosi. Do prenosa v ZDA pride pri Googlu (Gmail SMTP; ob privolitvi GA4 in Google Ads) in pri Meti (Facebook Pixel, le ob privolitvi). Za te prenose se upravljavec opira na Okvir EU-ZDA za zasebnost podatkov (Data Privacy Framework, Izvedbeni sklep (EU) 2023/1795) in/ali na standardne pogodbene klavzule (SCC) po členu 46 GDPR z dopolnilnimi ukrepi. Analitični in oglaševalski prenosi se aktivirajo le po predhodni privolitvi (Consent Mode v2).
3. Ocena nujnosti in sorazmernosti
Obdelava je ocenjena kot nujna in sorazmerna glede na namene iz razdelka 2. Presoja po ključnih načelih člena 5 GDPR:
- Zakonitost, pravičnost in preglednost (člen 5(1)(a)). Vsak namen ima ustrezno pravno podlago (razdelek 2.4). Za posebne vrste podatkov se poleg podlage po členu 6 zahteva izrecna privolitev po členu 9(2)(a). Obdelava je javno in razumljivo opisana v Politiki zasebnosti; za podatke tretjih oseb, pridobljene posredno, se izpolnjuje obveznost obveščanja po členu 14, ob opori na izjemo nesorazmernega napora iz člena 14(5)(b) z nadomestnimi zaščitami (javna preglednost, kontaktna točka, jamstvo uporabnika).
- Omejitev namena (člen 5(1)(b)). Podatki se obdelujejo izključno za organizacijo življenja otroka in spremljajoče namene; ni nadaljnje nezdružljive uporabe. Upravljavec sam ne izvaja profiliranja niti samodejnega sprejemanja odločitev s pravnimi ali podobno pomembnimi učinki; oglaševanje se ne usmerja na otroke. Trditev o odsotnosti profiliranja se nanaša na upravljavca in ne na oglaševalske tretje osebe (Google Ads, Meta), ki ob privolitvi uporabnika lahko izvajajo lastno sledenje in profiliranje kot samostojni/skupni upravljavci (obravnavano v tveganju R10).
- Najmanjši obseg podatkov (člen 5(1)(c)). Obvezni minimum je ozek: za račun ime, priimek, e-pošta in geslo; za otroka le ime in letnica rojstva. Poln datum rojstva, fotografije, vsa zdravstvena polja, imenik in prosta besedila so neobvezni. Vnos občutljivih podatkov v prosta besedila se izrecno odsvetuje. Naslov IP se v aplikaciji shranjuje samo kot hash; strežniški dnevniki dostopa ga iz varnostnih razlogov beležijo kratek čas in se samodejno prepišejo.
- Točnost (člen 5(1)(d)). Uporabnik lahko podatke kadar koli popravi in dopolni; tretje osebe uveljavijo popravek prek kontaktne točke.
- Omejitev shranjevanja (člen 5(1)(e)). Roki hrambe so opredeljeni in omejeni (razdelek 6.2 in Politika zasebnosti): vsebina, dokler je račun aktiven, nato izbris/anonimizacija najpozneje v 30 dneh; varnostne kopije najpozneje 35 dni; računovodski/davčni podatki 10 let (32. člen ZDavP-2, 54. člen ZGD-1 in 86. člen ZDDV-1); žetoni po uporabi/poteku; revizijska sled za čas trajanja družinskega računa.
- Celovitost in zaupnost (člen 5(1)(f)). Uporabljeni so tehnični in organizacijski ukrepi iz razdelka 6.
- Odgovornost (člen 5(2)). Ta DPIA, evidenca dejavnosti obdelave (člen 30), zapisi o privolitvah, pogodbe o obdelavi (člen 28) in revizijska sled samo za dodajanje (append-only) izkazujejo skladnost.
Sorazmernost izrecne privolitve. Ker so zdravstvena polja neobvezna in storitev deluje tudi brez njih, obdelava posebnih vrst podatkov ne presega tega, kar starš prostovoljno vnese v korist otroka. Privolitev je specifična (ločena od sprejema pogojev), zabeležena s časom in različico ter preklicljiva; preklic ne vpliva na zakonitost predhodne obdelave. Če v posameznem okolju ločeni postopek privolitve še ni na voljo, se zdravstvena polja na tej podlagi ne obdelujejo.
4. Posvetovanje z deležniki in upoštevanje gledišč
Po členu 35(9) GDPR upravljavec upošteva stališča posameznikov, na katere se obdelava nanaša. Ker gre za storitev z majhno začetno bazo in za občutljiv družinski kontekst, se pridobivanje gledišč izvaja na naslednje načine:
- Starši (uporabniki). Povratne informacije se zbirajo prek kontaktne točke podpora@dvadoma.si. Strukturirano posvetovanje (anketa / razgovori) je predvideno ob prvem letnem pregledu te ocene (razdelek 8.3). Ključno pričakovanje uporabnikov: zanesljivo ločevanje dostopa med družinami in nadzor nad občutljivo vsebino.
- Otrok. Interese otroka zastopa nosilec starševske odgovornosti; vodilo obdelave je največja korist otroka. Upoštevamo ranljivost otroka in tveganje, da se vsebina zlorabi v starševskem sporu. Pri starejših mladoletnikih se glede na njihovo zmožnost razumevanja upošteva tudi njihovo lastno gledišče; starševska privolitev ne nadomešča morebitne samostojne privolitve otroka (usklajeno s Politiko zasebnosti).
- Drugi starš. Zaradi deljene narave družine se upošteva zakoniti interes drugega starša za dostop do skupne zgodovine o otroku (podlaga za »mehko« zaprtje in ohranitev deljene vsebine).
- Tretje osebe (imenik). Njihova gledišča se naslavljajo prek javne preglednosti v Politiki zasebnosti in prek pravice do dostopa, popravka, ugovora in izbrisa na kontaktni točki.
- Notranji deležniki. Stališča znotraj ekipe zastopa zakoniti zastopnik, ki združuje vodenje, razvoj in podporo uporabnikom.
- Nadzorni organ. Ta DPIA je pripravljena tako, da se na zahtevo predloži Informacijskemu pooblaščencu RS; morebitno predhodno posvetovanje po členu 36 je obravnavano v razdelku 7.
Prejeta gledišča in njihova obravnava se dokumentirajo ob periodični reviziji (razdelek 8).
5. Register tveganj
Tveganja so ocenjena po dvoosni lestvici: verjetnost (1 – nizka, 2 – srednja, 3 – visoka) in resnost za pravice in svoboščine posameznikov (1 – omejena, 2 – pomembna, 3 – huda). Raven = verjetnost × resnost: 1–2 nizka, 3–4 srednja, 6–9 visoka. Verjetnost in resnost sta ocenjeni kot izhodiščno (inherentno) tveganje pred uporabo ukrepov; zadnji stolpec navaja preostalo tveganje po ukrepih iz razdelka 6.
| # | Tveganje | Vir | Verj. | Resn. | Raven | Ključni ukrepi | Preostalo tveganje |
|---|---|---|---|---|---|---|---|
| R1 | Nepooblaščen dostop do zdravstvenih podatkov otroka (posebna vrsta, člen 9) | Zunanji napadalec; kompromitacija poverilnic; napaka pri ločevanju dostopa med družinami | 2 | 3 | Visoka (6) | Ločevanje dostopa prek aktivnega članstva v družini; dokumenti/priloge zunaj spletnega korena; TLS; šifrirane kopije AES-256 z ločenim ključem; gesla argon2id; žetoni kot hash, enkratni, časovno omejeni; zdravstvena polja neobvezna; ločena izrecna privolitev; sistemski skrbnik ne vidi vsebine | Nizka–srednja (sprejemljivo) |
| R2 | Sklepanje o zdravju, veri ali drugih posebnih vrstah iz prostih besedil (sporočila, opombe, dnevnik) | Uporabnikov vnos občutljive vsebine v nestrukturirana polja | 3 | 2 | Visoka (6) | Izrecno odsvetovanje vnosa v Politiki zasebnosti; načelo najmanjšega obsega; vsebina sporočil se ne beleži v dnevnike (loge); enaka tehnična varovala dostopa; brez profiliranja in samodejnih odločitev | Srednja (delno odvisno od ravnanja uporabnika) |
| R3 | Dostop bivšega partnerja ali tretjega do deljene družinske vsebine (lokacija/gibanje otroka, zloraba v konfliktni ločitvi ali pri nasilju v družini) | Deljena narava družine; ohranitev skupne vsebine po zaprtju; zloraba dostopa člana | 2 | 3 | Visoka (6) | »Mehko« zaprtje z ročnim pregledom in kontaktom; omejitev obdelave ob sporu (zlasti zdravstveni podatki); nespremenljiva sporočila in revizijska sled samo za dodajanje (append-only) za odgovornost; kontaktna točka; ohranitev deljene vsebine na podlagi člena 6(1)(f) in člena 17(3)(e); upravljavec ne razsoja o starševskih sporih, sporno vsebino pa omeji | Srednja |
| R4 | Kompromitacija ali nenamerno deljenje povezave koledarja (calendar_token deluje kot poverilnica) | Razkritje URL-ja iCal; posredovanje povezave napačnemu prejemniku | 2 | 2 | Srednja (4) | calendar_token je naključna poverilnica, ki je preklicljiva in jo je mogoče kadar koli zamenjati; feed je samo za branje in omejen na koledar (ne celotna vsebina); jasno opozorilo v Politiki zasebnosti, da povezava deluje kot poverilnica | Nizka |
| R5 | Zloraba imenika – obdelava podatkov tretjih oseb brez njihove privolitve (člen 14) | Starš vnese kontakte (pediater, učitelj, varuška) brez vednosti teh oseb | 3 | 1 | Srednja (3) | Opora na izjemo nesorazmernega napora iz člena 14(5)(b) z nadomestnimi zaščitami: javna preglednost kategorij, namena, vira in rokov; kontaktna točka za dostop, popravek, ugovor, izbris; jamstvo in dolžnost uporabnika ob vnosu; najmanjši obseg podatkov | Nizka |
| R6 | Kršitev varnosti pri podobdelovalcu (Hetzner, Google Gmail SMTP) | Varnostni incident ali napaka pri podobdelovalcu | 1 | 3 | Srednja (3) | Pogodbe o obdelavi po členu 28; gostovanje v EU; šifrirane kopije (AES-256, ločen ključ); TLS; obvestilna e-pošta z nevtralnim besedilom, da ne razkriva zdravstvenega konteksta (izvedeno: e-pošta navede samo kategorijo obvestila, nikoli vsebine); obveznost priglasitve kršitve; interni postopek obveščanja po členih 33/34 | Nizka |
| R7 | Prenos podatkov v ZDA (Google Gmail SMTP; ob privolitvi GA4/Ads, Meta Pixel) | Dostop organov tretje države; negotovost mehanizma prenosa | 2 | 2 | Srednja (4) | DPF (Izvedbeni sklep (EU) 2023/1795) in/ali SCC po členu 46 z dopolnilnimi ukrepi; analitika in oglaševanje le ob privolitvi (Consent Mode v2); podatki praviloma mirujejo v EU; obvestilna e-pošta z nevtralnim besedilom, da ne prenaša posebnih vrst podatkov (izvedeno: e-pošta navede samo kategorijo obvestila, nikoli vsebine) | Nizka–srednja |
| R8 | Notranja grožnja – dostop skrbnika ali nastopanje v imenu uporabnika | Zloraba privilegijev sistemskega skrbnika | 1 | 3 | Srednja (3) | Sistemski skrbnik ne vidi vsebine sporočil, dokumentov, zdravstvenih in otroških opomb; ni impersonacije (skrbnik ne more nastopati v imenu uporabnika); revizijska sled samo za dodajanje (append-only); načelo najmanjših pravic | Nizka |
| R9 | Izguba razpoložljivosti ali celovitosti podatkov (člen 32) | Odpoved strojne opreme; okvara; napaka pri obnovi | 1 | 2 | Nizka (2) | Šifrirane varnostne kopije (AES-256) z ločenim ključem; gostovanje v EU; revizijska sled samo za dodajanje (append-only) | Nizka |
| R10 | Sledenje in profiliranje s strani oglaševalskih tretjih oseb (Google Ads, Meta Pixel) v občutljivem družinskem/ločitvenem kontekstu | Vgrajeni sledilniki tretjih oseb ob privolitvi uporabnika; profiliranje odraslih uporabnikov s strani samostojnih/skupnih upravljavcev | 2 | 2 | Srednja (4) | Sledilniki se ne nalagajo brez predhodne privolitve (Consent Mode v2); privolitev je pogoj in jo je mogoče zavrniti ali kadar koli preklicati; ločena Politika piškotkov z opisom prejemnikov, namenov in prenosov v ZDA; oglaševanje se ne usmerja na otroke; upravljavec sam ne profilira | Nizka |
6. Ukrepi za zmanjšanje tveganj
6.1 Tehnični in organizacijski ukrepi (TOM)
Naslednji ukrepi so dejansko implementirani; v zadnjem stolpcu so povezani s tveganji iz registra.
| Ukrep | Naslavlja tveganja |
|---|---|
| Šifriranje prenosa (TLS; potrdila Let’s Encrypt kot tehnični izdajatelj, ki ne obdeluje osebnih podatkov) | R1, R6, R7 |
| Šifrirane varnostne kopije AES-256 z ločeno shranjenim ključem | R1, R6, R9 |
| Gesla shranjena le kot kriptografski povzetek argon2id, nikoli v čistopisu | R1, R8 |
| Naslov IP v aplikaciji shranjen samo kot hash; strežniški dnevniki dostopa kratkotrajni in samodejno prepisani | R1 (najmanjši obseg podatkov) |
| Dostop do vsebine izključno prek aktivnega članstva v družini (ločevanje dostopa med družinami); uporabnik ene družine ne dostopa do druge | R1, R3 |
| Naloženi dokumenti in priloge zunaj spletnega korena; dostop le prek preverjanja članstva | R1 |
| Nespremenljiva sporočila in revizijska sled samo za dodajanje (append-only) | R3, R8 |
| Sistemski skrbnik ne vidi vsebine sporočil, dokumentov, zdravstvenih in otroških opomb; ni impersonacije | R1, R8 |
| Žetoni za preverjanje, ponastavitev in povabila shranjeni kot hash, enkratni in časovno omejeni | R1 |
| calendar_token kot naključna poverilnica, preklicljiva in zamenljiva; feed samo za branje | R4 |
| Obvestilna e-pošta z nevtralnim besedilom (brez naslova ali tipa dogodka, npr. »zdravniško«), da ne prenaša zdravstvenega konteksta ali podatkov posebne vrste | R6, R7 |
| Gostovanje v EU (Hetzner, Nemčija) | R6, R7 |
| Analitični in oglaševalski piškotki le po predhodni privolitvi (Consent Mode v2) | R7, R2, R10 |
| Možnost zavrnitve in preklica privolitve; ločena Politika piškotkov z navedbo oglaševalskih prejemnikov in prenosov; oglaševanje se ne usmerja na otroke | R10 |
| Zdravstvena polja neobvezna; izrecna privolitev (člen 9(2)(a)) pred prvim shranjevanjem, zabeležena s časom in različico politike; preklic mogoč v aplikaciji | R1, R2 |
| Izrecno odsvetovanje vnosa občutljivih podatkov v prosta besedila; najmanjši obseg podatkov; brez profiliranja in samodejnih odločitev | R2 |
| Nadomestne zaščite za podatke tretjih oseb (člen 14(5)(b)): javna preglednost, kontaktna točka, jamstvo uporabnika | R5 |
| Pogodbe o obdelavi (člen 28); mehanizmi prenosa DPF / SCC z dopolnilnimi ukrepi | R6, R7 |
6.2 Organizacijski ukrepi in postopki
- Pravice posameznikov in odzivni roki. Zahteve po pravicah dostopa (člen 15), popravka (člen 16), izbrisa (člen 17), omejitve obdelave (člen 18), prenosljivosti (člen 20), ugovora (člen 21) in preklica privolitve (člen 7(3)) upravljavec obravnava brez nepotrebnega odlašanja in najpozneje v enem mesecu od prejema zahteve (člen 12(3)); rok se lahko ob upoštevanju zapletenosti in števila zahtev podaljša za največ dva dodatna meseca, o čemer se posameznik obvesti v enem mesecu z navedbo razlogov. Izvoz podatkov in zaprtje računa se obdelata kot zahteva, ki jo obravnava človek (ne takojšnja avtomatika); zahteve se interno beležijo in sledijo (SLA), da se zagotovi spoštovanje zakonskega roka. Zaprtje je »mehko« (pregled in kontakt pred dokončnim zaprtjem). Izbris je tehnično podprt kaskadno in se izvede nadzorovano. Postopek je usklajen z razdelkom 12 objavljene Politike zasebnosti.
- Ohranitev deljene vsebine. Po zaprtju enega računa skupna vsebina ostane drugemu staršu na podlagi člena 6(1)(f) (in po potrebi člena 17(3)(e)); nespremenljiva sporočila in revizijska sled se lahko ob zahtevi za izbris zadržijo po členu 17(3)(b) ali (e). Nespremenljivost sama ni razlog za zavrnitev izbrisa.
- Roki hrambe. Vsebina računa/družine, dokler je račun aktiven, nato izbris/anonimizacija najpozneje v 30 dneh (razen deljene vsebine, ki jo potrebuje drugi starš); varnostne kopije najpozneje 35 dni; računovodski/davčni podatki 10 let (32. člen ZDavP-2, 54. člen ZGD-1 in 86. člen ZDDV-1); žetoni po uporabi/poteku; revizijska sled za čas trajanja družinskega računa.
- Obravnava kršitev varstva osebnih podatkov (člena 33 in 34). Ob zaznavi kršitve se sproži interni postopek:
- takojšnja notranja priglasitev odgovorni osebi in zabeležka v evidenco kršitev (člen 33(5)) ne glede na oceno tveganja;
- ocena verjetnosti in resnosti tveganja za pravice in svoboščine posameznikov; prag ocene je zaostren pri posebnih vrstah podatkov in podatkih o otrocih;
- priglasitev nadzornemu organu (IP RS) brez nepotrebnega odlašanja in najpozneje v 72 urah po seznanitvi s kršitvijo, razen če ni verjetno, da bi kršitev pomenila tveganje za pravice in svoboščine posameznikov (člen 33(1)); ob zamudi se priloži utemeljitev razlogov;
- kadar kršitev pomeni veliko tveganje, obvestitev prizadetih posameznikov (staršev) brez nepotrebnega odlašanja v jasnem in preprostem jeziku (člen 34); glede na obdelavo posebnih vrst podatkov o otrocih je obvestitev posameznikov verjetno potrebna;
- dokumentiranje dejstev, učinkov in sprejetih popravljalnih ukrepov za vsako kršitev.
- Evidenca in odgovornost. Evidenca dejavnosti obdelave (člen 30), zapisi o privolitvah, evidenca kršitev (člen 33(5)) in ta DPIA se vzdržujejo in periodično pregledujejo.
7. Preostalo tveganje in sklep
Po uporabi ukrepov iz razdelka 6 je najvišje preostalo tveganje ocenjeno kot srednje (R2 – občutljivi podatki v prostih besedilih; R3 – zloraba deljene vsebine v konfliktnem družinskem kontekstu), pri čemer sta obe tveganji obvladljivi s kombinacijo tehničnih varoval, načela najmanjšega obsega, preglednosti in ravnanja upravljavca ob sporih. Preostala tveganja pri obdelavi posebnih vrst podatkov (R1) so z izrecno privolitvijo, neobveznostjo polj, ločevanjem dostopa med družinami, hrambo zunaj spletnega korena in nevidnostjo vsebine za skrbnika znižana na sprejemljivo raven.
Predhodno posvetovanje z nadzornim organom (člen 36 GDPR). Predhodno posvetovanje je obvezno le, kadar bi obdelava kljub predvidenim ukrepom pomenila veliko preostalo tveganje. Ker je preostalo tveganje po uporabi ukrepov ocenjeno kot sprejemljivo (nizko do srednje), predhodno posvetovanje z Informacijskim pooblaščencem RS praviloma ni potrebno. Upravljavec predhodno posvetovanje sproži, če se pri reviziji izkaže, da preostalo tveganje ostaja visoko, ali če bistvena sprememba obdelave uvede novo veliko tveganje.
Sklep. Ob doslednem izvajanju opisanih tehničnih in organizacijskih ukrepov je obdelava zasnovana skladno z GDPR in ZVOP-2 ter sorazmerna glede na namene. Dokončna skladnost je pogojena z zaprtjem odprtih točk iz razdelka 8.1: sklenitev oziroma preveritev pogodb o obdelavi (člen 28) s ponudnikom gostovanja in Googlom, formalna potrditev in preizkus internega postopka ob kršitvi (člena 33/34), vzdrževanje evidence dejavnosti obdelave (člen 30) ter preizkušen postopek obnove iz varnostnih kopij. Ločen postopek izrecne privolitve in nevtralno besedilo obvestilne e-pošte sta izvedena in preverjena. Do zaprtja preostalih točk je status obdelave: »pogojno skladno / v vzpostavitvi«.
8. Odprte točke, zgodovina in načrt pregleda
8.1 Odprte točke
- sklenitev oziroma preveritev pogodb o obdelavi (člen 28) s ponudnikom gostovanja in Googlom;
- formalna potrditev in preizkus internega postopka ob kršitvi varstva podatkov (člena 33 in 34);
- vzpostavitev in vzdrževanje evidence dejavnosti obdelave (člen 30);
- preizkušen postopek obnove iz varnostnih kopij.
8.2 Zgodovina različic
- 1.0 (17. 8. 2026) – prva objava.
- 1.1 (26. 8. 2026) – izveden ločen postopek izrecne privolitve za zdravstvene podatke (zapis časa in različice, preklic v aplikaciji); potrjena nevtralnost obvestilne e-pošte; dopolnjeni opisi naslova IP in žetonov; dodana statistika obiska (Plausible); sprejeta odločitev glede pooblaščene osebe; urejene odprte točke.
8.3 Načrt periodičnega pregleda
- Redni pregled DPIA najmanj enkrat letno (avgusta, ob obletnici uveljavitve) ter ob vsaki bistveni spremembi obdelave (nov podobdelovalec, nova kategorija podatkov, nova funkcionalnost, sprememba mehanizma prenosa ali pravne podlage).
- Ob pregledu se posodobijo register tveganj, seznam prejemnikov, roki hrambe in status odprtih točk; dokument dobi novo različico.
- Naslednji predvideni pregled: avgust 2027.