Smernica č. 7/2008-RI
z 20. mája 2008
o ochrane osobných údajov spracúvaných v Centrálnom registri študentov
Gestorský útvar: sekcia informatiky tel.: 02/59374299                                           č. CD-2008 – 9552/20589-1:30  

Minister školstva Slovenskej republiky vydáva túto smernicu:
Čl. 1	
Úvodné ustanovenia
Táto smernica stanovuje pravidlá pre spracúvanie osobných údajov. Cieľom je zabezpečiť ochranu osobných údajov pri manuálnom a automatizovanom spracúvaní.
Čl. 2	
Rozsah platnosti
Smernica platí pre všetkých zamestnancov organizácie. Záväzne stanovuje povinnosti pre všetky oprávnené osoby, ktoré spracúvajú osobné údaje a zodpovednú osobu, ktorá dozerá na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. Porušenie smernice sa považuje za závažné porušenie pracovnej disciplíny. 
Čl. 3	
Definícia pojmov
(1)	Osobné údaje – údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takouto osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu.
(2)	Spracúvanie osobných údajov – vykonávanie akýchkoľvek operácií alebo súboru operácií s osobnými údajmi, napr. ich získavanie, zhromažďovanie, zaznamenávanie, usporadúvanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, preskupovanie, kombinovanie, premiestňovanie, využívanie, uchovávanie, likvidácia, ich prenos, poskytovanie, sprístupňovanie alebo zverejňovanie.
(3)	Prevádzkovateľ – Ministerstvo školstva Slovenskej republiky (ďalej len „ministerstvo“), určuje účel a prostriedky spracúvania.
(4)	Oprávnená osoba – každá fyzická osoba, ktorá osobné údaje spracúva na základe pokynu prevádzkovateľa. 
(5)	Zodpovedná osoba – osoba poverená výkonom dohľadu, ktorú prevádzkovateľ informačného systému písomne poveril dozerať na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov.
(6)	Dotknutá osoba – každá fyzická osoba, o ktorej sa spracúvajú osobné údaje, študenti vysokých škôl.
(7)	Informačný systém – akýkoľvek súbor, sústava alebo databáza obsahujúca jeden alebo viac osobných údajov, ktoré sú spracúvané na dosiahnutie účelu podľa osobitných organizačných podmienok s použitím automatizovaných alebo neautomatizovaných prostriedkov spracúvania, napr. kartotéka, zoznam, register, operát, záznam alebo sústava obsahujúca spisy, doklady, zmluvy, potvrdenia, posudky, hodnotenia, testy.
(8)	Automatizovaný informačný systém – (ďalej len „AIS“) súhrn technických prostriedkov výpočtovej techniky, programové a aplikačné vybavenie, údajová základňa, pamäťové médiá s údajmi, inštalačné médiá, dokumentácia súvisiaca s technickým a programovým vybavením určeným na automatizované spracovanie údajov.
(9)	Likvidácia osobných údajov – zrušenie osobných údajov rozložením, vymazaním alebo fyzickým zničením hmotných nosičov tak, aby sa z nich osobné údaje nedali reprodukovať.
(10)	Používateľský účet – slúži na identifikáciu používateľa v automatizovanom informačnom systéme, umožňuje správne priradenie pridelených používateľských práv prihlásenému používateľovi, tvorí ho názov účtu a heslo.
(11)	Oprávnený používateľ – zamestnanec, ktorému bol zriadený používateľský účet a pridelené príslušné prístupové práva umožňujúce mu plnenie pracovných povinností.
(12)	Likvidácia osobných údajov – zrušenie osobných údajov rozložením, vymazaním alebo fyzickým zničením hmotných nosičov tak, aby sa z nich osobné údaje nedali reprodukovať.
Čl. 4	
Bezpečnostné opatrenia a ich využitie
(1)	Medzi základné realizované bezpečnostné opatrenia patria:
a)	povinná identifikácia a autentizácia pri prístupe k AIS,
b)	zálohovanie a antivírová ochrana,
c)	zamykanie miestností i pri dočasnom opustení pracoviska,
d)	šifrovanie údajov.
(2)	Bezpečnostné opatrenia slúžia na obmedzenie a riadenie fyzického prístupu osôb, na riadenie logického prístupu k osobným údajom v elektronickej forme, na zabezpečenie dôvernosti a dostupnosti chránených osobných údajov.
(3)	Všetci zamestnanci organizácie sú povinní:
a)	dodržiavať bezpečnostné opatrenia, ktoré sú realizované na ochranu objektov, majetku osôb  a osobných údajov,
b)	dodržiavať interné smernice a predpisy,
c)	v prípade úniku alebo podozrenia z úniku informácií z informačného systému, oznámiť túto skutočnosť zodpovednej osobe.
Čl. 5	
Rozsah oprávnení a popis povolených činností oprávnených osôb
(1)	Medzi oprávnené osoby patria:
a)	určení zamestnanci ministerstva,
b)	určení zamestnanci vysokých škôl,
c)	administrátori.
(2)	Všetci zamestnanci sú povinní, v prípade úniku alebo podozrenia z úniku informácií z AIS, oznámiť túto skutočnosť administrátorovi AIS.
(3)	Všetky osoby, ktorých pracovnou náplňou je spracúvanie osobných údajov – oprávnené osoby – musia byť poučené o povinnostiach vyplývajúcich zo zákona č. 428/2002 Z.z. o ochrane osobných údajov v znení neskorších predpisov. O poučení sa musí viesť písomný záznam.
(4)	Osobné údaje je možné spracúvať pre potreby ministerstva len na základe platných zákonov, právnych predpisov a interných dokumentov.
(5)	Používatelia sa nesmú žiadnymi prostriedkami pokúšať získať prístupové práva, alebo privilegovaný stav, ktorý im nebol nastavený administrátorom AIS. Pokiaľ používatelia v dôsledku chyby programových alebo technických prostriedkov získajú privilegovaný stav, ktorý im nebol udelený, alebo prístupové práva, ktoré im neboli pridelené a nastavené, sú povinní túto skutočnosť bezprostredne oznámiť administrátorovi AIS.
(6)	Používatelia nesmú vykonávať takú činnosť, ktorá by ostatným používateľom bránila v riadnom používaní AIS.
(7)	Postup práce pri spracovaní osobných údajov
a)	určení zamestnanci vysokých škôl sú oprávnení zisťovať osobné údaje o študentoch,  spracúvať ich v elektronickej forme, zaznamenať ich, prehliadať, meniť, uchovávať a archivovať, usporadúvať a opravovať,
b)	poskytovať a sprístupňovať osobné údaje o inej osobe cez telefón je zakázané.
(8)	Zavedenie a zrušenie používateľa
a)	na základe predpísaného formuláru „Požiadavka na zriadenie používateľského účtu“, riadne vyplneného a podpísaného zodpovedným zamestnancom, administrátor AIS vytvorí používateľský účet. V požiadavke je potrebné uviesť názov vysokej školy, meno a priezvisko používateľa a dátum od ktorého môže pristupovať k údajom v Centrálnom registri študentov,
b)	používateľský účet sa ruší po predložení formuláru „Požiadavky na zrušenie používateľského účtu“, riadne vyplneného a podpísaného zodpovedným zamestnancom.
(9)	V požiadavke na zrušenie je potrebné uviesť meno a priezvisko používateľa, ktorého účet bude zrušený a dátum od ktorého už nebude možné prostredníctvom účtu pristupovať k údajom v Centrálnom registri študentov.
(10)	Používanie hesiel
a)	každý oprávnený používateľ sa musí identifikovať a autorizovať - musí sa prihlásiť používateľským menom a príslušným heslom. Názov účtu oprávneného používateľa a prvotné heslo je pridelené administrátorom AIS. Prvotné heslo musí oprávnený používateľ zmeniť pri prvom prihlásení sa do aplikácie,
b)	heslo musí obsahovať minimálne 6 znakov. Kombinácia znakov tvoriacich heslo nesmie byť jednoducho dešifrovateľná, nie je dovolené používať prihlasovacie meno do siete, mená a priezviská používateľov, ich rodinných príslušníkov, dátumy narodení a pod,
c)	odporúčaná je kombinácia veľkých a malých písmen spolu s číslicami a špeciálnymi znakmi „%, /, #, @, &, $, (, …, bez použitia diakritických znamienok. Heslá je potrebné pravidelne meniť každých 45 - 60 dní, po uplynutí doby platnosti sa heslá nesmú opakovať,
d)	za utajenie hesla zodpovedá používateľ. Heslá nesmú byť voľne dostupné, napr. vedľa počítača, pod klávesnicou, na stole a pod,
e)	používateľ je zodpovedný za neoprávnené sprístupnenie svojho hesla inej osobe, následne i za jeho zneužitie a spôsobené škody.
Čl. 6	
Rozsah zodpovednosti
(1)	Zodpovednosť oprávnených osôb
a)	všetky oprávnené osoby sú povinné zachovávať mlčanlivosť o osobných údajoch, s ktorými prídu do styku, nesmú ich využívať pre vlastnú potrebu, nesmú ich zverejňovať ani nikomu sprístupniť,
b)	povinnosť mlčanlivosti trvá i po skončení pracovného pomeru. 
(2)	Zodpovednosť zodpovednej osoby
a)	 dohľadom nad dodržiavaním zákonných ustanovení pri spracúvaní osobných údajov musí byť písomne poverená zodpovedná osoba, ktorá bola odborne vyškolená. Rozsah odborného školenia zodpovedá najmä obsahu zákona o ochrane osobných údajov a medzinárodných zmlúv o ochrane osobných údajov. Absolvent odborného školenia dostane písomné potvrdenie o absolvovaní,
b)	zodpovedná osoba posúdi pred začatím spracúvania osobných údajov, či ich spracúvaním nevzniká nebezpečenstvo narušenia práv a slobôd dotknutých osôb,
c)	zistenie narušenia práv a slobôd dotknutých osôb pred začatím spracúvania alebo porušenia zákonných ustanovení v priebehu spracúvania osobných údajov zodpovedná osoba bezodkladne písomne oznámi prevádzkovateľovi. Ak prevádzkovateľ po upozornení bezodkladne nevykoná nápravu, oznámi to zodpovedná osoba Úradu na ochranu osobných údajov SR.
(3)	Zodpovedná osoba zabezpečuje:
a)	potrebnú súčinnosť s Úradom na ochranu osobných údajov SR,
b)	dohľad nad plnením základných povinností prevádzkovateľa
1.	pred začatím spracúvania jednoznačne a konkrétne vymedziť účel spracúvania,
2.	určiť prostriedky  a spôsob spracúvania,
3.	získavať osobné údaje výlučne na vymedzený účel,
4.	zabezpečiť, aby sa spracúvali len také osobné údaje, ktoré svojim rozsahom a obsahom zodpovedajú účelu a sú nevyhnutné na dosiahnutie účelu spracúvania,
5.	na rozdielne účely získavať osobné údaje osobitne,
6.	osobné údaje získané na rôzne účely nezdružovať,
7.	spracúvať len správne, úplné a aktualizované osobné údaje,
8.	nesprávne a neúplné osobné údaje blokovať, opraviť alebo doplniť,
9.	údaje, ktoré nie je možné opraviť alebo doplniť zlikvidovať,
10.	zabezpečiť, aby osobné údaje boli spracúvané vo forme umožňujúcej identifikáciu dotknutých osôb počas doby nie dlhšej, ako je nevyhnutné na dosiahnutie účelu spracúvania,
11.	zlikvidovať osobné údaje, ktorých účel spracúvania sa skončil,
12.	spracúvať osobné údaje v súlade s dobrými mravmi,
13.	nevynucovať súhlas dotknutej osoby hrozbou odmietnutia zmluvného vzťahu, dodania služieb alebo tovaru,
14.	poučenie oprávnených osôb podľa § 17 zákona č. 428/2002 Z.z. o ochrane osobných údajov v znení neskorších predpisov.
c)	do 30 dní vybavovanie žiadostí dotknutých osôb 
1.	vo všeobecne zrozumiteľnej forme poskytnúť informácie o stave spracúvania osobných údajov v rozsahu: názov, sídlo alebo trvalý pobyt, právna forma a identifikačné číslo prevádzkovateľa; meno a priezvisko štatutárneho orgánu prevádzkovateľa a zodpovednej osoby; identifikačné označenie informačného systému; účel spracúvania, zoznam osobných údajov a okruh dotknutých osôb; okruh príjemcov, ktorým sú alebo budú údaje sprístupnené, tretie strany, ktorým osobné údaje sú alebo budú poskytnuté; tretie krajiny, do ktorých sa uskutočňuje prenos osobných údajov; právny základ informačného systému; formu zverejnenia, ak sa zverejnenie osobných údajov vykonáva; všeobecnú charakteristiku opatrení za zabezpečenia ochrany osobných údajov a dátum začatia spracúvania,
2.	vo všeobecne zrozumiteľnej forme presné informácie o zdroji, z ktorého boli osobné údaje získané,
3.	spracovať vo všeobecne zrozumiteľnej forme odpis osobných údajov,
4.	opraviť nesprávne, neúplné alebo neaktuálne osobné údaje,
5.	likvidovať osobné údaje po splnení účelu spracúvania; vrátiť úradné doklady, ak boli predmetom spracúvania,
6.	zlikvidovať osobné údaje, ak došlo k porušeniu zákona,
7.	bezodkladne písomne oznámiť dotknutej osobe a Úradu na ochranu osobných údajov SR, že na základe písomnej žiadosti oprávnenej osoby, ktorej práva boli obmedzené, boli jej nesprávne, neúplné alebo neaktuálne osobné údaje opravené, prípadne zlikvidované; ak boli predmetom spracúvania úradné doklady obsahujúce osobné údaje,  že jej boli vrátené.
d)	do 30 dní vybavovanie námietok dotknutých osôb voči 
1.	spracúvaniu osobných údajov na účely priameho marketingu bez jej súhlasu,
2.	využívaniu osobných údajov na účely priameho marketingu v poštovom styku,
3.	poskytovaniu osobných údajov na účely priameho marketingu,
e)	realizáciu technických, personálnych a organizačných opatrení a dohliada na ich aplikáciu v praxi,
f)	dohľad pri výbere sprostredkovateľa a prípravu písomnej zmluvy alebo poverenia pre sprostredkovateľa; preveruje dodržiavanie dohodnutých podmienok,
g)	dohľad nad cezhraničným tokom osobných údajov,
h)	prihlásenie informačných systémov na osobitnú registráciu, oznamovanie zmien a odhlásenie; o informačných systémoch, ktoré nepodliehajú registrácii, vedie predpísanú evidenciu.
(4)	Zodpovedná osoba odporúča technické, organizačné a personálne bezpečnostné opatrenia zodpovedajúce spôsobu spracúvania. V spolupráci s oprávnenými osobami navrhuje úpravy programového vybavenia a tlačených formulárov na základe zmien príslušných zákonov a predpisov tak, aby sa spracúvali iba nevyhnutne potrebné typy osobných údajov.
Čl. 7	
Kontrolná činnosť
Zodpovedná osoba vykoná na základe zistenia narušenia práv a slobôd dotknutých osôb, minimálne však jeden krát ročne, kontrolu zameranú na dodržiavanie ochrany osobných údajov.
Čl. 8	
Havarijné postupy
(1)	V prípade zistenia poruchy akéhokoľvek prostriedku AIS je potrebné na túto skutočnosť upozorniť určeného administrátora.
(2)	Administrátor rozhodne o ďalšom postupe opravy, s ohľadom na zabezpečenie osobných údajov informuje zodpovednú osobu ak technický prostriedok alebo nosič informácií obsahujúce osobné údaje, bude kvôli vykonaniu servisného zásahu premiestnený mimo areálu organizácie, prípadne ak servisný zásah bude vykonávať externá firma.
(3)	V prípade technickej havárie sa obnova dát vykoná podľa interných predpisov o zálohovaní.
(4)	Na predchádzanie vzniku požiaru je potrebné dodržiavať preventívne protipožiarne opatrenia v súlade s Požiarnym štatútom. V prípade požiaru sa postupuje podľa poplachových a evakuačných smerníc, ktoré sú súčasťou Požiarneho štatútu.
Čl. 9	
Účinnosť
Táto smernica nadobúda účinnosť 20. máj 2008.

minister

Obsah
Smernica č. 7/2008-RI z 20. mája 2008 o ochrane osobných údajov spracúvaných v Centrálnom registri študentov
Čl. 1	Úvodné ustanovenia
Čl. 2	Rozsah platnosti
Čl. 3	Definícia pojmov
Čl. 4	Bezpečnostné opatrenia a ich využitie
Čl. 5	Rozsah oprávnení a popis povolených činností oprávnených osôb
Čl. 6	Rozsah zodpovednosti
Čl. 7	Kontrolná činnosť
Čl. 8	Havarijné postupy
Čl. 9	Účinnosť