Českej republike dnes rezonuje prípad, pri ktorom verejne dostupná testovacia verzia nového obchodného registra sprístupňovala rodné čísla fyzických osôb figurujúcich vo firmách a ďalších právnických osobách.
Po upozornení na problém české Ministerstvo spravodlivosti testovací systém vyradilo z prevádzky, prijalo technické opatrenia a incident oznámilo príslušným dozorným orgánom. Teraz sa preveruje rozsah problému, počet dotknutých osôb aj to, či a v akom rozsahu boli údaje skutočne získané tretími osobami.
Český prípad však otvára oveľa širšiu otázku, ktorá je mimoriadne aktuálna aj na Slovensku: aké osobné údaje fyzických osôb má vlastne štát sprístupňovať prostredníctvom obchodného registra verejnosti?
Na Slovensku totiž nejde iba o hypotetický problém. Úrad na ochranu osobných údajov SR v auguste 2026 verejne upozornil, že v dokumentoch dostupných prostredníctvom Obchodného registra SR sa nachádzajú voľne prístupné rodné čísla, úplné adresy bydliska, vlastnoručné podpisy a dokonca aj čísla dokladov totožnosti fyzických osôb. Úrad následne začal voči Ministerstvu spravodlivosti SR konanie.
Podstata problému je pritom pomerne jednoduchá.
Obchodný register musí byť verejný. Verejnosť musí mať možnosť zistiť, kto je konateľom spoločnosti, kto ju môže zastupovať a ďalšie informácie potrebné pre právnu istotu a bezpečný obchodný styk.
Z toho však automaticky nevyplýva, že verejnosť potrebuje poznať aj rodné číslo tejto osoby, úplnú adresu jej súkromného bydliska alebo disponovať grafickou podobou jej vlastnoručného podpisu.
Práve tu treba rozlišovať medzi tým, že štát určitý osobný údaj potrebuje získať, evidovať a uchovávať, a tým, že ho následne sprístupní neurčitému počtu ľudí prostredníctvom internetu.
Tento rozdiel veľmi dobre vidíme práve pri rodnom čísle. Súčasná slovenská právna úprava počíta s tým, že rodné číslo a bydlisko fyzickej osoby sa ako zapísané údaje obchodného registra verejnosti nezverejňujú. Rovnaké údaje sa však môžu nachádzať v historických dokumentoch uložených v zbierke dokumentov a prostredníctvom nich sa dostať k verejnosti.
Výsledkom môže byť paradoxná situácia. Rodné číslo človeka nenájdete medzi údajmi zobrazenými vo výpise spoločnosti, ale môžete ho nájsť v dokumente, ktorý si prostredníctvom toho istého registra otvoríte a stiahnete.
A nejde iba o rodné čísla.
Pri preverovaní verejne dostupných dokumentov sa možno stretnúť so situáciou, keď jeden dokument obsahuje súčasne meno a priezvisko, dátum narodenia, rodné číslo, úplnú adresu bydliska a vlastnoručný podpis konkrétnej osoby.
Takúto situáciu podľa nášho názoru nemožno posudzovať rovnako, ako keby bolo verejne dostupné iba meno konateľa spoločnosti.
Význam jednotlivých údajov sa totiž môže meniť aj tým, že sa nachádzajú spoločne na jednom mieste a možno ich spojiť s konkrétnou osobou. Rodné číslo je jednoznačným identifikátorom. Adresa lokalizuje súkromné bydlisko človeka. Dátum narodenia predstavuje ďalší identifikačný údaj. Vlastnoručný podpis má svoju identifikačnú a dôkaznú funkciu.
Ak sa tieto informácie nachádzajú spoločne v jednom verejne dostupnom a voľne stiahnuteľnom dokumente, nejde už iba o otázku formálnej publicity obchodného registra.
Ide aj o otázku ochrany súkromia konkrétneho človeka.
Dôležitý rozsudok Súdneho dvora EÚ už existuje
Problematikou osobných údajov v dokumentoch obchodného registra sa už zaoberal aj Súdny dvor Európskej únie.
V rozsudku C-200/23 z októbra 2024 riešil osobné údaje fyzickej osoby obsiahnuté v korporátnom dokumente zverejnenom prostredníctvom obchodného registra.
Pre slovenskú situáciu ide o mimoriadne významné rozhodnutie.
Jednou z jeho podstatných myšlienok je, že povinnosť zverejniť určitý dokument nemožno automaticky stotožniť s potrebou zverejniť každý osobný údaj, ktorý sa v tomto dokumente nachádza.
To je zásadný rozdiel.
Nikto nemusí spochybňovať existenciu dokumentu, jeho právny význam ani potrebu uchovávať jeho originál. Otázkou je, či musí verejnosť dostať jeho kópiu práve v takej podobe, aby obsahovala aj osobné údaje, ktoré na legitímny účel obchodného registra nepotrebuje.
Existuje pritom podstatne menej invazívne riešenie.
Originálny dokument môže zostať zachovaný v registri, zatiaľ čo verejnosti sa sprístupní jeho verzia, v ktorej sú nepotrebné osobné údaje anonymizované.
Verejnosť registra zostane zachovaná, ale súkromie fyzickej osoby nebude obmedzené viac, než je potrebné.
Český prípad ukazuje problém z inej strany
Situácia, ktorá sa dnes rieši v Českej republike, nie je totožná so slovenským problémom.
V Česku išlo o technickú chybu testovacej verzie pripravovaného systému. Na Slovensku riešime osobné údaje nachádzajúce sa v dokumentoch zverejňovaných v rámci existujúceho systému obchodného registra.
Z pohľadu človeka, ktorého rodné číslo sa dostane k verejnosti, však vzniká zaujímavá otázka.
Je podstatné, akou technickou cestou sa jeho rodné číslo dostalo k neurčitému počtu tretích osôb?
V českom prípade rodné čísla neboli bežne zobrazené priamo používateľovi na obrazovke. Bolo ich však možné získať z dát, ktoré verejný systém používateľovi poskytoval.
Na Slovensku môže byť situácia technicky odlišná. Osobný údaj sa môže nachádzať napríklad v PDF dokumente, ktorý verejný systém umožňuje komukoľvek stiahnuť.
Z pohľadu ochrany osobných údajov preto podľa nášho názoru nemožno za rozhodujúce považovať iba to, v akej technickej forme štátny systém údaj poskytuje.
Podstatná je otázka, či má byť konkrétny osobný údaj vôbec verejne dostupný a či je jeho verejné sprístupňovanie skutočne potrebné na dosiahnutie legitímneho účelu obchodného registra.
„Veď tie dokumenty sú tam už dvadsať rokov“
Aj s takouto reakciou sa stretávame.
Je pochopiteľná. Človek sa môže dozvedieť, že jeho rodné číslo alebo podpis sú v obchodnom registri verejne dostupné už mnoho rokov, a jeho prvá reakcia môže byť: nič sa mi zatiaľ nestalo, prečo by som to mal riešiť práve teraz?
Problém je v tom, že verejne dostupný dokument možno nielen zobraziť, ale aj stiahnuť.
Ak si ho v minulosti niekto stiahol, jeho následná anonymizácia v obchodnom registri už automaticky neodstráni kópiu, ktorá vznikla mimo systému.
A samotná skutočnosť, že človek nevie o konkrétnom zneužití svojich údajov, ešte neznamená, že vie, kto k nim v minulosti získal prístup alebo či si niekto dokument stiahol.
Preto považujeme za dôležité riešiť problém v správnom poradí.
Najskôr je potrebné zistiť, čo je o konkrétnej osobe skutočne verejne dostupné.
Ak sa problém potvrdí, je vhodné ešte pred žiadosťou o odstránenie alebo anonymizáciu dôkazne zabezpečiť súčasný stav.
A následne možno uplatniť práva dotknutej osoby a požadovať nápravu.
Netreba čakať, kým štát problém vyrieši všeobecne
Konanie Úradu na ochranu osobných údajov SR voči Ministerstvu spravodlivosti je dôležité. Jeho výsledok môže mať význam pre veľké množstvo ľudí.
To však neznamená, že jednotlivá dotknutá osoba musí dovtedy zostať pasívna.
Aj samotný Úrad na ochranu osobných údajov upozornil, že individuálne práva dotknutých osôb zostávajú zachované bez ohľadu na priebeh všeobecného konania.
A práve individuálne posúdenie je dôležité.
Iná situácia je, ak historický dokument obsahuje iba meno človeka. Iná, ak obsahuje jeho dátum narodenia. A podstatne odlišná môže byť situácia, keď sa v jednom voľne stiahnuteľnom dokumente nachádza rodné číslo, úplná adresa bydliska, dátum narodenia a vlastnoručný podpis.
Preto sme vo Fridrich Lawyers začali našim klientom ponúkať bezplatné predbežné preverenie verejne dostupných dokumentov Obchodného registra SR.
Cieľom je najskôr odpovedať na jednoduchú otázku:
Týka sa tento problém aj mňa?
Na preverenie od klienta nepotrebujeme jeho rodné číslo ani iné citlivé osobné údaje.
Ak problém nezistíme, klientovi to oznámime.
Ak ho potvrdíme, identifikujeme dokument, v ktorom sme problém našli, a kategórie osobných údajov, ktoré sú v ňom verejne dostupné. Klient sa potom môže rozhodnúť, či chce podniknúť ďalšie právne kroky.
Ak sa rozhodne problém riešiť, ďalší postup môže zahŕňať dôkazné zabezpečenie zverejnenia, podrobnejšie preverenie rozsahu verejne dostupných údajov, právne posúdenie jednotlivých kategórií údajov a uplatnenie práv smerujúcich k ich odstráneniu alebo anonymizácii.
V individuálnych prípadoch môže prichádzať do úvahy aj posúdenie prípadného nároku na finančné odškodnenie. Samotné porušenie pravidiel ochrany osobných údajov však automaticky neznamená vznik nároku na peniaze. Každý takýto prípad treba posúdiť individuálne podľa jeho konkrétnych okolností a skutočných následkov pre dotknutú osobu.
Ak ste alebo ste v minulosti boli konateľom, spoločníkom, prokuristom, členom orgánu spoločnosti alebo inou osobou uvedenou v dokumentoch obchodného registra, môžete si nechať bezplatne preveriť, či sa problém týka aj Vašich osobných údajov.
Stačí nás kontaktovať so správou:
„Prosím o bezplatné preverenie mojich osobných údajov v dokumentoch Obchodného registra SR.“
A ak sme Vás už kontaktovali a oznámili Vám, že sme vo Vašom prípade verejnú dostupnosť osobných údajov konkrétne potvrdili, nejde už iba o preventívne preverovanie alebo všeobecné riziko.
V takom prípade už vieme, že konkrétny dokument s Vašimi osobnými údajmi je verejne dostupný.
Rozhodnutie, či budete tento stav ďalej akceptovať alebo začnete aktívne presadzovať ochranu svojich údajov, je potom na Vás.
Český prípad však pripomína jednu podstatnú vec: ochranu osobných údajov má najväčší zmysel riešiť skôr, než sa objaví dôkaz o ich konkrétnom zneužití.
Pretože keď je raz dokument verejne dostupný a stiahnuteľný, nemožno s istotou vedieť, koľko jeho kópií už existuje mimo kontroly človeka, ktorého údaje obsahuje.
Fridrich Lawyers, s. r. o.
Doc. JUDr. Branislav Fridrich, PhD., advokát