Rodná čísla a podpisy na pár kliknutí. Slovenský úřad prověřuje nový obchodní rejstřík
Nový portál slovenského obchodního rejstříku výrazně usnadnil přístup k dokumentům, které měly být podle dozorového úřadu anonymizovány. Ministerstvo spravedlnosti svůj postup hájí, úřad s ním však zahájil řízení a prověří soulad systému s GDPR.
Nový slovenský obchodní rejstřík měl podnikatelům zjednodušit přístup ke státním službám. Krátce po jeho spuštění se však ukázalo, že prostřednictvím portálu lze získat dokumenty obsahující rodná čísla, úplné adresy, vlastnoruční podpisy nebo čísla dokladů totožnosti. Slovenský Úřad na ochranu osobních údajů kvůli tomu zahájil řízení proti ministerstvu spravedlnosti.
K osobním údajům stačil jednoduchý kód
Na problém jako první upozornila redakce Živé.sk. V dokumentech uložených ve sbírce dokumentů slovenského obchodního rejstříku nalezla nejen běžně zveřejňované informace o společnostech a jejich zástupcích, ale také údaje představující výrazně větší riziko pro soukromí dotčených osob.
Mezi volně dostupnými údaji se podle zjištění redakce objevovaly:
- rodná čísla,
- úplné adresy fyzických osob,
- vlastnoruční podpisy a podpisové vzory,
- čísla dokladů totožnosti.
K získání některých dokumentů nebylo nutné přihlášení pomocí elektronického občanského průkazu ani jiné ověření totožnosti. Uživatel pouze opsal krátký ověřovací kód zobrazený na stránce a následně si mohl požadovanou listinu stáhnout.
Redakce Živé.sk z bezpečnostních důvodů nezveřejnila konkrétní společnosti ani přesný postup, pomocí kterého problematické dokumenty nalezla.
Dokumenty nebyly nové, výrazně jednodušší byl přístup
Samotná sbírka dokumentů není novinkou. Je součástí obchodního rejstříku a obsahuje například zakladatelské dokumenty, společenské smlouvy, rozhodnutí orgánů společností nebo další podklady předkládané při zápisu a změnách údajů.
Zásadní změnou se stal způsob, jakým se k některým z těchto dokumentů může veřejnost dostat.
Ve starším systému bylo u části dokumentů nutné využít samostatnou elektronickou službu, ověřit svou totožnost a požádat o jejich vydání. Výsledné dokumenty následně žadatel obdržel do elektronické schránky. Nový portál tuto bariéru u některých listin odstranil a umožnil jejich získání během několika sekund.
Nejde tedy nutně o nově shromážděné údaje. Problém spočívá v tom, že některé dříve uložené dokumenty obsahující osobní údaje začal systém poskytovat podstatně jednodušším způsobem a bez ověření identity žadatele.
Nová podoba obchodního rejstříku byla spuštěna v souvislosti se zákonem č. 29/2026 Z. z., jehož rozhodující část vstoupila v účinnost 17. srpna 2026. Ministerstvo spravedlnosti nový systém představovalo jako krok k elektronizaci a zjednodušení registrace podnikatelů.
Úřad zahájil řízení proti ministerstvu
Slovenský Úřad na ochranu osobních údajů situaci prověřil večer 18. srpna a následující den oznámil, že z vlastního podnětu zahajuje řízení proti Ministerstvu spravedlnosti Slovenské republiky.
Úřad ve svém stanovisku potvrdil, že v dokumentech dostupných prostřednictvím portálu nalezl rodná čísla, úplné adresy, vlastnoruční podpisy i čísla dokladů totožnosti fyzických osob.
Bude nyní zjišťovat, jak ke zveřejnění údajů došlo a zda ministerstvo při provozu rejstříku dodrželo povinnosti vyplývající z GDPR a slovenského zákona o ochraně osobních údajů.
Podle stanoviska úřadu je při zveřejňování dokumentů v obchodním rejstříku nutné osobní údaje anonymizovat. Úřad zároveň upozornil, že nový zákon vylučuje rodná čísla a některé další osobní údaje ze zveřejňování zapisovaných údajů.
Ministerstvo však zastává odlišný výklad pravidel vztahujících se na dokumenty uložené ve sbírce. Cílem zahájeného řízení proto bude mimo jiné posoudit, zda rozsah veřejně dostupných informací odpovídá zákonu. O výsledku chce úřad informovat veřejnost.
Ministerstvo tvrdí, že zákon měnit nebude
Slovenský ministr spravedlnosti Boris Susko před jednáním vlády uvedl, že zákon považuje za správný a měnit jej nehodlá. Podle něj je podobný přístup standardem také v dalších zemích a podnikatelé musí kvůli ochraně práv třetích osob strpět určitý zásah do svých práv, a to i ve vztahu k osobním údajům.
Ministr také připomněl, že zákon prošel meziresortním připomínkovým řízením a byl konzultován s Úřadem na ochranu osobních údajů.
Také oficiální odpovědi ministerstva k obchodnímu rejstříku rozlišují mezi údaji přímo zapsanými v rejstříku a údaji obsaženými v dokumentech uložených ve sbírce.
Právě hranice mezi zákonnou veřejností sbírky dokumentů a povinností chránit osobní údaje bude zřejmě jednou z klíčových otázek probíhajícího řízení.
Zahájení řízení samo o sobě ještě neznamená, že ministerstvo zákon nebo GDPR skutečně porušilo. O tom bude možné rozhodnout až po dokončení prověřování.
Kombinace údajů může usnadnit cílené podvody
Samotná znalost rodného čísla nebo podpisu automaticky neznamená, že útočník dokáže převzít bankovní účet nebo uzavřít smlouvu jménem jiné osoby. Banky, úřady a další instituce obvykle používají další mechanismy pro ověření identity.
Nebezpečná je však především kombinace několika údajů o jednom člověku na jednom místě. Jméno, úplná adresa, rodné číslo, podpisový vzor a číslo dokladu mohou útočníkům usnadnit:
- přípravu přesvědčivějších phishingových a telefonických podvodů,
- vydávání se za konkrétní osobu,
- falšování dokumentů,
- obcházení slabších procesů ověřování identity,
- cílené útoky proti podnikatelům a zástupcům společností.
Výrazně jednodušší dostupnost dokumentů navíc zvyšuje riziko jejich systematického shromažďování a dalšího zpracování. V tuto chvíli ale neexistuje veřejně dostupné potvrzení, že někdo problematické dokumenty hromadně stáhl nebo získané údaje zneužil.
Rozsah zpřístupněných údajů zatím není známý
Úřad ani ministerstvo dosud neuvedly, kolika lidí nebo dokumentů se problém týká. Není také jasné, jak dlouho byly jednotlivé dokumenty tímto způsobem dostupné a zda už provozovatel přístup ke všem problematickým souborům omezil.
Případ proto nelze označit za klasický kybernetický útok. Dostupné informace nenasvědčují tomu, že by někdo překonal zabezpečení systému nebo data odcizil z neveřejné databáze.
Jde však o závažné zpřístupnění osobních údajů prostřednictvím státního systému, které může mít pro dotčené osoby podobné následky jako běžný datový incident. Odpovědnost ministerstva a soulad nového řešení s pravidly ochrany osobních údajů nyní posoudí slovenský dozorový úřad.