Nový ORSR sprístupnil rodné čísla, podpisy aj čísla občianskych preukazov podnikateľov. Čo je v medziach zákona, čo (ne)môže byť verejne dostupné a prečo zverejnenie napríklad rodného čísla môže byť problém?
Od 17.8.2026 nadobudol účinnosť nový zákon o obchodnom registri, ktorý úplne nahradil ten predošlý. Jeho cieľom má byť najmä zjednodušenie podnikania na Slovensku a zvýšenie dôveryhodnosti údajov obsiahnutých v obchodnom registri (ORSR). Avšak, po spustení nového systému ORSR sa verejnosti sprístupnili dokumenty obsahujúce osobné údaje - bez akéhokoľvek prihlásenia, či potreby vyžiadania a identifikácie, sa ktokoľvek môže dostať k rodným číslam, adresám, údajom z dokladov či podpisovým vzorom podnikateľov.
Hoci nejde o to, že by tieto údaje v minulosti zistiteľné neboli alebo sa v nenachádzali v dokumentoch uložených v registri, otázny je spôsob, akým ich nový systém sprístupňuje. Čo o tom hovorí nový zákon o ORSR? Ktoré dáta verejné byť (ne)môžu?
Čo môže byť v ORSR verejne prístupné – nový zákon obsahuje paradoxnú výnimku
Ako pre Podnikajte.sk uvádza právna expertka Paulína Vargicová, nový zákon č. 29/2026 Z. z. o obchodnom registri obsahuje osobitnú časť upravujúcu zverejňovanie (§ 100). „Toto ustanovenie negatívne vymedzuje, ktoré údaje zapisované do obchodného registra nemajú byť verejne prístupné (nezverejňujú sa),“ vysvetľuje a približuje, že konkrétne podľa § 100 ods. 2 ide o:
- rodné číslo;
- bydlisko;
- iný identifikátor zahraničnej fyzickej osoby podľa § 23 ods. 4;
- údaje o konečnom užívateľovi výhod;
- údaje o zaistení majetkovej účasti.
Údaj, ktorý zverejnený zostáva, je dátum narodenia. Expertka vysvetľuje, že dôvodom je zabezpečenie riadnej identifikácie konkrétnej osoby.
A hoci v dôvodovej správe sa k predmetnému ustanoveniu uvádzalo, že má slúžiť na ochranu osobných údajov, hneď v nasledujúcom odseku (§ 100, ods. 3) dochádza k paradoxnému javu – tento odsek upravuje výnimku, ktorá umožňuje sprístupniť aj spomínané inak nezverejňované údaje (napr. rodné číslo). „Totiž, zapísané údaje a dokumenty uložené v zbierke dokumentov sa sprístupňujú každému bez potreby preukázania právneho záujmu. Zapísané údaje a dokumenty uložené v zbierke dokumentov sú zverejnené na webovom sídle špecializovaného portálu bezplatne a sú použiteľné na právne účely. Pritom tieto dokumenty sa zverejnia na portáli aj vtedy, ak obsahujú inak nezverejňované údaje,“ vysvetľuje P. Vargicová.
Expertka ďalej upresňuje, že v dôvodovej správe je výslovne uvedené, že ak ide o rodné číslo fyzickej osoby (alebo iný identifikačný údaj zahraničnej fyzickej osoby, ktorý jej bol pridelený alebo určený na účely jednoznačnej identifikácie), pokiaľ je takýto údaj súčasťou dokumentu uloženého do zbierky dokumentov, platí, že sa zverejní práve jeho uložením do zbierky dokumentov. Do nej sa podľa slov P. Vargicovej ukladajú rôzne dokumenty, napríklad zakladateľský dokument vrátane splnomocnenia na jeho uzavretie, stavov, notárskej zápisnice o založení a pod., podpisový vzor fyzickej osoby, ktorá je štatutárom, dokument, ktorým sa preukazuje živnostenské oprávnenie, vyhlásenie správcu vkladu, zmluva o predaji podniku alebo časti podniku a podobne.
„Tu je však potrebné zdôrazniť, že napríklad spoločenská zmluva pri s. r. o., ako zakladajúci dokument, obsahuje vždy aj rodné číslo a bydlisko, a to povinne podľa ustanovení zákona č. 513/1991 Zb. Obchodný zákonník. Z uvedeného vyplýva, že osobné údaje ako rodné číslo nie sú automaticky zverejňované vo výpise z obchodného registra, avšak v dokumentoch zverejnených v zbierke dokumentov zostávajú uvedené, a tým aj zverejnené.“
Podnikatelia sprístupnenie údajov kritizujú, hovoria o „dvojakom metri“
Republiková únia zamestnávateľov (RÚZ) na sociálnej sieti zverejnilo vyjadrenie, v ktorom štátu vytýkajú pokutovanie firiem za často nezmyselne uplatňovanými pravidlami GDPR, pričom sám zverejnil najcitlivejšie dáta státisícov občanov. „Je to ukážka dvojitého metra. Štát od občanov a podnikateľov vyžaduje prísne dodržiavanie pravidiel pod hrozbou vysokých pokút, no sám nedokáže ochrániť údaje, ktoré mu zverili,“ upozorňuje RÚZ a žiada ministerstvo spravodlivosti, aby situáciu riešilo a zabránilo nekontrolovanému prístupu k citlivým údajom.
Združenie podnikateľov Slovenska (ZPS) na sociálnej sieti zas upozornilo, že štát po novom umožňuje podvodníkom z celého sveta anonymne vyhľadať citlivé osobné údaje o osobách registrovaných vo firmách na Slovensku, pričom nemá žiadnu kontrolu nad tým, kto si ich prezerá. „Považujeme to za výrazný paradox v konaní štátu - kým napríklad pri nedávnej novele katastrálneho zákona presadzoval štát úplne opačný prístup, tu dáta neboli prístupné voľne na internete. Štát by mal bez váhania upraviť množstvo a druh informácií, ktoré zverejňuje v obchodnom registri," uvádza ZPS.
Úrad na ochranu osobných údajov začal konanie voči ministerstvu spravodlivosti, rezort pochybenie vylučuje
Úrad na ochranu osobných údajov SR (UOOU SR) vo svojom vyhlásení 19.8.2026 uviedol, že voľne prístupné rodné čísla, úplné adresy, vlastnoručné podpisy aj čísla dokladov totožnosti fyzických osôb podliehajú ochrane osobných údajov. Na túto situáciu reaguje a z vlastného podnetu začína konanie o ochrane osobných údajov voči ministerstvu spravodlivosti. „Úrad bude zisťovať, ako k zverejneniu rodných čísel a ďalších citlivých údajov došlo a či ministerstvo pri prevádzke registra dodržalo povinnosti podľa GDPR a zákona o ochrane osobných údajov. Cieľom konania je dosiahnuť, aby rozsah verejne dostupných údajov zodpovedal zákonu. O výsledku konania bude úrad verejnosť informovať,“ uvádza UOOU SR a dodáva: „Verejnosť obchodného registra má svoje miesto, obchodný styk potrebuje overiteľné údaje o firmách a ich zástupcoch. Rozsah zverejňovaných údajov však musí zodpovedať tomu, čo je na tento účel nevyhnutné, a minimálne rodné číslo medzi ne nepatrí.“
Ministerstvo spravodlivosti SR sa ale v tlačovej správe bráni, že nakoľko zverejňovanie dokumentov uložených v zbierke dokumentov je od 17.8.2026 upravené novým zákonom o obchodnom registri, nejde o svojvoľné zverejňovanie osobných údajov ani porušenie pravidiel ich ochrany.
„Právnym základom spracúvania osobných údajov pri tomto zverejňovaní je čl. 6 ods. 1 písm. c) GDPR – splnenie zákonnej povinnosti. Obchodný register teda nezverejňuje tieto dokumenty na základe súhlasu dotknutých osôb ani na základe vlastného oprávneného záujmu. Zverejňuje ich preto, že mu to ukladá zákon,“ odôvodňuje rezort spravodlivosti a má za to, že samotná skutočnosť, že zverejnený dokument obsahuje osobné údaje, neznamená, že ich zverejnením dochádza k porušeniu GDPR alebo zákona o ochrane osobných údajov. „V prípade dokumentov uložených v zbierke dokumentov takýto právny základ existuje. Zákon č. 29/2026 Z. z. výslovne ustanovuje povinnosť dokument po jeho uložení zverejniť.“
Ministerstvo sa ďalej odvoláva na to, že Úrad na ochranu osobných údajov SR počas legislatívneho procesu nevzniesol námietky voči navrhovanej právnej úprave. „Zákonná povinnosť zverejňovania dokumentov tak bola prijatá v riadnom legislatívnom procese pri zohľadnení pravidiel ochrany osobných údajov,“ argumentuje rezort a dodáva, že naďalej platia základné zásady spracúvania osobných údajov - zásada zákonnosti, transparentnosti, účelového viazania a minimalizácie údajov.
Verejnosť obchodného registra podľa ministerstva nie je novinkou. „Už pred účinnosťou novej právnej úpravy bolo možné do spisu zbierky listín nahliadať priamo na obchodnom registri. Toto právo nebolo podmienené existenciou právneho vzťahu k spoločnosti alebo zapísanej osobe a o nahliadaní existoval záznam na súde,“ uvádza v tlačovej správe. „Listiny bolo možné získavať aj prostredníctvom elektronických služieb obchodného registra, napríklad prostredníctvom služby požiadania o vyhotovenie kópie listiny uloženej v zbierke listín. Ďalšou možnosťou bol prístup prostredníctvom systému BRIS, teda systému prepojenia centrálnych, obchodných a registrov spoločností v rámci Európskej únie,“ dopĺňa. Treba však dodať, že v novom systéme stačí správne odpísať kód na obrazovke a k dokumentom sa dostane ktokoľvek, bez potreby overenia totožnosti či preukázania vzťahu k spoločnosti.
Prečo môže byť verejná dostupnosť rodného čísla či čísla občianskeho preukazu problém?
Samotné meno či názov firmy nie sú citlivou informáciou. Problém môže vzniknúť vtedy, keď sa na jednom mieste dajú jednoducho získať aj rodné číslo, presná adresa, číslo dokladu totožnosti či podpis. Takéto údaje môžu útočníci využiť napríklad na krádež identity, sociálne inžinierstvo a presvedčivejšie phishingové či podvodné útoky. Pri podvodoch totiž často nejde o prelomenie technického zabezpečenia, ale o získanie dostatočného množstva informácií o obeti, aby sa útočník dokázal vydávať za dôveryhodnú osobu alebo inštitúciu.
Spoločnosť ESET na svojej stránke napríklad vysvetľuje, že pri krádeži identity ide zlodejom o získanie osobných informácií, ako sú heslá, čísla občianskych preukazov, čísla kreditných kariet či čísel sociálneho poistenia, pričom ich zneužijú na podvodné konanie v mene obete, napríklad vrátane žiadostí o pôžičky.
Taktiež je faktom, že rodné číslo patrí k jedným z často využívaných spôsobov overenia totožnosti osoby, napríklad pri telefonickej komunikácii s bankou, poisťovňou, mobilným operátorom či niektorými úradmi. Ak je spolu s menom, adresou alebo ďalšími osobnými údajmi ľahko dostupné, nebezpečenstvo zneužitia sa zvyšuje.
Riziko sa tak netýka iba súkromia podnikateľov. Verejne dostupné údaje o konateľoch a ďalších osobách vo firmách môžu útočníkom pomôcť pripraviť cielené podvody voči samotným spoločnostiam. Časté sú dnes deepfake a kybernetické podvody, ktoré čoraz viac využívajú sociálne inžinierstvo a krádež identity a pri útokoch na firmy môže byť cieľom práve presvedčivo napodobniť konkrétnu osobu.
Je potrebné dodať, že čím viac údajov o človeku je verejne dostupných na jednom mieste, tým menej práce môže mať podvodník pri príprave cieleného útoku.
