Zverejnenie rodného čísla či podpisového vzoru automaticky neznamená, že sa niekto dostane k účtu či uzatvorí zmluvu v mene podnikateľa. Kde však riziko skutočne vzniká a ako mu predísť?
V auguste 2026 bol spustený nový systém Obchodného registra SR (ORSR), ktorý vyvolal vášne najmä medzi podnikateľmi. Zatiaľ čo pri pôvodnom systéme sa na získanie dokumentov s osobnými a citlivými údajmi zo zbierky listín bolo potrebné identifikovať, vyžiadať si ich alebo sa prihlásiť, v novom ORSR to už potrebné nie je. Všetko je prístupné verejnosti anonymne na niekoľko kliknutí. Rodné čísla, čísla občianskych preukazov či podpisové vzory tisícov podnikateľov sa tak môžu ľahko dostať do „nesprávnych rúk“.
Spôsobila to paradoxná výnimka v novom zákone o obchodnom registri. Podrobnosti sme priblížili v článku Nový obchodný register sprístupnil citlivé údaje: čo hovorí zákon?
Do akej miery však v skutočnosti ide o bezpečnostné a právne riziko pre dotknuté osoby, ako k overovaniu svojich klientov pristupujú banky či poskytovatelia telekomunikačných služieb a kto zodpovedá za záväzky vyplývajúce zo zmlúv uzatvorených podvodníkmi v mene podnikateľa?
Zverejňovanie citlivých údajov naráža na právo EÚ a GDPR
Verejná prístupnosť registra a jeho zbierky dokumentov bola garantovaná aj v minulosti a vychádza zo smerníc EÚ. Zásadný rozdiel je však v spôsobe prístupu a v rozsahu sprístupňovaných údajov bez akéhokoľvek filtrovania.
Ako upozorňuje JUDr. Erik Lacko, advokát z kancelárie Lacko & Partners s. r. o., zatiaľ čo v minulosti bolo potrebné na získanie kópie preukázať totožnosť elektronickým občianskym preukazom, dnes stačí niekoľko kliknutí anonymne a bez udania dôvodu. Právny problém vidí v dvoch rovinách:
- Rozsah zverejňovaných údajov: Zákon o obchodnom registri (§ 100 ods. 2) síce uvádza, že rodné číslo a bydlisko sa nezverejňujú, no v § 100 ods. 3 dodáva, že dokument sa zverejní aj vtedy, ak obsahuje inak nezverejňované údaje. Pritom zákon ani vykonávacia vyhláška, ktorá ustanovuje zoznam zápisových podkladov, nevyžadujú, aby podpisový vzor či súhlas s ustanovením do funkcie obsahovali rodné číslo alebo číslo dokladu. Tie sa tam dostali len z praxe a zo vzorov, nie zo zákonnej požiadavky. Z pohľadu GDPR podľa advokáta ide o rozpor so zásadou minimalizácie údajov a s požiadavkou špecificky navrhnutej a štandardnej ochrany údajov.
- Spôsob prístupu: Zákon o e-Governmente vyžaduje pri prístupe k systémom verejnej správy autentifikáciu, pokiaľ správca neurčí inak. Zákon o obchodnom registri síce hovorí o sprístupnení každému, no nikde neukladá, aby sa dokumenty s podpismi a identifikátormi sprístupňovali bez akejkoľvek autentifikácie. Rozhodnutie umožniť anonymný a hromadný prístup je teda rozhodnutím Ministerstva spravodlivosti SR ako správcu a prevádzkovateľa. To je kľúčové aj z pohľadu zodpovednosti, nakoľko ministerstvo je súčasne prevádzkovateľom podľa GDPR a v prípade vzniku ujmy prichádza do úvahy náhrada majetkovej aj nemajetkovej ujmy, ochrana osobnosti a zodpovednosť štátu za nesprávny úradný postup.
Na rozpor s európskym právom poukazuje aj Jakub Berthoty, advokát a odborník na ochranu osobných údajov z advokátskej kancelárie Dagital Legal: „Slovensko ako členský štát EÚ musí rešpektovať aj GDPR a Chartu základných práv EÚ. Pri sprístupňovaní osobných údajov preto musí jasne určiť, aký cieľ sleduje, ktoré údaje na jeho dosiahnutie potrebuje zverejniť (a ktoré nie) a ako ochráni súkromie a práva dotknutých osôb.“
J. Berthoty rovnako upozorňuje, že aj povinne zverejňovaný dokument môže obsahovať údaje, ktoré nemajú byť dostupné každému. „Štát musí najskôr posúdiť, či zverejnenie konkrétnych údajov skutočne slúži sledovanému cieľu a či tento cieľ nedokáže dosiahnuť spôsobom, ktorý zasahuje do súkromia menej. V prípade obchodného registra je teda otázka, ktoré osobné údaje verejnosť skutočne potrebuje na overenie informácií o spoločnosti. Ostatné by mali byť v dokumente začiernené.“
Aj český register je verejný, pravidlá pre osobné údaje sú odlišné
Pri obhajobe nového systému sa ministerstvo spravodlivosti odvolávalo na to, že podobne systém funguje aj v iných krajinách, vrátane Českej republiky. Právnik Matúš Valent zo spoločnosti Codamore, s. r. o. potvrdzuje, že v Česku si možno cez internet pozrieť obchodný register aj elektronicky dostupné dokumenty zo zbierky listín, a to bez prihlásenia a osobitnej žiadosti. Postup je podobný ako u nás a pri tomto prístupe používateľ nikomu nepreukazuje totožnosť ani právny záujem.
Ohľadom osobných údajov podnikateľov v ČR podľa M. Valenta platí nasledovné:
- Rodné čísla a doklady: Vo výpise z českého registra sa rodné číslo nezobrazuje, no ak je uvedené v listine uloženej do zbierky, zverejňuje sa aj s ním. Čísla občianskych preukazov medzi štandardné položky výpisu nepatria, sú však de facto dostupné, napríklad, ak je súčasťou listiny advokátske/notárske vyhlásenie a nebolo pred poskytnutím redigované.
- Podpisy: Pri elektronicky podávaných listinách, ktorými sa nedokladajú skutočnosti uvedené v návrhu na zápis, zmenu alebo výmaz zápisu, napríklad pri samostatne ukladanej účtovnej závierke, možno podľa českej legislatívy nahradiť obraz vlastnoručného podpisu slovami ‚vlastní rukou‘ alebo skratkou ‚v. r.‘ uvedenými pri priezvisku podpisujúcej osoby. Toto zjednodušenie nemení požiadavky na podpis originálu príslušnej listiny a neuplatní sa napríklad pri rozhodnutí o voľbe nového konateľa, ktorým sa dokladá navrhovaný zápis.
- Adresy: V českom registri sa pri zákonom určených fyzických osobách vo verejnom výpise sprístupňuje adresa miesta pobytu a, ak sa bydlisko od miesta pobytu líši, aj adresa bydliska. Slovenský zákon bydlisko zo zverejňovaných zápisových údajov vylučuje, môže však zostať dostupné v dokumente zverejnenom v zbierke dokumentov.
V zbierke listín možno nájsť všetky zverejňované dokumenty i historicky, od vzniku spoločnosti.
M. Valent ďalej vysvetľuje, že podnikateľ v Česku nemôže dosiahnuť skrytie zákonom vyžadovaných údajov bezdôvodne, pretože obchodní partneri a veritelia musia mať možnosť overiť si údaje o spoločnosti a osobách, ktoré ju zastupujú. „Český zákon síce pozná výnimku umožňujúcu nezverejniť niektoré údaje alebo listiny vo verejnom záujme, obchodné korporácie z nej však výslovne vylučuje. Bežná s. r. o. ani a. s. ju však použiť zo zákona nemôže, keďže už len z logiky veci nedáva zmysel, aby súkromnoprávne entity používali ako titul verejný záujem. Neznamená to, že dotknutá fyzická osoba nemôže namietať nesprávny údaj, nadbytočný údaj, alebo rozpor samotnej zákonnej povinnosti s GDPR,“ upresňuje.
Avšak, osobitný nárok existuje pri staršom podpisovom vzore. „Česko zrušilo povinnosť ukladať tieto vzory od 1.1.2012 a čl. II zákona č. 351/2011 Sb. ukladá registrovému súdu odstrániť starší vzor na žiadosť toho, koho sa týka. Stačí označiť spoločnosť a príslušnú listinu a odvolať sa na toto ustanovenie; netreba preukazovať zneužitie podpisu; nárok sa vzťahuje na podpisové vzory osôb oprávnených konať v mene právnickej osoby, napríklad konateľov s. r. o., alebo členov predstavenstva a. s., a na podpisové vzory vedúcich organizačných zložiek právnických osôb, uložené do zbierky pred 1. januárom 2012.“
Týka sa to podpisu predloženého ako podpisový vzor, zatiaľ čo podpis tej istej osoby na spoločenskej zmluve, zápisnici z valného zhromaždenia alebo rozhodnutí spoločnosti sa podľa tohto ustanovenia neodstraňuje. Pre porovnanie - slovenský zákon naďalej vyžaduje podpisové vzory pri ním určených osobách.
„Pri ostatných údajoch zákon neobsahuje zoznam toho, čo sa musí na žiadosť odstrániť. Rozhodujú osobitné okolnosti a nevyhnutnosť zverejnenia,“ dodáva právnik a vysvetľuje, že v Česku pri nesprávnom údaji možno žiadať opravu a ak sa zverejňuje údaj, na ktorého publikovanie nie je právny základ, dotknutá osoba môže žiadať jeho odstránenie z verejnej verzie listiny. „Typicky môže ísť o nadbytočné číslo občianskeho preukazu či pasu v prílohe, súkromný telefón alebo e-mail, ktorý neslúži ako zverejňovaný kontakt spoločnosti, prípadne údaje o tretej osobe, ktoré s preukazovanou zapisovanou skutočnosťou nesúvisia. Pri údajoch ako meno konateľa, dátum narodenia, alebo povinne zverejňovaná adresa bydliska, nepostačí akcent na súkromie osoby.“
Aké riziká zverejnenie údajov prináša v praxi?
Odborníci sa zhodujú, že samotné sprístupnenie jedného údaja verejnosti nepredstavuje výrazné riziko, väčšinou neumožňuje okamžité prevzatie kontroly nad účtom. Problémom je už ich komplexná kombinácia. „Ak má útočník na jednom mieste údaje ako meno, presnú adresu, rodné číslo, číslo dokladu totožnosti či vlastnoručný podpis, neznamená to automaticky, že môže vykonávať bankové, právne alebo úradné úkony v mene obete. Banky a úrady spravidla používajú aj ďalšie formy overenia totožnosti. Takýto súbor údajov však môže výrazne zvýšiť riziko krádeže identity, pokusov o zneužitie podpisu alebo obídenie slabšie nastavených overovacích procesov,“ vysvetľuje Ondrej Kubovič, špecialista na digitálnu bezpečnosť spoločnosti ESET.
Podľa O. Kuboviča sú najbezprostrednejším rizikom presvedčivé cielené podvody (phishing, social engineering). Útočníci sa vydávajú za banky, úrady či políciu a dôveryhodnosť si budujú presnými osobnými údajmi. „Cieľom môže byť vylákanie hesiel, údajov z platobnej karty, autorizačného kódu alebo presvedčenie človeka, aby poslal peniaze. Kombinácia údajov zverejnených v dokumentoch, vrátane podpisov a čísel dokladov, môže podvodníkom podstatne uľahčiť prípravu a najmä vhodné zacielene takýchto útokov,“ upozorňuje.
Výrazným rizikom sú aj podvody zamerané na firemnú komunikáciu (tzv. BEC podvody), kedy je identita štatutára zneužitá na manipuláciu zamestnancov alebo partnerov pri schvaľovaní platieb a zmenách fakturačných údajov.
„Kombinácia reálnych osobných a firemných údajov spolu s podpisom môže zvýšiť dôveryhodnosť takejto komunikácie a pravdepodobnosť, že príjemca pokyn splní,“ upozorňuje O. Kubovič.
Podľa advokáta Erika Lacka vytvára takýto komplex údajov zvýšené riziko najmä pri úkonoch, kde sa totožnosť a oprávnenie osôb overujú len na diaľku alebo na základe neúradných dokumentov. Od bežného úniku dát sa navyše táto situácia líši tým, že rodné číslo či podpis si človek nezmení ako heslo – ujma je trvalá a pretrvá aj po prípadnej úprave portálu. Osobitným nebezpečenstvom je hromadné automatizované sťahovanie dokumentov a vytváranie databáz.
Aké riziko predstavuje sprístupnenie podpisových vzorov podnikateľov?
Advokát Erik Lacko vysvetľuje, že slovenské právo vychádza z princípu bezformálnosti právnych úkonov. Písomná forma je potrebná len tam, kde to vyžaduje zákon či dohoda strán a písomný úkon je platný, ak je podpísaný konajúcou osobou. Úradné osvedčenie (notársku doložku) vyžaduje zákon len pri výnimočných úkonoch, ako je prevod nehnuteľnosti či obchodného podielu. „Drvivá väčšina bežných zmlúv sa uzatvára obyčajným podpisom, prípadne bez podpisu,“ dodáva.
Zvýšená opatrnosť je tak potrebná najmä pri kúpnych, leasingových či nájomných zmluvách, no tiež pri objednávkach tovaru na faktúru a zmluvách o dielo. Podobne to platí aj pri dojednávaní služieb a energií, nebankových úveroch, či pri prevádzkových dokladoch, ako sú potvrdenia o prevzatí tovaru, uznania dlhu, splnomocnenia či odstúpenia od zmlúv. Pri všetkých týchto úkonoch je teraz obzvlášť dôležité, aby poskytovatelia a partneri dôslednejšie overovali totožnosť.
„Treba však rozlišovať medzi tým, či je podpis technicky zneužiteľný, a tým, či sfalšovaný podpis zakladá platnú zmluvu. Sfalšovaný podpis nikdy nezakladá platný právny úkon osoby, za ktorú bol sfalšovaný - chýba najzákladnejší predpoklad právneho úkonu, ktorým je prejav vôle konajúcej osoby. Pre podnikateľa je preto výsledkom takejto zmluvy skôr faktický než právny problém. Zmluva ho nezaväzuje, ale musí to preukázať a brániť sa proti vymáhaniu, čo stojí čas, peniaze a v praxi aj dobré meno,“ upresňuje E. Lacko.
Advokát ešte dodáva: „Verejne dostupný podpis je nebezpečný najmä v kombinácii s ďalšími údajmi. Pri zmluvách uzatváraných na diaľku, cez e-mail alebo cez kuriéra, poskytovateľ často nemá možnosť porovnať podpis s dokladom a totožnosť overuje práve rodným číslom, číslom občianskeho preukazu a adresou, teda údajmi, ktoré sú dnes v registri takisto dostupné. Najmenej chránené sú preto zmluvy uzatvárané bez osobného kontaktu a zmluvy, pri ktorých poskytovateľ nemá zákonnú povinnosť identifikovať klienta.“
Overovanie totožnosti v bankách či u telekomunikačných operátorov
Bankový sektor
Pokiaľ ide o bankový sektor, zväčša sú bezpečnostné systémy bánk viacvrstvové a postavené na prísnych zákonných pravidlách podľa zákona o ochrane pred legalizáciou príjmov z trestnej činnosti. „Pri nadväzovaní obchodného vzťahu banka postupuje v súlade s legislatívnymi požiadavkami a internými bezpečnostnými pravidlami. Overuje identitu klienta na základe predložených dokladov a využíva viacero kontrolných mechanizmov na potvrdenie pravosti údajov a oprávnenia konať za danú osobu alebo spoločnosť,“ uvádza Simona Miklošovičová, hovorkyňa Tatra banky.
Dodáva, že samotné zverejnenie údajov neumožňuje prístup k účtom ani využívanie služieb, keďže banka využíva viacúrovňovú autentifikáciu (napr. volanie z aplikácie, Čítačka, hlasová biometria).
Telekomunikačné služby
Poskytovatelia telekomunikačných služieb rovnako deklarujú dodržiavanie prísnych overovacích mechanizmov podľa zákona o elektronických komunikáciách. „Pri overovaní zákazníkov pri jednotlivých požiadavkách (nová aktivácia, zmena služieb, všeobecné informácie) sa striktne držíme interných procedúr. Ak má zákazník záujem o ešte vyššiu ochranu, môže mať všetky požiadavky viazané na ID kód. Ten je jedinečný, je dostupný len pre konkrétneho zákazníka a akékoľvek zmeny, prípadne úkony je možné realizovať len po overení týmto ID kódom,“ uvádza Alexandra Piskunová, Senior Corporate Communication Specialist zo spoločnosti Orange Slovensko. V business segmente sa podľa nej pri uzatváraní zmlúv postupuje podobne. Navyše odporúčajú predajcom aj osobný kontakt, napr. v sídle firmy, ktorým by sa mali vylúčiť pochybnosti.
„Samotná znalosť zverejnených údajov nepreukazuje totožnosť osoby, ktorá žiada o uzatvorenie zmluvy alebo získanie zariadenia. Ani samotná znalosť e-mailovej adresy, ani znalosť základných identifikačných údajov zákazníka automaticky neoprávňujú osobu vykonávať citlivé zmeny na zákazníckym účte. Pri telefonickom a elektronickom kontakte používame overovacie postupy a interné bezpečnostné pravidlá. Situáciu a prípadné bezpečnostné riziká spojené zo zverejňovaním osobných údajov budeme monitorovať,“ vysvetľuje zas Adam Sipos, hovorca spoločnosti SWAN (operátor 4ka).
Podobne v spoločnosti Slovanet nepredstavuje samotné zverejnenie údajov výraznejšie riziká – uzatvoreniu zmlúv podľa Romana Greguša, manažéra pre internú a externú komunikáciu, často predchádza technická obhliadka priamo na mieste poskytovania služby, čím sa výrazne znižuje riziko neoprávneného zneužitia osobných údajov. „Aj zriaďovanie väčšiny našich služieb je spojené s návštevou inštalačného technika, ktorý zároveň overuje a potvrdzuje identitu objednávateľa na základe predloženia občianskeho alebo iného preukazu totožnosti,“ vysvetľuje. Okrem toho pri uzatváraní zmlúv zaznamenávajú kontaktné údaje zákazníkov, ako sú telefónne čísla a emailové adresy. „Tie následne využívame nielen na ďalšiu komunikáciu s klientom, ale aj ako ďalšie overovacie prvky. Kombinácia týchto krokov je z našich skúseností dostatočne bezpečná,“ dodáva R. Greguš.
Napriek tomu jednoduchú verejnú dostupnosť osobných údajov v novej verzii ORSR považujú za nežiaducu, nevhodnú a rizikovú - jednak pre štatutárov a osoby, ktorých citlivé údaje boli takto zverejnené, ale aj pre subjekty, voči ktorým sa môžu tretie strany dopustiť podvodu zneužitím cudzích osobných údajov, získaných z ORSR.
Používanie odlišného podpisu a zmena podpisového vzoru
Niektorým podnikateľom možno napadlo ako jedno z riešení, ako predísť nepríjemnostiam v súvislosti so sprístupnením údajov v ORSR verejnosti, používanie iného podpisu, než je ten v zbierke listín.
Podľa E. Lacka to nepredstavuje právny problém. „Podpisový vzor štatutára sa do zbierky dokumentov ukladá podľa § 34 písm. g) zákona č. 29/2026 Z. z. na účely registrového konania a na to, aby si tretie osoby mohli overiť, kto za spoločnosť koná. Nový zákon dokonca vyžaduje, aby bol podpisový vzor vlastnoručne podpísaný v prítomnosti notára alebo povereného zamestnanca obce, práve preto, aby bola jeho pravosť nespochybniteľná,“ vysvetľuje. Má však za to, že žiadny predpis neustanovuje, že by bol štatutár povinný podpisovať sa v právnom styku zhodne s podpisovým vzorom, ani že by podpis odlišný od vzoru bol neplatný. Rozhodujúce podľa advokáta je, či podpis skutočne pochádza od konajúcej osoby, nie jeho grafická podoba.
Môže sa ale stať, že zmluvná protistrana odlišnosť podpisu od vzoru namieta, resp. spochybní pravosť podpisu. „V takom prípade platí, že pravosť podpisu preukazuje ten, kto sa na listinu odvoláva, a pri spore ju posudzuje znalec z odboru písmoznalectva, nie porovnanie s registrom. Podnikateľ, ktorý zmenil podpis, preto v praxi riskuje najviac to, že mu protistrana pri významnejších úkonoch bude chcieť overiť totožnosť iným spôsobom, čo je v konečnom dôsledku v jeho záujme.“
E. Lacko zároveň radí, na čo dať pri zmene podpisu pozor:
- Odlišný podpis je potrebné oznámiť banke, pretože banky majú vlastné podpisové vzory k účtom a pri nezhode podpisu môžu odmietnuť vykonanie príkazu.
- Zvoliť je vhodné zložitejší podpis a menej napodobiteľný namiesto jednoduchej parafy.
- Pri dôležitých zmluvách je vhodné dohodnúť sa na kvalifikovanom elektronickom podpise (KEP/ZEP), ktorý sa sfalšovať nedá, alebo na podpise pred notárom.
- S obchodnými partnermi je možné sa zmluvne dohodnúť, že objednávky alebo zmeny zmluvy nad určitú sumu vyžadujú potvrdenie z konkrétnej e-mailovej adresy alebo telefonické overenie.
Upozornenie: Zároveň podľa E. Lacka treba počítať s tým, že zmena podpisu rieši len budúcnosť. Pôvodný podpisový vzor v zbierke dokumentov zostáva a jeho odstránenie alebo znečitateľnenie sa dá dosiahnuť len žiadosťou podľa GDPR adresovanou ministerstvu, prípadne uložením nového podpisového vzoru pri najbližšej zmene zápisu.
Kto zodpovedá za škodu a záväzky vyplývajúce zo zmlúv uzatvorených podvodníkmi?
Pokiaľ by k zneužitiu údajov došlo a podvodníci by na základe nich napríklad uzatvorili zmluvu v mene podnikateľa s použitím jeho údajov a podpisu, podľa E. Lacka podnikateľ touto zmluvou viazaný nie je. „Nejde o jeho právny úkon, pretože neprejavil žiadnu vôľu, a zmluva je voči nemu absolútne neplatná, respektíve z jeho pohľadu vôbec nevznikla. Na tom nič nemení ani dobromyseľnosť poskytovateľa služby,“ vysvetľuje. Výnimkou by ale bola situácia, keby podnikateľ konanie podvodníka dodatočne schválil alebo keby plnenie zo zmluvy vedome prijímal a využíval. V takom prípade by už mohol byť zaviazaný z titulu dodatočného schválenia alebo z titulu bezdôvodného obohatenia v rozsahu prijatého plnenia.
Za škodu zodpovedá v prvom rade podvodník, a to podľa § 420 Občianskeho zákonníka, súčasne pôjde o trestný čin podvodu podľa § 221 Trestného zákona a prípadne aj neoprávnené nakladanie s osobnými údajmi podľa § 374 Trestného zákona. „Poškodeným v trestnom konaní bude spravidla poskytovateľ služby, podnikateľ však môže byť poškodený tiež, ak mu vznikli náklady na obranu alebo nemajetková ujma,“ upresňuje advokát.
