Ako predísť tomu, aby boli rodné čísla či podpisové vzory zneužité podvodníkmi, na čo dať pozor a ako postupovať, ak ku zneužitiu údajov dôjde? Praktické tipy pre podnikateľov.
Podnikatelia v novom Obchodnom registri (ORSR) dnes bez akejkoľvek identifikácie či preukázania právneho záujmu dokážu nájsť rodné čísla, čísla občianskych preukazov či vlastnoručné podpisové vzory tisícov štatutárov. Aj keď verejnosť registra a jeho zbierky dokumentov bola garantovaná už v minulosti a vychádza zo smerníc EÚ, odborníci sa zhodujú, že problémom je aktuálny rozsah zverejňovaných údajov a spôsob prístupu k nim.
Do akej miery hrozí bezpečnostné a právne riziko pre podnikateľov, či môžu byť ich údaje zneužité napríklad v bankách či uzatváraní zmlúv, sme priblížili v článku Osobné údaje v novom ORSR na pár kliknutí: aké sú riziká?
Ako postupovať, ak si podnikateľ neželá sprístupnenie citlivých údajov verejnosti, ako sa brániť voči ich zneužitiu a čo robiť, ak podvodníci dáta skutočne využili, približujeme v tomto článku.
Vymazanie/znečitateľnenie údajov z ORSR: ako postupovať a je vôbec možné?
Ak podnikatelia nechcú čakať na plošnú úpravu portálu zo strany štátu, môžu voči Ministerstvu spravodlivosti SR uplatniť svoje práva podľa čl. 17 a 18 zákona o GDPR a žiadať o anonymizáciu (začiernenie) konkrétnych identifikátorov v zverejňovanej verzii dokumentu. Taktiež môžu súbežne podať návrh na Úrad na ochranu osobných údajov SR.
„Podnikateľom odporúčam v prvom rade zdokumentovať stav, ideálne notárskou zápisnicou o osvedčení priebehu udalosti, pretože bez dôkazu sa po úprave portálu už stav nepreukáže. Až potom má zmysel požiadať ministerstvo o výmaz,“ opisuje JUDr. Erik Lacko, advokát z Lacko & Partners. Konkrétny postup aj so vzormi dokumentov uvádza advokátska kancelária na svojej stránke.
Podobný systém je aj v Česku, no iné sú možnosti anonymizovania údajov
Aj u našich susedov si síce možno pozrieť obchodný register a elektronické verzie dokumentov zo zbierky listín bez prihlásenia a osobitnej žiadosti. Podobne ako u nás, aj v Česku sa možno dostať k trvalým bydliskám podnikateľov či ich rodným číslam. Aj v Česku však existujú zákonné možnosti ochrany súkromia, prostredníctvom ktorých možno za stanovených podmienok dosiahnuť odstránenie alebo prekrytie osobných údajov vo verejne dostupných listinách.
Právnik Matúš Valent zo spoločnosti Codamore s. r. o. pre Podnikajte.sk uvádza, že česká legislatíva neumožňuje obchodným spoločnostiam bezdôvodne skryť zákonom vyžadované údaje, keďže veritelia a partneri musia mať možnosť overiť si oprávnené osoby. Existujú však konkrétne nástroje na ochranu súkromia:
- Osobitný nárok na odstránenie starších podpisových vzorov: Česko zrušilo povinnosť ukladať podpisové vzory od 1. januára 2012. Na základe žiadosti dotknutej osoby je podľa M. Valenta registrový súd povinný odstrániť podpisový vzor uložený pred týmto dátumom, pričom nie je potrebné preukazovať zneužitie podpisu.
- Žiadosť o opravenie alebo odstránenie nadbytočných osobných údajov: Ak zverejnená listina obsahuje nadbytočné osobné údaje, na ktorých publikovanie neexistuje právny základ (napr. číslo občianskeho preukazu, súkromný telefón či e-mail), dotknutá osoba môže požiadať registrový súd o ich odstránenie z verejnej verzie listiny. „V žiadosti treba vysvetliť nadbytočnosť údaja a navrhnúť jeho prekrytie alebo nahradenie verejnej kópie upravenou verziou. Napríklad pri čísle preukazu v osvedčení podpisu možno namietať, že slúži na preukázanie totožnosti pri osvedčení, ale jeho sprístupnenie verejnosti nie je potrebné a proporcionálne na overenie totožnosti osoby zastupujúcej spoločnosť, keďže je zverejnená kombinácia dátumu narodenia a bydliska/sídla,“ vysvetľuje M. Valent.
Zároveň podľa M. Valenta v Českej republike platí, že zánik spoločnosti alebo ukončenie funkcie konateľa nevedie k automatickému vymazaniu histórie. Údaje o bývalých konateľoch či spoločníkoch zostávajú dostupné v úplnom výpise z registra aj viac ako 25 rokov dozadu, keďže zachovanie histórie slúži na ochranu tretích osôb pri dodatočnom preverovaní právnych úkonov. Všeobecný nárok na skrytie histórie len z dôvodu jej veku český právny poriadok nezakladá. Pri nadbytočných identifikátoroch v historických dokumentoch (napr. čísla dokladov) je však možné požiadať o ich prekrytie bez ohľadu na vek dokumentu.
Zmena podpisu a podpisového vzoru
Sprístupnenie podpisových vzorov verejnosti vytvára riziko ich zneužitia najmä pri úkonoch, ktoré nevyžadujú úradné overenie, pričom drvivá väčšina zmlúv sa uzatvára obyčajným podpisom. E. Lacko vysvetľuje, že takto verejne dostupný podpis je navyše nebezpečný najmä v kombinácii s ďalšími údajmi a pri zmluvách uzatváraných na diaľku (cez e-mail či kuriéra) poskytovateľ nemá možnosť porovnať podpis s dokladom a totožnosť overuje práve cez rodné číslo, číslo občianskeho preukazu či adresou. A tieto údaje sú teraz prístupné verejnosti na pár kliknutí.
Jedným z opatrení preto môže byť zmena podpisu a podpisového vzoru. Ako vysvetľuje advokát, takýto krok je z právneho hľadiska úplne v poriadku. Žiadny predpis totiž neukladá štatutárovi povinnosť podpisovať sa v právnom styku zhodne s podpisovým vzorom v ORSR, ani neplatí, že by odlišný podpis spôsoboval neplatnosť zmluvy. Rozhodujúce je, či podpis skutočne pochádza od danej osoby.
Ak sa podnikateľ rozhodne pre podpisovanie iným spôsobom ako je ten, ktorý je uvedený v ORSR, mal by dodržať tieto zásady:
- Nahlásiť nový podpis banke, nakoľko banky používajú vlastné podpisové vzory k účtom. Zmenu je tak potrebné oficiálne vykonať priamo v banke, aby napríklad nedošlo k odmietnutiu zrealizovať platobné príkazy.
- Používať zložitejší podpis, ktorý sa ťažšie napodobní.
- Keď je to možné, využívať elektronický podpis, dohodnúť si to možno aj pri dôležitých zmluvách
Treba tiež mať na pamäti, že pôvodný vzor v ORSR zostáva. E. Lacko upozorňuje, že zmena podpisu v praxi rieši len budúcnosť. Starý podpisový vzor v zbierke dokumentov sa neodstráni, kým podnikateľ nedosiahne jeho znečitateľnenie podľa zákona o GDPR alebo nahradenie novým vzorom pri najbližšej registrovej zmene.
Preventívne bezpečnostné opatrenia vo firme
Ondrej Kubovič, špecialista na digitálnu bezpečnosť spoločnosti ESET, upozorňuje, že zverejnené dáta (najmä, ak je známa ich kombinácia) útočníci najčastejšie využívajú pri cielených podvodoch (phishing, sociálne inžinierstvo) alebo pri tzv. business email compromise (BEC) podvodoch, kedy sa v mene konateľa snažia vyžadovať platby od zamestnancov či obchodných partnerov.
Preto je vhodné zamerať sa na preventívnu ochranu a zabezpečenie firmy. „Ľudia, ktorých údaje sa takto sprístupnili, by si mali dávať mimoriadny pozor na nevyžiadané e-maily, telefonáty, SMS správy aj listové zásielky,“ odporúča O. Kubovič. Ďalej tiež radí:
- pri neočakávanej výzve na úhradu, informácii o pokute, žiadosti o poskytnutie kódu alebo oznámení o zmene na účte, je vhodné si jej pravosť overiť cez oficiálny kontakt danej inštitúcie, nie cez telefónne číslo alebo odkaz uvedený v správe,
- overenie pravosti komunikácie je namieste aj pri neočakávanej informácii o zmene fakturačných údajov obchodného partnera,
- vhodné je tiež zapnúť si upozornenia na pohyby na bankových účtoch a pri akomkoľvek podozrení na konkrétne zneužitie bezodkladne kontaktovať banku, príslušnú inštitúciu a políciu.
Kto nesie zodpovednosť pri zneužití údajov?
Ak napriek opatreniam dôjde k tomu, že podvodník s použitím vašich údajov z ORSR uzavrie zmluvu (napr. nebankový úver, nákup tovaru či telekomunikačné služby), takáto zmluva podnikateľa právne nezaväzuje. Sfalšovaný podpis totiž nepredstavuje prejav vôle a zmluva je od počiatku neplatná.
Advokát E. Lacko vysvetľuje, že za škodu zodpovedá v prvom rade podvodník. Poškodeným v trestnom konaní bude spravidla poskytovateľ služby, podnikateľ však môže byť poškodený tiež, ak mu vznikli náklady na obranu alebo nemajetková ujma. „Poskytovateľ služby znáša vlastnú škodu, teda hodnotu plnenia, ktoré poskytol podvodníkovi, a nemôže ju vymáhať od podnikateľa. Otázka, či môže byť poskytovateľ zodpovedný aj za škodu, ktorá vznikla podnikateľovi, závisí najmä od toho, či dodržal povinnosti, ktoré mu ukladá zákon alebo ktoré od neho možno rozumne požadovať,“ približuje.
Odborník ďalej vysvetľuje, že ak poskytovateľ patrí medzi povinné osoby podľa zákona č. 297/2008 Z. z. a klienta neidentifikoval a neoveril, porušil zákonnú povinnosť a jeho zodpovednosť je daná. „Pri podnikoch elektronických komunikácií je obdobne potrebné skúmať, či splnili povinnosti pri identifikácii účastníka podľa zákona č. 452/2021 Z. z. o elektronických komunikáciách a či postupovali s odbornou starostlivosťou. Pri ostatných poskytovateľoch sa zodpovednosť posudzuje podľa všeobecnej prevenčnej povinnosti (§ 415 Občianskeho zákonníka) a podľa toho, či mali rozumnú možnosť podvod odhaliť, napríklad porovnaním dokladu, overením kontaktu z registra alebo požadovaním platby z účtu podnikateľa,“ upresňuje a dodáva, že po skúsenostiach z augusta 2026 už poskytovatelia nemôžu argumentovať, že o riziku zneužitia údajov z registra nevedeli, čo štandard náležitej starostlivosti v ich neprospech zvyšuje.
Podľa E. Lacka zodpovednosť poskytovateľa voči podnikateľovi sa najčastejšie aktivuje až následným konaním. „Ak poskytovateľ po tom, čo mu podnikateľ oznámi, že zmluvu neuzavrel, pokračuje vo vymáhaní, zapíše ho do registra dlžníkov, postúpi pohľadávku alebo o ňom šíri nepravdivé údaje, zodpovedá za takto vzniknutú škodu a nemajetkovú ujmu, a to podľa § 420 Občianskeho zákonníka, podľa čl. 82 GDPR, ako aj z titulu ochrany dobrej povesti právnickej osoby podľa § 19b Občianskeho zákonníka.“
Ako postupovať pri zneužití údajov podvodníkmi?
Ak podnikateľ zistí, že jeho údaje boli zneužité, odborníci odporúčajú aktívne sa brániť a postupovať nasledovne:
- Podajte trestné oznámenie: Bezodkladne kontaktujte Políciu SR pre podozrenie zo spáchania trestného činu podvodu (§ 221 Trestného zákona) a neoprávneného nakladania s osobnými údajmi (§ 374 Trestného zákona).
- Písomne kontaktujte poskytovateľa služby: Oficiálne informujte spoločnosť/inštitúciu, u ktorej bol úkon vykonaný, že ste zmluvu neuzavreli, ide o podvod a požiadajte o zaslanie kópie zmluvy aj dokladov, ktoré podvodník predložil. Ak podnikateľovi v dôsledku zneužitia údajov z registra vznikla konkrétna škoda, napríklad podvodný úver alebo náklady na výmenu dokladov, výrazne to podľa E. Lacka posilňuje aj jeho pozíciu pri uplatňovaní náhrady voči štátu.
- Inštitúcie nesú vlastnú zodpovednosť: Telekomunikační operátori aj banky potvrdzujú, že každý prípad posudzujú individuálne a ak sa preukáže zneužitie dokladov či podpisu, vzniknutú škodu a záväzok znáša páchateľ, nie poškodený podnikateľ. „Ak by vzniklo dôvodné podozrenie, že uzatvorenie alebo zmena zmluvy bola vykonaná zneužitím identity alebo bez oprávnenia konať za podnikateľa, situáciu by sme bezodkladne preverili. Dotknutému klientovi by sme poskytli potrebnú súčinnosť a v prípade podozrenia na trestný čin by sme spolupracovali s orgánmi činnými v trestnom konaní,“ uvádza napríklad Roman Greguš, manažér pre internú a externú komunikáciu spoločnosti Slovanet.
- Bráňte sa proti neoprávnenému vymáhaniu: Ak by poskytovateľ aj po vašom oznámení pokračoval vo vymáhaní, zapísal vás do registra dlžníkov alebo postúpil pohľadávku, zodpovedá vám za škodu aj nemajetkovú ujmu podľa Občianskeho zákonníka aj GDPR.
