Rodné čísla, podpisy či údaje z dokladov dostupné online: odborníci varujú pred rizikom zneužitia identity
Online dostupnosť obchodného registra má zabezpečovať transparentnosť podnikania, nemala by však znamenať neobmedzený prístup k osobným údajom ľudí. Odborníci upozorňujú, že súčasné nastavenie Zbierky listín môže vytvárať priestor na krádeže identity, zneužitie podpisových vzorov či ďalšie podvodné konanie. Aktuálna judikatúra Súdneho dvora EÚ zároveň zdôrazňuje, že verejný záujem sám osebe nestačí. Sprístupnenie osobných údajov musí byť nevyhnutné a primerané.
Zbierka listín môže obsahovať dokumenty s rodnými číslami, podpisovými vzormi, telefónnymi číslami či údajmi z dokladov totožnosti. Ak sú takéto dokumenty dostupné komukoľvek bez dostatočných ochranných mechanizmov, podľa odborného stanoviska odborníka na ochranu osobných údajov Jána Golaisa vzniká bezpečnostné riziko, ktoré presahuje samotnú otázku ochrany súkromia. „Diagnóza je jasná. Novela zákona o obchodnom registri rozviazala prístup k Zbierke listín bez akéhokoľvek filtra, čím štát otvoril priame riziko krádeže identity a zneužitia podpisových vzorov, rodných čísiel a skenov dokladov štatutárov,“ uviedol Ján Golais. Podľa jeho stanoviska pritom nejde o teoretický problém. Poukazuje na prípady, v ktorých boli osobné údaje štatutárov zneužité pri zakladaní spoločností alebo pri vstupoch do firiem, čo následne viedlo k ekonomickým škodám.
„Argument, že údaje boli verejne dostupné aj v minulosti, podľa mňa prehliada jednu podstatnú vec – technologický spôsob, akým sú dostupné. Je rozdiel, či sa k dokumentu dostanem cez určitý proces a zanechám pritom stopu, alebo či sú údaje okamžite a anonymne dostupné komukoľvek na internete. V digitálnom prostredí nejde iba o to, či je informácia verejná, ale aj o to, ako jednoducho sa dá vyhľadať, kopírovať, kombinovať a následne zneužiť,“ vysvetľuje Mária Krahulecová spoluzakladateľka konferencie venujúcej sa kybernetickej bezpečnosti Qubit Conference®.
Verejnosť registra verzus ochrana človeka
Jadrom problému podľa Jána Golaisa nie je samotná existencia verejného obchodného registra. Otázkou je rozsah osobných údajov, ktoré má byť možné sprístupniť každému. Odborník upozorňuje na konflikt medzi verejnosťou listín a základnými princípmi ochrany osobných údajov, najmä minimalizáciou údajov, účelovým obmedzením, primeranosťou a bezpečnosťou spracúvania. „V stávke je dôveryhodnosť verejnej správy, bezpečnosť identít a konzistencia dozorného režimu,“ zdôrazňuje odborník. Za problematické považuje aj to, že štát môže pri iných prípadoch vyžadovať zakrývanie rodných čísiel či podpisov, zatiaľ čo dokumenty vo verejnom registri môžu obsahovať rovnaké typy údajov. Podľa odporníkov tak vzniká otázka dvojitého metra. „Z pohľadu malej alebo strednej firmy je na celej situácii najťažšie pochopiteľný práve dvojitý meter. Od podnikateľov štát vyžaduje, aby presne vedeli, aké osobné údaje spracúvajú, na akom právnom základe, ako dlho ich uchovávajú, komu ich sprístupňujú a ako ich chránia. Musíme investovať čas aj peniaze do procesov, dokumentácie, bezpečnosti, školení či externých odborníkov a pri pochybení nesieme zodpovednosť. Je preto legitímne očakávať, že minimálne rovnaký štandard obozretnosti bude pri osobných údajoch uplatňovať aj samotný štát,“ vysvetľuje Mária Krahulecová.
Ilustračné foto: Osama Madlom / Unsplash.com
Slovensko: široký prístup k dokumentom
Slovenská úprava obchodného registra vychádza z princípu verejnosti registra a zbierky listín. Pri posudzovaní ochrany osobných údajov však nie je rozhodujúce iba to, či existuje zákonný základ na sprístupnenie dokumentu, ale aj to, aké konkrétne osobné údaje dokument obsahuje, komu sú dostupné a či je ich zverejnenie nevyhnutné na sledovaný účel. Práve v tomto bode J. Golais upozorňuje na potrebu redakcie citlivých údajov, najmä rodných čísiel, podpisových vzorov, skenov dokladov a telefónnych čísel a na zavedenie primeraných kontrol prístupu.
Ján Golais: treba upraviť rozsah a podmienky prístupu
Podľa odborného stanoviska by riešením nemalo byť zrušenie verejnosti registra, ale zavedenie primeraných ochranných mechanizmov. J. Golais navrhuje najmä zakrývanie citlivých údajov. Napríklad rodných čísiel, podpisových vzorov, skenov dokladov a telefónnych čísel pred ich verejným sprístupnením. Medzi ďalšie možné opatrenia zaraďuje registráciu a autentifikáciu používateľov, evidenciu prístupov, obmedzenie hromadného sťahovania a automatizované zakrývanie osobných údajov v dokumentoch. „My ako odborná verejnosť máme povinnosť povedať nahlas: zlyhali sme v ochrane súkromia v legislatívnom procese a musíme okamžite upraviť rozsah a podmienky prístupu k Zbierke listín,“ zdôraznil odborník. Podľa jeho stanoviska by sa preto mala diskusia presunúť od otázky, či má byť obchodný register verejný, ku konkrétnejšej otázke: ktoré údaje verejnosť skutočne potrebuje na kontrolu firmy a ktoré už predstavujú zbytočný zásah do súkromia a bezpečnosti človeka.
Mária Krahulecová vysvetľuje, že pre malé a stredné firmy má GDPR veľmi praktický rozmer. Každá nová povinnosť znamená ďalší proces, dokument, kontrolu, často externého poradcu a ďalšie náklady. „Nespochybňujem potrebu ochrany osobných údajov – práve naopak. Ak však štát od podnikateľov vyžaduje vysoký štandard ochrany dát, musí byť jeho vlastný prístup konzistentný. Inak vzniká pochopiteľná frustrácia: firma môže niesť zodpovednosť za nesprávne spracovanie osobných údajov, zatiaľ čo údaje jej konateľov alebo spoločníkov môžu byť prostredníctvom štátneho systému veľmi jednoducho dostupné širokej verejnosti. Takýto nepomer oslabuje dôveru nielen v ochranu osobných údajov, ale aj v zmysluplnosť pravidiel, ktoré od podnikateľov požadujeme dodržiavať,“ dodáva a zároveň vysvetľuje, „Toto nie je argument proti GDPR. Práve naopak. Ak od podnikateľov chceme, aby ochranu osobných údajov nevnímali len ako ďalšiu administratívnu povinnosť, štát musí ísť príkladom. Pravidlá získavajú rešpekt vtedy, keď sú zrozumiteľné, primerané a uplatňujú sa konzistentne.“
Transparentnosť nemusí znamenať úplnú stratu súkromia
J. Golais upozorňuje, že pri osobách vo vysokých funkciách či v bezpečnostných zložkách môže mať nekontrolovaný prístup k osobným údajom ešte závažnejšie dôsledky. Riešením má byť podľa neho kombinácia transparentnosti a ochranných opatrení, nie výber iba jednej z týchto hodnôt. Verejnosť môže mať legitímny záujem vedieť, kto firmu vlastní, riadi alebo zastupuje. Z toho však automaticky nevyplýva, že potrebuje vidieť aj rodné číslo, podpisový vzor, súkromné telefónne číslo alebo údaje z dokladu totožnosti.
Práve prípady, ako je diskusia o Zbierke listín, ukazujú potrebu širšej odbornej diskusie ešte pred zavedením legislatívnych a systémových zmien do praxe. Právny pohľad nemusí zachytiť všetky technologické a bezpečnostné dôsledky, rovnako ako bezpečnostný expert nemusí vidieť všetky právne či spoločenské súvislosti. Preto má zmysel spájať odborníkov z oblasti ochrany osobných údajov, kybernetickej bezpečnosti, práva, biznisu, verejnej správy aj akademického prostredia.
„Takúto skúsenosť máme aj z odbornej komunity okolo Qubit Conference®. Jej hodnota nie je iba v odovzdávaní poznatkov, ale najmä v otvorenej diskusii medzi ľuďmi, ktorí sa na rovnaký problém pozerajú z rôznych strán. Aj tento typ diskusie bude súčasťou konferencie 11.-12. novembra Qubit Conference® Slovakia 2026 v Jasnej,” hovorí Mária Krahulecová. Jednou z tém konferencie bude dôvera v ére nepretržitého overovania a hľadanie rovnováhy medzi bezpečnostnými opatreniami, súkromím a fungovaním organizácií. V paneli sa pritom stretnú zástupcovia ochrany súkromia, kybernetickej bezpečnosti, firiem aj štátu.
Zdroj: Qubit Conference®
