Obchodný register - rodné čísla, podpisy a čísla dokladov na internete:

Rodné čísla, podpisy a čísla dokladov na internete: čo sa deje v Obchodnom registri a čo na to právo?

Predstavte si, že si niekto vyhľadá spoločnosť v Obchodnom registri a v dokumentoch, ktoré sú k nej verejne dostupné, nájde nielen meno konateľa či spoločníka, ale aj jeho rodné číslo, úplnú adresu, vlastnoručný podpis alebo číslo dokladu totožnosti.

Presne na takúto situáciu upozornil 19. augusta 2026 Úrad na ochranu osobných údajov Slovenskej republiky. Úrad oficiálne potvrdil, že v dokumentoch dostupných prostredníctvom portálu Obchodného registra SR sú voľne dostupné rodné čísla, úplné adresy, vlastnoručné podpisy aj čísla dokladov totožnosti fyzických osôb. Zároveň z vlastného podnetu začal konanie voči Ministerstvu spravodlivosti SR.

Je pritom dôležité používať presné pojmy. Z oficiálneho vyhlásenia úradu vyplýva, že boli sprístupnené čísla dokladov totožnosti. Samotné vyhlásenie neznamená, že Obchodný register plošne zverejňuje fotografie alebo celé skeny občianskych preukazov. Aj samotné číslo dokladu však predstavuje osobný údaj, ktorého verejné sprístupnenie treba vedieť právne odôvodniť.

Prečo je Obchodný register vôbec verejný?

Verejnosť Obchodného registra má legitímny a dôležitý účel. Ten, kto vstupuje do obchodného vzťahu so spoločnosťou, má mať možnosť overiť si, či spoločnosť existuje, kto za ňu môže konať, kto je jej spoločníkom alebo aké dokumenty boli uložené do registra.

Nový zákon č. 29/2026 Z. z. o obchodnom registri, ktorého podstatná časť nadobudla účinnosť 17. augusta 2026, preto výslovne ustanovuje princíp tzv. formálnej publicity. Podľa § 6 ods. 1 sa zapísané údaje a dokumenty uložené v zbierke dokumentov sprístupňujú každému bez potreby preukázania právneho záujmu a na špecializovanom portáli sú sprístupnené bezplatne.

Verejnosť registra teda sama osebe nie je problémom.

Otázkou je, kde sa končí legitímna transparentnosť obchodných spoločností a kde sa začína neprimeraný zásah do súkromia konkrétnej fyzickej osoby.

Zákon hovorí, že rodné číslo sa nezverejňuje. Má to však háčik

Právne je celá situácia zaujímavá najmä pre spôsob, akým je formulovaný § 100 nového zákona o obchodnom registri.

Podľa § 100 ods. 2 sa zo zapisovaných údajov nezverejňuje okrem iného:

• rodné číslo,

• bydlisko,

• iný identifikátor zahraničnej fyzickej osoby,

• údaje o konečnom užívateľovi výhod,

• údaje o zaistení majetkovej účasti.

Na prvý pohľad by sa teda mohlo zdať, že problém je vyriešený – rodné číslo ani bydlisko verejné byť nemajú.

Lenže § 100 ods. 3 následne stanovuje, že dokument uložený do zbierky dokumentov sa zverejní aj vtedy, ak obsahuje inak nezverejňované údaje. Zákon zároveň výslovne dodáva, že práva podľa GDPR tým nie sú dotknuté.

Tento rozdiel je zásadný.

Jedna vec je údaj vedený v databáze Obchodného registra – napríklad meno konateľa. Druhá vec je samotný dokument uložený v zbierke dokumentov, v ktorom môže byť uvedených podstatne viac údajov.

Túto interpretáciu ešte 14. augusta 2026 uvádzalo aj samotné Ministerstvo spravodlivosti. Vo svojom FAQ vysvetlilo, že rodné číslo a bydlisko sa nezverejňujú ako zapísané údaje, ale zároveň uviedlo, že toto pravidlo sa neuplatní na dokumenty uložené v zbierke dokumentov, ktoré takéto údaje obsahujú.

A práve tu vstupuje do hry GDPR

Existencia vnútroštátneho zákona ešte automaticky neznamená, že možno verejne zverejniť akýkoľvek osobný údaj nachádzajúci sa v dokumente.

GDPR stojí okrem iného na zásade minimalizácie osobných údajov. Podľa článku 5 GDPR majú byť osobné údaje primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účel, na ktorý sa spracúvajú.

Inými slovami: nestačí položiť otázku, či má štát dôvod zverejňovať dokumenty obchodných spoločností.

Treba položiť aj druhú otázku:

Je na dosiahnutie tohto cieľa skutočne potrebné, aby každý používateľ internetu videl celé rodné číslo, úplnú domácu adresu, číslo dokladu totožnosti alebo vlastnoručný podpis konkrétnej osoby?

Práve toto bude zrejme jedna z kľúčových otázok pre Úrad na ochranu osobných údajov.

Úrad už vo svojom vyhlásení zaujal pomerne jednoznačné stanovisko, keď uviedol, že pri zverejňovaní dokumentov v obchodnom registri je potrebné osobné údaje anonymizovať a že minimálne rodné číslo nepatrí medzi údaje, ktoré sú pre zabezpečenie verejnosti obchodného registra nevyhnutné.

GDPR navyše pozná princíp „data protection by design and by default“ – ochranu osobných údajov už v štádiu návrhu systému a prostredníctvom štandardných nastavení. Prevádzkovateľ má systém nastaviť tak, aby sa zásady ochrany údajov, vrátane minimalizácie, uplatňovali efektívne už technickým riešením spracúvania.

Pri elektronickom registri sa preto môže riešiť nielen otázka, či údaje bolo možné zverejniť, ale aj otázka, či mal byť systém technicky navrhnutý tak, aby citlivé identifikátory pred publikovaním automaticky alebo iným spoľahlivým spôsobom odstránil.

Znamená to už dnes porušenie GDPR?

Nie je právne korektné to zatiaľ tvrdiť ako definitívny záver.

Úrad na ochranu osobných údajov začal voči Ministerstvu spravodlivosti SR konanie. Jeho predmetom má byť práve preverenie, ako k zverejneniu údajov došlo a či ministerstvo pri prevádzke registra dodržalo GDPR a zákon o ochrane osobných údajov. K 19. augustu 2026 teda ide o prebiehajúce konanie, nie o právoplatné rozhodnutie konštatujúce porušenie GDPR.

Rovnako treba byť opatrný so slovom „únik údajov“. Z právneho hľadiska môže byť presnejšie hovoriť o verejnom sprístupnení alebo zverejnení osobných údajov. Až právne posúdenie konkrétneho mechanizmu a právneho základu ukáže, či išlo aj o neoprávnené sprístupnenie v zmysle pravidiel GDPR.

Čo na podobné situácie hovorí Súdny dvor EÚ?

Európske právo nehovorí, že osobné údaje v obchodných registroch nikdy nesmú byť verejné.

Súdny dvor EÚ napríklad vo veci C-398/15 Manni uznal význam verejnosti obchodných registrov. Zdôraznil potrebu právnej istoty a ochrany tretích osôb, a preto nepriznal všeobecné právo na „zabudnutie“ údajov vedených v obchodnom registri. Dôležité však je, že pri hodnotení proporcionality Súdny dvor pracoval aj s tým, že išlo iba o obmedzený počet osobných údajov, ktorých zverejnenie súviselo s funkciou osoby v spoločnosti.

Tento rozsudok preto nemožno jednoducho interpretovať tak, že verejný register môže bez obmedzenia publikovať akýkoľvek osobný údaj, ktorý sa náhodou nachádza v predloženom dokumente.

Ešte výraznejšie sa Súdny dvor vyjadril v roku 2022 vo veciach C-37/20 a C-601/20, ktoré sa týkali verejného prístupu k údajom o konečných užívateľoch výhod. Súdny dvor rozhodol, že všeobecný prístup verejnosti k týmto údajom predstavoval závažný zásah do práv na súkromie a ochranu osobných údajov a že zvolený rozsah prístupu nebol obmedzený na to, čo bolo striktne nevyhnutné a primerané sledovanému cieľu.

Hoci ide o inú právnu situáciu, princíp je významný aj pre slovenský Obchodný register: verejný záujem na transparentnosti ešte neznamená neobmedzené právo verejnosti na všetky osobné údaje.

Čo môže urobiť človek, ktorého údaje sa v registri nachádzajú?

Ak niekto zistí, že dokument verejne dostupný v Obchodnom registri obsahuje jeho rodné číslo, číslo dokladu, adresu alebo iný údaj, ktorý podľa jeho názoru nemá byť verejne prístupný, mal by najskôr presne identifikovať spoločnosť, konkrétny dokument a rozsah zverejnených údajov a bezpečne si uchovať dôkaz o tom, čo bolo verejne dostupné. Takéto údaje by však nemal ďalej zbytočne šíriť.

Následne môže svoje práva uplatniť voči Ministerstvu spravodlivosti SR ako prevádzkovateľovi. Ministerstvo samo uvádza kontaktné údaje svojej zodpovednej osoby pre ochranu osobných údajov a informuje o možnosti uplatniť práva dotknutej osoby vrátane opravy, výmazu či ďalších práv podľa GDPR; žiadosť má byť zásadne vybavená do jedného mesiaca, s možnosťou predĺženia za podmienok GDPR.

Dotknutá osoba sa zároveň môže obrátiť na Úrad na ochranu osobných údajov SR.

Samostatnou otázkou je prípadná náhrada škody alebo nemajetkovej ujmy podľa článku 82 GDPR. Samotné zistenie porušenia GDPR ešte automaticky nezakladá nárok na peniaze. Musí existovať porušenie GDPR, vznik materiálnej alebo nemateriálnej ujmy a príčinná súvislosť medzi nimi. Súdny dvor EÚ však zároveň rozhodol, že pri nemajetkovej ujme nemožno vyžadovať, aby dosiahla určitú minimálnu hranicu závažnosti.

Každý prípad preto bude potrebné hodnotiť individuálne.

Transparentnosť áno. Ale nie za každú cenu

Obchodný register musí byť verejný. Bez dôveryhodných informácií o obchodných spoločnostiach by výrazne utrpela právna istota a bezpečnosť obchodného styku.

To však neznamená, že spolu s informáciou o tom, kto je konateľom spoločnosti, musí byť celému internetu sprístupnené aj jeho rodné číslo, číslo dokladu totožnosti alebo vlastnoručný podpis.

Práve v tom spočíva podstata súčasného problému.

Nový zákon na jednej strane výslovne hovorí, že rodné číslo a bydlisko sa ako zapísané údaje nezverejňujú. Na druhej strane pripúšťa zverejnenie dokumentu, ktorý také údaje obsahuje, pričom súčasne zachováva práva fyzickej osoby podľa GDPR.

Výsledkom je právne napätie medzi verejnosťou Obchodného registra a ochranou súkromia, ktoré teraz bude musieť posúdiť Úrad na ochranu osobných údajov.

Jeho konečné rozhodnutie môže mať význam nielen pre Ministerstvo spravodlivosti, ale potenciálne pre veľké množstvo konateľov, spoločníkov, akcionárov a ďalších fyzických osôb, ktorých údaje sa v dokumentoch obchodného registra nachádzajú.

Jedno však už dnes povedať možno: verejnosť obchodného registra nie je právnym vákuom. Aj štát pri zverejňovaní údajov musí rešpektovať hranice, ktoré stanovuje GDPR, princíp minimalizácie údajov a základné právo človeka na ochranu jeho osobných údajov.

Stav právnych a skutkových informácií: 19. august 2026. Konanie Úradu na ochranu osobných údajov SR v čase prípravy článku nebolo právoplatne ukončené.