Kde končí transparentnosť a začína zásah do súkromia?

1. Mechanika problému a rozhodovacie napätie

Čo sa sprístupnilo a komu

– Zbierka listín na Slovensko.sk obsahuje: skeny občianskych preukazov, identifikačné údaje spoločníkov/konateľov/akcionárov, rodné čísla, podpisové vzory, telefónne čísla.

– Po novele: prístup bez registrácie komukoľvek (vrátane zahraničných subjektov). Predtým: prístup cez registráciu a doručovanie e-mailom.

Bezpečnostná realita vs. právna rétorika

– Faktická bezpečnosť: viaceré policajné útvary riešia zneužitia údajov štatutárov pri zakladaní/vstupe do firiem, s ekonomickými škodami.

– Rétorika rezortu: “sprístupnenie ≠ zverejnenie”, “stav sa nezmenil”, “rovnaká prax existuje v niektorých štátoch EÚ”.

– Konflikt zásad: verejnosť listín vs. GDPR čl. 5 (minimalizácia, integrita, dôvernosť, obmedzenie účelu, primeranosť).

Systémová nekonzistentnosť dozoru

– Dozorné orgány sankcionujú obce/podnikateľov za nezakrývanie podpisov/rodných čísiel v zmluvách.

– Štát v Zbierke listín bez redakcie publikuje plné osobné údaje, čím vytvára dvojitý meter a podkopáva regulačnú autoritu.

Rizikové dopady

– Identity riziko: krádež identity, falšovanie úkonov bez vedomia dotknutých osôb.

– Škody: ekonomické straty štátu a firiem, reputačný úpadok verejnej správy.

– Zvýšená exponovanosť: osoby vo vysokých funkciách a bezpečnostných zložkách majú osobitné rizikové profily; nekontrolovaný prístup zvyšuje hrozby.

Politické a procesné korene

– Legislatívny proces ignoroval bezpečnostné požiadavky a zásady proporcionality.

– Ministerstvo spravodlivosti volí defenzívnu interpretáciu a komparatívne alibi (iné štáty), namiesto nápravy rozsahu a podmienok prístupu.

Ďalší krok (Akčné položky)

@Minister spravodlivosti

–  Predložiť urgentnú novelu vyhlášky/metodiky k Zbierke listín: zaviesť redakciu citlivých údajov (rodné čísla, podpisové vzory, skeny dokladov, telefónne čísla) – [TBD]

–  Dočasne obmedziť verejný prístup k dokumentom obsahujúcim uvedené citlivé prvky, kým nebude implementovaná redakcia – [TBD]

@Úrad na ochranu osobných údajov (dozorný orgán)

–  Začať konanie vo veci súladu sprístupnenia Zbierky listín s GDPR čl. 5 a čl. 32; vydať záväzné opatrenia na minimalizáciu – [TBD]

–  Publikovať usmernenie k povinnej redakcii osobných údajov v verejných registratúrnych dokumentoch – [TBD]

@NCZI / správca portálu Slovensko.sk

–  Implementovať prístupové vrstvy: registrácia, autentifikácia (eID), logovanie prístupov, rate-limiting a geografické obmedzenia pre hromadné sťahovanie – [TBD]

–  Nasadiť automatizovaný redakčný pipeline (OCR + PII detekcia) na odstránenie/zakrytie citlivých údajov pred publikáciou – [TBD]

@Policajný zbor (kriminálna polícia)

–  Zriadiť kontaktný kanál pre poškodených štatutárov; centralizovať podania súvisiace s krádežou identity cez Zbierku listín – [TBD]

–  Vydávať kvartálne prehľady zneužití na informovanie rezortu spravodlivosti a dozorného orgánu – [TBD]

@Odborná verejnosť (my)

–  Pripraviť návrh minimálneho štandardu “Verejnosť listín vs. ochrana súkromi

Čerstvé rozhodnutie v obdobnej veci

Vec: C‑798/24, Jautiva
Súd: Súdny dvor EÚ, prvá komora
Dátum rozsudku: 3. september 2026
Konanie: prejudiciálne konanie podľa článku 267 ZFEÚ
Vnútroštátny súd: Satversmes tiesa, Ústavný súd Lotyšska
Dotknuté predpisy:

• článok 14 písm. d) smernice (EÚ) 2017/1132 o určitých aspektoch práva obchodných spoločností,
• články 5 a 6 GDPR,
• články 7 a 8 Charty základných práv EÚ,
• zásady účelového obmedzenia, minimalizácie údajov, nevyhnutnosti a proporcionality.

Oficiálny text je vedený ako Rozsudok Súdneho dvora vo veci C‑798/24 Jautiva; dostupné znenie je zatiaľ na CURIA označené ako predbežné.

2. Skutkový základ

Konanie iniciovalo 17 menšinových akcionárov lotyšskej akciovej spoločnosti. Napadli lotyšskú zákonnú úpravu, podľa ktorej sa údaje o akcionároch akciových spoločností sprístupňovali verejnosti prostredníctvom registra.

Pri akcionároch, ktorí boli fyzickými osobami, išlo najmä o:

• meno a priezvisko,
• osobné identifikačné číslo alebo dátum narodenia,
• číslo a dátum vydania dokladu totožnosti,
• štát a orgán, ktorý doklad vydal,
• kontaktnú adresu,
• e-mailovú adresu,
• triedu, počet a menovitú hodnotu akcií,
• počet hlasov spojených s akciami.

Údaje boli dostupné online, bez potreby preukázať totožnosť alebo oprávnený záujem, pričom ich bolo možné aj hromadne sťahovať. Navrhovatelia poukazovali na vysoké riziko zneužitia a na to, že po zverejnení už nemožno efektívne kontrolovať ďalšie uchovávanie, kombinovanie a šírenie údajov. 

3. Ciele uvádzané lotyšským zákonodarcom

Lotyšská právna úprava sledovala tri ciele:

1. zabezpečenie transparentného podnikateľského prostredia a ochrana tretích osôb,
2. predchádzanie praniu špinavých peňazí, financovaniu terorizmu a financovaniu šírenia zbraní hromadného ničenia,
3. poskytovanie informácií potrebných na uplatňovanie vnútroštátnych, medzinárodných a európskych sankcií.

Ústavný súd Lotyšska sa pýtal najmä na to, či smernica 2017/1132 prikazuje zverejňovanie údajov o všetkých akcionároch a či GDPR pripúšťa všeobecný, nepodmienený verejný prístup k týmto údajom. 

4. Prvá kľúčová otázka: vyžaduje právo EÚ zverejnenie všetkých akcionárov?

Súdny dvor odpovedal nie.

Článok 14 písm. d) smernice 2017/1132 sa týka osôb, ktoré sa zúčastňujú na správe, dohľade alebo kontrole spoločnosti. Podľa Súdneho dvora tento pojem nemožno vykladať tak, že automaticky zahŕňa každého akcionára akciovej spoločnosti.

Z toho vyplýva:

• samotné vlastníctvo akcií ešte neznamená účasť na správe alebo kontrole spoločnosti,
• smernica neukladá členským štátom povinnosť zverejniť údaje o každom akcionárovi,
• osobitne nemožno takúto povinnosť odvodiť vo vzťahu k menšinovým akcionárom bez reálneho kontrolného alebo riadiaceho postavenia.

Súd tento záver založil na znení, kontexte a účele článku 14 smernice 2017/1132. 

5. Posúdenie podľa GDPR a Charty

Súdny dvor pripomenul, že práva na súkromie a ochranu osobných údajov podľa článkov 7 a 8 Charty nie sú absolútne. Obmedzenie je prípustné, ak:

• je ustanovené zákonom,
• rešpektuje podstatu základných práv,
• sleduje legitímny cieľ,
• je vhodné a nevyhnutné,
• spĺňa zásadu proporcionality,
• obsahuje primerané záruky proti zneužitiu.

V posudzovanej veci bolo zverejňovanie ustanovené zákonom a podľa Súdneho dvora nezasahovalo do samotnej podstaty práv podľa článkov 7 a 8 Charty. Napriek tomu však predstavovalo závažný zásah do súkromia a ochrany osobných údajov. 

Závažnosť zásahu vyplývala najmä z toho, že zverejnené údaje mohli umožniť vytvorenie profilu fyzickej osoby, vrátane odhadu jej majetkových pomerov, investičných preferencií, hospodárskych odvetví, v ktorých investuje, a konkrétnych spoločností, s ktorými je spojená. Prístup mala potenciálne neobmedzená skupina osôb, vrátane osôb sledujúcich ciele, ktoré nijako nesúviseli s deklarovanými verejnými záujmami. 

6. Posúdenie jednotlivých cieľov

Transparentné podnikateľské prostredie

Súdny dvor uviedol, že zverejňovanie údajov o všetkých akcionároch, najmä o menšinových akcionároch, zrejme neprináša nijaký užitočný prínos pre ochranu tretích osôb a transparentnosť podnikania.

Úprava preto podľa súdu nepôsobila ako vhodný ani nevyhnutný prostriedok na dosiahnutie tohto cieľa. Iná situácia môže byť pri osobách, ktoré spoločnosť skutočne riadia, zastupujú alebo kontrolujú, prípadne pri konečných užívateľoch výhod podľa osobitnej AML úpravy. 

AML/CFT

Prevencia prania špinavých peňazí a financovania terorizmu je legitímnym cieľom všeobecného záujmu uznaným právom EÚ. To však samo osebe neoprávňuje členský štát na vytvorenie registra, ktorý bez rozlišovania sprístupní údaje všetkých akcionárov komukoľvek.

Súd poukázal na existenciu menej invazívnych prostriedkov, predovšetkým obmedzenie prístupu na osoby, ktoré preukážu oprávnený záujem. Neobmedzený prístup každého používateľa nebol vo vzťahu k menšinovým akcionárom preukázaný ako striktne nevyhnutný. 

Sankcie

Ani potreba uplatňovania sankcií nemôže automaticky odôvodniť zverejnenie údajov všetkých akcionárov. Súd poukázal na možnosť užšieho riešenia, napríklad obmedzenia zverejnenia na osoby zaradené do sankčných zoznamov alebo na osoby relevantné pre vyšetrovanie obchádzania sankcií.

Plošné zverejnenie údajov všetkých menšinových akcionárov preto nebolo primerané deklarovanému cieľu. 

7. Nedostatočné záruky

Významným problémom bola absencia účinných technických a organizačných záruk:

• nebolo potrebné preukázať oprávnený záujem,
• používateľ sa nemusel identifikovať,
• údaje bolo možné vyhľadávať online,
• bolo možné ich hromadne sťahovať,
• neexistovala účinná kontrola ich následného použitia,
• údaje mohli byť ďalej uchovávané, kombinované a šírené.

Súd osobitne uviedol, že možnosť hromadného sťahovania údajov, a to aj neidentifikovanými používateľmi, zvyšuje riziko zneužitia a prehlbuje zásah do práv dotknutých osôb. 

8. Výsledný právny záver

Jadro rozsudku možno zhrnúť nasledovne:

Právo EÚ nevyžaduje, aby členské štáty zverejňovali údaje o všetkých akcionároch akciových spoločností vrátane menšinových akcionárov.

Súčasne GDPR v spojení s článkami 7 a 8 Charty bráni takej vnútroštátnej úprave, ktorá sprístupňuje osobné údaje všetkých akcionárov online neobmedzenému okruhu osôb bez akejkoľvek podmienky, napríklad bez preukázania oprávneného záujmu, ak takéto plošné sprístupnenie nie je nevyhnutné a primerané sledovaným cieľom. 

9. Vzťah k rozsudku Luxembourg Business Registers

Rozhodnutie priamo tematicky nadväzuje na rozsudok z 22. novembra 2022 v spojených veciach C‑37/20 a C‑601/20, Luxembourg Business Registers, ktorý sa týkal neobmedzeného verejného prístupu k údajom o konečných užívateľoch výhod.

Spoločná línia judikatúry je zreteľná:

• legitímny verejný cieľ nestačí sám osebe,
• musí byť preukázaná nevyhnutnosť konkrétneho rozsahu zverejnenia,
• treba rozlišovať medzi verejnosťou, orgánmi verejnej moci, povinnými osobami a subjektmi s oprávneným záujmom,
• anonymný a neobmedzený internetový prístup je osobitne intenzívny zásah,
• možnosť hromadného sťahovania zásah ešte zvyšuje,
• právna úprava musí obsahovať ochranné mechanizmy proti zneužitiu.

Samotná tlačová správa výslovne uvádza, že navrhovatelia sa na rozsudok Luxembourg Business Registers odvolávali. 

10. Praktický význam pre GDPR a verejné registre

Rozsudok je významný aj mimo registrov akcionárov. Pri zákonnom zverejňovaní osobných údajov bude potrebné samostatne posudzovať:

1. Presný účel zverejnenia
   Nestačí všeobecne uviesť transparentnosť, AML alebo verejný záujem.
2. Rozsah osôb
   Treba rozlišovať medzi ovládajúcou osobou, konečným užívateľom výhod, členom štatutárneho orgánu, väčšinovým akcionárom a pasívnym menšinovým investorom.
3. Rozsah údajov
   Identifikačné číslo, dátum narodenia, údaje o doklade, kontaktná adresa či e-mail vyžadujú osobitné zdôvodnenie.
4. Okruh príjemcov
   Prístup orgánu verejnej moci alebo povinnej osoby nemožno automaticky stotožniť s prístupom celej verejnosti.
5. Režim prístupu
   Relevantné je, či je prístup anonymný, podmienený registráciou, preukázaním oprávneného záujmu alebo individuálnym schválením.
6. Technický spôsob sprístupnenia
   Hromadné sťahovanie, API prístup, indexovanie vyhľadávačmi a ďalšie automatizované získavanie údajov zvyšujú intenzitu zásahu.
7. Záruky
   Význam môže mať evidencia prístupov, zákaz ďalšieho použitia, obmedzenie vyhľadávania, ochrana rizikových osôb a účinný mechanizmus námietok.

11. Predbežný význam pre slovenské právo

Rozsudok neznamená, že každý verejný register alebo každé zákonné zverejnenie údajov je automaticky nezákonné. Znamená však, že slovenský zákonodarca ani prevádzkovateľ verejného registra sa nemôže uspokojiť s tvrdením, že zverejnenie je „vo verejnom záujme“.

Pri slovenskej úprave by bolo potrebné preveriť najmä:

• či právo EÚ zverejnenie výslovne vyžaduje alebo ho iba umožňuje,
• či sú verejnosti sprístupnené len údaje nevyhnutné na konkrétny účel,
• či je dôvod sprístupniť údaje každému alebo iba určitým kategóriám používateľov,
• či možno dosiahnuť cieľ miernejším opatrením,
• či sa rozlišuje medzi osobami s reálnym vplyvom a pasívnymi menšinovými vlastníkmi,
• či technické nastavenie registra neumožňuje neprimerané profilovanie alebo hromadné získavanie údajov.

Rozsudok môže byť argumentačne významný aj pri posudzovaní zverejňovania údajov o spoločníkoch, akcionároch, darcoch, prijímateľoch verejných prostriedkov alebo osobách spojených s dotáciami. Výsledok však musí vždy vychádzať z konkrétnej zákonnej úpravy, účelu, rozsahu údajov a režimu prístupu. Rozhodnutie nemožno mechanicky preniesť na každý prípad publikovania vo verejnom záujme.

Záver

C‑798/24 posilňuje zásadu, že zákonné zverejňovanie osobných údajov musí byť nielen formálne založené na zákone, ale aj materiálne nevyhnutné, primerané a sprevádzané dostatočnými zárukami. Najdôležitejším odkazom je odmietnutie modelu, v ktorom sa osobné a majetkové údaje všetkých menšinových akcionárov sprístupnia anonymne, online a na hromadné stiahnutie bez preukázania oprávneného záujmu