Nový obchodný register (ORSR) mal priniesť jednoduchší prístup k informáciám o slovenských firmách. Namiesto toho sa objavili vážne otázky o ochrane osobných údajov. Verejne dostupné dokumenty obsahovali aj rodné čísla, čísla dokladov či podpisové vzory fyzických osôb. Problém môže mať nielen technický, ale aj právny rozmer.

Nová podoba elektronického Obchodného registra Slovenskej republiky vyvolala v posledných dňoch vážne otázky týkajúce sa ochrany osobných údajov. Médiá upozornili, že cez verejne dostupný portál bolo možné dostať sa k dokumentom zo zbierky listín, ktoré obsahovali údaje fyzických osôb v rozsahu, ktorý môže predstavovať významné riziko pre ich súkromie a bezpečnosť.

Podľa zistení médií sa v dokumentoch nachádzali okrem mien a ďalších firemných údajov aj rodné čísla, čísla občianskych preukazov, adresy a vlastnoručné podpisy či podpisové vzory konateľov a ďalších osôb. K takýmto informáciám sa bolo možné dostať cez novú službu obchodného registra a podnikatelia situáciu označili za vážne zlyhanie štátu.

Čo sa vlastne stalo?

Obchodný register a jeho zbierka listín majú legitímny verejný účel – nachádzajú sa tam informácie o tom kto spoločnosť zastupuje, kto je jej štatutárnym orgánom a aké zákonom stanovené údaje sú o firme zapísané.

To však automaticky neznamená, že všetko, čo sa niekedy nachádzalo v dokumentoch uložených v zbierke listín, môže byť bez obmedzenia zverejnené na internete v podobe umožňujúcej jednoduché hromadné vyhľadávanie a získavanie osobných údajov.

Práve tu vzniká podstatný problém.

Podľa aktuálnej právnej úpravy je obchodný register verejným zoznamom a jeho súčasťou je aj zbierka zákonom ustanovených listín. Zároveň však osobné údaje obsiahnuté v týchto dokumentoch podliehajú pravidlám ochrany osobných údajov.

Nový systém tak otvoril otázku, či spôsob technického sprístupnenia dokumentov zodpovedal rozsahu verejnosti, ktorý zákon predpokladá, a najmä či boli zo zverejnených dokumentov odstránené alebo zneprístupnené údaje, ktoré verejne dostupné byť nemajú.

Rodné číslo nie je obyčajný údaj

Rodné číslo je na Slovensku všeobecne použiteľným identifikátorom fyzickej osoby. Práve preto má jeho ochrana osobitný význam.

Slovenský zákon č. 18/2018 Z. z. o ochrane osobných údajov výslovne stanovuje, že všeobecne použiteľný identifikátor možno používať iba vtedy, ak je jeho využitie nevyhnutné na dosiahnutie konkrétneho účelu. Zákon zároveň hovorí, že zverejňovať všeobecne použiteľný identifikátor sa zakazuje, s výnimkou prípadu, keď ho zverejní samotná gdpr/" class="sil-link sil-has-tooltip" data-sil-tooltip="<strong>Kto je Dotknutá osoba?</strong><br>Dotknutá osoba je jednotlivec, ktorého osobné údaje sú spracúvané podľa GDPR. Tento pojem je kľúčový pre ochranu súkromia, pretože definuje práva a povinnosti v oblasti správy osobných údajov. Znalosť svojich práv pomáha chrániť vaše osobné informácie. <a href="https://www.osobnyudaj.sk/faq/kto-moze-byt-povazovany-za-dotknutu-osobu-podla-gdpr/" class="sil-tip-link">Čítať viac →</a>">dotknutá osoba.

Preto je pri rodných číslach situácia pomerne jasná: ak ich štátna inštitúcia sprístupnila na internete spôsobom, ktorý predstavuje verejné zverejnenie, ide o veľmi vážny právny problém.

A čo podpisové vzory?

Podpisový vzor môže na prvý pohľad pôsobiť menej nebezpečne ako rodné číslo. V skutočnosti však môže ísť o veľmi citlivý údaj z hľadiska bezpečnosti.

Podpis je prejavom identity človeka a v podnikateľskom prostredí môže byť spojený s právnymi úkonmi, zmluvami či zastupovaním spoločnosti.

To neznamená, že samotné zverejnenie podpisu automaticky umožňuje niekomu platne podpísať zmluvu za inú osobu. Predstavuje však ďalší prvok, ktorý môže byť zneužitý pri podvodoch, falšovaní dokumentov, sociálnom inžinierstve alebo pri pokusoch vydávať sa za konkrétnu osobu.

Ak je navyše podpis spojený s menom, adresou, dátumom narodenia, rodným číslom alebo číslom dokladu, riziko sa násobí.

Nejde iba o GDPR. Problémom je aj bezpečnosť

Pri takomto incidente sa nemožno pozerať iba na otázku, či konkrétny údaj smie byť verejný.

Dôležité je aj to, ako bol systém navrhnutý.

Ak je databáza alebo dokumentová služba nastavená tak, že používateľ dokáže bez primeraného overenia získať dokumenty obsahujúce rozsiahle množstvo osobných údajov, môže vzniknúť problém aj z pohľadu bezpečnosti spracúvania.

GDPR pritom nevyžaduje iba to, aby organizácia mala právny základ na spracúvanie údajov. Prevádzkovateľ musí zároveň prijať primerané technické a organizačné opatrenia, aby zabránil neoprávnenému alebo nezákonnému spracúvaniu.

To je pri štátnom informačnom systéme mimoriadne dôležité.

Čo môže hroziť dotknutým ľuďom?

Najväčším rizikom je kombinácia viacerých údajov.

Samostatné meno nemusí predstavovať zásadný problém. Samostatný podpis tiež nemusí byť okamžite zneužiteľný. Ak sa však na jednom mieste nachádza meno, adresa, dátum narodenia, rodné číslo, číslo dokladu a podpis, vzniká veľmi hodnotný balík údajov pre podvodníkov.

Potenciálne riziká zahŕňajú najmä:

• Krádež identity. Útočník môže disponovať dostatočným množstvom informácií na presvedčivé vydávanie sa za konkrétneho človeka.
• Sociálne inžinierstvo. Čím viac informácií o osobe útočník pozná, tým presvedčivejšie môže pôsobiť pri telefonátoch, e-mailoch alebo komunikácii s bankou či inou inštitúciou.
• Falšovanie dokumentov. Verejne dostupný podpisový vzor môže byť zneužitý pri pokusoch o falšovanie listín.
• Podvodné registrácie alebo finančné podvody. Kombinácia osobných identifikátorov môže zvýšiť riziko neoprávnených pokusov o získanie finančných služieb alebo uzatvorenie zmlúv.
• Cielené útoky na podnikateľov. Pri konateľoch a majiteľoch firiem môže byť únik osobných údajov využiteľný aj pri podvodných faktúrach, falošných objednávkach či vydávaní sa za štatutára spoločnosti.

Verejný register neznamená verejné všetko

Celý prípad ukazuje širší problém digitalizácie štátu.

Je správne, aby občania mohli jednoducho kontrolovať firmy, ich štatutárov a ďalšie údaje, ktoré majú byť podľa zákona verejné. Verejnosť registra je dôležitá pre právnu istotu aj transparentnosť podnikateľského prostredia.

Verejnosť však musí mať svoje hranice.

Ak dokument obsahuje údaj, ktorý zákon zakazuje zverejňovať, štát nemôže argumentovať iba tým, že dokument bol kedysi uložený v zbierke listín. Digitalizácia totiž nemení právny charakter osobného údaja.

Naopak, internet môže riziko dramaticky znásobiť. Údaj, ku ktorému sa kedysi človek dostal komplikovane alebo fyzickou návštevou registra, môže byť po nesprávnom nastavení systému dostupný prakticky komukoľvek v priebehu niekoľkých sekúnd.

Čo by mal štát urobiť teraz?

Prvým krokom by malo byť okamžité preverenie rozsahu zverejnených údajov a odstránenie alebo zneprístupnenie údajov, ktoré nemajú byť verejne dostupné.

Nasledovať by mal bezpečnostný audit systému, preverenie logov a zistenie, ako dlho boli dokumenty dostupné a v akom rozsahu sa k nim pristupovalo.

Rovnako dôležité je posúdenie, či incident predstavuje porušenie ochrany osobných údajov podľa GDPR a či vznikla povinnosť oznámiť ho dozornému orgánu, prípadne dotknutým osobám.

A napokon by mala nasledovať odpoveď na jednoduchú otázku:

Ako sa mohlo stať, že štátny systém určený na poskytovanie verejných údajov začal poskytovať aj údaje, ktoré verejné byť nemajú?

Práve odpoveď na túto otázku bude dôležitejšia než samotné odstránenie konkrétnych dokumentov.

Záver

Prípad nového Obchodného registra je varovaním, že ochrana osobných údajov sa nekončí pri tom, že štát vytvorí elektronickú službu a sprístupní databázu verejnosti.

Rodné číslo, číslo dokladu či podpisový vzor nie sú údaje, ktoré možno bez ďalšieho vystaviť na internete len preto, že sa nachádzajú v dokumente súvisiacom s podnikaním.

Slovenský zákon o ochrane osobných údajov pritom pri všeobecne použiteľných identifikátoroch stanovuje osobitné pravidlo: ich zverejňovanie je zakázané, s výnimkou zákonom stanovenej situácie. Úrad na ochranu osobných údajov tento zákaz výslovne vzťahuje aj na rodné čísla zverejnené na webových sídlach.

Ochrana osobných údajov totiž nie je prekážkou digitalizácie štátu. Je jednou z podmienok, aby bola digitalizácia bezpečná.