Čierny obdĺžnik nestačí: obec dostala pokutu za nedôslednú anonymizáciu zmluvy v Centrálnom registri zmlúv

Úvod

Obce, mestá a ďalšie povinné osoby denne zverejňujú zmluvy v Centrálnom registri zmlúv. Zákon o slobode informácií im to ukladá, no zároveň musia chrániť osobné údaje zmluvných strán. V praxi sa často „anonymizuje” tak, že sa citlivý údaj v PDF prekryje čiernym obdĺžnikom. Úrad na ochranu osobných údajov SR v nedávnom rozhodnutí ukázal, prečo to nestačí. Ak text pod obdĺžnikom zostane v dokumente a dá sa skopírovať, údaj zverejnený je. Za takéto pochybenie, spolu s nezačiernenými údajmi v inej časti zmluvy, uložil úrad malej obci pokutu a nápravné opatrenia.

Skutkový stav

V máji 2025 dostal úrad e-mailové podanie, podľa ktorého obec Stročín (okres Svidník, 576 obyvateľov) zverejňuje v Centrálnom registri zmlúv zmluvy s osobnými údajmi fyzických osôb. Úrad podanie preveril a zdokumentoval stav printscreenmi. Následne začal konanie z vlastnej iniciatívy.

Predmetom konania bola zmluva o zriadení vecného bremena uzavretá s fyzickou osobou. Úrad zistil dve rôzne pochybenia:

1. Rodné priezvisko a štátna príslušnosť dotknutej osoby neboli v zmluve vôbec anonymizované a boli voľne čitateľné.

2. Dátum narodenia a rodné číslo boli síce vizuálne prekryté, no text pod prekrytím zostal v dokumente. Po skopírovaní obsahu PDF do Wordu sa stali čitateľnými.

Obec v konaní uviedla, že ide o zlyhanie ľudského faktora. Podľa jej vyjadrenia bol text, ktorý obsahoval rodné číslo a dátum narodenia, len prekrytý, no nie vymazaný. Obec ďalej uviedla, že zamestnancov opätovne preškolila, skontrolovala už zverejnené zmluvy a požiadala o opravu v registri. Predložila aj internú smernicu o povinnom zverejňovaní zmlúv. K podkladom rozhodnutia sa však pred jeho vydaním nevyjadrila.

Odôvodnenie úradu

Úrad konštatoval dve porušenia.

Zverejnenie bez právneho základu (čl. 6 ods. 1 GDPR a § 78 ods. 4 zákona č. 18/2018 Z. z.)

Zákon o slobode informácií pri zmluvách vyžadujúcich vklad do katastra pripúšťa zverejniť len určitý okruh údajov fyzickej osoby: titul, meno, priezvisko, adresu trvalého pobytu a označenie nehnuteľnosti (§ 5a ods. 13 zákona č. 211/2000 Z. z.). Ostatné osobné údaje, ako rodné priezvisko či štátna príslušnosť, sa zverejniť nesmú. Úrad zároveň zdôraznil, že zverejňovať rodné číslo zákon zakazuje bez výnimky, okrem prípadu, keď ho zverejní sama dotknutá osoba. Rodné číslo je jedným z najpresnejších identifikátorov fyzickej osoby a jeho zverejnenie ju robí zraniteľnou.

Nedostatočné technické opatrenia (čl. 32 ods. 1 GDPR)

Prekrytie textu, ktoré sa dá odstrániť bežnou operáciou, ako je kopírovanie, nie je primeraným technickým opatrením na zabezpečenie trvalej dôvernosti údajov. Úrad v tejto súvislosti poukázal na štandardy ISO/IEC 29100:2011 a ISO/IEC 20889:2018 a na stanovisko pracovnej skupiny WP29 č. 5/2014 k technikám anonymizácie. Obec predložila internú smernicu a odvolávala sa na zlyhanie ľudského faktora. Úrad však zdôraznil, že prevádzkovateľ zodpovedá za dodržanie povinností a rozhodujúce je porovnanie zisteného stavu so stavom, ktorý vyžaduje zákon.

Sankcia

Úrad obci uložil tri nápravné opatrenia:

1. prijať primerané technické opatrenia na anonymizáciu zmlúv zasielaných do registra a preškoliť zodpovednú osobu,

2. zabezpečiť, aby uvedené údaje v zverejnených zmluvách neboli a nestali sa čitateľnými,

3. do 30 dní od právoplatnosti informovať úrad o splnení opatrení.

Okrem toho uložil úhrnnú pokutu 300 eur. Pri jej určení uplatnil absorpčnú zásadu a za závažnejšie porušenie považoval zverejnenie rodného čísla, ktoré posúdil podľa čl. 83 ods. 5 písm. d) GDPR.

Ako poľahčujúce okolnosti zohľadnil nedbanlivostný charakter porušenia, minimálne jednu dotknutú osobu, absenciu prospechu obce, absenciu zistených nepriaznivých následkov a skutočnosť, že úrad voči obci doposiaľ porušenie nariadenia nekonštatoval. Prihliadol aj na to, že ide o malú obec a pokuta nesmie mať likvidačný charakter.

Zároveň zdôraznil, že sama existencia nedostatku môže byť dôvodom pokuty a sankcia musí plniť represívnu aj preventívnu funkciu.

Praktický význam

Rozhodnutie je dôležitým varovaním pre všetky povinné osoby, nielen pre obce. Ukazuje, že konanie môže začať na základe obyčajného e-mailu od kohokoľvek a úradu stačí zdokumentovať stav v registri. Výška pokuty bola v tomto prípade symbolická, pri väčšom subjekte, viacerých dotknutých osobách alebo opakovanom porušení však môže byť výrazne vyššia. Pri zverejňovaní zmlúv odporúčame:

1. Anonymizujte nástrojom, ktorý text z dokumentu skutočne odstráni (funkcia „redigovať” v PDF editoroch), nie len graficky prekryje. Alternatívou je anonymizovať zdrojový dokument ešte pred konverziou do PDF.

2. Pred odoslaním do registra urobte jednoduchý test: označte celý text v PDF, skopírujte ho do textového editora a skontrolujte, či sa neobjavili skryté údaje.

3. Pri zmluvách s fyzickými osobami zverejnite len údaje, ktoré zákon výslovne pripúšťa. Rodné číslo nezverejňujte nikdy.

4. Interná smernica nestačí. Zamestnanci musia vedieť anonymizáciu technicky vykonať a prax treba priebežne kontrolovať.

5. Preverte už zverejnené zmluvy a v prípade pochybení požiadajte o opravu v Centrálnom registri zmlúv.

Záver

Úrad na ochranu osobných údajov SR potvrdil, že anonymizácia, ktorú možno zvrátiť skopírovaním textu, nie je anonymizáciou. Povinná osoba zodpovedá za to, čo v registri skutočne zverejní, nie za to, čo chcela skryť. Argument ľudským faktorom ju zodpovednosti nezbavuje.

Číslo rozhodnutia: 2025/2312/16666/OSK

Forma rozhodnutia: Rozhodnutie (právoplatné 17. 11. 2025)

Orgán: Úrad na ochranu osobných údajov Slovenskej republiky

Dátum rozhodnutia: 30.10.2025

Nenechajte si ujsť ďalšie zaujímavosti z rozhodovacej praxe Úradu a sledujte nás!