Shrnutí

Stav k 20. srpnu 2026. Kauza se vyvíjí, text budeme doplňovat.

Sedmnáctého srpna 2026 nabyl na Slovensku účinnosti zákon č. 29/2026 Z. z. o obchodním rejstříku. O dva dny později bylo jasné, že si kdokoli na světě dokáže bez přihlášení, bez elektronického občanského průkazu a bez zaplacení jediného centu stáhnout rodné číslo, adresu trvalého pobytu, číslo občanského průkazu a ověřený podpisový vzor libovolného slovenského jednatele nebo společníka.

Média to popsala jako trapas, chybu implementace, selhání státního IT. Není to nic z toho. Je to přesně to, co v nesmyslném, soukromí ohrožujícím zákoně stojí napsáno — a dopadá to na každého podnikatele, jednatele a společníka v zemi. Níže ukážeme paragraf, který to nařizuje.

Že to má oporu v zákoně, není obhajoba — je to přitěžující okolnost. Ten zákon je věcně vadný a jeho přijetí bylo velmi špatné rozhodnutí. Chrání rodné číslo v jednom odstavci a o dva dál přikazuje zveřejnit dokument, který ho obsahuje. Chybu v kódu opravíte patchem; tohle někdo vědomě napsal do paragrafu a parlament to odhlasoval. Zveřejněné údaje se dají triviálně zneužít, zneužití se nedá vystopovat a způsobenou škodu už nikdo nevezme zpět — rodné číslo je doživotní. Rozebíráme to v kapitole 4 bod po bodu.

Za jedenáct let jsme na tomto blogu popsali, jak soukromí občanů ohrožuje tajná služba, jak ho ohrožuje KYC a jak jsme dokázali stáhnout covidový certifikát libovolného Slováka jen proto, že jsme znali jeho rodné číslo — tedy přesně ten údaj, který stát právě plošně zveřejnil.

A přidáváme k tomu nové zjištění: Ministerstvo financí nám 18. srpna 2026 písemně potvrdilo, že u zákona o e-faktuře nikdy neprovedlo posouzení vlivu na ochranu osobních údajů, nekonzultovalo Úřad pro ochranu osobních údajů a neudělalo test proporcionality. Systém, kterým bude od roku 2027 protékat každá faktura každé slovenské firmy, tedy z hlediska soukromí neposoudil nikdo — kromě tajné služby, která si pro sebe vyjednala výjimku.

Jsme přesvědčeni, že největší hrozbou pro soukromí občanů je dnes samotný stát. Ne hackeři, ne korporace, ne cizí zpravodajské služby — stát, který soukromí reguluje, vyjímá se z vlastních pravidel a za jejich porušení nenese žádné důsledky. Následuje jedenáct let důkazů.

Poznámka pro české čtenáře: článek popisuje slovenské zákony a slovenské instituce. Většina popsaných regulací ale pochází z EU a platí i v Česku — a obchodní rejstřík je přesně ten typ řešení, které se mezi zeměmi kopíruje.

Obsah

1. 2015: tajná služba
2. 2019: KYC jako honeypot
3. 2021: rodné číslo jako univerzální klíč
4. 2026: stát zveřejnil rodná čísla sám. Všem.
5. Nový důkaz: stát si to riziko ani jednou nespočítal
6. A to je jen jedna cihla: regulační perimetr 2025–2029
7. Tohle jsme popisovali už v roce 2019
8. Paradox: autor GDPR je největší narušitel soukromí
9. Co s tím: nespoléhejte se na stát — včetně konkrétních kroků pro jednatele

1. 2015: tajná služba

V červenci 2015 jsme publikovali článek s nadpisem „Máte strach o své soukromí? Bojte se SIS.“ Vznikl poté, co se z vyhackovaných serverů italské společnosti Hacking Team vysypala e-mailová komunikace se slovenskou tajnou službou o nákupu špehovacího softwaru.

Fakta z toho článku stojí za připomenutí:

• SIS opakovaně předložila návrh na odposlech jakékoli šifrované komunikace všech občanů. Stáhla ho až po občanském odporu a rozporovém řízení.
• 15. září 2014 WikiLeaks zveřejnily, že Slovensko nakoupilo 39 licencí softwaru FinFisher za více než 5 milionů eur. FinFisher je nástroj postavený na 0-day zranitelnostech, který používají diktatury ke sledování disidentů. Úřad vlády to odbyl větou, že WikiLeaks mají „kvalitu na úrovni jedna paní povídala“.
• Z uniklých e-mailů vyplynulo, že zprostředkovatelé SIS pozvali do Bratislavy zástupce Hacking Teamu i Gammy. Tajná služba tedy špehovací řešení reálně vybírala — porovnávala nabídky dvou firem, které obě dodávaly diktátorským režimům.
• SIS má u všech mobilních operátorů přímý přístup ke komunikaci. Soudní příkaz sice potřebuje, ale v praxi ho téměř vždy dostane.

Poučení z roku 2015: stát si pořizuje útočné schopnosti proti vlastním občanům, popírá to, a když mu to někdo dokáže, zpochybní zdroj.

2. 2019: KYC jako honeypot

O čtyři roky později jsme psali o jiné vrstvě téhož problému — o regulaci KYC/AML (anglicky), která nutí miliony lidí odevzdat fotku pasu, doklad o adrese a selfie s dokladem soukromým firmám s velmi různou úrovní zabezpečení.

V tom článku jsme popsali konkrétní nabídku z darknetového tržiště Dread. Prodejce s přezdívkou ExploitDOT prodával KYC dokumenty uživatelů velkých kryptoburz. Náš kolega ho oslovil a dostal ceník: 15 USD za dokument, 45 USD za kompletní identitu (pas nebo občanský průkaz, doklad o adrese, selfie s dokladem), minimální odběr 100 identit za 4 500 USD. Prodejce byl ochoten použít escrow.

Závěr byl jednoduchý a platí dodnes: pokud jste někdy prošli KYC procesem burzy, která byla vyhackovaná, vaše soukromí je kompromitované. Nedá se to vzít zpět. Doklad totožnosti se nedá „změnit jako heslo“.

KYC přitom nefunguje ani na to, na co se tváří. Recenzovaná analýza Ronalda Pola „Anti-money laundering: The world’s least effective policy experiment?“ (Policy Design and Practice, 2020) vyčíslila, že režim boje proti praní špinavých peněz ovlivní méně než 0,1 % kriminálních financí, přičemž náklady na compliance převyšují zajištěné kriminální prostředky více než stonásobně. Cena je jistá, přínos je statistická chyba.

3. 2021: rodné číslo jako univerzální klíč

V srpnu 2021 jsme zveřejnili analýzu, ve které jsme kompletně rozebrali evropské covidové očkovací certifikáty (anglicky). Tuhle část si zapamatujte při čtení zbytku článku.

Řetězec byl následující:

1. Aplikace eHranica umožňovala komukoli, kdo znal rodné číslo očkované osoby, nastavit této osobě nový kontaktní e-mail a telefonní číslo.
2. Na tyto nové kontakty si pak útočník nechal poslat evropský očkovací certifikát dané osoby.
3. Rodné číslo nebylo třeba nikde ukrást. Slovenské rodné číslo má tvar RRMMDD/XXXX a musí být dělitelné jedenácti, což při známém datu narození nechává řádově 910 platných kandidátů. Vygenerovali jsme je skriptem — dohromady asi 30 milionů — a ověřili přes veřejný portál portaludzs.sk, jehož službu pro ověření pojistného vztahu chránila obejitelná CAPTCHA.
4. Data narození politiků jsou na Wikipedii. Data narození běžných lidí jsou na sociálních sítích. A data narození všech vlastníků nemovitostí na Slovensku jsou v katastru.

Rodné číslo tedy fungovalo jako univerzální autentizační klíč ke zdravotním údajům občana. Ne jako identifikátor — jako heslo. Zranitelnost jsme nahlásili národnímu CSIRT 30. července 2021 v 18:23, potvrzení přišlo 2. srpna a oprava 9. srpna. Kompletní technická zpráva je veřejná.

Odměnou za to bylo trestní oznámení od Národního centra zdravotnických informací a série prohlášení, která jsme museli bod po bodu vyvracet. Nebylo to poprvé — o rok dřív jsme našli únik databáze pacientů testovaných na covid v aplikaci Moje eZdravie.

Zapamatujme si tedy větu, kterou stát v roce 2021 znal, protože jsme mu ji napsali černé na bílém: kdo zná rodné číslo občana, dostane se k jeho citlivým údajům.

A teď to nejdůležitější. Všechno dosud byla předehra — jednotlivé systémy, jednotlivá selhání, jednotlivé roky. To, co se stalo v srpnu 2026, patří do jiné kategorie. Stát nemusel nikdo vyhackovat, nic nikde neuniklo, žádný útočník se nenamáhal. Zveřejnil ta data sám, dobrovolně a na základě zákona, který si na to sám napsal.

4. 2026: stát zveřejnil rodná čísla sám. Všem.

4.1 Co se stalo

Od 17. srpna 2026 běží nový obchodní rejstřík podle zákona č. 29/2026 Z. z. Portál Živé.sk jako první upozornil, že přes veřejně dostupné dokumenty sbírky listin se dá dostat k rodným číslům, úplným adresám trvalého pobytu, vlastnoručním podpisům, podpisovým vzorům a číslům občanských průkazů fyzických osob.

Bez elektronického občanského průkazu. Bez prokázání právního zájmu. Bez poplatku. Bez jakéhokoli záznamu o tom, kdo si co stáhl. Jedinou překážkou je čtyřmístný ověřovací kód, který stačí přepsat. Takový kód dnes přečte kterákoli současná AI okamžitě a prakticky bezchybně — rozpoznat čtyři znaky z obrázku je úloha, ve které stroje překonaly člověka před lety a kterou dnes zvládne i běžně dostupný multimodální model za zlomek centu. Je to tedy ochrana, která zastavuje lidi, ne automaty. Člověku, který si chce prohlédnout pár listin, překáží. Skriptu, který je chce stáhnout všechny, ne.

K tomu, aby tyto údaje unikly, nebyl potřeba útočník, zranitelnost ani jediný řádek exploitu — stačila novela. Dosud platilo, že o část listin bylo třeba požádat a po ověření totožnosti přišly do elektronické schránky. Teď jsou venku. Pro všechny najednou.

4.2 Není to chyba portálu. Je to chyba zákona.

Tohle je jádro celé věci a v mediálním pokrytí jsme to zatím nikde neviděli. Otevřeme si zákon.

§ 6 odst. 1 — formální publicita:

„Zapsané údaje a dokumenty uložené ve sbírce dokumentů se zpřístupňují každému bez potřeby prokázání právního zájmu. Zapsané údaje a dokumenty uložené ve sbírce dokumentů jsou zveřejněny na webovém sídle specializovaného portálu (…) bezplatně.“

§ 100 odst. 2 — co se nezveřejňuje:

„Podle odstavce 1 se nezveřejňuje a) rodné číslo, b) bydliště, c) jiný identifikátor zahraniční fyzické osoby (…), d) údaje o skutečném majiteli, e) údaje o zajištění majetkové účasti.“

§ 107 odst. 1 — výjimky ze zpřístupňování:

„Vydává-li rejstříkový soud dokumenty podle § 105 odst. 1 písm. a) a b), rodné číslo (…) se nezpřístupňuje.“

Zákonodárce tedy rodné číslo a bydliště chránil. Dvakrát, na dvou místech, výslovně. A pak napsal třetí ustanovení:

§ 100 odst. 3:

„Dokument se po uložení do sbírky dokumentů neprodleně zveřejní způsobem podle § 6 odst. 1 (…) Dokument podle první věty se zveřejní i tehdy, obsahuje-li jinak nezveřejňované údaje; práva podle zvláštního předpisu nejsou dotčena.“

Přečtěte si tu větu ještě jednou. Dokument se zveřejní i tehdy, obsahuje-li jinak nezveřejňované údaje.

Ochrana rodného čísla podle § 100 odst. 2 a § 107 odst. 1 platí na výpis. Na dokument ve sbírce listin je výslovně zrušena. A protože § 34 odst. 1 písm. g) ukládá do sbírky mimo jiné podpisový vzor jednatele vlastnoručně podepsaný před notářem, stát nezveřejňuje jen rodné číslo — zveřejňuje i ověřený vzor podpisu téže osoby.

Tohle není bug. Tohle není špatně nakonfigurovaný portál. Tohle je vědomě napsaná výjimka z vlastní ochranné klauzule, která prošla celým legislativním procesem, meziresortním připomínkovým řízením, vládou i parlamentem. Poslanci schválili text, který na jedné straně říká „rodné číslo se nezveřejňuje“ a o odstavec níž „a zveřejní se i tehdy, když se nezveřejňuje“.

Rozdíl mezi chybou a záměrem je přitom podstatný. Chybu opravíte patchem. Tohle se dá opravit jedině novelou zákona.

Proč Úřad pro ochranu osobních údajů říká opak — a proč mají pravdu oba

Tady je třeba být přesný, protože dozorový orgán tvrdí něco jiného než my. Úřad říká, že zákon zveřejňování rodných čísel neumožňuje a listiny měly být anonymizovány. My říkáme, že zákon ho v jednom ustanovení výslovně přikazuje. Vypadá to jako spor. Není.

Obě tvrzení jsou správná, jen mluví o dvou různých věcech:

• § 100 odst. 2 mluví o zapsaných údajích — o samotném záznamu v rejstříku. Tam rodné číslo skutečně být nesmí a úřad má pravdu.
• § 100 odst. 3 mluví o dokumentech uložených ve sbírce. Tam se zveřejní všechno, „i tehdy, obsahuje-li jinak nezveřejňované údaje“ — a pravdu má ministerstvo, když tvrdí, že zveřejňuje na základě zákona.

Výsledkem je, že tentýž údaj zákon na jednom místě chrání a na druhém nařizuje zveřejnit. Není to spor o výklad — je to rozpor přímo v textu. A právě to je ta vada: norma, u které dva státní orgány dojdou k opačnému závěru o tomtéž rodném čísle, není přísná ani odvážná. Je špatně napsaná.

Proto se ministr i dozorový orgán mohou dovolávat téhož zákona — a proto z toho nikdo nevyvodí odpovědnost. Zákon si tu odpovědnost rozpustil sám v sobě. Rozpor v textu není detail pro právníky; je to důvod, proč data odtekla a proč za to zatím nikdo nemůže.

A hned dodejme to, co z toho nevyplývá. Nevyplývá z toho, že je všechno v pořádku. Zjištění „je to v souladu se zákonem“ není obhajoba — je to popis toho, kdo nese odpovědnost. Když data uniknou kvůli chybě v kódu, selhal dodavatel. Když uniknou proto, že to někdo napsal do paragrafu a parlament to odhlasoval, selhal zákonodárce. Zákonnost je v tomto případě přitěžující, ne polehčující okolnost.

Že je něco přijaté v řádném legislativním procesu, neříká nic o tom, jestli je to dobré. Právní filozofie si tuhle lekci odnesla z dvacátého století dost draho a shrnul ji Gustav Radbruch: zákon, který se dostane do nesnesitelného rozporu se spravedlností, ztrácí nárok na poslušnost právě proto, že je zákonem. Následující kapitola je proto o něčem jiném než o tom, co je v paragrafech napsáno. Je o tom, proč je to napsáno špatně.

4.3 Proč je ten zákon špatný

Nejde o stylistiku ani o neobratnou formulaci. Toto ustanovení selhává v každém testu, kterým by měl zásah do soukromí projít.

1. Rejstřík svůj účel plní i bez toho. Obchodní rejstřík existuje kvůli právní jistotě v obchodním styku — aby třetí osoba věděla, kdo je oprávněn jednat za firmu a od kdy. Přesně to říká § 7 o materiální publicitě. K tomuto účelu stačí jméno, funkce, den vzniku funkce a nanejvýš datum narození k odlišení jmenovců. Rodné číslo, číslo občanského průkazu, adresa bydliště ani obrázek podpisu k právní jistotě nepřidávají nic. Podpisový vzor navíc vznikl proto, aby si pravost podpisu mohl ověřit rejstříkový soud a notář — ne kdokoli na internetu. Zveřejněný celému světu dává řádově víc možností podpis zfalšovat než ho ověřit. Zveřejňuje se tedy něco, co deklarovanému cíli neslouží — a to je definice nepřiměřeného zásahu, ne jeho hraniční případ.

V otázce rozsahu údajů to není jen náš výklad — přesně to říká i Úřad pro ochranu osobních údajů:

„Veřejnost obchodního rejstříku má své místo, obchodní styk potřebuje ověřitelné údaje o firmách a jejich zástupcích. Rozsah zveřejňovaných údajů však musí odpovídat tomu, co je k tomuto účelu nezbytné, a přinejmenším rodné číslo mezi ně nepatří.“

2. Existovalo levnější a méně invazivní řešení a stát ho nezvolil. Úřad pro ochranu osobních údajů žádal anonymizaci listin před zveřejněním. Rodné číslo má pevný formát deseti číslic se známou kontrolní podmínkou — jeho automatické začernění je úloha na jeden regulární výraz. Test proporcionality funguje tak, že pokud stejného cíle dosáhnete mírnějším prostředkem, ten přísnější je nepřípustný. Zde byl mírnější prostředek technicky triviální, výslovně navržený dozorovým orgánem — a nebyl použit.

3. Zákon odstranil obě brzdy najednou. Podle § 6 odst. 1 se listiny zpřístupňují bez prokázání právního zájmu a bezplatně. Dřív existovaly dvě třecí plochy: museli jste mít důvod a museli jste zaplatit. Obě zmizely v témže odstavci. Náklad na stažení celé databáze klesl na nulu. I kdyby bylo zveřejnění jedné listiny obhajitelné, hromadné a bezplatné zpřístupnění mění povahu zpracování — přesně to byl důvod, proč Soudní dvůr rozhodl tak, jak rozhodl ve věci Schecke.

4. Neexistuje záznam o tom, kdo si co stáhl. Žádná autentizace znamená žádný audit log. Až se za rok objeví celá databáze na darknetu, nepůjde zjistit ani to, kdy byla stažena, natož kým. Systém je navržený tak, že zneužití je principiálně nevyšetřitelné.

5. Pořadí kroků je obrácené. Rodné číslo se na Slovensku v praxi nepoužívá jen jako identifikátor, ale jako ověřovací údaj — kde všude konkrétně, rozebíráme níže. A právě proto záleží na tom, co jde po čem: pokud se stát rozhodne, že rodné číslo má být veřejné, musí nejprve odstavit všechny systémy, které ho používají jako tajemství, a teprve pak ho zveřejnit. Udělal to naopak. My jsme mu přitom už v roce 2021 na eHranici předvedli, co přesně se stane, když rodné číslo zná útočník. Zveřejnit autentizační faktor dřív, než přestane být autentizačním faktorem, není odvážná transparentnost — je to provozní chyba.

6. Škoda je nevratná a zákon s tím nepočítá. Nemá odklad účinnosti, nemá mechanismus nápravy, nemá možnost dodatečně stáhnout to, co už odteklo. Norma, jejíž následky se nedají vzít zpět, musí projít podstatně přísnějším testem než norma, kterou lze opravit. Tato neprošla žádným.

7. Dotčený se tomu nemá jak vyhnout. Bez zápisu do rejstříku nemůžete vést eseročku. Není tu souhlas, není tu opt-out, není tu alternativa. Vzkaz „chcete-li podnikat, musíte to strpět“ proto není argument o dobrovolnosti — je to popis nátlaku. A připomeňme si vedlejší nález z kapitoly o e-faktuře: když o výjimku ze státního sběru dat požádala tajná služba, dostala ji. Pravidlo, ze kterého se jeho vlastní autor vyjímá, je přiznáním, že je škodlivé.

8. Nikdo za to nenese následky. Sankcí pro ministerstvo je pokuta zaplacená z veřejných peněz jedním státním orgánem druhému. Úředník, který ten odstavec napsal, poslanec, který pro něj zvedl ruku, ani ministr, který ho obhajuje, neriskují nic. Škoda zůstává na jednatelích a společnících, kteří si ji nevyžádali a nemohou ji odvolat. Tam, kde chybí jakékoli riziko pro rozhodujícího, chybí i důvod být opatrný.

4.4 Jaké z toho plynou následky

Dopady nezůstávají u dotčených jednotlivců. Zasahují celé podnikatelské prostředí:

• Racionální reakcí podnikatele je odejít. Pokud vás zápis do slovenského rejstříku stojí rodné číslo, adresu bydliště a podpisový vzor, a v sousedních zemích ne, ekonomicky správnou odpovědí je založit firmu jinde nebo použít nominee strukturu. Zákon tak poškozuje přesně to prostředí, kterému má rejstřík sloužit.
• Slovensko se stalo měkkým cílem. Vznikl ověřený, státem garantovaný a strojově zpracovatelný seznam ekonomicky aktivních lidí spolu s adresami bydliště. Pro cizí zpravodajskou službu i pro organizovaný zločin je to hotový podklad k výběru cílů — bez jediného útoku, bez jediného exploitu.
• Rodné číslo přestalo fungovat jako ověřovací faktor pro celý soukromý sektor. Každá banka, pojišťovna, operátor a e-shop, který ho používal k ověření totožnosti, má odteď rozbitou kontrolu a musí ji předělat. Náklady nese soukromý sektor, rozhodnutí udělal stát a ztrátu z podvodů, které mezitím projdou, zaplatí firmy a jejich klienti.
• Zhoršuje se vyjednávací pozice oběti. Ve sporech o neoprávněný převod či zfalšovaný podpis bude druhá strana argumentovat, že údaje byly veřejné a poškozený si je měl lépe hlídat. Stát tím, že údaje zveřejnil, přesunul důkazní břemeno na toho, komu je vzal.
• Klesá důvěra v e-government jako takový. Každý další státní systém — digitální euro, e-faktura, EUDI peněženka — teď startuje s historií, ve které stát zveřejnil rodná čísla vlastních občanů a vzkázal jim, že to mají strpět. To není nálada, kterou je třeba překonat komunikací. To je racionální závěr z důkazů.

Shrnuto: rejstřík měl chránit právní jistotu v obchodním styku. Místo toho vážně ohrozil soukromí a bezpečnost každého jednatele a společníka na Slovensku, a to způsobem, který si útočník nemusí nijak zasloužit ani nijak skrývat. To, že to má oporu v zákoně, který si na to stát sám schválil, na tom nemění nic — kromě toho, že je jasné, koho je třeba se ptát.

4.5 Jak se to dá zneužít

Pojďme konkrétně. Co přesně útočník získá a co s tím dokáže udělat.

Balík na jednu osobu: jméno a příjmení, titul, datum narození, rodné číslo, adresa trvalého pobytu, číslo občanského průkazu, ověřený vzor vlastnoručního podpisu, obchodní podíl a jeho hodnota, historie změn ve firmě, účetní závěrky. Na darknetu stálo v roce 2019 podstatně chudší složení 45 dolarů. Teď je to zdarma, legálně a s garancí pravosti od státu.

1. Krádež identity a převzetí firmy. Kombinace ověřeného podpisového vzoru, rodného čísla a čísla dokladu je přesně to, co potřebujete k výrobě přesvědčivého falzifikátu. Zápis z valné hromady, smlouva o převodu obchodního podílu, plná moc — to všechno jsou listiny, kde se pravost podpisu porovnává právě se vzorem, který je teď veřejný. Zákonodárce si tento problém částečně uvědomil a novelou přitvrdil požadavky na notářské zápisy u některých rozhodnutí, zatímco podpisové vzory zveřejnil.

2. Rodné číslo jako klíč ke zbytku vašeho života. Tohle je bod, kvůli kterému je celá kapitola 3 tohoto článku důležitá. My jsme státu prakticky dokázali, že kdo zná rodné číslo, dostane se ke zdravotním údajům občana. Rodné číslo je zároveň běžný „ověřovací“ údaj v telefonních call centrech bank a pojišťoven, v Sociální pojišťovně, u zdravotních pojišťoven, u operátorů a na desítkách státních portálů. Je to údaj, který se v praxi používá jako tajemství, ačkoli tajemstvím nikdy být neměl. Stát ho právě zveřejnil pro všechny jednatele a společníky najednou.

3. Sociální inženýrství s dokonalým krytím. Útočník, který při telefonátu zná vaše rodné číslo, číslo občanského průkazu, adresu a přesnou strukturu vaší firmy, je k nerozeznání od legitimního volajícího. Přidejte hlasový deepfake — technologii, která dnes potřebuje třicet sekund nahrávky — a máte útok, který neodhalí ani školená oběť. Tohle není hypotéza; je to standardní scénář u podvodů s převody peněz.

4. Fyzická bezpečnost. Ve sbírce je adresa trvalého pobytu spolu s hodnotou obchodního podílu. Jinými slovy: seznam lidí seřazený podle majetku, s adresou domů. Pro podnikatele držícího kryptoměny je to doslova cílový seznam pro takzvaný wrench attack — loupežné přepadení s vynucením přístupu k peněžence. Pro novináře, aktivistu či advokáta s vlastní firmou je to nástroj k zastrašování.

5. Hromadné stažení a korelace. Rejstřík není chráněný proti systematickému stahování. Kdokoli — včetně zpravodajských služeb cizích států, konkurence nebo organizovaného zločinu — si dokáže stáhnout celou sbírku listin a spojit ji s tím, co už koluje: s únikem ze zdravotnictví, s katastrem, s rejstříkem partnerů veřejného sektoru, s úniky z burz. Velké jazykové modely dnes zvládnou extrakci údajů ze skenovaných dokumentů v průmyslovém měřítku za pár desítek eur. To, co bylo před pěti lety projektem pro tým analytiků, je dnes víkendový skript.

6. Konkurenční zpravodajství. Účetní závěrky, struktura vlastnictví, historické změny a podpisové vzory na jednom místě — a k tomu od ledna 2027 e-faktura s názvem každé fakturované položky. Kombinace těchto dvou datových toků je nejlepší nástroj na průmyslovou špionáž, jaký kdy slovenský stát postavil.

7. Rodné číslo se nedá změnit. Tohle je asi nejdůležitější věc na celém případu. Heslo si změníte. Kartu si necháte zablokovat. Občanský průkaz si vyměníte. Rodné číslo máte doživotně. I kdyby ministerstvo zítra portál vypnulo a zákon novelizovalo, data, která se mezitím stáhla, zůstanou v oběhu navždy. Tohle je nevratný únik. Nedá se vzít zpět, dá se už jen zdokumentovat.

4.6 Jak na to reagoval stát

Ministr spravedlnosti Boris Susko podnikatelům vzkázal, že to musí strpět a že ta data byla dostupná i dosud — přes osobní návštěvu rejstříkového soudu nebo evropské systémy. Změnila se prý jen forma zpřístupnění.

Tenhle argument je technicky nesprávný a v bezpečnosti ho známe desítky let. Rozdíl mezi „dostupné po cestě k soudu a zaplacení poplatku“ a „dostupné celému internetu zdarma a hromadně“ není formální. Je to rozdíl mezi obscurity a exposure, mezi jednotkami dotazů ročně a miliony. Přesně tenhle rozdíl je důvodem, proč Soudní dvůr EU ve věci C-92/09 Schecke zrušil plošné zveřejňování příjemců zemědělských dotací jako nepřiměřené — přestože i tam šlo „jen“ o údaje, které stát už měl. A proč ve věci C-398/15 Manni, která se týkala přímo obchodního rejstříku, konstatoval, že veřejnost rejstříku není bezbřehá a členské státy musí umět přístup omezit.

Ministerstvo spravedlnosti se opřelo o čl. 6 odst. 1 písm. c) GDPR — zpracování je nezbytné pro splnění právní povinnosti. Je to kruhový argument v čisté podobě: je to legální, protože jsme si na to napsali zákon. GDPR přitom v čl. 6 odst. 3 vyžaduje, aby takový zákon sledoval cíl ve veřejném zájmu a byl přiměřený sledovanému cíli. Na otázku, jaký veřejný zájem vyžaduje, aby si kdokoli z druhého konce světa — nebo váš konkurent o ulici dál — stáhl rodné číslo a podpisový vzor slovenského živnostníka, odpověď nezazněla.

Úřad pro ochranu osobních údajů mezitím zahájil řízení proti ministerstvu. Jeho stanovisko — že zákon zveřejňování rodných čísel neumožňuje a listiny měly být před zveřejněním anonymizovány — jsme rozebrali výše: platí pro zapsané údaje, zatímco § 100 odst. 3 mluví o listinách a nařizuje opak. Právě proto se ministerstvo i dozorový orgán dokážou dovolávat téhož zákona.

Podstatné je načasování. Zákon nabyl účinnosti v pondělí 17. srpna. V úterý 18. srpna na rozsah zveřejněných údajů upozornil Živé.sk a úřad podle vlastního vyjádření situaci prověřoval v úterý večer — tedy až tehdy, když se na něj obrátili novináři. Řízení oznámil ve středu. Dozorový orgán, který se o rozsahu zveřejněných údajů dozví z novin den poté, co zákon nabyl účinnosti, zjevně nevěděl, co se chystá — přestože zákon prošel celým legislativním procesem včetně připomínkového řízení. A u nevratného úniku je začít jednat až po něm pozdě z definice.

Shrnuto: ministerstvo tvrdí, že postupuje podle zákona. Dozorový orgán tvrdí, že zákon to nedovoluje. A ministr řekl, že se nic měnit nebude. Než se ti dva dohodnou, listiny zůstávají online — a každý den, o který se to protáhne, je další den, během kterého si je může kdokoli stáhnout.

V tom je celý rozdíl mezi sporem o výklad a sporem o data. Spor o výklad se dá rozhodnout kdykoli — za rok, za tři, až soud řekne své. Spor o data má smysl jen do té doby, dokud se ta data nestihnou zkopírovat. Potom je jakékoli rozhodnutí už jen úředním záznamem o něčem, co se stalo.

5. Nový důkaz: stát si to riziko ani jednou nespočítal

Dosud jsme argumentovali tím, co v zákonech stojí. Teď máme i to, co v nich nestojí — a máme to černé na bílém, podepsané.

Čtvrtého srpna 2026 jsme podali na slovenské Ministerstvo financí žádost podle zákona o svobodném přístupu k informacím. Položili jsme tři otázky týkající se zákona č. 385/2025 Z. z. o e-faktuře. Osmnáctého srpna 2026 přišla odpověď č. INF/000270/2026-11, podepsaná ředitelkou kanceláře ministra.

Otázky a odpovědi byly tyto:

1. Bylo vypracováno posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR?
   Odpověď: „nebylo vypracováno posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 nařízení (EU) 2016/679 (GDPR), včetně posouzení ve smyslu čl. 35 odst. 10 GDPR jako součásti přijímání právního základu. Prováděcí opatření nebyla přijata.“
2. Konzultovalo ministerstvo návrh s Úřadem pro ochranu osobních údajů nad rámec připomínkového řízení?
   Odpověď: „ministerstvo financí nekonzultovalo návrh s Úřadem pro ochranu osobních údajů Slovenské republiky.“
3. Byl proveden test proporcionality zásahu do práva na ochranu osobních údajů podle čl. 6 odst. 3 a čl. 23 odst. 2 GDPR — zejména ve vztahu k rozsahu oznamovaných údajů, tedy ke jménu a příjmení odběratele a druhu zboží a služby?
   Odpověď: „test proporcionality zásahu do práva na ochranu osobních údajů (…) nebyl proveden.“

Tři otázky, tři odpovědi, jeden závěr: nic z toho neudělali.

Připomeňme, o jakém systému se bavíme. Od 1. ledna 2027 jím bude povinně protékat každá faktura každé slovenské firmy — jméno odběratele, druh zboží, částka, čas. Půl milionu subjektů. Desítky soukromých zprostředkovatelů bez zákonné povinnosti mlčenlivosti. Údaje putující Finanční správě téměř v reálném čase, bez zákonné lhůty uchovávání a s automatizovanými přístupy, které se ve spisu daňového subjektu ani neevidují.

A za celý legislativní proces si nikdo na ministerstvu ani jednou nesedl a nespočítal, jaké riziko to pro firmy a jejich klienty představuje. Žádná analýza. Žádná konzultace s dozorovým orgánem. Žádný test, zda stát vůbec potřebuje vědět, co jste komu prodali.

Přitom čl. 35 odst. 10 GDPR existuje přesně pro tuhle situaci: pokud se zpracování zakládá na zákoně, posouzení vlivu se má provést v rámci přijímání toho zákona. Ne potom. A čl. 6 odst. 3 vyžaduje, aby takový zákon byl přiměřený sledovanému cíli — což bez testu proporcionality nikdo nezjistí, protože test proporcionality je ten způsob, jak se to zjišťuje.

Tohle není opomenutí úředníka. Tohle je systémový postoj: soukromí občanů a firem se při stavbě státního sledovacího systému nepovažuje za veličinu, kterou je třeba vůbec měřit. Stejný postoj jsme viděli u eKasy, která bez jakékoli veřejné analýzy dopadů začala Finanční správě posílat GPS souřadnice a názvy položek z nákupů občanů. Stejný u obchodního rejstříku, kde ministerstvo listiny zveřejnilo bez anonymizace navzdory tomu, že ji dozorový orgán považuje za povinnou — a nikde nedoložilo, že by dopad na dotčené osoby předem posuzovalo. Stejný u e-faktury, kde se ho nikdo nezeptal ani jednou.

A teď to nejlepší. V připomínkovém řízení k témuž zákonu žádala Slovenská advokátní komora ochranu identity klientů — zamítnuto. Tajná služba žádala, aby údaje o jejích vlastních nákupech do systému nechodily, protože systém je podle ní „nepřiměřené bezpečnostní riziko“ — schváleno.

Stát tedy to riziko zná dokonale. Umí ho pojmenovat vlastními slovy a umí se před ním ochránit. Jen nepovažoval za potřebné spočítat, co udělá vám.

6. A to je jen jedna cihla: regulační perimetr 2025–2029

Obchodní rejstřík ani e-faktura nejsou izolované incidenty. Jsou to dvě cihly ve zdi, která se v letech 2025 až 2029 uzavírá kolem peněz, komunikace i samotného přístupu k informacím. Přehled tohoto regulačního perimetru tvoří základ mé přednášky Technologie svobody 2026:

• Age Control (2025–2026). Britský Online Safety Act a navazující pravidla EU podmiňují přístup k obsahu ověřením věku. Aplikace EU na ověřování věku se má nasadit do konce roku 2026 a napojit na EUDI peněženku. Marketing mluví o zero-knowledge důkazech. Realita, na kterou upozorňuje EDRi, je normalizace toho, že k přístupu na internet potřebujete státem vydanou identitu.
• Chat Control. Dočasná derogace umožňující plošné skenování soukromých zpráv prošla 9. července 2026 — a to navzdory tomu, že většina hlasujících europoslanců byla proti (314 : 276), jen nedosáhla potřebné absolutní většiny 361 hlasů. Platí do roku 2028. Trvalé nařízení CSAR se vyjednává dál. Zapamatujte si ten mechanismus: sledování neprošlo proto, že ho někdo chtěl, ale proto, že na jeho zastavení nestačila většina.
• Digitální euro. Pilot ECB startuje ve druhé polovině roku 2027 s 36 poskytovateli platebních služeb, první emise nejdřív v roce 2029. ECB testovala scénáře držby do 3 000 eur na osobu. Oficiálně to nemá být programovatelné. Technicky to programovatelné je — a limit držby, který se dá revidovat každé dva roky, je programovatelnost v přímém přenosu.
• AMLR (účinnost 10. 7. 2027). Strop hotovostních plateb 10 000 eur, povinná identifikace od 3 000 eur, zákaz privacy coinů a anonymních účtů na regulovaných platformách. Právo platit anonymně v EU končí zákonem, ne technologií.
• DAC-8. Automatický reporting kryptozůstatků daňovým úřadům. Od roku 2026 platné.
• Povinná registrace SIM karet. Podle zákona č. 452/2021 Z. z. si na Slovensku neaktivujete ani předplacenou kartu bez občanského průkazu nebo pasu. Operátor — a zprostředkovaně stát — tak ví, kdo komu volá a odkud, protože polohu telefonu lze určit triangulací i bez GPS. Studie GSMA i přehled Privacy International shodně konstatují, že souvislost mezi registrací SIM a objasněností trestných činů se neprokázala. V Česku si anonymní SIM koupíte dodnes a funguje i na Slovensku — takže opatření nezastaví nikoho kromě běžného občana.
• eKasa. Slovenská implementace elektronické evidence tržeb posílá Finanční správě GPS souřadnice pokladny a všechny položky nákupu včetně popisu — tedy co přesně jste si koupili, kdy a kde. V Česku se v rámci EET posílaly jen souhrnné údaje. Aplikace „Ověř doklad“ přitom vrátí celý obsah nákupu komukoli, kdo zná ID dokladu. Rozebrali jsme to v článku e-Kasa — další malý krok k velké finanční diktatuře na Slovensku. A když jsme se podívali na její bezpečnost, emulovali jsme chráněný datový modul, protože komunikace s ním nebyla šifrovaná. Občan je sledován do poslední položky, podvodník má volno.
• e-Faktura. Od 1. ledna 2027 musí každá faktura mezi slovenskými firmami projít jako strukturované XML přes certifikovanou soukromou firmu a Finanční správa dostane název každé fakturované položky a jméno odběratele téměř v reálném čase. Týká se to 530 726 subjektů. Zákon č. 385/2025 Z. z. neobsahuje ani jednu zmínku o ochraně osobních údajů — jediný výskyt řetězce „osobn“ je „osobní motorové vozidlo“. „Digitální pošťáci“ nemají zákonnou povinnost mlčenlivosti ani limit uchovávání dat. Jak v témže připomínkovém řízení pochodili advokáti a jak tajná služba a co nám k tomuto zákonu písemně potvrdilo Ministerstvo financí, je v předchozí kapitole. Detaily v článcích Against e-invoicing: Corporate Stockholm Syndrome a e-Invoicing vs. GDPR and Professional Secrecy (oba anglicky).
• Centrální registr účtů (zákon č. 123/2022 Z. z.) dává policii, Finanční správě, tajné službě i vojenskému zpravodajství přehled o tom, kde máte účty. Bankovní tajemství, jak se učilo na ekonomii, přestalo existovat.
• Cenzura internetu. Finanční správa roky vede seznam zakázaných stránek, které musí blokovat každý poskytovatel připojení, a seznam se rozrůstá. Technicky jde o DNS blacklist, tedy o infrastrukturu, na kterou se nová položka přidává jedním řádkem.

7. Tohle jsme popisovali už v roce 2019

S Jurajem Bednárem jsme na tenhle vzorec upozorňovali v sérii článků Jak se Slovensko připravuje na zavedení diktatury čínského typu. První díl vyšel v listopadu 2019 a už tehdy jsme popsali internetovou cenzuru, eKasu, sledování a blokování finančních toků, sledování polohy přes mobil, zákaz anonymních SIM a platebních karet a omezování hotovosti:

• I. díl — technologické pilíře digitální diktatury (listopad 2019)
• II. díl — jak pandemie posílila autoritativnost států (duben 2020)
• III. díl — útok Rady EU na šifrování (listopad 2020)
• IV. díl — nástup Ministerstva pravdy a rozšiřování cenzury (listopad 2020)

Klíčová věta z prvního dílu zní po necelých sedmi letech takto:

„Propojením těchto technologií v případě, že v demokratických volbách zvítězí ‚nesprávná‘ strana, je možné nejen diktaturu čínského typu zavést během pár měsíců, ale taková vláda už bude mít nasbíraná data z minulosti, která může začít okamžitě používat.“

Tohle je nejdůležitější optika na celý článek. Otázka nikdy nezní „důvěřuji téhle vládě?“. Otázka zní: co se s touhle databází stane za dvě volební období? Databáze, která dnes slouží transparentnosti podnikání, je zítra seznam. Seznam se nedá odsbírat.

8. Paradox: autor GDPR je největší narušitel soukromí

Shrňme, čím jsme právě prošli.

Evropská unie napsala GDPR — nejambicióznější regulaci ochrany osobních údajů na světě. Přinutila každý e-shop, blog a spolek řešit souhlasy, záznamy o činnostech zpracování, posouzení vlivu a pověřence. Za nesplnění hrozí pokuty do 4 % globálního obratu.

Tatáž Evropská unie ve stejném období zavedla plošné skenování soukromých zpráv, přípravu centrální digitální měny s limity držby, povinné ověřování věku při přístupu k obsahu, zákaz anonymních platebních prostředků a automatický reporting finančních zůstatků.

A tentýž stát, který pokutuje firmy za nedostatečně zabezpečený seznam e-mailů, právě zveřejnil rodná čísla, adresy a podpisové vzory vlastních občanů — a jeho ministrovi na to stačila věta, že to musí strpět.

GDPR není ochrana občana před státem. GDPR je regulace, kterou stát reguluje soukromý sektor a ze sledování se vyjímá sám — přes výjimky pro daňové, statistické a bezpečnostní účely. Proto jsme článek o tom, proč i navzdory GDPR přicházíme o soukromí, psali už v roce 2021. Od té doby se nezměnilo nic, jen se zvětšil objem dat.

Ten paradox není náhoda ani pokrytectví jednotlivců. Je to strukturální vlastnost: subjekt, který píše pravidla ochrany soukromí, je zároveň největším sběratelem údajů a jediný se může z vlastních pravidel vyjmout zákonem. Očekávat od něj, že bude chránit vaše soukromí, je jako očekávat od hráče, že bude rozhodovat vlastní zápas.

9. Co s tím: nespoléhejte se na stát

Pokud jsme se za téměř dvacet let v tomhle oboru něco naučili, tak tohle: soukromí, které závisí na dobré vůli státu, není soukromí. Je to dočasné povolení. Odebírá se novelou.

Jediné soukromí, které vydrží, je to, které nezávisí na ničím povolení — matematické, decentralizované, bez prostředníka, kterého lze donutit reportovat nebo vypnout. Přesně o tom je má přednáška Technologie svobody 2026 z bratislavského Lunarpunku. Její teze je jednoduchá:

Regulace je perimetr. Svoboda se navrhuje mimo něj. Disruptivní technologie s perimetrem nebojují — jsou postavené tak, že do něj nespadají. Nekustodiální, decentralizované, bez prostředníka, self-hosted, open-weight. Není koho licencovat, koho nutit reportovat, koho vypnout.

Jste-li jednatel nebo společník: co udělat tento týden

Tohle je triáž pro toho, koho se to týká osobně. Strategie následuje hned za ní.

1. Zjistěte, co je o vás venku. Na novém portálu obchodního rejstříku si najděte vlastní firmu a projděte listiny, které jste kdy do sbírky ukládali. Dokud nevíte, co přesně je zveřejněné — jestli jen rodné číslo, nebo i číslo dokladu a podpisový vzor — nevíte, co máte řešit.
2. Vypovězte rodnému číslu důvěru — a řekněte to těm, kdo ho používají. Rodné číslo už nemůže být ověřovacím údajem. Kontaktujte banku, zdravotní i komerční pojišťovnu, mobilního operátora, správce, účetní a všechny další, kdo jím po telefonu nebo e-mailem ověřují vaši totožnost, a žádejte, aby ho nahradili jiným ověřovacím faktorem — heslem k účtu, callbackem na ověřené číslo, potvrzením v aplikaci. Pokud vám někdo řekne, že „rodné číslo přece nikdo jiný nezná“, pošlete mu tento článek.
3. Podejte podnět na Úřad pro ochranu osobních údajů. Slouží k tomu návrh na zahájení řízení o ochraně osobních údajů, ke kterému úřad zveřejňuje i vzorový formulář. Řízení proti ministerstvu už běží, ale podnět dotčené osoby má jinou váhu než mediální kritika — je to uplatnění vašeho práva a rozšiřuje spis.
4. Rozlišujte sídlo firmy a své bydliště. Tohle jsou dva různé údaje a řeší se každý jinak. Sídlo si dokážete změnit na virtuální adresu prakticky kdykoli a je to nejlevnější opatření, jaké tu existuje — pokud dnes podnikáte na domácí adrese, je to první věc, kterou změnit. Bydliště jednatele rejstřík vyžaduje a zbavit se ho zápisem nelze; změna trvalého pobytu je vážný krok s daňovými a doručovacími důsledky, který nedělejte kvůli jednomu článku — ale pokud ho stejně zvažujete, víte teď o důvod víc.
5. Počítejte s tím, že se vám ozvou. Podvodník, který zná vaše rodné číslo, adresu a strukturu firmy, zní důvěryhodně. Domluvte si s účetní, bankou a kolegy, kteří schvalují platby, ověřovací postup mimo telefon a e-mail — a domluvte si ho teď, ne až přijde první „urgentní“ požadavek na převod.

To byla triáž. Teď to podstatnější — nástroje, které vaše soukromí přestanou vázat na to, co si stát právě umanul. Seřazeno podle toho, kolik vám vrátí za vynaložené úsilí:

Peníze

• Anonymní kryptoměny — Monero, Zcash, případně atomic swapy mezi nimi a bitcoinem. AMLR je od července 2027 zakáže na regulovaných platformách. To je přesně důvod, proč se je vyplatí umět použít mimo ně.
• Non-KYC nástroje — nekustodiální P2P trhy typu Peer.xyz (fiat ↔ krypto přes Revolut, Wise či PayPal s důkazem zkTLS, bez burzy), Bitblik (bitcoin na hotovost z bankomatu), RoboSats, Bisq, Vexl. Žádné KYC znamená žádný honeypot, který může uniknout.
• Vlastní platební brána — CashuPayServer běží na nejlevnějším PHP hostingu a dělá z vás neregulovaného prostředníka pro sebe samého. Chaumian e-cash se slepými podpisy znamená, že ani mint neví, kdo platí.
• Self-custody stablecoiny a hotovost místo digitálního eura. Hotovost je jediný platební prostředek, který neposílá nikam nic.

Komunikace

• Signal (nástupce Whisper Systems) jako minimum pro běžnou komunikaci, SimpleX tam, kde vám vadí i metadatová stopa telefonního čísla. End-to-end šifrování je jediná věc, kterou Chat Control zatím nedokázal prolomit — a proto na něj EU tlačí dál.
• Nostr jako komunikační a publikační vrstva bez centrálního provozovatele, Meshtastic a Reticulum tam, kde nechcete záviset ani na operátorovi.
• GrapheneOS místo stock Androidu, Tor a VPN jako základní hygiena. VPN je mimochodem i nejjednodušší odpověď na Age Control.
• Lokální LLM a open-weight modely místo cloudových. To, na co se modelu zeptáte, je citlivější než historie prohlížeče.

Podnikání

A teď nepříjemný závěr pro slovenské podnikatele, který po 17. srpnu 2026 nemá smysl obcházet:

Podnikat na Slovensku je bezpečnostní riziko pro soukromí podnikatele. Ne metaforicky. Doslova. Zápisem do slovenského obchodního rejstříku dnes odevzdáváte rodné číslo, adresu bydliště, číslo dokladu a ověřený podpisový vzor do veřejně a bezplatně stažitelné databáze — a nedostanete za to nic, co byste jinde nedostali bez toho.

• Zahraniční jurisdikce s vyšší mírou soukromí. Existují země, kde rejstřík neobsahuje rodná čísla ani podpisové vzory a kde se přístup k listinám váže na prokázaný právní zájem. Rozdíl v ochraně je řádový.
• Nominee direktoři a nominee shareholdeři. Pokud je ve veřejném rejstříku uveden nominee, pak vyhackovaný, uniklý nebo státem omylem zveřejněný obchodní rejstřík nemůže ohrozit vaše soukromí, protože vaše údaje v něm nikdy nebyly. Tohle není únik před odpovědností — daňové a AML povinnosti platí dál a skutečný majitel je znám tomu, komu má být. Je to oddělení povinnosti být identifikován vůči orgánům od povinnosti být identifikován vůči celému internetu. Právě tuhle hranici slovenský zákonodárce právě setřel.
• Vyhýbejte se státním sledovacím technologiím, kde to jde. Digitální euro není povinné — hotovost a samoúschova jsou stále legální. Model podnikání, který nepotřebuje eKasu ani e-fakturu, je dnes konkurenční výhoda v ochraně dat, ne výstřednost.
• Nepracujte pro stát. V Nethembě držíme iniciativu „Nepracujeme pro stát“ už roky. Systémy popsané výše někdo postavil. Byly to firmy, které se rozhodly, že zakázka je důležitější než to, co ta zakázka dělá lidem.

A hlavně: disruptivní technologie

Petice, připomínková řízení a ústavní stížnosti mají smysl a je třeba je dělat. Ale jejich úspěšnost za posledních deset let si shrňte sami: eKasa je nasazená, e-faktura přijde, Chat Control prošel navzdory většině proti, rejstřík je venku a ministr vzkazuje, že to máte strpět.

Co naopak funguje spolehlivě, je technologie, která regulaci činí bezpředmětnou. Šifrování se nedá zakázat — dokázalo se to v devadesátých letech, kdy USA klasifikovaly export kryptografie jako export zbraní a PGP se dostalo do Evropy vytištěné v knize, naskenované a zkompilované. Nekustodiální burze bez provozovatele není komu odebrat licenci. Peer-to-peer platbu bez prostředníka není koho donutit reportovat. Model s otevřenými váhami běžící na vašem notebooku není komu vypnout.

Tohle není únik z reality. Tohle je jediná strategie, která za posledních třicet let empiricky fungovala.

Závěr

V roce 2015 jsme napsali, že největší hrozbou pro soukromí občanů je tajná služba. Byla to pravda — ale zdaleka ne celá.

Tajná služba aspoň potřebuje soudní příkaz a snaží se nebýt viděna. Ministerstvo spravedlnosti v srpnu 2026 nepotřebovalo nic — zveřejnilo rodná čísla, adresy a podpisové vzory jednatelů a společníků na základě zákona, který si na to samo připravilo, s právním titulem převzatým z GDPR, a když se ozvala kritika, vzkázalo dotčeným, že chtějí-li podnikat, musí to strpět.

V roce 2021 jsme státu dokázali, že kdo zná rodné číslo, dostane se ke zdravotním údajům občana. Stát nás za to poslal na policii. O pět let později ta rodná čísla zveřejnil sám.

A když jsme se Ministerstva financí zeptali, jestli při stavbě systému, kterým má od roku 2027 protékat každá faktura každé slovenské firmy, někdo vůbec posoudil dopad na soukromí, odpovědělo písemně a bez rozpaků: nebylo vypracováno, nekonzultovalo, nebyl proveden. Není to nedbalost jednoho úřadu. Je to zjištění o tom, jakou váhu má soukromí občana při stavbě státní infrastruktury — nulovou, pokud nejde o soukromí tajné služby.

Největší hrozbou pro vaše soukromí není hacker. Je to instituce, která píše pravidla ochrany soukromí, vyjímá se z nich zákonem a nenese za jejich porušení žádné osobní důsledky.

Proto se na stát v otázce soukromí nedá spoléhat — ani na ten, který má nejlepší regulaci na světě. Soukromí si musíme postavit sami: z kryptografie, z decentralizovaných protokolů, z non-KYC nástrojů, z jurisdikcí, které nezveřejňují rodná čísla, a z technologií, které nemají prostředníka, na kterého by šlo zatlačit.

Jste-li jednatel nebo společník, začněte tím, co se dá udělat tento týden: podívejte se, co je o vás v rejstříku, a řekněte bance, pojišťovně a operátorovi, že rodné číslo už není ověřovací údaj. Zbytek je běh na dlouhou trať — ale ten první krok nevyžaduje nic kromě hodiny času.

Rodné číslo si totiž nezměníte. Vládu ano — ale databáze, kterou vám po sobě nechá, tam zůstane.