eFaktúra vs. GDPR a profesijná mlčanlivosť: čo štát nepovedal pol miliónu firiem

Facebook Linkedin Rss X-twitter Nostr Nostr
Back to all posts

eFaktúra vs. GDPR a profesijná mlčanlivosť: čo štát nepovedal pol miliónu firiem

Zhrnutie

Od 1. januára 2027 musí každá faktúra medzi slovenskými podnikateľmi prejsť ako štruktúrované XML cez certifikovanú súkromnú firmu — „digitálneho poštára“ — a údaje z nej vrátane názvu každej fakturovanej položky a mena odberateľa dostane v takmer reálnom čase Finančná správa. Preskúmali sme zákon č. 385/2025 Z. z., technickú špecifikáciu reportovacieho dokumentu, celý legislatívny spis vrátane všetkých 255 pripomienok z medzirezortného pripomienkového konania, judikatúru SDEÚ a ESĽP a skúsenosti ôsmich krajín. Výsledok sa dá zhrnúť do šiestich bodov:

  1. Zákon neobsahuje ani jednu zmienku o ochrane osobných údajov. Jediný výskyt reťazca „osobn“ v zákone č. 385/2025 Z. z. je „osobné motorové vozidlo“. Nula zmienok o GDPR má aj dôvodová správa, doložka vplyvov, vyhodnotenie pripomienkového konania aj 47-stranové FAQ Finančnej správy. Posúdenie vplyvu na ochranu údajov (DPIA), ktoré GDPR pri rozsiahlom systematickom spracúvaní vyžaduje, nie je nikde verejne doložené.
  2. Slovensko reportuje štátu mená, ktoré harmonizovaný európsky štandard nepozná — a technická špecifikácia ide nad rámec aj slovenského zákona: meno odberateľa sa posiela vždy, hoci zákon ho žiada len pri odberateľoch bez IČ DPH.
  3. Zákon nespĺňa náležitosti, ktoré čl. 23 GDPR od takéhoto zásahu vyžaduje: žiadna doba uchovávania údajov, žiadne účelové obmedzenie, žiadne určenie rolí, žiadne záruky proti zneužitiu. Automatizované prístupy k údajom sa v spise daňového subjektu ani neevidujú.
  4. Digitálni poštári nemajú zo zákona žiadnu povinnosť mlčanlivosti, žiadny zákaz použitia dát na vlastné účely a žiadny limit uchovávania. Bezpečnostné štandardy pre nich žiadal v pripomienkovom konaní aj Národný bezpečnostný úrad — neúspešne.
  5. Advokátske tajomstvo nedostalo výnimku — tajná služba áno. V tom istom pripomienkovom konaní Slovenská advokátska komora žiadala ochranu identity klientov (zamietnuté) a SIS žiadala, aby sa údaje o jej vlastných nákupoch do systému neposielali, lebo systém je „neúmerné bezpečnostné riziko“ (akceptované).
  6. Ide to aj inak. Nemecko a Belgicko zaviedli tú istú európsku e-faktúru bez povinných sprostredkovateľov a bez štátneho zberu; Taliansko muselo po zásahu dozorného orgánu prestať ukladať popisy plnení a zdravotné faktúry má v štátnom systéme trvalo zakázané; Francúzsko popisy plnení pri profesiách viazaných tajomstvom vylúčilo priamo zákonom.

Právoplatný verdikt o rozpore s GDPR zatiaľ neexistuje — žiadny európsky súd doposiaľ e-fakturačný systém nezrušil. Slovenská úprava však robí presne to, čo dozorné orgány v iných krajinách označili za neproporcionálne a čo Súdny dvor EÚ opakovane vytkol plošným zberom dát. Nižšie je celý reťazec dôkazov.

1. Čo presne systém zbiera

Novela zákona o DPH (zákon č. 385/2025 Z. z.) zavádza od 1. 1. 2027 povinnú e-fakturáciu pre tuzemské B2B transakcie v 5-rohovom Peppol modeli: dodávateľ → poštár dodávateľa → poštár odberateľa → odberateľ, pričom piatym rohom je Finančná správa. Cez poštára prechádza celá faktúra — kompletné XML so všetkými náležitosťami podľa § 74 ods. 1 vrátane príloh do ~100 MB.

Finančnej správe poštár automaticky posiela takzvaný Slovak Republic Tax Data Document (SK TDD, verzia 1.0.0). Overili sme jeho obsah pole po poli:

  • Riadky faktúry sú povinné a v každom riadku je povinný názov položky (pole BT-153). Finančná správa teda dostáva textový názov všetkého, čo si slovenské firmy medzi sebou fakturujú. Právnym titulom je § 74 ods. 1 písm. f) — „množstvo a druh dodaného tovaru alebo rozsah a druh dodanej služby“.
  • Meno odberateľa je povinné vždy (pole BT-044) — aj keď odberateľ má IČ DPH. Zákon (§ 85o ods. 9) pritom meno žiada len pri odberateľoch, ktorí IČ DPH nemajú. Špecifikácia teda prenáša viac, než ukladá zákon, na základe ktorého vznikla.
  • Voliteľne špecifikácia umožňuje preniesť aj IBAN, číslo platobnej karty a meno držiteľa karty — údaje, ktoré zákon oznamovať neprikazuje vôbec.

Uchovávanie: platiteľ musí faktúry archivovať 10 rokov. Poštár nemá žiadnu zákonnú povinnosť ani obmedzenie — FAQ Finančnej správy výslovne uvádza, že „poskytovateľ doručovacej služby nemá zákonnú povinnosť uchovávať zaslané XML súbory“; čo s dátami urobí, je vec obchodnej zmluvy. A pre údaje u Finančnej správy zákon neustanovuje žiadnu lehotu uchovávania ani pravidlá spracúvania — platí len všeobecný režim daňového tajomstva (§ 11 daňového poriadku), ktorý sa sprístupňuje každému orgánu, ktorý „preukáže oprávnenosť“ z osobitných predpisov, a ktorého automatizované sprístupnenia cez informačný systém sa v spise subjektu neevidujú (§ 11 ods. 6).

2. Prečo je to problém podľa GDPR

Faktúry živnostníkov, advokátov, lekárov či prenajímateľov — fyzických osôb sú osobné údaje; Súdny dvor EÚ to potvrdil opakovane (C-92/09 Schecke, C-398/15 Manni) a vo veci C-175/20 SS SIA výslovne pre zber daňovou správou. Európsky dozorný úradník pre ochranu údajov (EDPS) v stanovisku 7/2023 k európskej reforme DPH napísal, že údaje z faktúr „môžu odhaliť citlivé informácie o konkrétnych fyzických osobách, ako sú informácie o zakúpenom tovare, cestovných plánoch alebo právnych službách“ a ich plošný zber „by poskytol prostriedky na vytvorenie detailného profilu dotknutých osôb“.

Proti tomuto pozadiu má slovenský zákon štyri merateľné deficity:

Minimalizácia (čl. 5 GDPR). Harmonizovaný európsky dataset pre cezhraničný reporting (smernica 2025/516 „ViDA“) identifikuje strany výlučne cez IČ DPH — mená a adresy doň nepatria, čo EDPS vyzdvihol ako kľúčovú poistku. Slovenský systém mená posiela. Pri domácich transakciách pritom ViDA necháva rozsah dát úplne na členský štát (čl. 271b ods. 4) — minimalizácia bola čisto slovenské politické rozhodnutie, ktoré nikto neurobil. Dôkaz, že to ide menej invazívne, má pritom štát vo vlastnej legislatíve: kontrolný výkaz DPH funguje od roku 2014 bez popisov plnení a bez mien a na krížové párovanie odpočtov postačoval — a mimochodom beží súbežne s novým systémom až do 30. 6. 2030, takže tri a pol roka sa tie isté transakcie zbierajú dvakrát.

Chýbajúce záruky (čl. 23 GDPR). Súdny dvor v C-175/20 potvrdil, že plošný odber údajov daňovou správou musí spĺňať náležitosti čl. 23: vymedzené účely, kategórie údajov, doby uchovávania, záruky proti zneužitiu. Zákon č. 385/2025 Z. z. neobsahuje ani jednu z nich.

Neurčené roly (čl. 28 GDPR) a bezpečnosť (čl. 32). Zákon neurčuje, kto je v reťazci dodávateľ → poštár → Finančná správa prevádzkovateľom a kto sprostredkovateľom — presne pred tým EDPS varoval. Certifikácia poštárov (§ 76a) nevyžaduje žiadne preukázanie bezpečnostných opatrení podľa GDPR; ISO 27001 bude povinné až od 1. 7. 2027, čiže prvý polrok povinnej prevádzky beží bez certifikovaného systému riadenia bezpečnosti.

Žiadna DPIA (čl. 35 GDPR). Pri systematickom rozsiahlom spracúvaní je posúdenie vplyvu na ochranu údajov povinné. Prehľadali sme celý verejný spis — doložku vplyvov, dôvodovú správu, vyhodnotenie pripomienkového konania, hodnotenie Útvaru hodnoty za peniaze — a nenašli sme jedinú zmienku. Jediná stopa: projektový zámer Finančného riaditeľstva z augusta 2025 uvádza vyhlášku o DPIA ako budúcu povinnosť. Doložka vplyvov navyše výslovne konštatuje: „Neboli identifikované žiadne iné alternatívne riešenia.“ Španielsky dozorný orgán AEPD v analogickej situácii (správa 015/2024) skonštatoval, že štátne úložisko „vernej kópie každej faktúry“ bez vykonanej DPIA nemá právny základ. (MF SR a FR SR sme požiadali o sprístupnenie DPIA podľa infozákona; odpovede doplníme.)

A dozorný orgán? Úrad na ochranu osobných údajov SR je vo vyhodnotení pripomienkového konania vedený ako subjekt č. 57 s nula pripomienkami. V roku, keď pripomienkoval 54 iných materiálov so 151 pripomienkami, k najväčšiemu novému zberu dát o podnikateľoch nepovedal nič; jeho výročná správa slovo „faktúra“ neobsahuje.

3. Advokáti, lekári a mlčanlivosť: výnimku dostala len tajná služba

Faktúra advokáta obsahuje meno klienta a popis služby. Súhrn faktúr advokáta je zoznam jeho klientov — v rukách súkromného poštára a v databáze Finančnej správy. Povinnosť mlčanlivosti podľa § 23 zákona o advokácii pritom pozná len päť prelomení (AML, písomné pozbavenie klientom, spor s klientom, disciplinárne konanie, prekazenie trestného činu) — odovzdanie faktúry komerčnému Peppol operátorovi pod žiadne z nich nespadá. Obdobné povinnosti majú notári, daňoví poradcovia, exekútori, mediátori a zdravotnícki pracovníci; ani jeden z týchto zákonov výnimku pre e-faktúru nepozná.

Judikatúra je pritom jednoznačná a čerstvá:

  • ESĽP, Sommer proti Nemecku (2017): získavanie údajov o pohyboch na profesijnom účte advokáta od tretej strany (banky) porušilo čl. 8 Dohovoru — záruky advokátskeho tajomstva nemožno obísť tým, že sa dáta vyžiadajú od sprostredkovateľa.
  • SDEÚ, C-694/20 Orde van Vlaamse Balies (2022): už samotné odhalenie existencie vzťahu advokát–klient tretím osobám je zásahom do čl. 7 Charty.
  • SDEÚ, C-432/23 Ordre des avocats du barreau de Luxembourg (26. 9. 2024): príkaz, aby advokát vydal daňovej správe „všetku dokumentáciu a informácie týkajúce sa jeho vzťahov s klientom“, je zásah do čl. 7 Charty — a členský štát nesmie daňové poradenstvo z posilnenej ochrany vyňať.

Čo sa stalo v pripomienkovom konaní. Stiahli sme kompletný dataset 255 pripomienok k návrhu zákona (LP/2025/396) aj oficiálne vyhodnotenie s odpoveďami ministerstva. Ochrany súkromia a tajomstva sa týkalo päť pripomienok. Tri stoja za doslovné prečítanie:

Slovenská advokátska komora (19. 8. 2025) navrhla, aby advokát nemusel uvádzať „identifikačné údaje klienta ani konkrétny opis právnej služby, ak by ich uvedenie mohlo viesť k porušeniu povinnosti mlčanlivosti“, s anonymizáciou „spôsobom, ktorý vylučuje možnosť spätnej identifikácie klienta“ — s oporou o Chartu, Dohovor, Ústavu SR a judikatúru vyššie. Výsledok: neakceptovaná. Ministerstvo financií odpovedalo, že identifikačné údaje sú povinnou náležitosťou faktúry podľa európskej smernice, a dodalo: „v opise služby stačí uviesť všeobecné označenie, že ide o poskytnutie právnych služieb.“ To je pozoruhodný ústupok — lenže je to veta vo vyhodnotení pripomienok, nie právna norma; a identitu klienta nerieši vôbec: tá tečie cez poštára ďalej a cez povinné pole TDD aj na Finančnú správu.

Slovenská informačná služba (18. 8. 2025) žiadala, aby sa údaje o druhu tovarov a služieb dodávaných jej samej do systému neposielali. Jej odôvodnenie stojí za citát: „aj poskytovanie zdanlivo nepodstatných údajov môže či už priamo alebo v spojení s ďalšími údajmi ohroziť plnenie jej úloh“; oproti kontrolnému výkazu ide o „neúmerné zvýšenie bezpečnostného rizika“; „nie je možné v súčasnosti jednoznačne určiť okruh subjektov, ani počet osôb, ktoré by potenciálne mohli mať prístup k poskytovaným údajom“; a „nie je možné určiť ani mieru ochrany údajov…, ktorú je tento systém spôsobilý zabezpečiť.“ Výsledok: akceptovaná. V zákone dnes stojí zákaz e-faktúr pre SIS, Vojenské spravodajstvo a utajované skutočnosti.

Prečítajte si tie dve rozhodnutia vedľa seba. Štátna tajná služba oficiálne skonštatovala, že systém je bezpečnostné riziko s nekontrolovateľným okruhom prístupov — a dostala výnimku. Advokáti s tou istou logikou a silnejšou judikatúrou ju nedostali. Klienti advokátov a pacienti lekárov majú menšiu ochranu než nákupné zoznamy tajnej služby.

Národný bezpečnostný úrad k tomu žiadal, aby poštári museli spĺňať bezpečnostné štandardy pre kvalifikované elektronické doručovacie služby podľa nariadenia eIDAS (normy ETSI EN 319 5xx). Zásadná pripomienka: neakceptovaná. Národná autorita pre kybernetickú bezpečnosť žiadala pre kanál, ktorým potečú všetky faktúry v krajine, konkrétne bezpečnostné normy — a ministerstvo financií to odmietlo.

4. Ako to riešia inde

Koncentrované daňové dáta pritom unikajú opakovane: bulharská daňová správa prišla v 2019 o dáta 5+ miliónov občanov, v USA kontraktor IRS vyniesol daňové priznania najbohatších, prevádzkovateľ e-fakturačnej siete Tungsten mal breach v roku 2025. Slovensko na svoju certifikáciu bez bezpečnostných noriem (bod 3) doplácať ešte len začne — a skúsenosť s eKasou, ktorej „neprelomiteľný“ certifikovaný modul sa dal odemulovať, ukazuje, koľko štátna certifikačná pečiatka reálne váži.

5. Domáci precedens: eKasa už raz na ústavnom súde padla

Slovensko má vlastný vzorec, ako sa takýto spor končí. Ústavný súd v náleze PL. ÚS 25/2019 (eKasa) vyslovil protiústavnosť „unikátneho identifikátora kupujúceho“ a zdôraznil, že zákon musí konkrétny účel zberu definovať a odôvodniť pred zberom — nie dodatočne. Prevádzkovateľ (Finančná správa) aj architektúra (real-time prenos do centrálnej databázy) sú pri e-faktúre totožné. A ešte skôr, v náleze PL. ÚS 10/2014 (139/2015 Z. z.), ústavný súd zrušil plošné uchovávanie telekomunikačných metadát. Súdny dvor EÚ drží rovnakú líniu od Digital Rights Ireland po La Quadrature du Net: plošný preventívny zber dát celej populácie bez vzťahu k podozreniu neobstojí ani pri boji so závažnou kriminalitou — tým menej pri výbere DPH.

6. Čo z toho vyplýva

Pre zákonodarcu — tri opravy, ktoré nekazia deklarovaný účel systému:

  1. Minimalizovať dataset: štátu majú odchádzať polia potrebné na výpočet a párovanie DPH — nie názvy položiek a mená. Taliansko dokazuje, že sa to dá dodatočne; lepšie je to spraviť pred spustením.
  2. Výnimku pre profesijnú mlčanlivosť povýšiť z vety vo vyhodnotení MPK na normu — francúzsky vzor existuje, návrh SAK bol na stole. Ochrana, ktorú dostala SIS, patrí aj klientom advokátov a pacientom.
  3. Bezpečnostné štandardy pre poštárov — akceptovať to, čo žiadal NBÚ: eIDAS/ETSI normy, povinná mlčanlivosť, zákaz sekundárneho použitia dát, retenčné limity a nezávislé audity namiesto certifikačnej pečiatky.

Pre advokátov, lekárov a ďalšie profesie — do 30. 6. 2030 existuje legálna cesta, ako neposielať zoznam klientov ani poštárovi, ani štátu: e-faktúru treba vyhotoviť, ale so súhlasom príjemcu ju možno doručiť e-mailom mimo doručovacej služby — a vtedy sa Finančnej správe neoznamuje nič (potvrdené priamo vo FAQ Finančnej správy, príklady č. 61 a 66: „dodávateľ a ani odberateľ nemá povinnosť oznámenia údajov finančnej správe“). Zazmluvneného poštára na príjem mať musíte (§ 71 ods. 5) a opravné faktúry musia ísť rovnakým kanálom ako pôvodné — ale ako klient sa každého dodávateľa viazaného mlčanlivosťou pokojne pýtajte, či fakturuje mimo poštára. Mimochodom: ak zákon sám tri a pol roka pripúšťa fungovanie bez reportingu, ťažko tvrdiť, že reporting je nevyhnutný.

Pre komory — Slovenská advokátska komora svoju odmietnutú pripomienku nikdy verejne nekomunikovala; jej členovia sa o nej dozvedajú z tejto analýzy. Lekárske komory nekonali vôbec a ministerstvo zdravotníctva nepodalo ani pripomienku. Judikatúra C-694/20 a C-432/23 je munícia, ktorú štát nemôže odmávnuť ako ideológiu — a precedens SIS je domáci dôkaz dvojakého metra, aký sa v súdnej sieni číta ľahko.

Ministerstvo financií SR a Finančné riaditeľstvo SR sme podľa zákona č. 211/2000 Z. z. požiadali o sprístupnenie posúdenia vplyvu na ochranu osobných údajov (DPIA) k systému eFaktúra. O odpovediach budeme informovať.

Analýza vychádza z týchto primárnych zdrojov: zákon č. 385/2025 Z. z. a konsolidované znenie zákona o DPH k 1. 1. 2027; špecifikácia SK Tax Data Document v1.0.0; FAQ Finančnej správy 9/DPH/2025/IM; kompletný dataset 255 pripomienok z LP/2025/396 (API portálu Slov-Lex) a vyhodnotenie MPK; smernica (EÚ) 2025/516 a nariadenie (EÚ) 2025/517; stanovisko EDPS 7/2023; rozsudky SDEÚ a ESĽP citované v texte.

more insights