Zverejnenie osobných údajov v obchodnom registri z pohľadu práva Únie

Ide o najväčší zásah štátu do súkromia občanov v histórii republiky alebo o ide o zbytočnú hystériu? Ak chceme poznať správnu odpoveď na túto otázku, musíme zavítať do vôd Unijného práva a judikatúry Súdneho dvora EÚ. Právo Únie obsahuje požiadavky vo všetkých troch rovinách: (i) požiadavky na obchodné registre, ich obsah a ich verejnosť; (ii) požiadavky na ochranu osobných údajov; a (iii) požiadavky na vyváženie týchto dvoch protichodných záujmov. Pokúsim sa v tomto príspevku vysvetliť všetky tri roviny požiadaviek, pretože mám pocit, že vo verejnej diskusii (s výnimkou výborného príspevku JUDr. Petra Štrpku 👍🏼) akosi absentujú.

Čo právo Únie vyžaduje od obchodných registrov?

Smernica č. 2017/1132 vyžaduje v čl. 14 minimálny rozsah dokumentov a informácií, ktoré majú obchodné registre zverejňovať. Ide o najmä o zakladateľské dokumenty, ich zmeny a úplné znenia. Zoznamy akcionárov ani spoločníkov sa zverejňovať podľa smernice nemusia (viď SDEÚ vo veci C-798/24). Ďalej sú to dokumenty týkajúce sa vymenovania štatutárov a členov dozorných orgánov. Je tu aj ďalších osem druhov dokumentov alebo informácií, ale tie z pohľadu zásahu do súkromia nie sú tak významné ako vyššie uvedené. Dôvodom, cieľom a účelom spracúvania pri zverejňovaní týchto dokumentov je podľa recitálov 7 a 8 smernice (SDEÚ vo veci C-798/24):

"ochrana záujmov tretích osôb, pričom zverejnenie podstatných dokumentov spoločnosti by malo tretím osobám umožniť oboznámiť sa s ich obsahom as inými informáciami týkajúcimi sa spoločnosti, najmä údajmi o osobách, ktoré sú oprávnené ju zaväzovať"

V súlade s týmito cieľmi smernice môže byť aj zabezpečenie transparentného podnikateľského prostredia, ako deklaroval lotyšský obchodný register.

Smernica sa však hovorí len o zverejnení dokumentov. Nehovorí nič o tom, či s dokumentami majú byť zverejnené aj osobné údaje v nich obsiahnuté. Ako potvrdil SDEÚ vo veci C-200/23, zverejňovane osobných údajov v týchto dokumentoch smernica nevyžaduje a je na posúdení členských štátov ako vyvážiť právnu istotu a záujmy tretích strán s potrebou zverejňovať osobné údaje spolu s dokumentami, ktoré majú byť verejné.

V tomto (bulharskom) prípade tiež SDEÚ jasne konštatoval, že je v rozpore so smernicou a GDPR, ak by obchodný register vyžadoval ako podmienku odstránenia alebo nezverejnenia osobných údajov v dokumentoch poskytnutie anonymizovanej zakladateľskej listy od zapísaných osôb. Toto cvičenie, ak sa ukáže byť nevyhnutné pre vyváženie protichodných práv, má vykonať obchodný register. SDEÚ jasne potvrdzuje, že ide o menej invazívnu a rovnako účinnú alternatívu, ako zverejňovať všetky osobné údaje v dokumentoch.

V záujme objektívnosti, smernica nebráni tomu, aby obchodné registre získavali a aj ďalšie údaje a dokumenty nad jej rámec, čo typicky obchodné registre aj robia. Len potom sa členské štáty nemôžu odvolávať na ciele smernice a odôvodňovať nimi zverejnenie osobných údajov. Tiež SDEÚ vo veci C-200/23.

Mimo obchodných registrov je tiež zaujímavý rozsudok SDEÚ vo veci C-184/20 ohľadne litovského registra verejných záujmov na boj proti korupcii. Tu nebolo nevyhnutné na dosiahnutie cieľa zverejňovať osobné údaje rodinných príslušníkov verejných funkcionárov a napr. fyzických osôb, ktoré im poskytli dar. Ich údaje mali byť z verejného registra vyčiernené – pseudonymizované. Tento register pritom by default rodné čísla nezverejňoval.

Záverom, aj keď nejaké zverejnenie osobných údajov je nevyhnutné na splnenie cieľov smernice, smernica výslovne žiadne konkrétne osobné údaje nevyžaduje zverejniť a necháva na dôkladné posúdenie členských štátov, aké osobné údaje napokon zverejnia spolu s povinne zverejňovanými dokumentami. Zverejnenie všetkého - aj údajov, ktoré smernica ani nevyžaduje a ani ich nespomína - určite nebude nevyhnutné na splnenie cieľov smernice.

Čo vyžaduje GDPR od prevádzkovateľov?

Právny základ. SDEÚ v bulharskom prípade C-200/23 určil, že právnym základom obchodného registra je plnenie úlohy vo verejnom záujme podľa čl. 6 ods. 1 písm. e) GDPR. V lotyšskom prípade C-798/24 hovoril o právnom základe podľa čl. 6 ods. 1 písm. c) GDPR. Oba právne základy ale vychádzajú z rovnakého čl. 6 ods. 3 GDPR, ktorý je v tomto prípade kľúčovým. Obsahuje totiž požiadavky, ktoré by mal zákon o obchodnom registri spĺňať. Tie nemusia vyplývať z normatívneho textu, ale stačí, ak sú predvídateľné napr. z judikatúry (SDEÚ vo veci C-710/23). Avšak, absolútne minimum podľa SDEÚ (C-798/23) a čl. 6 ods. 3 GDPR je, aby účel spracúvania bol vymedzený v normatívnom kontexte (priamo v zákone):

"v tejto súvislosti je dôležité, aby dotknutý účel alebo účely mohli byť vymedzené dostatočne určito vzhľadom na znenie dotknutej právnej úpravy alebo normatívny kontext, do ktorého táto právna úprava patrí."

Účel spracúvania. V prvom rade je teda potrebné určiť cieľ alebo dôvod zásahu do práva na súkromie a ochranu osobných údajov tým, že sa údaje zverejnia. Tento cieľ by mal byť totožný alebo aspoň prepojený s pojmom účel spracúvania. Podľa smernice je týmto cieľom ochrana záujmov tretích strán vysvetlená vyššie (ďalej len "cieľ" alebo "účel spracúvania").

Transparentnosť. Tento účel spracúvania musí byť jasne a transparentne vysvetlený dotknutým osobám podľa čl. 12 a čl. 13 GDPR. Ak si teda dotknutá osoba otvorí privacy policy obchodného registra, mala by v časti účely spracúvania nájsť odpoveď na to, prečo je nevyhnutné jej osobné zverejniť.

Ak tieto úvodné požiadavky splnené nie sú (a teda zákon alebo privacy policy nevymedzujú jasne a rovnako účel spracúvania), ide o porušenie zásady zákonnosti, férovosti a transparentnosti podľa čl. 5 ods. 1 písm. a) GDPR. A to bez ohľadu na to, čo sa zverejňuje.

Mimochodom, v informačnej povinnosti ministerstva spravodlivosti nájdeme takéto účely: (i) registrácia obchodných spoločností a fyzických osôb podnikateľov; (ii) zverejňovanie údajov v Obchodnom vestníku; (iii) digitalizácia zbierky listín. Takto vymedzené účely sa dajú splniť aj bez toho, aby sme čokoľvek zverejňovali. Nič z toho nepripomína účely spracúvania a ciele, o ktorých hovorí smernica. V zákone o obchodnom registri účely spracúvania nenájdeme. Nájdeme tam len publicitu obchodného registra, ktorá evidentne nadväžuje na ciele smernice, ale nedá sa považovať za účel spracúvania.

Obmedzenie spracúvania rozsahu. Následne základné zásady obmedzenia účelu a minimalizácie údajov vyžadujú, aby bolo spracúvanie obmedzené na nevyhnutné minimum. Ide o vyjadrenie zásady proporcionality. Vyžaduje to aj štandardne navrhnutá ochrana osobných údajov podľa čl. 24 GDPR.

Mitigácia rizík pre práva a slobody. Z viacerých ustanovení vrátane čl. 35 GDPR vyplýva povinnosť prevádzkovateľa zohľadniť riziká pre práva a slobody fyzických osôb pred začatím spracúvania a zaviesť opatrenia na ich mitgáciu.

Rodné čísla. V neposlednom rade, čl. 87 GDPR nám umožňuje prijať špecifické (prísnejšie) podmienky spracúvania národných identifikátorov. Tie obsahuje § 78 ods. 4 zákona o ochrane osobných údajov, ktorý plošne zakazuje akékoľvek zverejnenie rodného čísla akýmkoľvek prevádzkovateľom. Odkaz na GDPR je preto odkazom aj na tento zásah.

Čo vyžaduje právo Únie pri vyvážení protichodných práv?

Podľa SDEÚ čl. 6 ods. 3 odzrkadľuje požiadavky čl. 52 Charty EÚ. Ide teda o jasný odkaz na zásadu proporcionality a vyvažovacie cvičenie pri strete dvoch protichodných práv, ktoré sú členské štáty povinné vykonať pred uzákonením normy, ktorá je základom pre zásah (t.j. zákon o obchodnom registri). SDEÚ najprv identifikuje cieľ zásahu, ktorým je v tomto prípade ochrana záujmov tretích strán podľa smernice. Následne sa SDEÚ pýta tieto otázky:

1. Spôsobilosť. Je vôbec zverejnenie osobných údajov spôsobilé pomôcť dosiahnuť tento cieľ?

2. Nevyhnutnosť. Nejde spracúvanie nad rámec toho, čo je striktne nevyhnutné na dosiahnutie tohto cieľa? Tu SDEÚ hľadá alternatívu, ktorá je menej invazívna ale dokáže rovnako dosiahnuť sledovaný cieľ.

3. Až následne je možné pristúpiť k skúmaniu proporcionality zásahu, pričom z čl. 52 Charty EÚ vyplýva, že:

a. zásah musí vyplávať zo zákona - legitimita

b. musí rešpektovať podstatu práv a slobôd, ktoré obmedzuje - proporcionalita

c. zásah musí byť proporcionálny k sledovanému cieľu - proporcionalita.

Spôsobilosť a legitimita sa zdajú byť prepojené do úvodného posúdenia, nasleduje test nevyhnutnosti, potom test proporcionality.

Vo vzťahu k spôsobilosti, SDEÚ už povedal, že zverejňovanie osobných údajov iných osôb ako zapísaných osôb v litovskom registri záujmov nebolo vôbec spôsobilé pomôcť cieľu, ktorým bol boj proti korupcii. Takisto ani zverejňovanie citlivých údajov podľa čl. 9 GDPR, ktoré mohli vyplývať z priznaní majetkov, prepojení a vzťahov (s kým osoba žije - sexuálna orientácia). Takisto SDEÚ povedal (už min. dvakrát), že plošný prístup verejnosti k údajom o konečných užívateľoch výhod nie je spôsobilý pomôcť AML účelom (SOVIM a C-798/24). Ak teda zverejňujeme osobné údaje aj iných osôb ako spomína smernica (štatutári, zakladatelia a členovia dozorných orgánov), mala by nám blikať červená kontrolka.

Vo vzťahu k legitimite, SDEÚ hľadá odpovede na to, čo vyžaduje čl. 6 ods. 3 GDPR od zákona o obchodnom registri nie len v jeho normatívnom znení, ale celkovo v predvídateľnom práve. Tieto náležitosti môžu vyplývať aj z judikatúry, usmernení, dôvodových správ, vyjadrení obchodného registra, jeho informačných povinností podľa čl. 13 GDPR (privacy policy), zvyklostí a zaužívaného postupu. Ide o vyjadrenie požiadavky predvídateľného práva podľa Charty EÚ. Minimum však je, aby aspoň účel spracúvania vyplýval z normatívneho textu zákona o obchodnom registri.

Vo vzťahu k nevyhnutnosti, SDEÚ už povedal, že zverejnenie zakladateľskej listy so začiernenými osobnými údajmi sa zdá byť rovnako účinná alternatíva na dosiahnutie sledovaného cieľa, ktorá je ďaleko menej invazívna. V bulharskom prípade SDEÚ stanovil, že ide o povinnosť obchodného registra najmä vtedy, ak chce zverejňovať osobné údaje vo väčšom rozsahu, ako sa zdá byť nevyhnutné podľa smernice. V lotyšskom prípade SDEÚ povedal, že zverejňovanie údajov o akcionároch nebolo nevyhnutné na dosiahnutie cieľov obchodného registra podľa smernice.

Vo vzťahu k proporcionalite, SDEÚ skúma aké opatrenia na ochranu práv dotknutých osôb sú zavedené v obchodnom registri. Ako obchodný register reaguje, keď dotknutá osoba uplatní námietku podľa čl. 21 GDPR, na ktorú má právo. Či vôbec túto námietku priznáva obchodný register (u nás nie). Či má zavedené mechanizmy ako sa dotknuté osoby môžu domôcť svojich práv. Ako vyvážil obchodný register zásah napríklad nezverejňovaním úplne všetkého čo má k dispozícii ale dôkladným posúdením minimálneho nevyhnutného rozsahu. Takisto sa v tejto časti posúdenia skúma, akým negatívnym dopadom a rizikám sú týmto zásahom dotknuté osoby vystavené, pričom v lotyšskom prípade SDEÚ konštatoval, ak sú osobné údaje akcionárov voľne dostupné na internete a môžu byť predmetom hromadných sťahovaní akéhokoľvek anonymného používateľa, vnútroštátna úprava nie je sprevádzaná dostatočnými zárukami a riziká zneužitia na iné účely sú zvýšené.

Tieto otázky je potrebné skúmať vo vzťahu ku konkrétnemu prípadu a konkrétnemu rozsahu zverejňovaných osobných údajov. Ak prípad neprejde jedným testom (napr. legitimitou), výsledok je negatívny a ďalej sa neposudzuje. Zásah je nezákonný.

Záver

Debata o tom, či zbierka listín zverejňuje príliš veľa osobných údajov by nemala byť obmedzená len na to, čo hovorí zákon o obchodnom registri. To nie je úplne rozhodujúce. Sme členmi EÚ, debata by sa mala primárne odvíjať od požiadaviek práva EÚ na zásah do súkromia, ktoré sú úplne jasné a známe.

Ide teda o neoprávnený zásah do súkromia alebo hystériu? Akokoľvek pozitívne sú prínosy nového obchodného registra, vrátane použitia online výpisov na právne účely alebo odstránenia trvalého bydliska pri štatutároch (na túto potrebu som upozorňoval už v decembri 2022 viď HNOnline a Pluska), zverejnenie osobných údajov v zbierke listín neprejde už prvým testom spôsobilosti / legitimity. Myslím si, že ministerstvo zlyháva už pri prvom kroku, lebo nevie zmysluplne vysvetliť aký je účel spracúvania pri zverejňovaní osobných údajov, neinformuje o ňom dostatočne jasne a takisto ho jasne vymedzuje ani zákonom o obchodnom registri.

Aj keby sme sa povzniesli na týmito základnými nedostatkami - a domysleli si účel spracúvania zo smernice - zverejňovanie všetkého čo v zbierke listín máme bez akýchkoľvek obmedzení a bez akéhokoľvek posúdenia tohto zásahu nemá ako byť súladné s právom EÚ a judikatúrou SDEÚ. Niečo také jednoducho neprejde cez test nevyhnutnosti a k testu proporcionality (ktorú nezabezpečuje) sa ani nedostaneme. SDEÚ nám jasne povedal, že je povinnosťou obchodných registrov zvážiť začiernenie niektorých údajov pred zverejnením dokumentov. Tiež nám povedal, ako závažný a nebezpečný je zásah spočívajúci v zverejňovaní všetkého, pričom my zverejňuje viac ako ktorýkoľvek obchodný register, ktorý kedy SDEÚ posudzoval.

SDEÚ nám už trikrát odpovedal, ako prípadný súdny spor skončí a niektorí z nás na to upozorňovali už po rozsudku SOVIM v decembri 2022 pred zavedením nového registra (viď HNOnline a Pluska), pretože toto vyvažovacie cvičenie platí pre všetky zásahy, nie len pre obchodné registre.

Podľa môjho názoru rozhodne o žiadnu hystériu nejde. Neviem si predstaviť plošnejší zásah do súkromia obyvateľov možno s výnimkou otvorenia registra obyvateľov.

Jakub Berthoty

Dagital Legal, s.r.o.