Ide o transpozíciu smernice Rady (EÚ) 2025/516, teda európskeho balíka ViDA, čo je skratka pre VAT in the Digital Age, v preklade daň z pridanej hodnoty v digitálnom veku. Nové ustanovenie § 76a zákona o dani z pridanej hodnoty zavádza takzvanú doručovaciu službu, ktorú poskytujú certifikovaní poskytovatelia. Verejnosť ich pozná pod prezývkou digitálni poštári.
Faktúra už nebude teda ani papier a ani dokument vo formáte PDF. Bude to štruktúrovaný súbor vo formáte XML, teda eXtensible Markup Language, podľa európskej normy EN 16931, ktorý putuje sieťou Peppol, čo je skratka pre Pan-European Public Procurement On-Line. Súbežne s doručením sa údaje z faktúry oznamujú Finančnému riaditeľstvu Slovenskej republiky. Za nesplnenie povinností hrozí pokuta do 10 000 eur a pri opakovanom porušení do 100 000 eur.
Tvrdenie prvé: od 1. januára 2027 to bude povinné
Verdikt: v podstate pravdivé, s výhradami. Povinnosť dopadá na tuzemských platiteľov dane z pridanej hodnoty pri tuzemských dodaniach pre podnikateľov a pre štát. Prijímať elektronickú faktúru musí vedieť prakticky každá zdaniteľná osoba. Prechodné ustanovenie § 85o ods. 2 zákona o dani z pridanej hodnoty však v období od 1. júla 2026 do 30. júna 2030 pripúšťa aj iný spôsob doručenia, ak s tým príjemca súhlasí. Zazmluvneného digitálneho poštára však musí mať firma tak či tak. Legislatíva sa navyše stále mení, ministerstvo financií predložilo v roku 2026 ďalšiu novelu, ktorá systém upravuje ešte pred spustením. Kto tvrdí, že pozná finálnu podobu pravidiel, predbieha zákonodarcu.
Tvrdenie druhé: údaje pôjdu pár desiatkam súkromných firiem
Verdikt: nepresné až zavádzajúce. K júlu 2026 bolo certifikovaných približne 45 poskytovateľov a ďalších deväť bolo v procese akreditácie. To však neznamená, že faktúra putuje ku všetkým. Každá firma si vyberá jedného poskytovateľa, presne ako si vyberá mobilného operátora. Konkrétna faktúra prejde cez poskytovateľa odosielateľa a poskytovateľa príjemcu, teda cez dvoch, nie cez päťdesiatštyri. Formulácia o desiatkach firiem, ktoré dostanú všetko, je rétoricky účinná, ale technicky nesprávna.
Podstatnejšie je však niečo iné. Kompletná databáza tuzemských obchodných vzťahov nevzniká u súkromných poskytovateľov, ale u štátu a to konkrétne na Finančnom riaditeľstve Slovenskej republiky.
Tvrdenie tretie: poštári nemajú mlčanlivosť, limit uchovávania ani zákaz použiť dáta pre seba
Verdikt: v tejto podobe je to nesprávne, ale s pravdivým jadrom. V rozsahu, v akom faktúra obsahuje osobné údaje fyzických osôb, je digitálny poštár sprostredkovateľom podľa čl. 4 bodu 8 nariadenia (EÚ) 2016/679, teda podľa všeobecného nariadenia o ochrane údajov známeho ako GDPR (General Data Protection Regulation). Z toho plynú ale pre neho tvrdé povinnosti. Podľa čl. 28 ods. 3 musí existovať písomná zmluva o ochrane osobných údajov (DPA), ktorá určuje predmet a dobu spracúvania, pričom písmeno b) výslovne vyžaduje záväzok mlčanlivosti osôb oprávnených spracúvať údaje. Podľa čl. 28 ods. 10 sa sprostredkovateľ, ktorý začne určovať vlastné účely, stáva prevádzkovateľom a preberá plnú zodpovednosť. Doba uchovávania je tiež limitovaná zásadou minimalizácie uchovávania podľa čl. 5 ods. 1 písm. e). Bezpečnosť rieši čl. 32. K tomu treba pripočítať akreditáciu Finančnou správou Slovenskej republiky a certifikáciu v sieti Peppol, ktoré overujú technické, organizačné a bezpečnostné požiadavky.
Pravdivé jadro je však vážne a stojí za pomenovanie. GDPR chráni fyzické osoby, nie právnické. Pri fakturácii medzi dvoma spoločnosťami s ručením obmedzeným teda nariadenie väčšinu obsahu nechráni vôbec. Ochrana sa v tejto časti opiera len o zmluvu, o obchodné tajomstvo podľa Obchodného zákonníka a o akreditačné podmienky. Zákonná mlčanlivosť porovnateľná s daňovým tajomstvom podľa § 11 daňového poriadku, teda zákona č. 563/2009 Z. z., ktorou je viazaná finančná správa, pre komerčných poskytovateľov však ustanovená nie je. To je reálna medzera a kritika trafila klinec po hlavičke, aj keď z nesprávneho uhla.
Skúsme analógiu: Kuriérska firma tiež nesmie otvárať zásielky, hoci ju nechráni pred zvedavosťou nič iné než zmluva, zákon a hrozba sankcie. Rozdiel je v tom, že pri kuriérovi vidno rozlepenú obálku. Pri dátach nevidno nič.
Tvrdenie štvrté: advokátske tajomstvo výnimku nedostalo, tajná služba áno
Verdikt: pravdivé v účinku. Zákon zakazuje vyhotoviť elektronickú faktúru vtedy, ak je odberateľom Slovenská informačná služba alebo Vojenské spravodajstvo, alebo ak je plnenie utajovanou skutočnosťou, prípadne je s ňou spojené alebo si ju vyžaduje. Iná výnimka pre profesijné tajomstvá v zákone nie je. Advokátska kancelária, ktorá je platiteľom dane z pridanej hodnoty, teda bude fakturovať elektronicky ako ktokoľvek iný.
Tvrdenie o tom, že Slovenská advokátska komora v pripomienkovom konaní žiadala ochranu identity klientov a bola odmietnutá, sa z verejne dostupných zdrojov overiť nepodarilo. Rovnako sa nepodarilo overiť doslovné znenie o neúmernom bezpečnostnom riziku.
Právne je to však téma s veľkou váhou. Súdny dvor Európskej únie v rozsudku vo veci C-694/20 (Orde van Vlaamse Balies) zrušil povinnosť advokáta oznamovať údaje ďalším sprostredkovateľom práve preto, že zasahovala do práva na rešpektovanie komunikácie medzi advokátom a klientom podľa čl. 7 Charty základných práv Európskej únie. Na tú istú líniu nadviazal aj v novšej veci C-432/23. Ak zo štruktúrovaného súboru vyplýva, kto je klientom advokáta, v akom rozsahu a za koľko, ide o informáciu, ktorá je jadrom vzťahu chráneného § 23 zákona č. 586/2003 Z. z. o advokácii.
Paradox, ktorý paradoxom nie je
Argumentáacia, že štát sám považuje systém za neúmerné bezpečnostné riziko, a napriek tomu ho nariaďuje firmám, znie efektne. Logicky však nesedí. Výnimka pre spravodajské služby nechráni službu pred zlým systémom, chráni utajované skutočnosti a identitu dodávateľov spravodajskej služby, teda informácie, ktorých únik má iné následky než únik ceny za upratovanie kancelárie. Podobné výnimky pre obranu a bezpečnosť obsahuje prakticky každý štát a pozná ich aj čl. 2 ods. 2 písm. a) a b) GDPR.
Zostáva však legitímna otázka o dvojakom metri. Štát pri sebe uznal, že metadáta o obchodných vzťahoch sú citlivé samy osebe, aj keď obsah plnenia nie je verejný. Ak to platí aj pre spravodajskú službu, a platí to v inej miere aj pre advokáta, novinára, lekára či bezpečnostného audítora, ktorého zoznam klientov je zároveň zoznamom firiem s odhalenými slabinami. Tento argument je vecný a nepotrebuje žiadne konšpiračné úvahy.
Kde je teda skutočné riziko
Prvým rizikom je koncentrácia u štátu. Finančná správa Slovenskej republiky získa údaje o tuzemských dodaniach takmer v reálnom čase. Platí pritom, že v obmedzenom rozsahu ich má už dnes z kontrolného výkazu, ktorý sa ruší až od 1. júla 2030, takže nejde o skokovú zmenu, ale o zosilnenie existujúceho trendu. Právnym testom teda nie je otázka, či to štát smie, ale či rozsah zodpovedá zásade nevyhnutnosti a primeranosti podľa čl. 52 ods. 1 Charty základných práv Európskej únie. Súdny dvor Európskej únie na to bol prísny v slovenskej veci C-73/16 (Puškár) aj vo veci C-175/20, kde daňovej správe pripomenul, že požiadavka minimalizácie údajov platí aj pre správcu dane.
Druhým rizikom je bezpečnosť poskytovateľov. Prienik do systému jedného veľkého digitálneho poštára by odkryl obchodné vzťahy tisícok firiem naraz. Tu pomáha čl. 32 GDPR, ohlasovacia povinnosť podľa čl. 33 a v prípade, že poskytovateľ spadne do pôsobnosti zákona č. 366/2024 Z. z. o kybernetickej bezpečnosti, ktorý transponoval smernicu NIS2, tak aj sektorová regulácia ak existuje. Firma by si mala od poskytovateľa vyžiadať certifikát podľa normy ISO/IEC 27001, správu o penetračnom teste a aj plán reakcie na incident. Nie preto, že je to trendy, ale preto, že za výber sprostredkovateľa zodpovedá podľa čl. 28 ods. 1 GDPR ona sama.
Tretím rizikom je umiestnenie spracúvania. Časť poskytovateľov sídli mimo Slovenska. Ak by sa údaje spracúvali mimo Európskeho hospodárskeho priestoru, nastupujú pravidlá o prenosoch podľa čl. 44 a nasl. GDPR. Vtedy je tu otázka na DPA zmluvu, pripadne zmluvné doložky SCC, vyhotovenie rizikových hodnotení ako napríklad LIA, TIA a DPIA.
Štvrtým rizikom je závislosť od jedného dodávateľa. Prenositeľnosť a podmienky ukončenia zmluvy rieši nariadenie (EÚ) 2023/2854, teda Data Act, v preklade zákon o dátach. Kto podpíše zmluvu bez exitovej doložky, tak si nekupuje poštára, ale zámok na večné veky.
Čo má firma urobiť namiesto zdieľania poplašných správ
Uzavrieť so zvoleným poskytovateľom zmluvu podľa čl. 28 GDPR s výslovnou mlčanlivosťou, zákazom spracúvania na vlastné účely, určenou lehotou uchovávania a povinnosťou vymazať údaje po skončení zmluvy. Doplniť zmluvnú ochranu obchodného tajomstva, keďže na dáta právnických osôb GDPR nesiahne. Preveriť, kde poskytovateľ dáta spracúva a kto sú jeho subdodávatelia (ak sú). Aktualizovať záznamy o spracovateľských činnostiach podľa čl. 30 a informačnú povinnosť podľa čl. 13. Pri citlivých profesiách zvážiť posúdenie vplyvu podľa čl. 35 (DPIA). A v neposlednom rade by bolo fajn poslať aj kvalifikovanú pripomienku do ďalšieho legislatívneho procesu, ktorý stále beží.
Záver
Text, ktorý koluje po sieťach, má pravdu v tom, že povinnosť príde, že poštár bude nutný a že profesijné tajomstvá zostali bez výnimky, kým spravodajské služby ju dostali. Nemá pravdu v tom, že dáta putujú desiatkam firiem naraz, že poskytovatelia nemajú žiadne povinnosti mlčanlivosti a limity uchovávania, a v tom, že najväčšia databáza skončí v súkromných rukách.
Zostáva jedna nepríjemná vec, ktorá platí bez ohľadu na to, kto má v spore pravdu. Systém sa spustí o necelý rok a diskusia o ňom sa vedie v jazyku poplachu namiesto v jazyku zmluvných doložiek a bezpečnostných požiadaviek. Presne v tom je najväčšie riziko celého projektu, lebo poplach sa časom vytratí, ale zle nastavená zmluva so sprostredkovateľom zostane platiť desať rokov.
