Slovensko od 1. decembra 2026 otvára cesty vozidlám, v ktorých za volantom nesedí nikto. Namiesto vodiča tam je automatizovaný systém riadenia, kilometre od vozidla sediaci operátor dohľadu a nepretržitý tok dát, ktorý rozhoduje o brzdení, odbočovaní aj o reakcii na chodca pri priechode. Tento text sa nevenuje celej novele zákona č. 106/2018 Z. z., ale jej technickému, dátovému a bezpečnostnému jadru, teda otázke, čo sa stane so záznamami, s kybernetickou ochranou a s osobnými údajmi v okamihu, keď sa volant teoreticky zmení už len na spomienku.
Dve právne vrstvy, ktoré sa nesmú zamieňať
Novela zákona č. 106/2018 Z. z. o prevádzke vozidiel v cestnej premávke, schválená Národnou radou Slovenskej republiky, nadobúda účinnosť 1. decembra 2026 a zavádza 3 kľúčové definície:
Automatizované vozidlo je podľa § 2 ods. 2 písm. ad) vozidlo, ktoré je schopné istý čas jazdiť samostatne, pričom zásah vodiča sa stále predpokladá,
Plne automatizované vozidlo podľa písmena ae) je vozidlo navrhnuté tak, aby sa pohybovalo úplne samostatne, a automatizovaný systém riadenia podľa písmena a
Podľa písmena f) je hardvér a softvér, ktorý nad vozidlom trvalo vykonáva dynamickú kontrolu.
Operačná oblasť použitia a slovenská cesta, ktorá musí dáta dokázať prečítať
Najdôležitejšou technickou hranicou celej regulácie je operačná oblasť použitia, v pôvodnej terminológii Operational Design Domain, teda súbor geografických, dopravných, časových, poveternostných a environmentálnych podmienok, za ktorých môže automatizovaný systém riadenia vykonávať dynamickú úlohu riadenia. Vozidlo tak môže byť spôsobilé jazdiť po vybranom mestskom okruhu za denného svetla, ale napríklad už nie v noci počas poľadovice a/alebo na horskej ceste. Práve táto podmienenosť, a nie marketingové slovo autonómnia, rozhoduje o tom, kde sa môže skutočne pohybovať.
Zákon zároveň ukladá vozidlu povinnosť dosiahnuť minimálny bezpečný stav pri poruche systému, a to pri prekročení podmienok operačnej oblasti alebo pri nemožnosti včasného zásahu operátora. Systém tak nesmie byť navrhnutý iba na pekného počasia, ale musí zvládnuť aj deň, keď nebudú úplne ideálne podmienky. Táto podmienenosť si však vyžaduje aj reálnu infraštruktúru.
Slovensko však dnes nemá celoplošné pokrytie mobilnou sieťou 5. generácie. Chýba mu aj jednotná celoštátna databáza dynamických dopravných obmedzení. Okrem toho správcovia štátnych, krajských a miestnych komunikácií vedú svoje evidencie oddelene, nie vždy v kompatibilnom formáte, čo je pri vozidle riadenom podľa dát a nie podľa skúseností, prekážkou bezpečnosti. Riešením, ktoré zákon predpokladá v novom § 49c, je postupné zavádzanie tejto dopravy v kontrolovaných zónach, kde sa pripravenosť overí vopred so záväzným stanoviskom správcu komunikácie, obce, polície a tiež pri skúšobnej prevádzke.
Riadiace centrum, digitálna veža dohľadu nad cestnou premávkou
Riadiace centrum, ktoré musí mať každý držiteľ licencie, má podľa § 49d zákona zabezpečiť nepretržitý technický dohľad, komunikáciu s orgánmi verejnej moci a identifikáciu operátora dohľadu. Funkčne je to podobné veži letiskovej kontroly, len namiesto desiatok lietadiel riadi stovky vozidiel naraz a komunikuje priamo so strojom.
Návrh vykonávacej vyhlášky, ktorý má rozpracovať požiadavky na riadiace centrum, navrhuje aj kapacitný limit: 1 operátor by mal pri monitorovaní dohliadať naraz najviac na 10 vozidiel, ale pri priamom diaľkovom vedení už len na 1 vozidiel. Číslo sa v pripomienkovom konaní ale môže zmeniť a nemalo by sa to chápať ako univerzálny štandard, pretože 10 vozidiel v pokojnej zóne je iná záťaž než 10 vozidiel v hustej mestskej premávke v piatok popoludní.
Z toho vyplýva teda potreba redundancie komunikačných kanálov, riadenia zaťaženia operátorov, ich autentifikácie a auditu zásahov, záložného napájania a monitorovania latencie a podobne. Riadiace centrum tak určite nie je miestnosť s 10 monitormi, ale funkčne sa blíži operačnému centru kritického kyberneticko-fyzického systému.
Záznamový systém, nová čierna skrinka na kolesách
Najsilnejšia dátová časť zákona sa skrýva v § 49f. Plne automatizované vozidlo musí mať záznamový systém, ktorý zachytáva režim riadenia, zásahy do riadenia, prevádzkový stav vozidla a bezpečnostne významné udalosti, s presnosťou, úplnosťou a uchovávaním, ktoré zabraňuje zmene, strate alebo zničeniu údajov. Ide fakticky o 3 dátové vrstvy, telemetriu o stave vozidla počas celej jazdy, vysokofrekvenčný záznam viazaný na bezpečnostnú udalosť v intervale 30 sekúnd pred ňou a 10 sekúnd po nej, a záznam o dohľade, teda povely z riadiaceho centra vrátane presného času reakcie operátora.
Mimoriadne dôležité je aj to, že každý záznam musí byť spätne prepojiteľný s konkrétnou verziou automatizovaného systému riadenia, aktívnou v danom okamihu. Pri nehode nebude teda stačiť vedieť, že vozidlo malo softvér verzie 8, bude treba preukázať, aký presný build a konfigurácia ovplyvňovali jazdné rozhodnutie. Je to podobné ako pri leteckej nehode nestačí vedieť, že lietadlo malo autopilota, ale treba poznať jeho presné nastavenia. Lehoty uchovávania sú, samozrejme, presne dané. Telemetria 30 dní, udalostné údaje a údaje o dohľade 2 roky, a pri správnom či trestnom konaní až do jeho skončenia. Údaje sa ministerstvu poskytujú v elektronickej, otvorenej a strojovo spracovateľnej podobe, čím Slovensko vytvára požiadavku na auditovateľnú dátovú stopu každej jazdy. Poslanci doplnili aj sankciu za neuchovávanie, neposkytovanie alebo nedodržanie dôvernosti, integrity a dostupnosti údajov, teda tá známa požiadavka CIA (Confidentality, Integrity a Accountibility), troch pilierov bezpečnostnej politiky v ISO 27001.
Kybernetická bezpečnosť
Pri klasickom aute je najhorším scenárom porucha bŕzd. Pri automatizovanom vozidle môže podobný následok spôsobiť kompromitovaná softvérová aktualizácia, falšované dáta zo senzora, manipulácia s digitálnou mapou alebo únos komunikačnej relácie s riadiacim centrom. Zákon reaguje lehotou v § 49a ods. 6, kde držiteľ licencie musí do 24 hodín oznámiť ministerstvu každý kybernetický incident s možným vplyvom na bezpečnosť prevádzky, a do 15 dní aj bežnú softvérovú aktualizáciu už bez takéhoto vplyvu.
Ako na to? Na úrovni EÚ a medzinárodného práva už existuje aj pevný rámec, na ktorý sa dá priamo odkázať bez vytvárania paralelného slovenského štandardu. Predpis Európskej hospodárskej komisie Organizácie Spojených národov, skrátene OSN, číslo 155 upravuje systém riadenia kybernetickej bezpečnosti výrobcu, skrátene CSMS z anglického Cyber Security Management System, kde predpis číslo 156 upravuje systém riadenia softvérových aktualizácií, skrátene SUMS z anglického Software Update Management System. Oba sú súčasťou typového schvaľovania vozidiel podľa Nariadenia (EÚ) 2019/2144 a dopĺňa ich aj norma ISO/SAE 21434 od Medzinárodnej organizácie pre normalizáciu, ISO, a Spoločnosti automobilových inžinierov (SAE).
Samostatnou otázkou je tiež to, či prevádzkovateľ flotily plne automatizovaných vozidiel, napríklad v mestskej hromadnej doprave, naplní aj iba znaky prevádzkovateľa základnej služby podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, ktorý od 1. januára 2025 transponuje smernicu (EÚ) 2022/2555, teda smernicu NIS2.
Doprava totiž patrí medzi sektory vysokej kritickosti, a ak sa povinnosť uplatní, tak prevádzkovateľa a jeho manažéra kybernetickej bezpečnosti čakajú aj opatrenia podľa článku 21 smernice, teda povinnosti od analýzy rizík, cez riadenie zraniteľností, až po viacfaktorovú autentifikáciu, a hlásenie incidentov Národnému bezpečnostnému úradu. A to je vymenovaná len časť povinností.
GDPR: keď kamera na aute nevidí objekty, ale ľudí
Technická dokumentácia hovorí o objektoch, trajektóriách a senzorických vstupoch. Nariadenie (EÚ) 2016/679, všeobecne známe pod skratkou GDPR, však používa inú optiku. Ak senzor umožní priamo či nepriamo identifikovať chodca, cestujúceho, operátora alebo vlastníka evidenčného čísla iného vozidla, ide o osobný údaj podľa článku 4 bodu 1 GDPR, a to isté platí pre lokalizačnú a časovú telemetriu, ak je priraditeľná ku konkrétnej osobe.
Každý držiteľ licencie si musí preto zodpovedať, kto je vo vzťahu k týmto osobným údajom Prevádzkovateľom podľa článku 4 bodu 7 GDPR. Na 1. pohľad je prirodzeným kandidátom on sám, pretože určuje účely a prostriedky spracúvania. Ak ale riadiace centrum prevádzkuje samostatný subjekt, vzniká buď vzťah spoločných prevádzkovateľov podľa článku 26 GDPR, alebo vzťah Prevádzkovateľa a Sprostredkovateľa podľa článku 28 GDPR. Treba si na toto dávať pozor, pretože bez tohto jasného rozdelenia rolí sa zodpovednosť za ochranu údajov v praxi rozplynie medzi viacero subjektov a nikto sa k nej napokon nebude hlásiť.
Pre povinnú evidenciu osôb je právnym základom spracúvania článok 6 ods. 1 písm. c) GDPR, teda splnenie zákonnej povinnosti. Pre kamerové záznamy von z vozidla však pripadá do úvahy skôr článok 6 ods. 1 písm. f) GDPR, oprávnený záujem, hoci pri nepretržitom zázname verejného priestoru treba dôsledne zvažovať zásadu minimalizácie údajov podľa článku 5 ods. 1 písm. c) GDPR, pretože nie je to isté nahrávať pár sekúnd pred kolíziou a nahrávať nepretržite celú trasu bez ohľadu na to, či sa niečo deje.
Pri takomto doslova monitorovaní verejne prístupného priestoru vo veľkom rozsahu je vysoko pravdepodobné, že sa uplatní aj povinnosť vykonať posúdenie vplyvu na ochranu osobných údajov, v skratke DPIA (Data Protection Impact Assessment), podľa článku 35 GDPR.
Sankcia za nedodržanie CIA údajov, ktorú poslanci doplnili do zákona, je napokon priamym odrazom zásady dôvernosti, integrity a dostuponosti podľa článku 5 ods. 1 písm. f) GDPR a povinnosti zabezpečenia spracúvania podľa článku 32 GDPR.
Takže kybernetická bezpečnosť podľa predpisov OSN číslo 155 a 156 a CIA osobných údajov podľa GDPR, tak nie sú 2 oddelené povinnosti, ale jedna a tá istá povinnosť videná z dvoch uhlov pohľadov toho istého systému.
AI Act , Data Act: keď treba myslieť dopredu
Automatizovaný systém riadenia bude vo väčšine prípadov vysokorizikovým systémom AI podľa článku 6 ods. 1 Nariadenia (EÚ) 2024/1689, Aktu o umelej inteligencii, pretože je bezpečnostnou komponentou vozidla podliehajúceho typovému schvaľovaniu. To prináša ale nové povinnosti riadenia rizika, logovania a najmä ľudského dohľadu podľa článku 14, ktorý v praxi spĺňa presne osoba, ktorú zákon nazýva operátorom dohľadu. Ide o niekoľko desiatok dokumentácie a procesných krokov, čiže nie je to maličkosť.
Druhou témou je Nariadenie (EÚ) 2023/2854, Akt o údajoch, ktoré od 12. septembra 2025 dáva používateľovi vozidla právo na prístup k dátam, ktoré generuje, čo vytvára trenie s povinnosťou uchovávať tie isté dáta len pre štátny dohľad.
Treťou témou je zákon č. 71/2023 Z. z. o prístupnosti výrobkov a služieb pre osoby so zdravotným postihnutím, ktorý by mal pri doručovacích vozidlách na chodníkoch vyžadovať aj zvukovú signalizáciu, pretože reflexná zástavka nepomôže nevidiacemu ani slabozrakému chodcovi.
Samotná téme je oveľa komplexnejšia, než sa tu podarilo popísať. Treba to sledovať a aktualizovať si vedomosti.
Odporúčania a záver
Slovenská cesta k plnej automatizácii dopravy je reálna a schválený zákon jej dáva solídny, a prekvapivo podrobný technický a dátový základ. Skutočná kvalita sa však ukáže až v návrhu vyhlášky LP/2026/500 a v tom, ako presne prepojí riadiace centrum, dohľad a bezpečnostnú správu so štandardmi, ktoré už dnes existujú na európskej a medzinárodnej úrovni. Z tejto krátkej analýzy vyplývajú však už 4 odporúčania.
Priamo odkázať v návrhu vyhlášky na predpisy OSN číslo 155 a 156 namiesto vytvárania paralelného slovenského štandardu kybernetickej bezpečnosti.
Výslovne vyjasniť rolu Prevádzkovateľa a prípadného Sprostredkovateľa medzi držiteľom licencie a prevádzkovateľom riadiaceho centra.
Uznať funkciu operátora dohľadu ako naplnenie požiadavky ľudského dohľadu podľa Aktu o umelej inteligencii, a tým ušetriť duplicitnú administratívu.
Vnímať limit 10 vozidiel na operátora ako horný strop závislý od rizikovosti konkrétnej operačnej oblasti, nie ako univerzálny bezpečný štandard.
Bežný človek nemusí rozumieť senzorovej fúzii ani neurónovým sieťam, aby mohol automatizovanému vozidlu dôverovať. Musí však existovať systém, ktorý vie spätne preukázať, kde vozidlo smelo byť, aký softvér používalo, kto nad ním dohliadal a čo sa stalo pri chybe. Dôvera k autu bez vodiča nevznikne z toho, že vodiča nevidno, ale z toho, že vozidlo po sebe zanechá presnú, bezpečnú a právne použiteľnú dátovú stopu.
