Plán kontrol slovenského ÚOOÚ na rok 2026 je venku. Zatímco se úřad chystá na „velká témata“, jako je biometrie či schengenské systémy, čerstvá data ze Zprávy o ochraně osobních údajů za rok 2025 ukazují realitu: stále se topíme v elementárních chybách při zveřejňování smluv a bezpečnosti.
Jak by řekl klasik: „Můžeme řešit AI, ale pokud neumíme pořádně anonymizovat PDF, koledujeme si o průšvih.“
Statistické „vysvědčení“ za rok 2025
Slovenská advokátní kancelář Dagital Legal, s.r.o. na sociální síti Linkedin (web svého partnera) uveřejnila jimi vypracovanou správu o stavu osobních údajů za rok 2025. Link na zprávu naleznete zde.
Rok 2025 byl z pohledu dozoru rekordní a přinesl jasné trendy ve struktuře pokut:
511 uložených pokut – to není málo, ale problém je diverzifikace.
Samosprávy pod palbou: Drtivá většina řízení se týkala obcí a měst.
Průměrná „bolestivost“: Nejčastější pokuty pro obce se pohybovaly v rozmezí 300 – 1 000 EUR. Jde však o systémová selhání, nikoliv úmysl.
Státní giganti: Na opačném konci spektra stojí Sociální pojišťovna s pokutou 50 000 EUR za bezpečnostní incidenty při doručování zásilek.
Co úřad kontroloval (a bude kontrolovat)?
V roce 2025 úřad „prooral“ zejména Centrální registr smluv (CRZ). Scénář byl téměř vždy stejný: vizuální překrytí údajů (rodná čísla, adresy), které se daly vyjmout jednoduchým „copy-paste“ do Wordu. Na to doplatili i velcí hráči jako Bratislava (3 000 EUR)či Košice (1 500 EUR).
Výhled na rok 2026 pro komerční sféru:
Biometrie u zaměstnavatelů: Pokud máte docházku na otisk prstu, připravte si argumentaci k nezbytnosti.
Zpracovatelé (Vendor Management): Úřad bude prověřovat, zda máte smlouvy jen „v šuplíku“, nebo reálně kontrolujete, co vaši dodavatelé s daty dělají.
Hazard a E-commerce: Zaměření na zákonnost zpracování a plnění informačních povinností.
Ponaučení
Zveřejněná zpráva za rok 2025 je cenná, ale jak trefně poznamenává Jakub Berthoty v úvodu, je smutné, že regulátoři svá rozhodnutí systematicky nezveřejňují sami a musíme se jich dotazovat přes infozákon.
Doporučení pro rok 2026:
Anonymizace nejsou omalovánky: Pokud v PDF jen „začerníte“ řádek bez odstranění textové vrstvy, porušujete bezpečnost podle čl. 32 GDPR.
Právní základ není samovybavovací: Orgány veřejné moci nemohou zveřejňovat videa ze zásahů (např. městská policie) na Facebooku na základě „oprávněného zájmu“.
Doručování je proces, ne náhoda: Případ Sociální pojišťovny (50k pokuta) ukazuje, že i banální doručování pošty musí mít neprůstřelný režim kontroly.
Plán kontrol na rok 2026 vypadá ambiciózně, ale nezapomínejme na základy. Dokud nebudeme mít zvládnutou technickou bezpečnost a čistotu právních základů u běžných operací, ty moderní technologie nás doženou.
