Nie vždy, ale každý taký omyl je porušením ochrany osobných údajov, ktoré musíte posúdiť a zapísať do evidencie. Úradu ho oznámite bez zbytočného odkladu, podľa možnosti do 72 hodín od zistenia, ibaže riziko pre človeka, ktorého údaje odišli, nie je pravdepodobné. Pri zámene dvoch faktúr s menom, adresou a nákupom Európsky výbor pre ochranu údajov v modelovom prípade hodnotí riziko ako nízke a stačí interný záznam. Ak doklad prezradil aj neverejné údaje, napríklad dátum narodenia, citlivé údaje alebo údaje mnohých ľudí, počítajte s oznámením úradu. Pri vysokom riziku informujte aj dotknutých.
Fakturačný systém priradil k zásielke nesprávny doklad, obchodník poslal ponuku s prílohou určenou inému klientovi alebo newsletter odišiel so všetkými adresami viditeľnými v kópii. O chybe sa firma zvyčajne dozvie od zákazníka, ktorý cudzí doklad dostal. GDPR takú situáciu považuje za porušenie ochrany osobných údajov, lebo údaje sa dostali k niekomu, kto na ne nemal nárok (čl. 4 bod 12 nariadenia (EÚ) 2016/679, ďalej GDPR). Povinnosť oznámiť ho úradu však nevzniká automaticky. Odpadá, ak riziko pre človeka, ktorého údaje odišli, nie je pravdepodobné.
Kedy oznámenie úradu netreba
Nariadenie spája oznamovaciu povinnosť s rizikom:
V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb.
Európsky výbor pre ochranu údajov rozoberá takéto omyly v usmerneniach 01/2021 k príkladom oznamovania porušení (verzia 2.0 zo 14. decembra 2021). V jednom prípade obchod pri balení zamenil dve objednávky, takže každý z dvoch zákazníkov dostal tovar aj faktúru toho druhého s menom, adresou, tovarom a cenou. Výbor riziko hodnotí ako nízke, lebo nešlo o citlivé údaje ani o chybu systému a omyl sa týkal len dvoch ľudí. Oznámenie úradu nepovažuje za potrebné a informovanie dotknutých podľa čl. 34 GDPR za povinné. Interný záznam však potrebný je.
Odlišne výbor posúdil prípad obálky, do ktorej stroj vložil listy dvoch poistencov s dátumom narodenia, evidenčným číslom vozidla a výškou poistného. Tieto údaje nie sú verejne dostupné, pravdepodobnosť ich zneužitia výbor hodnotí ako nízku až strednú a oznámenie úradu považuje za potrebné. Informovanie dotknutého potrebné nie je.
Pri e-maile, ktorý úrad verejnej správy poslal uchádzačom o zamestnanie s prílohou obsahujúcou údaje vyše 60 000 z nich vrátane čísla sociálneho zabezpečenia, výbor riziko hodnotí ako vysoké a za potrebné považuje oznámenie úradu aj informovanie všetkých dotknutých.
Ako omyl posúdiť
Pri posúdení sa oplatí odpovedať na tieto otázky:
- aké údaje doklad obsahoval, či len meno, adresu a nákup, alebo aj dátum narodenia, rodné číslo, číslo účtu, údaje o zdraví či dlhoch,
- koľkých ľudí a záznamov sa omyl týka a či ide o jednorazovú chybu, alebo o chybu systému, ktorá sa môže opakovať,
- kto údaje dostal a či je ochotný ich vymazať alebo vrátiť,
- či boli údaje chránené, napríklad šifrovanou prílohou.
Pri omylom odoslanom e-maile výbor odporúča poslať nesprávnym adresátom ďalšiu správu so skrytými adresami (Bcc), ospravedlniť sa, požiadať o vymazanie a upozorniť, že adresy, ktoré videli, ďalej používať nesmú. Ak sú nesprávni adresáti zároveň dotknutými osobami, ako pri zámene dvoch zásielok, náprava sa bez ich spolupráce nezaobíde. Kontaktovať ich preto treba aj vtedy, keď informovanie podľa čl. 34 GDPR povinné nie je.
Záznam robíte vždy
Každé porušenie musíte zdokumentovať vrátane skutočností, následkov a prijatých opatrení, a to aj vtedy, keď ho úradu neoznamujete (čl. 33 ods. 5). Záznam má umožniť úradu neskôr overiť, že ste postupovali správne, preto do neho zapíšte aj dôvod, prečo ste riziko vyhodnotili ako nepravdepodobné. Lehota plynie od chvíle, keď sa o omyle dozviete. Ak oznámenie podáte neskôr ako po 72 hodinách, pripojíte k nemu zdôvodnenie omeškania. Ak omyl pravdepodobne povedie k vysokému riziku, informujete aj dotknutú osobu (čl. 34 ods. 1), ibaže platí niektorá z výnimiek, napríklad šifrovanie (čl. 34 ods. 3). Celý postup od zistenia porušenia rozoberá článok čo urobiť v prvých 72 hodinách po úniku osobných údajov.
Európska komisia v novembri 2025 navrhla v balíku Digital Omnibus zmenu čl. 33, podľa ktorej by sa úradu hlásili len porušenia s vysokým rizikom. K 3. októbru 2026 návrh prijatý nie je a platí súčasné znenie.
Ktorý úrad na Slovensku a v Česku
Pravidlá sú v oboch štátoch rovnaké, lebo vyplývajú priamo z GDPR. Líši sa úrad. Slovenská firma oznamuje porušenie Úradu na ochranu osobných údajov Slovenskej republiky, ktorý je dozorným orgánom podľa § 81 ods. 1 zákona č. 18/2018 Z. z.. Česká firma sa obracia na český Úrad pre ochranu osobných údajov, ktorý je v tejto oblasti ústredným správnym úradom podľa § 50 ods. 1 zákona č. 110/2019 Sb.. Ak firma spracúva údaje cezhranične cez prevádzkarne v oboch štátoch, vedúcim dozorným orgánom pre také spracúvanie je úrad štátu jej hlavnej prevádzkarne (čl. 56 ods. 1 GDPR) a adresáta oznámenia treba posúdiť osobitne.
Hlásenie kybernetického incidentu Národnému bezpečnostnému úradu je samostatná povinnosť prevádzkovateľov základných služieb, ktorí povinne hlásia najmä závažné kybernetické bezpečnostné incidenty. Vysvetľuje ju otázka komu a do kedy hlásiť kybernetický incident.
Omyl s vami posúdime, pripravíme záznam do evidencie porušení a ak je to potrebné, aj oznámenie úradu a text pre dotknutých zákazníkov. Kontroly pri odosielaní dokladov, internú evidenciu porušení a vzory oznámení nastavíme v rámci služby GDPR a ochrana osobných údajov.
Odpoveď je všeobecná informácia k právnemu stavu k 3. 10. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
