Grew Studio

Únik rodných čísel v Dánsku: poučenie pre e-shopy

Z dánskeho registra uniklo 8,8 milióna rodných čísel cez prístup malej firmy. Čo to znamená pre slovenský e-shop: zákon o rodnom čísle, GDPR a phishing.

Adam Oliver Kollár1. novembra 202610 min

V pondelok 5. 10. 2026 dánske ministerstvo oznámilo, že z centrálneho registra obyvateľov uniklo 8,8 milióna záznamov s menom, adresou a osobným číslom (v Dánsku sa volá CPR a funguje ako naše rodné číslo). Dánsko má pritom len asi šesť miliónov obyvateľov. Nikto sa do registra nenabúral: použili legálny prístup jednej malej firmy a prišlo sa na to až cez faktúru. Článok vysvetľuje, ako sa to stalo, čo hovorí o rodnom čísle slovenský zákon a čo by z toho mal vyvodiť každý, kto na Slovensku prevádzkuje web alebo e-shop. Údaje sú overené k 31. 10. 2026.

Rýchla odpoveď

Rýchla odpoveď: Z dánskeho registra CPR uniklo podľa ministerstva približne 8,8 milióna záznamov, čo je zhruba 80 % registra. Útočníci nepoužili hackerskú chybu, ale prístup malej súkromnej firmy, ktorá smie v registri legálne vyhľadávať. Slovenský e-shop z toho má tri poučenia: rodné číslo nevypýtať, ak ho naozaj nepotrebuje (zákon ho dovoľuje použiť len vtedy, keď je nevyhnutné), nepovažovať ho za dôkaz, že ste to vy (nie je to heslo, len identifikátor) a dávať pozor na podvodné hovory a správy, ktoré budú meno, adresu aj číslo poznať.

Tri pravidlá pre web a e-shop:

  1. Nepýtajte rodné číslo v objednávke, registrácii ani formulári, ak vám zákon nepovedal, že musíte.
  2. Nepoužívajte rodné číslo ani meno a adresu ako dôkaz totožnosti, keď vám zákazník volá alebo píše.
  3. Majte pripravený postup pre únik údajov, vrátane hlásenia úradu do 72 hodín.

Upozornenie: ide o informačný prehľad, nie o právne poradenstvo. Situácia v Dánsku sa ešte vyvíja, pri každom údaji uvádzame zdroj.

Čo sa stalo v Dánsku

Dánsky centrálny register obyvateľov (po dánsky CPR) eviduje každého, kto v krajine žije alebo žil. Každý človek má v ňom desaťmiestne osobné číslo, ktoré sa používa na daniach, v zdravotníctve aj v banke. Podľa ministerstva uniklo 8,8 milióna záznamov s menom, adresou a týmto číslom.

Prečo je to viac než obyvateľov? Register obsahuje asi 11 miliónov záznamov, lebo drží aj ľudí, ktorí zomreli alebo sa odsťahovali do zahraničia. Uniklo teda zhruba 80 % celého registra. Nezasiahnutí sú ľudia, ktorí majú v registri zapnutú ochranu mena a adresy.

Štyri čísla dánskeho úniku: 14 miliónov vyhľadávaní, 8,8 milióna záznamov, 11 miliónov v registri a 6 miliónov obyvateľov
Záznamov uniklo viac, než má krajina obyvateľov, lebo register drží aj mŕtvych a vysťahovaných.

Ako sa to dalo bez hackovania

Súkromné firmy, ktoré na to majú oprávnený dôvod, môžu podľa dánskeho zákona o registri (§ 38) získavať údaje z CPR. Podmienky prístupu pritom hovoria o presne určenej skupine ľudí, ktorých si firma vopred jednotlivo identifikovala, a za každé vyhľadanie sa platí.

Presne tento prístup zneužil niekto neznámy. Cez účet jednej malej dánskej firmy spravil za desať dní v septembri vyše 14 miliónov vyhľadávaní a 8,8 milióna z nich vrátilo skutočného človeka. Podľa ministerstva sa pritom držal toho, čo súkromné firmy smú z registra získať. BleepingComputer pod odvolaním na dánsky úrad na ochranu údajov píše, že číslá postupne skúšal (po anglicky brute-force, teda skúšanie kombinácií), kým nenatrafil na existujúcich ľudí. Ako sa jedna firma dostala k údajom takmer celého registra, oficiálne vyhlásenia zatiaľ nevysvetľujú.

Postup úniku: register, malá firma s legálnym prístupom, neznámy človek cez jej účet a 14 miliónov vyhľadávaní
Register nikto nenabúral, útočník použil prístup, ktorý firma mala legálne.

Ako na to prišli: cez faktúru

Register účtuje firmám každé vyhľadanie. V piatok večer 2. 10. 2026 poslal firme účet za september a suma bola neobvykle vysoká. Podľa Mikkela Leihardta z ministerstva práve to bol začiatok vyšetrovania. Cez víkend úrad zistil rozsah, v sobotu večer prišla do firmy polícia zaistiť dôkazy, v nedeľu 4. 10. sa informoval dánsky úrad na ochranu údajov a v pondelok 5. 10. to ministerstvo oznámilo. Firmu odpojili od registra.

Časová os od úniku v septembri po list firmám 9. októbra 2026
Únik trval desať dní, prišlo sa naň až pri vyúčtovaní.

Tento detail je pre firmy dôležitý: útok si v registri nikto nevšimol, kým nepríšla faktúra. Dánska správa registra potom 9. 10. rozoslala 1 039 firmám s prístupom list, v ktorom im zdôraznila povinnosti. Podľa dánskych médií majú určiť osobu zodpovednú za bezpečnosť, pravidelne kontrolovať, kto z ich zamestnancov k údajom pristupuje, a sledovať počet mesačných vyhľadaní, aby si zneužitie všimli včas.

Kto za tým je a čo bude ďalej

  • Polícia: nikoho zatiaľ neidentifikovala ani neobvinila a obrátila sa na políciu v iných krajinách (Henriette Erbs z dánskej jednotky pre osobitnú trestnú činnosť).
  • Firma: ministerstvo ju oficiálne nepomenovalo. Niektoré médiá uvádzali meno firmy aj slabé heslo, úrady nič z toho nepotvrdili, preto ju tu nemenujeme.
  • Nové čísla: ministerka Christina Egelund označila incident za „hlboko vážny“ a na otázku, či všetci Dáni dostanú nové čísla, povedala, že je na odpoveď priskoro. Nariadila podrobnú kontrolu bezpečnosti celého registra.
  • Dánsky dozorný úrad otvoril vlastné konanie o tom, ako sa to stalo a kto za spracúvanie zodpovedá.

Prečo nestačí „je to len číslo“

Úrady v Dánsku povedali firmám a štátnym orgánom, aby prestali brať samotné osobné číslo ako dôkaz, že ste to vy. Laila Reenberg z dánskej agentúry pre bezpečnosť spoločnosti povedala, že číslo sa nedá používať na schvaľovanie vecí, nákupy ani na získanie citlivých údajov. Týka sa to napríklad niektorých lekární, ktorým stačilo na výdaj samotné číslo.

Ľudí zároveň varujú, aby si dávali pozor na podvodné telefonáty, e-maily a odkazy. Podvodník, ktorý volá a pozná vaše meno, adresu aj číslo, môže znieť presvedčivo. Dánske úrady radia: aj keď volajúci tieto údaje pozná, nikdy mu nedávajte heslá ani iné dôverné informácie.

Dánska priemyselná federácia (Dansk Industri) radí firmám žiadať dôkaz, ktorý podvodník z úniku nemá, prispôsobiť overenie riziku (zmena adresy je vážnejšia ako otázka na otváracie hodiny) a pri pochybnostiach hovor ukončiť a zavolať späť na číslo, ktoré už zákazník u vás má.

Slovensko: rodné číslo nie je heslo

Slovenské rodné číslo je od dánskeho CPR odlišné, no funguje podobne: je to trvalý údaj, ktorý ľudí jednoznačne odlišuje v informačných systémoch. Podľa zákona o rodnom čísle (301/1995 Z. z.) sa skladá z dátumu narodenia, kde je pri ženách k mesiacu pripočítané 50, a z koncovky. Kto sa narodil od 1. 1. 1954, má desaťmiestne číslo, ktoré musí byť deliteľné jedenástimi.

Z toho plynie jedna praktická vec. Ak niekto pozná dátum narodenia a pohlavie, pozná už prvých šesť číslic. Zostáva štvormiestna koncovka a tá musí splniť podmienku deliteľnosti, takže pripadá do úvahy len okolo 900 možností (náš výpočet z pravidla v zákone). Rodné číslo je teda identifikátor, nie tajomstvo, a nikdy sa nemá používať ako heslo ani ako jediný dôkaz totožnosti.

Čo hovorí slovenský zákon

Pravidlá o spracúvaní rodného čísla sú v zákone o ochrane osobných údajov (18/2018 Z. z.), v § 78 ods. 4. Rodné číslo je v zákone ako „všeobecne použiteľný identifikátor“ a platí pre neho toto:

  • Použiť sa smie len vtedy, keď je to nevyhnutné na dosiahnutie účelu spracúvania. Samotné „hodilo by sa nám to“ nestačí.
  • Ak sa spracúva na základe súhlasu, súhlas musí byť výslovný a osobitný predpis ho nesmie vylučovať.
  • Zverejňovať ho je zakázané. Výnimka platí, ak ho zverejní sama dotknutá osoba.

Porušenie povinností podľa § 78 je v zákone medzi dôvodmi, za ktoré môže úrad uložiť pokutu (§ 104 ods. 2). Európske nariadenie GDPR (čl. 87) pritom dovoľuje členským štátom určiť, za akých podmienok sa smie používať národné identifikačné číslo, a Slovensko to takto urobilo. Úrad na ochranu osobných údajov uvádza vo svojom slovníku pojmov, že tvorbu a používanie rodných čísel upravuje zákon o rodnom čísle.

Pre bežný e-shop je to jednoduché. Podľa autora článku v Právnych novinách nie je vhodné vyžadovať rodné číslo na identifikáciu pri bežných spotrebiteľských zmluvách, povoľuje sa skôr pri regulovaných službách podľa osobitných zákonov. Pri predaji tovaru ho potrebovať nebudete.

Čo by e-shop nemal robiť s rodným číslom

  • Pýtať ho v objednávke, registrácii alebo kontaktnom formulári, ak naň nemáte zákonný dôvod.
  • Používať ho ako zákaznícke číslo, prihlasovacie meno alebo číslo vernostnej karty. Keď taká databáza unikne, unikne aj tento identifikátor.
  • Tlačiť ho na faktúry, štítky zásielok či potvrdenia a posielať ho e-mailom.
  • Ukladať ho do adresy odkazu, názvu súboru alebo logov. Takéto zápisy sa zvyknú kopírovať do záloh a nástrojov, na ktoré sa zabúda.
  • Overovať ním ľudí cez telefón alebo chat. Po tomto úniku ho môže poznať aj podvodník.
  • Vkladať ho do AI nástrojov. Prečo je to problém, rozoberá článok ChatGPT vo firme a GDPR.
Porovnanie toho, čo už nie je dôkazom totožnosti, a čo je lepší dôkaz: spätné zavolanie, prihlásenie do účtu a jednorazový kód
Meno, adresa a rodné číslo môže dnes poznať aj podvodník, údaj z vášho účtu už nie.

Ako overiť zákazníka bezpečnejšie

Pravidlo je rovnaké ako v dánskych odporúčaniach: pýtajte dôkaz, ktorý podvodník nemá.

  • Pri zmene adresy, e-mailu alebo telefónu pošlite potvrdenie na kontakt, ktorý už máte v účte, nie na nový.
  • Pri telefonáte sa nepýtajte na adresu ani rodné číslo, ale na údaj zo zákazníckeho účtu, napríklad číslo poslednej objednávky.
  • Pri pochybnostiach hovor ukončite a zavolajte späť na číslo, ktoré už u vás zákazník má.
  • Obnovu hesla a dvojfaktorové overenie nikdy neschvaľujte len podľa osobných údajov.

Ak podľa týchto pravidiel ešte nepostupujete, začnite jednou vecou: kto vám môže zmeniť údaje v účte, kým sa predstaví?

Phishing po úniku: ako sa brániť

Phishing je podvod, pri ktorom sa vám niekto pokúsi vylákať údaje alebo peniaze cez správu či hovor, v ktorom sa vydáva za banku, úrad alebo firmu. Po úniku, ako je dánsky, je účinnejší: podvodník nemusí hádať, pozná vaše meno aj adresu a znie ako „oficiálny“ hovor.

Čo radí SK-CERT, slovenské centrum pre kybernetickú bezpečnosť:

  • Banka, polícia, úrad ani firma nemajú žiadať osobné, bankové ani overovacie údaje cez telefón, e-mail ani SMS.
  • Ak volajúci nevie overiť, kto je, ukončite hovor a zavolajte na číslo z oficiálnej stránky organizácie.
  • Podozrivú správu alebo hovor nahláste SK-CERT cez ich formulár.

Pre firmu z toho plynie jedno: zamestnanci tiež volajú a odpisujú, nielen zákazníci. Povedzte im, že meno a adresa v správe nič nedokazujú.

Ak ste v Dánsku niekedy žili, študovali alebo pracovali, mali ste tam CPR číslo. Register drží aj ľudí, ktorí sa odsťahovali, preto mohli byť v úniku aj Slováci. Dánske úrady odporúčajú informácie na stránke sikkerdigital.dk.

Čo robiť, ak únik postihne vašu firmu

Podľa GDPR musíte porušenie ochrany osobných údajov nahlásiť dozornému úradu bez zbytočného odkladu a ak je to možné, do 72 hodín od chvíle, keď sa o ňom dozviete. Hlási sa elektronickým formulárom cez portál ÚPVS. Povinnosť nevzniká, ak je nepravdepodobné, že porušenie povedie k riziku pre práva ľudí. Či je riziko v danom prípade vysoké a musíte upozorniť aj zákazníkov, posúďte s právnikom.

Kontrolný zoznam na tento týždeň:

  1. Zistite, kde všade ukladáte rodné čísla. Databáza, tabuľky, e-maily, zálohy, PDF faktúry. Ak vás niečo prekvapí, nepotrebujete to.
  2. Prestaňte zbierať to, čo nepotrebujete. Vymažte pole z formulára a staré záznamy, na ktoré nemáte dôvod.
  3. Prepíšte pravidlá overenia zákazníka pre podporu a objednávky podľa vzoru vyššie.
  4. Nastavte upozornenie na neobvyklý počet operácií. Dánsky prípad odhalila až faktúra. Aj vy sledujte neobvykle veľa prihlásení, exportov alebo vyhľadávaní.
  5. Obmedzte, kto má prístup k zákazníckym údajom, a pravidelne to kontrolujte. Rovnaké odporúčanie dostali dánske firmy.
  6. Pripravte postup pri úniku: kto rozhoduje, kto volá úradu a kto píše zákazníkom.
  7. Povedzte tímu o phishingu (vyššie) a o spätnom volaní.

Viac o základnej ochrane webu a e-shopu nájdete v článkoch NIS2 pre malé firmy a Audit e-shopu pred Vianocami.

Najčastejšie otázky

Uniklo aj slovenské rodné číslo?

Správy o dánskom úniku sa týkajú dánskeho registra a nič nenasvedčuje tomu, že by sa týkal Slovenska ako štátu. Súčasťou registra sú ale aj ľudia, ktorí sa z Dánska odsťahovali, takže tam môžu byť aj Slováci, ktorí tam kedysi žili.

Môže e-shop žiadať moje rodné číslo?

Zákon (§ 78 ods. 4 zákona 18/2018) dovoľuje použiť rodné číslo len vtedy, keď je to nevyhnutné na daný účel. Pri bežnom nákupe tovaru nie je. Ak sa vás e-shop pýta, opýtajte sa ho na dôvod a právny základ.

Je rodné číslo tajné?

Nie. Skladá sa z dátumu narodenia a koncovky, ktorú obmedzuje pravidlo deliteľnosti jedenástimi. Je to identifikátor, nie heslo. Preto nemá slúžiť ako dôkaz totožnosti.

Ako spoznám podvodný hovor, ktorý pozná moje údaje?

Aj keď volajúci pozná meno, adresu či číslo, nič to nedokazuje. Nikomu cez telefón nedávajte heslá ani kódy. Ukončite hovor a zavolajte na číslo z oficiálnej stránky organizácie. Hovor nahláste SK-CERT.

Dánsko vydá nové čísla?

Zatiaľ nie je jasné. Ministerka Christina Egelund povedala, že je priskoro to povedať.

Čo ak únik postihne moju firmu?

Nahláste ho úradu na ochranu osobných údajov do 72 hodín od zistenia, ak je pravdepodobné riziko pre ľudí, a posúďte, či treba informovať aj zákazníkov. Pripravte postup vopred, nie počas incidentu.

Kto za únikom stojí?

Nevie sa. Dánska polícia nikoho neobvinila a spolupracuje s políciou v iných krajinách.

Čo ďalej

Začnite jednou otázkou: kde všade má vaša firma uložené rodné čísla a či ich naozaj potrebuje. Potom prepíšte, ako overujete zákazníkov, a pripravte postup pre prípad úniku. Všetko to zvládnete bez nových nástrojov. O údržbe a zálohách webu píšeme v článku Údržba webu: predplatné alebo jednorazovo.

Ak chcete prejsť, aké údaje váš web a e-shop zbiera a kam idú, dohodnite si bezplatný krátky hovor. My v Grew Studio robíme e-shopy aj weby na mieru.

Zdroje

Overené k 31. 10. 2026.

Súvisiace služby

Web pre e-shopyZistiť viacKoľko stojí tvorba web stránkyZistiť viacOptimalizácia predaja e-shopovZistiť viac

Chcete to mať vyriešené bez starostí?

Krátky bezplatný hovor: pozrieme sa na váš web a povieme vám, čo má najväčší zmysel urobiť ako prvé.