Bratislavský magistrát omylom zverejnil telefónne čísla zhruba 17-tisíc ľudí, ktorí používajú parkovací systém PAAS. Súbor s nimi bol verejne dostupný viac ako rok, no nikto si to nevšimol. Mesto chybu priznalo a súbor odstránilo, prípad však už preveruje Úrad na ochranu osobných údajov. Zákon mu umožňuje uložiť pokutu až do 20 miliónov eur, informuje STVR.
Čísla sa na internet nedostali kvôli útoku hackerov či pre poruchu systému. Podľa hovorcu hlavného mesta Petra Bublu išlo o prostú ľudskú chybu. Zamestnanec magistrátu komunikoval s tímom cez takzvaný issue na platforme GitHub, ktorú používajú vývojári na spoluprácu pri softvéri, a priložil k nemu súbor s metadátami. V ňom boli aj telefónne čísla používateľov PAAS. Repozitár mesta na GitHube bol verejne prístupný, takže súbor si mohol stiahnuť ktokoľvek, kto ho našiel. Podľa denníka SME boli pri číslach uvedení aj mobilní operátori. PAAS má pritom podľa mesta zaregistrovaných približne 232-tisíc používateľov a v jeho databáze je okolo 240-tisíc telefónnych čísel. Uniklo zhruba 17-tisíc z nich, teda asi sedem percent. Bubla však zdôraznil, že súbor neobsahoval mená, evidenčné čísla áut ani iné údaje, podľa ktorých by sa dalo zistiť, komu patrí dané číslo.
PAAS, teda Bratislavský parkovací asistent, je systém, cez ktorý mesto reguluje parkovanie. Ľudia si v ňom kupujú parkovacie lístky, rezidenti parkovacie karty a mesto cez neho kontroluje, kto za parkovanie zaplatil. Bratislava ho spustila v roku 2022, keď začala s prvými tromi zónami Tehelné pole, Krasňany a Dvory 4, a odvtedy ho postupne rozširuje do ďalších častí mesta. V roku 2025 pribudlo šesť zón v Starom Meste, Novom Meste, Ružinove a Petržalke. Že ide o obrovský systém, dokazuje aj počet pokút. Len za rok 2025 ich mesto v zónach PAAS udelilo 131 690.
Mohlo by vás zaujímať
Na chybu upozornil neúspešný kandidát na primátora
Stojí za zmienku, že únik si nevšimol samotný magistrát. Upozornil naň Ľubomír Geci, ktorý v tohtoročných komunálnych voľbách neúspešne kandidoval na primátora Bratislavy. Dáta si podľa vlastných slov prečistil pomocou skriptu napísaného umelou inteligenciou a napočítal presne 17 616 jedinečných čísel. Odkaz na súbor najprv nezverejnil, pretože údaje boli v tom čase stále online. Mesto zvesilo súbor 22. októbra, teda v deň, keď sa o probléme dozvedelo. Potom ho natrvalo vymazalo z GitHubu a preverilo aj ostatné verejné repozitáre. V tých sa vraj nenašli žiadne dáta.
Magistrát zároveň sľúbil, že voči zamestnancovi vyvodí primeranú personálnu zodpovednosť podľa Zákonníka práce. Aby sa chyba nezopakovala, chce zamestnancov preškoliť, pravidelne automaticky kontrolovať verejné priečinky a zaviesť upozornenia, ktoré okamžite zachytia, ak sa v nich objavia osobné údaje.
Podnet k úniku dostal Úrad na ochranu osobných údajov. Jeho hovorkyňa Ľubica Rosinová potvrdila, že sa ním zaoberá, no k podrobnostiam ani k možnému výsledku sa úrad nevyjadrí, kým preverovanie neskončí. Zároveň pripomenula, že nariadenie GDPR umožňuje uložiť pokutu až do 20 miliónov eur. Ide však o hornú hranicu. Úrad pri rozhodovaní zvažuje, aký veľký bol únik, koľkých ľudí sa týkal a akú škodu im mohol spôsobiť. Pri určovaní pokuty sa potom prihliada aj na to, ako dlho porušenie trvalo, či išlo o úmysel alebo nedbanlivosť, čo urobil prevádzkovateľ pre zmiernenie následkov a ako spolupracoval s úradom.
GDPR pritom prevádzkovateľovi pri úniku ukladá aj ďalšie povinnosti. Porušenie ochrany osobných údajov musí nahlásiť úradu do 72 hodín od chvíle, keď sa o ňom dozvie. Výnimkou je len prípad, keď je nepravdepodobné, že by únik ohrozil práva ľudí. Ak je riziko vysoké, musí o úniku informovať aj samotných dotknutých ľudí. Či mesto únik nahlásilo úradu, nateraz nie je jasné. Samotný úrad hovorí len o podnete, ktorý dostal v októbri.
Aj mesto môže dostať pokutu
To, že úrad môže pokutovať samotné mesto, nie je všade samozrejmosť. Nariadenie GDPR totiž nechalo na jednotlivých štátoch, či budú pokuty ukladať aj úradom a inštitúciám verejnej moci. Slovenský zákon o ochrane osobných údajov to pritom umožňuje. V paragrafe 104 výslovne uvádza, že pokutu možno uložiť prevádzkovateľovi vrátane orgánu verejnej moci. A čo navyše, úrad to v minulosti aj využil. Pokutu 4 700 eur dostala napríklad jedna z bratislavských mestských častí za to, že pri registrácii do svojho parkovacieho systému vyžadovala od ľudí rodné číslo. Dve obce zasa zaplatili 500 a 700 eur za to, že zverejnili zmluvu, v ktorej nezačiernili rodné číslo.
Napríklad v susednom Česku je to inak. Tamojší zákon z roku 2019 hovorí, že orgánu verejnej moci nemožno uložiť správny trest. Český úrad na ochranu osobných údajov preto v auguste 2019 musel upustiť od pokuty pre ministerstvo, ktoré pochybilo pri spracúvaní údajov v registri obyvateľov, aj pre jedno mesto. Českým úradom a samosprávam môže odvtedy nariadiť len nápravu.
20 miliónov je len teória
Hoci sa v správach o úniku hovorí o 20 miliónoch eur, skutočné pokuty od slovenského úradu sú rádovo nižšie. Minulý rok právoplatne uložil 542 pokút v súhrnnej výške 468-tisíc eur. V priemere tak jedna pokuta vychádzala približne na 864 eur. Navyše, samotný parkovací systém priniesol Bratislave za rok 2025 príjmy vo výške takmer 23 miliónov eur, z čoho viac ako 4,5 milióna eur dostali mestské časti. Najvyššia možná pokuta by tak zodpovedala takmer celoročným príjmom z parkovania, čo by asi veľmi nedávalo zmysel.
Navyše, únik nevyzerá byť priveľmi závažný. Horšie by bolo, keby boli v súbore pri telefónnom čísle aj meno alebo evidenčné číslo auta. Takto sa síce dá zistiť, že číslo patrí niekomu, kto parkuje v Bratislave, nedá sa však povedať, o koho ide a aké auto má. Najväčšie riziko je v tomto prípade v tom, že čísla môže niekto využiť na hromadné posielanie reklamných a nevyžiadaných správ. Na druhej strane, telefónne číslo je podľa GDPR osobný údaj, aj keď pri ňom nie je meno. Na rozdiel od hesla sa navyše nedá jednoducho zmeniť. Väčšina ľudí ho používa roky a je naviazané na bankovníctvo, aplikácie aj overovacie kódy.
Čo s tým?
Ak používate PAAS, sami nemáte ako zistiť, či bolo práve vaše číslo súčasťou úniku. Či mesto dotknutých ľudí upozorní, zatiaľ nie je známe. Rosinová preto odporúča, aby boli všetci, ktorých číslo mohlo uniknúť, opatrní pri SMS-kách a telefonátoch z neznámych čísel. Ak vás niekto požiada o ďalšie osobné údaje, prihlasovacie heslá alebo rodné číslo, v žiadnom prípade ich neposkytujte. Podvodníci by mohli zneužiť práve to, že vedia, že ste používateľom PAAS. Geci dokonca únik spájal aj s falošnými SMS-kami o nezaplatených pokutách či parkovnom. Priama súvislosť sa však nepotvrdila. Zatiaľ nie je dôkaz, že by niekto čísla z PAAS zneužil.
Je ale pravda, že takéto podvody existujú. Slovenská banková asociácia v auguste upozorňovala na SMS-ky o nezaplatenom parkovaní s odkazom, cez ktorý si má človek údajne skontrolovať platbu. V skutočnosti chcú podvodníci jeho platobné alebo prihlasovacie údaje. Sylvia Ďatelinková z asociácie vysvetlila, že správa pôsobí dôveryhodne najmä pre tých, ktorí v tom čase naozaj niekde parkovali. Pri ľuďoch, ktorí cez PAAS parkujú pravidelne, je táto šanca ešte vyššia. Preto ak máte podozrenie na dlh, overte si to len v oficiálnej aplikácii alebo na webe prevádzkovateľa, nikdy nie cez odkaz zo správy. Ak ste už nebodaj údaje zadali, okamžite kontaktujte svoju banku.
