Kto investuje cez obchodníka s cennými papiermi alebo uzatvára zmluvu cez finančného agenta, odovzdáva mu veľa citlivých informácií.
Igor Havlíček, právny špecialista pre finančnú reguláciu
Ide najmä o údaje z občianskeho preukazu, rodné číslo, informácie o majetku a o tom, s čím a za koľko klient obchoduje. Keby sa takéto informácie dostali do nesprávnych rúk, mohli by byť zneužité. Preto ich chránia dve skupiny pravidiel, ktoré sa navzájom dopĺňajú. Prvou je európske nariadenie GDPR, ktoré chráni osobné údaje fyzických osôb, teda konkrétnych ľudí. Druhou je zákonná povinnosť mlčanlivosti podľa slovenských zákonov o finančnom trhu. Tá ide ešte ďalej: chráni všetko, čo sa firma o klientovi dozvie, a to vrátane obchodných údajov firiem. Okrem toho sa od januára 2025 na bezpečnosť informačných systémov, teda počítačov, sietí a programov, v ktorých firmy údaje spracúvajú, vzťahuje európske nariadenie DORA.
Základom ochrany osobných údajov je nariadenie (EÚ) 2016/679, všeobecne známe pod skratkou GDPR. Keďže ide o nariadenie Európskej únie, platí priamo vo všetkých členských štátoch. Nemusí sa teda najskôr prenášať do slovenského zákona a firmy ho musia dodržiavať priamo. Na Slovensku ho dopĺňa zákon č. 18/2018 Z. z. o ochrane osobných údajov. Na dodržiavanie týchto pravidiel dohliada Úrad na ochranu osobných údajov SR. Okrem iného prijíma hlásenia o porušení ochrany osobných údajov, teda o situáciách, keď sa s údajmi stane niečo, čo sa stať nemalo, napríklad keď uniknú alebo sa k nim dostane nepovolaná osoba.
Druhým dôležitým európskym predpisom je nariadenie (EÚ) 2022/2554 o digitálnej prevádzkovej odolnosti finančného sektora, označované skratkou DORA. Pojem „digitálna prevádzková odolnosť“ znie zložito, no v podstate ide o schopnosť finančnej firmy zvládnuť technické výpadky, kybernetické útoky a iné problémy s informačnými technológiami tak, aby mohla ďalej fungovať. Nariadenie sa uplatňuje od 17. januára 2025.
Okrem európskych pravidiel platia pre jednotlivé typy finančných firiem aj osobitné slovenské zákony. Povinnosti obchodníkov s cennými papiermi upravuje zákon č. 566/2001 Z. z. o cenných papieroch a investičných službách. Povinnosti finančných agentov a finančných poradcov upravuje zákon č. 186/2009 Z. z. o finančnom sprostredkovaní a finančnom poradenstve. Nad finančným trhom, a teda aj nad týmito firmami, vykonáva dohľad Národná banka Slovenska (NBS). To znamená, že kontroluje, či firmy dodržiavajú pravidlá.
Klient sa môže čudovať, prečo od neho obchodník s cennými papiermi požaduje toľko údajov. Nejde však o rozmar firmy. Zákon o cenných papieroch priamo ukladá klientom povinnosť poskytnúť obchodníkovi pri každom obchode na jeho žiadosť určené údaje a umožniť mu vyhotoviť kópiu dokladu totožnosti, napríklad občianskeho preukazu. Zákon zároveň určuje, na čo tieto údaje slúžia. Používajú sa na uzatváranie, vykonávanie a kontrolu obchodov a na identifikáciu klienta, teda na overenie, že klient je naozaj tým, za koho sa vydáva. Slúžia aj na zdokumentovanie činnosti obchodníka a na výkon dohľadu, aby bolo možné skontrolovať, či obchodník postupuje správne. Na tieto účely môže obchodník údaje spracúvať aj bez súhlasu klienta. Jeho oprávnenie totiž vyplýva priamo zo zákona, nie zo súhlasu klienta. Zákon mu výslovne dovoľuje aj kopírovať doklady totožnosti a spracúvať rodné čísla.
Podobné oprávnenie má aj finančný agent a finančný poradca. Od klienta môže požadovať meno, adresu, rodné číslo, dátum narodenia, štátnu príslušnosť a údaje o doklade totožnosti, a to aj opakovane. Právnym základom tohto spracúvania, teda dôvodom, ktorý ho oprávňuje, je zákon, nie súhlas klienta. Zákon však zároveň stanovuje hranicu. Ak by agent chcel od klienta ďalšie údaje nad rámec toho, čo zákon vymenúva, potrebuje na to výslovný súhlas klienta. O takýchto ďalších údajoch teda rozhoduje sám klient.
Údaje, ktoré klient obchodníkovi odovzdá, nesmie obchodník poskytovať komukoľvek. Zákon presne určuje, kedy a komu ich musí alebo smie odovzdať. Obchodník ich musí poskytnúť NBS na účely dohľadu a iným osobám v prípadoch, ktoré ustanovuje zákon. Mimo týchto prípadov ich smie zo svojho informačného systému poskytnúť len osobám a orgánom, ktorým má povinnosť poskytovať informácie chránené mlčanlivosťou. Osobitné pravidlá platia pre odovzdávanie údajov do zahraničia. Obchodník tak smie urobiť len za podmienok, ktoré určuje osobitný zákon, alebo podľa medzinárodnej zmluvy, ktorou je Slovensko viazané.
Osobitne sú chránené údaje o tom, kto je majiteľom cenných papierov, a o cenných papieroch, ktoré má na svojich účtoch. Z takýchto informácií sa totiž dá vyčítať, aký majetok niekto vlastní. Obchodník ich preto poskytne len vtedy, keď to ustanovuje zákon, alebo osobe, ktorá preukáže, že ju na to klient oprávnil, napríklad tým, že ju splnomocnil.
Mlčanlivosť znamená, že ľudia vo finančnej firme nesmú informácie o klientoch prezradiť nikomu nepovolanému. Je dôležitá najmä preto, že GDPR chráni iba fyzické osoby, teda konkrétnych ľudí. Mlčanlivosť podľa finančných zákonov však chráni aj informácie o firmách, ich obchodoch a finančnej situácii. Vďaka tomu sú chránené aj údaje podnikateľov a spoločností, ktoré cez finančné firmy investujú alebo uzatvárajú zmluvy.
Pri obchodníkovi s cennými papiermi sa povinnosť mlčanlivosti netýka len vedenia firmy. Musia ju zachovávať členovia orgánov (napríklad predstavenstva), zamestnanci, prokuristi a ďalšie osoby, ktoré sa podieľajú na činnosti obchodníka. Týka sa skutočností, ktoré sa dotýkajú záujmov účastníkov trhu, teda aj klientov. Povinnosť sa nekončí ani vtedy, keď niekto z firmy odíde. Trvá aj po skončení pracovného alebo iného vzťahu, takže bývalý zamestnanec nesmie informácie prezradiť ani neskôr. Mlčanlivosť však nie je neobmedzená. Za jej porušenie sa nepovažuje napríklad poskytnutie informácie orgánu dohľadu, súdu alebo orgánu činnému v trestnom konaní, ako je polícia alebo prokuratúra.
Finančný agent a finančný poradca musia zachovávať mlčanlivosť o všetkých skutočnostiach, o ktorých sa dozvedeli pri svojej činnosti, teda o všetkom, čo sa pri práci s klientom dozvedia. Tieto informácie nesmú zneužiť vo svoj prospech ani v prospech niekoho iného, a to ani po skončení svojej činnosti. Aj tu však platia výnimky. Porušením mlčanlivosti nie je plnenie povinností, ktoré im ukladá zákon, ani výmena informácií s finančnými inštitúciami a orgánmi podľa osobitných predpisov.
Obchodník s cennými papiermi musí kópie dokladov totožnosti a doklady o obchodoch nielen uchovávať, ale aj chrániť. Musí zabrániť ich poškodeniu, zničeniu, strate, odcudzeniu, vyzradeniu a zneužitiu. Uchovávať ich musí najmenej desať rokov od skončenia obchodu. To vysvetľuje, prečo môže mať firma kópiu klientovho dokladu k dispozícii aj dlhé roky po uskutočnení obchodu.
Porušením ochrany osobných údajov sa myslí napríklad únik údajov alebo situácia, keď sa k nim dostane nepovolaná osoba. Ak k nemu dôjde, firma ho musí oznámiť Úradu na ochranu osobných údajov. Musí tak urobiť bez zbytočného odkladu, podľa možností do 72 hodín, teda do troch dní. Oznámenie nie je potrebné, ak porušenie pravdepodobne nepovedie k riziku pre práva dotknutých osôb, teda ľudí, ktorých sa údaje týkajú. Každé porušenie však musí firma zdokumentovať, a to aj vtedy, keď ho úradu nehlási.
Na obchodníkov s cennými papiermi sa nariadenie DORA vzťahuje priamo. Od 17. 1. 2025 musia hlásiť NBS závažné incidenty v oblasti informačno-komunikačných technológií (IKT). Ide o vážne problémy s počítačovými systémami a sieťami, napríklad rozsiahle výpadky alebo kybernetické útoky.
Pri finančných agentoch v poistení závisí uplatnenie DORA od veľkosti firmy. Nariadenie sa na nich vzťahuje len vtedy, ak nie sú mikro, malým ani stredným podnikom, teda len na väčšie firmy. NBS vo februári 2026 zverejnila, ako túto hranicu posudzuje, a agentov vyzvala, aby si sami vyhodnotili, či pod nariadenie spadajú.
Porušenie pravidiel ochrany údajov môže byť pre firmu veľmi nákladné. Za porušenie základných zásad GDPR alebo práv klientov môže dozorný orgán, na Slovensku Úrad na ochranu osobných údajov, uložiť pokutu do 20 miliónov eur. Podniku môže uložiť až 4 % jeho celosvetového ročného obratu, ak je táto suma vyššia. Pri veľkých firmách tak pokuta môže prevýšiť aj 20 miliónov eur.
Klient finančnej firmy je teda chránený dvojmo. GDPR určuje, ako sa smú spracúvať jeho osobné údaje. Zákonná mlčanlivosť chráni všetky ďalšie informácie, ktoré sa firma o klientovi dozvie, vrátane obchodných údajov firiem. Firma nesmie údaje poskytnúť ďalej bez zákonného dôvodu alebo bez oprávnenia od klienta. Ak napriek tomu dôjde k úniku, musí konať rýchlo. Pre bežného klienta to znamená, že hoci od neho finančná firma žiada množstvo údajov, robí tak na základe zákona a zároveň je povinná tieto údaje starostlivo chrániť.
