Testovací verze nového obchodního rejstříku posílala rodná čísla v odpovědi serveru

Ministerstvo spravedlnosti vyplo ověřovací provoz nového portálu veřejných rejstříků. Důvodem jsou dvě programátorské chyby, na které redakci iROZHLAS.cz upozornil jeden ze čtenářů; redakce si obě sama vyzkoušela a v pátek je nahlásila ministerstvu. Portál běžel na adrese verejnerejstriky.msp.gov.cz nad ostrými daty od 24. dubna a měl postupně nahradit dnešní or.justice.cz, esf.justice.cz a esm.justice.cz.

Rodné číslo nebylo na stránce vidět

První chyba se týkala vyhledávání osob zapsaných u firem, spolků a dalších organizací – jednatelů, členů představenstev, předsedů. Server k veřejným údajům přibalil i rodné číslo a kód AIFO. Na vykreslené stránce se neobjevilo ani jedno, ale v datech, která prohlížeč od serveru dostal, oba údaje byly. Kdo zná základy fungování webových stránek, se k nim podle iROZHLAS.cz dostal, a úpravou parametrů dotazu je mohl sbírat cíleně.

Zkratka AIFO znamená agendový identifikátor fyzické osoby, tedy číslo, kterým si stát drží jednoho člověka napříč jednou konkrétní agendou. Zákon o základních registrech ho v § 9 odst. 1 popisuje jako „neveřejný identifikátor“ a v § 10 dodává, že ho po přidělení nelze měnit.

Listiny se daly otevřít změnou čísla v adrese

Druhá chyba byla ve sbírce listin. Dokumenty v ní mají pořadové číslo a portál je podle toho čísla vydával, aniž se ptal, jestli ten konkrétní dokument veřejný je. Stačilo číslo v adrese přepsat. Redakce tak získala mimo jiné průvodní dopisy a interní soudní potvrzení, tedy věci, které do sbírky listin patří, ale zveřejňovat se nemají.

Dva miliony je odhad redakce, ne počet postižených

Číslo, které pak převzaly další servery, si spočítal iROZHLAS.cz sám: otevřená data obchodního rejstříku vedou necelé dva miliony unikátních osob a charakter chyby podle redakce dovoloval dostat se k údajům o kterékoli z nich. Je to odhad toho, kolika lidí se chyba mohla dotknout, ne počet těch, jejichž údaje si někdo opravdu stáhl.

Ministerstvo to podává opatrněji. Podle mluvčího Vladimíra Řepky se rodná čísla ani AIFO běžným uživatelům nezobrazovaly a jejich získání „vyžadovalo aktivní a cílený postup nad rámec standardního uživatelského prostředí“. Zároveň ale přiznává, že v odpovědi serveru ty údaje byly, a dodává, že „dosavadní zjištění nepotvrzují, že by došlo k masivnímu úniku dat“. Kdy chyba vznikla, jak dlouho trvala a zda někdo data opravdu vytěžil, je podle něj předmětem šetření. Resort o incidentu informoval Národní úřad pro kybernetickou a informační bezpečnost a Úřad pro ochranu osobních údajů.

Zakázka za patnáct milionů, test za jedenadvacet tisíc

Kdo portál stavěl, je v registru smluv. Ministerstvo si objednalo rozvoj informačního systému rejstříků 23. května 2025 u společnosti Asseco Central Europe za 12 584 375 Kč bez DPH, tedy 15 227 093,75 Kč s daní. Příloha objednávky popisuje řešení postavené na Liferay s frontendem ve Vue.js a backendem v Javě; v oddílu o zajištění kvality a bezpečnosti stojí řádek „Penetrační testování a revize bezpečnostních nastavení Liferay“.

Druhý dokument je mladší. Objednávku penetračního testování téhož systému podepsala ředitelka odboru provozu a podpory ICT; dokument nese datum 21. července 2026, tedy skoro tři měsíce po spuštění ověřovacího provozu, a registr smluv ho vede jako uzavřený o šest dní později. Zní na 2 člověkodny po 10 500 Kč, celkem 21 000 Kč bez DPH, termín dodání v týdnu od 3. do 7. srpna a rozsah je v ní vymezený větou „jen oblast přístup z internetu“. Co přesně dodavatel testoval a s jakým výsledkem, z registru smluv nevyčtete – zveřejněná je objednávka a cenová nabídka, ne zpráva z testu.

Starý rejstřík jede dál

Nový portál je ve středu 23. září pořád mimo provoz: odpovídá chybou 504 s hlášením, že služba za stránkou neodpovídá. Stávající or.justice.cz funguje normálně a podle dubnové tiskové zprávy ministerstva zůstává oficiálním zdrojem údajů i po dobu ověřovacího provozu toho nového. Kdo dnes potřebuje výpis, o nic nepřišel.

Ministerstvo zvažuje vyvození odpovědnosti vůči dodavateli. Do konce roku 2026 přitom má na stejném portálu přibýt prvozápis, editace údajů existujících subjektů a návrhy na výmaz, tedy funkce, které data nejen ukazují, ale i mění.

Zdroje

• iROZHLAS.cz: Ministerstvo omylem zpřístupnilo rodná čísla lidí ve firmách (22. 9. 2026)
• Lupa.cz: Ministerstvo spravedlnosti omylem zpřístupnilo rodná čísla v rámci testovací verze obchodního rejstříku (22. 9. 2026)
• Ministerstvo spravedlnosti: Spuštění ověřovacího provozu redesignovaného portálu (24. 4. 2026)
• Registr smluv: Objednávka rozvoje ISVR, Asseco Central Europe (23. 5. 2025)
• Registr smluv: Objednávka penetračního testování ISVR (27. 7. 2026)
• Zákon č. 111/2009 Sb., o základních registrech