GDPR22. februára 2026·8 min čítania·Aktualizované 22. augusta 2026
E-faktúra a GDPR: Čo musíte vedieť o ochrane údajov
E-faktúry môžu obsahovať osobné údaje, napríklad údaje fyzickej osoby-podnikateľa alebo kontaktných osôb. GDPR sa preto uplatní podľa konkrétnych údajov a rolí v celom toku. Od 1.1.2027 sa zároveň začne povinná e-fakturácia pri zákonom určených tuzemských transakciách; právny základ spracúvania, minimalizácia, bezpečnosť a lehoty uchovania sa posudzujú osobitne. Viac informácií nájdete na stránke čo je digitálny poštár.
📋Osobné údaje
Aké osobné údaje obsahuje e-faktúra
👤
Meno kontaktnej osoby
Meno a priezvisko osoby zodpovednej za objednávku alebo platbu je klasickým osobným údajom podľa čl. 4 GDPR. Ak je uvedené na faktúre, vzťahuje sa naň plná ochrana.
📧
Emailová adresa a telefón
Firemný email v tvare meno.priezvisko@firma.sk je osobný údaj. Rovnako mobilné číslo priradené konkrétnej osobe. Generické adresy (info@firma.sk) osobnými údajmi nie sú.
🏠
Adresa sídla — živnostník vs. s.r.o.
Adresa sídla právnickej osoby (s.r.o., a.s.) nie je osobným údajom. Avšak adresa bydliska živnostníka alebo SZČO, kde sídlo je totožné s domovom, osobným údajom je.
🏦
Bankové a platobné údaje
IBAN a číslo účtu môžu byť osobnými údajmi, ak sú viazané na fyzickú osobu (živnostník, fyzická osoba). Pri právnických osobách ide o firemné údaje mimo rozsahu GDPR.
ℹ️
IČO a DIČ: špeciálny prípad
IČO a DIČ právnickej osoby spravidla identifikujú firmu, nie človeka. Údaje živnostníka však môžu byť osobnými údajmi, pretože sa viažu na identifikovateľnú fyzickú osobu. IČO nie je všeobecne „odvodené z rodného čísla“.
🔗GDPR reťazec
Kto je kto v GDPR reťazci
🏢
Prevádzkovateľ (Controller) — vaša firma
Vaša spoločnosť, ktorá odosiela alebo prijíma faktúry, je prevádzkovateľom osobných údajov. Určujete účel a prostriedky spracúvania — nesiete hlavnú zodpovednosť za súlad s GDPR.
📬
Spracovateľ (Processor) — digitálny poštár
Rola poskytovateľa sa určuje podľa konkrétneho účelu a zmluvy. Pri spracúvaní vo vašom mene koná ako spracovateľ; pri vlastných zákonných alebo bezpečnostných povinnostiach môže mať pre daný účel odlišnú rolu. Overte rozdelenie zodpovedností v podmienkach a DPA.
📄
Zmluva podľa čl. 28 — keď ide o spracovateľa
Ak poskytovateľ spracúva osobné údaje vo vašom mene, čl. 28 GDPR vyžaduje zmluvné náležitosti pre spracovateľa. Dokument môže byť súčasťou hlavných podmienok; rozhodujú jeho obsah a skutočné roly, nie názov „DPA“.
☁️
Sub-spracovateľ — cloudový poskytovateľ
Ak digitálny poštár ukladá dáta na cloudovej infraštruktúre (napr. AWS, Azure), stáva sa táto platforma sub-spracovateľom. Spracovateľ musí zabezpečiť, že aj sub-spracovateľ dodržiava rovnaké záväzky z GDPR.
✅Checklist
GDPR checklist pre e-fakturáciu
Skontrolujte si, či váš e-fakturačný proces spĺňa požiadavky GDPR. Označte položky, ktoré máte splnené:
Váš pokrok0/8 (0%)
⚖️Právny základ
Právny základ pre spracúvanie
📜
Zákonná povinnosť — čl. 6(1)(c) GDPR
Zákon č. 385/2025 Z.z. o elektronickej fakturácii a zákon o účtovníctve vás zaväzujú uchovávať faktúry a súvisiace doklady. Spracúvanie osobných údajov na tento účel je zákonné bez potreby súhlasu dotknutej osoby. Právny základ je plnenie zákonnej povinnosti.
🤝
Plnenie zmluvy — čl. 6(1)(b) GDPR
Plnenie zmluvy môže byť základom, ak je dotknutá fyzická osoba zmluvnou stranou. Pri kontaktných osobách právnickej osoby často treba posúdiť zákonnú povinnosť alebo oprávnený záujem. Súhlas nie je univerzálnym ani predvoleným základom fakturácie.
🗄️Archivácia
Archivácia vs GDPR: 10 rokov vs právo na výmaz
Tu vzniká najčastejší konflikt: zákon vyžaduje uchovávať faktúry a účtovné doklady 10 rokov, zatiaľ čo GDPR dáva dotknutým osobám právo na výmaz ich osobných údajov (čl. 17 GDPR).
🚫
Faktúry NEMÔŽETE vymazať pred zákonnou dobou
Zákonná povinnosť archivácie (čl. 6(1)(c) GDPR) prevažuje nad právom na výmaz. Ak vás zákazník požiada o vymazanie jeho údajov z faktúry, môžete jeho žiadosť legitímne odmietnuť s odvolaním sa na zákonné povinnosti. Toto odmietnutie musíte písomne zdôvodniť a dotknutú osobu o tom informovať.
✓
Po 10 rokoch: povinnosť zaniká, údaje treba vymazať
Po uplynutí zákonnej doby archivácie faktúr (10 rokov) zaniká právny základ pre uchovávanie. Ak osobné údaje nie sú potrebné na iný zákonný účel, mali by byť vymazané alebo anonymizované. Ideálne je nastaviť automatický výmaz v systéme digitálneho poštára.
GDPR opatrenia podľa konkrétneho toku
Šifrovaný prenos a lokality či transfery overované v aktuálnom registri dôkazov. Historické materiály nepotvrdzujú výlučné uloženie v EÚ ani úplný súlad s GDPR.
Mám záujem🛡️ePošťák & GDPR
Ako ePošťák rieši GDPR
🔒
Opatrenia a dôkazy podľa konkrétneho toku
- ·DPA v podmienkach služby — zmluva o spracúvaní je súčasťou zmluvných podmienok, bez potreby samostatného dokumentu.
- ·Lokality a transfery podľa toku — overujú sa v aktuálnom registri dôkazov pre konkrétny spracovateľský tok. Historické materiály nepotvrdzujú výlučné uloženie v EÚ ani úplný súlad s GDPR.
- ·Šifrovaný prenos — prenosové kanály používajú podporované bezpečnostné protokoly; konkrétnu verziu a rozsah treba overovať v technickom toku.
- ·Záznamy udalostí — technické a používateľské udalosti sa evidujú podľa funkcie a retenčných pravidiel; nejde o sľub záznamu každej možnej akcie.
- ·Retencia a export — zákazník musí overiť dobu dostupnosti podľa programu a zabezpečiť vlastný zákonný archív; automatický výmaz po desiatich rokoch tu nesľubujeme.
❓FAQ
Časté otázky o GDPR a e-fakturácii
Ak digitálny poštár pre daný účel koná ako váš spracovateľ, musia byť splnené náležitosti čl. 28 GDPR. Najprv určte roly pri jednotlivých tokoch; dokument môže byť integrovaný do podmienok služby a nemusí mať samostatný názov DPA.
Nie počas zákonnej doby archivácie (10 rokov). Právo na výmaz podľa čl. 17 GDPR sa neuplatní, ak je spracúvanie nevyhnutné na splnenie zákonnej povinnosti. Zákon o účtovníctve a zákon č. 385/2025 Z.z. o elektronickej fakturácii vás zaväzujú faktúry uchovávať. Môžete žiadosť o výmaz legitímne odmietnuť, ale musíte zákazníka písomne informovať o dôvodoch odmietnutia.
To závisí od poskytovateľa a konkrétneho spracovateľského toku. Pri ePošťákovi sa lokality uloženia a prípadné transfery overujú v aktuálnom registri dôkazov; historické materiály nepotvrdzujú výlučné uloženie v EÚ ani úplný súlad s GDPR.
Pri výbere si zmluvne overte kontinuitu, výpovednú dobu, export pôvodných XML a príloh, migráciu Peppol ID a vymazanie alebo vrátenie osobných údajov. Samotná certifikácia nenahrádza kontrolu týchto podmienok.