Ministerstvo spravedlnosti odstavilo testovací obchodní rejstřík kvůli rodným číslům

Testovací verze nového obchodního rejstříku Ministerstva spravedlnosti mohla zpřístupnit rodná čísla až 2 milionů lidí zapsaných v rejstříku u českých firem a organizací. Ministerstvo přístup k dotčené části omezilo a testovací portál odstavilo.

Rodná čísla nebyla vidět na stránce ani ve výsledcích vyhledávání. Server je však posílal v technické odpovědi společně s veřejnými údaji. Údaje bylo možné najít po otevření a prohledání této odpovědi nebo přímým voláním příslušného rozhraní. Odpověď obsahovala také agendový identifikátor fyzické osoby (AIFO), který slouží k identifikaci člověka v konkrétní státní agendě.

Druhá programátorská chyba umožňovala stahovat neveřejné listiny pouhou změnou čísla v internetové adrese. Na problém upozornil čtenář serveru iRozhlas.cz.

Ministerstvo uvedlo, že přístup k dotčené části omezilo během několika minut po upozornění. Incident oznámilo Národnímu úřadu pro kybernetickou a informační bezpečnost a Úřadu pro ochranu osobních údajů.

Ministerstvo při dosavadním prověřování nezjistilo rozsáhlý únik dat. Skutečný počet dotčených lidí ani to, zda někdo data získal, však zatím nelze určit. Ministerstvo zvažuje vyvození odpovědnosti vůči dodavateli, kterým je podle Českého rozhlasu společnost Asseco. Současný obchodní rejstřík zůstává v provozu bez omezení.

Chyba se týkala testovacího portálu státu, nikoli provozu současného obchodního rejstříku. U jednatelů a dalších zapsaných osob však zatím nelze určit osobní dopad. Není znám počet skutečně zpřístupněných záznamů, případné stažení dat, délka jejich dostupnosti ani rozsah dotčených neveřejných listin. Bez těchto údajů nelze riziko věcně posoudit.