Kto predal váš e-mail? Ako to zistiť v 5 krokoch

Kto predal alebo prezradil vašu e-mailovú adresu, zistíte s istotou len vtedy, ak ste danej firme dali adresu, ktorú nemal nikto iný. Pri hlavnej adrese, ktorú používate roky, zvyčajne dokážete okruh podozrivých zúžiť, no vinníka nepomenujete: adresa je v desiatkach zákazníckych databáz a spamová správa len zriedka ukáže späť na tú, z ktorej unikla. Zistiť môžete, kto vám píše a cez akú službu, či vašu adresu prezradila niektorá firma pri známom úniku údajov a v EÚ a Spojenom kráľovstve aj to, čo firma uvádza o tom, odkiaľ vašu adresu získala. CatchNone pre iPhone, iPad a Mac robí z adresy pre každú firmu predvolené nastavenie: každá správa je označená aliasom, na ktorý prišla, takže ďalší únik ukáže na svoj zdroj.

Postup krok za krokom:

1. Nájdite prvú nevyžiadanú správu a presnú adresu, na ktorú prišla.
2. Prečítajte si jej hlavičku a zistite odosielateľa a jeho rozosielaciu službu.
3. V Have I Been Pwned skontrolujte, či adresa nebola súčasťou úniku údajov.
4. Opýtajte sa odosielateľa, odkiaľ vašu adresu má, a firmy, ktorú podozrievate, ktorým firmám ju poskytla.
5. Odteraz dávajte každej firme vlastnú adresu.

Dá sa zistiť, kto predal vašu e-mailovú adresu?

Niekedy. Závisí to od dôkazov:

• Hlavičky ukážu, kto správu poslal a cez akú službu (platný podpis DKIM dokazuje, ktorá doména ju podpísala), nie odkiaľ pochádza zoznam adries.
• Záznam o úniku údajov dokazuje, že vašu adresu stratila jedna firma, no iné nevylučuje.
• Žiadosť podľa zákona môže firmu prinútiť povedať, čo o zdroji vie, ak to vie (v Kalifornii len vo forme kategórií).
• Náhodná adresa, ktorú ste dali len jednej firme, ukazuje priamo na zdroj: pošta od kohokoľvek iného na túto adresu znamená, že odišla od tej firmy, či už ju predala, zdieľala, alebo jej ju ukradli.

Náhla záplava spamu môže mať aj iné príčiny, pozrite si, prečo môže spamu zrazu prudko pribudnúť. Ako sa adresy vôbec šíria, cez predaj, úniky údajov, zber z webu a hádanie, vysvetľuje článok ako spameri získavajú e-mailové adresy.

Krok 1: Nájdite prvú správu a adresu, na ktorú prišla

Vyhľadajte neznámeho odosielateľa a nájdite najstarší výsledok: prvá správa má najbližšie k okamihu, keď vaša adresa zmenila majiteľa. Skontrolujte, na akú presne adresu prišla a ako vás oslovuje. Stará adresa alebo preklep, ktorý ste raz použili, verzia vašej adresy so značkou +tag, skomolené meno z jedného registračného formulára alebo údaj, ktorý poznala len jedna firma, to všetko ukazuje na zdroj.

V EÚ a Spojenom kráľovstve si prečítajte aj pätičku tejto prvej správy a odkaz na ochranu osobných údajov. Podľa GDPR (čl. 14) vám firma, ktorá vaše údaje získala od niekoho iného, musí oznámiť, „z akého zdroja pochádzajú osobné údaje“. Ak údaje používa na to, aby vás kontaktovala, lehota je „najneskôr v čase prvej komunikácie“. Ak to prvá správa neuviedla, upozornite na to vo svojej žiadosti v kroku 4.

Krok 2: Prečítajte si hlavičku e-mailu

Hlavičku e-mailu tvoria skryté riadky nad samotnou správou. Uvádzajú odosielateľa a službu, ktorá poštu preniesla, takže z nich zistíte, komu napísať v kroku 4.

Ako zobraziť hlavičku e-mailu

Postupy podľa stránok pomocníka jednotlivých výrobcov, stav k septembru 2026:

Skratka v Gmaile: na webe kliknite na šípku nadol pod menom odosielateľa a uvidíte Mailed by (odoslané cez) a Signed by (podpísané), teda domény, ktoré správu odoslali a podpísali.

Rozobraný príklad

Ilustračná, skrátená sada hlavičiek. Vaša adresa je k7qm-2xrd@example.com, náhodná adresa, ktorú ste dali len záhradníctvu. Značka je dealsdaily.example.net a mailer.example.org je rozosielacia služba, ktorú používa.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Odosielateľom je tu Deals Daily, ktorý posiela cez mailer.example.org, a správa prišla na náhodnú adresu, ktorú ste dali len záhradníctvu, takže adresa odišla odtiaľ. Ako ju Deals Daily získal, hlavičky nepovedia: uvádzajú odosielateľa, nikdy nie predajcu. ICANN Lookup zobrazí registračný záznam neznámej domény, hoci údaje o vlastníkovi sú väčšinou skryté.

Krok 3: Skontrolujte, či ju firma neprezradila pri úniku údajov

Have I Been Pwned (HIBP) ukáže, v ktorých únikoch údajov a spamových zoznamoch sa adresa nachádza. K 25. septembru 2026 eviduje 1 038 webov s únikom údajov a viac ako 17,8 miliardy uniknutých účtov (adresa, ktorá je vo viacerých únikoch, sa počíta raz za každý z nich).

• Únik údajov uvádza službu, ktorá údaje stratila, a kedy sa to stalo: silná stopa, ak spam začal chodiť krátko potom.
• Spamový zoznam znamená, že sa vaša adresa objavila v dátach používaných na cielený spam. Tieto zoznamy sú „často zhromaždené z viacerých zdrojov“, takže pôvodnú firmu uvádzajú zriedka. Záznamy z pastes (verejne zverejnených výpisov textu) a úniky, ktoré HIBP označuje ako vymyslené alebo neoverené, sú ešte slabšie.
• Citlivé úniky sa zobrazia až po tom, čo sa prihlásite a overíte, že na danú adresu prijímate poštu.

Čistý výsledok znamená len to, že adresa nie je v žiadnom úniku, ktorý HIBP nahral, nie že ju nikto nepredal. Zapnite si bezplatné upozornenia Notify Me. Ak na vlastnej doméne používate pre každú firmu inú adresu, Domain Search (vyhľadávanie podľa domény) po overení domény ukáže, ktoré z nich sa objavili v ktorom úniku (väčšie domény zvyčajne potrebujú predplatné). Prehľad dark webu od Googlu (dark web report), ktorý odporúčajú staršie návody, bol začiatkom roka 2026 zrušený.

Krok 4: Opýtajte sa priamo firiem

EÚ a Spojené kráľovstvo: opýtajte sa, odkiaľ adresa pochádza a komu ju poskytli

Právo na prístup k osobným údajom vám umožňuje položiť dvom firmám dve otázky:

• Opýtajte sa odosielateľa, odkiaľ vašu adresu získal. Článok 15 ods. 1 písm. g) GDPR vám priznáva „akékoľvek dostupné informácie, pokiaľ ide o ich zdroj“ a usmernenia o transparentnosti, ktoré schválil Európsky výbor pre ochranu údajov, uvádzajú, že firma, ktorá vaše údaje získala inde, by mala pomenovať konkrétny zdroj, ibaže to nedokáže.
• Opýtajte sa firmy, ktorú podozrievate, ktorým firmám vašu adresu poskytla. K článku 15 ods. 1 písm. c) Súdny dvor EÚ vo veci Österreichische Post (C-154/21) rozhodol, že firma musí na požiadanie uviesť konkrétnych príjemcov, ibaže ich zatiaľ nedokáže identifikovať alebo je žiadosť zjavne neopodstatnená alebo neprimeraná. Britský úrad pre ochranu údajov ICO uvádza to isté podľa UK GDPR.

Ani jedna žiadosť nikoho nenúti pomenovať predajcu: firma môže odpovedať, že to nevie, alebo že údaje pochádzajú z viacerých zdrojov (odôvodnenie 61), no vyhýbavá odpoveď je dôvodom na sťažnosť. Použite kontaktné údaje z informácií o ochrane osobných údajov každej firmy a vyslovených spamerov vynechajte, pretože odpoveďou im potvrdíte, že vaša adresa funguje.

Tu je žiadosť o prístup k osobným údajom, ktorú môžete skopírovať (keď píšete firme, ktorú podozrievate, bod 4 vynechajte):

Predmet: Žiadosť o prístup podľa článku 15 GDPR

Podľa článku 15 GDPR (alebo UK GDPR) vás žiadam, aby ste mi k mojej e-mailovej adrese you@example.com oznámili:

1. Odkiaľ ste ju získali, s uvedením konkrétneho zdroja (čl. 15 ods. 1 písm. g)).
2. Ktorým príjemcom ste ju poskytli, s uvedením ich mien (čl. 15 ods. 1 písm. c)).
3. Aké osobné údaje o mne máte, spolu s ich kópiou.
4. Prečo vaša prvá správa, ktorú ste mi poslali [dátum], neuviedla tento zdroj (čl. 14 ods. 2 písm. f) a čl. 14 ods. 3 písm. b)).

Zároveň namietam proti priamemu marketingu (čl. 21). Odpovedzte, prosím, do jedného mesiaca (čl. 12 ods. 3).

[Vaše meno]

Odpoveď je zvyčajne bezplatná (lehoty nájdete v tabuľke nižšie). Keď namietnete proti priamemu marketingu, vaše údaje sa naň už nesmú používať.

Ak v Spojenom kráľovstve odpoveď nepríde alebo je vyhýbavá, sťažujte sa najprv firme: pri sťažnostiach podaných od 19. júna 2026 jej zákon Data (Use and Access) Act ukladá potvrdiť prijatie vašej sťažnosti do 30 dní. Potom sa do troch mesiacov od posledného zmysluplného kontaktu s firmou sťažujte na ICO. V EÚ vám článok 77 umožňuje podať sťažnosť dozornému orgánu pre ochranu údajov (na Slovensku je to Úrad na ochranu osobných údajov SR).

Spojené štáty: Kalifornia a Oregon

Kalifornská žiadosť podľa CCPA o „právo vedieť“ (right to know) vám prinesie kategórie zdrojov a tretích strán a k tomu osobné údaje, ktoré o vás firma má, no neprezradí, kto vašu adresu predal. Odpoveď je bezplatná. Firme môžete tiež povedať, aby vaše údaje prestala predávať alebo zdieľať, alebo ju požiadať, aby vymazala, čo od vás získala. Zákon sa vzťahuje len na firmy nad stanovenými prahmi, napríklad s ročnými tržbami nad 26 625 000 USD (k septembru 2026).

Ak žijete v Oregone, firma, na ktorú sa vzťahuje tamojší zákon o ochrane súkromia, vám musí na požiadanie poskytnúť zoznam konkrétnych tretích strán, ktorým údaje poskytla, hoci môže uviesť tie, ktoré dostali akékoľvek osobné údaje, nie práve tie vaše (ORS 646A.574). Tieto práva vyplývajú zo zákonov jednotlivých štátov, takže to, o čo môžete požiadať, závisí od toho, kde žijete.

Obyvatelia Kalifornie môžu použiť aj DROP, platformu Delete Request and Opt-out Platform (platforma na žiadosti o vymazanie a odmietnutie), a poslať jednu žiadosť o vymazanie všetkým registrovaným obchodníkom s údajmi (data brokers). Platforma sa spustila 1. januára 2026 a od 1. augusta 2026 musia obchodníci s údajmi spracúvať žiadosti aspoň raz za 45 dní. Dosiahne len na obchodníkov s údajmi, teda firmy, s ktorými nemáte žiadny priamy vzťah, nie na obchod, ktorému ste adresu dali.

Ktokoľvek môže prehľadávať registre obchodníkov s údajmi v štátoch Kalifornia, Vermont, Texas a Oregon. Vyhľadajte v nich názov firmy odosielateľa a domény z kroku 2. Zhoda znamená, že odosielateľ je registrovaný obchodník s údajmi, teda jedna z firiem, na ktoré DROP dosiahne, ak žijete v Kalifornii.

Čo vám ktorá žiadosť prinesie

Kdekoľvek: rozosielacia služba

Rozosielacia služba uvedená v DKIM-Signature d=, Return-Path alebo List-Unsubscribe má vlastné pravidlá. Napríklad zásady prijateľného používania Mailchimpu zakazujú posielať na „kúpené, prenajaté zoznamy, zoznamy tretích strán, zoznamy z co-registrácie, verejne dostupných údajov alebo partnerské zoznamy akéhokoľvek druhu“ a jeho oddelenie pre nahlasovanie zneužitia žiada „celú hlavičku e-mailu“ (obe stránky skontrolované 25. septembra 2026). Pošlite oddeleniu pre nahlasovanie zneužitia (abuse) danej služby celé hlavičky. Nepovie vám, kto vašu adresu predal, ale môže odosielateľovi zabrániť, aby jej službu ďalej používal.

Čo robiť, keď už viete

• Adresu vyraďte. Firme, ktorá ju prezradila, dajte novú adresu alebo zrušte účet a starú adresu potom vypnite alebo vymažte. Nechajte ju fungovať, kým nedostanete odpoveď na žiadosť o prístup, pretože odpoveď alebo overenie totožnosti môže prísť práve na ňu. Ak ide o vašu hlavnú adresu, použite filtre.
• Zastavte to. Pošlite námietku podľa článku 21 (EÚ, Spojené kráľovstvo), odhláste sa z odberu u legitímnych odosielateľov z USA alebo odmietnite predaj a zdieľanie a použite DROP (Kalifornia). Ak odhlásenie z odberu predtým nezabralo, prečítajte si, prečo odhlásenie z odberu nefunguje.
• Nahláste to na ReportFraud.ftc.gov v USA, cez nástroj ICO na nahlasovanie spamu v Spojenom kráľovstve (jednotlivo neodpovedá) alebo oddeleniu pre nahlasovanie zneužitia rozosielacej služby a vo svojej poštovej apke správu označte ako spam.
• Ak išlo o únik údajov, zabezpečte aj účet (pozrite si časté otázky).

Predávajú firmy vašu e-mailovú adresu a je to legálne?

Niektoré áno. FTC uvádza: „Keď firme dáte svoju e-mailovú adresu, môže ju zdieľať s tretími stranami alebo im ju predať.“ V USA to federálny zákon dovoľuje, kým sa neodhlásite. V Spojenom kráľovstve a EÚ firma potrebuje váš súhlas, aby vám mohla písať z kúpeného zoznamu, a v Spojenom kráľovstve spravidla potrebuje váš súhlas aj na to, aby zoznam predala.

• Spojené štáty: podľa federálneho zákona CAN-SPAM firma nepotrebuje súhlas, aby vám posielala marketingové e-maily. Keď sa odhlásite, má 10 pracovných dní na to, aby prestala, a vašu adresu nesmie predať ani previesť. Kalifornia pridáva možnosť odmietnuť predaj a jej pojem „predaj“ zahŕňa aj prenájom alebo sprístupnenie údajov za „inú hodnotnú protihodnotu“, takže sa môže počítať aj výmena s partnerom bez akýchkoľvek peňazí. „Zdieľanie“ je samostatný pojem pre behaviorálnu reklamu naprieč kontextmi (cross-context behavioral advertising).
• Spojené kráľovstvo: podľa nariadení Privacy and Electronic Communications Regulations (PECR) môže firma písať ľuďom z kúpeného zoznamu, len ak „výslovne súhlasili s prijímaním tohto typu správ“ práve od nej; všeobecný súhlas pre akúkoľvek tretiu stranu nestačí a predaj zoznamu spravidla vyžaduje súhlas ľudí, ktorí sú na ňom (usmernenie ICO, ktoré sa po prijatí zákona Data (Use and Access) Act reviduje). Pre firemné adresy platia iné pravidlá.
• EÚ: smernica o súkromí a elektronických komunikáciách (ePrivacy) dovoľuje marketingové e-maily len s „predchádzajúcim súhlasom“, s výnimkou predajcu, ktorý ponúka podobné produkty vlastným zákazníkom, a túto výnimku kupec zoznamu využiť nemôže.

Prečo je trik so znakom plus slabým dôkazom

„Trik s Gmailom“ spočíva v tom, že sa zaregistrujete s adresou so značkou, napríklad you+shopname@example.com ako variantom adresy you@example.com, a sledujete, ktorá značka sa objaví v spame. Vlastný popis od Googlu ukazuje slabinu: „Správy odoslané na vašu súčasnú adresu alebo na akúkoľvek jej variáciu so znakom plus prídu všetky do vašej súčasnej doručenej pošty.“

• Vaša skutočná adresa je na očiach. Stačí značku zmazať, pošta vám stále príde a dôkaz je preč.
• Značka pre odosielateľa nič neznamená. Časť pred @ vykladá len váš poskytovateľ (RFC 5321, § 2.3.11) a oddeľovač sa v jednotlivých systémoch líši (RFC 5233).
• Dokazuje menej, než sa zdá. Adresa so značkou v spame ukazuje, že odišla od tej firmy, nie to, či bola predaná, zdieľaná alebo ukradnutá pri úniku. A ak spam so značkou nepríde, nikoho to neočisťuje: značku mohol niekto jednoducho odstrániť.

Trik s bodkami, teda registrácia ako your.name u jednej firmy a yo.urname u inej, je ešte slabší: Gmail ignoruje bodky v osobných adresách, takže ich môže ktokoľvek odstrániť (v pracovných a školských účtoch sa bodky počítajú). Na filtrovanie sa adresovanie so znakom plus (plus addressing) stále hodí; kde funguje, vysvetľuje príručka k adresovaniu so znakom plus.

Krok 5: Nech ďalší únik prezradí svoj zdroj

Spoľahlivá metóda funguje dopredu: každej firme dajte vlastnú adresu, ktorá neobsahuje tú skutočnú. Pošta od kohokoľvek iného na adresu, ktorú ste dali jednému obchodu, vám prezradí, odkiaľ unikla, a vypnúť môžete len túto jednu adresu.

• CatchNone dá každej firme vlastný alias a každú správu označí aliasom, na ktorý prišla, takže predaná adresa sa prezradí bez čítania hlavičiek. Adresy @catchnone.com vyžadujú Premium; doména, ktorú vlastníte, funguje aj v pláne Bezplatný.
• Služby na e-mailové aliasy, napríklad funkcia „Skryť môj email“ (Hide My Email) od Apple (so službou iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io a Firefox Relay, preposielajú poštu do vašej doručenej pošty. Rozdiely vysvetľuje porovnanie služieb na e-mailové aliasy.
• Adresa catch-all (zástupná adresa) na vlastnej doméne prijíma poštu pre akúkoľvek adresu na tejto doméne, takže si pri každej registrácii môžete vymyslieť novú. Napríklad Cloudflare Email Routing (smerovanie e-mailov) je dostupný v bezplatných aj platených plánoch (k septembru 2026) a má pravidlo catch-all. Výhody a nevýhody vysvetľuje článok čo je adresa catch-all.

Uprednostnite náhodné adresy pred ľahko uhádnuteľnými, ako je gardenshop@example.com, ktoré si spamer na adrese catch-all môže vymyslieť sám, a zapisujte si, ktorú adresu ste dali komu.

CatchNone: každá správa ukáže adresu, na ktorú prišla

CatchNone je vytvorený pre krok 5. Každému obchodu, odberu noviniek alebo účtu dáte vlastný alias a pri každej správe v apke je vyznačený alias, na ktorý prišla. Keď vám cudzí odosielateľ napíše na adresu, ktorú ste dali len záhradníctvu, označenie ukáže, odkiaľ adresa unikla, a nemusíte čítať žiadne hlavičky. „Aktivita“ upozorní na poštu na aliase, ktorý ste označili ako „Nepoužívaný“, a na odosielateľov, ktorí píšu prvýkrát, a uniknutú adresu @catchnone.com môžete vypnúť, takže odosielateľom sa pošta vráti, zatiaľ čo vaše ostatné aliasy fungujú ďalej.

S Premium dostanete náhodné adresy @catchnone.com, napríklad abcde-12345@catchnone.com, bez domény, DNS či poštovej schránky, ktoré by bolo treba nastavovať, a priradí sa aj pošta poslaná ako skrytá kópia. Alebo použite doménu, ktorú vlastníte a ktorej poštu už váš poskytovateľ doručuje do poštovej schránky: apka túto schránku číta len na čítanie, cez IMAP alebo JMAP, priamo z vášho zariadenia, s až 10 aliasmi v pláne Bezplatný a bez limitu v Lite a Premium. CatchNone je dostupný pre iPhone, iPad a Mac.

Funguje dopredu, nie spätne na adresách, ktoré ste používali predtým, a nemá databázu únikov ani detekciu únikov: označenia a poznámky na karte „Aktivita“ sú dôkazy, ktoré posúdite sami. Na vlastnej doméne číta len doručenú poštu, a to len poštu, ktorá má adresu na vašej doméne v poli Komu, Kópia alebo Skrytá kópia, takže spam presunutý do nevyžiadanej pošty sa nezobrazí. Keď tam alias označíte ako „Nepoužívaný“, je to len štítok, takže uniknutú adresu zablokujte u svojho poskytovateľa. Správy na adresách @catchnone.com sa mažú 30 dní po doručení, preto tie, ktoré potrebujete ako dôkaz, označte príznakom, aby ste mali celý text uložený vo svojom zariadení.

Časté otázky

Čo robiť, ak firma nechala uniknúť moju e-mailovú adresu?

Vyhľadajte adresu na Have I Been Pwned a zistite, v ktorom úniku údajov bola a čo ďalšie spolu s ňou uniklo. Zmeňte heslo na danom webe a všade, kde ste ho použili znova, a zapnite dvojstupňové overenie. Počítajte s phishingom (podvodnými e-mailmi), ktorý bude citovať uniknuté údaje, a neklikajte na odkazy v správach, ktoré únik spomínajú. Ak ste tej firme dali vlastnú adresu, vyraďte ju a dajte firme novú.

Predáva LinkedIn alebo Google moju e-mailovú adresu?

Ani jedna z nich neuvádza, že by vaše osobné údaje predávala, LinkedIn však uvádza, že ich zdieľa na účely reklamy naprieč kontextmi. Jeho informácie o ochrane súkromia pre Kaliforniu hovoria „Vaše osobné údaje nepredávame“ a obyvateľom Kalifornie umožňujú toto zdieľanie odmietnuť. Centrum bezpečnosti Googlu uvádza „Vaše osobné údaje nikdy nikomu nepredávame“ a jeho pravidlá ochrany súkromia (účinné od 26. mája 2026) hovoria, že osobné údaje zdieľa mimo Googlu len v uvedených prípadoch, pričom prvým je váš súhlas. Všetky tri stránky boli skontrolované 25. septembra 2026. Pri ostatných firmách si prečítajte ich zásady a „predaj“ a „zdieľanie“ posudzujte oddelene.

Kto kupuje e-mailové adresy?

Obchodníci s údajmi, sprostredkovatelia adresných zoznamov a marketéri; registrovaných obchodníkov uvádzajú štátne registre spomenuté vyššie. Tento obchod môže prebiehať aj otvorene: vo veci Österreichische Post rakúsky poštový operátor uviedol, že osobné údaje ponúka „obchodným partnerom na marketingové účely“, a neskôr medzi príjemcami uviedol aj „poskytovateľov mailing listov“. Táto vec sa týkala údajov, ktoré mal poštový operátor, nie e-mailových adries.