Firmy stahují data zpět do Evropy, stavějí vlastní cloudy a regulace je směřují k tomu, aby otevíraly datacentra na dalších kontinentech. Někdy ani to nestačí. U části totiž není jisté, kde všude firemní data jsou, kdo k nim může přistupovat a nakonec ani to, co z nich vzniklo. S rostoucí hodnotou dat tak přibývá i povinností a rizik, které s nimi firmy musí řešit. Jenže vyznat se v nich není jednoduché.
Tak například u společnosti Frenkee je na první pohled jasné, že data musí hlídat. Klientům hledá a doporučuje nejlepší pojištění, a na to, aby jim skutečně sedlo, potřebuje řadu jejich citlivých údajů. Takže se musí jistit na řadě stran: data klientů běží na vlastní spravované infrastruktuře v českém datacentru. Prohlížeč klienta při výpočtu i sjednávání nikdy nekomunikuje přímo se systémy pojišťoven ani s registry a komunikace i přístupové klíče zůstávají na serverové vrstvě firmy.
„Přístupová hesla a klíče jsou oddělené od kódu, přístup do dat je u každého požadavku vázán na konkrétního uživatele a jeho oprávnění, takže nikdo nevidí do částí systému, které mu nepatří,“ popisuje Tomáš Hájek, šéf IT Frenkee. Do administrace se přihlašuje jasně danými cestami a pokud se používají hesla, tak s ochranou proti opakovaným pokusům. „Hesla přitom nikdy neukládáme v čitelné podobě, jen jako digitální otisk s náhodně přidanými znaky, tzv. solený hash, moderní paměťově náročnou funkcí (scrypt). Ke všem citlivým změnám jako sjednání, storna, platby, úpravy smluv, vedeme auditní log, který nejde zpětně přepsat ani smazat, je tedy dohledatelné, kdo změnu provedl a kdy,“ dodává Hájek. Je to jen část opatření, která vyjmenovává.
Chránit data je tu opravdu komplexní disciplína. Není proto překvapivé, že se jí dopodrobna zabývá firma, která zpracovává osobní údaje a potřebuje řešit GDPR i dohledové požadavky ČNB a mnoho úrovní ochrany podobného rázu. Mnoho společností ale zjistilo, že data musí řešit podobně, i když tak citlivě nepůsobí.
Problém je, jak s nimi vlastně zacházet. Stejně jako společnosti už pro Lupu hovořily o nejasnostech ohledně toho, jak se zákony stavějí ke shromažďování dat z internetu (scrapingu), nejsou si jisté ani tím, jak data uchovávat. „Liší se jen rovina: data mohou být zcela zákonná v jedné jurisdikci a problematická v jiné, aniž by se cokoliv změnilo na jejich obsahu,“ popisuje zakladatel Filip Morávek ze softwarové společnosti Easy8 (dříve Easy Software).
„Jak digitální ekonomika roste, přibývá legislativy zavádějící pro různé druhy dat a typy zpracování stále složitější požadavky, podepřené drakonickými pokutami. Jediná jistota je, že nic z toho není jisté,“ zjednodušuje pak Tomáš Honzák, šéf informační bezpečnosti ve firmě Ataccama.
Sbírky dat jako krabice v garáži
Než začnou firmy řešit, kam data uložit, měly by si podle odborníků položit ještě jednodušší otázku: zda je vůbec mají mít. Mnoho z nich si totiž data ukládá prostě pro jistotu.
Valtr Kolban, který šéfuje auditu a risku ve zmíněné Ataccamě, to přirovnává k odkládání věcí do garáže s tím, že by se jednou mohly hodit. Jenže za data firma ručí. „Ke každé krabici musíte umět říct, proč ji máte, ochránit ji, a když přijde kontrola, tak i vysvětlit, co je uvnitř,“ dodává a popisuje, že nechávat si je takzvaně pro strýčka příhodu není opatrnost, ale hromadění závazků.
Doporučuje spíš taková data neskladovat. „V bezpečnosti se říká, že jediná stoprocentně bezpečná data jsou ta, která nikde neleží. Zní to jako bonmot, ale je to praktická rada,“ uvádí. „Datová minimalizace, tedy sbírat jen potřebné a mazat nepotřebné, je proto bezpečnostní opatření první kategorie,“ říká. Pravidla GDPR ji ostatně přikazují, ale podle Kolbana ji většina firem začne brát vážně až po prvním bezpečnostním incidentu.
I když firma ví, jaká data drží, často nemá přehled o záludnější kategorii, a to o datech odvozených. Jde o vše, co vznikne z jiných dat: reporty, souhrny, statistiky a podklady pro modely. Firmy je téměř nikdy nemají v přehledu, hodnotí Kolban.
„Zrádné je na nich to, že se z nich dá poskládat i co jste předtím pracně schovali. Představte si puzzle. Jednotlivý dílek neřekne nic, ale když jich dáte pět k sobě, poznáte konkrétního člověka,“ přirovnává. S tím se z takových „neškodných“ přehledů dá zpětně identifikovat zákazník nebo zaměstnanec. „Proto GDPR považuje pseudonymizovaná data pořád za osobní údaje, proto se o tuto definici teď v Bruselu vede spor,“ dodává Kolban.
V Evropě, v Česku, nebo nejlépe v kanceláři na stole
Když (nebo pokud) už je jasné, jaká data firma vlastně drží, přichází aktuálně velmi diskutovaný problém, a to, kde je uložit. Od toho se totiž odvozuje, kdo vlastně na dané informace dosáhne. Je to důvod, proč mnoho firem řeší, jaké servery využívat, a většina hovoří o těch evropských.
Kdo dosáhne na data?
Je zde konflikt mezi evropským a americkým právem, který je zabudovaný přímo v zákonech. GDPR říká, že data Evropanů smí za hranice jen se zárukami. CLOUD Act říká, že americký poskytovatel je musí na vyžádání vydat. Evropský soud už dvakrát zrušil rámec, který to měl vyřešit: Safe Harbour v roce 2015 a Privacy Shield skrze Schrems II v roce 2020. Dneska to není jen teorie mezi zákonodárci, za zmínku stojí, že dosud největší pokuta v historii GDPR, 1,2 miliardy eur pro Metu z května 2023, padla právě za transatlantické přenosy.
Českým firmám do toho od loňského listopadu mluví ještě zákon č. 264/2025 Sb. o kybernetické bezpečnosti, transpozice směrnice NIS2. Počet regulovaných subjektů se posunul z několika set na odhadovaných šest tisíc. K únoru 2026 se jich zaregistrovalo 4 825, tedy zhruba tři čtvrtiny očekávaného počtu. Zákon přináší osobní odpovědnost vrcholového vedení za dohled nad kyberbezpečností, požadavky na dodavatelský řetězec, šedesátidenní lhůtu na ohlášení a rok na zavedení opatření. Sankce jsou odstupňované podle režimu a typu porušení a jdou do desítek až stovek milionů korun.
Valtr Kolban, Ataccama
Důležité je ovšem v tomto ohledu podotknout, že ani data na serveru umístěném v Evropě nemusí být mimo dosah amerických úřadů. „Americký CLOUD Act umožňuje americkým orgánům vyžádat si data od poskytovatele podléhajícího jurisdikci USA bez ohledu na to, kde jsou fyzicky uložená. Datacentrum ve Frankfurtu tedy samo o sobě suverenitu nezajistí,“ varuje Kolban.
Přesouvat data kvůli zákonům je podle něj dnes běžná praxe, typicky ve financích, zdravotnictví a veřejném sektoru. „Zajímavé je, že technicky nejtěžší není samotné stěhování. Nejtěžší je vědět, která data se mají přestěhovat. To předpokládá, že víte, kde všechna leží a co v nich je, a přesně na tom firmy nejčastěji zjistí, že mají mezeru,“ říká Kolban.
Generální ředitel ČMIS Václav Svátek tak hovoří o jevu, který označuje jako trend cloudové repatriace. „Firmy přesouvají data zpět z pragmatických důvodů: chtějí mít data pod evropskou jurisdikcí, vyžadují předvídatelné náklady a lokální českou podporu, které se dovolají, když nastane problém. Smlouva s poskytovatelem vám navíc musí jasně definovat lokaci dat i realistickou exit strategii,“ přibližuje.
A společnost Pipedrive, která firmám pomáhá řídit vztahy se zákazníky a působí i z Česka, nedávno právě kvůli regulačním požadavkům spustila dvě nová datacentra, a to v Austrálii a v Kanadě. Otevřela si tak dveře k firmám, které by jinak její služby kvůli legislativě používat nemohly. „U velkých organizací a v regulovaných odvětvích, jako je zdravotnictví, finanční služby či státní správa, představuje fyzické umístění dat často nezbytnou podmínku pro nákup podnikového softwaru,“ vysvětluje Sean Evers, viceprezident pro prodej a partnersetví v Pipedrive.
Přiznává, že nová datacentra zatím zásadní přísun klientů nepřinesla. Věří ale, že si tím Pipedrive vytvořil dobrou pozici do budoucna. Na okraj k tomu dodává, že příprava infrastruktury trvala necelý týden, další týden zabralo testování a několik týdnů pak migrace dat klientů. Firma navíc nemusela měnit celý způsob, jakým infrastrukturu spravuje. Díky principu Infrastructure-as-Code zůstávají bezpečnostní a správní pravidla stejná bez ohledu na to, ve kterém regionu AWS data fyzicky leží.
Ochrana proti firmám, nebo proti vládám?
„Rozdíl mezi Evropou a Spojenými státy se obvykle popisuje jako soukromí versus svoboda. Přesnější je říct, že se obě jurisdikce liší v tom, před kým jednotlivce chrání,“ říká Tomáš Honzák, Chief Information Security Officer, Ataccama.
Evropa podle něj staví ochranu především proti firmám. „Spojené státy chrání jednotlivce před státem poměrně silně v trestním řízení, jenže takzvaná third-party doctrine znamená, že co jednou svěříte poskytovateli, ústavní ochranu podle čtvrtého dodatku ztrácí. A na cizince mimo území USA se podle § 702 FISA nevztahuje ani to,“ dodává.
Pro firmu ukládající data z cloudu to podle něj znamená nepříjemný závěr: v Evropě jsou data chráněna před obchodním zneužitím, ale ne před tamními vládami. Ve Spojených státech nejsou chráněna ani před jedním.
Potajmu
Nejrychleji rostoucí datové riziko dnes podle mnohých odborníků spočívá v takzvané shadow AI. Studie IBM z letošního července uvádí, že 43 % bezpečnostních incidentů zahrnovalo zaměstnance používající neschválené AI nástroje. Loni tento podíl dosahoval 20 %. „Zákazy na to nefungují, to se ověřilo mnohokrát. Funguje dát lidem schválenou alternativu, která je stejně pohodlná. Když ji nedostanou, najdou si vlastní cestu,“ komentuje Kolban.
Vedle zaměstnanců se navíc pohybují i AI agenti, kteří k datům můžou dostat vlastní přístup a následně s nimi sami také pracovat.
„Problém totiž nemusí způsobit ani nějaký konkrétní zlý útočník. Agent dokáže obejít bezpečnostní hranici sám, prostě proto, že se snaží za každou cenu dokončit úkol, a když narazí na chybějící soubor nebo vypršelý token, hledá cestu okolo,“ upozorňuje Jaromír Barták ze společnosti Flo.
Říká, že se proto kontrola přesouvá blíž k zařízení. Je třeba sledovat, co agent dělá v reálném čase, a rizikové kroky rovnou blokovat, uvádí. „Ideálně lokálně, aby data neopouštěla firmu. Vzniká na to celá kategorie nástrojů, za všechny třeba open-source Numbat od Perplexity,“ dodává.
Jinde už podobný problém řeší vybudováním vlastního kontrolovaného prostředí. Jakub Hanák, technologický ředitel firmy BIQ Group, popisuje interní AI nástroj LibreChat, který jeho firma vyvinula právě proto, aby zaměstnancům nabídla schválenou alternativu k veřejným modelům. „Systém a data jsou uložena v privátním cloudu v ČR, kde má přístup ke správě jen úzká skupina lidi, a to pouze z firemní sítě. Loginy jsou možné pouze přes firemní identitu – Entra účet," popisuje Hanák.
Inference, tedy výpočet odpovědí AI modelu, jde podle něj buď přímo přes evropské poskytovatele, nebo za pomoci EU sovereign routingu velkých cloudových služeb typu Microsoft Azure nebo Google Vertex AI. „Pro případy auditu všechna užití systému našimi zaměstnanci logujeme v rámci našeho cloudu, do kterého má přístup jen omezený počet lidí, a je přísně omezen organizačními i technickými opatřeními,“ říká Hanák.
- Chcete mít Lupu bez bannerů?
- Chcete dostávat speciální týdenní newsletter o zákulisí českého internetu?
- Chcete mít k dispozici strojové přepisy podcastů?
- Chcete získat slevu 1 000 Kč na jednu z našich konferencí?
Staňte se naším podporovatelem
ČLÁNKY DO MAILU