Jan Vobořil (IuRe): Stát se za data retention omluvil, ale údaje dál protiprávně sbírá. A EU by mohla jít ještě dál

Pokud říkáte, že pro operátory teď důvod, proč mají data sbírat, nemusí být úplně zákonný — nechystáte se třeba žalovat nějakého operátora, který data dál sbírá? Neplánujete vyzkoušet, jak to bude v praxi fungovat?

Plánů máme zatím víc a žaloba je jednou z cest, jak můžeme pokračovat. V tuhle chvíli jsme zatím dali podnět Evropské komisi k tomu, že bylo ukončeno řízení, které potvrdilo, že Česká republika špatně implementovala takzvanou ePrivacy směrnici. Už nějakých deset, patnáct let máme špatně implementovanou směrnici a Evropská komise může zahájit vůči České republice kroky, například ukládat pokuty tak, aby byla směrnice správně implementována. V tuto chvíli správná implementace znamená prostě zrušit právní zdejší úpravu data retention.

Na Evropskou komisi jsme se zkoušeli obracet už před několika lety, ale byli jsme odmítnuti s tím, že ještě probíhá soudní spor. Ten je teď ukončen, takže očekáváme, že by se k tomu Evropská komise měla nějak postavit. Byť samozřejmě vnímáme, že paralelně probíhá veliký tlak na to, aby v nějaké podobě bylo přijato celoevropské řešení data retention.

Když se na to podívám z pohledu operátora — ten dnes má platný zákon, který mu ukládá povinnost data sbírat a předávat je za určitých podmínek příslušným orgánům. Na druhé straně je tenhle verdikt. Z hlediska operátora bych asi nebyl úplně v klidu, protože bych nevěděl, co přesně mám dělat. Doufejme, že se co nejdříve vyřeší. Mrzí mě, že tady není nikdo z ministerstva vnitra ani ministerstva průmyslu. Možná ocituji vyjádření Ondřeje Krátošky z tiskového oddělení ministerstva vnitra. Ten mi napsal: „V tuto chvíli se seznamujeme se závěry Nejvyššího soudu, následně budeme společně s ministerstvem průmyslu a obchodu vyhodnocovat bezprostřední dopady rozsudku. Obecně platí, že údaje z telekomunikačního provozu získané na základě přísných podmínek trestního řádu mají pro policii nezastupitelnou roli, nicméně hodnotit konkrétní dopady do práce policie je nyní předčasné. V prvním čtvrtletí tohoto roku by navíc nový návrh legislativní úpravy uchovávání údajů z telekomunikačního provozu měla představit Evropská komise. Je tedy pravděpodobné, že bude přistoupeno k novelizaci stávajících právních předpisů." To nevypadá na nějaké rychlé řešení, pokud budeme čekat na celoevropskou úpravu. Komise teď pravděpodobně něco představí, ale než to začne platit, bude to třeba ještě rok, dva…

Tahle reakce rozhodně není taková, jaká by měla být. Mimochodem, velmi obdobnou reakci jsme dostali od ministra průmyslu a obchodu Karla Havlíčka, který v podstatě říká totéž — budeme čekat, co se stane v Evropě. To znamená, máme tady Nejvyšším soudem pojmenovaný protiprávní stav a my budeme roky čekat a budeme ho dál živit, budeme sbírat data v rozporu s právními předpisy o všech obyvatelích České republiky.

Samozřejmě se otevírá prostor pro každého, kdo používá mobilní telefon, jestli si necháme takový přístup k zásahům do našeho soukromí líbit. Podobnou žalobu, jako podal Honza Cibulka, může podat každý z nás. A argumentů bude ještě víc — stát tady má jasně pojmenováno, že protiprávně zasahuje do našich základních práv, a nic s tím nedělá. Už to nemusí být jen omluvy, mohou to být zadostiučinění v penězích. Je potřeba to státu co nejvíc znepříjemnit, aby se skutečně rozhodl jednat. Jediné správné řešení v tuhle chvíli je podle mě stávající právní úpravu zrušit, prostě nemít data retention. Pak se samozřejmě můžeme bavit o tom, jak bude vypadat návrh Evropské komise, ale stávající stav je protiprávní.

To byla taková krátká výzva k občanské neposlušnosti a případně k žalobám na stát. Uvidíme, kolik lidí se toho chytne — soudit se několik let se státem asi nikdo moc netouží. Možná pár čísel: mluvil jste o tom, že se ta data používají řádově v desítkách tisíc případů. Já jsem našel čísla za rok 2024 z analýzy Policejního prezidia. Podle té bylo vyžádáno celkem 76 187 záznamů. Policejní prezidium popisuje, že se data efektivně použila v některých konkrétních případech — třeba při vyšetřování vraždy, kde došlo ke zjištění polohy podezřelého při nákupu kryptoměny k objednání vraždy, ke ztotožnění účastníků konfliktu a klíčového svědka nebo k potvrzení přítomnosti pachatele na místě činu. Pak u těžkého ublížení na zdraví, kde se zjistila totožnost podezřelého a vyvrátilo jeho alibi o pobytu v zahraničí. Pak u podvodů, padělání a pozměňování peněz a dalších činů. Policie říká, že bez těch dat se dnes těžko obejde — hodně trestné činnosti se páchá prostřednictvím mobilních telefonů a ty mobily máme všichni u sebe, takže se dá dokazovat, že člověk někde byl, nebo nebyl. Hlavně u těžkých zločinů je to prý neocenitelná pomůcka. Není tohle dobrý argument pro to, abychom strpěli nějaké omezení svých práv na ochranu soukromí?

Není to dobrý argument, protože je to argument falešný. Všimněme si, že policie nikdy nepřichází s nějakými statistickými daty o tom, jakým způsobem poklesla kriminalita v souvislosti s využíváním data retention, nebo jakým způsobem se zvýšila objasněnost trestných činů. Vždycky jen vytrhne tři, čtyři případy. My ostatní vůbec neznáme obsah spisu, nevíme, nakolik ty důkazy byly relevantní nebo nakolik nešlo věc dokazovat jiným způsobem.

Podívejme se třeba na Českou republiku — samozřejmě už je to delší doba, ale v tom roce 2011–2012, když jsme tady data retention neměli, se kriminalita žádným způsobem nepohnula nahoru a objasněnost se nezhoršila. Bylo to pořád stejné. Totéž nám říká studie zpracovaná Evropským parlamentem někdy v roce 2019, kde také došli k závěru, že to nemá zásadní vliv na statistická data objasněnosti kriminality.

Ano, jsou to data, která se dají nějakým způsobem využít, nicméně statistiky nám říkají, že policie zřejmě dokáže pracovat i bez těchto dat a dokáže je nahradit jinými důkazy. Často se argumentuje počítačovou kriminalitou, ale je potřeba zmínit, že drtivá většina žádostí vůbec nesměřuje na počítače, ale na lokalizaci. Vyšetřuje se tím běžná kriminalita ve veřejném prostoru, takže s počítačovou kriminalitou to mnoho společného nemá.

Je za vás možný nějaký kompromis — nastavit systém tak, aby to bylo pro vyšetřovatele co nejpřínosnější, ale zároveň aby nedocházelo k plošnému sběru, „presumpci viny“ a k porušování našeho soukromí?

Můžeme zmínit třeba takzvaný systém quick freeze, který je používán na Slovensku nebo v Německu. Existuje i obohacenější verze, takzvaný quick freeze plus. Ten vychází z toho, že operátoři nějaká data zpracovávají — provozní údaje potřebují například pro vyúčtování a lokalizační data jsou po nějakou krátkou dobu zpracovávána z technických důvodů. Není zde uložena povinnost data uchovávat, ale je zaveden velmi operativní mechanismus, jak zmrazit data, která už existují.

Typicky — stane se třeba vražda v místě, kde jsou BTS, které z technických důvodů dalších 24, 48 nebo 72 hodin uchovávají lokalizační data. Policejní orgán by se mohl velmi operativně obrátit na operátory bez dalších soudních povolení a požádat, ať jsou ta data zmrazena pro možné budoucí využití. A potom, když je to v rámci vyšetřování potřeba, nastoupí klasický mechanismus soudního povolení a data jsou za určitých pravidel vyžádána. Tohle může být cesta, která je za mě kompromisní a může docela dobře fungovat.

Jde o jednu z možností, o kterých se debatuje v rámci přípravných prací k možné budoucí celoevropské úpravě data retention. Našel jsem nejaktuálnější materiál, který popisuje jednání pracovní skupiny v rámci Rady EU, kde loni na podzim zástupci členských států debatovali o tom, jak by úprava mohla fungovat. Právě quick freeze, nebo jak tomu říkají „expedited retention orders", se tam hodně debatoval jako jedna z možností. Ze zápisu zveřejněného Radou EU jsem pochopil, že většina zástupců členských států se postavila proti, protože říkají, že to pro policejní vyšetřovatele není úplně efektivní. Lze pak dokázat něco, co se stalo teď nebo před několika dny, ale nedostanete se dále do minulosti. Co na to říkáte?

Tomu argumentu rozumím. Kdybych byl policista, samozřejmě bych taky chtěl mít co nejvíc dat, moji práci to ulehčí. Problém je, že pozice států jsou často formovány jenom potřebami bezpečnostních složek. Ministerstvo vnitra je v tomto hlásná trouba policie a vůbec se nezohledňují další potřeby, natož to, že by to odporovalo právním předpisům.

Třeba v České republice vnímám, že ministerstvo vnitra je v tomto bohužel dlouhodobě zaseklé. O problému ví, mělo by ho řešit, a byť formálně za zákon odpovídá ministerstvo průmyslu a obchodu, to vlastně jen předkládá to, co dostane od vnitra. A oficiální pozice je formována jenom potřebami bezpečnostních služeb.

Pokud hledáme kompromis, musí to být skutečně kompromis — policie musí z něčeho ustoupit a prostě některá data mít nebude. Mimochodem u provozních dat, která se uchovávají kvůli vyúčtování tři měsíce zpětně, nějakých 75 % dotazů stejně směřuje právě k tomuto období. Takže v tomto si myslím, že to velký problém nebude – a jak ukazují statistiky, když data nemají, zase takový problém to není. Ale nebudou mít takový přístup k lokalizačním datům, a ta já považuji dnes za nejcitlivější. Je to skutečně velmi detailní pohyb každého z nás a tam by se doba uchovávání velmi podstatně zkrátila.

Pojďme se podívat na ten možný návrh, který by mohl přijít z Evropské komise. Zmíněný materiál Rady EU je myslím velice zajímavý, protože ukazuje, jaký byl před několika měsíci postoj členských států. Když to zkusím shrnout — vypadá to, že se shodují na tom, že by systém data retention měl dál existovat, ale měl by být odstupňovaný. Pro různé kategorie dat by měly platit různé doby retence a měla by existovat poměrně přísná pravidla, kdo a za jakých podmínek k nim dostane přístup. Mluví se o povoleních soudem nebo jiným příslušným úřadem. Doba ukládání dat — zástupci se shodovali na nejméně jednom roku, rozhodně ne méně než šest měsíců, což není úplně odlišné od současné praxe. Některé státy navrhovaly i delší období pro vyšetřování velmi závažných zločinů. Hodně se mluví o tom, u jakých zločinů by se data mohla využít — mluví se o závažných zločinech, závažných ekonomických zločinech, kyberzločinu, terorismu, vraždách, obchodu s lidmi, korupci, organizovaném zločinu a podobně. Ale některé státy dodávají, že by se to mělo týkat veškerého zločinu, který se odehrává v digitální podobě. Také se mluvilo o tom, jakých služeb by se data retention měla týkat — a mluví se o tom, že by nemělo jít jen o nejen telekomunikační provoz, ale i o online komunikátory jako WhatsApp, Signal, Messenger a další. Co na tyto zásady říkáte, mohlo by to takhle fungovat?

Když se na to podíváme, je to vlastně něco ještě mnohem invazivnějšího, než funguje teď. Nemám představu, jak to chtějí státy, respektive Evropská komise, napasovat na judikaturu Soudního dvora Evropské unie. Ta by se zřejmě musela úplně změnit, což by myslím bylo hodně překvapivé vzhledem k tomu, jak soud v posledních deseti letech rozhoduje. Za mě je to další rozšiřování data retention, typicky na další služby.

Logiku to samozřejmě dává v tom, že spousta zločinců odchází z běžného telefonování a posílání SMS na WhatsApp nebo Signal. Tam to dnes nefunguje, čímž se data retention stává trochu bezzubým a je o důvod víc ji zrušit. Ale můžeme jít i cestou, že se to bude rozšiřovat na další a další služby, kde bude zajímavé, jakým způsobem by se data měla shromažďovat, nakolik to může kolidovat třeba s otázkou šifrování a podobně. Jsou to provozní data, takže by to asi nemělo přímo kolidovat, ale je to rozšíření data retention.

Pokud se mluví o minimu šesti měsíců — u nás dnes je šest měsíců a Nejvyšší soud řekl, že ani těch šest měsíců být nesmí. Ještě je potřeba rozlišovat sběr dat a jejich využití, to jsou dvě odlišné otázky. Tady se primárně věnovali dalšímu využívání, kdo k čemu by měl mít přístup. Ale za mě je podstata problému to, že vytvoříme nějaký obří dataset o každém z nás. Jestli k němu pak bude mít přístup při vyšetřování trestného činu ten nebo onen orgán, to je důležitá otázka, ale pro mě až druhá v pořadí.

Pokud jsem to dobře pochopil, zástupci členských států si ty rozsudky Soudního dvora EU vykládají tak, že hlavně vadí ona úplná plošnost. A když se to rozkategorizuje a řekne se, že některá data se používají jen pro určitý vyšetřovací účel a shromažďují se jen po určitou dobu, jiná data třeba déle a pro jiné účely — tak mají, jak jsem to pochopil, pocit, že judikatuře Soudního dvora EU vlastně vyhovují.

Je potřeba říct, jaká omezení ten Soudní dvůr dává. Říká, že můžeme data sbírat plošně, ale za speciální bezpečnostní situace, kdy existuje nějaké reálné nebezpečí. Touto cestou jde Francie, která od roku 2021 tvrdí, že máme pořád nějaké reálné nebezpečí — ale to není konkrétní nebezpečí, podle mě je to obcházení rozsudků.

Druhá možnost je cílení — pokud se nepletu, tak to řeší třeba v Belgii, kde podle nějakého klíče určili oblasti se zhoršenou bezpečnostní situací. Ale zase je to trochu obcházení pravidla, protože v 90 % regionů Belgie je zhoršená bezpečnostní situace, takže data retention tam probíhá prakticky plošně.

Existuje poměrně nový judikát, ve kterém Soudní dvůr EU řekl, že IP adresy jsou jediný údaj, který se opravdu může shromažďovat plošně. To je výjimka ze všech ostatních. Takže v tomto smyslu ano, některé údaje lze shromažďovat plošně v souladu s judikaturou, ale je to vlastně jen tento jeden údaj.

Pokud to má být nějaké plošné řešení tohoto typu, skutečně si myslím, že to, co dělá Francie či Belgie, neodpovídá judikatuře. Soudní dvůr určitě nemyslel, že označíme naši současnost jako obecně nebezpečnou a už navždy budeme data sbírat. Nebo že 95 % území země bude pod data retention a vynechány budou jen venkovské oblasti, kde stojí čtyři chalupy. To asi nebyl záměr soudu.

Ze strany států vidím velmi upocenou snahu to nějakým způsobem do nové úpravy napasovat, ale zároveň si lžou do kapsy. Možná se schválí nějaká úprava, o čemž pochybuji, protože by musela projít i Evropským parlamentem. A pak zase narazí u Soudního dvora Evropské unie. Samozřejmě nemůžeme vyloučit, že SDEU změní svou judikaturu — je to do budoucna možné, ale není důvod se domnívat, že se to stane.

O cílení data retention na jednotlivé oblasti nebo konkrétní osoby se v tom materiálu také hovoří, ale pokud si pamatuju, tam shoda nebyla. Není to technologicky jednoduché, pro operátory to není snadné, sítě nejsou takhle postavené a musely by tam proběhnout další investice. A u sledování konkrétních osob se v materiálu mluví také o technických problémech, ale i o tom, že by se sběr dat dal poměrně snadno obejít, třeba nakupováním stále nových telefonů.

Rozumím. Tam je ještě další relevantní argument — Soudní dvůr EU říká, že to musí být nediskriminační. Když začnete sledovat lidi na konkrétním území, je to v podstatě diskriminační. Nebo když nesledujete podezřelé, ale sledujete osoby s nějakou kriminální minulostí, tak je to taky problém. Souhlasím s tím, že je těžké tomu vyhovět. Je otázka, jestli se o to máme vůbec pokoušet.

Zajímavý mi přišel ještě jeden bod, a to v souvislosti s tím kontinuálním ohrožením. Stát se v poslední době chrání tím, že na Ukrajině zuří válka, že bezpečnostní situace je zhoršená a že i to je důvod, proč data uchovávat. V diskuzi zástupců členských států se o tom taky mluvilo a pokud jsem to dobře pochopil, kloní se k tomu, aby data retention pro účely ochrany národní bezpečnosti byla úplně vyňata z evropské úpravy a aby bylo čistě na jednotlivých členských státech, jak si to upraví.

To do jisté míry funguje už dnes, nemáme žádnou evropskou úpravu. Já úplně nevím, jak nám data retention může pomáhat s bezpečnostní situací související s Ukrajinou. Data retention je v drtivé většině případů využívána k odhalování běžné kriminality. Jestli Rusko postoupí k našim hranicím a bude bombardovat Ostravu, s tím nám asi příliš nepomůže.

Co třeba sledování špiónů nebo záškodníků?

Jasně, může, nemusí. Můžeme je sledovat i jiným způsobem. Takovou debatou můžeme dospět k tomu, že z tohoto pohledu jakékoliv opatření — pokud třeba dáme kameru na každý strom v lese, taky nám to může přispět. Pokud bychom načipovali každého, taky také budeme mít víc dat. Jde o to se politicky shodnout, kde je ta hranice. Ale i politické rozhodnutí má limity v podobě základních práv. A o tom mluví Soudní dvůr EU — že tady už je to za hranou.

Netvrdím, že se to nemůže nějakým způsobem vyvinout. Pokud se ukáže, že ta data jsou opravdu životně potřebná pro stát, i Soudní dvůr říká, že pokud je významně zhoršená bezpečnostní situace, může probíhat i plošné shromažďování dat. Ale tohle by mělo být spojeno s tím, že třeba parlament rozhodne o zvláštním stavu, který to odůvodňuje. A pak se to pravidelně přezkoumává a rozhoduje se, jestli ten stav pořád trvá.

Tady ministerstvo napíše do vyjádření k Nejvyššímu soudu, že to potřebujeme, protože je válka na Ukrajině. A zřejmě až válka na Ukrajině jednou skončí, bude zase jiná válka, budeme mít migraci, extremismus, cokoliv. Reálně se něco zavede a pak tu nejsou žádné mechanismy, abychom z toho režimu vystoupili. To je samozřejmě velký problém.