Uchovávání provozních údajů v Česku: co platí po nálezech Ústavního soudu.
Není to právní rada. Takhle čteme zákon pro vlastní službu; vaše situace může být jiná. Naposledy revidováno 17. 10. 2026.
„České právo" máme na úvodní stránce jako důvod, proč si vybrat nás. To si zaslouží víc než slogan. Tady je, co zákon skutečně říká o vedení záznamů, kdo s kým komunikoval, jak s ním naložily soudy a kam patříme my.
Nálezy z roku 2011
České uchovávání provozních údajů začalo jako transpozice evropské směrnice o data retention (2006/24/ES). Ustanovení § 97 odst. 3 a 4 zákona o elektronických komunikacích (č. 127/2005 Sb.) ukládalo operátorům uchovávat provozní a lokalizační údaje o každém uživateli šest měsíců, pro všechny případy.
Dne 22. března 2011 Ústavní soud v nálezu Pl. ÚS 24/10 tato ustanovení zrušil. Důležitější než výsledek je odůvodnění: uchovávání údajů o všech, bez podezření, s vágními pravidly, kdo a proč si je může vyžádat, je nepřiměřený zásah do soukromí a informačního sebeurčení. Dne 20. prosince 2011 v nálezu Pl. ÚS 42/11 soud navázal zrušením § 88a trestního řádu, podle kterého si policie takové údaje vyžadovala v trestním řízení, protože neomezoval žádosti na závažnou kriminalitu a nevyžadoval skutečnou nezbytnost.
2019: užší režim obstál
Parlament uchovávání přijal znovu, s šestiměsíční lhůtou a přísnějšími pravidly přístupu. Skupina poslanců ho napadla. Dne 14. května 2019 Ústavní soud v nálezu Pl. ÚS 45/17 návrh zamítl a režim ponechal, přičemž jeho rozsah vyložil úzce a zdůraznil pojistky při přístupu. Poctivé shrnutí tedy zní: plošné uchovávání bylo jednou zrušeno, užší verze dnes existuje a váže telekomunikační operátory. Kdo tvrdí, že české právo „žádnou retenci nemá", zjednodušuje.
Evropská vrstva
Soudní dvůr EU šel stejným směrem, opakovaně. Digital Rights Ireland (C‑293/12 a C‑594/12, 2014) zrušil samotnou směrnici. Tele2 Sverige / Watson (C‑203/15 a C‑698/15, 2016) dovodil, že unijní právo brání vnitrostátním zákonům s obecným a nerozlišujícím uchováváním provozních a lokalizačních údajů. La Quadrature du Net (C‑511/18, C‑512/18 a C‑520/18, 2020) to potvrdil a vymezil úzké výjimky (vážné ohrožení národní bezpečnosti, cílené uchovávání, IP adresy přidělené u zdroje spojení). Jakýkoli český režim se musí vejít do těchto mezí.
Koho zákon váže
Povinnost uchovávání v § 97 váže poskytovatele veřejně dostupných služeb a sítí elektronických komunikací: firmy, které přenášejí vaše signály, tedy vašeho poskytovatele internetu a mobilního operátora. Tatáž skupina nese povinnosti odposlechu podle § 97 odst. 7: musí na vlastní náklady zřídit a udržovat rozhraní pro zákonný odposlech.
Kam patří VPN? VPN pakety přenáší, takže otázka je skutečná. Podle našeho posouzení je Pevnost služba informační společnosti podle zákona č. 480/2004 Sb. a zprostředkovatel typu „prostý přenos" podle článku 4 nařízení o digitálních službách (nařízení (EU) 2022/2065): přenášíme, co uživatel pošle, nevybíráme to ani neměníme, nevolíme příjemce a vlastní přístup k internetu uživateli poskytuje jeho poskytovatel. Českému telekomunikačnímu úřadu jsme se neoznámili jako poskytovatel služby elektronických komunikací a za takového se nepovažujeme. A říkáme otevřeně: je to naše posouzení, ne ustálená česká judikatura. Soudní dvůr EU hranici narýsoval ve věcech Skype (C‑142/18, SkypeOut je služba elektronických komunikací) a Gmail (C‑193/18, webmail není); VPN je blíž druhému případu než prvnímu, ale o VPN jako takové žádný soud nerozhodl. Kdyby příslušný úřad rozhodl jinak, naše podmínky a zásady ochrany dat říkají, co by se stalo: řekli bychom to, a naše systémy jsou postavené tak, aby údaje, kterých by se retence týkala, vůbec nevznikaly.
Co mohou úřady nařídit i tak
Nic z toho neznamená, že po nás nikdo nemůže nic chtít. Záleží na třech nástrojích.
- § 7b trestního řádu (účinný od roku 2019): státní zástupce, nebo policie s jeho souhlasem, může komukoli, kdo data drží, nařídit uchovat existující data až na 90 dní a zachovat o tom mlčenlivost. Nevzniká tím povinnost sbírat cokoli nového. U nás to dosáhne na seznam v zásadách ochrany dat: ID účtu, datum expirace, veřejné klíče zařízení, souhrnné zatížení. Na záznamy o aktivitě ne, protože žádné neexistují.
- § 8 téhož zákona (součinnost) a příkaz soudu k vydání toho, co držíme. Odpověď je tentýž seznam.
- Nařízení EU o elektronických důkazech (2023/1543), použitelné od 18. srpna 2026: orgány jiného členského státu mohou poslat evropský příkaz k předložení nebo uchování přímo poskytovateli služby, bez cesty přes české orgány, a mohou uložit mlčenlivost vůči uživateli. Takové příkazy plníme v rozsahu dat, která držíme, tedy stejného seznamu.
Zabavit lze i hardware (§§ 78 a 79 trestního řádu). Co to u bezdiskového uzlu vydá, je téma jiného článku.
Proč je to i tak dobré místo pro VPN
Ne proto, že by tu zákon nebyl. Proto, že nejvyšší soud dvakrát narýsoval čáru proti uchovávání bez podezření a vysvětlil proč, že unijní právo rýsuje tutéž čáru, že povinnost, která přežila, váže operátory a podle našeho posouzení ne nás, a že neexistuje obecná pravomoc nařídit službě jako naše zabudovat logování. K tomu praktická část: služba, kterou najdete v živnostenském rejstříku, servery, na které lze ukázat, a právo, které čteme v originále. Je to užší slib než „žádné logy, žádné zákony, žádný problém". Ale je to slib, který umíme dodržet.