VPN a české soudy: co Ústavní soud zrušil v roce 2011 a co platí dnes.

Blog · 19. 10. 2026 · 9 min

Není to právní rada. Takhle čteme zákon pro vlastní službu; vaše situace může být jiná. Naposledy revidováno 19. 10. 2026.

Kdo hledá VPN v Česku, často narazí na větu „Ústavní soud zrušil data retention“. Je pravdivá jen napůl. Ústavní soud v roce 2011 skutečně zrušil plošné uchovávání provozních údajů i neomezený přístup policie k nim, jenže zákonodárce o rok později přijal užší úpravu a ta v roce 2019 před Ústavním soudem obstála. Projdeme nálezy jeden po druhém, evropské rozsudky, které je obklopují, a odpovíme na otázku, která nás jako provozovatele VPN zajímá nejvíc: na koho dnešní povinnost dopadá a proč podle nás ne na VPN.

22. března 2011: Pl. ÚS 24/10

Původní česká úprava vznikla provedením evropské směrnice 2006/24/ES. Ustanovení § 97 odst. 3 a 4 zákona č. 127/2005 Sb., o elektronických komunikacích, ukládalo operátorům uchovávat nejméně šest měsíců provozní a lokalizační údaje o veškeré komunikaci všech uživatelů: kdo komu volal, kdy a odkud, jakou kdo měl IP adresu. Podrobnosti stanovila vyhláška č. 485/2005 Sb.

Na návrh skupiny poslanců Ústavní soud obě ustanovení i vyhlášku zrušil. Podstatné je odůvodnění. Soud neřekl, že uchovávání údajů je samo o sobě nepřípustné. Řekl, že zásah do práva na soukromí a na informační sebeurčení musí být přesně vymezený: kdo smí data získat, k jakému účelu, za jakých podmínek, jak dlouho se drží, jak jsou zabezpečená a jak se dotčený člověk dozví, že se jeho údaje použily. Úprava, která tohle nechávala otevřené a přitom ukládala zaznamenávat každého bez jakéhokoli podezření, testem přiměřenosti neprošla. Naznačil také pochybnosti o § 88a trestního řádu, který ale předmětem návrhu nebyl.

20. prosince 2011: Pl. ÚS 24/11

To napravil druhý nález. Ústavní soud zrušil § 88a trestního řádu, protože umožňoval vyžádat si údaje o telekomunikačním provozu prakticky v jakémkoli trestním řízení, bez omezení na závažnou trestnou činnost a bez požadavku, aby šlo o prostředek, bez kterého se účelu dosáhnout nedá. Zrušení odložil na 30. září 2012, aby měl zákonodárce čas připravit lepší pravidla.

Od 1. října 2012: užší režim

Zákon č. 273/2012 Sb. retenci obnovil, tentokrát s užšími pravidly. Operátoři uchovávají provozní a lokalizační údaje šest měsíců a pak je mají zlikvidovat; obsah komunikace se neuchovává. Nový § 88a trestního řádu dovoluje údaje vyžádat jen na příkaz soudu, jen u úmyslných trestných činů s horní hranicí trestní sazby nejméně tři roky a u vyjmenovaných činů, které se typicky páchají přes elektronickou komunikaci, a jen tehdy, když nelze sledovaného účelu dosáhnout jinak nebo by to bylo podstatně ztížené. Dotčená osoba má být o vydání údajů dodatečně informována, s výjimkami. Rozsah uchovávaných údajů stanoví vyhláška č. 357/2012 Sb.

14. května 2019: Pl. ÚS 45/17

Novou úpravu napadla další skupina poslanců: § 97 odst. 3 a 4, § 88a trestního řádu i vyhlášku. Ústavní soud návrh zamítl. Dospěl k tomu, že plošné uchovávání samo o sobě neústavní není, pokud přístup k údajům podléhá předchozímu soudnímu příkazu, je omezen na závažnější trestnou činnost a uplatní se jen tam, kde jiné prostředky nestačí. Zdůraznil přitom, že pojistky musí fungovat i v praxi. Unijní judikaturu, která už tehdy plošnou retenci odmítala, vzal na vědomí, ale zákon poměřoval českým ústavním pořádkem. Otázku souladu s unijním právem tím nerozhodl.

Poctivé shrnutí tedy zní: plošné uchovávání bylo v roce 2011 zrušeno, užší verze dnes platí a váže operátory. Kdo tvrdí, že v Česku „žádná retence není“, zjednodušuje.

Evropská vrstva: Soudní dvůr EU

• Digital Rights Ireland (C‑293/12 a C‑594/12, 8. dubna 2014): směrnice 2006/24/ES je neplatná, protože plošné uchovávání bez rozlišení a bez dostatečných pojistek nepřiměřeně zasahuje do práva na soukromí a na ochranu osobních údajů.
• Tele2 Sverige a Watson (C‑203/15 a C‑698/15, 21. prosince 2016): unijní právo brání vnitrostátní úpravě, která kvůli boji s trestnou činností ukládá obecné a nerozlišující uchovávání provozních a lokalizačních údajů; přístup k nim má předem přezkoumat soud nebo nezávislý orgán.
• La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, 6. října 2020): plošné uchovávání je přípustné jen výjimečně, při vážné hrozbě pro národní bezpečnost a na omezenou dobu; jinak jen cílené uchovávání a uchovávání IP adres přidělených zdroji připojení po nezbytně nutnou dobu.

Pozdější rozsudky tuto linii zpřesnily, například SpaceNet (C‑793/19 a C‑794/19, 2022) k německé úpravě. V roce 2024 Soudní dvůr ve věci La Quadrature du Net II (C‑470/21) připustil, aby úřad zjistil totožnost uživatele za IP adresou i u méně závažných deliktů, pokud jsou uchovávané IP adresy přísně oddělené od ostatních údajů. Řada odborníků proto považuje českou šestiměsíční plošnou retenci za obtížně slučitelnou s unijním právem. K datu revize tohoto článku o žádné účinné změně nevíme.

Na koho povinnost dopadá, a proč podle nás ne na VPN

Paragraf 97 odst. 3 ukládá uchovávání tomu, kdo zajišťuje veřejnou komunikační síť nebo poskytuje veřejně dostupnou službu elektronických komunikací. Jsou to operátoři: poskytovatel domácího připojení, mobilní operátor. Jde o povinnost předem, bez podezření a bez konkrétního případu.

VPN pakety skutečně přenáší, takže otázka, zda není také službou elektronických komunikací, je legitimní. Naše odpověď je ne a opíráme ji o tři body.

1. Nepřipojujeme vás k internetu. Přístup k síti vám poskytuje váš operátor a ten také nese retenční povinnost za vaše připojení. VPN běží nad tímto přístupem: šifrované spojení k našemu serveru je pro operátora jedním z datových toků.
2. Jsme služba informační společnosti a zprostředkovatel typu „prostý přenos“. Službu poskytujeme na dálku, elektronicky a na individuální žádost uživatele ve smyslu zákona č. 480/2004 Sb. Článek 4 nařízení o digitálních službách (nařízení (EU) 2022/2065) popisuje službu, která přenáší informace poskytnuté uživatelem, aniž by poskytovatel přenos inicioval, volil příjemce nebo informace vybíral či měnil. Dříve totéž stanovila směrnice o elektronickém obchodu, v Česku provedená § 3 zákona č. 480/2004 Sb. Přesně tak VPN funguje.
3. Soudní dvůr EU kreslí hranici podle toho, kdo odpovídá za přenos signálů. Ve věci Gmail (C‑193/18, 2019) dovodil, že webová pošta službou elektronických komunikací není, protože signály po síti přenášejí poskytovatelé připojení. SkypeOut (C‑142/18, 2019) naopak je, protože Skype uzavíral smlouvy s operátory o přenosu hovorů do telefonní sítě.

Protiargument existuje a nebudeme ho zamlčovat: server si pronajímáme i s konektivitou, takže za přenos k němu a od něj platíme. O VPN jako takové pokud víme nerozhodl žádný soud, proto mluvíme o našem posouzení, ne o ustálené judikatuře. Českému telekomunikačnímu úřadu jsme podnikání v elektronických komunikacích neoznámili, protože se za takového podnikatele nepovažujeme. Kdyby úřad nebo soud dospěl k jinému závěru, řekneme to veřejně. A údaje, kterých se retence týká (kdo se kdy z jaké adresy připojil), na našich uzlech vůbec nevznikají.

Pro úplnost: retence dál dopadá na vašeho operátora. Ten údaje o vašem připojení uchovává šest měsíců, s VPN z nich ale nevyčte víc než to, že jste komunikovali s naším serverem. Co přesně operátor vidí, rozebíráme v článku co uvidí váš operátor, když používáte VPN.

Co po nás stát může chtít i tak

To, že se na nás § 97 nevztahuje, neznamená, že po nás nikdo nemůže nic chtít. Platí obecné nástroje: příkaz k uchování dat, která už držíme, podle § 7b trestního řádu (nejvýše 90 dní, s mlčenlivostí), povinnost součinnosti podle § 8, příkaz k vydání, zabavení hardwaru a od 18. srpna 2026 i přímé evropské příkazy podle nařízení o elektronických důkazech (EU) 2023/1543. Všechny ale dosáhnou jen na to, co existuje: náhodné ID účtu, datum expirace, veřejné klíče zařízení, záznam o platbě a souhrnné zatížení uzlů. Podrobně to rozebírají články o uchovávání provozních údajů a o tom, co vydá zabavený server.

Co je opravdu nevyřešené

• Zda je VPN službou elektronických komunikací. Nerozhodl o tom žádný český soud a pokud víme ani Soudní dvůr EU.
• Zda česká plošná šestiměsíční retence obstojí vůči unijnímu právu. Ústavní soud ji v roce 2019 ponechal, judikatura SDEU míří jinam.
• Jak se budou v praxi používat přímé příkazy podle e‑Evidence. Nařízení se používá teprve od srpna 2026.

Shrnutí

Ústavní soud v roce 2011 řekl, že stát nesmí sledovat všechny bez pravidel; v roce 2019 řekl, že s pravidly a soudní kontrolou může. Retence v Česku existuje a váže operátory. VPN mezi ně podle našeho posouzení nepatří, a i kdyby se na to jednou někdo díval jinak, u nás takové údaje nevznikají. Proto stavíme na tom, co se dá ověřit, ne na tom, co se dá slíbit: na zprávě o transparentnosti, warrant canary a definici „bez logů“, kterou si můžete zkontrolovat.