Jurisdikce a kybernetické právo on Arpokrat

Data Act vs CLOUD Act: kdo skutečně kontroluje vaše data v cloudu?

Fri, 19 Jun 2026 00:00:00 +0000

Po celá léta svět fungoval na jednoduchém předpokladu: data mají fyzické místo uložení. Pokud se nacházela na serveru v Dublinu, řídila se irským a evropským právem. Tento předpoklad se zhroutil v roce 2018, kdy Spojené státy přijaly CLOUD Act – zákon, který dává americkým orgánům přístup k datům kontrolovaným americkými společnostmi, bez ohledu na to, kde jsou tato data fyzicky uložena na světě. O několik let později Brusel odpověděl vlastním ochranným nástrojem: Data Actem, který je nyní plně účinný a snaží se omezit extrateritoriální přístup orgánů třetích zemí k datům uchovávaným v Evropské unii.

Zde je to, co tyto dva texty skutečně stanoví, kde dochází k jejich kolizi a proč jedinou skutečně robustní ochranou před tímto konfliktem zůstává technická nemožnost přístupu.

Americký CLOUD Act: přístup založený na kontrole, nikoli na umístění

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), přijatý v březnu 2018, změnil americké právo přidáním článku 18 U.S. Code § 2713. Tento text ukládá každému poskytovateli elektronické komunikační služby nebo vzdáleného počítačového zpracování povinnost uchovat, zabezpečit nebo zpřístupnit obsah komunikace nebo jakýkoli s ní související záznam, pokud tato data jsou v jeho držení, úschově nebo pod jeho kontrolou, bez ohledu na to, zda se tato data nacházejí uvnitř nebo vně Spojených států.

Právě tato poslední klauzule mění vše. Rozhodným kritériem již není fyzické umístění serveru, ale kontrola, kterou mateřská společnost vykonává nad svými dceřinými společnostmi. Americká společnost provozující datová centra v Evropě tedy zůstává podřízena americkým výzvám k vydání dat, a to i pro data uložená výhradně na evropské půdě.

Evropský Data Act: právní bariéra vůči extrateritoriálnímu přístupu

Nařízení (EU) 2023/2854, zvané Data Act, vstoupilo v platnost 11. ledna 2024 a plně se uplatňuje od 12. září 2025, přičemž některá ustanovení jsou postupně zaváděna až do roku 2026 a 2027. Jeho článek 32 přímo upravuje otázku mezinárodního vládního přístupu k datům.

Text stanoví jasné pravidlo: jakékoli rozhodnutí nebo rozsudek soudu nebo správního orgánu třetí země vyžadující od poskytovatele služeb zpracování dat přenos nebo zpřístupnění neosobních dat uchovávaných v Evropské unii je uznáno a vykonatelné pouze tehdy, pokud se opírá o mezinárodní dohodu, jako je smlouva o vzájemné právní pomoci (MLA), platná mezi žádající zemí a Unií, nebo mezi touto zemí a příslušným členským státem.

V případě neexistence takové dohody článek 32 stanoví druhou cestu, ale přísně vymezenou: zahraniční rozhodnutí lze vykonat pouze tehdy, pokud právní řád třetí země vyžaduje, aby žádost byla odůvodněná, přiměřená a dostatečně konkrétní – například tím, že prokáže jasnou spojitost s konkrétními osobami nebo trestnými činy – a pokud odůvodněná námitka příjemce může být předložena k přezkumu příslušnému soudu dané třetí země.

Přímá právní kolize

Problém je okamžitý: CLOUD Act vyžaduje zpřístupnění na základě kontroly vykonávané mateřskou společností, bez podmínek přiměřenosti srovnatelných s těmi, které vyžaduje evropské právo. Data Act naopak podmiňuje uznání takové žádosti existencí mezinárodní dohody nebo přesnými procesními zárukami. Americká společnost působící v Evropě, jíž americký orgán přikáže předat data hostovaná v Unii, se tak ocitá sevřena mezi dvě protichůdné právní povinnosti: buď splnit americký příkaz v rozporu s právem Unie, nebo dodržet Data Act a vystavit se důsledkům odmítnutí v USA.

Toto napětí není teoretické. Již bylo zdokumentováno Soudním dvorem Evropské unie (CJEU) ve dvou zásadních rozhodnutích, Schrems I (2015) a Schrems II (2020). V rozsudku Schrems II CJEU rozhodl, že americké sledování prováděné na základě oddílu 702 FISA (Foreign Intelligence Surveillance Act) a výkonného nařízení 12333 nesplňuje minimální záruky vyžadované právem Unie na základě zásady proporcionality, a nelze jej tedy považovat za omezené na to, co je nezbytně nutné. Soud rovněž poukázal na absenci účinného soudního prostředku nápravy pro dotčené osoby z Unie, v rozporu s článkem 47 Listiny základních práv. Toto rozhodnutí zrušilo rámec Privacy Shield, který do té doby upravoval přenosy dat mezi EU a USA.

Strukturální riziko: Harvest Now, Decrypt Later

Nad rámec konfliktu jurisdikcí hrozí datům hostovaným v infrastrukturách podléhajících americkému právu zákeřnější hrozba: strategie zvaná Harvest Now, Decrypt Later (HNDL). Jejím principem je, že zpravodajská služba nebo nepřátelský státní aktér již dnes zachycuje a ukládá šifrovaná data v očekávání dostatečného kvantového výpočetního výkonu k jejich budoucímu dešifrování.

Tato strategie přeměňuje každou dlouhodobou závislost na americké cloudové infrastruktuře v odloženou bezpečnostní pohledávku: to, co je dnes důvěrné, může být čitelné za deset nebo patnáct let, aniž by útočník musel podniknout jakékoli další kroky – stačí čas a trpělivost.

Proč jedině technická nemožnost představuje skutečnou záruku

Právní analýza konverguje k závěru sdílenému mnoha odborníky na compliance: jakkoli je právní rámec Data Actu pevný, stále jde o text, který lze geopolitickými poměry a diplomatickým tlakem obejít, zdržet nebo přeinterpretovat. Jedinou ochranou, která nezávisí na žádném budoucím vyjednávání, je technická nemožnost výkonu.

Architektura zero knowledge, při níž poskytovatel nikdy nevlastní ani neschovává dešifrovací klíče, činí výzvu k vydání dat materiálně neúčinnou. Nelze být nucen vydat to, co nikdy nebylo v držení.

To je logika, která tvoří základ ekosystémů jako Arpokrat:

Jurisdikční neutralizace: infrastruktura je hostována ve Švýcarsku, v režimu federálního zákona o ochraně dat (LPD/FADP), mimo přímý dosah extrateritoriality CLOUD Actu
Absence úschovy: architektura zero knowledge zbavuje poskytovatele jakékoli schopnosti předat klíče nebo obsah, které nikdy nedržel
Redukce identitní stopy: odstraněním povinnosti registrace pomocí telefonního čísla nebo e-mailové adresy – identifikátorů, které může sledování na základě oddílu 702 FISA snadno sledovat – přestává být uživatel identifikovatelným předplatitelem a stává se anonymním kryptografickým klíčem

Řetězec ochrany nekončí šifrováním zpráv

Aspekt často podceňovaný v analýzách compliance: nestačí šifrovat obsah komunikace, pokud podkladový operační systém – ať už Android nebo iOS – nadále zachycuje metadata nebo telemetrii na úrovni jádra, a odesílá je na servery podléhající americké jurisdikci. Ochrana tajemství vyžaduje úplné uzavření řetězce ochrany, od obsahu až po samotnou hardwarovou infrastrukturu.

Proto digitální suverenita zahrnuje i zamyšlení nad používaným operačním systémem, nejen nad aplikacemi pro zasílání zpráv. Odgoogleované systémy, kde lze moduly jako Bluetooth nebo GNSS geolokace deaktivovat přímo na úrovni jádra, eliminují fyzické vektory útoku, které žádné aplikační šifrování nemůže kompenzovat.

Post-kvantová kryptografie: horizont, který se již rýsuje

Tváří v tvář hrozbě, kterou představuje strategie HNDL, se přijetí standardů post-kvantové kryptografie (PQC) stává nezbytností pro každého, kdo chce zaručit důvěrnost citlivých dat v dlouhodobém horizontu – ať jde o obchodní tajemství, profesní korespondenci nebo zdravotní data. Šifrování považované dnes za robustní podle klasických standardů nezaručuje, že odolá kvantovým výpočetním kapacitám očekávaným v příštích patnácti letech.

Konflikt mezi Data Actem a CLOUD Actem ilustruje širší realitu: digitální suverenitu již nelze budovat výhradně na zákonných textech, jakkoli pevných. Vyžaduje uzavření řetězce ochrany na každé úrovni – od šifrovacího protokolu přes jurisdikci hostování až po samotný operační systém. Právě tento vrstvený přístup, spíše než důvěra opírající se o jediný regulační rámec, dnes definuje skutečnou digitální suverenitu záměrem.

Monero a Zcash zakázány v Evropě od roku 2027: co mění nařízení AMLR

Thu, 18 Jun 2026 00:00:00 +0000

Monero a Zcash zakázány v Evropě — to je nyní hotová věc. Od července 2027 Evropská unie uzavírá institucionální přístup ke kryptoměnám se zvýšenou anonymitou prostřednictvím nového nařízení proti praní peněz nazvaného AMLR. Zde je to, co text konkrétně stanoví, jakou roli hraje nový evropský orgán AMLA pověřený jeho vymáháním a co to ve skutečnosti znamená pro každého, kdo drží privacy coins.

AMLR a AMLA: dva různé texty, které je třeba odlišit

Než přejdeme k podrobnostem, je třeba uvést na pravou míru jednu věc — tyto dva zkratky označují dvě různé věci, které jsou v odborném tisku často zaměňovány:

AMLR (Anti-Money Laundering Regulation) je samotný zákonný text: Nařízení (EU) 2024/1624, které definuje pravidla — zákaz anonymních účtů, ověřovací limity, zacházení s privacy coins. Je to odpověď na otázku „co".
AMLA (Anti-Money Laundering Authority) je nový evropský dozorový orgán, zřízený samostatným nařízením přijatým ve stejný den — Nařízením (EU) 2024/1620. Jeho úlohou je přímý dohled nad uplatňováním AMLR, zejména u největších poskytovatelů služeb v oblasti kryptoaktiv (CASP) působících ve více členských státech. Je to odpověď na otázku „kdo dohlíží".

Stručně řečeno: AMLR stanoví pravidla, AMLA zajišťuje jejich dodržování. Oba texty tvoří jediný legislativní balíček EU proti praní peněz a financování terorismu.

Co přesně říká nařízení AMLR

Nařízení (EU) 2024/1624 bylo přijato Evropským parlamentem a Radou dne 31. května 2024 a zveřejněno v Úředním věstníku Evropské unie dne 19. června 2024. Jeho kapitola VIII (články 79–80), nazvaná „Opatření ke zmírnění rizik spojených s anonymními nástroji", a konkrétněji jeho článek 79 („Anonymní účty, akcie a opční listy na doručitele"), stanoví, že úvěrové instituce, finanční instituce a poskytovatelé služeb v oblasti kryptoaktiv (CASP) mají nyní zakázáno udržovat anonymní účty nebo nabízet produkty umožňující anonymizaci transakcí.

Text se výslovně zaměřuje na dvě odlišné, ale propojené kategorie:

Anonymní účty — ať již bankovní, platební nebo kryptografické. Pravidlo slaďuje kryptografický sektor s omezeními, která již existovala pro anonymní bankovní účty, cenné papíry na doručitele a anonymní trezory.
„Kryptoměny s anonymizačním charakterem" (anonymity-enhancing coins) — obecný termín používaný nařízením pro aktiva využívající pokročilé kryptografické techniky, které znemožňují sledování toků. Důležité upřesnění: zákonný text necituje žádný token jménem. Jde o výklad, který je obecně sdílen compliance poradci a průmyslem — zejména AML Handbook European Crypto Initiative (EUCI) — a který identifikuje Monero (XMR), Zcash (ZEC) a Dash (DASH) jako spadající do této kategorie. Jde o výklad konzistentní s definicí nařízení, avšak jedná se o odvětvový výklad, nikoli o jmenovitý seznam zakotvený v zákoně.

Nařízení je součástí širšího celku spolu s MiCA (Markets in Crypto-Assets), který je v platnosti od roku 2024–2025 a který již vedl mnoho platforem (Kraken od října 2024, poté desítky dalších) k předběžnému stažení Monera ze svých evropských trhů.

Klíčové datum: červenec 2027

AMLR má pevné datum vstupu v platnost. Většina odborných zdrojů se shoduje na 10. červenci 2027 jako termínu plného uplatňování. Od tohoto data nebudou moci směnárny a depozitářské služby kryptoaktiv (custodial) zpracovávat ani anonymní účty, ani privacy coins.

Do tohoto termínu nařízení již ukládá posílené povinnosti:

Povinné ověření totožnosti pro jakoukoliv příležitostnou kryptografickou transakci přesahující 1 000 eur — výrazně snížený limit oproti současným praktikám mnoha platforem
Posílené kontroly u samospravovaných peněženek (self-custody): když uživatel převádí prostředky mezi regulovanou platformou a osobní peněženkou, musí CASP shromáždit informace o původu a určení prostředků a přinejmenším ověřit totožnost držitele externí peněženky
Zrušení anonymních hotovostních plateb nad 3 000 eur, v souladu se stejnou logikou rozšiřování kontrol totožnosti na všechny anonymní finanční nástroje

Proč Brusel zakazuje Monero a Zcash na regulovaných platformách

Ve svém AML Handbook EUCI shrnuje logiku, která stojí za textem: anonymita kryptoaktiv představuje významná rizika zneužití pro trestnou činnost tím, že znemožňuje sledovatelnost transakcí a komplikuje odhalování podezřelých aktivit.

Jde přesně o stejné uvažování, které již vedlo Japonsko, Jižní Koreu a nejnověji Filipíny k vyloučení privacy coins ze svých regulovaných platforem — postupné přibližování vyspělých jurisdikcí ke standardům FATF. Formalizováním tohoto zákazu v nařízení přímo použitelném ve všech 27 členských státech dává Evropská unie tomuto trendu právní váhu a efekt přenosu (tzv. „Brussels Effect") výrazně větší, než jaký mají izolovaná vnitrostátní rozhodnutí.

Co NENÍ zakázáno — důležitý nuance

Několik právních analýz se shoduje v jednom klíčovém bodě: AMLR nekriminalizuje individuální držení privacy coins ani převody peer-to-peer mimo regulované platformy. Samospravované peněženky nejsou jako takové zakázány — podléhají posíleným kontrolám pouze tehdy, když interagují s platformou podléhající regulaci.

To, co AMLR uzavírá, jsou institucionální přístupové rampy: nákup, prodej, vklad a výběr privacy coins prostřednictvím regulovaného CASP v rámci Evropské unie. Soukromé držení a decentralizované směnárny zůstávají v tuto chvíli mimo přímý dosah zákazu — vzor identický s tím, který byl již pozorován na Filipínách.

Co to konkrétně znamená pro držitele XMR a ZEC

Pokud v současné době držíte privacy coins na regulované směnárně v Evropské unii:

Do července 2027 budou muset tyto platformy stáhnout podporu těchto aktiv nebo přestat přijímat nové vklady s nimi spojené
Převody do osobních peněženek z těchto platforem budou podléhat posíleným ověřením totožnosti, a to i před konečným termínem
Jakákoliv kryptografická transakce nad 1 000 eur, ať již jde o privacy coin nebo ne, bude vyžadovat úplnou identifikaci

Kritici textu, dokonce i uvnitř samotného kryptoměnového průmyslu, poukazují na strukturální riziko: uzavřením regulovaných okruhů bez technického zákazu samotných aktiv nařízení mechanicky tlačí držitele privacy coins k méně transparentním trhům a neregulovaným platformám — přesný opak cíle sledovatelnosti, který Brusel proklamuje.

Jak se připravit před termínem 2027

S horizontem stanoveným na rok 2027 přechod není okamžitý — ale již začal. Platformy již přizpůsobují svou nabídku v předstihu před splněním požadavků a okno pro výměnu nebo konsolidaci pozic v privacy coins bez závislosti na infrastruktuře podléhající této jurisdikci se každým měsícem zužuje.

Arpokrat Swap umožňuje výměnu Monera, Zcash a všech kryptoměn se zvýšenou anonymitou bez registrace, bez sběru identifikačních údajů a bez závislosti na regulovaném CASP podléhajícím AMLR. Platforma je přístupná přes clearnet i přes naši .onion adresu, což zaručuje, že vaše schopnost vyměňovat tato aktiva nezávisí na žádné jurisdikci, která by mohla ze dne na den uzavřít své přístupové rampy.

AMLR potvrzuje trajektorii, o které již téměř není pochyb: regulované kryptografické trhy a finanční soukromí se jurisdikci za jurisdikcí stávají strukturálně neslučitelnými. Otázka již není, zda se tento trend rozšíří na všechny vyspělé ekonomiky, ale kolik času po roce 2027 zbyde na výměnu soukromých aktiv mimo okruhy, které je již nebudou mít právo obsluhovat.

Filipíny zakazují Monero a Zcash na regulovaných platformách: signál celosvětového trendu

Wed, 17 Jun 2026 00:00:00 +0000

Centrální banka Filipín právě zasadila těžkou ránu kryptoměnám se zvýšenou ochranou soukromí. Pod záminkou souladu s mezinárodními standardy boje proti praní špinavých peněz toto rozhodnutí ilustruje regulační dynamiku, která dalece přesahuje hranice jedné země — a která by měla varovat každého, kdo drží nebo používá aktiva jako Monero nebo Zcash.

Co říká memorandum

Bangko Sentral ng Pilipinas (BSP), centrální banka země, schválila Memorandum M-2026-023, podepsané zástupkyní guvernéra Lyn Javier. Text nařizuje všem poskytovatelům služeb virtuálních aktiv (VASP) s platnou licencí, aby přestali listovat a podporovat „virtuální aktiva anonymizačního charakteru". Memorandum nejmenuje žádný konkrétní token, ale dotčená kategorie bez jakýchkoliv pochybností zahrnuje Monero, Zcash a Dash — kryptoměny navržené tak, aby bylo sledování transakcí obtížné nebo nemožné.

Opatření vstoupilo v platnost okamžitě, bez přechodného období. Nad rámec pouhého stažení těchto aktiv z platforem musí VASP nově hodnotit každý listovaný token podle šesti pilířů souladu: důvěryhodnost emitenta, vyspělost trhu, případ použití, transparentnost a bezpečnost, likvidita a rezervy, právní soulad. Musí také stanovit interní prahové hodnoty, které automaticky spustí stažení z listingu, pokud aktivum přestane tato kritéria splňovat.

Co se konkrétně mění

Memorandum nekriminalizuje soukromé držení Monera nebo Zcashe ani peer-to-peer převody prováděné mimo regulované platformy. Co mizí, je institucionální přístup: regulované vstupní a výstupní brány (nákup, prodej, vklad, výběr na licencované platformě) již nebudou moci tato aktiva zpracovávat.

Konkrétně, pokud jste drželi privacy coins na filipínské platformě podléhající licenci BSP — mezi něž patří Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank nebo UnionBank — musíte je převést do osobní peněženky nebo je konvertovat dříve, než bude platforma nucena je stáhnout.

S více než 16 miliony uživatelů kryptoměn v zemi bude dopad na domácím trhu rozsáhlý, i když vliv na světovou cenu XMR nebo ZEC by měl zůstat omezený — Filipíny tvoří pouze zlomek celkové globální likvidity těchto aktiv.

Soulad s FATF jako univerzální odůvodnění

BSP odůvodňuje své rozhodnutí výslovným sladěním se standardy FATF (GAFI), mezinárodního orgánu, který stanovuje pravidla boje proti praní špinavých peněz a financování terorismu. Udržovat dobré vztahy s FATF není pro většinu centrálních bank volitelné — špatné hodnocení může ovlivnit přístup celé země k mezinárodním finančním okruhům.

To je přesně stejné odůvodnění, které již vedlo Evropskou unii, Japonsko a Jižní Koreu k postupnému vyloučení privacy coins z regulovaných platforem v průběhu posledních let. Filipínské rozhodnutí tedy není ojedinělým případem: je potvrzením faktického standardu, který se stále více rozšiřuje — pokud chce jurisdikce provozovat mezinárodně uznávaný kryptoměnový trh, aktiva se zvýšenou ochranou soukromí v něm již nemají místo.

Napětí, které nikdo skutečně neřeší

Je příznačné, že i aktéři, kteří toto rozhodnutí podporují, uznávají legitimitu použití, které se snaží omezit. Vedoucí pracovník pro kryptoměny v GCash, jedné z největších fintechových společností v zemi, výslovně uznal, že Monero a Zcash „existují z legitimních důvodů" a že soukromí představuje „základní hodnotu kryptoměn: schopnost provádět transakce bez dohledu". Přesto opatření podpořil s tím, že Filipíny — země silně závislá na tocích remitencí — si nemohou dovolit být považovány za důvěryhodnou finanční infrastrukturu a zároveň umožňovat volný oběh anonymizačních aktiv.

Toto napětí není vyřešeno, je pouze rozhodnuto ve prospěch regulačního pohledu: objemy remitencí a mezinárodní důvěryhodnost převažují nad argumentem legitimního soukromí pokaždé, kdy dojde k tomuto střetu zájmů.

Logické vyústění: migrace k vlastní úschově

Vzorec, který se opakuje v jednotlivých jurisdikcích, je nyní čitelný. Schéma je téměř vždy totožné: finanční soukromí zůstává legální na individuální úrovni, ale prostřednictvím institucionálních okruhů je stále obtížnější ho uplatnit. Vlastní úschova (self-custody) zatím není terčem — ale každá nová jurisdikce, která tento model následuje, o něco více zužuje prostor, v němž mohou tato aktiva cirkulovat bez regulačního uzamčení.

Technické fungování těchto blockchainů a důvody, proč se staly privilegovaným cílem regulátorů, jsme podrobně rozebrali v našem kompletním průvodci anonymními blockchainy — ring signatures, zk-SNARKs a skutečná omezení těchto technologií.

Směňování mimo okruhy, které se uzavírají

Jak regulované platformy jedna po druhé opouštějí trh s privacy coins, role nekustodiální infrastruktury bez sběru dat se stává klíčovou pro každého, kdo chce tato aktiva nadále používat bez závislosti na VASP podléhajícím jurisdikci, která může přes noc změnit svou politiku.

Arpokrat Swap umožňuje směňovat Monero, Zcash a všechny kryptoměny se zvýšenou ochranou soukromí bez registrace, bez sběru IP logů a bez cookies — ať již přistupujete k platformě přes clearnet nebo přes naši .onion adresu. Žádná jurisdikce nemůže odebrat to, co nikdy neshromažďujeme.

Toto filipínské rozhodnutí pravděpodobně nebude letos posledním svého druhu. Otázka již není, zda ostatní země půjdou stejnou cestou — nedávná historie naznačuje, že ano — ale jak dlouho zbývá, než se institucionální přístup k privacy coins stane výjimkou spíše než normou.

Konec soukromí? Zadní vrátka, Online Safety Act a reakce suverénních ekosystémů

Wed, 10 Jun 2026 00:00:00 +0000

Londýn se stal epicentrem globální bitvy o budoucnost digitálního soukromí. S přijetím zákona Online Safety Act 2023 (OSA) a nedávnými návrhy na revizi zákona Investigatory Powers Act (IPA) — svými kritiky nazývaného „Charta špionů“ —, si britská vláda nárokuje právo ukládat povinnosti sledování přímo v jádru soukromé komunikace. Zlomovým bodem je pravomoc udělená regulátorovi OFCOM požadovat, aby platformy nasadily „akreditovanou technologii“ k detekci materiálů pohlavního zneužívání dětí (CSEA) nebo terorismu, a to i v rámci end-to-end šifrované komunikaci .

Pro velké digitální platformy je poselství Westminsteru jednoznačné: buď usnadní státní přístup ke své infrastruktuře, nebo jim hrozí pokuty až do výše 10 % jejich celosvětových příjmů. Reakce byla okamžitá: služby jako Signal a WhatsApp veřejně pohrozily stažením z britského trhu a odmítly ohrozit bezpečnost svých uživatelů, aby uspokojily jedinou jurisdikci. Technický argument je těžko zpochybnitelný: neexistuje žádný hlavní klíč (master key) vyhrazený pouze pro legitimní aktéry. Otevřené dveře pro orgány činné v trestním řízení jsou z podstaty věci otevřenými dveřmi pro kyberzločince a zahraniční zpravodajské služby.

Obchodní model velkých platforem: strukturální překážka pro Zero-Knowledge

Odpor velkých platforem vůči přijetí šifrování Zero-Knowledge není vysvětlen technickou neschopností, ale základní ekonomickou neslučitelností. Společnosti jako Alphabet a Meta spoléhají na modely zpeněžení založené na systematickém shromažďování údajů o chování. Tento model mimochodem implicitně uznává zákon Evropské unie o digitálních trzích (DMA), který tyto „strážce“ (gatekeepers) klasifikuje jako subjekty, jejichž dominantní postavení je přesně živeno akumulací dat v bezkonkurenčním měřítku. Pro tyto aktéry by přijetí architektury Zero-Knowledge znamenalo připravit jejich reklamní systémy o nepřetržitou identifikaci uživatelů, která je jejich palivem. Nejde tedy o technickou volbu, ale o kompromis mezi soukromím uživatelů a životaschopností jejich obchodního modelu.

Strategické riziko: hrozba „Harvest Now, Decrypt Later“

Kromě debaty o soukromí vyvolává oslabení šifrování otázku národní bezpečnosti zcela jiného rozsahu. Strategie známá jako Harvest Now, Decrypt Later (HNDL) spočívá v tom, že státní protivníci dnes zachycují a ukládají obrovské objemy šifrované komunikace v očekávání budoucích schopností kvantového dešifrování. Oslabováním současných standardů šifrování britský legislativní rámec objektivně usnadňuje tento typ operací proti vládní, diplomatické nebo průmyslové komunikaci.

Právě v tomto kontextu deficitu důvěry získávají ekosystémy, jako je ten od Arpokratu, provozní relevanci. Tím, že Arpokrat funguje v režimu švýcarského federálního zákona o ochraně osobních údajů (FADP), s architekturou, která neshromažďuje žádné občanské identifikátory, nabízí technický rozchod s infrastrukturami podléhajícími britské jurisdikci — což zaručuje, že systém zůstane neslyšící vůči příkazům předpokládaným zákonem OSA.

Střet norem: OSA a IPA proti evropskému právu

Právní analýza nových výsad britského státu odhaluje přímý střet se základy evropského práva týkajícího se ochrany osobních údajů a důvěrnosti komunikace.

OSA proti zákazu plošného sledování

Článek 121 OSA zavádí možnost pro OFCOM vydávat příkazy nutící platformy zavést skenování na straně klienta (client-side scanning). Toto opatření je v přímém rozporu s principem, odvozeným z evropského práva a zahrnutým v judikatuře SDEU (Soudní dvůr EU), který zakazuje plošné povinnosti sledování. Vynucením „zranitelnosti od návrhu“ (vulnerability by design) také staví společnosti do situace dvojí vazby: oslabením své bezpečnosti v zájmu splnění státního mandátu nedodržují svou povinnost zaručit úroveň bezpečnosti odpovídající zpracování, jak je zakotveno v článku 32 GDPR.

Směrnice ePrivacy a důvěrnost komunikace

Skenování soukromých zpráv je v přímém rozporu s čl. 5 odst. 1 směrnice 2002/58/ES (ePrivacy), který zavazuje členské státy zaručit důvěrnost elektronických komunikací a zakazuje jakoukoli formu odposlechu nebo sledování bez výslovného souhlasu dotčených uživatelů.

Technical Capability Notices a blokování bezpečnostních aktualizací

V rámci režimu IPA 2016 má britská vláda nyní v úmyslu používat Technical Capability Notices (TCN) k zablokování bezpečnostních aktualizací před jejich nasazením. Tento mechanismus vytváří neřešitelný konflikt s povinností, stanovenou článkem 32 GDPR, zajistit nepřetržitou bezpečnost systémů zpracování — povinností, která přesně vyžaduje schopnost aplikovat záplaty bez zpoždění nebo vnějších zásahů.

Rizika shody pro společnosti působící v Evropě

Cílem revizí IPA je přinutit společnosti, aby informovaly britskou vládu o jakékoli technické úpravě ovlivňující bezpečnost před její implementací, čímž jí udělují právo veta nad vývojem produktů. Toto vměšování vytváří značnou právní nejistotu pro dodavatele působící na evropském trhu: britská přiměřenost k evropskému právu — již tak křehká — by mohla být zpochybněna, pokud Spojené království již nebude zaručovat ochranu podstatně rovnocennou s ochranou GDPR. Předávání údajů do Spojeného království v tomto novém rámci by tak pravděpodobně vystavilo společnosti sankcím podle GDPR.

Obrana technickou nemožností: princip Zero-Knowledge jako právní štít

Mezinárodní judikatura, upevněná rozsudky Schrems I a Schrems II SDEU, stanovila určující princip: jedinou robustní pojistkou proti nepřiměřenému sledování je technická nemožnost přístupu k nim. Architektury Zero-Knowledge aplikují tento princip ve třech vrstvách ochrany:

Absence úschovy: platforma nedrží dešifrovací klíče, jakýkoli příkaz ke skenování zpráv je technicky neproveditelný;
Suverenita operačního systému: kontrola nad ArpokratOS eliminuje telemetrii, která živí shromažďování zpravodajských informací na úrovni zařízení;
Švýcarské jurisdikční ukotvení: tím, že Arpokrat hostí svou infrastrukturu ve Švýcarsku, funguje v právním režimu vyžadujícím individualizované a odůvodněné žádosti o vzájemnou právní pomoc, čímž neutralizuje automatizované provádění hromadného skenování předpokládaného zákonem OSA.

Závěr

Ustanovení zákona OSA a revize zákona IPA nejsou jen hrozbou pro soukromí jednotlivců: představují narušení právní jistoty pro všechna evropská data procházející infrastrukturami podléhajícími britské jurisdikci. Tím, že Londýn legitimizuje oslabování šifrování ve jménu veřejné bezpečnosti, paradoxně vystavuje své spojence a obchodní partnery rizikům průmyslové a státní špionáže, kterým mají architektury Zero-Knowledge přesně zabránit.

Integrita profesionální a institucionální komunikace nyní vyžaduje strukturální reakci: migraci směrem k decentralizovaným ekosystémům zaručujícím digitální suverenitu, od úrovně kódu až po jurisdikční ukotvení.

Křičící ticho: Co je to Warrant Canary a proč by vás jeho zmizení mělo znepokojovat?

Mon, 01 Jun 2026 00:00:00 +0000

Hluboko v uhelných dolech 19. století s sebou horníci brali do klecí kanárky. Tito malí ptáci, extrémně citliví na toxické plyny jako oxid uhelnatý, uhynuli mnohem dříve, než si horníci všimli nebezpečí. Sloužili tak jako tichý, ale neuvěřitelně účinný systém včasného varování.

V našem moderním digitálním světě tento pták ožil v podobě « Warrant Canary ».

Co je to Warrant Canary?

Jedná se o veřejné prohlášení, které poskytovatel služeb (aplikace pro zasílání zpráv, VPN, webhosting) pravidelně aktualizuje a v němž potvrzuje, že k danému datu neobdržel žádnou tajnou právní žádost, která by ho nutila kompromitovat data svých uživatelů — jako je například americký National Security Letter (NSL) nebo příkaz soudu FISA.

Celá jemnost — a vážnost — kanárka spočívá v tom, co se stane, když zmizí.

Pokud služba, která každý měsíc zobrazovala upozornění “Neobdrželi jsme žádné tajné příkazy”, jej najednou přestane aktualizovat, informovaný uživatel z toho vyvodí zřejmé: kanárek je mrtev.

Společnost se stala terčem opatření ke sledování doprovázeného příkazem mlčenlivosti (gag order), který jí ze zákona zakazuje prozradit existenci této žádosti. Protože nemohou říci, že byli kompromitováni, jednoduše přestanou říkat, že kompromitováni nejsou.

Éra neviditelného sledování a obcházení mlčení

V době, kdy extrateritoriální legislativa jako CLOUD Act a FISA umožňuje americké vládě přístup k datům spravovaným společnostmi, aniž by o tom kdy cíle informovala, je Warrant Canary jedním z mála mechanismů, jak toto vynucené ticho obejít.

Díky zákonu CLOUD Act geografická bariéra již neexistuje: pokud jsou data pod „kontrolou“ americké společnosti, americká vláda si nárokuje právo k nim přistupovat, i když se tyto servery fyzicky nacházejí v Evropě. Kanárek se pak stává posledním varovným signálem, než je digitální suverenita uživatele tiše obětována.

Proto významní hráči v oblasti Privacy přijali tento nástroj jako standard transparentnosti:

Proton : Švýcarská e-mailová služba vydává zprávu o transparentnosti s přísným kanárkem.
Riseup : Kolektiv pro bezpečnou komunikaci pro aktivisty udržuje jednoho z nejznámějších kanárků na webu.
Arpokrat : Náš vlastní ekosystém udržuje veřejného, kryptograficky aktualizovaného Warrant Canary, aby naší komunitě zaručil absolutní transparentnost.

Právní analýza: Právo nelhat

Samotná existence kanárka spočívá na jednom z nejvíce fascinujících pilířů ústavního práva: doktríně compelled speech (nuceného projevu) a jejím střetu se soudním tajemstvím.

Právní základ spočívá na jednoduchém principu: pokud má stát pravomoc uložit vám mlčení (prostřednictvím příkazu mlčenlivosti), nemá ústavní pravomoc vás nutit lhát.

Podle prvního dodatku ústavy USA (a obdobných principů v Evropě) nemůže vláda nutit společnost, aby učinila fakticky nepravdivé prohlášení. Když tedy společnost odstraní svého kanárka, neporušuje tím příkaz k mlčení — protože výslovně neoznamuje, že obdržela zatykač. Jednoduše vykonává své základní právo přestat vydávat prohlášení, které již není pravdivé.

Střet s evropským právem

Relevance kanárka je dnes posílena článkem 32 zákona o datech (nařízení EU 2023/2854). Toto ustanovení ukládá poskytovatelům povinnost zavést technická a právní opatření, která zabrání přístupu úřadů třetích zemí k datům, pokud je to v rozporu s evropským právem. Smrt kanárka okamžitě signalizuje tento konflikt zákonů: poskytovatel je pravděpodobně nucen obcházet evropské záruky, aby vyhověl zahraničnímu příkazu.

Přístup Arpokrat: Suverenita jako základní princip

V ekosystému Arpokrat, který funguje v jurisdikci švýcarského zákona o ochraně osobních údajů (FADP - RS 235.1), nabývá kanárek ještě silnějšího rozměru. Je součástí holistického přístupu k digitální suverenitě: Zero-Knowledge.

Architektura je navržena tak, že společnost vytváří technickou a matematickou nemožnost uposlechnout příkaz. Stát nebo zpravodajská služba může vydávat kolik příkazů chce, odpověď zůstane stejná: neexistují žádné soukromé klíče, žádné identity (Zero-ID) a žádná centralizovaná metadata k předání.

V tomto kontextu již kanárek není jen upozorněním na narušení; je to nepřetržitý veřejný důkaz, že infrastruktura zůstala technicky neprolomitelná a věrná svým principům.

Závěr

Warrant Canary je nakonec kouskem právní obratnosti, který doplňuje kryptografickou obratnost potřebnou k tomu, abychom čelili horizontu moderních hrozeb (jako jsou postkvantové počítače). V infrastruktuře, kde jsou data ze své podstaty suverénní, není kanárek jen pouhým ptákem v dole: je tichým strážcem vaší digitální pevnosti.

Utiq: Nová „Super-Cookie“ telekomunikačních operátorů, která ohrožuje vaše soukromí

Mon, 01 Jun 2026 00:00:00 +0000

Plánovaný konec cookies třetích stran ve webových prohlížečích spustil skutečné závody ve zbrojení v odvětví cílené reklamy. Zatímco Google se snaží prosadit své vlastní standardy (jako Privacy Sandbox), další nečekaný hráč se rozhodl ukousnout si z koláče: váš poskytovatel internetového připojení (ISP).

Tak se zrodil Utiq (dříve známý jako projekt TrustPid), společný podnik založený evropskými telekomunikačními giganty. Utiq, prodávaný široké veřejnosti jako „transparentní a respektující“ řešení, je ve skutečnosti tím, čeho se odborníci na kybernetickou bezpečnost obávají nejvíce: „super-cookie“ fungující na úrovni sítě.

Co je Utiq a jak funguje?

Tradičně je reklamní sledování (cookies) spravováno vaším webovým prohlížečem (Chrome , Firefox , Safari ). Mohli jste jej blokovat pomocí rozšíření (jako uBlock Origin ) nebo prohlížeče zaměřeného na soukromí (jako Brave ).

Utiq posouvá problém o krok zpět: na úroveň vašeho síťového připojení.

Zde je návod, jak sklapne past:

Zadržení v síti: Když procházíte internet přes mobilní připojení (4G/5G) nebo optický box, Utiq k vaší identifikaci používá vaši IP adresu a údaje o vašem telekomunikačním předplatném.
Souhlas (falešná volba): Po příchodu na partnerský web vás vyskakovací okno (popup) vyzve k přijetí Utiq. Vzhledem k únavě z neustálých cookie lišt (Consent Fatigue) miliony uživatelů kliknou na „Přijmout“ bez čtení.
„Network Signal“: Po udělení souhlasu Utiq přímo kontaktuje vašeho telekomunikačního operátora. Ten vygeneruje jedinečný a pseudonymizovaný identifikační token (síťový signál), který předá inzerentům.

Nyní jste sledovatelní z webu na web, nikoli pomocí souboru uloženého ve vašem počítači, ale prostřednictvím samotné infrastruktury, která vám poskytuje internet.

Proč je Utiq noční můrou pro soukromí (OPSEC)

Tato iniciativa přináší vážné problémy pro digitální suverenitu a důvěrnost vašich dat:

Sledování u zdroje: Na rozdíl od běžných cookies nemůžete jednoduše „vymazat historii“ nebo „vymazat mezipaměť“, abyste se zbavili Utiq. Identifikační token generuje váš ISP.
Centralizace profilů: Telekomunikační operátoři již znají vaše jméno, vaši fyzickou adresu, vaše bankovní údaje a vaši polohu v reálném čase. Propojením vaší historie prohlížení webu přes Utiq vytvářejí profilování chování ohromující přesnosti.
Mezera v pseudonymizaci: Utiq se brání tím, že nesdílí vaše jméno v prostém textu, a tvrdí, že používá „šifrované“ tokeny. Ve světě kybernetické bezpečnosti je však dokázáno, že pseudonymizace je reverzibilní. Křížové porovnání těchto tokenů s jinými databázemi umožňuje snadnou opětovnou identifikaci osob.

Kteří operátoři používají Utiq?

Utiq založila aliance čtyř největších evropských operátorů. Pokud jste klientem některého z nich (nebo některé z jejich nízkonákladových dceřiných společností), vaše připojení je již pravděpodobně „kompatibilní“ s tímto sledováním.

Zde jsou zakladatelé a odkazy na jejich příslušné zásady ochrany osobních údajů:

Orange (Francie, Španělsko, Polsko, atd.)
Vodafone (Německo, Španělsko, Velká Británie, atd.)
Telefónica / O2 / Movistar (Španělsko, Německo, atd.)
Deutsche Telekom (Německo, střední Evropa)

Tip OPSEC: Přestože Utiq nabízí centralizovaný portál pro správu souhlasu (consenthub.utiq.com ) pro zrušení přístupu, nejlepší obrana zůstává technologická.

Přístup Zero-Trust k boji proti Utiq

Filozofie digitální suverenity, podporovaná ekosystémy, jako je Arpokrat, je založena na jednoduchém principu: nikdy nedůvěřujte síťové infrastruktuře.

K technické neutralizaci systémů, jako je Utiq, je řešením skrýt váš provoz před vlastním poskytovatelem internetu:

Použití suverénní VPN: Zašifrováním vašeho provozu, jakmile opustí vaše zařízení, vidí váš ISP pouze nečitelný tok dat směrovaný na server VPN. Již nemůže vkládat ani číst tokeny Utiq.
Síť Tor (Orbot ): Cibulové směrování zabraňuje jakékoli end-to-end identifikaci.
Šifrování DNS (DoH/DoT): Zabraňuje vašemu operátorovi vědět, které weby chcete navštívit.

Stručně řečeno, Utiq je důkazem toho, že poskytovatelé internetových služeb se již nespokojí s tím, že jsou pouhými „trubkami“; chtějí se stát zprostředkovateli dat. Více než kdy jindy již šifrování vašeho provozu není bezpečnostní možností, ale naprostou nutností pro zachování vašeho digitálního ticha.

Iluze suverenity: Případ Olvid a past CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Oznámení rezonovalo pařížskými chodbami jako skutečné „volání po nezávislosti“: premiérka nařídila vládě opustit WhatsApp a Signal ve prospěch Olvidu, komunikační aplikace prezentované jako „domácí“. Cíl byl jasný: chránit státní tajemství před dlouhými prsty zahraničních zpravodajských služeb.

Rychle se však objevila hořká ironie: srdce Olvidu — jeho serverová infrastruktura — bije uvnitř Amazon Web Services (AWS), amerického giganta.

Široké veřejnosti to připadá jako pouhá technická otázka hostingu. Ale pro architekty suverénní kybernetické bezpečnosti a ty, kteří sledují geopolitiku dat, jde o politickou zranitelnost prvního řádu.

Extrateritorialita a střet suverenit

Tím, že se Olvid spoléhá na infrastrukturu Amazonu, automaticky vstupuje na oběžnou dráhu amerického zákona CLOUD Act .

Právní analýza tohoto případu odhaluje scénář jurisdikční nejistoty, který pouhé přijetí národní „aplikace“ absolutně neřeší. Bod zlomu spočívá v konceptu „kontroly“ versus „lokalizace“.

CLOUD Act radikálně změnil právní paradigma tím, že stanovil, že na fyzickém umístění serveru nezáleží. Povinnost poskytovatele služeb (zde AWS) spolupracovat vyplývá pouze z jeho jurisdikční vazby na USA. Washington tak může požadovat data od společností spadajících pod jeho jurisdikci, i když jsou tato data fyzicky uložena na evropské půdě.

Právně to vytváří čelní střet s obecným nařízením o ochraně osobních údajů (GDPR). Soudní dvůr Evropské unie (prostřednictvím slavných rozhodnutí Schrems I a II ) již dříve konstatoval, že zákony USA o sledování nenabízejí úroveň ochrany odpovídající té evropské.

Digitální suverenita není vlastností softwaru, ale atributem integrity spotřebitelského řetězce dat.

Přízrak FISA a falešný slib šifrování

A co hůř, tato závislost na americké infrastruktuře staví tato data do stínu zákona Foreign Intelligence Surveillance Act (FISA) , který povoluje elektronické sledování pro účely „zahraničního zpravodajství“ cílené na subjekty mimo USA.

Tváří v tvář těmto hrozbám Olvid tvrdí, že jeho end-to-end šifrování představuje dostatečný štít. Z pohledu inženýrství ochrany soukromí je tato obrana nebezpečně částečná.

Nedávné odmítnutí zadních vrátek (backdoors) francouzským Národním shromážděním ukazuje legislativní odpor vůči zranitelnosti z podstaty návrhu. I když je obsah zprávy zašifrován, centralizovaná infrastruktura AWS odhaluje metadata. Vědět, kdo mluví s kým, kdy, jak často a odkud, je pro zahraniční rozvědku často cennější než samotný obsah zprávy.

Šifrování chrání text, ale centralizovaný server prozrazuje síť kontaktů.

Skutečné nebezpečí teprve přijde

Dokud bude evropská infrastruktura závislá na subjektech podléhajících extrateritoriálním statutům, zůstane právní bezpečnost naší komunikace čistě dočasná a iluzorní.

Národní bezpečnost ve 21. století vyžaduje mnohem více než dobré legislativní úmysly nebo povrchní softwarové štíty: vyžaduje úplnou nezávislost infrastruktury a hardwaru . Protože zatímco zachycování těchto metadat a šifrovaných paketů se dnes zdá neškodné, ve skutečnosti živí nejničivější hrozbu příštího desetiletí: strategii „Shromáždi nyní, dešifruj později“.

Dnes zachycené státní tajemství není nic jiného než matematická časovaná bomba.

(Zbytek naší analýzy si přečtěte v části 2: Časovaná bomba a imperativ Zero-Knowledge )