Ochrana osobních údajů on Arpokrat

SignalTrace: Evropa vyváží dohled, který si sama nedovoluje

Tue, 01 Sep 2026 00:00:00 +0000

Šedý sedan projíždí pod dálničním portálem rychlostí 110 km/h. Kamera upevněná na stožáru přečte značku, opatří ji časovým razítkem, uloží ji. Nic nového: takové zařízení existuje dvacet let a je rozmístěno v desetitisících kusů v Severní Americe stejně jako v Evropě.

Pokud ale tento portál dostal modul, který italská skupina Leonardo prodává od června 2026, právě zaznamenal ještě něco jiného. iPhone řidiče. Bezdrátová sluchátka spolujezdkyně. Chytré hodinky na palubní desce. Autorádio. Připojenou klíčenku v přihrádce. Snímače tlaku všech čtyř pneumatik. Přístupovou kartu, která zůstala v saku. A pokud vzadu spí pes, i jeho identifikační čip.

Deset identifikátorů, značka, poloha, čas. Zopakujte to na každém portálu sítě a už nesledujete auto: sledujete lidi a víte, s kým se přemísťují.

Co zařízení skutečně dělá

Produkt se jmenuje SignalTrace. Prodává jej Leonardo US Cyber and Security Solutions a doplňuje řadu ELSAG, jednu z nejrozšířenějších linií automatických čteček registračních značek na americkém trhu. Jeho existenci odhalil 8. června 2026 Joseph Cox v 404 Media na základě produktového listu výrobce.

Rozhodující bod se vejde do jedné věty: nejde o nové kamery. SignalTrace je rádiový snímač přidaný k již nainstalovaným čtečkám značek. Stožár se nemění, umístění se nemění, silueta zařízení u silnice se nemění. Mění se to, co zařízení poslouchá.

Snímač zaznamenává identifikátory vysílané nešifrovaně protokoly Bluetooth, Wi-Fi a RFID přístrojů přítomných ve vozidle. Technický bod, který bývá často špatně chápán: žádný přístroj se nehackuje a žádná zranitelnost se nezneužívá. Zařízení Bluetooth nebo Wi-Fi neustále vysílá objevovací rámce, protože tak byly tyto protokoly navrženy. Vaše sluchátka ohlašují svou přítomnost, aby je telefon našel, a ten telefon sám se dotazuje okolního prostoru na sítě, které zná. Tato vysílání jsou z principu veřejná a slyší je jakýkoli přijímač v dosahu.

Leonardo ostatně upřesňuje, že systém funguje se čtečkou značek i bez ní, včetně vnitřních prostor, a rozpozná vozidlo, jehož značka je zakrytá nebo sejmutá.

Dovybavení stávajícího zařízení je skutečným politickým tématem. Instalace nové sítě kamer spustí hlasování, projednávání, někdy soudní spor. Přidání elektronické desky do již schválené skříně nespustí nic. Schopnost dohledu mění svou povahu bez veřejné debaty, protože materiálně není nic nového k vidění.

Od vozidla k osobě a od osoby ke skupině

Čtečka značek odpovídá na jednu otázku: kde bylo toto vozidlo. SignalTrace přidává dvě další: kdo v něm byl a s kým.

Leonardo to netají, je to prodejní argument. Systém vytváří to, co dokumentace nazývá elektronickým otiskem, soubor identifikátorů „často vysílaných společně". Příklad výrobce je jednoznačný: v celém městě jen jediné vozidlo spojí iPhone 13rev2, autorádio Audi, sluchátka Bose, hodinky Garmin, lokátor klíčů a značku ABC-1234.

Produkt se neomezuje na sledování vozidel. Automaticky vytváří graf vztahů mezi osobami, aniž by kdokoli musel vyslovit sebemenší podezření.

Právě zde nastává kvalitativní skok. Korelací přístrojů, které pravidelně cestují společně, systém mechanicky buduje sociální graf. Dva telefony, které se každé ráno setkávají ve stejném autě, jsou spolujízda, nebo vztah, který ani jedna strana nechce zveřejnit. Padesát přístrojů zachycených na stejném místě ve stejnou hodinu je shromáždění: demonstrace, bohoslužba, odborová schůze nebo fronta před klinikou.

Žádný z těchto závěrů nevyžaduje přístup k obsahu komunikace. Vyvozuje se z tabulky blízkosti, ve výchozím nastavení, u celé pohybující se populace, nikoli u určených cílů. Je to vina ze spolčení, vyráběná průmyslově, ještě před jakýmkoli vyšetřováním. Tom Bowman, právník v Center for Democracy & Technology, shrnuje problém na stránkách TechNewsWorld: to, co činí nástroj užitečným pro sledování skutečného podezřelého, jej činí stejně schopným sledovat všechny ostatní řidiče, z nichž ani jeden nesouhlasil s tím, aby jeho přístroje byly zaznamenávány.

Leonardo namítá dvě věci: systém nedešifruje ani nečte obsah komunikace a sám o sobě neidentifikuje osoby. Obě tvrzení jsou přesná a obě míjejí podstatu. Hledanou informací nikdy nebyl obsah, tkví v metadatech o poloze, výmluvnějších než zpráva. Pokud jde o identifikaci, sám výrobce uznává, že vyšetřovatel může spojit elektronický podpis se značkou a poté se přes registry vozidel dostat k držiteli.

Americké právo psané pro něco jiného

Ve Spojených státech existují státní zákony upravující čtečky značek a některé jsou náročné, pokud jde o doby uchovávání a účely přístupu. Všechny však byly sepsány kolem jednoho přesného předmětu: obrazu registrační značky. Žádný nepředjímá zachytávání identifikátorů osobních přístrojů týmž zařízením.

Tento nesoulad nevytváří nezákonnost, ale šedou zónu, pro prodejce pohodlnější. Policejní útvar může bez lhaní tvrdit, že jeho program čteček značek je povolený a v souladu s předpisy, přičemž nyní v témže režimu shromažďuje údaje zcela odlišné povahy. Leonardo navíc disponuje federálními zakázkami u Special Operations Command a General Services Administration, tedy nákupní cestou, která do značné míry obchází místní schvalování.

Ústavní debata se právě pohnula a je třeba být přesný, protože právní stav se toto léto změnil. V lednu 2026 federální soud ve Virginii rozhodl ve věci Schmidt v. City of Norfolk, že městská síť kamer Flock nepředstavuje prohlídku ve smyslu čtvrtého dodatku, protože nepokrývá veškeré pohyby obyvatel. Rozhodnutí je v odvolacím řízení před Čtvrtým obvodem, kde vstoupila do řízení ACLU.

Poté, 29. června 2026, vydal Nejvyšší soud rozsudek Chatrie v. United States. Pěti hlasy proti čtyřem, perem soudkyně Kagan, rozhodl, že získání lokalizačních údajů telefonu policií představuje prohlídku, neboť jednotlivec si zachovává rozumné očekávání soukromí ohledně těchto údajů, i když je drží třetí strana a po krátkou dobu. Rozsudek navazuje na Carpenter v. United States z roku 2018 a oslabuje doktrínu třetí strany, jak podotklo CDT.

Přesný dosah Chatrie na SignalTrace není vyřešen a bylo by neopatrné tvrdit opak: rozsudek se týká údajů vyžádaných od Googlu, nikoli přímého zachytávání policejním snímačem ve veřejném prostoru. Zavádí však úvahu, na které záleží, totiž že citlivost lokalizačního údaje nezávisí na tom, kdo jej drží.

Evropská otázka, která je otázkou skutečnou

Zde se spis pro Evropu stává nepohodlným. Leonardo není americký dodavatel, ale italská skupina kotovaná v Miláně, jejímž prvním akcionářem je italské ministerstvo hospodářství a financí s asi 30 % kapitálu a pravomocí jmenovat většinu správní rady. Italský stát není u tohoto produktu pasivním akcionářem.

Nejprve technický bod

V evropském právu je identifikátor přístroje osobním údajem. Není to doktrinální názor, ale ustálené stanovisko úřadů. CNIL výslovně považuje MAC adresu za takovou ve své doktríně o systémech měření návštěvnosti a připouští jejich sběr ve veřejném prostoru jen za úzkých podmínek: anonymizace během několika minut s vysokou mírou kolize mezi jednotlivci, nebo spolehlivá pseudonymizace následovaná zničením do dvaceti čtyř hodin, jinak se souhlas stává povinným. Tatáž doktrína upřesňuje, že vyzývat lidi, aby si vypnuli Wi-Fi, není přijatelnou formou vznesení námitky.

Soudní dvůr Evropské unie 4. září 2025 ve věci EIOÚ proti SRB (C-413/23 P) upřesnil, že osobní povaha pseudonymizovaného údaje se posuzuje s ohledem na rozumně použitelné prostředky opětovné identifikace. Zde je však držitelem policejní orgán, který má k dispozici registry vozidel. Prostředky opětovné identifikace nejsou hypotetické, jsou ve vedlejší kanceláři.

Nuance, která mění všechno

Bylo by nesprávné psát, že SignalTrace „by byl v Evropě nezákonný", a čtenář právník by si toho okamžitě všiml. Zpracování prováděné příslušným orgánem za účelem předcházení trestné činnosti a jejího stíhání nespadá pod GDPR. Spadá pod směrnici (EU) 2016/680, zvanou trestněprávní směrnice, kterou každý členský stát provádí zvlášť, ve Francii v hlavě III zákona o ochraně údajů. CNIL připomíná, že tento režim je samostatný, s vlastními právními základy a vlastními právy.

Správnou otázkou tedy není abstraktní zákonnost, ale podmínky. V tomto režimu by takové zařízení předpokládalo výslovný vnitrostátní právní základ, určené účely, prokázanou nezbytnost, ohraničenou dobu uchovávání, posouzení dopadů a nezávislý dohled. Ve Francii jsou čtečky značek upraveny právě takto: články L233-1 a L233-1-1 zákoníku vnitřní bezpečnosti stanoví taxativní výčet trestných činů, které zakládají právo je použít, a doba uchovávání zůstává jednou z nejkratších v Unii, v zásadě patnáct dnů, i když senátní návrh zákona se ji snaží prodloužit.

To je zásadní rozdíl oproti americké situaci. Ve Spojených státech zákon upravuje předmět, značku, a mlčení o identifikátorech přístrojů se rovná povolení. V Evropě zákon upravuje účely a kategorie údajů a toto mlčení se spíše rovná zákazu, pro nedostatek výslovného právního základu. Prázdnota konstatovaná za oceánem zde v téže podobě neexistuje. Ne že by Evropa byla ctnostnější: její právní technika je opačná.

Jakou hodnotu má potom ochrana

Zbývá otázka, o kterou v tomto článku jde. Jakou hodnotu má evropská regulační ochrana, když evropský podnik, ovládaný členským státem, prodává mimo Evropu schopnost, kterou by doma nemohl nasadit bez nového zákona?

Námitky si zaslouží být brány vážně. Průmyslník neodpovídá za právní rámec svého zákazníka: je na amerických orgánech, aby rozhodly, co u sebe povolí. Produkt se neprodává diktatuře, ale právnímu státu s aktivním nejvyšším soudem, jak právě připomněl Chatrie. A argument průmyslové suverenity je legitimní: pokud si evropské skupiny tyto trhy zakážou, obsadí je izraelští, američtí nebo čínští dodavatelé, aniž by dohled ustoupil o jediný metr, a Evropa při tom ztratí svou technologickou základnu.

Tyto argumenty jsou přípustné. Neodpovídají na problém.

Především proto, že Unie již uznala, že vývoz prostředků dohledu není obchodem jako každý jiný. Nařízení (EU) 2021/821 o zboží dvojího užití zavedlo ve svém článku 5 zbytkovou doložku týkající se prostředků kybernetického dohledu, protože zákonodárce připustil, že nástroj, který je legální vyrábět, může být v místě určení nelegitimní. Jeho mez je poučná: spouští se při riziku vnitřní represe nebo závažného porušování lidských práv, tedy kategoriích vymyšlených pro autoritářské režimy. Prodej americké městské policii do nich nespadá. Evropské síto zkoumá morálku zákazníka, nikdy povahu prodávané schopnosti.

Dále proto, že takový produkt není zásobou, kterou se vyprodá, ale schopností, která se udržuje: financuje výzkum, školí inženýry, hromadí know-how a vytváří instalovanou základnu. V den, kdy závažný atentát přiměje členský stát tuto schopnost požadovat, debata už nepovede o tom, zda ji vybudovat. Bude existovat, bude evropská, bude vyzrálá a její dodavatel bude zčásti veřejný. Argument „jen následujeme trh" se pak stává kruhovým, neboť domácí trh bude připraven vývozem.

Takovou hodnotu má regulační ochrana v tomto scénáři: chrání Evropany před způsoby použití, nikoli před existencí prostředků. Řeší otázku, kdo má právo stisknout tlačítko, a nechává průmysl, aby jej stavěl, prodával, vylepšoval a pak čekal.

Co lze dělat, aniž bychom si něco namlouvali

První zmiňovanou odpovědí je vždy randomizace MAC adresy. Zaslouží si poctivé posouzení, ani propagaci, ani znevažování. Je skutečná a funguje.

Android od verze 10 a iOS od verze 14 ve výchozím nastavení randomizují MAC adresu používanou na Wi-Fi, s odlišnou adresou pro každou síť. V Bluetooth Low Energy moderní přístroje vysílají rozlišitelné soukromé adresy, které se periodicky mění a lze je spojit se skutečným přístrojem jen protistranou, která má rozlišovací klíč.

Její meze jsou stejně skutečné.

Párování znovu otevírá dveře. Rozlišovací klíč se předává při párování. Přístroj již spárovaný nebo výslovně schválený znovu nalezne stabilní identitu za rotující adresou. Mechanismus je pro to navržen.
Mnoho předmětů nerandomizuje nic. Snímače tlaku pneumatik, RFID karty, identifikační čipy zvířat, autorádia a levná periferní zařízení vysílají pevné identifikátory. Produktový list Leonardo uvádí přesně tyto kategorie, což není náhoda.
Randomizace se dá vypnout. Vypíná se síť po síti a často vypnutá bývá kvůli pohodlí, kvůli filtrování MAC na domácím routeru nebo kvůli firemní politice.
Skupina přežije rotaci identifikátorů. To je bod nejméně intuitivní a nejdůležitější. SignalTrace nehledá identifikátor, hledá soubor přístrojů cestujících společně. Pokud jediný člen skupiny vysílá stabilní identifikátor, celý soubor zůstává přiřaditelný, ať je disciplína ostatních jakákoli.

Nejúčinnější opatření zůstává tím nejnudnějším: nevysílat. To předpokládá vypnout Bluetooth a Wi-Fi na úrovni systému, v nastavení, a ne z panelu zkratek. Rozdíl není kosmetický, rozebrali jsme jej v našem článku o trvalé geolokalizaci telefonu: u většiny spotřebitelských systémů tlačítko v rychlém panelu přeruší viditelné párování, ale nechá softwarový zásobník naživu a analýzy blízkosti pokračují. Onen článek popisoval skenování Bluetooth jako teoretický vektor. SignalTrace je jeho komerčním produktem, katalogizovaným a dodatelným.

Je třeba zůstat poctivý k výsledku: tato opatření zmenšují plochu vystavení, neruší ji. Vozidlo zůstává značkou a značka zůstává čitelná. Jediný způsob, jak nic nevysílat, je nic u sebe nemít, což není veřejná politika.

Co to říká o našich konstrukčních volbách

V Arpokrat nás právě tato úvaha vedla k tomu, abychom Bluetooth řešili na úrovni Core systému ArpokratOS, a ne na úrovni nastavení. Přepínač v rozhraní je uživatelská preference: aktualizace, systémová aplikace nebo lokalizační služba jej mohou obejít nebo znovu zapnout, aniž by o tom uživatel věděl. Nepřítomný zásobník se nedá znovu zapnout.

Vůči zachytávání typu SignalTrace to samozřejmě nečiní přístroj nezjistitelným, a netvrdíme to: telefon zůstává v mobilní síti a ostatní předměty ve vozidle vysílají na vlastní účet. Co to zaručuje, je, že konkrétní vysílací vektor je nepřítomen z konstrukce, místo aby byl vypnut na základě důvěry. To je teze, kterou jsme hájili ohledně 5G a chyby v zacílení práva: právní ochrana se soustředí na přístup k údajům, zatímco by se měla týkat samotné existence infrastruktury, která je vytváří. SignalTrace je toho ilustrací, s tím rozdílem, že tato infrastruktura se staví v Evropě.

Závěr

Nejpozoruhodnější na tomto spisu není technická schopnost, kterou výzkumníci popisovali léta. Je to způsob nasazení.

Nebude žádná nová síť kamer k slavnostnímu otevření, žádné obecní usnesení k napadení, žádná veřejná zakázka rozpoznatelná jako změna povahy. Budou moduly přidané ke stávajícím stožárům, v rámci stávajících smluv, v již povolených programech. V den, kdy se otevře veřejná debata, bude infrastruktura nainstalovaná, odepsaná a začleněná do vyšetřovacích postupů. Debata pak povede o podmínkách přístupu k databázi, která existuje, nikdy o tom, zda bylo namístě ji vytvořit.

To je obvyklý pořádek věcí v oblasti dohledu a není náhodný. Zbývá zjistit, zda se Evropa domnívá, že má co říci, když její vlastní průmyslníci, opření o její vlastní státy, budují tuto infrastrukturu pro jiné. Evropské právo pečlivě uspořádalo odpověď na otázku, kdo smí u nás do těchto údajů nahlížet. Nikdy nepoložilo otázku, kdo má právo tento stroj vyrobit.

5G, lokalizační údaje a chybný cíl práva

Tue, 18 Aug 2026 00:00:00 +0000

V roce 2011 si policie v Detroitu vyžádala od mobilního operátora historii přihlášení telefonu Timothyho Carpentera k základnovým stanicím. Získala 12 898 lokalizačních bodů rozložených do 127 dnů, přibližně sto denně. O sedm let později Nejvyšší soud Spojených států rozhodl, že tato žádost představuje prohlídku a vyžaduje soudní příkaz.

Oněch 12 898 bodů pocházelo z antén čtvrté generace, z nichž každá pokrývala okruh několika kilometrů. Tentýž požadavek adresovaný dnes městské síti 5G by nevrátil sto bodů denně s přesností na několik kilometrů. Vrátil by objem mnohem větší, s přesností na několik desítek metrů.

Technologie změnila měřítko. Právní úvaha zůstala na témž místě řetězce.

Právní statek, který soudy uznávají na obou stranách Atlantiku

Existuje zájem, který připouští téměř každý a který téměř žádný předpis účinně nechrání: právo někde být, aniž je tato skutečnost zaznamenána.

Evropská judikatura to stanovila jednoznačně. Ve věci Digital Rights Ireland (spojené věci C-293/12 a C-594/12, 8. dubna 2014) a poté v rozsudku Tele2 Sverige a Watson (spojené věci C-203/15 a C-698/15, velký senát, 21. prosince 2016) Soudní dvůr Evropské unie rozhodl, že tyto údaje ve svém souhrnu umožňují vyvodit velmi přesné závěry o soukromém životě osob: zvyklosti každodenního života, místa pobytu, pohyb, vykonávané činnosti a společenské vztahy.

Nejvyšší soud Spojených států dospěl k blízkému závěru ve věci Carpenter v. United States, 585 U.S. 296 (2018). Zdůraznil bod, který americká nauka hojně komentovala: nevyhnutelnou a automatickou povahu tohoto sběru. Nikdo nesouhlasí s tím, že bude přihlášen k anténě; je k ní přihlášen proto, že vlastní zapnutý telefon.

Právní statek tedy existuje a uznávají jej oba soudy, na nichž v této oblasti záleží. Problém leží jinde.

Co 5G skutečně změnilo

Běžný omyl spočívá v tom, že se lokalizace pokládá za údaj, který telefon odesílá, stejně jako zprávu nebo fotografii. Tak tomu není. Lokalizace je fyzickým důsledkem fungování sítě. Operátor ví, ke které anténě je přístroj přihlášen, protože to vědět musí, aby mohl směrovat hovor. Neexistuje žádný klíč, jímž by šlo tuto informaci zašifrovat, neboť nejde o obsah, nýbrž o vlastnost samotného spojení.

Právě to činí 5G významným v rovině právní, nikoli technické.

Dřívější architektury stály na širokých buňkách. Anténa 4G běžně obsluhuje okruh několika kilometrů a poloha odvozená ze samotného přihlášení se ve městě počítala ve stovkách metrů, na venkově někdy v desítkách kilometrů. 5G stojí na masivním zahuštění: městské buňky pokrývají obvykle několik set metrů a inženýrská literatura počítá s hustotami řádu čtyřiceti až padesáti základnových stanic na kilometr čtvereční, oproti čtyřem či pěti v době 3G.

Důsledek je mechanický. Podle bílé knihy společnosti Ericsson o pozicování v 5G dosahuje infrastruktura nasazená pouze pro konektivitu přesnosti dvaceti až padesáti metrů venku a jednoho až tří metrů uvnitř budov a za příznivých městských podmínek klesá pod metr. Nejde o kdesi zapnutou lokalizační funkci, nýbrž o to, co síť ví ze své konstrukce, bez jediné nainstalované aplikace a bez jediného uděleného oprávnění. Všechny tyto mechanismy, jakož i protiopatření, která skutečně fungují, jsme podrobně rozebrali v článku o trvalé geolokalizaci telefonu.

Zásah tedy vzrostl o několik řádů. Použitelný právní rámec zůstává tím, který byl vymyšlen pro 2G a 3G. Tuto změnu měřítka neprovázela žádná normativní úprava.

Právo chrání přístup, nikoli vznik

Evropské právo pečlivě upravuje, kdo smí k lokalizačním údajům přistupovat, za jakých podmínek a pod jakou kontrolou. Směrnice 2002/58/ES zakotvuje zásadu důvěrnosti komunikací a Soudní dvůr rozhodl ve věci La Quadrature du Net (spojené věci C-511/18, C-512/18 a C-520/18, velký senát, 6. října 2020), že čl. 15 odst. 1 této směrnice, vykládaný ve světle článků 7, 8, 11 a čl. 52 odst. 1 Listiny, brání plošnému a nerozlišujícímu uchovávání provozních a lokalizačních údajů preventivní povahy. Soudní dvůr nicméně připustil vymezené výjimky, čelí-li členský stát vážné hrozbě pro národní bezpečnost, která se jeví jako skutečná a aktuální nebo předvídatelná, za podmínky účinné kontroly.

Jde o skutečné záruky a bylo by absurdní je zlehčovat. Všechny však nastupují až následně. Předpokládají, že údaj existuje, že je uchováván, a teprve poté upravují podmínky jeho využití.

Je-li však lokalizace nevyhnutelným vedlejším produktem fungování sítě, není příslušným bodem zásahu důvěrnost. Je jím perzistence.

Okamžitá poloha, nutná ke směrování komunikace a hned poté smazaná, není nástrojem sledování. Historie poloh uchovávaná měsíce jím je, ať ji obklopují jakékoli záruky přístupu.

Rozdíl mezi obojím není právní, nýbrž architektonický. A evropský harmonogram činí otázku naléhavou spíše než teoretickou. Komise v roce 2025 stáhla návrh nařízení ePrivacy pro nedostatek shody mezi spolunormotvůrci. Od té doby pracuje na samostatném nástroji o uchovávání údajů pro trestní účely, ohlášeném na rok 2026, který má sjednotit vnitrostátní režimy, jež se od zrušení směrnice z roku 2006 rozešly. Jinými slovy, text, který na deset let určí režim lokalizačních metadat, se píše právě teď, na základě úvahy vzniklé v době kilometrových buněk.

Precedent, který si 5G vytvořilo samo

Nejzajímavější na celé věci je, že správná odpověď už v technické normě je, jen se uplatňuje na jiný předmět.

Až do 4G putoval trvalý identifikátor účastníka, IMSI, po rádiovém rozhraní při přihlášení v otevřené podobě. Právě to umožnilo IMSI catchery, ony falešné základnové stanice, které podle referenčního popisu Electronic Frontier Foundation vysílají silněji než legitimní antény, aby přilákaly koncová zařízení a zachytily jejich identifikátor.

Od Release 15 specifikací 3GPP, zveřejněné v roce 2019, přináší 5G elegantní odpověď. Trvalý identifikátor, nyní zvaný SUPI, může být na rádiovém rozhraní nahrazen identifikátorem SUCI, skrytým identifikátorem získaným zašifrováním účastnické části pomocí kryptografie eliptických křivek veřejným klíčem domovského operátora. Rozšifrovat jej může jen domovská síť, která drží odpovídající soukromý klíč. Výsledek je při každém výpočtu jiný, což znemožňuje korelaci mezi relacemi.

Zvolená logika si zaslouží zdůraznit, protože je přesně tou, jíž by se měl řídit zákonodárce: nešifruje se poloha, což by bylo technicky nemožné, šifruje se identita. Poloha bez přiřaditelné identity má pro individualizované sledování velmi omezenou hodnotu.

Slabina: nepovinná ochrana

Existuje však závažná výhrada a je podle nás nejkonkrétnějším bodem zásahu v celém spisu.

Bílá kniha NIST CSWP 36A, vydaná v březnu 2026 institucí National Institute of Standards and Technology, to říká bez obalu. Koncová zařízení a síťové funkce odpovídající Release 15 nebo pozdější musí SUCI podporovat, jeho zapnutí však zůstává na volbě operátora. Musí být splněny tři podmínky: výrobce zařízení jej musí podporovat, operátor jej musí ve své síti zapnout a SIM karta musí nést prvky nutné k výpočtu.

K tomu se přidává konfigurační past. Norma počítá s nulovým ochranným schématem, v němž se formát SUCI formálně používá, ale bez skutečného šifrování, takže identifikátor putuje otevřeně. NIST píše, že operátor musí svou síť nakonfigurovat s nenulovým ochranným schématem, a připomíná, že zpráva CSRIC, poradního orgánu Federal Communications Commission, doporučovala už v roce 2021 vyhradit nulové schéma pouze tísňovým voláním ze zařízení, které síť nezná.

Tuto formulaci stojí za to ponechat tak, jak je. Nejlepší dostupná ochrana proti sledování mobilních zařízení existuje v technické normě od roku 2019. Spočívá na konfigurační volbě ponechané na uvážení operátora. Americká federální agentura považuje za užitečné vydat v roce 2026 dokument připomínající, že by se měla zapnout. A žádný evropský právní nástroj ji neukládá.

Je třeba dodat, že SUCI téma neuzavírá. Práce představené pod názvem 5G SUCI-catchers: still catching them all? dokládají propojovací útoky, které umožňují znovu korelovat relace navzdory šifrování, a ochrana zcela padá, přinutí-li útočník zařízení přejít na starší generaci. Právní povinnost by tedy nevyřešila všechno. Odstranila by však rozdíl, pro nějž neexistuje obhajitelné odůvodnění: rozdíl mezi tím, co norma umožňuje, a tím, co komerční sítě dělají.

Tři soudržné zásahy

Bereme-li vážně myšlenku, že lokalizace se má minimalizovat už návrhem, a nikoli chránit až následně, logicky se nabízejí tři opatření.

Učinit skutečné skrytí identifikátoru povinným. Uložit zapnutí SUCI a zakázat nulová ochranná schémata v komerčních sítích, s výjimkou zbytkového případu tísňových volání. Nejde o předepsání nové technologie ani o financování nasazení, nýbrž o požadavek zapnout funkci normalizovanou už sedm let a v zařízeních přítomnou.
Považovat uchovávání za výjimku, ne za výchozí stav. Poloha nutná ke směrování komunikace by měla být smazána, jakmile je tato funkce splněna. Vytváření historie by mělo vyžadovat zvláštní odůvodnění. To je rozdíl mezi sítí, která ví, kde jste, a sítí, která si pamatuje, kde jste byli.
Učinit správu klíče rozhodným hraničním určovatelem. Umístění serverů v Unii mnoho neznamená, jsou-li klíče, jimiž lze údaje učinit srozumitelnými, jinde. Právně významným kritériem by měla být skutečná kontrola nad prostředky dešifrování, což je otázka, kterou jsme podrobně zkoumali v souvislosti s konfliktem mezi Data Act a CLOUD Act.

Úhel pohledu, který sleduje Arpokrat

Tato úvaha není vlastní jen telekomunikačnímu právu. Je to tatáž, kterou uplatňujeme na vlastní architektonická rozhodnutí, a vejde se do jedné věty: co nevzniklo, není třeba chránit.

Proto ArpokratOS odstraňuje GPS, Bluetooth a NFC na úrovni jádra, místo aby je vypínal v nabídce. Přepínač je politika: může jej obejít privilegovaná komponenta, znovu zapnout aktualizace, ignorovat kompromitovaný systém. Odstranění cesty v kódu otázku ruší. Je to přenesení téhož posunu, který na úrovni práva prosazujeme, na úroveň zařízení: zasáhnout u vzniku, nikoli u přístupu.

Je třeba hned říci, co to neudělá. Žádný operační systém nevyjme zařízení z geometrie sítě. Dokud je SIM karta aktivní, operátor zná buňku, k níž je zařízení přihlášeno, a směrování veškerého provozu přes Tor na tom nic nemění, protože chrání obsah a cíl, nikoli rádiovou vrstvu. Právě proto je téma právní. Existuje kategorie rizik, kterou žádná individuální konfigurace nesnižuje a pro niž je jedinou dostupnou proměnnou pravidlo platné pro operátora.

Táž starost řídí i zbytek naší práce. Údaj, který neexistuje, nelze zabavit, přeprodat, odcizit ani za deset let dešifrovat strojem, jímž dnes nikdo nedisponuje, což je otázka, kterou jsme zpracovali z pohledu šifrování sklizeného nyní a prolomeného později.

Závěr

Veřejná debata o mobilním sledování se soustředí téměř výhradně na přístup: kdo smí údaje nahlížet, na jakém základě, s jakým povolením. Tato debata je legitimní a rozhodnutí vydaná Soudním dvorem od roku 2014 měla hmatatelné účinky. Nastupuje však v řetězci příliš pozdě.

Předcházející a rozhodnější otázkou je, zda má historie vůbec existovat. Databáze zřízená dnes z legitimního důvodu zůstává zítra k dispozici pro jiný a záruky, které ji obklopují, závisejí na pozdějších politických rozhodnutích, jež v okamžiku sběru nikdo neovládá. Je to sázka na stabilitu institucí, uzavřená na dobu, kterou nikdo nestanoví.

5G mnohonásobně zvýšilo rozlišení této informace, aniž došlo k jakékoli normativní úpravě. Zároveň mechanismem SUCI ukázalo, že schůdná cesta spočívá v oddělení polohy od identity, nikoli v pokusu zašifrovat fyzickou vlastnost sítě. Technická norma poskytla odpověď sedm let předtím, než právo položilo otázku.

Evropský text o uchovávání údajů se píše nyní. Bude se týkat metadat, tedy lokalizace, tedy toho, co 5G dnes vytváří v jemnosti, jakou jeho autoři nepoznali. Zda se spokojí s úpravou přístupu k historii pokládané za samozřejmou, nebo zda se odváží zpochybnit nezbytnost této historie, je pravděpodobně nejdůležitější otázkou soukromí příštích let v Evropě. A je to otázka, kterou technický sektor pro jednou už rozhodl správným směrem.

Zdroje

Soudní dvůr Evropské unie, Digital Rights Ireland, spojené věci C-293/12 a C-594/12, 8. dubna 2014
Soudní dvůr Evropské unie, Tele2 Sverige a Watson, spojené věci C-203/15 a C-698/15, velký senát, 21. prosince 2016
Soudní dvůr Evropské unie, La Quadrature du Net a další, spojené věci C-511/18, C-512/18 a C-520/18, velký senát, 6. října 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, březen 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta a kol., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act: kdo skutečně kontroluje vaše data v cloudu?

Fri, 19 Jun 2026 00:00:00 +0000

Po celá léta svět fungoval na jednoduchém předpokladu: data mají fyzické místo uložení. Pokud se nacházela na serveru v Dublinu, řídila se irským a evropským právem. Tento předpoklad se zhroutil v roce 2018, kdy Spojené státy přijaly CLOUD Act – zákon, který dává americkým orgánům přístup k datům kontrolovaným americkými společnostmi, bez ohledu na to, kde jsou tato data fyzicky uložena na světě. O několik let později Brusel odpověděl vlastním ochranným nástrojem: Data Actem, který je nyní plně účinný a snaží se omezit extrateritoriální přístup orgánů třetích zemí k datům uchovávaným v Evropské unii.

Zde je to, co tyto dva texty skutečně stanoví, kde dochází k jejich kolizi a proč jedinou skutečně robustní ochranou před tímto konfliktem zůstává technická nemožnost přístupu.

Americký CLOUD Act: přístup založený na kontrole, nikoli na umístění

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), přijatý v březnu 2018, změnil americké právo přidáním článku 18 U.S. Code § 2713. Tento text ukládá každému poskytovateli elektronické komunikační služby nebo vzdáleného počítačového zpracování povinnost uchovat, zabezpečit nebo zpřístupnit obsah komunikace nebo jakýkoli s ní související záznam, pokud tato data jsou v jeho držení, úschově nebo pod jeho kontrolou, bez ohledu na to, zda se tato data nacházejí uvnitř nebo vně Spojených států.

Právě tato poslední klauzule mění vše. Rozhodným kritériem již není fyzické umístění serveru, ale kontrola, kterou mateřská společnost vykonává nad svými dceřinými společnostmi. Americká společnost provozující datová centra v Evropě tedy zůstává podřízena americkým výzvám k vydání dat, a to i pro data uložená výhradně na evropské půdě.

Evropský Data Act: právní bariéra vůči extrateritoriálnímu přístupu

Nařízení (EU) 2023/2854, zvané Data Act, vstoupilo v platnost 11. ledna 2024 a plně se uplatňuje od 12. září 2025, přičemž některá ustanovení jsou postupně zaváděna až do roku 2026 a 2027. Jeho článek 32 přímo upravuje otázku mezinárodního vládního přístupu k datům.

Text stanoví jasné pravidlo: jakékoli rozhodnutí nebo rozsudek soudu nebo správního orgánu třetí země vyžadující od poskytovatele služeb zpracování dat přenos nebo zpřístupnění neosobních dat uchovávaných v Evropské unii je uznáno a vykonatelné pouze tehdy, pokud se opírá o mezinárodní dohodu, jako je smlouva o vzájemné právní pomoci (MLA), platná mezi žádající zemí a Unií, nebo mezi touto zemí a příslušným členským státem.

V případě neexistence takové dohody článek 32 stanoví druhou cestu, ale přísně vymezenou: zahraniční rozhodnutí lze vykonat pouze tehdy, pokud právní řád třetí země vyžaduje, aby žádost byla odůvodněná, přiměřená a dostatečně konkrétní – například tím, že prokáže jasnou spojitost s konkrétními osobami nebo trestnými činy – a pokud odůvodněná námitka příjemce může být předložena k přezkumu příslušnému soudu dané třetí země.

Přímá právní kolize

Problém je okamžitý: CLOUD Act vyžaduje zpřístupnění na základě kontroly vykonávané mateřskou společností, bez podmínek přiměřenosti srovnatelných s těmi, které vyžaduje evropské právo. Data Act naopak podmiňuje uznání takové žádosti existencí mezinárodní dohody nebo přesnými procesními zárukami. Americká společnost působící v Evropě, jíž americký orgán přikáže předat data hostovaná v Unii, se tak ocitá sevřena mezi dvě protichůdné právní povinnosti: buď splnit americký příkaz v rozporu s právem Unie, nebo dodržet Data Act a vystavit se důsledkům odmítnutí v USA.

Toto napětí není teoretické. Již bylo zdokumentováno Soudním dvorem Evropské unie (CJEU) ve dvou zásadních rozhodnutích, Schrems I (2015) a Schrems II (2020). V rozsudku Schrems II CJEU rozhodl, že americké sledování prováděné na základě oddílu 702 FISA (Foreign Intelligence Surveillance Act) a výkonného nařízení 12333 nesplňuje minimální záruky vyžadované právem Unie na základě zásady proporcionality, a nelze jej tedy považovat za omezené na to, co je nezbytně nutné. Soud rovněž poukázal na absenci účinného soudního prostředku nápravy pro dotčené osoby z Unie, v rozporu s článkem 47 Listiny základních práv. Toto rozhodnutí zrušilo rámec Privacy Shield, který do té doby upravoval přenosy dat mezi EU a USA.

Strukturální riziko: Harvest Now, Decrypt Later

Nad rámec konfliktu jurisdikcí hrozí datům hostovaným v infrastrukturách podléhajících americkému právu zákeřnější hrozba: strategie zvaná Harvest Now, Decrypt Later (HNDL). Jejím principem je, že zpravodajská služba nebo nepřátelský státní aktér již dnes zachycuje a ukládá šifrovaná data v očekávání dostatečného kvantového výpočetního výkonu k jejich budoucímu dešifrování.

Tato strategie přeměňuje každou dlouhodobou závislost na americké cloudové infrastruktuře v odloženou bezpečnostní pohledávku: to, co je dnes důvěrné, může být čitelné za deset nebo patnáct let, aniž by útočník musel podniknout jakékoli další kroky – stačí čas a trpělivost.

Proč jedině technická nemožnost představuje skutečnou záruku

Právní analýza konverguje k závěru sdílenému mnoha odborníky na compliance: jakkoli je právní rámec Data Actu pevný, stále jde o text, který lze geopolitickými poměry a diplomatickým tlakem obejít, zdržet nebo přeinterpretovat. Jedinou ochranou, která nezávisí na žádném budoucím vyjednávání, je technická nemožnost výkonu.

Architektura zero knowledge, při níž poskytovatel nikdy nevlastní ani neschovává dešifrovací klíče, činí výzvu k vydání dat materiálně neúčinnou. Nelze být nucen vydat to, co nikdy nebylo v držení.

To je logika, která tvoří základ ekosystémů jako Arpokrat:

Jurisdikční neutralizace: infrastruktura je hostována ve Švýcarsku, v režimu federálního zákona o ochraně dat (LPD/FADP), mimo přímý dosah extrateritoriality CLOUD Actu
Absence úschovy: architektura zero knowledge zbavuje poskytovatele jakékoli schopnosti předat klíče nebo obsah, které nikdy nedržel
Redukce identitní stopy: odstraněním povinnosti registrace pomocí telefonního čísla nebo e-mailové adresy – identifikátorů, které může sledování na základě oddílu 702 FISA snadno sledovat – přestává být uživatel identifikovatelným předplatitelem a stává se anonymním kryptografickým klíčem

Řetězec ochrany nekončí šifrováním zpráv

Aspekt často podceňovaný v analýzách compliance: nestačí šifrovat obsah komunikace, pokud podkladový operační systém – ať už Android nebo iOS – nadále zachycuje metadata nebo telemetrii na úrovni jádra, a odesílá je na servery podléhající americké jurisdikci. Ochrana tajemství vyžaduje úplné uzavření řetězce ochrany, od obsahu až po samotnou hardwarovou infrastrukturu.

Proto digitální suverenita zahrnuje i zamyšlení nad používaným operačním systémem, nejen nad aplikacemi pro zasílání zpráv. Odgoogleované systémy, kde lze moduly jako Bluetooth nebo GNSS geolokace deaktivovat přímo na úrovni jádra, eliminují fyzické vektory útoku, které žádné aplikační šifrování nemůže kompenzovat.

Post-kvantová kryptografie: horizont, který se již rýsuje

Tváří v tvář hrozbě, kterou představuje strategie HNDL, se přijetí standardů post-kvantové kryptografie (PQC) stává nezbytností pro každého, kdo chce zaručit důvěrnost citlivých dat v dlouhodobém horizontu – ať jde o obchodní tajemství, profesní korespondenci nebo zdravotní data. Šifrování považované dnes za robustní podle klasických standardů nezaručuje, že odolá kvantovým výpočetním kapacitám očekávaným v příštích patnácti letech.

Konflikt mezi Data Actem a CLOUD Actem ilustruje širší realitu: digitální suverenitu již nelze budovat výhradně na zákonných textech, jakkoli pevných. Vyžaduje uzavření řetězce ochrany na každé úrovni – od šifrovacího protokolu přes jurisdikci hostování až po samotný operační systém. Právě tento vrstvený přístup, spíše než důvěra opírající se o jediný regulační rámec, dnes definuje skutečnou digitální suverenitu záměrem.

Konec soukromí? Zadní vrátka, Online Safety Act a reakce suverénních ekosystémů

Wed, 10 Jun 2026 00:00:00 +0000

Londýn se stal epicentrem globální bitvy o budoucnost digitálního soukromí. S přijetím zákona Online Safety Act 2023 (OSA) a nedávnými návrhy na revizi zákona Investigatory Powers Act (IPA) — svými kritiky nazývaného „Charta špionů“ —, si britská vláda nárokuje právo ukládat povinnosti sledování přímo v jádru soukromé komunikace. Zlomovým bodem je pravomoc udělená regulátorovi OFCOM požadovat, aby platformy nasadily „akreditovanou technologii“ k detekci materiálů pohlavního zneužívání dětí (CSEA) nebo terorismu, a to i v rámci end-to-end šifrované komunikaci.

Pro velké digitální platformy je poselství Westminsteru jednoznačné: buď usnadní státní přístup ke své infrastruktuře, nebo jim hrozí pokuty až do výše 10 % jejich celosvětových příjmů. Reakce byla okamžitá: služby jako Signal a WhatsApp veřejně pohrozily stažením z britského trhu a odmítly ohrozit bezpečnost svých uživatelů, aby uspokojily jedinou jurisdikci. Technický argument je těžko zpochybnitelný: neexistuje žádný hlavní klíč (master key) vyhrazený pouze pro legitimní aktéry. Otevřené dveře pro orgány činné v trestním řízení jsou z podstaty věci otevřenými dveřmi pro kyberzločince a zahraniční zpravodajské služby.

Obchodní model velkých platforem: strukturální překážka pro Zero-Knowledge

Odpor velkých platforem vůči přijetí šifrování Zero-Knowledge není vysvětlen technickou neschopností, ale základní ekonomickou neslučitelností. Společnosti jako Alphabet a Meta spoléhají na modely zpeněžení založené na systematickém shromažďování údajů o chování. Tento model mimochodem implicitně uznává zákon Evropské unie o digitálních trzích (DMA), který tyto „strážce“ (gatekeepers) klasifikuje jako subjekty, jejichž dominantní postavení je přesně živeno akumulací dat v bezkonkurenčním měřítku. Pro tyto aktéry by přijetí architektury Zero-Knowledge znamenalo připravit jejich reklamní systémy o nepřetržitou identifikaci uživatelů, která je jejich palivem. Nejde tedy o technickou volbu, ale o kompromis mezi soukromím uživatelů a životaschopností jejich obchodního modelu.

Strategické riziko: hrozba „Harvest Now, Decrypt Later“

Kromě debaty o soukromí vyvolává oslabení šifrování otázku národní bezpečnosti zcela jiného rozsahu. Strategie známá jako Harvest Now, Decrypt Later (HNDL) spočívá v tom, že státní protivníci dnes zachycují a ukládají obrovské objemy šifrované komunikace v očekávání budoucích schopností kvantového dešifrování. Oslabováním současných standardů šifrování britský legislativní rámec objektivně usnadňuje tento typ operací proti vládní, diplomatické nebo průmyslové komunikaci.

Právě v tomto kontextu deficitu důvěry získávají ekosystémy, jako je ten od Arpokratu, provozní relevanci. Tím, že Arpokrat funguje v režimu švýcarského federálního zákona o ochraně osobních údajů (FADP), s architekturou, která neshromažďuje žádné občanské identifikátory, nabízí technický rozchod s infrastrukturami podléhajícími britské jurisdikci — což zaručuje, že systém zůstane neslyšící vůči příkazům předpokládaným zákonem OSA.

Střet norem: OSA a IPA proti evropskému právu

Právní analýza nových výsad britského státu odhaluje přímý střet se základy evropského práva týkajícího se ochrany osobních údajů a důvěrnosti komunikace.

OSA proti zákazu plošného sledování

Článek 121 OSA zavádí možnost pro OFCOM vydávat příkazy nutící platformy zavést skenování na straně klienta (client-side scanning). Toto opatření je v přímém rozporu s principem, odvozeným z evropského práva a zahrnutým v judikatuře SDEU (Soudní dvůr EU), který zakazuje plošné povinnosti sledování. Vynucením „zranitelnosti od návrhu“ (vulnerability by design) také staví společnosti do situace dvojí vazby: oslabením své bezpečnosti v zájmu splnění státního mandátu nedodržují svou povinnost zaručit úroveň bezpečnosti odpovídající zpracování, jak je zakotveno v článku 32 GDPR.

Směrnice ePrivacy a důvěrnost komunikace

Skenování soukromých zpráv je v přímém rozporu s čl. 5 odst. 1 směrnice 2002/58/ES (ePrivacy), který zavazuje členské státy zaručit důvěrnost elektronických komunikací a zakazuje jakoukoli formu odposlechu nebo sledování bez výslovného souhlasu dotčených uživatelů.

Technical Capability Notices a blokování bezpečnostních aktualizací

V rámci režimu IPA 2016 má britská vláda nyní v úmyslu používat Technical Capability Notices (TCN) k zablokování bezpečnostních aktualizací před jejich nasazením. Tento mechanismus vytváří neřešitelný konflikt s povinností, stanovenou článkem 32 GDPR, zajistit nepřetržitou bezpečnost systémů zpracování — povinností, která přesně vyžaduje schopnost aplikovat záplaty bez zpoždění nebo vnějších zásahů.

Rizika shody pro společnosti působící v Evropě

Cílem revizí IPA je přinutit společnosti, aby informovaly britskou vládu o jakékoli technické úpravě ovlivňující bezpečnost před její implementací, čímž jí udělují právo veta nad vývojem produktů. Toto vměšování vytváří značnou právní nejistotu pro dodavatele působící na evropském trhu: britská přiměřenost k evropskému právu — již tak křehká — by mohla být zpochybněna, pokud Spojené království již nebude zaručovat ochranu podstatně rovnocennou s ochranou GDPR. Předávání údajů do Spojeného království v tomto novém rámci by tak pravděpodobně vystavilo společnosti sankcím podle GDPR.

Obrana technickou nemožností: princip Zero-Knowledge jako právní štít

Mezinárodní judikatura, upevněná rozsudky Schrems I a Schrems II SDEU, stanovila určující princip: jedinou robustní pojistkou proti nepřiměřenému sledování je technická nemožnost přístupu k nim. Architektury Zero-Knowledge aplikují tento princip ve třech vrstvách ochrany:

Absence úschovy: platforma nedrží dešifrovací klíče, jakýkoli příkaz ke skenování zpráv je technicky neproveditelný;
Suverenita operačního systému: kontrola nad ArpokratOS eliminuje telemetrii, která živí shromažďování zpravodajských informací na úrovni zařízení;
Švýcarské jurisdikční ukotvení: tím, že Arpokrat hostí svou infrastrukturu ve Švýcarsku, funguje v právním režimu vyžadujícím individualizované a odůvodněné žádosti o vzájemnou právní pomoc, čímž neutralizuje automatizované provádění hromadného skenování předpokládaného zákonem OSA.

Závěr

Ustanovení zákona OSA a revize zákona IPA nejsou jen hrozbou pro soukromí jednotlivců: představují narušení právní jistoty pro všechna evropská data procházející infrastrukturami podléhajícími britské jurisdikci. Tím, že Londýn legitimizuje oslabování šifrování ve jménu veřejné bezpečnosti, paradoxně vystavuje své spojence a obchodní partnery rizikům průmyslové a státní špionáže, kterým mají architektury Zero-Knowledge přesně zabránit.

Integrita profesionální a institucionální komunikace nyní vyžaduje strukturální reakci: migraci směrem k decentralizovaným ekosystémům zaručujícím digitální suverenitu, od úrovně kódu až po jurisdikční ukotvení.

Časovaná bomba: Shromáždit nyní, dešifrovat později a imperativ Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

Závislost evropských vlád na americké cloudové infrastruktuře představuje víc než jen problém okamžitého zachycení. Nejničivější hrozbou pro nadcházející desetiletí je strategie, kterou zpravodajští specialisté nazývají HNDL: „Harvest Now, Decrypt Later“ (Shromáždit nyní, dešifrovat později).

Nejde o frontální průnik, ale o tichou krádež. Zpravodajské služby dnes zachycují a ukládají obrovské množství šifrovaných dat, jednoduše proto, že náklady na úložiště jsou zanedbatelné.

Trpělivě čekají na okamžik, kdy technologické skoky učiní současné kryptografické klíče zastaralými. To, co je v roce 2026 státním tajemstvím, může být za dvacet let otevřenou knihou.

Zpětná odpovědnost a časové riziko

Model HNDL zavádí nový koncept: odloženou právní újmu. S masivním sběrem dat pro budoucí dešifrování se důvěrnost stává proměnnou závislou na čase.

Vědecký model HNDL definuje, že důvěrnost nevyhnutelně selže, když požadovaná životnost tajemství překročí horizont dešifrování protivníka.

Pokud stát nezaručuje absolutní suverenitu své hardwarové infrastruktury, v praxi podepisuje zřeknutí se dlouhodobé důvěrnosti pro své občany.

Dnešní zachycení je zítřejší kompromitace. Přeměna závislosti na cloudu v dluh národní bezpečnosti je hazard, který nelze splatit.

Antiteze Arpokrat: Právní nemožnost prostřednictvím kódu

V reakci na to průmysl vytváří ekosystémy radikální digitální suverenity. Model Arpokrat je dokonalou antitezí: funguje na decentralizované síti, chráněné přísným švýcarským federálním zákonem o ochraně dat (FADP).

Hlavní logikou je absolutní Privacy by Design. Odstraněním nutnosti zadávat telefonní číslo se uživatel stává pouhým kryptografickým klíčem.

Právně to mění pravidla hry. Pokud je architektura fundamentálně Zero-Knowledge, čelí společnost technické nemožnosti vyhovět cizím soudním příkazům.

Nejde o občanskou neposlušnost, ale o matematickou záruku: to, co nemáte, nemůžete vydat.

Za hranice šifrování: Znehodnocení cílových dat

Skutečnou odpovědí v aplikaci Arpokrat není sázet na věčnou matematiku, ale znehodnotit samotná data.

Bez centrálních metadat pro spojení zprávy s fyzickou osobou ztrácí šifrovaný obsah svou strategickou hodnotu.

Samotný software však nezmůže nic, pokud jej zradí hardware.

Bezpečnost ve 21. století vyžaduje nezávislost samotného stroje. Nasazení suverénního OS bez Googlu se stalo absolutní podmínkou přežití pro každého, kdo manipuluje se státním tajemstvím.