V Česku vzniká Velký bratr. Stát vás chce šmírovat až půl roku zpátky, varují experti

Návrh vyhlášky ministerstva vnitra a ministerstva průmyslu a obchodu, podle kterého by měli poskytovatelé internetu zaznamenávat navštívené stránky všech uživatelů, zvedl ze židle bezpečnostní experty, právníky i samotné operátory. Snahy o prosazení takové legislativy přirovnávají k Velkému bratrovi, zásah do soukromí uživatelů bude totiž obrovský. Vyplývá to z prohlášení expertů, které Novinky.cz oslovily.

O tom, že chce stát sbírat data o navštívených webech, informovaly Novinky.cz již dříve. Ministerstva si od toho slibují usnadnění práce pro policii a zpravodajské služby. Experti jsou ale zásadně proti, protože by šlo v podstatě o plošné šmírování uživatelů, ke kterému by byli poskytovatelé mobilního i pevného internetu donuceni.

„Vzniká to celkem nevinně. Ministerstva připraví novelu vyhlášky, kam přidají jednu větu. Požaduje, aby operátoři uchovávali i ‚IP adresu a číslo portu, ke kterým bylo připojení uskutečněno‘. Pro laiky technický detail. Ve skutečnosti se však jedná o kompletní seznam vaší internetové historie za posledního půl roku,“ varoval Jiří Grund, prezident Asociace provozovatelů mobilních sítí (APMS).

Právě on přirovnává současný návrh k Velkému bratrovi, tedy k diktátorovi v totalitním státě z románu George Orwella. Nejde přitom vlastně vůbec o žádnou velkou nadsázku. „Prostě všechny stránky a weby, které každý občan ČR na svém mobilu anebo pevném internetovém připojení doma v posledním půl roce navštívil,“ nevěřícně kroutí hlavou Grund.

Bezpečnostní rizika
Už v současnosti musí poskytovatelé internetu evidovat například IP adresu a číslo portu zařízení nebo místo a čas připojení k internetu. Podle návrhu by ale měli šmírovat doslova každý klik uživatele.

„Teď tedy je možné zjistit jen to, odkud se uživatel na internet připojuje. Nově by poskytovatelé internetu museli evidovat i na jaké stránky se uživatelé dívají ve formě tzv. cílové IP adresy a čísla cílového portu,“ vysvětlil pro Novinky.cz advokát Ondřej Hanák z kanceláře eLegal.

K takto sbíraným datům by pak mělo mít přístup hned několik subjektů. „Dostane se k nim poskytovatel internetového připojení, který údaje sbírá. A žádat o ně může policie, soud a zpravodajské služby – tedy zejména BIS a NBÚ,“ konstatoval Hanák s tím, že ochránci zákona mohou žádat data při vyšetřování prakticky všech trestných činů.

Před chystanou povinností uchovávat internetovou historii uživatele varují také bezpečnostní experti. „Dojde k navýšení objemu povinně uchovávaných dat, což může především menší poskytovatele donutit data ukládat v cloudových úložištích. Tato data jsou zlatým dolem pro útočníky,“ podotkl pro Novinky.cz Michal Salát, ředitel výzkumu kybernetických hrozeb ve společnosti Gen, která je poskytovatelem bezpečnostních produktů Avast.

„Minulý rok jsme byli svědky úniku dat od cloudového poskytovatele Snowflake, u kterého měl mj. data uložena jeden z největších amerických poskytovatelů komunikačních služeb AT&T. Útočníci získali detailní informace o uskutečněných telefonních hovorech a v některých případech i lokaci uživatelů podle dat ze základnových stanic. Ukradená data pak mohou vést k různým podvodům a vydírání,“ uvedl příklad možného zneužití Salát.

V rozporu s judikaturou Soudního dvora EU
Proti šmírování uživatelů se postavil také Úřad pro ochranu osobních údajů (ÚOOÚ), podle kterého je současný návrh v přímém rozporu s ustálenou judikaturou Soudního dvora EU. „Na to ÚOOÚ upozorňoval obě ministerstva. Nejzásadnější je, že už v roce 2014 evropský soudní dvůr prohlásil za nepřípustné uchovávání údajů o všech občanech plošným a nerozlišujícím způsobem – taková úprava je ovšem dosud v českém právním řádu zakotvena,“ prohlásil pro Novinky Milan Řepka, mluvčí ÚOOÚ.

Ve světě je přitom patrný opačný trend, kdy se zákonodárci snaží soukromí uživatelů na internetu co nejvíce chránit. Pod tlakem regulátorů tak provozovatelé webů musí žádat o souhlas, zda smí dané internetové stránky ukládat cookies – tedy malé datové soubory, které se ukládají přímo ve vašem prohlížeči.

Tvůrci operačních systémů zase nabízí funkci nesledovat, aby se jednotlivé aplikace nemohly dozvědět o vás a vašem zařízení více, než si budete skutečně přát.

Policie je přesto pro
Přestože experti otevřeně mluví o šmírování uživatelů, ministerstvo průmyslu a obchodu to vidí jinak. „V první řadě nejde o sledování webových stránek uživatelů. Operátoři by neuchovávali historii prohlížení, konkrétní navštívené stránky nebo obsah komunikace. Uchovávaly by se pouze technické údaje o připojení, tedy zdrojové a cílové IP adresy a porty, nikoli obsah komunikace nebo konkrétní URL adresy,“ uvedl pro Novinky.cz Marek Vošahlík, mluvčí ministerstva.

Zdůraznil, že návrh je předmětem odborné diskuze v rámci meziresortního připomínkového řízení. „Následně se obdržené připomínky vyhodnotí a zváží se všechny relevantní argumenty,“ uzavřel Vošahlík.

Návrh obhajuje také policie. „Za nás můžeme říci, že navrhovaná změna výrazně snižuje zásah do soukromí uživatelů. Nová úprava zajistí, že operátoři budou předvídatelně uchovávat kromě zdrojových IP adres a portů i ty cílové, což umožní technické určení, kterého přípojného místa se konkrétní komunikace týkala. Díky tomu dojde k lepší ochraně soukromí vůči ostatní proběhlé komunikaci, protože operátoři nebudou muset poskytovat údaje o dalších přípojných místech, která nejsou relevantní pro konkrétní vyšetřování,“ řekl Novinkám Ondřej Moravčík, vedoucí oddělení tisku na Policejním prezidiu ČR.

Oddělit data pouze o osobách, o které se policie zajímá, je ale podle expertů technicky nemožné. „Pokud tu IP adresu používá více lidí, což je naprosto běžné, operátor neví a nemá žádnou možnost zjistit, který uživatel je ten, o něhož se policie zajímá. Žádné takové filtrování tedy popsaným způsobem nemůže fungovat,“ podotkl Michal Altair Valášek, softwarový architekt a bezpečnostní konzultant.

Snaží se Rakušan zařadit zpátečku?
Ministr vnitra Vít Rakušan (STAN) se nicméně po výtkách novinářů i odborné veřejnosti nechal slyšet, že žádný Velký bratr nebude. „Osobně žádné šmírování rozhodně nepodporuju. Pokud vyhláška, o které teď běží odborná diskuse, takové riziko obsahuje, přese mě určitě neprojde,“ prohlásil Rakušan na síti X.

V minulosti přitom proběhly podobné pokusy v Česku opakovaně, konkrétně v letech 2015 a 2022. „Vyvolalo to tehdy ale velkou nevoli ČTÚ i ÚOOÚ. Pokud se nepletu, návrh z roku 2015 usiloval o totéž – povinnost sbírat cílovou IP adresu a cílový port. Je zajímavé, že i u nás Ústavní soud posuzoval zákonnost té stávající vyhlášky, která do práv tolik nezasahuje. Tehdy ji posvětil, ale například soudkyně Kateřina Šimáčková byla již tehdy proti,“ připomněl advokát Hanák.

Miloslav Fišer, Anna Hošková Novinky.cz