Data retention

Ukládání provozních dat je spojeno s digitálními systémy a ústřednami.

V roce 2002 došlo k dokončení digitalizace pevné sítě Českého telekomu[1]. Díky tomu už se telefonní hovory neúčtovaly pomocí impulzů, ale podle záznamů o podrobnostech hovoru (anglicky Call Detail Record), které uvádějí dobu spojení a odkud-kam hovor probíhal. V devadesátých letech také došlo v ČR ke vzniku prvních mobilních GSM sítí, které, už z principu svého fungovaní, musí mít trvalý přehled o poloze zapnutých telefonů (k jaké základnové stanici je telefon přihlášený).

Připojení k internetu také přešlo z vytáčeného připojení k trvalému připojení (pomocí technologií jako ADSL, CATV) a stále běžnější je připojení přes mobilní síť.

Spolu s těmito změnami začalo vznikat velké množství informací – o tom, jak se uživatel telefonu pohybuje, komu volá, jaké servery na internetu navštívil. Množství těchto informací by poskytovatelé ukládali i bez zákonné povinnosti – např. podrobný výpis hovorů pro účely účtování služeb.

Zákonem, který stanovuje povinnost ukládání dat, je zákon č. 127/2005 Sb., o elektronických komunikacích v § 97, odst. 3.[2] Samotný rozsah dat upravuje vyhláška 357/2012 Sb., o uchovávání, předávání a likvidaci provozních a lokalizačních údajů[3].

Vojenské zpravodajství může podle zákona 289/2005 Sb. a § 98a zákona o elektronických komunikacích od roku 2021 k prevenci a detekci kybernetických útoků a hrozeb provozovat u poskytovatelů telekomunikačních služeb vlastní zařízení. Tyto černé skřínky se v zákoně nazývají „nástroje detekce“ a mají zaznamenávat pouze metadata, provozní a konfigurační údaje v určeném bodě sítě. Podmínky provozu určuje Inspektor pro kybernetickou obranu jmenovaný Vládou ČR vždy na pět let.[4][5] Kritici zde poukazují na nedostatečnou kontrolu (vojáci kontrolují sami sebe), riziko nekalých praktik podobných projektu Boundless Informant, XKEYSCORE, barterů mezi NSA a britskou tajnou službou GCHQ apod.[6]

Povinnost poskytování informací orgánům činným v trestním řízení je upravena v § 88a Trestního řádu (zákon č. 141/1961 Sb.)[7].

Povinnost data retention byla v EU zavedena směrnicí 2006/24/ES[12] – jedním z hlavních důvodů byla reakce na teroristické útoky v Londýně v roce 2005. Tato směrnice však byla rozhodnutím Soudního dvora EU zrušena 8. dubna 2014[13][14].

Evropský soudní dvůr v roce 2020 potvrdil, že právo EU brání vnitrostátním právním předpisům, které vyžadují, aby poskytovatel služeb elektronických komunikací prováděl obecný a nerozlišující přenos nebo uchovávání provozních údajů a lokalizačních údajů za účelem boje proti trestné činnosti obecně nebo ochrany národní bezpečnosti.[15]

Podle některých právních názorů[16] také plošný sběr osobních dat porušuje e-privacy směrnici[17]. Ústavní soud ČR v roce 2019 konstatoval, že "na evropské úrovni nepanuje politická shoda na podobě unifikované úpravy problematiky data retention. Změnu trendu směrem k posílení ochrany osobních údajů, práva na soukromí atd. demonstruje mimo jiné přijetí GDPR či příprava přijetí tzv. e-privacy nařízení".[18]

Operátoři na základě zákonné povinnosti (§ 97 odst. 10 Zákona o elektronických komunikacích) a vyhlášky č. 318/2010 Sb. hlásí počty předání provozních a lokalizačních dat – tato statistika se předává ČTÚ[19].