Kalifornský zákon o sociálních sítích pro mladší 16 let kontroluje váš telefon, ne vaši polohu: co AB 1709 a AB 1856 znamenají pro uživatele VPN

Guvernér Gavin Newsom podepsal 10. září na jedno posezení třináct zákonů o bezpečnosti dětí. Ten, který je ve všech titulcích, je AB 1709, jenž sociálním sítím zakazuje nabízet „návykové funkce“ komukoli mladšímu 16 let v Kalifornii. Ten, o kterém skoro nikdo nenapsal, je AB 1856, a právě on rozhoduje o tom, jak se platforma věk uživatele vůbec dozví.

Právě tato druhá otázka je místem, kde se příběh dotýká uživatelů VPN. Poslední tři roky naučily internet očekávat sled událostí: zákonodárný sbor přijme zákon o kontrole věku, weby začnou vyžadovat doklad nebo sken obličeje a poptávka po VPN během hodin vyletí. Stalo se to v Utahu v roce 2023, ve Francii v červnu 2025, ve Spojeném království téhož července a v Austrálii v prosinci. Reflex ve čtvrtek večer byl tedy předvídatelný: kalifornský zákaz přichází, je čas pořídit si VPN.

Kalifornský systém takto nefunguje. Jeho kontrola věku nechce žádný doklad a nezajímá se o to, kde jste. Ptá se telefonu. Tady je, co oba zákony skutečně dělají, jak se věkový signál vytváří, proč VPN nemění žádný z jeho vstupů a co zákon znamená a neznamená pro člověka, který VPN už používá.

Co Kalifornie 10. září 2026 podepsala?

Guvernérův úřad uvádí třináct zákonů podepsaných toho dne v okrese Marin, od pravidel pro doprovodné chatboty pro děti (SB 1119, „Adam’s Law“) po zákaz chatbotů v hračkách (SB 867). „Bezpečnost našich dětí si zaslouží být středem každé debaty o technologiích,“ uvedl Newsom v tiskové zprávě.

Dva z těch třinácti jsou tu podstatné.

AB 1709 poslance Joshe Lowenthala z Long Beach nese název „Covered platforms: age restriction: e-Safety Advisory Commission“ (Dotčené platformy: věkové omezení: poradní komise pro e-bezpečnost). Je to pravidlo pro mladší 16 let a oběma komorami prošel 31. srpna.

AB 1856 poslankyně Buffy Wicks z Oaklandu nese název „Age verification signals: software applications“ (Signály ověření věku: softwarové aplikace). Novelizuje zákon Digital Age Assurance Act, tedy zákon, který Wicks napsala loni (AB 1043, podepsaný 13. října 2025) a který z operačního systému telefonu dělá zdroj pravdy o věku uživatele. AB 1709 se o tento zákon výslovně opírá, a proto je třeba oba zákony číst společně.

Co AB 1709 skutečně zakazuje?

Operativní věta v přijatém znění je krátká: „Dotčená platforma nesmí poskytnout návykovou funkci uživateli mladšímu 16 let.“

Návyková funkce je definována jako kterákoli z „psychologicky vykořisťujících funkcí určených k maximalizaci zapojení, které předvídatelně vedou ke kompulzivnímu používání“, a zákon jmenuje dvě: návykový feed a automatické přehrávání. Generální prokurátor může vyhláškou přidat další. Dotčenou platformou je jakýkoli web, služba nebo aplikace, která „nabízí uživatelům nebo poskytuje uživatelům návykovou funkci jako významnou součást služby“, s výjimkou obchodních webů a cloudových úložišť.

Na první pohled to není zákaz účtů. Platforma může nezletilému dál poskytovat verzi bez návykových funkcí. Zuby zákona se ukážou, když to neudělá: platforma, která takovou verzi nemůže nebo nechce nabídnout, musí „smazat účet uživatele mladšího 16 let a veškeré osobní údaje s ním spojené“. Electronic Frontier Foundation, která Newsoma žádala o veto, výsledek označuje za „faktický zákaz používání sociálních sítí pro osoby mladší 16 let“. Newsom to v den podpisu rámoval jinak a listu Los Angeles Times řekl, že „jde o samotné funkce. Jde o to skutečně řešit problém, scrollování, algoritmy.“

Sankce dopadají na platformu. Vědomé porušení stojí až $50,000 za každého dotčeného nezletilého; porušení z nedbalosti až $25,000. Žalobu může podat jen generální prokurátor nebo místní státní zástupce a soud „zváží velikost dotčené platformy, závažnost a trvání porušení“ a její úsilí v dobré víře o dodržení pravidel. Zákon také zřizuje sedmičlennou poradní komisi pro e-bezpečnost (e-Safety Advisory Commission) uvnitř ministerstva spravedlnosti, která každý leden podává zprávu zákonodárnému sboru.

Text nestanoví vlastní datum účinnosti. Podle kalifornského výchozího pravidla pro zákony přijaté v řádném zasedání to znamená 1. ledna 2027, což je shodou okolností den, kdy se zapne věkový signál, na kterém zákon závisí.

Jak platforma pozná, že je uživatel mladší 16 let?

Tady je věta, která Kalifornii odlišuje od každého jiného dnes platného zákona o kontrole věku: „Před poskytnutím návykové funkce uživateli dotčená platforma ověří věk uživatele podle zákona Digital Age Assurance Act.“

Ne skenováním dokladu. Ne odhadem věku ze selfie. Ne čtením IP adresy. Dotazem na operační systém.

Analýza AB 1856 od výboru pro ochranu soukromí kalifornského Shromáždění popisuje mechanismus, který zákon už obsahuje. Poskytovatel operačního systému, v praxi Apple, Google nebo Microsoft, musí při nastavení účtu zobrazit rozhraní, „které vyžaduje, aby držitel účtu uvedl datum narození, věk nebo obojí uživatele daného zařízení“. Z tohoto údaje OS odvodí „data o věkovém pásmu“, definovaná jako „neosobně identifikovatelná data odvozená z data narození nebo věku uživatele“, ve čtyřech pásmech: do 13 let, 13 až 16, 16 až 18 a 18 a více. Když je aplikace stažena a spuštěna, musí si signál vyžádat, a ten dorazí „prostřednictvím přiměřeně konzistentního aplikačního programovacího rozhraní v reálném čase“. Vývojář, který signál obdrží, „se považuje za majícího skutečnou znalost věkového rozmezí uživatele“ a musí jej brát jako primární ukazatel věku, pokud nemá jasné a přesvědčivé informace o opaku.

Výbor otevřeně říká, proč Kalifornie zvolila tento návrh před alternativami. Kontroly dokladů, píše, vyžadují, aby „uživatelé předávali citlivé doklady totožnosti potenciálně desítkám platforem, což vytváří vážná rizika pro soukromí a bezpečnost dat“, zatímco biometrické a behaviorální metody „vyžadují rozsáhlý sběr dat“ a „fungují nespolehlivě přesně na těch věkových hranicích, na kterých záleží nejvíc“. Pásmo deklarované při nastavení je kompromis: jeden údaj, zadaný jednou, dospělým, který telefon nastavil, sdílený jako rozmezí, ne jako datum.

AB 1856 dotahuje technické detaily. Podle digestu legislativní rady ruší definici, která omezovala „uživatele“ na dítě, jež je hlavním uživatelem zařízení; uplatňuje povinnost rozhraní jen „pokud operační systém běží na zařízení a má funkci nastavení účtu“; vyžaduje, aby signál dorazil jak do obchodů s aplikacemi, tak k vývojářům; a přidává zákaz, který dříve neexistoval: „Osoba nesmí od poskytovatele operačního systému nebo dotčeného obchodu s aplikacemi vyžadovat signál týkající se konkrétního uživatele, pokud to nevyžaduje tento zákon nebo jiný použitelný právní předpis.“ Distributoři open-source operačních systémů jsou vyňati poté, co projekty jako GrapheneOS veřejně oznámily, že rozhraní nevytvoří. Harmonogram se nemění: operační systémy musí signály dodávat od 1. ledna 2027, zařízení nastavená před tímto datem dostanou rozhraní do 1. července 2027 a vývojáři musí signály vyžadovat do téže červencové lhůty.

Výrobci jsou před zákonem napřed. Apple Declared Age Range API, které vyšlo s iOS 26 v září 2025, vrací „věkové pásmo nebo věkovou kategorii podle právních požadavků v daném regionu“ spolu s tím, jak byl věk stanoven: deklarován samotným uživatelem, deklarován zákonným zástupcem, ověřen podle úředního dokladu, ověřen podle platební karty. Google Play Age Signals API vrací 0-12, 13-15, 16-17 nebo 18+ s úrovní zdroje od „deklarováno samotným uživatelem“ po „úřední doklad a selfie“ a Google 29. července 2026 oznámil, že jej otevírá všem vývojářům na Play po celém světě.

Pro to, co následuje, je důležitá ještě jedna klauzule. Pokud platforma „není schopna ověřit věk uživatele“ podle tohoto zákona, AB 1709 ji odkazuje na metodu určení věku podle zákona Protecting Our Kids from Social Media Addiction Act z roku 2024 (SB 976), jehož ustanovení o ověřování věku je rovněž účinné od 1. ledna 2027 a jehož metody stanoví vyhláškou generální prokurátor. Zjevným případem je relace v desktopovém prohlížeči bez signálu z OS. Tato záložní cesta je jediné místo, kudy by do hry mohl vstoupit doklad nebo odhad, a co bude vyžadovat, zatím není napsáno.

Utah se ptá, kde jste. Kalifornie se ptá, kolik vám je.

Důvod, proč se VPN vůbec staly součástí debaty o ověřování věku, je jiný typ zákona. Utažský SB 73, kterému jsme se věnovali, když se titulky „nabývá účinnosti 3. září“ ukázaly jako mylné, stojí na poloze. Jeho ustanovení o domnělé poloze říká, že osoba „je považována za přistupující k webu z tohoto státu, pokud se ve státě skutečně nachází, bez ohledu na to, zda používá virtuální privátní síť, proxy server nebo jiný prostředek k zastření či zkreslení své zeměpisné polohy …“. Web pak musí u takového návštěvníka ověřit věk. Celá stavba závisí na tom, vědět, kde jste, což je přesně to, co VPN mění, a proto má navrhovaná utažská vyhláška nyní oddíl o „zastírání geolokace“ a proto Aylo žalovalo.

Oba kalifornské zákony žádnou srovnatelnou klauzuli neobsahují. AB 1709 nezmiňuje polohu, IP adresy ani VPN. AB 1856 také ne. V americkém právu nyní existují tři odlišné modely a s VPN zacházejí velmi různě:

Věta, kterou stojí za to si zapamatovat: věkový signál je výpověď o tom, kdo telefon nastavil. VPN je výpověď o tom, kde se telefon zdánlivě nachází. Ty dvě se nikdy nepotkají.

Obejde VPN kalifornské pravidlo pro mladší 16 let?

Ne, a není k tomu stavěná.

VPN dělá dvě věci. Nahrazuje IP adresu, kterou weby a aplikace vidí, adresou serveru VPN, takže druhá strana vidí Paříž nebo Frankfurt místo vašeho domácího připojení. A šifruje všechno mezi vaším zařízením a tímto serverem, takže router v kavárně i váš poskytovatel internetu vidí šifrovaný tunel místo vašeho provozu. To jsou skutečné a užitečné vlastnosti. Ani jedna z nich nedosáhne na věkové pásmo uložené u účtu Apple nebo Google v zařízení, ani na rozhraní v zařízení, které toto pásmo předává aplikaci. Patnáctiletý, jehož rodič při nastavení zadal datum narození z roku 2011, nese pásmo 13 až 16 stejně na Wi-Fi síti v Los Angeles jako na serveru VPN v Amsterdamu.

Je jedno místo, kde poloha do hry vstupuje, a stojí za to být přesný. AB 1709 chrání uživatele v Kalifornii a jeho text nepředepisuje, jak platforma rozhodne, že uživatel takovým je. V praxi výrobci navázali své chování specifické pro daný stát na účet, ne na síť daného okamžiku: Apple uplatnil texaské požadavky na „nové účty Apple v Texasu“ od 1. ledna 2026 a Google na texaské účty vytvořené po 28. květnu 2026. S účtem nastaveným v Kalifornii s datem narození nezletilého se bude zacházet jako s účtem kalifornského nezletilého, ať se telefon připojuje odkudkoli.

Dvě poctivé výhrady. Záložní cesta existuje, a dokud generální prokurátor nenapíše vyhlášky k SB 976, nikdo nemůže říct, co bude platforma, která žádný signál nedostane, požadovat. A každý model v tabulce výše, včetně kalifornského, závisí na pravdivosti toho, co bylo zadáno při nastavení: zařízení nakonfigurované s datem narození dospělého nese pásmo dospělého a analýza výboru připouští, že pouhé vyžádání data narození sice nikoho nezatěžuje, ale neověří nic, na co nezletilý není ochotný odpovědět pravdivě. Kalifornie sází na to, že osobou zadávající datum při nastavení je rodič, ne dítě.

Co žádný model v tabulce nedělá, je trestat uživatele. Nic v AB 1709 ani AB 1856 nepokutuje osobu za používání VPN, za jakýmkoli účelem. Platilo to i o utažském zákonu, navzdory titulkům, a platí to i tady. Náš průvodce legálností VPN v roce 2026 pokrývá hrstku zemí, kde je odpověď jiná.

Co se stalo ve Spojeném království, Austrálii a Francii, když přišly kontroly věku?

Kalifornie přichází pozdě a tři jurisdikce, které šly první, otestovaly každá jiný návrh.

Spojené království zvolilo model na úrovni webu. Od 25. července 2025 vyžadoval Online Safety Act, aby weby hostující obsah pro dospělé a jiný věkově omezený obsah prováděly „vysoce účinné ověření věku“, tedy porovnání s fotografickým dokladem, odhad věku z obličeje nebo podobnou metodu, přímo na webu. Sledování poptávky Top10VPN zaznamenalo britskou poptávku po VPN 1 327 % nad předchozím 28denním průměrem 25. července, 1 712 % nad ním 26. července a 1 987 % nad ním 27. července. O rok později první zákonná zpráva Ofcomu o ověřování věku, zveřejněná v polovině července 2026, napočítala více než 69 milionů kontrol věku napříč vzorkem 32 služeb ve druhé polovině roku 2025, 23násobný nárůst oproti předchozím šesti měsícům, a uvedla, že podíl dětí, které se setkaly s vysoce účinnou kontrolou, vzrostl mezi červencem 2025 a lednem 2026 z 25 % na 43 %. Kontroly fungují; kontroly také posílají lidi k VPN. Obojí je pravda a britský trh s VPN od té doby vypadá jinak.

Austrálie zvolila povinnost platforem bez předepsané metody. Její minimální věk 16 let nabyl účinnosti 10. prosince 2025 a vyžaduje, aby platformy podnikly „přiměřené kroky“ k tomu, aby osoby mladší 16 let nepustily, s pokutami až 49,5 milionu australských dolarů a bez sankce pro děti nebo rodiče. 16. ledna 2026 eSafety oznámil, že platformy odebraly přístup 4,7 milionu účtů mladších 16 let do poloviny prosince; Meta uvádí, že sama odebrala přístup více než 750 000 účtům na Facebooku a Instagramu do 30. června 2026. Top10VPN zaznamenal 7. prosince nárůst poptávky o 103 %. Newsomův verdikt nad australským přístupem podle Los Angeles Times zněl, že mladí lidé „všichni hledají způsob, jak ten systém obejít“, což je argument pro cílení na funkce místo účtů.

Francie zvolila zákaz pro mladší 15 let a její nejvyšší soud jej zrušil. Dne 14. srpna 2026 Ústavní rada (Conseil constitutionnel) rozhodnutím 2026-911 DC zrušila článek 1 zákona, který by od 1. září zakázal sociální sítě osobám mladším 15 let. Zákaz byl nepřiměřeným omezením svobody projevu, rozhodl soud, a porušoval soukromí, protože zákon „sám o sobě znamená, že každá osoba, i zletilá, musí prokázat svůj věk“, aniž by zákonodárce stanovil podmínky a meze, jak to učinit. Vláda nyní chce text přepsat do jara 2027. Francie už viděla, co kontroly na úrovni webu dělají s poptávkou po VPN: Top10VPN naměřil 5. června 2025 poptávku o 570 % nad normálem, když ověřování věku dorazilo na weby pro dospělé. EFF francouzské rozhodnutí citovala ve svém prohlášení, které zveřejnila v den, kdy Kalifornie zákon podepsala.

Vzorec napříč všemi třemi je konzistentní. Nárůst poptávky po VPN následuje po zákonech, které nutí web kontrolovat doklad. Kalifornský návrh se dokladu vyhýbá, což je tatáž námitka, kterou vznesl francouzský soud, a vyhýbá se poloze, což je to, co dělá VPN relevantní v Utahu. Zda se tím vyhne i nárůstu, je otázka pro leden 2027, ne pro září 2026.

Kdy to všechno začíná?

• 10. září 2026: AB 1709 a AB 1856 podepsány.
• 22. října 2026: končí utažské období nevymáhání proti Aylo, pokud soudce nerozhodne o předběžném opatření dříve.
• 1. ledna 2027: AB 1709 nabývá účinnosti. Poskytovatelé operačních systémů musí začít dodávat věkové signály podle zákona Digital Age Assurance Act. Ustanovení SB 976 o ověřování věku se stává účinným.
• 1. července 2027: lhůta pro věkové rozhraní na zařízeních nastavených před rokem 2027 a pro vývojáře aplikací aktualizovaných od ledna 2026, aby signály vyžadovali.
• Jaro 2027: cíl francouzské vlády pro přepsaný zákon pro mladší 15 let.
• Soudní termíny: zatím žádné. Reakce NetChoice na podpis, „stát nemůže jednoduše označit projev za návykový a pak si nárokovat právo regulovat přístup k němu“, se čte jako návrh žaloby. Devátý obvodní soud nechal v září 2025 většinu SB 976 v platnosti; texaský zákon o obchodech s aplikacemi přežil až po odmítnutí Nejvyššího soudu zasáhnout. Čekejte soudní spory a čekejte, že výše uvedená data účinnosti budou první, na co zamíří.

Co to znamená, pokud v Kalifornii používáte VPN

Prakticky se nic nemění. Váš účet nese pásmo dospělého; aplikace je od ledna přečtou a budou s vámi zacházet jako dnes. Vaše VPN dál dělá to, kvůli čemu jste si ji pořídili: drží vaši IP adresu mimo záznamy každého webu, šifruje váš provoz v hotelových a letištních sítích a umožňuje vám na cestách dosáhnout na domácí služby. Pokud je pro vás něco z toho nové, náš průvodce používáním VPN ve Spojených státech je místo, kde začít; tarify Le VPN pokrývají 10 zařízení najednou a mají 30denní záruku vrácení peněz.

Pokud jste rodič, ochrana vašeho dítěte podle zákona teď spočívá na jediném údaji: datu narození, které napíšete, když nastavujete jeho telefon. Zadejte své vlastní a zařízení řekne každé aplikaci, že patří dospělému. Zadejte jeho a pásmo půjde s telefonem. Toto jediné pole, ne stránka nastavení kterékoli aplikace, je místo, kde kalifornské nové pravidlo začíná, a stojí za to podívat se šířeji na to, jak jsou dětská zařízení nastavena, ještě před lednem.