Politiky logování VPN a jurisdikce soukromí: referenční tabulka 2026

Téměř každá stránka VPN o ochraně soukromí říká tři stejné věci: firma nic neuchovává, sídlí někde s přívětivými zákony a auditor s tím kdysi souhlasil. Taková tvrzení jsou levná a dokud nedorazí soudní příkaz nebo policejní prohlídka, nelze je ověřit. Tato stránka je referenční přehled, který jsem chtěl a nemohl najít: co zákon v jednotlivých jurisdikcích k září 2026 skutečně říká, s odkazem na předpis nebo rozsudek, a deset nejlépe doložených případů, kdy policie prověřila tvrzení VPN o logování, včetně toho, s čím odešla.

Krátká verze je nepříjemná pro celé odvětví, nás nevyjímaje. Země uvedená na stránce "o nás" se ukazuje jako slabý prediktor toho, co se stane, když příkaz dorazí. Rozhoduje přítomnost nebo nepřítomnost identifikačních údajů v daný den.

Co vlastně pokrývá politika logování VPN?

Slovem "logy" se označují dvě různé věci a stránky o ochraně soukromí je záměrně směšují. Údaje o aktivitě jsou to, co jste tunelem dělali: weby, dotazy DNS, provoz. Údaje o připojení jsou účetnictví kolem tunelu: kdy se účet připojil, k jakému serveru a kolik dat proteklo. Poskytovatel může uchovávat druhé a nikoli první a většina komerčních služeb to tak dělá, protože zneužívání šířky pásma a limity souběžných připojení se jinak vymáhají těžko.

Otázka, kterou klade soud, je užší než obě: dokáže tato firma dnes spojit IP adresu viděnou v daný čas s platícím zákazníkem? Takové spojení může existovat v záznamu o připojení, v účetním systému, v evidenci platebního zpracovatele nebo v nástroji proti podvodům. Zřídka sídlí tam, o čem mluví stránka o ochraně soukromí.

Vlastní postoj Le VPN má jednu větu: uchováváme logy připojení, nikoli logy aktivity. Smyslem tohoto článku je dát vám nástroje, jak takovou větu prověřit, tu naši nevyjímaje.

Které země nutí poskytovatele VPN uchovávat data?

Tabulka shrnuje stav uchovávání dat v jurisdikcích, kde je zapsána většina komerčních VPN, plus ve čtyřech, které trh změnily legislativou proti nim. "Dopadá na VPN" znamená, že se povinnost uchovávání vztahuje na službu VPN provozovanou z dané země, nejen na licencované telekomunikační operátory. Zdrojem je zákon, rozsudek nebo vlastní prohlášení vlády, kdekoli existuje.

Přečtěte třetí sloupec shora dolů a vzorec je zřejmý. Z 16 jurisdikcí má pět platnou povinnost uchovávání dat, pod kterou by mohla spadat VPN, jež tam působí. Indie své pravidlo napsala výslovně pro služby VPN. Rusko, Francie, Spojené království a Austrálie napsaly svá pravidla pro operátory, poskytovatele hostingu nebo "telekomunikační operátory", tedy definice dost široké na to, aby na VPN dopadly, a zatím proti žádné VPN téměř netestované. Všude jinde žádná povinnost neexistuje. Oblíbené země "útočiště soukromí" a údajně nepřátelské Nizozemsko nebo Rumunsko sedí ve stejné řádce: žádný zákon o uchovávání dat.

Záleží ještě na seznamu Five Eyes?

Méně, než marketing naznačuje. Five Eyes (Spojené státy, Spojené království, Kanada, Austrálie, Nový Zéland) je ujednání o sdílení signálového zpravodajství, které sahá k dohodě UKUSA z roku 1946. Rozšíření Nine a Fourteen Eyes pocházejí z dokumentů Snowdenovy éry popisujících skupinu "SIGINT Seniors Europe", která přidává Dánsko, Francii, Nizozemsko a Norsko, a poté Belgii, Německo, Itálii, Španělsko a Švédsko. Heslo Five Eyes na Wikipedii sleduje primární dokumenty.

Tyto dohody upravují, jak si zpravodajské agentury sdílejí to, co už zachytily. Neupravují, zda soudce v Panama City nebo Road Townu může firmě nařídit vydání záznamů, což je věc domácího trestního řádu a smluv o vzájemné právní pomoci. Panama má smlouvu MLAT se Spojenými státy od roku 1995; Britské Panenské ostrovy vyřizují žádosti přes Spojené království. Druhá tabulka níže ukazuje praktický výsledek: oba čisté americké případy pocházejí ze země Five Eyes a dva poskytovatelé, kteří v letech 2017 a 2021 identifikační údaje vydali, sídlili v Hongkongu a ve Švýcarsku.

Definice, kterou stojí za to si zapamatovat: jurisdikce VPN je země, jejíž soudy mohou donutit firmu provozující službu, což není vždy země, kde stojí servery, a zřídka země, jejíž vlajka se objevuje na ceníku.

Které zákony o uchovávání dat se v roce 2026 mění?

Otevřené jsou tři spisy najednou a všechny tři by poskytovatele VPN přesunuly ze sloupce "žádná povinnost" do sloupce "povinnost", pokud projdou v navrženém znění.

Evropská unie je na pátém pokusu. Směrnice o uchovávání údajů z roku 2006 byla zrušena ve věci Digital Rights Ireland (8. dubna 2014); národní kopie padly ve věcech Tele2 a Watson (21. prosince 2016), La Quadrature du Net (6. října 2020) a SpaceNet (20. září 2022). Soud změkl ve věci La Quadrature du Net II (30. dubna 2024), když připustil plošné uchovávání IP adres vázaných na občanskou identitu pro běžnou kriminalitu. Strategie Komise ProtectEU z dubna 2025 slíbila novou iniciativu, v květnu 2025 bylo zahájeno posouzení dopadů, dokument předsednictví Rady z 27. listopadu 2025 zaznamenal, že většina členských států chce minimálně roční lhůtu uchovávání, kterou by národní právo mohlo překročit, a na neformálním jednání v Dublinu 17. července 2026 ministři spravedlnosti princip podpořili. Legislativní text byl v době zveřejnění tohoto článku stále nezveřejněný. Stránka Komise o uchovávání údajů je místo, kde se objeví jako první.

Německo se snaží Brusel předběhnout. Ministerstvo spravedlnosti zveřejnilo návrh 22. prosince 2025, vláda ho přijala 22. dubna 2026, Spolková rada přijala své pozměňovací návrhy 12. června a Bundestag konal první čtení 24. června 2026, než ho postoupil do výborů. Povinnost je na papíře úzká (IP adresa plus číslo portu, 3 měsíce, poskytovatelé přístupu k internetu) a oborový svaz eco už řekl, že očekává stejný osud jako u dvou předchozích pokusů. Německá VPN je poskytovatelem přístupu v běžném smyslu slova, takže na definicích v návrhu bude záležet.

Švýcarsko je to, které by firmy VPN zasáhlo přímo. Návrh revize nařízení o sledování (VÜPF) z ledna 2025 navrhoval zacházet s "odvozenými komunikačními službami" s více než 5 000 uživateli jako s telekomunikačními operátory: ověřovat identitu, uchovávat metadata 6 měsíců, na žádost dešifrovat tam, kde poskytovatel drží klíče. Proton a NymVPN veřejně oznámily, že by odešly, Threema uvedla, že bude nařízení napadat, a Proton začal přesouvat infrastrukturu ven. Dva parlamentní návrhy v září 2025 požadovaly přepracování; 11. února 2026 Spolková rada zveřejnila výsledky připomínkového řízení a zadala externí studii regulačních dopadů před druhým připomínkovým řízením, a to s žádným závazným harmonogramem. Věta o přívětivém Švýcarsku na domovské stránce VPN zatím stále platí a poprvé je podmíněná.

Která tvrzení VPN o logování prověřila policie nebo soudy?

Tohle je část, kterou žádná tabulka jurisdikcí nenahradí. Deset případů mezi lety 2011 a 2023 je doloženo dost dobře na to, aby se dala citovat: soudní podání, vlastní prohlášení poskytovatele nebo obojí. Poskytovatelé jsou jmenováni, protože případy jsou veřejně známé; jde o vzorec, ne o značku.

Počítejte to, jak chcete, a jurisdikce prohrává. Čtyři z deseti vydali identifikační údaje: jeden ve Spojeném království, jeden ve Spojených státech, jeden v Hongkongu, jeden ve Švýcarsku. Šest nevydalo nic: dva ve Spojených státech, po jednom ve Švédsku, Švýcarsku, na Britských Panenských ostrovech a v Kanadě. Švýcarsko se objevuje na obou stranách účtu. Obě skupiny od sebe odděluje inženýrství a návrh účtů: zda se IP adresa vůbec někdy zapíše vedle identifikátoru účtu a na jak dlouho.

Případ Proton si zaslouží druhý pohled, protože má tvar budoucnosti. Proton neměl nic uloženo a na tom nezáleželo. Švýcarské úřady firmě nařídily začít do budoucna sbírat IP adresu jednoho uživatele a švýcarské právo ji zavázalo vyhovět. Zákony o uchovávání dat se týkají minulosti; cílené příkazy k logování se týkají budoucnosti a žádná jurisdikce v první tabulce je nezakazuje.

Co dokazují audity a servery pouze v RAM a co ne?

Od roku 2018 platí větší poskytovatelé Deloitte, PwC, KPMG nebo Cure53 za pravidelné ověřovací zprávy a zhruba od roku 2019 mnozí přešli na bezdiskové servery, které se spouštějí z podepsaného obrazu a stav drží jen v paměti. Obojí jsou skutečná zlepšení. Obojí je také užší než tiskové zprávy.

Audit je názor na konfiguraci ve dnech, kdy se auditor díval, s rozsahem vymezeným poskytovatelem, který ho zaplatil. Přečtěte si oddíl o rozsahu: většina pokrývá servery VPN a vylučuje účetní, fakturační a protipodvodné systémy, kde má spojení IP adresy se zákazníkem tendenci žít. Servery pouze v RAM odpovídají na konkrétní hrozbu, zabavený stroj, a odpovídají dobře: čisté výsledky Mullvadu a ExpressVPN vděčí víc tomuto návrhu než švédskému nebo karibskému právu. Neříkají nic o cíleném příkazu logovat jeden účet od zítřka.

Tři otázky, které to všechno přežijí, jsou jednoduché. Sedí IP adresa někdy vedle identifikátoru účtu kdekoli v systémech firmy? Pokud ano, na jak dlouho? A může být firmě nařízeno takové spojení pro jednoho uživatele na žádost vytvořit? Poskytovatel, jehož stránka o ochraně soukromí na tyto tři otázky odpovídá jasně, vám řekl víc než jakýkoli odznak jurisdikce.

Jak přečíst zásady ochrany soukromí VPN za deset minut

Najděte právnickou osobu. Zásady ochrany soukromí nebo podmínky uvedou firmu a rozhodné právo; pokud se obojí liší od vlajky na domovské stránce, vítězí ustanovení o rozhodném právu. Vyhledejte tu zemi v první tabulce.

Vyhledejte v zásadách "IP". Každé zásady, které IP adresy vůbec zmiňují, říkají buď, že se ukládají (na jak dlouho?), zkracují, nebo nikdy nezapisují. Mlčení k tomuto bodu je také odpověď.

Zkontrolujte platební stopu. Platby kartou a přes PayPal vás identifikují u platebního zpracovatele bez ohledu na vlastní praxi VPN; hotovost a kryptoměny ne. Proto byl příkaz k prohlídce u Mullvadu vždy odsouzen k neúspěchu.

Hledejte zprávu o transparentnosti nebo warrant canary a zkontrolujte data. Zpráva, která se přestala aktualizovat před dvěma lety, je zpráva, která skončila.

Zeptejte se, co se stane s cíleným příkazem. Upřímná odpověď v každé jurisdikci z první tabulky zní: "museli bychom vyhovět platnému příkazu začít logovat jeden účet". Zásady, které tvrdí něco jiného, popisují zemi, která neexistuje.

Pak stejných pět kontrol uplatněte na stránky tohoto webu. Le VPN byla založena v Paříži ve Francii v listopadu 2010 a uchovává logy připojení, nikoli logy aktivity. Stránky o online soukromí a šifrování jsou místo, kde začít číst. Technickou stránku toho, jak zůstat skrytý, když spojení vypadne, popisuje vysvětlení kill switche; vrstvu identity za tunelem průvodce anonymní identitou.

Jak bude tato tabulka vypadat příští rok

Tři z řádků výše nesou datum z roku 2026 a do roku 2027 bude třeba je přepsat. Pokud Bundestag schválí zákon o uchovávání IP adres, Německo se přesune na "ano" a každý tamní poskytovatel přístupu, VPN nevyjímaje, začne uchovávat 3 měsíce přidělených adres. Pokud Komise zveřejní svůj návrh s minimálně roční lhůtou, řádky Nizozemska a Rumunska, čisté od let 2015 a 2014, se vrátí do hry napříč celou EU, Francii nevyjímaje. A pokud druhé švýcarské připomínkové řízení zachová hranici 5 000 uživatelů, země, která hostí nejcitovanější firmy v oblasti soukromí v Evropě, se stane první, jež napíše povinnost uchovávání speciálně pro ně.

Nic z toho nemění poučení z druhé tabulky. Zákony rozhodují o tom, co firma musí uchovávat. Inženýrství rozhoduje o tom, co má, když příkaz dorazí. Posuzujte to druhé, než uvěříte tomu prvnímu.