Utažská klauzule o VPN je prozatím zablokována: co mění předběžné opatření ve věci Aylo a co ne

Aktualizace, 6. října 2026: rozhodnutí, na které tento článek čekal, dorazilo, a to o měsíc dřív. Soudce David Barlow z okresního soudu USA pro okres Utah 24. září vyhověl návrhu Aylo na předběžné opatření proti klauzuli o domnělé poloze, té části SB 73, podle níž se uživatel VPN fyzicky přítomný v Utahu počítal jako utažský návštěvník bez ohledu na to, jakou IP adresu web viděl. Jeho odůvodnění se vejde do dvou jeho vlastních vět: novela „vyžaduje, aby subjekty jako Aylo geolokalizovaly uživatele svých webů s dokonalostí, mají-li se vyhnout odpovědnosti“, a „je nesporné, že dokonalá geolokace dnes není možná“.

Předběžné opatření je užší, než naznačuje většina komentářů, a na datech, na kterých v září záleželo, už nezáleží vůbec. Tento článek jsme aktualizovali od začátku do konce: co soudce zablokoval, co zablokovat odmítl, co v Utahu platí dnes a co by utažské pravidlo 95% detekce chtělo po webech.

Když tento text 3. září vyšel poprvé, zprávou bylo datum, které znamenalo méně, než tvrdily titulky. Gizmodo a další psali, že toho dne vstoupí v platnost první americký zákon zaměřený na používání VPN. Ve skutečnosti SB 73 platil už od 6. května 2026 a 3. září bylo jen vypršením soudního příměří: slibu Utahu, že klauzuli o VPN nebude vymáhat proti jedné společnosti, Aylo, provozovateli Pornhubu, dokud soudce posuzuje její žalobu. Toto příměří bylo 27. srpna prodlouženo a skončilo v okamžiku, kdy rozhodnutí dopadlo.

Tady je, co zákon říká, koho zavazuje, co soud rozhodl a co z toho všeho plyne pro člověka, který VPN používá.

Vstoupil zákon o VPN v Utahu v platnost 3. září?

Ne. Zmatek vzniká sléváním dvou dokumentů do jednoho.

Prvním je samotný zákon. SB 73, Online Age Verification Amendments, předložili senátor Calvin Musselman a poslanec Steve Eliason a guvernér Spencer Cox jej podepsal 19. března 2026. Oddíl 22 přijatého znění stanoví datum účinnosti: 6. května 2026, s několika daňovými ustanoveními následujícími 1. října. Text o VPN sedí v oddílu 14, který novelizuje Utah Code 78B-3-1002, a nese datum 6. května jako všechno ostatní.

Druhým dokumentem je společné stipulační podání založené u federálního soudu 27. dubna 2026, pět dní poté, co Aylo podalo žalobu. Utažský úřad na ochranu spotřebitele (Division of Consumer Protection) a utažské ministerstvo obchodu (Department of Commerce) se v něm zavázaly, že proti Aylo a jeho přidruženým společnostem nebudou vymáhat „ustanovení o domnělé poloze“ (Deemed-Location Provision) „do 3. září 2026, tedy 120 dní po dni, kdy ustanovení mělo jinak nabýt účinnosti“. Aylo se na oplátku zavázalo neměnit své stávající geografické blokování v Utahu, což znamená, že Pornhub a jeho sesterské weby zůstanou pro utažské IP adresy blokované, jako jsou už od roku 2023.

Odtud pochází datum 3. září. Nikdy nešlo o datum účinnosti. Byl to konec slibu nevymáhání daného jednomu účastníkovi řízení. A podle soudního spisu strany 27. srpna podaly další „společné stipulační podání o prodloužení nevymáhání“, které soud následující den vzal na vědomí. Jak 28. srpna informoval XBIZ, prodloužení trvá do 22. října 2026, nebo dokud soud nerozhodne o návrhu Aylo na předběžné opatření, podle toho, co nastane dříve. Podání rámuje dodatečný čas kolem utažského legislativního procesu k vyhlášce: „toto období pokračujícího nevymáhání umožňuje žalobcům účastnit se tvorby vyhlášky bez hrozby odpovědnosti v mezidobí“.

Přesná věta tedy byla delší, než titulek dovolí. Klauzule o VPN se stala zákonem v květnu, na papíře se vztahovala na každý dotčený web kromě Aylo a podle všeho, co ukazuje veřejný záznam, nebyla kvůli provozu z VPN nikdy proti nikomu vymáhána. Od 24. září je předběžně zablokována. Rozhodnutí vydává opatření proti ustanovení samotnému, aniž by jeho znění omezovalo na žalobce, a Electronic Frontier Foundation je čte tak, že klauzule je po dobu trvání opatření mimo hru.

Co SB 73 skutečně vyžaduje, a od koho?

Utah vyžaduje ověřování věku na webech pro dospělé od roku 2023. SB 73 tento režim přestavuje: vedle stávajícího soukromého práva žalovat přidává veřejné vymáhání úřadem na ochranu spotřebitele, přidává pokuty, zavádí spotřební daň pro dotčené weby a doplňuje dva odstavce o VPN. Tyto dva odstavce v přijatém znění zní takto.

Pravidlo domnělé polohy, nový odstavec (3) v 78B-3-1002: „Osoba je považována za přistupující k webu z tohoto státu, pokud se ve státě skutečně nachází, bez ohledu na to, zda používá virtuální privátní síť, proxy server nebo jiný prostředek k zastření či zkreslení své zeměpisné polohy tak, aby se zdálo, že k webu přistupuje z místa mimo tento stát.“

Zákaz napomáhání, nový odstavec (4): dotčený web „nesmí usnadňovat ani podporovat používání virtuální privátní sítě, proxy serveru nebo jiného prostředku k obcházení požadavků na ověření věku“, a to ani poskytováním „návodu, jak použít virtuální privátní síť nebo proxy server k přístupu na web“ nebo „prostředků, jimiž mohou osoby v tomto státě obejít geografické blokování“.

Obě pravidla se obracejí na „komerční subjekt provozující web, který obsahuje podstatnou část materiálu škodlivého pro nezletilé“. Podstatná část má své číslo: více než 33 1/3 procenta veškerého materiálu na webu. U webu, který se prezentuje jako primárně určený dospělým nebo používá doménu s tematikou pro dospělé, se má za to, že tuto hranici překračuje.

Sankce míří na tentýž subjekt. Podle nového paragrafu 78B-3-1004 může ředitel úřadu uložit správní pokutu až $2,500 za každé porušení a soud může přidat občanskoprávní sankci až $2,500 za porušení, vydání bezdůvodného obohacení, soudní zákazy a náhradu skutečné škody, plus až $5,000 za porušení za nerespektování příkazu. Paragraf 78B-3-1002(6) vyjímá poskytovatele internetu, vyhledávače a cloudové služby za pouhý přenos provozu a odstavec (5) vyjímá skutečně zpravodajský a veřejně prospěšný obsah.

Všimněte si, co chybí. Není tu žádná definice „uživatele VPN“, žádná povinnost uložená poskytovateli VPN a žádná pokuta, přestupek ani občanskoprávní odpovědnost pro jednotlivce, který se připojuje přes VPN. Verze k citování: utažský SB 73 nereguluje uživatele VPN; reguluje weby tím, že prohlašuje návštěvníka fyzicky přítomného v Utahu za utažského návštěvníka bez ohledu na to, jakou IP adresu web vidí.

Je teď používání VPN v Utahu nelegální?

Ne, a nebylo ani 6. května. Každé operativní ustanovení SB 73 jmenuje jako nositele povinnosti komerční subjekt. Obyvatel Salt Lake City, který zapne VPN kvůli hotelové Wi-Fi, přístupu do pracovní sítě, ochraně před profilováním svého prohlížení poskytovatelem internetu nebo sledování domácího předplatného na cestách, neudělal nic, čím by se zákon zabýval.

Zákon mění to, čemu je vystaven web. Před SB 73 mohl dotčený web tvrdit, že návštěvník přicházející z nizozemské nebo kanadské IP adresy je pro jeho účely v Nizozemsku nebo Kanadě. Teď Utah říká, že web nese odpovědnost, pokud byl návštěvník ve skutečnosti v Utahu. Zda to web může vědět, je další otázka, a je to celý spor.

Jak má web poznat, že jste v Utahu, když používáte VPN?

Z velké části to nedokáže, a proto kritika SB 73 přichází z velmi různých stran.

Electronic Frontier Foundation označila blokování adres VPN za „technickou hru na honěnou, kterou pravděpodobně žádná firma nemůže vyhrát“, s tím, že poskytovatelé VPN adresy neustále přidávají a žádný úplný seznam k blokování neexistuje. Lia Holland z Fight for the Future, citovaná v květnu stanicí KUER, to řekla ještě ostřeji: určit, odkud prohlíží uživatel seriózní VPN, je „z principu doslova nemožné“. NordVPN na dotaz Gizmoda popsal zákon jako „past na odpovědnost“, v níž „platformy čelí skutečnému finančnímu riziku za selhání v technickém úkolu, který dnes nikdo neumí spolehlivě splnit“.

Technické důvody nejsou sporné. Geolokace podle IP adresy je komerční odhad odvozený ze směrovacích dat a registračních záznamů, nikoli měření toho, kde zařízení stojí, a na úrovni státu se běžně mýlí i u obyčejných připojení. Detekce VPN a proxy spoléhá na seznamy známých výstupních adres, které zaostávají za realitou. A tytéž signály, které označí spotřebitelskou VPN, označí i firemní sítě, univerzitní sítě, mobilní operátory směrující provoz přes brány mimo stát a funkce ochrany soukromí zabudované do běžných prohlížečů. Web, který blokuje všechno, co vypadá jako VPN, blokuje velkou část legitimních návštěvníků, v Utahu i všude jinde.

To je argument Aylo v jedné větě: jediný způsob, jak si být jistý dodržením pravidel v Utahu, je ověřovat věk všech a všude, což by podle toho, co společnost sdělila soudu, odehnalo až 80 procent jejích zákazníků, nebo blokovat každého, kdo by se v Utahu mohl teoreticky nacházet. Odpověď senátora Musselmana, citovaná KUER, zní, že „SB 73 je o odpovědnosti“ a že weby mohou ověřit věk nebo potvrdit polohu „a přitom uživatelům zachovat možnosti šifrování“.

Soud nyní zaznamenal, jak daleko tento spor ve skutečnosti sahá, totiž: nijak daleko. Z rozhodnutí: „Zákon vyžaduje dokonalou geolokaci, strany se však shodují, že současný technologický pokrok subjektu neumožňuje dokonale (1) odhalit uživatele VPN/proxy, ani (2) geolokalizovat, odkud všichni tito uživatelé VPN/proxy na web přistupují.“ Utah a Aylo se v tomto případu přely o všechno ostatní. O tohle ne.

Vlastní odpověď Utahu přicházela skrze vyhlášku a její text je nyní veřejný. Návrh vyhlášky úřadu, R152-78B, zveřejněný v Utah State Bulletin 1. září, definuje „zastírání geolokace“ jako VPN, proxy server nebo jinou technologii maskující polohu zařízení a rozepisuje, co znamená „komerčně přiměřená“ detekce: systém nastavený tak, aby s přesností nejméně 95 % určil, zda je návštěvník v Utahu, vedle samostatného 95% standardu pro rozpoznání, zda je návštěvník nezletilý. Weby smějí analyzovat „latentní signály“ a vyhláška jmenuje dva: latenci připojení a časové pásmo nastavené v zařízení či prohlížeči. Návštěvník označený jako zastírající dostane nabídku tří možností: sdílet polohu svého zařízení a potvrdit, že v Utahu není, vypnout zastírání a ověřit svůj věk, pokud tam je, nebo prostě věk ověřit. Vlastní odhady nákladů úřadu se pohybují od $0.01 do $0.12 za jednu kontrolu věku a kolem centu na návštěvníka za prověření polohy.

Přečtěte si to vedle rozhodnutí a příběhem se stane načasování. Zákon, jak je napsán, vyžadoval dokonalost; vyhláška, která měla dokonalost změkčit na 95% cíl, dorazila k soudu příliš pozdě. Poznámka pod čarou 73 rozhodnutí to říká bez obalu: protože navržená vyhláška přišla až po písemných podáních a ústním jednání, „soud ji zde nebere v úvahu“. Připomínkování skončilo 1. října, přičemž EFF podala nesouhlasné stanovisko. Bulletin uvádí 8. říjen jako nejbližší datum, kdy vyhláška může nabýt účinnosti, ke dni této aktualizace se žádné oznámení o účinnosti neobjevilo a její ustanovení o poloze teď provádějí klauzuli, kterou federální soud zablokoval.

Co soudce Barlow rozhodl 24. září?

Aylo Freesites a Aylo Group podaly žalobu 22. dubna 2026 u okresního soudu USA pro okres Utah, věc 2:26-cv-00340, proti úřadu na ochranu spotřebitele, jeho ředitelce Katie Hass, ministerstvu obchodu a jeho výkonné ředitelce Margaret Busse. Případ vede soudce David Barlow. Žaloba míří konkrétně na ustanovení o domnělé poloze a podle Deseret News tvrdí, že klauzule „mění to, co je nominálně utažskou regulací, v de facto celosvětový příkaz“, v rozporu s ústavními limity státní regulace mezistátního a zahraničního obchodu.

Aylo nenapadá ověřování věku jako takové. Tuto otázku Nejvyšší soud vyřešil v červnu 2025 ve věci Free Speech Coalition v. Paxton, kde potvrdil texaský zákon o ověřování věku. Nárok Aylo je užší: stát může vyžadovat kontrolu věku u svých obyvatel, nemůže však činit zahraniční společnost odpovědnou za návštěvníky, které nemá jak spolehlivě umístit do svého území.

Dne 24. září 2026 tento užší nárok zvítězil, a to na jedné ze svých dvou teorií. V čtyřicetistránkovém memorandovém rozhodnutí soudce Barlow dospěl k závěru, že klauzule o domnělé poloze pravděpodobně porušuje tzv. dormant Commerce Clause, ústavní limit bránící státům regulovat obchod za jejich hranicemi, a to jak jako přímá regulace jednání mimo stát podle linie Desátého obvodu ACLU v. Johnson, tak podle balančního testu Pike. Ilustrace soudu je ta, kterou stojí za to si zapamatovat: Aylo má zhruba 28 milionů měsíčních návštěvníků z USA, a protože zákon vyžaduje jistotu, kterou žádný nástroj nedokáže dodat, jedinou bezpečnou cestou by bylo ověřit je všechny, ať sedí v Salt Lake City, nebo v Honolulu. Utažský zákon, který nutí společnost zacházet s každým Američanem jako s možným obyvatelem Utahu, podle závěru soudu reguluje celý národ.

Utažský generální prokurátor argumentoval, že stát by nikdy nepožadoval víc než přiměřené geolokační úsilí, ne dokonalé. Soud to vzal jako upřímné a právně nepodstatné: zákon žádnou výhradu přiměřenosti neobsahuje, její dočtení by vyžadovalo „přepsání, nikoli pouhý nový výklad“, a soud musí posuzovat text, který zákonodárce přijal, ne vymáhací politiku, kterou navrhuje generální prokurátor. Aylo zase soudu sdělilo, že kdyby byl zákon napsán tak, jak jej generální prokurátor hájí, „nebyli bychom tady“. Tato výměna je nejjasnější mapou dalšího vývoje: jednoslovná legislativní oprava, nějaká podoba slova „přiměřený“, by spor pravděpodobně ukončila.

Rozhodnutí není čistý zátah a většina zpravodajství tohle zploštila. Soudce Barlow odmítl samostatnou námitku Aylo, že klauzule je nepřípustnou extrateritoriální legislativou, nevyjádřil se k Foreign Commerce Clause a odmítl žádost Aylo, aby zablokoval i obecnou povinnost ověřovat věk u návštěvníků, kteří se jeví být mimo Utah: „Této úlevě nelze vyhovět.“ Opatření je předběžné, nikoli konečný rozsudek, a týká se jednoho odstavce jednoho zákona.

Jedna další pasáž si zaslouží citaci, protože federální soudy to tak otevřeně neříkají často. V úvodní části rozhodnutí soud poznamenává, že VPN a nástroje na ochranu polohy mají „zcela legitimní účely“, a vyjmenovává je: zabezpečení komunikace na veřejných sítích, zabránění webům ve sběru osobních dat a obcházení cenzury utlačovatelských vlád. Tato věta teď sedí ve veřejném záznamu prvního amerického případu o zákoně jmenujícím VPN.

Časová osa podle soudního spisu a podání stran:

Co v Utahu skutečně platí dnes?

Na tuto otázku odpovídají titulky nejhůř, takže tady je, ustanovení po ustanovení, ke dni této aktualizace:

Z té tabulky plynou dvě věci. Pro člověka s VPN rozhodnutí nemění nic, protože nic v zákoně se na něj nikdy nevztahovalo. Pro dotčené weby jsou dnes vymahatelné povinnosti tytéž povinnosti ověřovat věk, jaké existují zhruba v polovině země, minus ta jedna klauzule, která dělala Utah jedinečným. Zda Aylo nyní zruší své dobrovolné blokování Utahu, platné od roku 2023, je obchodní rozhodnutí, které společnost neoznámila; stipulace, která její geografické blokování zmrazila, skončila s rozhodnutím.

Které další státy kopírují přístup Utahu?

Ověřování věku na webech pro dospělé je dnes ve Spojených státech normou. Age Verification Providers Association napočítala nejméně 25 států, které takové zákony k únoru 2026 přijaly, a přehledy aktualizované během léta uvádějí číslo ještě vyšší. Utah byl druhým státem v pořadí, se zákonem, který nabyl účinnosti 3. května 2023 a přiměl Pornhub o dva dny dříve zablokovat celý stát. Google Trends ukázaly, že vyhledávání VPN v Utahu v časných ranních hodinách 2. května 2023 vyskočilo na maximum popularity, jak tehdy informoval Newsweek. Právě tato epizoda víc než cokoli jiného vysvětluje, proč zákon z roku 2026 VPN vůbec zmiňuje.

Kopírování klauzule o VPN je jiná věc a rozhodnutí z 24. září jeho doporučování právě ztížilo. Zákonodárci v Michiganu navrhli v roce 2025 jít mnohem dál, s návrhem, který by poskytovatelům internetu nařizoval provoz VPN rovnou blokovat; uvízl ve výboru. Wisconsinský zákon o ověřování věku původně obsahoval text o VPN, který byl v únoru 2026 vyškrtnut, než guvernér v dubnu celý zákon vetoval. Žaloba Aylo uvádí, že žádný stát dosud klauzuli o domnělé poloze nepřijal, a my jsme nenašli žádný jiný přijatý americký zákon, který by VPN jmenoval. Zákonodárné sbory sledující případ teď mají odpověď: první klauzule o domnělé poloze nepřežila první návrh. Rozhodnutí dokonce načrtává, co by přežilo: zákon, který žádá přiměřené geolokační úsilí místo dokonalého. Čekejte, že další kolo psaní zákonů, v utažském zasedání 2027 i jinde, toto slovo použije. Kalifornie mezitím problém obchází z druhého konce: její Digital Age Assurance Act, účinný od ledna 2027, nechává operační systém předávat aplikacím věkovou kategorii deklarovanou rodičem, což je přístup, který nepotřebuje geolokaci podle IP adresy a žádné VPN nezmiňuje.

Co by měl někdo v Utahu udělat se svou VPN?

Nic, v tom smyslu, že na vás nedopadla žádná povinnost a žádná se nenavrhuje. Přesto pár praktických poznámek, protože druhotné dopady zákonů, jako je tento, pociťují spíš běžní uživatelé než weby, na které míří.

1. Nechte VPN zapnutou k tomu, k čemu slouží. Šifrování na veřejné Wi-Fi, stabilní IP adresa pro bankovnictví a pracovní přihlášení a bariéra mezi vaším prohlížením a poskytovatelem internetu zůstávají nedotčené. Pokud chcete blízký výstupní bod, Le VPN provozuje server v Salt Lake City vedle svých dalších amerických lokalit, takže připojení z Utahu může v Utahu zůstat.
2. Počítejte s tím, že víc webů bude provoz z VPN zpochybňovat, a to všude. Racionální reakcí na pravidlo o odpovědnosti bez spolehlivé detekce je nadměrné blokování. Pokud web, který nemá s Utahem nic společného, začne vaše připojení přes VPN odmítat, šíří se tak reflex dodržování pravidel, ne známka toho, že vaše VPN dělá něco špatně. Přepnutí serveru obvykle stačí.
3. Neberte zákon jako hádanku k vyřešení. SB 73 zakazuje dotčeným webům učit návštěvníky, jak obejít kontrolu věku, a tento článek to za ně dělat nebude. Ověřování věku pro obsah pro dospělé je ústavní a zůstane; otevřenou otázkou v Utahu je jen to, kdo nese břemeno, když nástroje nedokážou určit, kde člověk je.
4. Sledujte lhůtu pro odvolání a zasedání 2027, ne 22. říjen. Data, která vám tento článek kdysi radil sledovat, jsou pryč: rozhodnutí dorazilo 24. září a termín příměří 22. října tím ztratil smysl. Živé zůstává, zda se Utah odvolá k Desátému obvodu, než jeho zhruba 30denní lhůta kolem 26. října vyprší, zda úřad dokončí vyhlášku R152-78B teď, když její polovina o poloze provádí zablokovanou klauzuli, a zda zákonodárce zákon přepíše se standardem přiměřenosti, až se koncem ledna sejde.

Pokud chcete širší mapu toho, kde jsou VPN omezeny a kde jsou jen regulovány, pokrývá ji náš průvodce legálností VPN v roce 2026 po jednotlivých zemích a naše stránka o Spojených státech uvádí seznam amerických serverových lokalit. Pro evropskou paralelu: francouzský regulátor prošel loni velmi podobným sporem o kontrolu věku na webech pro dospělé; popsali jsme, jak to dopadlo, včetně téže dynamiky nadměrného blokování, kterou Utah nyní přebírá.

Krátká verze pro každého, kdo vám ten titulek pošle: utažská klauzule o VPN regulovala weby, nikoli lidi, federální soudce ji nyní zablokoval, protože vyžadovala dokonalost, kterou žádná technologie nedokáže dodat, zbytek zákona platí dál a další tahy patří Utahu, u odvolacího soudu nebo v příštím zasedání zákonodárného sboru.