Zákon, který měl data chránit, je vyhnal do podzemí
Příběh začíná u služeb, kterým se v Rusku říká „vyhledávání podle čísla“. Fungovaly jako databázové agregátory: spojovaly uniklé údaje z e-shopů, operátorů, bank a sociálních sítí do jednoho prohledávatelného indexu. Zadal jsi telefonní číslo nebo jméno a bot ti vrátil adresu, e-mail, SPZ auta, někdy i fotku a historii objednávek. Technicky žádné hackování — jen chytré propojení dat, která už unikla a kolují po síti.
Problém je v tom, že ruský stát na to začátkem roku 2025 přitvrdil. Novela trestního zákoníku zavedla trestní odpovědnost za nelegální sběr a šíření osobních údajů, a to včetně přitěžujících okolností — za prodej citlivých dat, údajů nezletilých nebo za přeshraniční obchod hrozí podle ruských médií až deset let vězení. Legální platformy, které dosud operovaly v šedé zóně, najednou stály před reálným rizikem stíhání.
Kam se služby přesunuly
Reakce byla rychlá a v zásadě dvojí. Část provozovatelů přesunula servery a firmy do zahraničí, kde ruský trestní zákoník nedosáhne. Druhá, větší část zmizela do „černé“ zóny: na darknet a do uzavřených Telegram kanálů, které je prakticky nemožné regulovat nebo odhalit. Podle majitele jednoho z původních legálních botů, jehož vyjádření cituje ruský portál www1.ru, zájem Rusů o tyto boty neopadl — lidé si jen našli náhradní cesty, jak se k datům dostat.
A tady vzniká ten paradox, o kterém stojí za to se bavit. Zákon měl osobní data chránit. Výsledkem ale je, že z trhu zmizely ty relativně „průhlednější“ služby, zatímco na jejich místo nastoupily anonymní černé platformy, kde jsou data méně chráněná a jakákoli kontrola je skoro nemožná. Místo menšího počtu úniků tak podle provozovatelů situace spíš eskaluje — jen se přesunula tam, kam úřady nevidí.
Jak takový „vyhledávač lidí“ vlastně funguje
Pro českého čtenáře je dobré si to představit na příkladu, který zná. Když vám unikne heslo z jednoho e-shopu a používáte ho i jinde, útočník ho zkusí na dalších službách. Ruské agregátory dělaly v podstatě to samé, jen ve velkém a automatizovaně: stáhly databáze z desítek úniků, normalizovaly je (sjednotily formát jmen, čísel a e-mailů) a postavily nad nimi vyhledávání. Výsledkem byl nástroj, kde jediné telefonní číslo otevřelo kompletní digitální profil člověka.
Podobné služby nejsou ruskou specialitou. Ve Spojených státech fungují legální data brokeři jako Spokeo nebo BeenVerified, kteří prodávají veřejně dostupné informace o lidech — rozdíl je v tom, že v USA to stojí na veřejných registrech a platí tam možnost opt-outu, tedy nechat se ze služby vymazat. Rusko takový rámec nemělo, a proto se tam byznys postavil na uniklých datech.
Proč na tom záleží i u nás
Evropa a Česko tenhle problém řeší jinak a lépe postaveným rámcem. Od května 2018 tu platí obecné nařízení o ochraně osobních údajů (GDPR), které zpracování osobních údajů povoluje jen se zákonným důvodem a za porušení umí vyměřit pokutu až 20 milionů eur nebo 4 % globálního obratu firmy. V Česku nad tím bdí Úřad pro ochranu osobních údajů. K tomu od roku 2024 postupně nabíhá i evropský AI Act, který se na systémy pracující s biometrickými a citlivými údaji dívá zvlášť přísně.
Z ruského případu si přesto můžeme vzít jedno konkrétní poučení. Samotný zákaz nebo tvrdá trestní sazba nestačí — pokud lidé po nějaké službě touží a legální alternativa neexistuje, poptávka se přesune do ilegality. U nás se to týká hlavně fenoménu úniků dat: české e-shopy, banky i nemocnice v posledních letech čelily řadě incidentů a uniklá data končí ve stejných podzemních databázích. Rozdíl je v tom, že GDPR a dozor nad ním dávají Čechům reálné nástroje — právo na výmaz, povinnost hlásit úniky a hmatatelné sankce pro toho, kdo data nezabezpečí.
Co z toho plyne
Danielova poznámka na závěr: ruská zkušenost je užitečná jako varování, ne jako návod. Trestní represe bez funkční digitální infrastruktury a bez legálních alternativ vede k přesunu problému do tmy, nikoli k jeho vyřešení. Evropa jde opačnou cestou — kombinuje regulaci s vymahatelnými právy jednotlivce. Jestli je to účinnější, ukážou až čísla z praxe. Ale jeden rozdíl je vidět už dnes: když v Česku uniknou data, oběť má alespoň zákonný nárok vědět o tom a žádat nápravu. V ruském modelu jí zbývá jen doufat, že její číslo nezadá někdo do botu na darknetu.
Jsou podobné „vyhledávače lidí“ legální v Česku?
Nikoli v podobě, v jaké fungovaly v Rusku. Služba, která by bez zákonného důvodu prohledávala uniklé osobní údaje a prodávala je dál, by v EU porušovala GDPR. Legálně u nás fungují jen služby založené na veřejných rejstřících (např. obchodní rejstřík nebo katastr nemovitostí), které zpracovávají údaje k přesně danému účelu.
Co mám dělat, když moje osobní údaje unikly na darknet?
Změňte si hesla u dotčené i u všech služeb, kde používáte stejné přihlašovací údaje, a zapněte dvoufaktorové ověřování. Můžete si také ověřit, zda se vaše e-mailová adresa neobjevila ve známých únicích, pomocí služeb jako haveibeenpwned.com. V Česku máte podle GDPR právo po správci údajů žádat informaci, jaké údaje o vás zpracovává.
Hrozí v Rusku za prodej osobních údajů skutečně vězení?
Ano. Novela trestního zákoníku z konce roku 2024 zavedla trestní odpovědnost za nelegální sběr, uchovávání a šíření osobních údajů, přičemž za přitěžujících okolností (citlivé údaje, údaje nezletilých, přeshraniční obchod) dosahuje horní hranice trestu až deseti let odnětí svobody.
