SignalTrace: Evropa vyváží dohled, který si sama nedovoluje

Tue, 01 Sep 2026 00:00:00 +0000

Šedý sedan projíždí pod dálničním portálem rychlostí 110 km/h. Kamera upevněná na stožáru přečte značku, opatří ji časovým razítkem, uloží ji. Nic nového: takové zařízení existuje dvacet let a je rozmístěno v desetitisících kusů v Severní Americe stejně jako v Evropě.

Pokud ale tento portál dostal modul, který italská skupina Leonardo prodává od června 2026, právě zaznamenal ještě něco jiného. iPhone řidiče. Bezdrátová sluchátka spolujezdkyně. Chytré hodinky na palubní desce. Autorádio. Připojenou klíčenku v přihrádce. Snímače tlaku všech čtyř pneumatik. Přístupovou kartu, která zůstala v saku. A pokud vzadu spí pes, i jeho identifikační čip.

Deset identifikátorů, značka, poloha, čas. Zopakujte to na každém portálu sítě a už nesledujete auto: sledujete lidi a víte, s kým se přemísťují.

Co zařízení skutečně dělá

Produkt se jmenuje SignalTrace. Prodává jej Leonardo US Cyber and Security Solutions a doplňuje řadu ELSAG, jednu z nejrozšířenějších linií automatických čteček registračních značek na americkém trhu. Jeho existenci odhalil 8. června 2026 Joseph Cox v 404 Media na základě produktového listu výrobce.

Rozhodující bod se vejde do jedné věty: nejde o nové kamery. SignalTrace je rádiový snímač přidaný k již nainstalovaným čtečkám značek. Stožár se nemění, umístění se nemění, silueta zařízení u silnice se nemění. Mění se to, co zařízení poslouchá.

Snímač zaznamenává identifikátory vysílané nešifrovaně protokoly Bluetooth, Wi-Fi a RFID přístrojů přítomných ve vozidle. Technický bod, který bývá často špatně chápán: žádný přístroj se nehackuje a žádná zranitelnost se nezneužívá. Zařízení Bluetooth nebo Wi-Fi neustále vysílá objevovací rámce, protože tak byly tyto protokoly navrženy. Vaše sluchátka ohlašují svou přítomnost, aby je telefon našel, a ten telefon sám se dotazuje okolního prostoru na sítě, které zná. Tato vysílání jsou z principu veřejná a slyší je jakýkoli přijímač v dosahu.

Leonardo ostatně upřesňuje, že systém funguje se čtečkou značek i bez ní , včetně vnitřních prostor, a rozpozná vozidlo, jehož značka je zakrytá nebo sejmutá.

Dovybavení stávajícího zařízení je skutečným politickým tématem. Instalace nové sítě kamer spustí hlasování, projednávání, někdy soudní spor. Přidání elektronické desky do již schválené skříně nespustí nic. Schopnost dohledu mění svou povahu bez veřejné debaty, protože materiálně není nic nového k vidění.

Od vozidla k osobě a od osoby ke skupině

Čtečka značek odpovídá na jednu otázku: kde bylo toto vozidlo. SignalTrace přidává dvě další: kdo v něm byl a s kým.

Leonardo to netají, je to prodejní argument. Systém vytváří to, co dokumentace nazývá elektronickým otiskem, soubor identifikátorů „často vysílaných společně". Příklad výrobce je jednoznačný: v celém městě jen jediné vozidlo spojí iPhone 13rev2, autorádio Audi, sluchátka Bose, hodinky Garmin, lokátor klíčů a značku ABC-1234.

Produkt se neomezuje na sledování vozidel. Automaticky vytváří graf vztahů mezi osobami, aniž by kdokoli musel vyslovit sebemenší podezření.

Právě zde nastává kvalitativní skok. Korelací přístrojů, které pravidelně cestují společně, systém mechanicky buduje sociální graf. Dva telefony, které se každé ráno setkávají ve stejném autě, jsou spolujízda, nebo vztah, který ani jedna strana nechce zveřejnit. Padesát přístrojů zachycených na stejném místě ve stejnou hodinu je shromáždění: demonstrace, bohoslužba, odborová schůze nebo fronta před klinikou.

Žádný z těchto závěrů nevyžaduje přístup k obsahu komunikace. Vyvozuje se z tabulky blízkosti, ve výchozím nastavení, u celé pohybující se populace, nikoli u určených cílů. Je to vina ze spolčení, vyráběná průmyslově, ještě před jakýmkoli vyšetřováním. Tom Bowman, právník v Center for Democracy & Technology , shrnuje problém na stránkách TechNewsWorld : to, co činí nástroj užitečným pro sledování skutečného podezřelého, jej činí stejně schopným sledovat všechny ostatní řidiče, z nichž ani jeden nesouhlasil s tím, aby jeho přístroje byly zaznamenávány.

Leonardo namítá dvě věci: systém nedešifruje ani nečte obsah komunikace a sám o sobě neidentifikuje osoby. Obě tvrzení jsou přesná a obě míjejí podstatu. Hledanou informací nikdy nebyl obsah, tkví v metadatech o poloze, výmluvnějších než zpráva. Pokud jde o identifikaci, sám výrobce uznává, že vyšetřovatel může spojit elektronický podpis se značkou a poté se přes registry vozidel dostat k držiteli.

Americké právo psané pro něco jiného

Ve Spojených státech existují státní zákony upravující čtečky značek a některé jsou náročné, pokud jde o doby uchovávání a účely přístupu. Všechny však byly sepsány kolem jednoho přesného předmětu: obrazu registrační značky. Žádný nepředjímá zachytávání identifikátorů osobních přístrojů týmž zařízením.

Tento nesoulad nevytváří nezákonnost, ale šedou zónu, pro prodejce pohodlnější. Policejní útvar může bez lhaní tvrdit, že jeho program čteček značek je povolený a v souladu s předpisy, přičemž nyní v témže režimu shromažďuje údaje zcela odlišné povahy. Leonardo navíc disponuje federálními zakázkami u Special Operations Command a General Services Administration, tedy nákupní cestou, která do značné míry obchází místní schvalování.

Ústavní debata se právě pohnula a je třeba být přesný, protože právní stav se toto léto změnil. V lednu 2026 federální soud ve Virginii rozhodl ve věci Schmidt v. City of Norfolk, že městská síť kamer Flock nepředstavuje prohlídku ve smyslu čtvrtého dodatku, protože nepokrývá veškeré pohyby obyvatel. Rozhodnutí je v odvolacím řízení před Čtvrtým obvodem, kde vstoupila do řízení ACLU .

Poté, 29. června 2026, vydal Nejvyšší soud rozsudek Chatrie v. United States . Pěti hlasy proti čtyřem, perem soudkyně Kagan, rozhodl, že získání lokalizačních údajů telefonu policií představuje prohlídku, neboť jednotlivec si zachovává rozumné očekávání soukromí ohledně těchto údajů, i když je drží třetí strana a po krátkou dobu. Rozsudek navazuje na Carpenter v. United States z roku 2018 a oslabuje doktrínu třetí strany, jak podotklo CDT .

Přesný dosah Chatrie na SignalTrace není vyřešen a bylo by neopatrné tvrdit opak: rozsudek se týká údajů vyžádaných od Googlu, nikoli přímého zachytávání policejním snímačem ve veřejném prostoru. Zavádí však úvahu, na které záleží, totiž že citlivost lokalizačního údaje nezávisí na tom, kdo jej drží.

Evropská otázka, která je otázkou skutečnou

Zde se spis pro Evropu stává nepohodlným. Leonardo není americký dodavatel, ale italská skupina kotovaná v Miláně, jejímž prvním akcionářem je italské ministerstvo hospodářství a financí s asi 30 % kapitálu a pravomocí jmenovat většinu správní rady. Italský stát není u tohoto produktu pasivním akcionářem.

Nejprve technický bod

V evropském právu je identifikátor přístroje osobním údajem. Není to doktrinální názor, ale ustálené stanovisko úřadů. CNIL výslovně považuje MAC adresu za takovou ve své doktríně o systémech měření návštěvnosti a připouští jejich sběr ve veřejném prostoru jen za úzkých podmínek: anonymizace během několika minut s vysokou mírou kolize mezi jednotlivci, nebo spolehlivá pseudonymizace následovaná zničením do dvaceti čtyř hodin, jinak se souhlas stává povinným. Tatáž doktrína upřesňuje, že vyzývat lidi, aby si vypnuli Wi-Fi, není přijatelnou formou vznesení námitky.

Soudní dvůr Evropské unie 4. září 2025 ve věci EIOÚ proti SRB (C-413/23 P) upřesnil, že osobní povaha pseudonymizovaného údaje se posuzuje s ohledem na rozumně použitelné prostředky opětovné identifikace. Zde je však držitelem policejní orgán, který má k dispozici registry vozidel. Prostředky opětovné identifikace nejsou hypotetické, jsou ve vedlejší kanceláři.

Nuance, která mění všechno

Bylo by nesprávné psát, že SignalTrace „by byl v Evropě nezákonný", a čtenář právník by si toho okamžitě všiml. Zpracování prováděné příslušným orgánem za účelem předcházení trestné činnosti a jejího stíhání nespadá pod GDPR. Spadá pod směrnici (EU) 2016/680 , zvanou trestněprávní směrnice, kterou každý členský stát provádí zvlášť, ve Francii v hlavě III zákona o ochraně údajů. CNIL připomíná, že tento režim je samostatný, s vlastními právními základy a vlastními právy.

Správnou otázkou tedy není abstraktní zákonnost, ale podmínky. V tomto režimu by takové zařízení předpokládalo výslovný vnitrostátní právní základ, určené účely, prokázanou nezbytnost, ohraničenou dobu uchovávání, posouzení dopadů a nezávislý dohled. Ve Francii jsou čtečky značek upraveny právě takto: články L233-1 a L233-1-1 zákoníku vnitřní bezpečnosti stanoví taxativní výčet trestných činů, které zakládají právo je použít, a doba uchovávání zůstává jednou z nejkratších v Unii, v zásadě patnáct dnů, i když senátní návrh zákona se ji snaží prodloužit.

To je zásadní rozdíl oproti americké situaci. Ve Spojených státech zákon upravuje předmět, značku, a mlčení o identifikátorech přístrojů se rovná povolení. V Evropě zákon upravuje účely a kategorie údajů a toto mlčení se spíše rovná zákazu, pro nedostatek výslovného právního základu. Prázdnota konstatovaná za oceánem zde v téže podobě neexistuje. Ne že by Evropa byla ctnostnější: její právní technika je opačná.

Jakou hodnotu má potom ochrana

Zbývá otázka, o kterou v tomto článku jde. Jakou hodnotu má evropská regulační ochrana, když evropský podnik, ovládaný členským státem, prodává mimo Evropu schopnost, kterou by doma nemohl nasadit bez nového zákona?

Námitky si zaslouží být brány vážně. Průmyslník neodpovídá za právní rámec svého zákazníka: je na amerických orgánech, aby rozhodly, co u sebe povolí. Produkt se neprodává diktatuře, ale právnímu státu s aktivním nejvyšším soudem, jak právě připomněl Chatrie. A argument průmyslové suverenity je legitimní: pokud si evropské skupiny tyto trhy zakážou, obsadí je izraelští, američtí nebo čínští dodavatelé, aniž by dohled ustoupil o jediný metr, a Evropa při tom ztratí svou technologickou základnu.

Tyto argumenty jsou přípustné. Neodpovídají na problém.

Především proto, že Unie již uznala, že vývoz prostředků dohledu není obchodem jako každý jiný. Nařízení (EU) 2021/821 o zboží dvojího užití zavedlo ve svém článku 5 zbytkovou doložku týkající se prostředků kybernetického dohledu, protože zákonodárce připustil, že nástroj, který je legální vyrábět, může být v místě určení nelegitimní. Jeho mez je poučná: spouští se při riziku vnitřní represe nebo závažného porušování lidských práv, tedy kategoriích vymyšlených pro autoritářské režimy. Prodej americké městské policii do nich nespadá. Evropské síto zkoumá morálku zákazníka, nikdy povahu prodávané schopnosti.

Dále proto, že takový produkt není zásobou, kterou se vyprodá, ale schopností, která se udržuje: financuje výzkum, školí inženýry, hromadí know-how a vytváří instalovanou základnu. V den, kdy závažný atentát přiměje členský stát tuto schopnost požadovat, debata už nepovede o tom, zda ji vybudovat. Bude existovat, bude evropská, bude vyzrálá a její dodavatel bude zčásti veřejný. Argument „jen následujeme trh" se pak stává kruhovým, neboť domácí trh bude připraven vývozem.

Takovou hodnotu má regulační ochrana v tomto scénáři: chrání Evropany před způsoby použití, nikoli před existencí prostředků. Řeší otázku, kdo má právo stisknout tlačítko, a nechává průmysl, aby jej stavěl, prodával, vylepšoval a pak čekal.

Co lze dělat, aniž bychom si něco namlouvali

První zmiňovanou odpovědí je vždy randomizace MAC adresy. Zaslouží si poctivé posouzení, ani propagaci, ani znevažování. Je skutečná a funguje.

Android od verze 10 a iOS od verze 14 ve výchozím nastavení randomizují MAC adresu používanou na Wi-Fi, s odlišnou adresou pro každou síť. V Bluetooth Low Energy moderní přístroje vysílají rozlišitelné soukromé adresy, které se periodicky mění a lze je spojit se skutečným přístrojem jen protistranou, která má rozlišovací klíč.

Její meze jsou stejně skutečné.

Párování znovu otevírá dveře. Rozlišovací klíč se předává při párování. Přístroj již spárovaný nebo výslovně schválený znovu nalezne stabilní identitu za rotující adresou. Mechanismus je pro to navržen.
Mnoho předmětů nerandomizuje nic. Snímače tlaku pneumatik, RFID karty, identifikační čipy zvířat, autorádia a levná periferní zařízení vysílají pevné identifikátory. Produktový list Leonardo uvádí přesně tyto kategorie, což není náhoda.
Randomizace se dá vypnout. Vypíná se síť po síti a často vypnutá bývá kvůli pohodlí, kvůli filtrování MAC na domácím routeru nebo kvůli firemní politice.
Skupina přežije rotaci identifikátorů. To je bod nejméně intuitivní a nejdůležitější. SignalTrace nehledá identifikátor, hledá soubor přístrojů cestujících společně. Pokud jediný člen skupiny vysílá stabilní identifikátor, celý soubor zůstává přiřaditelný, ať je disciplína ostatních jakákoli.

Nejúčinnější opatření zůstává tím nejnudnějším: nevysílat. To předpokládá vypnout Bluetooth a Wi-Fi na úrovni systému, v nastavení, a ne z panelu zkratek. Rozdíl není kosmetický, rozebrali jsme jej v našem článku o trvalé geolokalizaci telefonu : u většiny spotřebitelských systémů tlačítko v rychlém panelu přeruší viditelné párování, ale nechá softwarový zásobník naživu a analýzy blízkosti pokračují. Onen článek popisoval skenování Bluetooth jako teoretický vektor. SignalTrace je jeho komerčním produktem, katalogizovaným a dodatelným.

Je třeba zůstat poctivý k výsledku: tato opatření zmenšují plochu vystavení, neruší ji. Vozidlo zůstává značkou a značka zůstává čitelná. Jediný způsob, jak nic nevysílat, je nic u sebe nemít, což není veřejná politika.

Co to říká o našich konstrukčních volbách

V Arpokrat nás právě tato úvaha vedla k tomu, abychom Bluetooth řešili na úrovni Core systému ArpokratOS, a ne na úrovni nastavení. Přepínač v rozhraní je uživatelská preference: aktualizace, systémová aplikace nebo lokalizační služba jej mohou obejít nebo znovu zapnout, aniž by o tom uživatel věděl. Nepřítomný zásobník se nedá znovu zapnout.

Vůči zachytávání typu SignalTrace to samozřejmě nečiní přístroj nezjistitelným, a netvrdíme to: telefon zůstává v mobilní síti a ostatní předměty ve vozidle vysílají na vlastní účet. Co to zaručuje, je, že konkrétní vysílací vektor je nepřítomen z konstrukce, místo aby byl vypnut na základě důvěry. To je teze, kterou jsme hájili ohledně 5G a chyby v zacílení práva : právní ochrana se soustředí na přístup k údajům, zatímco by se měla týkat samotné existence infrastruktury, která je vytváří. SignalTrace je toho ilustrací, s tím rozdílem, že tato infrastruktura se staví v Evropě.

Závěr

Nejpozoruhodnější na tomto spisu není technická schopnost, kterou výzkumníci popisovali léta. Je to způsob nasazení.

Nebude žádná nová síť kamer k slavnostnímu otevření, žádné obecní usnesení k napadení, žádná veřejná zakázka rozpoznatelná jako změna povahy. Budou moduly přidané ke stávajícím stožárům, v rámci stávajících smluv, v již povolených programech. V den, kdy se otevře veřejná debata, bude infrastruktura nainstalovaná, odepsaná a začleněná do vyšetřovacích postupů. Debata pak povede o podmínkách přístupu k databázi, která existuje, nikdy o tom, zda bylo namístě ji vytvořit.

To je obvyklý pořádek věcí v oblasti dohledu a není náhodný. Zbývá zjistit, zda se Evropa domnívá, že má co říci, když její vlastní průmyslníci, opření o její vlastní státy, budují tuto infrastrukturu pro jiné. Evropské právo pečlivě uspořádalo odpověď na otázku, kdo smí u nás do těchto údajů nahlížet. Nikdy nepoložilo otázku, kdo má právo tento stroj vyrobit.

Dohled on Arpokrat