Ochrana dat advokátů v elektronických úložištích

autor: prof. Ing. Vladimír Smejkal, CSc., LL.M.
publikováno: 20.04.2015

Policie se stále více snaží dostat k informacím advokátů

Po celý rok 2014 byla jedním z důležitých témat české advokacie otázka prohlídek prováděných Policií ČR u advokátů.

Jak bylo konstatováno již v březnu, „V poslední době prudce narůstá jejich počet. V roce 2013 proběhlo pětkrát více prohlídek než v roce 2012 a dosavadní vývoj v roce 2014 naznačuje další nárůst. … Existují případy, kdy orgány činné v trestním řízení vyrábějí z advokátů spolupachatele jen proto, že důsledně hájí zájmy obviněných klientů. … Není možné, aby orgány činné v trestním řízení nahrazovaly legitimní postupy tím, že budou primárně pátrat po důkazních prostředcích v komunikaci klienta s jeho advokátem. V příkazech k provedení domovních prohlídek advokátů se objevují stále častěji mlhavé důvody jejich nařízení typu ,Nalézt listiny, které souvisejí s trestnou činností klienta.´ To vede k obavě, že policejní orgány mohou pracovat například na politickou objednávku, mohou si vybrat osobu nebo skupinu osob, které chtějí trestně stíhat (aniž zatím ví proč), a teprve následně hledat něco, co by stíhání odůvodnilo v důvěrné komunikaci těchto osob s jejich advokáty. Byť jen podezření, že k něčemu takovému může docházet, je alarmující. Cílem prohlídek advokátů může být také snaha policejních orgánů o zastrašování obhajoby anebo prostě jen znesnadnění výkonu advokacie znemožněním přístupu k počítačům.“[1]

Že tomu tak může být, konstatoval mj. i Ústavní soud, podle kterého „Prolomení nezávislosti advokáta bez zákonných důvodů znamená zásah jak do práv klientů, tak do synallagmaticky daných povinností a práv advokátových souvisejících s výkonem jeho povolání. Zadržováním výpočetní techniky, ale také informací a dokumentů v nich uložených, které je advokát ze zákona povinen v rámci poskytování právních služeb přiměřeně evidovat (§ 25 odst. 1 zákona o advokacii), a které k řádnému výkonu advokacie potřebuje, v rozporu s procesním stavem věci, je pak dotčeno advokátovo ústavně zaručené právo vlastnit majetek dle čl. 11 odst. 1 Listiny základních práv a svobod, a ve svém konečném důsledku představuje i zásah do práva podnikat a provozovat jinou hospodářskou činnost podle čl. 26 Listiny základních práv a svobod. Toto právo totiž zahrnuje i povinnost orgánů činných v trestním řízení respektovat advokátovu povinnost mlčenlivosti sloužící jako ochrana klientů advokáta, a tedy advokátovu mlčenlivost jako podmínku pro výkon advokacie, který je advokátovou podnikatelskou činností.“[2]

Další průběh roku 2014 nasvědčuje stabilně zvýšené touze orgánů činných v trestním řízení (OČVTŘ) dostat se k informacím nacházejících se u advokátů:

„V roce 2013 proběhlo 27 prohlídek za přítomnosti zástupce ČAK, v roce 2014 pak 25 prohlídek. V roce 2013 se chtěl policejní orgán seznámit s obsahem listin, které podléhají mlčenlivosti, a nebyl mu udělen souhlas zástupce ČAK v 17 případech, v roce 2014 ale již v 21 případech. Následně se orgány činné v trestním řízení v roce 2013 v sedmi případech a v roce 2014 již dokonce v deseti případech neobrátily na soud. V roce 2013 tak rozhodovaly soudy v deseti případech, z toho 4x byly listiny vydány zpět advokátům, 6x pak byly soudem zcela či částečně vydány policejnímu orgánu. V roce 2014 se před soud dostalo jedenáct věcí, v šesti dosud nebylo rozhodnuto, v jednom případě byly listiny vráceny advokátovi, 4x byly zcela či částečně vydány policejnímu orgánu.[3]“

Princip ochrany advokátního tajemství je jedním z pilířů svobodné advokacie a právního státu. Je symptomatické, že stále více se státní orgány snaží k informacím o klientech či o advokátech samých dostat za každou cenu.

Nosiče informací

Hájemství papíru stále více ustupuje záznamům v elektronické podobě, a to z řady důvodů:

1. elektronický dokument je levnější jak z hlediska pořízení, tak především z hlediska zpracování a archivace,

2. elektronický dokument je bezpečnější – můžeme mít nad ním větší kontrolu (řízený přístup), nezaskočí nás ztráta nebo odcizení (máme přece zálohy) a může být nezfalšovatelný (použijeme-li nástroje, jako jsou elektronický podpis, elektronická značka, časové razítko a komunikujeme-li prostřednictvím datových schránek[4]).

To vidíme průběžně od roku 2000 v českém právním řádu, kdy počínaje přijetím zákona o elektronickém podpisu byl zahájen pomalý, leč neodvolatelný proces zrovnoprávnění papírových dokumentů – listin a dokumentů elektronických (nazývaných také datové zprávy[5] nebo dokumenty v digitální podobě[6]). Advokáti velice rychle pochopili, že tvorba a úpravy právních dokumentů a korespondence je pomocí počítačů daleko efektivnější. Následovalo zahájení zprvu pozvolného, v současnosti ale již masového užívání e-mailů jako nejrozšířenějšího nástroje pro komunikaci v rámci advokacie i s klienty, a to přesto, že používání zejména tzv. freemailových adres (typicky na Seznamu) hraničí s nedostatečnou ochranou advokátního tajemství.[7]

Řadu let trvající tlak na justici, na kterém se autor článku výrazně podílel,[8] nakonec přinesl i možnost elektronického podávání se zaručeným elektronickým podpisem a konečně zásadní posun ke skutečně bezpečné zaručené komunikaci s orgány státu prostřednictvím datových schránek.[9] Zrcadlově s tím probíhala i přestavba státní správy a justice směrem k e-governmentu a objemy elektronických informací a komunikace trvale narůstají. (K lednu 2015 bylo zřízeno 630 131 datových schránek a „proteklo“ jimi 242 milionů zpráv.)

Můžeme tedy říci, že dnes se těžiště informací přesunulo do elektronické podoby a listiny jsou stále více nahrazovány elektronickými dokumenty. Toto má své výhody, ale jak se v souvislosti s domovními prohlídkami nebo prohlídkami jiných prostor, v nichž advokát vykonává advokacii, ukazuje, může to mít své nevýhody. Ale také můžeme říci opačně – kdo je připraven, není překvapen.

Abychom mohli dále pracovat souhrnně se všemi nosiči informací, zrekapitulujme si, že jde ve všech případech o písemnosti nebo také dokumenty, a to bez ohledu na použitý nosič. Dokument můžeme vymezit jako každý pramen informací na nějakém nosiči, který je uchovatelný v čase.[10] Co se týká písemnosti, pak je na čase, aby stále někde přetrvávající právní a všeobecný obyčej považovat pouze písemnosti na papíru za jediné možné písemnosti, byl nahrazen vnímáním technologicky neutrálním. Pro písemnost je charakteristické, že: 

1. jde o hmotný nosič (substrát), obsahující určitou informaci;

2. tato informace je na onen hmotný substrát někým zapsána a souvisí s ním,

3. je zapsána tak, aby mohla být následně informace přečtena libovolnou, resp. k tomu určenou osobou.

Pro některé písemnosti pak bude možné i s odstupem času zjistit, kdo tuto informaci na nosič zaznamenal či ji podepsal, případně musí být zjistitelné, že jako autor (vydavatel, signatář apod.) této informace není nikdo uveden (anonymní písemnost). Jak je vidět, tato definice nic neříká o technologické realizaci zápisu, o fyzikální podstatě hmotného substrátu, o způsobu, jakým se může libovolná osoba ujistit o obsahu písemnosti. Jinými slovy, nepotřebujeme vůbec mít materii ani způsob záznamu na ni definovánu, protože vždy se bude jednat o písemnost, pokud bude mít záznam trvalý charakter a informace může být opakovaně čtena (to je závislé pouze na fyzikální životnosti nosiče).[11]

V souvislosti s prohlídkami ust. § 85b odst. 12 trestního řádu hovoří sice mylně ve vztahu k výše uvedeným definicím, když říká, že „Listinou v odstavcích 1 až 11 se rozumí jak písemnost, popřípadě její část, tak i jiný nosič informací.“, nicméně nelze pochybovat o tom, že v rámci prohlídek u advokátů podle § 85b se ochrana informací, na něž se vztahuje povinnost mlčenlivosti advokáta, vztahuje na jakékoliv nosiče informací bez ohledu na jejich fyzikální podstatu. Pojem „nosič informací“ byl zaveden do českého právního řádu v rámci ustanovení § 257a, jež bylo do zákona č. 140/1961 Sb., předchozího trestního zákona, zařazeno zákonem č. 557/1991 Sb. s účinností od 1. ledna 1992 jako jeden z prvních „počítačových“ deliktů.

Obecně vzato je nosič informací jakýkoliv nosič, na kterém je informace zapsána. Dokonce nemusí být zapsána ani trvale – například v operační paměti počítače. To, že od samého počátku, kdy zákonodárce začlenil tento pojem do českého právního řádu, se uvažovalo o nosičích pouze a jen v souvislosti s výpočetní technikou, bylo dáno výkladově. Již v komentáři k předchozí právní úpravě se uvádí k nosiči dat: „Je to materiál, do kterého nebo na který lze zaznamenat data a z kterého lze data opět získat. Na nosiči mohou být informace uloženy zpravidla prostřednictvím magnetického, optického nebo elektronického záznamu. Může mít konkrétní podobu pevného disku, diskety, optického disku, magnetické pásky, operační paměti, čipu atd. Nosičem informace v tomto smyslu není pouhý záznam zvuku, záznam kinematografický ani video záznam, i když jsou na magnetické pásce. Na druhé straně lze za nosič informací považovat prostředek, který není příslušenstvím počítače (např. elektronický diář obsahující databanku s údaji).“[12]

Je tedy zřejmé, že od samého počátku se neuvažoval nosič informací v nejobecnějším slova smyslu, tj. jako jakýkoliv nosič obsahující informace zapsané analogovým způsobem – na papír, vytesané do kamene, na nějakém plakátu, dopravní značce apod., ale výlučně jako nosič digitálních informací.

V dnes aktuálním komentáři došlo pouze k tomu vývoji, že autoři zapomněli na osobní diáře, dnes již prakticky nepoužívané, a kromě počítače jako takového (operační paměť a pevný disk) a nosičů typu CD/DVD/USB připouštějí ještě mobilní telefon.[13]

Samozřejmě, že takový výčet je příkladmý a mohl by být daleko širší o všechny další možné nosiče obsahující digitální data: magnetické pásky (typicky používané pro zálohování diskových polí), paměťové karty (používané obecně v elektronice – v digitálních fotoaparátech, přenosných počítačích, mobilních telefonech, přehrávačích apod.). Dle názoru autora bychom ale za nosiče informací měli označit všechna zařízení, způsobilá k tomu, aby uchovávala především, ale nejen digitální informace; tedy i mobilní telefony, tablety, čtečky elektronických knih a zřejmě bychom mohli sem zařadit i GPS navigace, digitální záznamníky zvuku a obrazu (iPod, diktafony) apod.

Toto východisko je velmi důležité pro další obsah a účel tohoto příspěvku, neboť – jak můžeme zjistit i z existující judikatury, předmětem zájmu policie dnes nejsou jen dokumenty, ale veškeré záznamy informací nacházející se na libovolných nosičích – např. v mobilních telefonech.[14]

Místo výkonu advokacie

Po vydání rozhodnutí Městského soudu v Praze, který přistoupil poměrně neortodoxně k definování toho, co je v době informační společnosti místo výkonu advokacie, je třeba více než kdykoliv jindy věnovat pozornost způsobu, jakým advokát ukládá svá data na nosiče informací. A to i přesto, že prakticky ve stejnou dobu se stejnou problematikou zabýval soud vyššího stupně – Vrchní soud v Olomouci a dospěl k odlišným závěrům.

Technicky může mít advokát data, týkající se činnosti své kanceláře a tedy i svých klientů, které je povinen chránit podle ust. § 21 zákona o advokacii,[15] kdekoliv. Tedy na nosiči dat on-line, což může být osobní počítač nebo server v jeho kanceláři, ale také sever nebo datové úložiště (módně dnes nazývané cloud – viz dále) nacházející se jinde. Ono „jinde“ může být v jiných prostorách jeho „advokátní firmy“, ať už má jakoukoliv právní formu, či doma, může být u jiného advokáta (např. při práci ve sdružení), ale může být u subjektu, jehož předmětem činnosti je poskytování služeb v oblasti informačních systémů (provoz datového centra obsahujícího několik, ale i mnoho set serverů a diskových polí). Sem bychom mohli zahrnout i data nacházející se u osob poskytujících služby elektronických komunikací (poskytovatele e-mailových, webových a dalších služeb) a v informačních systémem vedených třetími osobami, stát nevyjímaje (typicky informační systém datových schránek). A aby byla věc ještě složitější, advokát dokonce nemusí mít ani programy, s nimiž zpracovává svá data, protože existují služby poskytující i programové vybavení – typicky tzv. cloud computing.

Ust. § 85b tr. řádu hovoří o „provádění domovní prohlídky nebo prohlídky jiných prostor, v nichž advokát vykonává advokacii“. Již na první pohled tedy nejde o sídlo ve smyslu § 13 zákona o advokacii. Analogii bychom našli u podnikatelů, kteří mají určenou adresu zapsanou ve veřejném rejstříku, přičemž nezapisuje-li se fyzická osoba jako podnikatel do veřejného rejstříku, je jeho sídlem místo, kde má hlavní obchodní závod (§ 502 o. z.), popřípadě kde má bydliště (§ 429 o. z.). Podnikat ale může také v pobočce či odštěpném závodu (§ 503 o. z.), ale vlastně kdekoliv, aniž by musel k tomu učinit nějaké další formální prohlášení.

Této interpretaci nasvědčuje i usnesení Vrchního soudu v Olomouci ze dne 30. 4. 2014, č. j. 6 To 24/2014 a 6 To 25/2014, podle kterého „Výkonem advokacie ve smyslu ust. § 85b odst. 1 tr. ř. je míněna veškerá činnost advokáta, nikoli jenom činnost v místě a sídle advokáta, registrovaném u České advokátní komory.“ Soud mj. konstatoval, že „Co je výkonem advokacie, vyplývá z § 1 zák. č. 85/1996 Sb., o advokacii, a to, že tímto je poskytování právních služeb. V ustanovení § 1 odst. 2 cit. zák. je pak uvedeno, co se rozumí poskytováním právních služeb, kdy se jedná o zastupování v řízení před soudy a jinými orgány, obhajobu v trestních věcech, udělování právních porad, sepisování listin, zpracovávání právních rozborů a další formy právní pomoci, jsou-li vykonávány soustavně a za úplatu. Řadu těchto činností může advokát vykonávat ve svém registrovaném sídle, ale jak vyplývá z uvedeného, ne všechny. Sem patří např. řízení před soudy či jinými orgány, právní pomoc v sídlech právnických osob apod., kdy tyto činnosti již nejsou logicky vázány na registrované sídlo advokáta tak, jak z této skutečnosti vychází státní zástupce v napadeném usnesení. Z citovaného zákonného ustanovení ani není patrno, že by výkon advokacie byl vázán na registrované sídlo konkrétního advokáta. Je tedy možno konstatovat, že advokát může a také vykonává advokacii na různých místech, odlišných od svého registrovaného sídla u České advokátní komory. Z uvedeného je pak možno jednoznačně dovodit, že advokát, jakožto osoba s volnou pracovní dobou, může a také vykonává advokacii v různé formě i v místě svého bydliště. … Ochranu zde nepožívá ten konkrétní advokát, nýbrž listiny a nosiče, na které se vztahuje povinnost mlčenlivosti, odvíjející se od smlouvy uzavřené mezi klientem a advokátem v rámci poskytování právní pomoci.“

Zdálo by se, že je vše jasné: místem výkonu advokacie je každé místo, kde advokát vykonává advokacii, tedy poskytuje právní služby ve smyslu § 1 zákona o advokacii, a kde se nacházejí či mohou nacházet listiny a nosiče informací, na které se vztahuje povinnost mlčenlivosti.

Zcela opačně ale přistoupil k definování místa výkonu advokacie Městský soud v Praze, který, ačkoliv – jak sám uvedl – si je při této úvaze vědom vyvíjející se judikatury i rozhodnutí Vrchního soudu v Olomouci ze dne 30. dubna 2014, sp. zn. 6 To 24/2014, a vzal v potaz, že advokát může také vykonávat advokacii na místech odlišných od svého registrovaného sídla u České advokátní komory, přesto však dospěl k závěru, že v tomto konkrétním případě se o takové místo nejedná a nebyla splněna podmínka dle § 85b odst. 1 tr. řádu. Soud uvedl, že „Advokát může vykonávat advokacii na místech odlišných od svého registrovaného sídla u České advokátní komory. Za místo výkonu advokacie však nelze považovat prostory sloužící k úschově datových serverů, na nichž má advokát uložena svá data, a tudíž není třeba přítomnosti a souhlasu zástupce Komory k seznámení orgánu provádějícího úkon s daty na serverech, které mohou obsahovat informace, na něž se vztahuje povinnost mlčenlivosti advokáta.“[16]

Čím se lišil tento případ od případu posuzovaného Vrchním soudem? Jak se uvádí v usnesení, ve věci podezření ze spáchání zvlášť závažných zločinů byly zajištěny při prohlídce jiných prostor na základě příkazu k prohlídce jiných prostor, vydaných soudcem Obvodního soudu, tzv. otisky disků ze serverů nacházejících se v tzv. hostingovém centru Nagano, tedy datovém centru provozovaném jedním z největších poskytovatelů ICT služeb, společností O2 Czech Republic, a. s., v objektu vlastníka Prospec Nagano, a. s. Podle usnesení soudu se zde nacházely také datové servery spravované společností PROCUSYS, a. s., na nichž se podle tvrzení advokátní kanceláře měly nacházet údaje klientů advokátní kanceláře. Přitom PROCUSYS, a. s., se měla podle policie podílet na vedení účetnictví společností, které měly čerpat nadměrné odpočty daně z přidané hodnoty. Soud tedy k věci přistoupil tak, že:

1. ze spisového materiálu žádným způsobem nevyplývá, že se mělo jednat o prohlídku jiných prostor, v nichž advokát vykonává advokacii,

2. jedná se o úložiště serverů externí účetní společnosti, tedy místo, které ze své povahy není místem, kde advokát vykonává advokacii.

Z dikce ust. § 1 odst. 2 zákona o advokacii tedy dovodil, že místem výkonu advokacie rozhodně nejsou prostory sloužící k úschově datových serverů.

Důsledky argumentace soudu mohou být fatální, a to i když abstrahujeme od některých dalších, poměrně specifických okolností výše popsané věci, z nichž lze dovozovat, že se všechny zúčastněné strany snažily na sebe nějak „vyzrát“. Ale co se týká meritu věci, jak uvádí komentář k tomuto rozhodnutí, „Postup podle § 85b trestního řádu je tedy podle názoru soudu aplikovatelný jen v poměrně úzce vymezené skupině případů – v kanceláři (registrovaném sídle) advokáta, v jeho obydlí a případně v dalších prostorách, kde se mohou pravidelně ve větším množství nacházet listiny se skutečnostmi, jež jsou chráněné povinností mlčenlivosti, a kde zároveň advokát poskytuje právní služby. Opačně při tomto výkladu jsou z postupu podle § 85b trestního řádu vyloučeny jakékoliv jiné prostory – např. restaurace, kavárny, rekreační objekty, hotely atd., datová úložiště nevyjímaje. Znamená to, že pokud např. bude advokát pracovat na dovolené, v hotelovém pokoji či na chalupě, může policejní orgán domovní prohlídku provést, aniž by postupoval podle § 85b trestního řádu. … Je běžné, že v dnešní době advokáti uchovávají zásadní část dokumentace ve virtuální podobě, mimo prostory jejich kanceláře; díky přenosným počítačům a chytrým telefonům pracují na cestách, na dovolených anebo jen rádi při práci mění pracovní prostředí. Zásadním faktorem pro určení, zda určité písemnosti mají či nemají spadat pod postup podle § 85b trestního řádu, by měl být dán povahou dokumentů, a nikoliv místem, kde se dokumenty nalézají. Nezáleží na tom, zda je informace chráněná mlčenlivostí umístěna na papírovém nosiči, na disku počítače v sídle advokáta nebo na externím úložišti zcela mimo tyto prostory. Režim zacházení s chráněnými informacemi by měl být ve všech případech stejný. Pokud tomu tak není, jde o nepřiměřené rozšíření moci represívní složky státu na úkor práv a svobod lidí.“[17]

Autor článku se plně ztotožňuje s názorem cit. autorů, že „Výkon advokacie v 21. století není omezen na jednu konkrétní lokalitu – kancelář advokáta, ale probíhá do velké míry virtuálně.“ Otázkou ale je, co tím „virtuálním výkonem advokacie“ myslíme (asi bychom nechtěli být zastupováni advokátem zdánlivým či simulovaným, což je původní smysl tohoto slova). Nemyslí si ale, že by měl vývoj legislativy okamžitě reagovat na každou změnu technologií. Tím by se stále více z právních norem stávaly normy technické či spíše metodické postupy.[18] Právě rozhodovací praxe soudů, a to především Nejvyššího soudu a Ústavního soudu, by měla zareagovat na rozpor mezi rigidním (chceme-li, pak jazykovým) a teleologickým výkladem ust. § 85b tr. řádu v podmínkách moderních informačních technologií.

Zřejmě se ale shodneme na tom, že klíčová je informace a její vlastník (správce), kterým je advokát, nikoliv to, kde se nachází (za předpokladu, že souvisí s poskytováním právních služeb, jak jsou popsány v ust. § 1 odst. 2 zákona o advokacii).[19] Analogii můžeme nalézt v jiných předpisech. Např. zákon o ochraně osobních údajů říká, že „Správcem je každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů může správce zmocnit nebo pověřit zpracovatele, pokud zvláštní zákon nestanoví jinak.“ Dále pak, že „Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.“

Podobně zákon č. 365/2000 Sb., o informačních systémech veřejné správy, definuje správce informačního systému veřejné správy jako subjekt, který podle zákona určuje účel a prostředky zpracování informací a za informační systém odpovídá, zatímco provozovatelem informačního systému veřejné správy je subjekt, který provádí alespoň některé informační činnosti související s informačním systémem. Pokud tedy bude na nosiči informací jakýkoliv informační systém, databáze – tedy elektronická data, která spravuje advokát, pak bez ohledu na jejich umístění zcela jistě slouží k výkonu advokacie.

V takovém případě by mělo být podstatné pouze to, že se jedná o data, jež reprezentují informace, které advokát získal či vytvořil v souvislosti s poskytováním právních služeb, a to bez ohledu na místo, kde se nacházejí. Nebudou to tedy data jejich spolupracujících firem či dodavatelů. Z citovaného rozsudku by se možná dalo dovodit, že se ochrana nevztahuje ani na data, která advokát poskytne třetí osobě k dalšímu zpracování. To je ale chybný výklad, protože pokud se jedná o data, která jsou předmětem advokátního tajemství, pak nepochybně jimi jsou i u oné třetí osoby – zpracovatele. Podle názoru autora je třeba rozlišit, kdy advokát použije službu uložení nebo zpracování dat u třetí osoby (pak je stále vlastníkem), a kdy se jedná o data, jejichž vlastníkem (správcem) je někdo jiný. Faktem je, že na případ, kdy advokát dá třetí osobě advokátní data ke zpracování (např. provedení analýzy nějakým speciálně napsaným programem), zákon nemyslí vůbec.

Na druhou stranu právě místo a případně osoba poskytovatele služeb mohou být klíčovými faktory jak z hlediska ochrany před aktivitou OČVTŘ, tak z hlediska bezpečnosti dat advokáta. S tím souvisí i to, že nesmíme také zapomenout na off-line nosiče dat, jak jsou uvedeny v předchozí části. Týká se to nosičů, které se budou nacházet podobně jako on-line nosiče v prostorách advokáta, spolupracujících osob ve smyslu § 21 odst. 9 zákona o advokacii, ale také mohou být u třetích osob – naprosto soukromých (osoby blízké a jeho známí) i poskytujících služby (ubytovatelé, opraváři IT technologií nebo veřejný či tzv. samoobslužný sklad).

Základní modely zpracování elektronických dat

Varianta první spočívá v tom, že všechno má advokát na stroji (strojích) a dalších nosičích informací, které jsou v jeho vlastnictví, v jeho prostorách či prostorách spolupracujících osob dle zákona o advokacii, u něj doma. Lze se tedy domnívat, že právně bude chráněn i tím nejrigidnějším výkladem ust. § 85b tr. řádu. Ale bude chráněn fakticky před únikem informací (prostřednictvím osoby nacházející se v jeho kanceláři – trvale či jen na okamžik), útokem policie, průnikem zvenčí atd.? Bez technicko-organizačních opatření nikoliv.

Varianta druhá, kdy bude používat nějaké datacentrum, cloud nebo i jen prostou službu vzdáleného internetového úložiště (Google Drive, Microsoft OneDrive, Dropbox apod.) je velice závislá na konkrétní formě služby a jejím poskytovateli. Ten, kdo má kontrolu nad infrastrukturou a nad daty advokáta, ovlivňuje zásadním způsobem bezpečí jeho dat.

Pokud se bude jednat o pouhé užívání serveru nacházejícího se u třetí osoby v působnosti českého právního řádu, možná i EU – těžko posoudit, pak je dostupnost pro státní orgány vysoká, posílená navíc skutečností, že poskytovatel služeb není advokátem, nepodléhá povinnosti mlčenlivosti a upřímně řečeno – může být na něj vykonáván snadnější nátlak než na zkušeného advokáta.

Budeme-li hovořit o použití vzdáleného datacentra (cloudu) mimo území ČR/EU, pak platí:

• Data jsou fyzicky uložena u poskytovatelů služeb, díky čemuž nejsou pod přímou kontrolou zákazníků cloudu – advokátů. Advokát musí věřit, že tam data jsou, jsou chráněna, zálohována a vždy dostupná.

• Data mohou být fyzicky uložena v jiné zemi – u velkých poskytovatelů jsou obvykle využívána technologická centra po celém světě. Někdy ani uživatel není schopen zjistit, kde se právě data fyzicky nacházejí. Tato skutečnost může představovat určité právní problémy, například v oblasti zpracování osobních nebo citlivých údajů, autorských práv, jakož i z hlediska rozdílných právních úprav z hlediska odpovědnosti za škodu a její náhradu, limitace škody nebo vymahatelnosti práva vůbec. Poskytovatel se může nacházet v obtížně definovatelné či uchopitelné jurisdikci se zcela odlišným právním řádem.

• Současně ale to může být výhodou z hlediska fyzické nedostupnosti dat pro OČVTŘ, jakož i z hlediska obtížného opatřování tzv. právní pomoci a prosazování tuzemských příkazů státních orgánů vůči subjektu nacházejícím se na druhém konci světa.

Použití externího cloudu je proto otázkou komplexního právního a manažerského posouzení (náklady vs. rizika).[20]

Bezpečnost a ochrana dat advokáta

Advokát je odpovědný za bezpečnost svých dat stejně, jako orgán veřejné moci nebo podnikatel. Proto i při zabezpečení by měl postupovat stejně, přičemž nastavená (požadovaná) úroveň zabezpečení musí být vyšší, nežli průměrně bývá. Bezpečnost nevybudujeme tím, že to svěříme firmě, jež nám čas od času spraví počítač nebo natáhne nějaký kabel. Ani tak, že si zakoupíme antivir a zvedneme délku hesel na 11 znaků. Jde o proces, který musí být řízený, systematický a trvalého charakteru.

První zásadou pro vybudování informační kultury advokátní kanceláře je uvědomit si důležitost informací jako významného aktiva, jejich hodnotu a cenu. To si většina advokátů uvědomuje, ale musí si to uvědomovat také všichni zaměstnanci a externisté.

Koncepce ochrany důvěrných informací (advokátního tajemství) vychází ze zásady používání informací pouze tam, kde je jich zapotřebí (need to know). Chráněné informace smějí používat pouze ty osoby, které je potřebují znát.

Další zásadou je, že je chráněna informace v jakékoliv formě a podobě, na jakémkoliv nosiči, vyjádřená libovolným způsobem. Ochrana informací je dnes mnohdy mylně chápána jako ochrana automatizovaných informačních systémů; jedná se o nebezpečný omyl, neboť musíme chránit informace bez ohledu na nosič, na kterém se nacházejí.

Neméně důležitou je i otázka zabezpečení neautomatizovaného zpracování informací, tedy písemné dokumenty, rukou psané poznámky, telefonické hovory, záznamy jednání s klienty, faxové zprávy, poštovní zásilky, vnitropodniková pošta apod.

Chráněny jsou jakékoliv nosiče údajů a informací – viz výše, a všechny formy přenosů údajů a informací, tedy přenosy poštovní, kurýrní, osobní, telefonické, faxové, datové apod.

Základním úkonem v rámci budování informační bezpečnosti organizace je provedení klasifikace informací tak, aby byla definována jejich potřebnost, důležitost a stupeň ochrany.

S informacemi bude následně nakládáno způsobem, který je adekvátní jejich klasifikaci. Informace mohou mít různý stupeň citlivosti nebo mohou být různě kritické.

Základní členění chráněných informací by tedy mohlo spočívat v rozdělení informací například do kategorií:

• citlivé informace – advokátní tajemství,

• informace pro vnitřní potřebu, případně vyhrazené informace pouze pro některé osoby,

• veřejné (zveřejnitelné) informace.

Bezpečnost informací je charakterizována jako zachování:

1. důvěrnosti – zajištění toho, aby informace byla dostupná pouze osobám oprávněným pro přístup;

2. integrity – zabezpečení správnosti a kompletnosti informací a metod zpracování;

3. dostupnosti – zajištění toho, aby informace a s nimi spjatá aktiva byly přístupné autorizovaným uživatelům podle jejich potřeby a ve stanovené době.

Základní bezpečnostní cíle jsou splněny tehdy, když:

• je informace dostupná a použitelná v případě potřeby a systémy, které ji zpracovávají, jsou schopny podle potřeby obnovit svoji činnost (dostupnost informací);

• informace jsou dostupné pouze těm, kteří je potřebují (důvěrnost informací);

• informace jsou chráněné proti neoprávněným změnám (integrita informací);

• výměna informací uvnitř organizace a s externími subjekty je důvěryhodná (autentizace a nepopiratelnost původu informací).[21] 

Budování informační bezpečnosti advokátní kanceláře by mělo probíhat v tomto (nepřetržitém) procesu:

Budování bezpečného informačního systému advokáta tedy nespočívá v tom, že počítače nechá roztavit ve vysoké peci a všechno si začne psát do notýsku. Ale ani v tom, že si pořídí trezorovou serverovnu a chrání ji výbušným systémem. Je třeba postupovat výše uvedeným způsobem, který v podmínkách běžné advokátní kanceláře může být jednodušší, než se ze schématu zdá.

Minimální opatření pro zabezpečení kanceláře

Malé i větší advokátní kanceláře by měly provést analýzu rizik – co se může stát (hrozby), jaký to bude mít důsledek pro advokátní praxi, resp. pro jednotlivé advokáty a zaměstnance, pro klienty (dopady).

Na základě toho si vypracujte plán, jakým způsobem chcete bezpečnost zajistit, nebo si jej nechte zpracovat od odborníků. Pokud možno takových, kteří vám nechtějí nic prodat – ani hardware, ani software. Součástí plánu by měla být rozvaha časová i finanční. Tu porovnejte se škodami, jež vám hrozí, a pokud nejsou v naprostém rozporu, postupujte podle něj.

Rozhodnout se musíte mezi dvěma základními variantami:

1. budu chránit všechno, co se jednou ocitne na elektronickém nosiči informací – pak se nemusíme příliš zdržovat s klasifikací, ale chránit všechno znamená chránit, tj. šifrovat absolutně všechny nosiče dat, které se v AK používají; platí to samozřejmě i pro notebooky, tablety, USB a jiná externí média apod.,

2. budu chránit výběrově pouze citlivé údaje; pak každý, kdo nějaká data ukládá, musí umět rozlišit mezi „veřejnými“ a „chráněnými“ daty, přičemž pro chráněná data mohou existovat kromě šifrování i další, ještě sofistikovanější postupy.

Pravidla musí být popsána formou tzv. bezpečnostní politiky kanceláře. Všechny osoby zde působící ji musí znát, zavázat se ji dodržovat a její dodržování musí být neustále kontrolováno. Bez splnění posledního bodu si budete na bezpečnost jen hrát. IS může být členěn podle advokátů, klientů, kauz – v podstatě jakkoliv – a každá část může mít nastavenu jinou úroveň ochrany a jiná přístupová oprávnění, tedy jinou politiku. Např. není nutné zvolit stejný stupeň utajení pro některá občanskoprávní řízení jako pro závažné kriminální případy.

• Zálohujte data každý den podle pravidla 3-2-1: tři zálohy, z toho pouze 2 na stejné typy nosičů (na stejných technologiích) a 1 kopii na geograficky jiném místě. Zálohy budou samozřejmě rovněž šifrovány. Prakticky si lze tento postup představit tak, že máte data na jednom disku (diskovém poli), tento je 100% zrcadlený na druhý disk ve stejném serveru (obvykle metodou nazývanou RAID, která je sice primárně určena pouze pro zajištění dostupnosti disků při výpadku jednoho z nich, ale lze ji považovat i za zálohu svého druhu). Třetí úložiště může být v jiné budově připojené po vnitřní síti nebo v nějakém zahraničním datacentru.

• Vytvořte si pohotovostní plán, který bude popisovat postupy pro případy požáru, povodně, vpádu policie, selhání zaměstnance, havárie severu apod.

• Do vnitřní sítě připojujte pouze schválená a bezpečnostně prověřená zařízení.

• Systémový software pravidelně aktualizujte.

• Všechna opatření zadokumentujte.

• Každý člen kanceláře musí být pravidelně školen v otázkách bezpečnosti.

• Zaveďte vícefaktorovou autentizaci: do sítě se budou uživatelé přihlašovat pomocí jména, hesla a „něčeho třetího“ – tokenu (např. přívěšku na klíče s USB, otisku prstu, čipové karty apod.).

• Uživatelský software vytvořený pro vás na klíč prověřte, zda nemůže jeho dodavatel (správce) vstupovat na dálku k vašim datům.

• Pro dálkový přístup na firemní server používejte pouze zabezpečené připojení.

Berte jako prostý fakt, že telefonní hovory prostřednictvím českých operátorů mohou být odposlouchávány. Pro citlivější komunikaci používejte nástroje jako WhatsApp, Viber, Skype nebo speciální šifrovací telefony. Míra bezpečnosti komunikace je zde ovšem různá a je dána ani ne tak vlastním řešením, ale především tím, že probíhá přes servery umístěné daleko v zahraničí. Absolutní bezpečnost poskytuje komunikace se šifrováním typu end-to-end, tedy mezi dvěma šifrujícími stanicemi. Toto téma je ale již vysoce speciální a nad rámec tohoto příspěvku.

Prostřednictvím e-mailu si nesdělujte žádné důvěrné informace. Pokud musíte takto poslat elektronický dokument, zašifrujte jej a heslo sdělte protistraně jiným komunikačním kanálem. Je třeba upozornit, že různé formáty (DOC či PDF apod.), resp. programy, které s nimi pracují (MS Word nebo Adobe Acrobat) poskytují různou sílu ochrany a jejich prolomení může být někdy otázkou minut, někdy lidského života. Informujte se u odborníků!

Minimalizujte papírové dokumenty. Co vznikne v elektronické podobě, netiskněte. Co přišlo na papíru, oskenujte, uložte na nosič informací a dokument skartujte. Papír neuhlídáte.

Zaveďte kontrolu přístupu – do kanceláře, do všech nebo vybraných místností, v každém případě do serverovny.

Ale hlavně mějte na paměti, že absolutní většina kompromitací vznikne pomocí zaměstnanců, společníků, externistů, případně i „náhodných“ návštěvníků, opravářů apod. Počítejte se zradou zevnitř! Ne, vaše úžasná sekretářka, která u vás pracuje od založení kanceláře, to asi nebude. Ale nespokojený zaměstnanec či praktikantka na brigádě – za ty bych ruce do ohně nedal. Mohou mít své motivy, mohou být zneužitelní, vydíratelní. Takže se opět vracíme k úvodnímu principu „need to know“.

A co hesla?

Otázkou hodnou dalšího zkoumání je, zda může advokáta, ale i jinou osobu (zaměstnance, klienta) nutit policie, aby prozradil přístupové údaje např. k přihlášení do systému, k odšifrování obsahu disku apod. Podle Listiny základních práv a svobod, čl. 37 odst. 1 „Každý má právo odepřít výpověď, jestliže by jí způsobil nebezpečí trestního stíhání sobě nebo osobě blízké.“ Podle čl. 40 odst. 4 „Obviněný má právo odepřít výpověď; tohoto práva nesmí být žádným způsobem zbaven.“ Uvedená ustanovení známe také jako zákaz sebeobviňování, resp. jako zákaz donucování k poskytnutí důkazů proti sobě samému a podle informací autora je to zřejmě jedna z málo oblastí, kde si jsou české OČVTŘ vědomy tohoto ústavního limitu. Je ovšem otázkou, jak dlouho toto vydrží.

Podle veřejně dostupných informací přístupy v jednotlivých zemích, alespoň ty, které byly publikovány a které nemusí být jediným možným postupem (mohou existovat i utajené či vysloveně protiprávní postupy), se současná praxe dosti odlišuje. Mezi „civilizované“ státy, kde je oficiálně takový postup zakotven velmi rozličným způsobem v právních předpisech a vztahuje se na podezřelé či obviněné (nikoliv třetí osoby) se značnou mírou variability co do situace, povinností, vztahu k zákazu sebeobviňování atd., patří mj. Austrálie, Belgie, Francie, Holandsko a částečně Spojené státy americké, nicméně tam je vzhledem k precedenčnímu právu a odlišným jurisdikcím v jednotlivých státech a jurisdikci federální situace poněkud nepřehledná. Varováním by mohl být stav ve Spojeném království Velké Británie a Irska, kde předpis RIPA[22] zakládá zřejmě největší pravomoci státu k přístupu do chráněných dat a komunikace. Podle tohoto zákona je možné vynutit vydání kryptografických klíčů za daných podmínek. Ten, kdo odmítne předat hesla, může být potrestán až pěti lety vězení, pokud je vyšetřován v souvislosti s terorismem či ohrožením národní bezpečnosti. Až dva roky může dostat ten, kdo je vyšetřován v ostatních případech. Nezbývá, než doufat, že se tato inspirace nerozšíří na starý dobrý kontinent. Další informace o kybernetické bezpečnosti a ochraně dat lze nalézt v právě vydávané knize autora článku Kybernetická kriminalita.[23]

Závěrečná doporučení

1.  Nespoléhejte na právní ochranu, nemusí se vůbec uplatnit.

2.  Nemyslete si, že nikdo netouží po vašich datech a obsahu komunikace.

3.  Bezpečnost se nedá koupit jako produkt. Je to trvalý proces.

4.  Začněte dřív, než bude pozdě.

Autor působí na Fakultě podnikatelské Vysokého učení technického v Brně, Právnické fakultě Masarykovy univerzity v Brně, UNICORN COLLEGE v Praze a ve své kanceláři soudního znalce v Praze. V letech 2004-2014 byl členem Legislativní rady vlády ČR.