Digitální peněženka pro 450 milionů Evropanů: jak Česko staví infrastrukturu, které se bojí

Investigativní analýza evropského nařízení eIDAS 2.0 a jeho dopadu na Českou republiku

V říjnu 2025 zkolabovala česká aplikace eDoklady uprostřed parlamentních voleb. Předsedkyně Sněmovny Markéta Pekarová Adamová se nemohla digitálně identifikovat a ministerstvo vnitra vyzývalo občany, aby si přinesli plastové průkazy¹. Ředitel Digitální a informační agentury Martin Mesršmíd podal demisi². Šlo o ostudný výpadek — ale také o varovný signál. Tatáž instituce, která nezvládla ověřit totožnost voličů, má do konce roku 2026 spustit Evropskou peněženku digitální identity (EUDI Wallet) — systém, jenž bude uchovávat občanské průkazy, řidičáky, diplomy, zdravotní záznamy a daňové údaje 450 milionů Evropanů³.

Nařízení EU 2024/1183, známé jako eIDAS 2.0, vstoupilo v platnost 20. května 2024⁴. Každý členský stát musí svým občanům nabídnout digitální peněženku do prosince 2026. Do prosince 2027 ji budou muset přijímat banky, telekomunikační operátoři a velké internetové platformy s více než 45 miliony měsíčních uživatelů⁵. Globální trh s digitální identitou má do roku 2030 dosáhnout 80 miliard dolarů⁶.

Nařízení slibuje ochranu soukromí „by design" a kontrolu uživatele nad vlastními daty. Jenže implementační technické specifikace systematicky oslabují nebo zcela vynechávají záruky, které obsahuje zákonný text. Organizace epicenter.works, jediná neziskovka, jež na eIDAS kontinuálně pracuje od jeho vzniku, označuje tento rozpor za „největší ostudu celé reformy" — v prováděcích aktech totiž chybí jakýkoli závazný požadavek na nesledovatelnost uživatelů⁷.

Česká republika se v tom všem ocitá ve zvláštní pozici. Země, jejíž pirátský ministr během českého předsednictví v Radě EU odstranil z nařízení klíčové pojistky chránící soukromí⁸. Země, jejíž nejstahovanější identitní aplikace zkolabovala ve volební den¹. Země, jejíž policie provozuje databázi dvaceti milionů fotografií z občanských průkazů⁹ a šest měsíců nelegálně používala rozpoznávání obličejů na pražském letišti¹⁰. A současně země, kde bankovní identita slouží pěti milionům lidí¹¹ a kde neziskové organizace vyhrávají precedentní soudní spory proti plošnému sledování¹².

Tato investigace mapuje, jak největší evropský projekt digitální infrastruktury naráží na českou realitu — a proč by měl zajímat každého, kdo vlastní občanský průkaz.

I. Zákon, který vznikal za zavřenými dveřmi

Původní nařízení eIDAS z roku 2014 zavedlo rámec pro elektronickou identifikaci, ale zaznamenalo mizivý úspěch — jen 14 z 27 členských států implementovalo kompatibilní schémata¹³. Impulz k revizi přišel během pandemie. Závěry Evropské rady z října 2020 vyzvaly k „celoevropskému rámci bezpečné elektronické identifikace"¹⁴. Předsedkyně Komise Ursula von der Leyenová téma představila jako otázku suverenity: pokaždé, když nás web nebo aplikace požádá o vytvoření nové digitální identity, nemáme tušení, co se děje s našimi daty¹⁵.

Návrh Komise předložila 3. června 2021¹⁶. Legislativní cesta trvala přes tři roky a procházela pěti předsednictvími Rady. České předsednictví pod vedením místopředsedy vlády Ivana Bartoše dosáhlo 6. prosince 2022 obecného přístupu Rady¹⁷. Švédské předsednictví zahájilo trialogy v březnu 2023, ale konstatovalo, že Parlament a Rada jsou „daleko od sebe" v otázce soukromí¹⁸. Politickou dohodu uzavřelo až Španělsko po devatenácti technických jednáních — finální trialog proběhl 8. listopadu 2023¹⁹.

Evropský parlament podal 1 010 pozměňovacích návrhů²⁰. Při závěrečném hlasování 29. února 2024 hlasovalo proti neobvykle vysokých 190 europoslanců — více než třetina přítomných²⁰. Nařízení bylo publikováno v Úředním věstníku EU 30. dubna 2024⁴.

Co veřejné záznamy neukazují, je rozsah rozhodnutí přijatých za zavřenými dveřmi trialogových jednání. Thomas Lohninger z organizace epicenter.works upozornil, že Referenční architektura (ARF), která překládá zákon do technické reality, byla vytvořena s průmyslovým vlivem, ale „nemůže být dál od demokraticky dohodnutého legislativního textu"⁷.

II. Jak peněženka funguje — a kde soukromí selhává

EUDI Wallet je primárně mobilní aplikace s kryptografickým hardwarovým zabezpečením²¹. Uchovává osobní identifikační údaje (PID) a kvalifikované elektronické atestace atributů (QEAA) — kryptograficky podepsané dokumenty pokrývající řidičské průkazy, lékařské předpisy, vysokoškolské diplomy i daňové záznamy²². Data jsou uložena lokálně v zařízení uživatele.

Povinná datová sada PID zahrnuje jméno, datum narození, věkový příznak „starší 18 let" a unikátní identifikátor přidělený vydávajícím členským státem²³. Peněženka komunikuje s ověřujícími stranami přes protokoly OpenID4VP a OpenID4VCI²¹.

Architektura soukromí stojí na třech pilířích: selektivní sdílení údajů, nesledovatelnost transakcí a nemožnost pozorování ze strany poskytovatele peněženky. Všechny tři jsou v současné technické implementaci narušeny²⁴.

Španělský úřad pro ochranu osobních údajů (AEPD) zdokumentoval, jak pomocné informace v elektronických atestacích — kryptografické soli, hashe, hodnoty podpisů — obsahují globálně unikátní údaje zneužitelné jako osobní identifikátory²⁵. Protože formáty SD-JWT i ISO mdoc používají digitální podpisy, tentýž kryptografický podpis lze rozpoznat napříč různými prezentacemi, čímž je znemožněna takzvaná multi-show nesledovatelnost²⁵.

Řešením, které požadovali obhájci soukromí, jsou důkazy nulové znalosti (ZKP) — kryptografické metody umožňující prokázat tvrzení (například „je mi více než 18 let"), aniž by se odhalila jakákoli podkladová data. Nařízení zmiňuje ZKP pouze v nezávazném recitálu, nikoli v závazných článcích⁷. Organizace epicenter.works to komentovala stručně: „Zero-knowledge je od členských států vyžadováno jen v recitálu, takže nemusí být dostupné ve všech zemích."⁷

Kryptografka Anja Lehmannová z Hasso-Plattner-Institutu na kongresu Chaos Communication Congress v prosinci 2024 konstatovala, že Referenční architektura potřebuje „rozsáhlejší redesign" a navrhla anonymní přihlašovací údaje založené na schématu BBS+²⁶. Profesor Jaap-Henk Hoepman z Univerzity v Karlstadu na Národní konferenci o soukromí v roce 2025 prohlásil: „Implementace digitálních podpisů v současném standardu eIDAS 2.0 znamená, že uživatele lze stále sledovat napříč různými službami."²⁷

III. Článek 45 a bitva o bezpečnost prohlížečů

Veřejně nejkontroverznějším ustanovením byl článek 45, který vyžaduje, aby webové prohlížeče uznávaly kvalifikované certifikáty pro autentizaci webových stránek (QWAC), vydávané vládou určenými poskytovateli důvěryhodných služeb²⁸. Hrozba je přímočará: kořenový certifikát dává svému držiteli schopnost vydávat certifikáty pro jakoukoli doménu. Pokud vládou kontrolovaná certifikační autorita vydá podvodný certifikát pro gmail.com, může vláda zachytávat veškerou komunikaci mezi uživateli a Gmailem — klasický útok typu man-in-the-middle²⁹.

Odpor dosáhl bezprecedentního rozsahu. Otevřený dopis publikovaný 1. listopadu 2023 na stránce last-chance-for-eidas.org podepsalo 504 vědců a výzkumníků z 39 zemí, kteří varovali, že návrh „radikálně rozšiřuje schopnost vlád sledovat vlastní občany i rezidenty v celé EU"³⁰. Následující den vydaly Mozilla, Cloudflare, Let's Encrypt, Linux Foundation a OpenSSF společné prohlášení, v němž označily články 45 a 45a za ustanovení, jež „pravděpodobně oslabí bezpečnost internetu jako celku"³¹.

Electronic Frontier Foundation publikovala analýzu s provokativním titulkem „Článek 45 vrátí bezpečnost webu o 12 let zpět"³². Bezpečnostní výzkumník Scott Helme upozornil i na finanční motiv: síť European Signature Dialog, sdružující poskytovatele důvěryhodných služeb účtujících 700 až 1 400 eur za jeden QWAC certifikát, agresivně lobovala za zachování článku 45.2³³.

Finální nařízení přidalo článek 45a, který prohlížečům umožňuje přijmout „preventivní opatření" proti certifikátům s „podloženými obavami z bezpečnostních porušení"³⁴. Když byl prováděcí akt k QWAC přijat 17. prosince 2025, kampaň Mozilly SecurityRiskAhead ho označila za „velké vítězství pro bezpečnost internetu"³⁵. Zda toto vítězství obstojí v praxi, se teprve ukáže.

IV. Bartošův paradox: pirát, který osekl ochranu soukromí

Nejzásadnější český příspěvek k eIDAS 2.0 se odehrál nikoli na úrovni implementace, nýbrž legislativy — a byl hluboce ironický.

Během českého předsednictví v Radě EU (červenec–prosinec 2022) předsedal jednáním místopředseda vlády Ivan Bartoš, předseda České pirátské strany a předseda Rady pro telekomunikace³⁶. Pod jeho vedením vznikl pátý kompromisní text, který Rada přijala 6. prosince 2022¹⁷.

Podle podrobné analýzy organizace epicenter.works z 24. října 2022 český text odstranil záruky soukromí, které do nařízení vložily jak Evropský parlament, tak předcházející francouzské předsednictví⁸. Konkrétně český návrh umožnil sledování uživatelů prostřednictvím trvalých identifikátorů a zachoval možnost centralizovaného pozorování všech transakcí peněženky členskými státy⁸.

Thomas Lohninger, výkonný ředitel epicenter.works a místopředseda sítě European Digital Rights, vydal tvrdé hodnocení: „Parlament opravdu posílil záruky, které přidal, a dokonce i v Radě to po dlouhou dobu vypadalo velmi dobře. To bylo během francouzského předsednictví na začátku roku 2022. Ale pak převzala česká vláda a ministr Ivan Bartoš byl zodpovědný za nařízení eIDAS. A já stále nechápu, co ho k tomu vedlo, ale odstranil všechny bezpečnostní záruky."³⁷ Lohninger dále uvedl, že Bartoš „se mnohokrát setkal s firmami jako Google a dalšími, zatímco se nikdy nesetkal se zástupci občanské společnosti, a to navzdory jejich opakovaným žádostem"³⁷.

Paradox sahá hlouběji. Zatímco Bartoš oslaboval záruky v Radě, český pirátský europoslanec Mikuláš Peksa — stínový zpravodaj výboru ITRE za frakci Zelených/EFA — bojoval o jejich obnovení v Evropském parlamentu³⁸. Peksa a německý pirátský europoslanec Patrick Breyer dosáhli dílčích vítězství: členské státy nebudou povinny přidělovat občanům jediné unikátní identifikační číslo, peněženka zůstane dobrovolná a klientská aplikace bude open-source³⁹. Přesto oba při závěrečném hlasování 29. února 2024 hlasovali proti³⁹. Evropská pirátská strana prohlásila, že „piráti Mikuláš Peksa a Patrick Breyer pracovali do poslední minuty, aby se pokusili opravit alespoň některá z četných rizik"³⁹.

Bartoš byl odvolán 30. září 2024 — nikoli kvůli eIDAS, ale kvůli zpackané digitalizaci stavebního řízení⁴⁰. Piráti poté opustili koalici premiéra Fialy a v červnových eurovolbách 2024 ztratili všechna křesla v Evropském parlamentu⁴¹. V současném Parlamentu (2024–2029) tedy nesedí žádný český pirátský europoslanec.

Lobbistické záznamy z období českého předsednictví zůstávají neviditelné — předsednický stát Rady není povinen je zveřejňovat⁴².

V. Aplikace, která zkolabovala v den voleb

Aplikace eDoklady, spuštěná 20. ledna 2024, měla být vlajkovou lodí české digitální identity⁴³. Vyvinula ji firma OR-CZ a spravuje ji Digitální a informační agentura (DIA). Aplikace umožňuje nést digitální kopii občanského průkazu ve smartphonu, používá ověřování přes Bluetooth a lze ji vzdáleně deaktivovat prostřednictvím Portálu občana⁴⁴.

Do konce roku 2024 zaznamenala 577 363 stažení⁴⁵. Přijetí probíhalo ve fázích: ústřední orgány od ledna 2024, policie od dubna 2024, banky, pošty a obce od ledna 2025⁴⁶. Do podzimu 2024 se registrovalo 3 518 orgánů veřejné moci jako ověřovatelé eDokladů⁴⁴.

Záhy se však objevil problém se soukromím — aplikace shromažďovala a odesílala na centrální server více osobních údajů, než bylo nutné, včetně informací o pohybu uživatelů. DIA musela aplikaci opravit a vyžadovat novou registraci všech uživatelů⁴⁷.

Rozhodující selhání přišlo během říjnových parlamentních voleb 2025, prvních celostátních voleb, kde byly eDoklady autorizovány k identifikaci voličů. Systém obdržel přibližně 1,5 milionu požadavků — o padesát až sedmdesát procent více, než se očekávalo — a zkolaboval¹. Ministerstvo vnitra vydalo nouzové doporučení nosit plastové doklady¹. Ředitel DIA Martin Mesršmíd nabídl rezignaci, kterou přijal místopředseda vlády Marian Jurečka².

Tato epizoda jasně ukázala, že česká digitální identitní infrastruktura ještě není dostatečně robustní pro aplikace s vysokými nároky na spolehlivost.

VI. Tři ředitelé, rozpouštěná agentura a závod o peněženku

Digitální a informační agentura, zřízená zákonem č. 471/2022 Sb. a funkční od 1. dubna 2023, je ústředním orgánem pro implementaci eIDAS 2.0 v Česku⁴⁸. Převzala agendu zaniklé Správy základních registrů a nyní spravuje čtyři základní registry, CzechPOINT, Portál občana, datové schránky a elektronickou identifikaci⁴⁸. Její přírůstkový roční rozpočet byl odhadnut na 151 milionů korun, s celkovými ročními náklady 260 až 300 milionů korun⁴⁹.

DIA trpí mimořádnou personální nestabilitou. Zakládající ředitel Martin Mesršmíd rezignoval v říjnu 2025 po volebním kolapsu². Zástupce ředitele Petr Kuchař převzal dočasné vedení, ale byl odvolán nástupem Babišovy vlády koncem roku 2025⁵⁰. Třetím ředitelem se v březnu 2026 stal Bohdan Urban, předtím vedoucí oddělení ICT provozu DIA⁵⁰. Vládní zmocněnec pro digitalizaci Robert Králíček (ANO) mezitím veřejně oznámil, že plánuje DIA zcela zrušit s tím, že se ušetří „minimálně desítky miliard korun"⁵⁰.

Harmonogram české EUDI peněženky tuto turbulenci odráží. Dne 26. března 2025 vláda schválila koncesní model pro vývoj klientské části peněženky a DIA zahájila soutěžní dialog⁵¹. Koncese zahrnuje mobilní aplikace pro Android a iOS, centrální správcovský systém, onboarding uživatelů a certifikaci kybernetické bezpečnosti. Zdrojový kód klientské aplikace musí být zveřejněn pod open-source licencí, jak vyžaduje nařízení⁵¹. Koncesionář bude moci účtovat poplatky ověřujícím stranám ze soukromého sektoru — model kopírující dnešní fungování BankID⁵¹.

Mluvčí DIA Jan Hainz sdělil serveru Biometric Update v únoru 2026, že všechny projektové prvky jsou „buď ve fázi implementace, nebo v pokročilé fázi veřejného výběrového řízení" s cílem spustit celý ekosystém do konce roku 2026⁵². Připustil však, že pokud dojde ke zpožděním v zakázkách, „ekosystém bude dočasně spuštěn ve zkušebním provozu — bez veřejného přístupu", čímž se plné nasazení posune do prvního čtvrtletí 2027⁵².

Hodnocení společnosti Signicat z prosince 2025 zařadilo Česko do kategorie 4 z 5 — „pravděpodobně nebude připraveno včas"⁵³.

VII. Policejní biometrický stroj postavený z občanských průkazů

Kauza rozpoznávání obličejů na pražském letišti ukazuje, jak česká identitní infrastruktura již dnes umožňuje sledování.

Česká policie nasadila kamerový systém s rozpoznáváním obličejů na letišti Václava Havla v roce 2018. Bylo instalováno 111 kamer v tranzitní zóně, s technologií dodanou mimo jiné společností AUROTON COMPUTER. Širší bezpečnostní projekt stál 123,7 milionu korun z rozpočtu ministerstva vnitra⁵⁴. Plány počítaly s rozšířením do veřejných prostor a na letiště v Brně, Karlových Varech, Ostravě a Pardubicích za celkovou investici 483,57 milionu korun⁵⁴.

Česká nezisková organizace Iuridicum Remedium (IuRe) podala v roce 2021 stížnost k Úřadu pro ochranu osobních údajů (ÚOOÚ), v níž argumentovala, že systém postrádá výslovný právní základ¹⁰. Šetření ÚOOÚ trvalo téměř čtyři roky, ale nakonec potvrdilo porušení zákona o ochraně osobních údajů, jak IuRe zjistilo na základě zákona o svobodném přístupu k informacím v létě 2025¹⁰. Systém přitom pokračoval v provozu i poté, co 2. února 2025 vstoupila v platnost ustanovení AI Actu o biometrickém sledování — běžel nelegálně celých šest měsíců, než ho policie 1. srpna 2025 deaktivovala¹⁰.

Závažnější je však samostatný Informační systém Digitální podoba osoby (IS DPO), odhalený organizací IuRe v červenci 2023⁹. Tento policejní systém, provozovaný od 22. srpna 2022, obsahuje přibližně dvacet milionů fotografií extrahovaných z občanských průkazů a cestovních pasů⁹. Ke každé fotografii je přiřazeno jméno, adresa a datum narození držitele. Policie může nahrát jakoukoli fotografii — z místa činu, ze sociálních sítí nebo z politické demonstrace — a zpětně identifikovat jednotlivce oproti této databázi⁹.

Kampaň IuRe „Česko není Čína" výslovně upozorňuje na paralely s autoritářskými sledovacími státy⁵⁵. Bývalý primátor Prahy Zdeněk Hřib (Piráti) se veřejně postavil proti městskému rozpoznávání obličejů⁵⁶.

Spojení s eIDAS je strukturální: EUDI peněženka bude používat tytéž základní identitní databáze — občanské průkazy a cestovní pasy — které již dnes zásobují IS DPO. Organizace EDRi a osm partnerských neziskových organizací varovaly v březnu 2026, že prováděcí akty Evropské komise k eIDAS 2.0 oslabují záruky nesledovatelnosti peněženky, zavádějí povinné zpracování biometrických údajů obličeje a činí nadměrnou identifikaci výchozím nastavením⁵⁷.

VIII. Duch StB a nápadně mlčící úřad na ochranu dat

Vztah České republiky ke státnímu sledování je jedinečně zatížený. Státní bezpečnost (StB) udržovala přibližně 800 000 záznamů v centrálních operativních kartotékách a řídila rozsáhlou síť informátorů⁵⁸. V roce 2003 ministerstvo vnitra zveřejnilo seznam 75 000 agentů a spolupracovníků StB⁵⁸. Lustrační zákon z roku 1991 vyvolal přes 300 000 prověřovacích řízení⁵⁸. Akademický výzkum publikovaný v odborném časopise Taylor & Francis zjistil, že v postkomunistických společnostech hrají obavy o soukromí „ještě výraznější roli při hodnocení tajného sledování než důvěra v instituce"⁵⁹.

Na tomto pozadí je Úřad pro ochranu osobních údajů (ÚOOÚ) k eIDAS 2.0 nápadně zticha. V rámci této investigace nebylo nalezeno žádné formální stanovisko, metodický pokyn ani veřejné prohlášení ÚOOÚ, které by se specificky zabývalo důsledky EUDI peněženky pro soukromí — a to navzdory skutečnosti, že jak Evropský sbor pro ochranu osobních údajů, tak evropský inspektor ochrany údajů vyjádřili k nařízení podstatné výhrady⁶⁰. Donucovací kapacita ÚOOÚ je navíc strukturálně omezena: podle § 62 odst. 5 zákona č. 110/2019 Sb. nemůže ukládat pokuty orgánům veřejné moci za porušení ochrany dat⁶¹. Od roku 2018 do roku 2024 činily celkové pokuty ÚOOÚ pouze přibližně 16 milionů eur⁶¹.

Ředitel IuRe Jan Vobořil formuloval širší rámec v Deníku Referendum 12. prosince 2022: „Potřebujeme formulovat právo nebýt digitalizován — právo na analog. Efektivně ho nemáme zakotveno v právním řádu."⁶²

Česká Listina základních práv a svobod přitom poskytuje robustní textové záruky. Článek 10 garantuje ochranu před neoprávněným shromažďováním, zveřejňováním a zneužíváním osobních údajů⁶³. Článek 13 chrání tajemství listovní a jiné korespondence⁶³. Ústavní soud v nálezu III. ÚS 35/01 stanovil, že právo na soukromí zahrnuje „záruku sebeurčení ve smyslu rozhodování jednotlivce" o tom, jak jsou jeho osobní informace zpřístupňovány⁶⁴. V samostatném případě data retention Ústavní soud v roce 2011 zrušil ustanovení zákona o elektronických komunikacích s tím, že „nejednoznačně definovaná pravidla uchovávání dat vedou k nadměrnému uplatňování opatření"⁶⁵. V roce 2025 pak Městský soud v Praze rozhodl, že plošný sběr telekomunikačních metadat českými operátory je nezákonný podle práva EU¹².

IX. Pět milionů uživatelů BankID a soutěž o monopolní koncesi

Nejúspěšnějším prvkem českého identitního ekosystému je Bankovní identita (BankID), společný podnik založený 15. září 2020 Českou spořitelnou, ČSOB a Komerční bankou⁶⁶. Služba dosáhla pěti milionů uživatelů v srpnu 2025, což představuje 75 procent ekonomicky aktivních Čechů¹¹. V prosinci 2025 spustila prostřednictvím ČSOB Hypoteční banky službu kvalifikovaného elektronického podpisu Bank iD QSIGN, díky níž byla realizována první plně digitální hypotéka v české historii⁶⁷.

BankID však dosahuje pouze „značné" úrovně záruky podle eIDAS, nikoli „vysoké", a nebyla notifikována Evropské komisi jako schéma elektronické identifikace — což znamená, že ji nelze použít přeshraničně⁶⁸. Elektronický občanský průkaz (eObčanka), vydávaný všem občanům od 1. července 2018, poskytuje „vysokou" úroveň záruky, ale vyžaduje kontaktní čtečku čipových karet, což omezuje jeho adopci⁶⁹. Do prosince 2022 bylo zaznamenáno pouze 2,13 milionu unikátních přihlášení přes elektronickou identifikaci, a to navzdory více než jedenácti milionům vydaných elektronických identifikačních prostředků⁶⁹.

Zakázka na EUDI peněženku odhaluje tržní strukturu. Soutěžní dialog DIA, vedený pod NDA, se účastnilo osm dodavatelů: O2, Procivis, CGI, Bankovní identita, NAKIT, Zetes, CZ.NIC a Monet+⁷⁰. Pětiletá monopolní koncese je oceněna na maximálně 328 milionů korun ročně⁷⁰. Uchazeči musejí prokázat minimální roční obrat 250 milionů korun — což fakticky vylučuje menší specializované kryptografické firmy⁷⁰. Investigativní novinářka Cecílie Jílková z pořadu Reportéři on-line porovnala tento model nepříznivě se švédským otevřeným certifikačním modelem a německou otevřenou soutěží s jedenácti týmy⁷⁰.

České subjekty jsou hluboce zapojeny do pilotních programů EU. ARICOMA Digital, součást největší české IT skupiny (KKCG Group), působí jako český koordinátor konsorcia POTENTIAL a poskytla český prototyp peněženky⁷¹. CZ.NIC a Gen Digital (dříve Avast) se účastní konsorcia EWC⁷². Česká účast zasahuje i do konsorcia DC4EU pro vzdělávací a sociální doklady⁷³. Nástupnický pilot APTITUDE, spuštěný v říjnu 2025, pokračuje v českém zapojení prostřednictvím společností ARICOMA, Bankovní identita a DIA⁷⁴.

X. Datové schránky, eObčanka a chybějící strategie digitální suverenity

Česko disponuje rozsáhlou digitální infrastrukturou, která je zároveň předností i komplikací. Systém datových schránek, provozovaný od 1. července 2009, narostl na 4,46 milionu schránek obsluhujících téměř pět milionů uživatelů, s 1,5 miliardy doručených zpráv za patnáct let⁷⁵. Povinné rozšíření v lednu 2023 vytvořilo za tři měsíce přes dva miliony nových schránek pro osoby samostatně výdělečně činné⁷⁶. Architektura přihlašování datových schránek je však založena na rolích, nikoli na identitě, což vytváří problémy s kompatibilitou s novým systémem⁷⁷.

Národní bod pro identifikaci a autentizaci (NIA), provozovaný od 1. července 2018, propojuje sedm různých identifikačních prostředků: eObčanku, NIA ID, mobilní klíč eGovernmentu, BankID, MojeID (provozovaný CZ.NIC), čipovou kartu STARCOS a mezinárodní identitní bránu pro zahraniční občany EU⁷⁸. Český uzel eIDAS CZ.PEPS byl spuštěn v září 2018 a umožňuje přeshraniční autentizaci⁷⁹. S příchodem EUDIW se eObčanka bude podle vyjádření náměstka ředitele DIA Petra Kuchaře „postupně vyřazovat", přičemž oba systémy budou koexistovat přibližně jeden rok⁸⁰.

Nejkritičtější akademickou perspektivu přinesla studie Jakuba Eberleho a kolegů, publikovaná v odborném časopise Taylor & Francis v srpnu 2025, pod názvem „Ředění digitální suverenity: tichá selektivní adaptace Česka na digitální politiku EU"⁸¹. Studie zjistila, že „v klíčových obecných programových dokumentech" Babišovy ani Fialovy vlády „neexistují žádné odkazy na digitální suverenitu" — přestože slovo „digitální" se ve Fialově programovém prohlášení vyskytuje více než šedesátkrát⁸¹. Koncept, který pohání celý evropský projekt digitální identity, nemá odpovídající českou strategickou vizi.

XI. Srovnání se sousedy: západ–východní gradient připravenosti

Hodnocení společnosti Signicat z prosince 2025 odhaluje výrazný gradient mezi českými sousedy⁵³.

Rakousko a Německo patří do kategorie 1 („velmi pravděpodobně se to stane"): Rakousko provozuje dva produkční systémy — ID Austria s třemi miliony uživatelů a eAusweise s více než 2,3 milionu stažení, včetně jediného funkčního mobilního řidičského průkazu v EU postaveného na standardu ISO 18013-5⁸². Německo je označováno za „absolutního průkopníka" s otevřenou soutěží SPRIND Funke, publikovanými blueprinty a open-source kódem⁵³.

Polsko stojí v kategorii 2 s aplikací mObywatel, jež přesahuje deset milionů uživatelů — více než šestnáctkrát tolik, kolik má české eDoklady — a od července 2023 má stejnou právní platnost jako fyzický průkaz⁸³. V březnu 2026 místopředseda vlády Krzysztof Gawkowski oznámil integraci EUDI peněženky do mObywatelu⁸⁴.

Slovensko se nachází v kategorii 5 („velmi nepravděpodobné"), přičemž organizace Slovensko.Digital charakterizuje slovenskou aplikaci eDoklady jako „velmi daleko od toho být peněženkou EDIW"⁵³.

Česko s třemi notifikovanými schématy elektronické identifikace (eObčanka, mobilní klíč eGovernmentu, BankID) nabízí občanům skutečnou svobodu volby⁸⁵. Tento pluralismus však vytváří integrační složitost. Jak konstatovala společnost Accace ve své analýze z února 2026, české podniky čelí „dvoustupňovému přechodu" — nejprve podporovat eDoklady, poté plnou EUDI peněženku — přičemž „mnohé malé a střední podniky si stále do značné míry neuvědomují, co od nich eIDAS 2 v praxi bude vyžadovat"⁸⁶.

XII. Infrastruktura, která vydrží déle než každá vláda

Nařízení eIDAS 2.0 neexistuje izolovaně. Je jednou vrstvou v tom, co analytici nazývají „digitální regulační stack" EU: GDPR (ochrana dat), DSA (správa platforem), DMA (hospodářská soutěž), AI Act (regulace algoritmů), NIS2 (kybernetická bezpečnost), Data Act, Data Governance Act a Cyber Resilience Act⁸⁷. Každé nařízení je odůvodněno samostatně. Dohromady však vytvářejí propojené infrastrukturní vrstvy.

Spojení s návrhem EU na skenování CSAM („chat control") je primárně infrastrukturní. Pokud se EUDI peněženky stanou povinné pro ověřování věku na komunikačních platformách — jak nyní prosazuje řada zákonodárců EU —, peněženka vytvoří trvalé propojení ověřené identity s komunikačními službami⁸⁸. V kombinaci s návrhem na klientské skenování obsahu vzniká infrastruktura pro atribuovaný masový dohled. Signal CEO Meredith Whittakerová pohrozila odchodem z Evropy, pokud bude implementován⁸⁸.

Francouzský CNIL v roce 2019 při analýze systému Alicem formuloval jádrovou obavu s mimořádnou přesností: nahrazení lidských kontrol identity kontrolami prováděnými algoritmickým zpracováním mění samotný potenciál sledování a nese závažné riziko, že postupné posuny povedou ke změně paradigmatu — od cíleného sledování jednotlivců k potenciálnímu sledování všech za účelem identifikace některých⁸⁹.

Kalifornský zákon AB 1043 (podepsán v říjnu 2025, účinný od ledna 2027) vytváří transatlantickou paralelu: klasifikace věku na úrovni operačního systému při nastavení zařízení, s věkovými kategoriemi přenášenými vývojářům aplikací prostřednictvím real-time API⁹⁰. EU buduje identitní infrastrukturu na úrovni peněženky; Kalifornie ji zabudovává na úrovni operačního systému. Oba přístupy vytvářejí trvalou architektonickou kapacitu, kterou lze rozšiřovat prostřednictvím následné legislativy.

Kritička Cláudia Ascensão Nunesová výstižně popsala logiku tohoto procesu: jakmile je infrastruktura identitní klasifikace zabudována do operačního systému, snadno se rozšiřuje a těžko se odstraňuje⁹¹.

Otázka nestojí, zda bude infrastruktura postavena — nařízení EU nedává na výběr. Otázka zní, kdo ji bude kontrolovat, jaké záruky budou skutečně vymahatelné a zda si země s pamětí StB dokáže pohlídat, aby digitální peněženka sloužila občanům, a ne naopak.