Kvůli soukromému operačnímu systému nahlášen policii? Případ GrapheneOS a Yoti otřásá komunitou

Toto tvrzení bylo pozoruhodné hned ze dvou důvodů. Zaprvé, GrapheneOS je legitimní open-source verze Androidu navržená pro maximální soukromí a bezpečnost – není to malware a jeho používání není nelegální. Zadruhé, e-mail naznačoval, že poskytovatel věkové kontroly nejen že detekuje operační systém uživatele, ale také toto zjištění hlásí externím orgánům. Reakce na sebe nenechala dlouho čekat a objevila se na Redditu, Hacker News, fóru GrapheneOS a na zpravodajských webech zabývajících se prolínáním soukromí a digitální identity.

Skutečnost je však o něco složitější, než jak vypadala prvotní zpráva, ale samotná infrastruktura, která umožňuje detekci operačního systému, je reálná, již nasazená a rozšiřuje se. Zde je to, co vyplývá z dostupných zdrojů.

Sporný e-mail a chybějící hlášení

Uživatel zveřejnil snímek e-mailu od podpory Yoti, který zněl:

„Vzhledem k bezpečnostním problémům z minulosti Yoti automaticky označuje více pokusů o ověření a všechna zařízení s GrapheneOS. Tyto případy jsou automaticky hlášeny jak úřadům, tak našemu bezpečnostnímu týmu.“

Mnozí pozorovatelé poukázali na zdánlivý rozpor v této zprávě. E-mail totiž také uváděl, že účet uživatele byl označen „protože z tohoto konkrétního zařízení bylo provedeno více pokusů“. Tato formulace naznačuje, že systém možná označuje pouze opakované pokusy o ověření z GrapheneOS zařízení, nikoli jediné použití, a že slovo „a“ je špatně napsaná spojka, nikoli samostatná politika hlášení všech uživatelů GrapheneOS.

Zásadní je, že se dosud neobjevil žádný veřejný důkaz, že by Yoti skutečně předala hlášení nějakému orgánu činnému v trestním řízení. Oficiální stanovisko projektu GrapheneOS bylo, že tvrzení o „nahlášení úřadům“ je „téměř jistě…strašení ze strany pomateného agenta podpory“, jehož cílem bylo uzavřít ticket, nikoli popsat skutečné externí hlášení. Tento názor sdílí i několik analytiků zaměřených na soukromí, kteří incident přezkoumali.

Společnost Yoti nevydala žádné veřejné firemní prohlášení, které by objasňovalo, co v kontextu e-mailu znamená „nahlášeno úřadům“, zda se jednalo o interní bezpečnostní příznak, nebo zda standardní pracovní postup společnosti vůbec generuje automatická externí hlášení. Dostupné zprávy obsahují e-mail a následnou diskuzi v komunitě, ale žádné oficiální stažení nebo vyjasnění ze strany vedení Yoti.

Jak detekce funguje – a proč na ní záleží

I kdyby byla věta o „nahlášení úřadům“ přehnaným tvrzením agenta podpory, samotná technologie, která identifikovala operační systém uživatele, není zpochybňována. Aplikace mohou detekovat GrapheneOS pomocí Android Hardware Attestation API. Aplikace vyžádá atestaci a porovná verifiedBootKey se známými bootovacími klíči GrapheneOS.

Tento mechanismus znamená, že proces věkové verifikace může potichu sloužit i jako kontrola operačního systému. Uživatel, který si zvolí GrapheneOS kvůli většímu soukromí, může být označen za podezřelého – nebo dokonce zablokován – aniž by dostal jakékoli viditelné upozornění na to, co spustilo příznak. Incident s PlayStationem ukazuje, že infrastruktura pro diskriminaci na úrovni OS je již přítomna minimálně v jednom velkém nasazení věkové verifikace.

Širší souvislosti: Pokuta 950 000 eur pro Yoti od španělského úřadu

Kauza GrapheneOS dopadla do napjatého regulatorního prostředí pro Yoti. V listopadu 2025 uložil španělský úřad pro ochranu osobních údajů (AEPD) společnosti Yoti Ltd celkovou pokutu 950 000 eur za tři porušení GDPR související s její aplikací Digital ID a technologií odhadu věku :

• 500 000 eur za nezákonné zpracování biometrických údajů podle článku 9 GDPR – konkrétně za vytváření biometrických modelů ze selfie a jejich porovnávání s identifikačními doklady.
• 200 000 eur za získání souhlasu prostřednictvím předem zaškrtnutých políček, což AEPD uznala jako neplatný souhlas podle článku 7.
• 250 000 eur za nadměrné uchovávání údajů podle článku 5. Geolokační údaje, které sloužily k určení věkových omezení pro uživatele, byly uchovávány po dobu pěti let, což je daleko déle, než je nutné.

Yoti rozhodnutí AEPD důrazně odmítá, prohlašuje, že nedošlo k úniku žádných osobních údajů, a podala odvolání ke španělskému vrchnímu soudu. Generální ředitel společnosti zdůraznil, že se rozhodnutí týká pouze aplikace Yoti Digital ID ve Španělsku a nesouvisí se službami, které Yoti poskytuje jako zpracovatel pro své obchodní klienty.

Parlamentní otázka E‑001251/2026, předložená Evropskému parlamentu v dubnu 2026, výslovně cituje španělskou akci podle GDPR a ptá se Komise, zda bude jednat, aby zabránila tomu, že nástroje pro věkovou verifikaci ohrožují data uživatelů. Otázka uvádí, že služby Yoti používají Meta, TikTok a pornografické stránky jako Pornhub, což zdůrazňuje, jak široce otázky zpracování biometrie zasahují.

Neřešitelný kompromis v politice věkové verifikace

Vlády a regulátoři po celém světě rychle rozšiřují povinnou online věkovou verifikaci, od britského Online Safety Act po zákony na úrovni jednotlivých států USA a rámce EU. Tyto zákony vytvářejí rostoucí trh pro společnosti jako Yoti, ale zároveň přinášejí střet mezi dvěma cíli: ochranou dětí před nevhodným obsahem a zachováním soukromí a anonymity dospělých uživatelů.

Incident s GrapheneOS je příznakem tohoto střetu. Proces věkové kontroly navržený k potvrzení, že je uživateli nad 18 let, skončil tím, že otiskl operační systém uživatele, považoval volbu soukromí za signál důvěry a bezpečnosti a údajně vyhrožoval zapojením orgánů činných v trestním řízení.

Zůstává nevyřešeno, zda se jednalo o ojedinělou chybu podpory, nebo o předzvěst toho, jak budou věkové verifikační systémy zacházet se zařízeními, která se brání otiskování. Detekční infrastruktura je potvrzena jako existující. Veřejná politická debata nyní směřuje k tomu, zda regulátoři budou vyžadovat transparentnost ohledně toho, co tyto systémy skutečně kontrolují – a co se stane, když se operační systém uživatele stane základem pro příznak „podezřelé aktivity“.