Čínské zákony ukládají firmám spolupracovat se státními orgány: čl. 7 zákona o národní zpravodajské službě říká, že všechny firmy a občané mají zpravodajské práci pomáhat. Neznamená to, že někdo vaše data čte. Znamená to, že se před takovou žádostí nedokážete smlouvou ochránit. Pro osobní údaje z EU k tomu přibývá pravidlo GDPR: Čína nemá rozhodnutí Evropské komise o odpovídající ochraně, takže přenos potřebuje záruky a firma musí prověřit právo cílové země. Případná nižší cena čínského cloudu tohle riziko nepokrývá.
- Čl. 7 zákona o národní zpravodajské službě ukládá všem firmám a občanům pomáhat zpravodajské práci.
- GDPR přenos do Číny nezakazuje, ale Čína nemá rozhodnutí o odpovídající ochraně, takže přenos potřebuje záruky a prověření práva.
- Za přenos bez záruk hrozí pokuta až 20 milionů EUR nebo 4 % obratu.
- Americký cloud má podobnou otázku: 18 U.S.C. § 2713 sahá na data i mimo USA.
Zákony níže citujeme z neoficiálních anglických překladů (China Law Translate, Stanford DigiChina). Oficiální čínský text jsme nečetli. Ceny jsou z 25. října 2026 a bez DPH.
Co čínské zákony říkají
| Zákon | Co říká |
|---|---|
| Zákon o národní zpravodajské službě, 2017, novelizován 2018 | Čl. 7: všechny firmy a občané mají zpravodajské práci pomáhat a spolupracovat. Čl. 14: zpravodajské instituce mohou po firmách žádat potřebnou podporu. |
| Data Security Law, účinný od 1. 9. 2021 | Čl. 35: státní orgány smějí data vyžadovat, když je schválí podle přísných postupů, a dotčené firmy musí spolupracovat. Čl. 36: data uložená v Číně nesmí firma předat zahraničnímu soudu ani orgánu bez souhlasu čínských orgánů. |
| Cybersecurity Law, účinný od 1. 6. 2017 | Čl. 28: provozovatelé sítí poskytují technickou podporu bezpečnostním orgánům. Čl. 37: provozovatelé kritické infrastruktury ukládají osobní údaje a důležitá data v Číně. |
| Zákon proti špionáži, vydání 2023, účinný od 1. 7. 2023 | Čl. 41: telekomunikační operátoři a poskytovatelé internetových služeb poskytují bezpečnostním orgánům potřebnou technickou podporu, když vyšetřují. |
Dvě věci si z toho zapamatujte. Čl. 35 Data Security Law předepisuje schvalovací postup, takže přístup není bez pravidel. A čl. 36 zakazuje předat data zahraničnímu orgánu bez souhlasu Číny. U dat uložených v pevninské Číně tak může žádost evropského nebo amerického soudu narazit na zákaz.
Co k tomu říká GDPR
Přenos osobních údajů do čínského cloudu GDPR nezakazuje. Vyžaduje ale, aby odesílatel měl záruky. Evropská komise u zemí s odpovídající ochranou povoluje přenos bez dalších záruk. Na jejím seznamu jsou mimo jiné Japonsko, Švýcarsko, Spojené království a americké firmy zapsané do EU-US Data Privacy Framework. Čína na seznamu není.
Bez takového rozhodnutí použijete záruky podle čl. 46, třeba standardní smluvní doložky. Evropský sbor pro ochranu osobních údajů (EDPB) v dokumentu 01/2020 z 18. června 2021 ale upozorňuje, že doložky nezavážou orgány třetí země, protože nejsou stranou smlouvy. Proto musíte posoudit, jestli právo a praxe cílové země záruky neoslabují. U čínského poskytovatele je to přesně otázka zákonů z tabulky výše.
EDPB dodává, že když poskytovatel potřebuje údaje v čitelné podobě a orgány země mají nepřiměřený přístup, nedokáže si představit účinné technické řešení. Když klíče drží poskytovatel, šifry nepomohou. Jiný případ je záloha: pokud ji silně zašifrujete a klíče zůstanou jen u vás nebo v EU, EDPB to považuje za účinné doplňující opatření.
Za přenos bez záruk hrozí pokuta až 20 milionů EUR nebo 4 % ročního obratu podle toho, co je vyšší. EDPB to uvádí v pokynech 04/2022 z 24. května 2023 a na příkladu obce, která posílala údaje do země bez odpovídající ochrany a bez záruk.
Co k tomu říká český zákon
Zákon č. 264/2025 Sb. dává úřadu NÚKIB pravomoc prověřovat dodavatele strategicky významných služeb a po rozhodnutí vlády zakázat využití jejich plnění v kritické části služby (§ 27 a § 29). Poskytovatel takové služby musí zjišťovat dodavatele bezpečnostně významných dodávek a hlásit je úřadu do 10 dnů (§ 31). Musí také zajistit, aby služba byla dostupná z území České republiky (§ 33). Týká se to jen služeb, které vláda označí za strategicky významné, tedy menší části firem.
Širší dopad má vyhláška č. 409/2025 Sb. pro režim vyšších povinností. Podle § 9 musí smlouvy s významnými dodavateli obsahovat relevantní klauzule z přílohy č. 5. Patří mezi ně právo na audit, pravidla pro subdodavatele, exit strategie a dvě klauzule o cizích úřadech: dodavatel musí povinnou osobu informovat, když cizozemský orgán žádá o data (pokud mu to právo nezakazuje), a data smí předat jen poté, co ověří, že je žádost zákonná, a po snaze předání zabránit, a jen v nutném rozsahu. Vyhláška č. 410/2025 Sb. pro režim nižších povinností má v příloze č. 2 seznam smluvních ujednání bez klauzule o žádostech cizích úřadů. Který režim se týká vás, popisuje článek o NIS2 a novém zákonu.
Pro finanční firmy platí od 17. ledna 2025 regulace DORA (Regulation 2022/2554), která řeší i smluvní podmínky s poskytovateli ICT služeb.
Americký cloud má stejnou otázku
Stejnou otázku máte i u amerických poskytovatelů. Paragraf 2713 hlavy 18 amerického zákoníku, přidaný 23. března 2018 zákonem známým jako CLOUD Act, ukládá poskytovateli služeb předat požadovaná data v jeho správě nebo pod jeho kontrolou bez ohledu na to, jestli leží v USA nebo mimo ně. Data na AWS ve Frankfurtu tedy cizímu právu neunikají. Rozdíl je v tom, že pro americké firmy zapsané do EU-US Data Privacy Framework existuje rozhodnutí Komise o odpovídající ochraně, pro čínské neexistuje.
Proč čínský cloud láká
Čínští poskytovatelé lákají cenou. Alibaba Cloud 8. dubna 2024 snížil ceny pro zákazníky mimo pevninskou Čínu v průměru o 23 %, u výpočtu, úložiště, sítí a databází až o 59 %. Tuhle cenu jsme porovnat nemohli: veřejný ceník Alibaby ani Huawei pro server se 4 vCPU a 8 GB jsme nezískali, takže číslo pro srovnání nemáme.
Evropské ceny jsme ověřili. Server se 4 vCPU a 8 GB stojí 7,21 EUR měsíčně u OVHcloud (VPS-2, cena „od“ při platbě na 12 měsíců dopředu), 31,27 EUR u Scalewaye (DEV1-L, Paříž) a 35,49 EUR u Hetzneru (CPX32, 160 GB NVMe, servery v Německu a Finsku). U AWS vychází stejná velikost na 141,62 USD. Úrovně se liší: OVHcloud má 75 GB disku, Hetzner 160 GB. Podrobné srovnání Hetzneru a AWS je v článku o vlastním hostingu.
Co udělat ve firmě o dvaceti lidech
- Zjistěte, kde data leží. Zkontrolujte si ERP, CRM, účetnictví, zdrojový kód i zálohy. U každého systému napište poskytovatele, zemi, ve které firma sídlí, a zemi, kde servery stojí.
- Roztřiďte data podle toho, jak jsou důležitá. Zdrojový kód, výrobní postupy, smlouvy a osobní údaje potřebují nejvíc ochrany. Veřejný web žádnou.
- Zeptejte se dodavatelů. Chcete písemně vědět, jak se chovají k žádostem cizích úřadů, a kdo jsou jejich subdodavatelé. Vzorem je příloha č. 5 vyhlášky 409/2025 Sb.
- Citlivá data přesuňte na poskytovatele s jasnou jurisdikcí. Nejdřív to nejcitlivější. Plán přesunu napíšete na pár stránek.
- Zálohy šifrujte klíči, které máte jen vy. To je případ, který EDPB uznává jako účinné doplňující opatření.
Jak server zabezpečit a ověřit, že obstojí, pomůže služba kybernetické ochrany.
Časté otázky
Je přenos dat do čínského cloudu podle GDPR zakázaný?
Ne přímo. Čína nemá rozhodnutí Komise o odpovídající ochraně, takže přenos potřebuje záruky podle čl. 46 a firma musí prověřit právo cílové země. Za přenos bez záruk hrozí pokuta až 20 milionů EUR nebo 4 % obratu.
Které čínské zákony ukládají firmám spolupracovat se státem?
Podle neoficiálních překladů zákon o národní zpravodajské službě (čl. 7 a 14), Data Security Law (čl. 35), Cybersecurity Law (čl. 28) a zákon proti špionáži (čl. 41).
Platí totéž pro americké poskytovatele?
Americký zákoník (18 U.S.C. § 2713, přidaný zákonem známým jako CLOUD Act) ukládá poskytovateli předat data ve své správě bez ohledu na to, kde leží. Pro americké firmy v EU-US Data Privacy Framework ale Komise vydala rozhodnutí o odpovídající ochraně.
Pomůže zašifrovat data v cloudu?
U záloh ano, pokud klíče drží jen vaše firma nebo důvěryhodný subjekt v EU. Pokud poskytovatel potřebuje data v čitelné podobě a drží klíče, EDPB žádné účinné technické řešení nevidí.
Kolik stojí server s 4 vCPU a 8 GB v Evropě?
Podle ceníků z 25. října 2026 od 7,21 EUR u OVHcloud při platbě na rok dopředu po 35,49 EUR u Hetzneru, bez DPH. U Alibaby a Huawei jsme srovnatelnou cenu nezískali.
Zdroje
- China Law Translate, PRC National Intelligence Law (as amended in 2018), neoficiální překlad: https://www.chinalawtranslate.com/en/national-intelligence-law-of-the-p-r-c-2017/
- Stanford DigiChina, Data Security Law of the PRC, překlad, účinný od 1. 9. 2021: https://digichina.stanford.edu/work/translation-data-security-law-of-the-peoples-republic-of-china/
- Stanford DigiChina, Cybersecurity Law of the PRC, překlad, účinný od 1. 6. 2017: https://digichina.stanford.edu/work/translation-cybersecurity-law-of-the-peoples-republic-of-china-effective-june-1-2017/
- China Law Translate, Counter-espionage Law (2023 ed.), účinný od 1. 7. 2023: https://www.chinalawtranslate.com/en/counter-espionage-law-2023/
- 18 U.S.C. § 2713, Cornell Legal Information Institute, zobrazeno 25. 10. 2026: https://www.law.cornell.edu/uscode/text/18/2713
- Evropská komise, rozhodnutí o odpovídající ochraně, zobrazeno 25. 10. 2026: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
- EDPB, Recommendations 01/2020 on supplementary measures, verze 2.0, 18. 6. 2021: https://www.edpb.europa.eu/system/files/2021-06/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en.pdf
- EDPB, Guidelines 04/2022 on the calculation of administrative fines, verze 2.1, 24. 5. 2023: https://www.edpb.europa.eu/system/files/2023-06/edpb_guidelines_042022_calculationofadministrativefines_en.pdf
- Zákon č. 264/2025 Sb., zakonyprolidi.cz, zobrazeno 25. 10. 2026: https://www.zakonyprolidi.cz/cs/2025-264
- Vyhláška č. 409/2025 Sb., zakonyprolidi.cz, účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-409
- Vyhláška č. 410/2025 Sb., zakonyprolidi.cz, účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-410
- ESMA, Digital Operational Resilience Act (DORA), zobrazeno 25. 10. 2026: https://www.esma.europa.eu/esmas-activities/digital-finance-and-innovation/digital-operational-resilience-act-dora
- Alibaba Group, Alibaba Cloud Launches Price Cuts for International Customers, 8. 4. 2024: https://www.alibabagroup.com/en-US/document-1715106160694001664
- Hetzner, Price Adjustment 15 June 2026: https://docs.hetzner.com/general/infrastructure-and-availability/price-adjustment/
- Hetzner Cloud, Regular Performance, zobrazeno 25. 10. 2026: https://www.hetzner.com/cloud/regular-performance/
- AWS, ceník EC2 on-demand, Linux, Frankfurt (c6i.xlarge), data z 23. 10. 2026: https://b0.p.awsstatic.com/pricing/2.0/meteredUnitMaps/ec2/USD/current/ec2-ondemand-without-sec-sel/EU%20(Frankfurt)/Linux/index.json
- OVHcloud, ceník VPS (VPS-2), zobrazeno 25. 10. 2026: https://www.ovhcloud.com/en-ie/vps/
- Scaleway, ceník virtuálních instancí (DEV1-L), zobrazeno 25. 10. 2026: https://www.scaleway.com/en/pricing/virtual-instances/
Ollama: jak ve firmě provozovat lokální AI nad vlastními daty
Vlastní hosting firemního softwaru: Hetzner vs AWS vs spravovaný cloud
Srovnání CRM: Raynet, Pipedrive, HubSpot, Zoho a Odoo podle ceníků
