Česká kryptoměnová asociace (ČKMA) upozorňuje, že implementace evropské směrnice DAC8 dá státu možnost spojit vaši identitu a bydliště s několikaletou historií obchodování s kryptoměnami. A zákon podle ní dostatečně neřeší, kdo takový profil smí otevřít, jak se to zkontroluje a kdy se data smažou.
Co DAC8 v praxi znamená
DAC8 je evropská směrnice, která má daňovým správám usnadnit kontrolu kryptoobchodů. Kryptoburzy a směnárny budou každý rok posílat Finanční správě údaje o svých klientech. U každého uvedou jméno, adresu, daňovou rezidenci, DIČ, datum a místo narození. K tomu přijdou roční souhrny nákupů, prodejů a převodů podle jednotlivých kryptoaktiv.
Nejde o seznam toho, kolik bitcoinu právě vlastníte. Hlášení ale obsahuje i souhrnnou hodnotu převodů na adresy, které nepatří jinému poskytovateli ani finanční instituci, tedy typicky do vaší vlastní peněženky. Cílová adresa v hlášení není, jen úhrnná hodnota a počet jednotek.
Český návrh zákona je sněmovní tisk 98. Sněmovna ho 14. července 2026 v prvním čtení neschválila ve zrychleném režimu a poslala do výborů, garančním je rozpočtový. Zákon tedy zatím neplatí a jeho podoba se ještě může změnit.
Pozor: první oznamované období je rok 2026. Poskytovatelé tak data sbírají už teď, i když zákon ještě není přijatý. Poprvé je mají reportovat v dubnu 2027.
Pokud klient neposkytne burze nebo směnárně požadované údaje, které dosud dávat nemusel, ani po dvou upomínkách a šedesáti dnech, poskytovatel mu podle návrhu musí zablokovat nákup, prodej i převod kryptoaktiv dokud údaje nedodá.
Zásadní problém je spojení do jedné databáze
ČKMA nezpochybňuje, že stát má právo požadovat daňové údaje. Zásadní je spojování. Jeden roční záznam od jedné burzy o vás možná nic moc neřekne. Jakmile ale někdo spojí záznamy od různých poskytovatelů za několik let, vznikne podrobný obraz vaší finanční aktivity.
Studie Jana Šincla, která vznikla pod záštitou ČKMA uvádí, že má státní úložiště čtyři problematické vlastnosti:
- vidí klienty všech domácích poskytovatelů najednou,
- nemůžete od něj odejít ke konkurenci,
- dobu uchování si určuje samo,
- stát díky DAC8 dostává údaje o českých rezidentech i od zahraničních daňových správ.
Nejslabším článkem je člověk
Studie upozorňuje, že rizikem není jen hackerský útok a stažení celé databáze. Pro organizovaný zločin je často výhodnější získat jednoho zaměstnance s legitimním přístupem a nechat ho udělat několik cílených dotazů na konkrétní lidi. Objemem se neliší od běžné práce, a ochrany proti hromadnému úniku je proto většinou nezachytí.
Příkladem je únik u burzy Coinbase, který byl oznámen v květnu 2025. Útočníci podle vlastního sdělení firmy podplatili zahraniční pracovníky zákaznické podpory a získali jména, adresy, snímky dokladů i historii transakcí. Podle oznámení generálního prokurátora státu Maine šlo o 69 461 osob.
A co je hlavní: uniklou finanční historii nelze změnit jako heslo.
Co ČKMA požaduje
Asociace nepožaduje, aby burzy údaje neoznamovaly. Chce, aby stát zakotvil přímo v zákoně tyto pojistky:
- účel, za jakým lze údaje vyhledávat a spojovat,
- záznam každého přístupu včetně toho, kdo, kdy a proč data otevřel,
- jasnou lhůtu uchování a výmazu dat u státu
A navrhuje do systému začlenit:
- oddělené uložení nejcitlivějších údajů o převodech, jejich spojení s dalšími záznamy jen pro konkrétní řízení,
- upozornění na neobvyklé dotazy a souhlas druhého pracovníka u citlivých exportů,
- právo občana zjistit, kdo s jeho údaji pracoval,
- nezávislý audit před spuštěním systému.
ČKMA také podporuje pozměňovací návrh poslance Miroslava Ševčíka na zaznamenávání a kontrolu přístupů. Podporuje i návrh Jiřího Havránka, který zkracuje uchovávání dokladů u poskytovatelů z deseti let na pět a vypouští místo narození. Směrnice obojí připouští, vláda přesto zvolila přísnější variantu. Deset let zdůvodňuje lhůtou pro stanovení daně, místo narození nezdůvodňuje.
Hodnocení dopadů soukromí vůbec neřešilo
Studie je velmi kritická k vládnímu hodnocení dopadů regulace (RIA). Mezi pěti kritérii, podle kterých porovnávalo varianty, není žádné, které by posuzovalo zásah do soukromí nebo bezpečnostní riziko. Varianta, se kterou se zvolené řešení srovnávalo, přitom podle studie odporovala evropskému právu, takže ji stát vůbec nemohl zvolit. Pracovní komise Legislativní rady vlády měla ke zprávě 22 připomínek. Podle studie jich bylo zohledněno jen pět, pět částečně a dvanáct vůbec.
ČKMA také připomíná judikaturu Ústavního soudu. Ten v roce 2011 zrušil plošné uchovávání provozních údajů mimo jiné proto, že chyběla jasná pravidla nakládání s daty. Zákonodárce je poté doplnil a soud upravenou podobu v roce 2019 potvrdil. Asociace netvrdí, že je návrh protiústavní. Říká jen, že chybějící záruky mohou otevřít prostor pro ústavní přezkum.
Poslanci mají teď čas zákon upravit. Až se systém naplní daty, bude pozdě domáhat se pravidel zpětně.
Zdroj: Tisková zpráva ČKMA a studie Centrální evidence finančních údajů – rizika a hrozby