Telefon byl na místě činu. Byl tam i jeho majitel?

Věta „jeho telefon byl na místě činu“ může vypadat jako jeden závěr, ale uvnitř skrývá několik různých tvrzení. Zaprvé, určitý záznam skutečně patří určitému fyzickému zařízení nebo předplatitelské identitě. Zadruhé, tato identita byla v danou chvíli v určité geografické oblasti. Zatřetí, zařízení patří osobě X. Začtvrté, osoba X je v dané chvíli skutečně používala nebo alespoň nesla. A zapáté, pokud zařízení provedlo určitý úkon, provedla jej právě osoba X.

První dva kroky mohou být velmi dobře podloženy technickými záznamy. Další už vyžadují atribuci. Ta může být rovněž mimořádně silná — například pokud telefon byl dlouhodobě výhradně používán jedním člověkem, byl u něj krátce po činu zajištěn, průběžně se pároval s jeho hodinkami, odemykal se v jeho přítomnosti, jeho pohyb potvrzuje kamera a několik nezávislých systémů zaznamenalo souvislou trasu. Síla však nevzniká pouhým přejmenováním zařízení na člověka. Vzniká teprve propojením článků.

Samostatným článkem řetězce je čas. „Ve 2:13“ může označovat okamžik, kdy zařízení událost vytvořilo, kdy ji aplikace zapsala do databáze, kdy ji server přijal nebo kdy ji poskytovatel později zaúčtoval do provozního záznamu. Telefon může používat ručně nastavené časové pásmo, server UTC a operátor vlastní pravidla vykazování. Sloučit různé timestampy do jedné osy proto znamená nejprve zjistit jejich původ, rozlišení, časovou zónu a vztah k samotné události. Veřejný návrh aktualizace metodiky SWGDE pro verzi 2.0 právě z tohoto důvodu doporučuje dokumentovat možné odchylky času zařízení; u záznamů operátorů je pak nutné zvlášť ověřit způsob vykazování časových pásem.^[2][5] Shodné číslo v kolonce „čas“ ještě nemusí znamenat shodný okamžik v technickém smyslu.

Fyzické zařízení je konkrétní kus hardwaru. Může mít sériové číslo, IMEI a další identifikátory. SIM nebo eSIM je jiná vrstva: nese či zpřístupňuje údaje potřebné k ověření předplatitelské identity vůči mobilní síti. U klasické UICC lze kartu přemístit mezi telefony; u eSIM se profil bezpečně stahuje do vestavěného prvku a zařízení může podporovat více operátorských profilů.^[3][4]

Telefonní číslo je zase adresou služby, nikoli výrobním číslem telefonu ani identitou člověka. Může přežít výměnu SIM, změnu zařízení či operátora. Jedno zařízení může obsluhovat více čísel a jedno číslo může být v některých službách dostupné z více koncových zařízení. Záznam s číslem proto nemusí sám určit konkrétní kus hardwaru; záznam s IMEI zase neurčuje, kdo jej právě držel.

Uživatelský účet — například účet operačního systému, komunikační aplikace nebo cloudové služby — přidává další rovinu. Účet může být přihlášen na telefonu, notebooku, tabletu i webovém klientu. Událost v cloudu tak často spolehlivě říká, že služba přijala požadavek z určité relace, zařízení, tokenu či IP adresy. Neříká bez dalšího, která lidská ruka požadavek vyvolala.

Rozdíl mezi vlastníkem a uživatelem se v praxi neřeší jediným „magickým“ artefaktem. Vzorec mohou tvořit kontakty, účty, fotografie, jazyk, obvyklé trasy, známé Wi‑Fi sítě, párovaná zařízení, platební karty, způsob odemykání, okamžik zajištění i výpovědi lidí z okolí. Některé položky ukazují na dlouhodobé užívání, jiné na držení v konkrétní minutě. Právě časová blízkost rozhoduje, zda důkaz říká „tento telefon zpravidla používá X“, nebo „v kritickém okamžiku jej velmi pravděpodobně ovládal X“. První věta je důležitý základ. Druhá je samostatný závěr.

Veřejný návrh aktualizace metodiky SWGDE pro verzi 2.0 výslovně uvádí, že artefakty z mobilního zařízení mohou pomoci prokazovat vlastnictví, držení i používání a že identifikátory zařízení a předplatitele mají být spojovány s údaji operátora a dalšími výsledky.^[2] Klíčové slovo je „spojovány“. Samostatný identifikátor je článek řetězce, nikoli celý řetězec.

Největší vizuální klam digitálního dokazování vzniká ve chvíli, kdy se různé druhy dat nakreslí stejným symbolem. Na mapě pak vedle adresy svítí bod, ať už pochází z družicového výpočtu, mobilní buňky, databáze Wi‑Fi, IP geolokace nebo interního odhadu poskytovatele. Grafické rozhraní rozdíly zahladí. Důkazní význam je však právě v nich.

GPS či přesněji GNSS obvykle představuje polohový odhad vypočtený zařízením z rádiových měření a případně dalších senzorů či asistenčních dat. Správně uložený záznam nemá jen zeměpisnou šířku a délku; důležité jsou čas, zdroj a odhad nejistoty. Android například u horizontální přesnosti definuje poloměr, v němž se skutečná poloha očekává s přibližně 68% pravděpodobností.^[6] Počet desetinných míst souřadnice proto není totéž co přesnost. Výsledek ovlivňuje geometrie družic, zakrytí signálu, atmosféra i kvalita přijímače.^[7]

Navíc ne každá položka označená slovem „location“ pochází přímo z družic. Mobilní operační systémy a aplikace mohou používat sloučený odhad, který kombinuje GNSS, Wi‑Fi, mobilní síť, inerciální senzory nebo poslední známou polohu. Forenzní význam proto neleží v názvu sloupce, ale v tom, jaký provider údaj vytvořil, zda šlo o čerstvé měření či převzatý stav a jak aplikace záznam ukládala. Bod na mapě bez těchto polí může působit přesněji než podklad, z něhož vznikl.

Záznam mobilní sítě odpovídá na jinou otázku: se kterou buňkou a případně sektorem zařízení v dané chvíli komunikovalo. Současná metodika SWGDE jej charakterizuje jako podklad pro umístění mobilního zařízení do přibližné geografické oblasti. Zároveň výslovně uvádí, že CDR samy o sobě neříkají přesvědčivě, kdo zařízení používal, a běžná informace o buňce či sektoru neumožňuje určit přesnou křižovatku nebo adresu.^[5] Timing Advance může oblast dále omezit, ale pracuje s pásmem odvozené vzdálenosti, nikoli s jediným bodem.

Wi‑Fi může znamenat prostý seznam přístupových bodů, které telefon viděl, záznam o asociaci s konkrétním access pointem, log řadiče podnikové sítě nebo specializované měření vzdálenosti. Android rozlišuje běžný scan okolních přístupových bodů od Wi‑Fi RTT, kde kompatibilní zařízení měří dobu letu signálu a při více známých bodech může odhadnout polohu výrazně jemněji.^[8] Věta „telefon byl na Wi‑Fi“ je proto neúplná, dokud nevíme, zda šlo jen o viditelnost sítě, skutečné připojení, serverový log, nebo ranging.

IP adresa primárně popisuje síťovou cestu. Veřejná IPv4 adresa může být prostřednictvím NAT sdílena více zařízeními v domácnosti a u carrier-grade NAT i více zákazníky. IETF proto upozorňuje, že pro rozlišení uživatelů nemusí stačit samotná IP a čas; význam může mít také zdrojový port a přesné logy poskytovatele.^[10] IP může spolehlivě spojit událost se síťovým výstupem nebo přístupovou relací. Sama obvykle neukáže místnost, zařízení ani člověka.

Cloudový účet není samostatný senzor polohy. Je to místo, kam se mohou propsat údaje z telefonu, webového klienta, serverové inference nebo synchronizace. Záznam může být cennější než lokální databáze, protože vznikl mimo zkoumané zařízení a má vlastní časovou osu. Současně však dědí význam původního mechanismu: souřadnice synchronizovaná z telefonu je stále souřadnicí zařízení; přihlášení z IP je stále událostí relace.

Bluetooth a jiné blízkostní artefakty mohou potvrdit, že se dvě rádia navzájem zaznamenala, párovala nebo komunikovala. To je zvlášť silné, pokud je jeden prvek pevně umístěný a jeho log je nezávisle zajištěn. Síla signálu RSSI však není univerzální metr. Měření NIST ukázala, že orientace zařízení, lidské tělo, stěny a okolí výrazně ovlivňují vztah mezi RSSI a vzdáleností; mimo idealizované podmínky se přesnost prudce zhoršovala.^[9]

Metadata fotografií mohou podle standardu Exif obsahovat časové a geografické údaje.^[12] Dokazují však především to, že daný soubor taková metadata obsahuje. K závěru o místě pořízení je potřeba posoudit původ souboru, kontinuitu, exporty, úpravy, časové nastavení a shodu s dalšími stopami. Stejně je tomu u záznamů aplikací: databáze může věrně zachytit stav, který vytvořila konkrétní verze programu, ale vyšetřovatel musí znát význam polí, zdroj času, synchronizaci a rozdíl mezi uživatelskou a systémovou událostí. NIST i SWGDE upozorňují, že význam artefaktu se může měnit s verzí softwaru a že automaticky sestavená časová osa nemusí obsahovat všechny události.^[1][2]

Vraťme se k telefonu přihlášenému do sektoru u místa činu. Tento údaj není bezcenný. Pokud čas, identifikátory a údaje operátora sedí, zvyšuje pravděpodobnost, že se zařízení nebo dané předplatné nacházelo v obsluhované oblasti. Může vyvracet tvrzení, že telefon ležel desítky kilometrů daleko. Může odhalit trasu, opakovaný vzorec nebo kontakt mezi dvěma zařízeními.

Neřeší však sám všechny alternativy. Telefon mohl mít u sebe vlastník, ale také člen domácnosti, kolega nebo spolupachatel. Mohl zůstat ve vozidle, zatímco člověk odešel jinam. SIM mohla být v jiném zařízení. Účet mohl vytvořit událost z propojeného klienta. Některá vysvětlení budou podle okolností velmi pravděpodobná, jiná jen teoretická. Forenzní poctivost neznamená postavit je na stejnou úroveň. Znamená identifikovat, kterou otázku osamocený údaj ještě neuzavřel.

Stejná disciplína platí i obráceně. Absence záznamu nemusí dokazovat nepřítomnost člověka: zařízení mohlo být vypnuté, bez relevantní síťové události nebo mimo rozsah získaných dat. Digitální stopa je zpravidla odpovědí na konkrétní mechanismus. Neodpovídá automaticky na všechny otázky, které bychom jí rádi položili.

Pět artefaktů nemusí znamenat pět důkazů. Lokální databáze, náhled ve forenzním nástroji a export téže databáze mohou být tři zobrazení jediné události. Stejně tak serverový záznam a notifikace na telefonu mohou mít společnou příčinu. Při hodnocení konvergence je proto potřeba ptát se nejen, zda se údaje shodují, ale také zda vznikly nezávisle.

Silnější obraz může vypadat takto: operátor zaznamená zařízení v sektoru odpovídajícím dané čtvrti; aplikace v telefonu uloží GNSS polohu s rozumným poloměrem nejistoty; řadič Wi‑Fi v budově eviduje asociaci stejného zařízení; kamera zachytí konkrétní osobu, jak s telefonem přichází; server komunikační služby přijme zprávu z autentizované relace a stejný obsah se objeví u příjemce. Každý zdroj odpovídá na trochu jinou otázku. Právě jejich překryv zmenšuje prostor pro alternativní vysvětlení.

Konvergence neznamená, že každý další bod automaticky násobí jistotu. Pokud mají dvě stopy společný zdroj nebo jedna vznikla z druhé, jejich nezávislost je omezená. Přesto jde o zásadní princip: alternativní vysvětlení musí postupně objasnit nejen jeden záznam, ale celý soubor shodných událostí. Čím více různých mechanismů, držitelů dat a časových os se překrývá, tím náročnější je vytvořit jiné vysvětlení bez dalších nepodložených předpokladů.

Síla digitálního důkazu není v nejpřesnějším bodu. Je v tom, kolik nezávislých cest vede ke stejnému příběhu.

U konkrétní zprávy se důkazní řetězec prodlužuje ještě o jeden článek. Lokální databáze může ukázat odchozí záznam. Server může potvrdit, že zprávu přijal z autentizované relace. Telefon příjemce může doložit obsah a čas doručení. To velmi dobře prokazuje, že určitý účet nebo klient zprávu vytvořil či odeslal.

Autorství konkrétního člověka však může vyžadovat další oporu. Účet mohl být otevřen na propojeném počítači; zařízení mohl krátce ovládat někdo jiný; text mohl být připraven dříve, odeslán automatizací, nadiktován nebo vložen vzdáleným přístupem. NIST u digitální autentizace definuje úspěch především jako prokázání držení a kontroly autentizátoru svázaného s účtem.^[11] To je velmi významný fakt, ale není to totožné s přímým pozorováním člověka u klávesnice.

Na druhé straně nelze z každé teoretické možnosti udělat stejně vážnou alternativu. Pokud se zpráva objevila v aktivní relaci telefonu, zařízení bylo u osoby X, kamera zachytila její práci s ním, styl komunikace navazuje na předchozí konverzaci a žádný propojený klient ani vzdálený přístup se neprojevil, atribuce může být velmi silná. Správná věta není „autorství nelze nikdy prokázat“. Správná věta zní: „Autorský závěr musí být podložen stopami, které překračují pouhou existenci zprávy v účtu.“

Ve forenzním protokolu je užitečné oddělit nejméně čtyři vrstvy. Pozorování říká, co bylo nalezeno: například řádek databáze, serverový log nebo identifikátor buňky. Technická interpretace vysvětluje, jak takový artefakt obvykle vzniká. Indicie popisuje jeho vztah k vyšetřovací hypotéze. A závěr spojuje více indicií do tvrzení o minulém ději.

Kryptografický hash může spolehlivě prokázat, že se získaná data od určitého okamžiku nezměnila. Neprokazuje, že obsah před akvizicí vznikl pravdivě, že čas zařízení byl správný nebo že záznam vytvořila určitá osoba. Řetězec zajištění chrání integritu důkazu. Atribuční analýza řeší jeho význam. Zaměnit tyto dvě otázky je stejně chybné jako zpochybnit správný hash jen proto, že stále neznáme autora souboru.

Podobně je potřeba odlišit přípustnost důkazu od jeho důkazní váhy. Korektně zajištěný a autentický export může být bezvadným důkazním prostředkem, ale stále může podporovat jen omezené tvrzení — například přítomnost účtu v systému, nikoli totožnost autora. Opačně může být obsahově přesvědčivý artefakt oslaben nejasným původem nebo nezdokumentovanou transformací. Poctivý posudek proto uvádí nejen nález, ale i cestu k němu, známé limity a míru, s jakou podporuje konkrétní hypotézu. NIST tento přechod popisuje jako analýzu, která z artefaktů vytváří rekonstrukci relevantních událostí; rekonstrukce je odborný výsledek, nikoli automatický výpis nástroje.^[1]

Český Ústavní soud opakovaně zdůrazňuje, že nepřímé důkazy nejsou méněcenné vůči přímým. Mohou samy postačit k prokázání viny, pokud jsou vzájemně propojené a vytvářejí ucelený řetězec, který neponechává rozumnou alternativu.^[13] Digitální artefakty do této logiky přesně zapadají. Jednotlivě mohou dokazovat dílčí okolnosti. V souhrnu mohou vytvořit velmi přesvědčivou rekonstrukci. Rozhodující je, zda mezi pozorovaným údajem a konečným závěrem nezůstala skrytá mezera.

Každý důkaz lze obklopit hypotetickou možností. Telefon mohl být půjčen. Účet mohl být prolomen. Kamera mohla zachytit dvojníka. Čas mohl být špatně. Kdyby stačila samotná představitelnost alternativy, nebylo by možné prokázat téměř nic — digitálně ani jinak.

Rozumná alternativa musí mít oporu v okolnostech, vysvětlit celý soubor stop a nesmí vyžadovat stále nové, ničím nedoložené výjimky. Jinou váhu má zjištění, že telefon v domácnosti běžně sdíleli dva lidé, a jinou čistě teoretická věta, že jej „mohl mít kdokoli“. Jinou váhu má doložená aktivní relace na notebooku a jinou možnost, že účet „snad někdo hacknul“, přestože logy nic takového neukazují.

Forenzní přesnost proto není nekonečný seznam všech myslitelných scénářů. Je to kalibrované hodnocení: co stopa přímo dokazuje, co silně podporuje, co pouze umožňuje a které alternativy jsou ještě realistické. Takový přístup digitální důkazy neoslabuje. Zbavuje je přehnaných tvrzení, která by se při prvním odborném protiargumentu mohla zhroutit.

Na začátku případu zněla věta jednoduše: „Jeho telefon byl u místa činu.“ Po doplnění kontextu může poctivý závěr znít méně efektně, ale podstatně přesněji: „Předplatitelská identita evidovaná na osobu X použila v kritické době sektor pokrývající okolí. Další artefakty z konkrétního zařízení, nezávislý Wi‑Fi log a obrazový záznam podporují závěr, že zařízení v té době držela osoba X.“

Taková formulace není únikem před rozhodnutím. Naopak ukazuje, které části závěru stojí na přímém technickém záznamu, které na vzorci používání a které na souběhu nezávislých důkazů. Pokud později přibude zpráva odeslaná z účtu, musí se znovu položit jiná otázka: dokazujeme aktivitu relace, ovládání telefonu, nebo autorství konkrétního člověka?

Digitální technologie nevytvořily svět bez nejistoty. Vytvořily svět s obrovským množstvím stop — často přesnějších, časově jemnějších a odolnějších vůči lidské paměti než cokoli, co vyšetřovatelé měli dříve. Jejich hodnota je mimořádná právě tehdy, když respektujeme hranice jednotlivých mechanismů a necháme různé zdroje, aby se navzájem ověřovaly.

Největší problém proto často neleží v nedostatku dat. Leží v jazyce. Z technicky přesného údaje dokážeme během jediné věty vytvořit přesnější lidský příběh, než tento údaj dovoluje. A nejnebezpečnější forenzní chyba nemusí vzniknout tehdy, když je stopa nepřesná. Může vzniknout tehdy, když je stopa přesná — a náš závěr je ještě přesnější než ona.