Bankovní identita (BankID)

Příklady z praxe

1. 01

   Uzavření pojištění bez papírů

   Pojišťovna nabízí sjednání povinného ručení online. Místo vyplňování patnácti polí klient klikne na přihlášení bankou, potvrdí souhlas v mobilní aplikaci a formulář se předvyplní jménem, rodným číslem a adresou trvalého bydliště. Smlouvu pak podepíše elektronicky ve stejném toku a dokončení sjednání se zkrátí z minut na desítky sekund.

2. 02

   Zpracování návratu z autorizačního serveru

   Backend e-shopu s alkoholem potřebuje pouze ověřit plnoletost. Vyžádá si proto minimální rozsah údajů a po návratu uživatele vymění autorizační kód za token, ze kterého přečte datum narození. Menší rozsah znamená vyšší míru dokončení souhlasu i nižší cenu za transakci.

   // Node.js: výměna autorizačního kódu za token
   const res = await fetch(TOKEN_ENDPOINT, {
     method: 'POST',
     headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
     body: new URLSearchParams({
       grant_type: 'authorization_code',
       code,
       redirect_uri: REDIRECT_URI,
       client_id: CLIENT_ID,
       client_secret: CLIENT_SECRET,
       code_verifier: verifier
     })
   });
   
   const { access_token } = await res.json();
   
   const profile = await fetch(USERINFO_ENDPOINT, {
     headers: { Authorization: `Bearer ${access_token}` }
   }).then(r => r.json());
   
   const plnolety = vek(profile.birthdate) >= 18;

Časté omyly

MýtusKdyž se přihlásím bankovní identitou, e-shop uvidí můj účet a kolik mám peněz.

Ve skutečnostiBankovní identita předává jen identifikační údaje, které si služba vyžádala a uživatel odsouhlasil na obrazovce banky. Přístup k zůstatku a historii transakcí je jiná služba postavená na PSD2 a vyžaduje samostatný souhlas i jinou licenci.

MýtusBankovní identita je jen další varianta přihlášení přes Google.

Ve skutečnostiPřihlášení přes Google potvrzuje držení účtu, nikoli totožnost člověka. Bankovní identita se opírá o zákonnou identifikaci klienta bankou, proto ji lze použít jako uznávaný prostředek elektronické identifikace vůči státu i pro smlouvy uzavírané na dálku.

MýtusBankovní identita je pro poskytovatele zdarma, banka na tom vydělá jinde.

Ve skutečnostiNapojení je smluvní a zpoplatněné za jednotlivé ověření. Cena závisí na rozsahu předávaných údajů a na typu operace, takže se vyplatí vyžádat si jen minimum potřebných dat.

Časté dotazy

Jaké údaje bankovní identita předává poskytovateli služby?

Bankovní identita předává rozsah údajů, který si poskytovatel vyžádá a který uživatel odsouhlasí. Typicky jde o jméno a příjmení, datum narození, adresu trvalého bydliště, e-mail a telefon, u plné identifikace i rodné číslo a údaje o dokladu totožnosti. Rozsah se v protokolu OpenID Connect vyjadřuje pomocí scopes a uživatel ho vidí na souhlasné obrazovce banky před potvrzením. Platí zásada minimalizace: čím méně údajů služba požaduje, tím vyšší je míra dokončení a tím nižší bývá cena za transakci.

Co je potřeba k napojení bankovní identity na vlastní web?

K napojení bankovní identity je potřeba smlouva s provozovatelem schématu, registrace aplikace a nastavení povolených návratových adres. Technicky jde o standardní klienta OpenID Connect: aplikace přesměruje uživatele na autorizační server, přijme autorizační kód, vymění ho na serveru za token a načte údaje z userinfo endpointu. Nutností je bezpečné uložení client secret mimo prohlížeč, použití PKCE, ověření state parametru a HTTPS. Pro testování bývá k dispozici sandbox s fiktivními uživateli.

Funguje bankovní identita, když člověk nemá účet u velké banky?

Bankovní identita funguje pouze u bank, které se do schématu zapojily. Pokrytí českého trhu je vysoké, ale nikoli úplné, a někteří lidé banku pro přihlašování k jiným službám používat nechtějí. Provozovatel služby by proto měl vždy nabídnout alternativní cestu, například klasickou registraci s e-mailem, ověření pomocí čipového občanského průkazu nebo mobilního klíče eGovernmentu. Spoléhat se na jediný způsob identifikace znamená ztrácet část zákazníků.

Nahrazuje přihlášení bankovní identitou elektronický podpis?

Přihlášení bankovní identitou samo o sobě elektronický podpis nenahrazuje. Schéma ale nabízí i službu podpisu dokumentů, kdy uživatel po ověření totožnosti potvrdí konkrétní dokument a vznikne podpis s vazbou na ověřenou identitu. Rozdíl mezi pouhým přihlášením, plnou identifikací a podpisem se promítá do smluvních podmínek i do ceny, proto je vhodné si předem ujasnit, jakou právní sílu má výsledný úkon mít.

Zdroje

1. The OAuth 2.0 Authorization Framework(otevře se v novém okně)RFC Editor, 2012
2. Zákon č. 250/2017 Sb., o službách vytvářejících důvěru pro elektronické transakce(otevře se v novém okně)Zákony pro lidi, 2017
3. Zákon č. 21/1992 Sb., o bankách(otevře se v novém okně)Zákony pro lidi, 1992

Související pojmy

• Elektronický podpisElektronický podpis je právní institut podle nařízení eIDAS: data v elektronické podobě připojená k dokumentu, kterými podepisující osoba vyjadřuje svou vůli dokument podepsat. Nařízení rozlišuje tři úrovně: prostý, zaručený a kvalifikovaný elektronický podpis. Kvalifikovaný podpis má v celé Evropské unii stejné právní účinky jako vlastnoruční podpis na papíře.
• 3D model3D model je digitální reprezentace objektu nebo prostoru ve třech rozměrech, složená z geometrie, materiálů a často i textur, animací či fyzikálních vlastností. Používá se v hrách, filmech, průmyslovém návrhu, architektuře, e-commerce i simulacích, kde software z modelu počítá zobrazení nebo další data.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• AI etikaAI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.
• Alfa kanálAlfa kanál je složka obrazových dat, která u pixelu určuje míru neprůhlednosti nebo průhlednosti. Doplňuje barevné kanály, typicky RGB, a umožňuje plynulé okraje, stíny, překryvy, masky i skládání vrstev. Hodnota alfa sama neurčuje barvu, ale říká, jak se barva pixelu promíchá s pozadím.
• Alt atributAlt atribut je atribut HTML značky <img>, který nese textovou alternativu obrázku pro situace, kdy uživatel obrázek nevidí. Čtou ho odečítače obrazovky, zobrazí se při nenačtení souboru a vyhledávače z něj odvozují obsah obrázku. Prázdná hodnota alt="" je platná a znamená, že obrázek je čistě dekorativní.
• Anchor textAnchor text je viditelný, klikatelný text odkazu, tedy obsah mezi značkami <a> a </a>. Vyhledávačům i uživatelům popisuje, co najdou na cílové stránce, a spoluurčuje, na jaké dotazy cílová stránka hodnotí. Kvalitní anchor text je krátký, popisný a čitelný i vytržený ze zbytku věty.