Bankovní identita je souhlas, ne jen tlačítko

Praha – Bankovní identita se v praxi často tváří jako obyčejné tlačítko. Uživatel na webu úřadu, pojišťovny, dodavatele energií nebo jiné služby klikne na Bank iD, vybere banku a přihlásí se podobně jako do internetového bankovnictví. Technicky je to pohodlné. Pro spotřebitele je ale podstatné něco jiného: nejde jen o přihlášení, ale o souhlas s tím, aby banka potvrdila totožnost a předala konkrétní údaje konkrétnímu poskytovateli služby.

Bank iD v oficiálním vysvětlení pro uživatele popisuje bankovní identitu jako přihlašovací údaje do internetového bankovnictví použitelné pro portály státu, institucí i firem. Zároveň uvádí důležitý limit: nedochází k propojení s bankovním účtem, banka potvrzuje totožnost a osobní údaje a finanční informace nepředává. To je rozdíl, který se v běžném používání snadno ztratí. Bankovní identita není dálkový přístup třetí strany k účtu. Je to ověřovací infrastruktura, ve které má uživatel sledovat, jaké údaje komu předává.

První kontrolní otázka proto není, zda je Bank iD bezpečná značka. Je to otázka, kdo se ptá. Na stránce úřadu nebo firmy má být zřejmé, proč služba totožnost ověřuje a jaký úkon tím uživatel dělá: přihlašuje se do portálu, zakládá smluvní vztah, potvrzuje změnu údajů, nebo podepisuje dokument. Pokud kontext není jasný, riziko nevzniká až v kryptografii nebo bankovní infrastruktuře. Vzniká už v tom, že uživatel nerozumí úkonu, který schvaluje.

Druhá otázka je rozsah údajů. Bank iD v častých dotazech uvádí, že banka nemůže sama předávat osobní údaje klienta ani potvrzovat jeho identitu bez souhlasu; záleží na uživateli, které údaje odsouhlasí. Obvykle jde o jméno, příjmení a datum narození, ale v konkrétní službě může být rozsah širší. Profesionál v bance nebo pojišťovně by to měl číst jako součást klientské cesty: obrazovka souhlasu není servisní mezikrok, ale rozhodovací místo. Spotřebitel by ji neměl odkliknout stejným reflexem jako lištu s cookies.

Třetí otázka je, kde zůstává stopa. Bank iD uvádí, že informace o tom, kterým úřadům, firmám a institucím uživatel poskytl osobní údaje prostřednictvím bankovní identity, jsou u většiny bank dostupné v internetovém bankovnictví. Česká spořitelna na stránce k Bankovní IDentitě popisuje, že detailní informace o využívání Bankovní IDentity najde klient v Georgi v části Moje Bankovní IDentita, včetně historie přihlášení a správy. Pro uživatele je to praktický auditní záznam: pokud si není jistý, kde Bank iD použil, nemá spoléhat na paměť, ale projít historii v bankovnictví.

Čtvrtá otázka je možnost vypnutí. Bank iD v dotazech uvádí, že kdo nechce používat bankovní identitu mimo svou banku, může ji u většiny bank deaktivovat nebo zrušit přímo v internetovém bankovnictví, případně osobně na pobočce, přičemž internetové bankovnictví zůstává funkční. Česká spořitelna zase popisuje možnost ověřování jinde než ve Spořitelně vypnout a opět zapnout v Georgi. To je důležité pro klienty, kteří chtějí internetové bankovnictví, ale nechtějí, aby stejná identita sloužila i u třetích stran.

Banky stejný princip vysvětlují vlastním jazykem. ČSOB u ČSOB Identity píše, že u soukromých portálů potvrdí, že jde skutečně o klienta, a předá potřebná data, přičemž předání nechá vždy odsouhlasit. Komerční banka u Bankovní identity KB uvádí, že osobní údaje předává dalším subjektům jen s výslovným souhlasem a že informace o finančních produktech se k protistraně nedostanou. Air Bank ve vysvětlení bankovní identity popisuje, že společnost obdrží pouze informace, jejichž konkrétní a úplný výčet uživatel odsouhlasil po ověření v bankovnictví. Rozdílné formulace vedou ke stejnému jádru: rozhoduje identifikovaný příjemce, účel a rozsah dat.

Samostatnou vrstvou je role Bankovní identity, a.s. jako prostředníka. Zásady ochrany osobních údajů Bank iD uvádějí, že Bank iD jako poskytovatel identifikačních služeb podle zákona o bankách přenáší osobní údaje od banky k uživatelem zvolenému poskytovateli online služby. Dokument také říká, že Bank iD bez pokynu uživatele nemá přístup k údajům z prostředí banky ani k údajům ze služby, pro kterou uživatel totožnost prokazuje. To je užitečné pro přesné čtení systému: nejde o jednu firmu, která by si sama brala bankovní data, ale o tok údajů mezi bankou, Bank iD a službou, kterou si uživatel zvolil.

Bezpečnostní riziko tím nezmizí. Jen se přesouvá na jiné místo. NÚKIB dlouhodobě varuje před vishingem zneužívajícím identitu bankovních institucí: útočník se vydává za banku a snaží se získat citlivé údaje, přihlašovací údaje do internetového bankovnictví, údaje z karty nebo bezpečnostní kódy. U Bank iD je praktický filtr stejný jako u bankovnictví. Přihlašovací údaje se nikomu nesdělují, odkaz z SMS nebo e-mailu se nebere jako důkaz pravosti a časový tlak je varovný signál, ne důvod k rychlejšímu kliknutí.

Nejhorší chování je potvrdit něco, co uživatel sám nezačal. Pokud člověk právě stojí na portálu veřejné správy a sám si vybral přihlášení přes Bank iD, kontext dává smysl. Pokud mu volající tvrdí, že musí okamžitě potvrdit přístup, odblokování účtu, bezpečnostní kontrolu nebo vrácení peněz, je potřeba tok přerušit a ověřit situaci přes oficiální aplikaci, internetové bankovnictví nebo veřejné číslo banky. Bankovní identita je silná právě proto, že stojí na bankovním ověření. Stejné ověření je ale zneužitelné sociálním tlakem, pokud uživatel potvrzuje cizí scénář.

Pro domácnost je praktický audit jednoduchý. Jednou za čas otevřít v bankovnictví správu bankovní identity, projít historii použití a souhlasy, zkontrolovat, zda dává smysl každý poskytovatel, a vypnout externí použití, pokud ho klient nechce. Při každém novém použití číst obrazovku souhlasu stejně vážně jako podpis dokumentu: kdo data dostane, jaká data to jsou a proč je potřebuje. U podpisových služeb navíc kontrolovat samotný dokument, protože souhlas s podpisem není totéž co pouhé přihlášení do klientské zóny.

Pro banky, pojišťovny a firmy používající Bank iD z toho plyne komunikační odpovědnost. Tlačítko Bank iD nesmí být schované jako technická zkratka bez vysvětlení, k čemu identifikace slouží. Klient má předem vidět, zda jde o přihlášení, identifikaci pro smlouvu, aktualizaci údajů nebo elektronický podpis. Čím citlivější úkon, tím přesnější má být jazyk okolo souhlasu. Jinak se legitimní digitální identita začne spotřebiteli jevit stejně mlhavě jako phishingová výzva.

Bankovní identita je pro český trh důležitá infrastruktura důvěry. Její slabé místo není v tom, že by každé použití otevíralo bankovní účet třetí straně; oficiální materiály bank i Bank iD říkají opak. Slabé místo je banalizace souhlasu. Když uživatel chápe Bank iD jen jako rychlé tlačítko, ztrácí kontrolu nad významem úkonu. Když ji čte jako ověření totožnosti, předání konkrétních údajů a dohledatelný záznam v bankovnictví, stává se z pohodlné funkce skutečně použitelný bezpečnostní nástroj.

Zdroje

• Bank iD, Co je bankovní identita 2025: https://bankid.cz/files/Co_je_bankovni-identita_2025.pdf
• Bank iD, Dotazy uživatelů bankovní identity: https://bankid.cz/lide/caste-dotazy/
• Bank iD, Ochrana osobních údajů: https://bankid.cz/osobni-udaje/
• Česká spořitelna, Bankovní IDentita: https://www.csas.cz/cs/o-nas/bezpecnost-ochrana-dat/bankovni-identita
• ČSOB, ČSOB Identita: https://www.csob.cz/portal/csob/csob-identita
• Komerční banka, Bankovní identita KB: https://www.kb.cz/cs/podpora/bank-id/bankovni-identita-kb
• Air Bank, Bankovní identita: https://www.airbank.cz/co-vas-nejvic-zajima/bankovni-identita/
• NÚKIB, Upozornění na vishing zneužívající identitu bankovních institucí: https://nukib.gov.cz/cs/infoservis/hrozby/1705-upozorneni-na-vishing-zneuzivajici-identitu-bankovnich-instituci/