Rozhovor měsíce 7/2023 Marek Růžička: „Bankovní identita umí odemknout autonomní prodejnu.“

S bankovní identitou se nějakým způsobem setkala pravděpodobně většina občanů České republiky. Minimálně jako jedním z prostředků přihlášení na Portál občana. Co je to ovšem bankovní identita, kde se tu vzala a kdo za ní stojí? O tom hovoříme s Markem Růžičkou, výkonným ředitelem společnosti Bankovní identita, a.s., provozovatelem služeb Bank iD, která se také stala partnerem soutěže Visa Czech Top Shop, Visa Slovak Top Shop a Visa Hungarian Top Shop.

Kdo jako společnost jste a co děláte?

Bankovní identita, a.s. je soukromá akciová společnost, jejímiž akcionáři je devět tuzemských bank. Konkrétně Česká spořitelna, Komerční banka, ČSOB, Moneta Money Bank, Air Bank, Raiffeisenbank, UniCredit Bank, Fio banka a mBank. Společnost vznikla v roce 2020 na základě Zákona o bankovní identitě. Jsme agregátorem bankovních identit jednotlivých bank, které je koncovým klientům vydávají, a provozovatelem služeb s komerčním označením Bank iD. Celý projekt vznikl na základě diskuze státu s bankami o konceptu elektronické identifikace občana. Bankovní identita se tak stala státem uznaným prostředkem elektronické identifikace, který splňuje veškeré právní, technické a bezpečnostní náležitosti včetně auditů a akreditací ze strany státu.

Čím přesně je bankovní identita tak významná?

Když jste byl někdy na pobočce banky, tak jste se prokázal občanským průkazem, banka vás takzvaně fyzicky ztotožnila a údaje zanesla do centrálních registrů státu. Tím, že vám vydala přihlašovací údaje do internetového bankovnictví, tak vám, zjednodušeně řečeno, vytvořila bankovní identitu. Takže když se prostřednictvím bankovní identity přihlásíte například na Portál občana, tak s vaším souhlasem banka předá zaručené a ověřené identitní údaje, poskytovatel služby má jistotu, že ví, kdo jste a co vám může nabídnout. Tím pádem ovšem vaše banka pro stát vykonala nějakou službu. A protože stát tuto službu využívá zdarma, tak bankám umožnil založit si akciovou společnost a podobnou formu služby nabídnout také soukromým společnostem za poplatek.

Jaké společnosti tedy využívají bankovní identitu?

Jsou to nejrůznější poskytovatelé služeb koncovým zákazníkům – fyzickým osobám. Např. operátoři, komerční a zdravotní pojišťovny, energetické společnosti, samozřejmě banky a další finanční instituce, sázkové kanceláře a podobně. Naším posláním je umožnit využívání bankovní identity soukromými firmami. Fungujeme jako agregátor, kdy všechny bankovní identity vydané všemi bankami u nás dáváme dohromady a nabízíme přes jedno komunikační místo. Poskytovatel služeb tak nemusí mít uzavřenou smlouvu s každou jednou bankou a řešit několik technických rozhraní. Uvedu konkrétní příklad: když se na stránkách Kooperativa do zákaznické sekce přihlásíte přes bankovní identitu, tak ten požadavek vede k nám, my zjistíme, že se přihlašujete přes Air Bank, vaše údaje pošleme zpátky a Kooperativa ví, že jste to vy a zobrazí váš profil.

Stručně řečeno bankovní identita je unikátní klíč konkrétního občana, kterým si odemkne vlastní profil u různých společností nebo zákaznických portálů…

Ano. Zároveň si buď ta dvířka odemykáte, že už ten klíč máte, nebo říkáte: Chci se stát vaším novým klientem a tady je důkaz, že jsem to opravdu já. Jako příklad mohou sloužit zdravotní pojišťovny. Občan může ze zákona dvakrát ročně změnit pojišťovnu. Systém bankovní identity vám umožní se nejen přihlásit jako stávající zákazník, ale také se takzvaně digitálně onboardovat jako nový klient a přitom i elektronicky podepsat přihlášku pojištěnce. Čili kromě identitní služby může bankovní identita fungovat i jako zaručený digitální podpis.

V době různých hackerských útoků mě napadne otázka, jestli se přes bankovní identitu nemůže někdo dostat k mým finančním údajům?

To je samozřejmě validní otázka, ale bankovní identita a vaše účty v bance jsou úplně oddělené systémy. Vy si můžete nechat vystavit bankovní identitu čistě jako produkt od banky, kde žádný finanční služby ani nemáte, takže se můžete přihlašovat prostřednictvím jedné banky, zatímco peníze máte v úplně jiné bance.

S jakými daty tedy disponujete?

My se žádnými. Přes nás ta data pouze protékají. Naším úkolem je na požadavek klienta – to je to vaše přihlášení – odpovědět daty z registru banky. Je to něco jako automat, který se dotazuje a posílá informace tam a zpátky. Ale že by postupně vznikala nějaká databáze, tak to vůbec. My ani nejsme GDPR správce, protože podstata projektu byla, že ani banky nebudou ta data nikde shromažďovat a nebudou si hrát na žádného velkého bratra. Jediné, co udělají, je ověření a potvrzení totožnosti člověka.

Jaká data o mně tedy můžete zprostředkovat?

Je to rozdělené podle toho, kolik těch dat klient vlastně potřebuje. Když začnu od těch nejmenších firem, což jsou většinou e-shopy, které nepotřebují ani vaši občanku, ani vaše rodné číslo a stačí jméno, příjmení, datum narození, e-mail, telefon, tak to je ta nejzákladnější služba, které říkáme CONNECT, tedy prosté přihlášení. Potom jsou firmy, které už potřebují vaši občanku nebo rodné číslo, aby vám nabídly nějakou službu nebo s vámi uzavřeli smlouvu, a to jsou vyšší identitní služby, kdy tam pošleme i číslo občanky, kdy byla vydaná, kým a podobně. Nejvyšší typ služby už zahrnuje AML, což je zákon proti praní špinavých peněz (AML – anti-money laundering – pozn. red.), kdy je ještě potřeba poslat údaj společnosti – IČO firmy –, která vás někdy fyzicky ztotožnila, což je většinou IČO té vaší banky. A to už potom je plná sada, která vyhovuje zákonu. Mezi AML povinné subjekty patří banky, pojišťovny, sázkové kanceláře, realitky a podobně. Podle typu služby se pak samozřejmě liší cena, za kterou ji poskytujeme.

Náš rozhovor vedeme kvůli zapojení vaší společnosti jako partnera soutěže Visa Czech Top Shop, Visa Slovak Top Shop a Visa Hungarian Top Shop. Co vás na těchto aktivitách zajímá?

Nás zajímají retailisti, protože hodně často potřebují ověření věku a tím, že my máme v našich zprostředkovávaných datech ověřené datum narození, tak se z toho dá dopočítat, jestli už je zákazníkovi osmnáct let. To hodně využívají prodejci alkoholu, tabáku, pyrotechniky, prostě zboží s omezenou dostupností. Naším velkým zákazníkem je COOP, který od minulého roku otevírá bezobslužné prodejny. To jsou prodejny, kde jsou přes den normálně prodavačky a po zavírací době tam může vstoupit každý, kdo má k dispozici bankovní identitu spárovanou s aplikací Contio/COOP. Je to poměrně jednoduché – stáhnete si aplikaci a přihlásíte se do ní svojí bankovní identitou. Tím pádem my tam pošleme jednak kdo jste a jednak kolik je vám let. Aplikace ví, že jste osmnáct plus, takže vás přes vygenerovaný QR kód může pustit do obchodu, protože v regálech je alkohol a tabák. Bank iD se tedy stala partnerem na základě naší spolupráce s COOPem, ale pak organizátory napadlo, že vlastně nemají obecně podchycenou sekci digitalizace a my se ještě společně se společností KnowInstore snažíme hodnotit retailisty, jak využívají digitální technologie – ať už třeba pro vstup do obchodu nebo pro nějaké bezkontaktní platební služby nebo bezobslužné terminály a tak. Nebo ověřování věku v restauracích, tam také může mít bakovní identita své využití.

Tam to zrovna moc nechápu. Ukážu přece občanku a je to.

To ano, ale jednak ukázáním občanky neexistuje žádný průkazný záznam o ověření a jednak na té občance je mnohem víc údajů než jenom věk. Proč by nějaká mladá, hezká holka měla dávat z ruky občanku, aby se číšník podíval, jak se jmenuje a kde bydlí? A za další: Jakmile číšník vezme občanku do ruky, tak se stává správcem GDPR a jak se s těmi daty teď bude nakládat? Takže provozovatelé restaurací vůbec nechtějí kontrolovat věk přes občanky, ale uvítali by, kdyby si každý při vstupu do restaurace jednoduše přes aplikaci spárovanou s bankovní identitou pípnul ověření věku a tečka.

Hodně se mluví o rušení rodných číslech. Je to něco, co by vám zkomplikovalo činnost?

Rušení rodného čísla je nyní sice mediálně vděčné téma, ale reálně je na stole už od roku 2009. Jen to byl pro všechny vždy horký brambor a řešení se proto neustále posouvá v čase. Pominu mnohdy zmiňovaný argument, že z rodného čísla je možné vyčíst pohlaví a datum narození. To je sice fakt, ale pokud na druhé straně vah leží odhadované náklady v řádech desítek miliard korun, tak je pro mě jako ekonoma takový trade-off neobhajitelný. Jinou a více koncepční otázkou je vůbec možnost jedinečné a jednotné identifikace občana a klienta přes nějaký unikátní identifikátor napříč systémy státní správy a soukromých poskytovatelů, tedy něco na způsob často zmiňovaného číslo sociálního pojištění v USA. Podobný koncept má ale třeba i Itálie, Chorvatsko a další státy. Oproti tomu stojí názor, že takto jednoduché párování je v principu špatné a v rozporu s ochranou osobních údajů. Že daný klientský identifikátor má být vždy jen pro konkrétní agentu státu či resort nebo pro konkrétního poskytovatele služby. Jednoduše řečeno, že pod jedním identifikátorem by nemělo být možné spárovat či dohledat, že jsem zároveň zákazníkem T-Mobile, ČEZu a VZP. Možná zajímavá diskuse, ale bezpochyby to není zásadní a urgentní problém, který máme zrovna teď řešit. Navíc v kontextu připravované evropské legislativy o digitální identitě, která tím může výrazně zahýbat. Aniž by se nás rušení rodných čísel nějak týkalo, z výše uvedených důvodů navrhujeme státu vyčkat rok dva na evropskou legislativu a nerozhodovat teď ukvapeně a nehospodárně.

Marek Růžička a Jiří Beran při podpisu partnerské smlouvy mezi Bank iD a společností Instore Consulting EU, která zaštiťuje unikátní soutěže Visa Czech Top Shop, Visa Slovak Top Shop a Visa Hungarian Top Shop.

Je nějaké téma, které se státem řešíte?

Se státem řešíme projekt eDoklad, o kterém hodně mluví pan místopředseda vlády Bartoš. Podle tohoto konceptu už byste u sebe nemusel mít na přelomu roku plastovou kartičku občanky a mohl byste prokázat svou totožnost přes mobilní aplikaci. Tu by provozoval buď stát, nebo podle daných pravidel nějaký soukromý subjekt. Do aplikace byste si přes Portál občana stáhnul tzv. elektronický stejnopis průkazu, který by akceptovala státní správa pro vaše fyzické ztotožnění na místě. Tedy např. policie, úřady, nebo přepážky CzechPOINT.

To jsem si myslel, že už mám, když jsem naposledy žádal o občanku s čipem.

To je správná úvaha, protože tahle občanka je na ještě vyšší úrovni než bankovní identita, ale abyste ji mohl využít, musíte k ní znát přístupové kódy a mít fyzickou hardwarovou čtečku připojenou k počítači. Z mobilního telefonu s tím nic neuděláte. V tom je to celé dost nepraktické a čísla o využívání to potvrzují. Projekt občanky s čipem začal v roce 2012, takže je tu už více než deset let a za tu dobu stál asi něco přes tři a půl miliardy korun. Reálně si tu občanku nechalo aktivovat asi šest set tisíc lidí, ale kdo z nich ji vůbec někdy použil? Asi šedesát tisíc lidí. Z pohledu product managementu a zákaznické zkušenosti tedy absolutní propadák. Z toto by se měl stát poučit ještě než se do projektu eDoklad pustí. Proč se vůbec dělá? Co má být jeho cílem? Jak bude měřena úspěšnost? Na to zatím nedostáváme odpověď.

Opakovaně jsem četl, že nejdál v digitalizace je Estonsko. Nestálo by za to jejich systém přenést k nám?

Estonsko, ale obecně severské státy jsou v tom asi nejdál. Koneckonců švédské BankID slavilo nedávno loni dvacet let své existence. V současné době se ale paralelně připravuje evropská legislativa, které se říká evropská digitální peněženka, kdy by nařízením Evropské komise členským státům EU mělo dojít k vybavení občanů elektronickou identitou. Ono mnoho zemí EU něco takového ještě vůbec nemá, v tom jsme relativně vepředu. Každá země by měla mít svůj identitní systém, které by se musely vzájemně uznávat a být propojené. Vy byste pak měl nějaké české ID a s ním byste se v rámci EU prokazoval stejně jak vůči orgánům státní správy, tak vůči různým soukromým poskytovatelům služeb. Tohle by mělo platit někdy od roku 2026. I proto se ptáme zástupců státu, proč chtějí zrovna teď zavádět zmiňovaný eDoklad, který je relevantní čistě a výhradně pro Českou republiku, když za dva nebo za tři roky má platit evropská digitální peněženka a naši lokální řešení pak hodíme do koše. Avizovaná cenovka přes 300 mil. Kč není zrovna málo peněz.

Do jaké míry se vás to týká?

To se nás týká, protože se živíme prokázáním identity občana a více než dva roky se snažíme, aby celý ten systém bezpečně fungoval a byl pro uživatele jednoduchý a srozumitelný. Čísla ukazují, že se nám to daří. Bankovní identitu už má nyní v Čechách vystaveno více než šest milionů občanů, více jak dva a půl milionu lidí ji umí správně používat, osmdesát procent lidí, kteří se hlásí ke službám státu, používá Bank iD, více než sto padesát firem je na služby Bank iD napojeno, další firmy využívají Bank iD jako infrastrukturní základ pro své nadstavbové komerční služby a mohl bych pokračovat. Ve vztahu k eDoklad nebo EUDI Wallet jsme připraveni se bavit o technologickém rámci, o úrovni zabezpečení a dostupnosti služby, ale nevymýšlejme znovu kolo.

Bankovní identita má tedy podle vás ambici stát se mezinárodně platným identifikátorem?

Přesně to je naše ambice. Ať se Bank iD klidně přejmenuje na CzechID a plní nadále svoji roli i v rámci Evropské unie.

Co na to stát?

Jsme v kontaktu, vedeme diskusi, nasloucháme si. S každým dalším jednáním rozumí jedna strana lépe té druhé. V tom je určitě posun.

Podle mého názoru bude evropská legislativa doporučující, ale prováděcí proces bude stejně na státu.

Na konci dne půjde o nařízení Evropské komise a národní státy budou mít povinnost se tím řídit. Něco podobného jsme zažili v roce 2016, resp. 2018 s GDPR. Máte ale pravdu, že diskuse a přípravné práce na lokální úrovni můžou začít hned. Podkladů pro jednání už je dost. Proto jsem rád, že už v červnu vznikne na to téma pracovní skupina pod Radou vlády pro informační společnost složená z relevantních zástupců státu a privátního sektoru. Bude tak prostor vymyslet architekturu, která bude udržitelná v ČR i v EU. Podstatné ale bude stanovit komerční model, který umožní přinášet do systému peníze od soukromých subjektů a nezatěžovat státní rozpočet. Dnes privátní firmy za služby Bank iD platí, je to pro ně výhodné a zároveň to přináší peníze, které celý projekt činí životaschopným a samostatně fungujícím. Nedávalo by smysl toto měnit, přenášet zátěž na státní rozpočet nutit všechny, aby ze svých daní platili něco, co možná nikdy ani nevyužijí. To by bylo velmi asociální.

Bavíme se o digitalizaci Evropy, ale počítá se s tím, že někteří lidé nejsou schopni to využít? Typicky někteří senioři nebo méně vzdělaní.

Samozřejmě, i ve státech s vyspělou digitalizací existuje varianta papír, tužka nebo pobočka a fyzická návštěva. Zároveň v těch státech, kde to funguje delší dobu, se systematicky pracuje na edukaci, kdy se děti už ve školách učí rozumět legislativě a digitálnímu fungování státu. V tom jsme u nás extrémně zanedbaní. Ve Španělsku mají banky ze zákona povinnost držet pobočkovou bankovní síť právě pro seniory nebo občany, kteří odmítají digitální využití. Ono to bezpochyby paralelně poběží ještě desítky let, než se to případně přemění do jednoho směru.

Vy jste řekl, že v rámci plánů evropské unie existuje základní rámec, co to má umět. Co to tedy má umět?

Ta idea je, že stát bude disponovat pro každého občana jakýmsi datovým balíčkem, který vy si na úrovni třeba Portálu občana stáhnete do digitální peněženky, budete je mít u sebe a můžete každému, komu vy chcete, ukázat tu část, kterou požaduje. Jdete kupovat alkohol, tak ukážete jenom věk. Nebo ukážete potvrzení o studiu. Nebo potvrzení o životním pojištění. Budete mít prostě u sebe digitální atributy a s nimi budete hospodařit tak, jak zrovna chcete nebo podle toho, co poptáváte. Ta myšlenka asi není úplně špatná, zvlášť pro další generace, ale je to opravdu běh na dlouhou trať.

U té bankovní identity mě zaujala ta komerčnost, jejíž výtěžek vlastně může pokrýt nějaký vývoj…

Bank iD je tu druhým rokem, investice pro vytvoření společnosti, na kterou se banky složily, byla obrovská, a příjem z identitních služeb ji zdaleka ještě nevyrovnal. Na druhé straně v severských zemích vznikla studie, která říká, že kdyby se do bankovní identity zapojilo sedmdesát procent ekonomicky aktivních občanů, a mohlo tak využívat služby soukromých firem a státu 24/7, tak se výrazně rozhýbe ekonomika. V konečném důsledku vede využívání bankovní identity k významnému nárůstu HDP a to zajímá jak banky, tak stát i další privátní společnosti. Samotná identitní služba je vlastně vstupní parametr pro růst HDP a ekonomiky celé společnosti.

autor rozhovoru: Jiří Roth