Otevřené bankovnictví: proč pouštět k penězům na účtu někoho cizího

Hovor nahráváme, souhlasíte? Ano. Tento web používá cookies, souhlasíte? Klik. Co jiného vám zbývá. A nově se chystá další otázka: Povolíte nám přístup ke svému bankovnímu účtu? Můžete, ale nemusíte. Čtěte, co je otevřené bankovnictví a jak vám ovlivní život.

Ilustrační snímek | foto: Profimedia.cz

Sotva jste se naučili pohotově pracovat s elektronickým bankovnictvím, už je tu další novinka. Údaje, které o vás banka shromažďuje, může (pokud jí to dovolíte), poskytnout i někomu jinému, takzvaným třetím stranám. Říká se tomu otevřené bankovnictví a formálně je to evropská směrnice PSD2. 

Zkratka znamená Payment Services Directive a Evropa směrnici vydala proto, aby klient mohl nakládat s informacemi o svých příjmech a výdajích podle svého. Vždyť jsou jeho majetkem, nikoli banky, která je jen eviduje. 

Průzkum

• 59 % Čechů, kteří mají účty ve více bankách, by uvítalo možnost je propojit. Považují to za zrychlení a zjednodušení a také by tím získali lepší přehled o svých penězích.
• 15 % lidí by data poskytlo i nebankovním aplikacím, naopak 49 % by bylo rozhodně proti.
• 6 % osob by bylo ochotno poskytnout přístup k údajům z bankovního účtu i aplikacím sociálních médií, jako jsou například Facebook či Twitter. 

^{Zdroj: Airbank}

Proč bych asi pouštěl ke svým penězům někoho třetího, napadne teď většinu lidí. O tom, kolik mi chodí na účet, komu posílám peníze a co, kde a za kolik nakupuji, chci mít přehled jen já sám. Správně. To je bezpečné. Ale i tak už se vám jistě stalo, že jste někomu předávali informace o svých financích - třeba aktuální potvrzení o příjmech kvůli úvěru. Díky PSD2 to může být jednodušší. Protistrana se prostě podívá, jak to chodí na vašem kontě. 

Když dodržíte základní bezpečnostní pravidla, můžete využívat pohodlnějších služeb, aniž by hrozila nějaká nová rizika.

Co je otevřené bankovnictví?

Příkladů, kdy lze otevřené bankovnictví využít, je hned několik: 

• Vyberete si internetbanking, který se vám nejlépe používá. Nebo nějakou šikovnou aplikaci, kterou vytvořil někdo úplně mimo banku. Pak si do ní připojíte účty bank, které nemají internetové bankovnictví tak uživatelsky příjemné. Nejenže uvidíte zůstatky a pohyby na účtech, z oné aplikace budete moci i zadávat platební příkazy a inkasa. 
• Pokud má například jeden účet manžel a druhý manželka a navzájem mají ke svým kontům dispoziční práva, mohou si je propojit. 
• Zalíbila se vám aplikace do chytrého telefonu, která slibuje, že vám pomůže uspořádat rodinné finance? Nemusíte nikam zapisovat své příjmy a výdaje, umožníte provozovateli aplikace propojit se s běžným účtem a veškeré záznamy se do programu stáhnou automaticky. Podobně mohou pracovat i klasičtí finanční poradci, kteří vám sestavují finanční plán, navrhují pojištění.
• Nebaví vás se neustále přihlašovat do internetového bankovnictví? Je vám zatěžko opisovat při nákupech v e-shopech stále dokola číslo platební karty? Pokud to obchodníkovi povolíte, propojí se s vaší bankou a při dalších platbách stačí kliknout v e-shopu na tlačítko „zaplatit“ a přesměrování do internetbankingu se provede bez vyplňování přihlašovacích údajů (je to obdoba plateb Pay-U). Platbu samu potom potvrdíte tak, jak je to ve vaší bance obvyklé, třeba SMS kódem.
• Chcete si půjčit peníze, takže povolíte úvěrové společnosti, aby si na vašem účtu prohlédla příjmy a výdaje a mohla tak určit, zda vám půjčí a za kolik.

Možností, jak otevřené bankovnictví užívat, je hodně a trh jistě v budoucnu nabídne další.

Budou o to lidé stát?

Podle průzkumu Air Bank se část lidí bude nových možností obávat, ale víc než polovina je přivítá, protože půjde o zjednodušení správy peněz. Podle toho, jak snadno Češi přešli na bezkontaktní platební karty, se zdá, že jsme rychlému vývoji technologií nakloněni. 

Co je GDPR? Ochrana osobních údajů

• O tom, že se na klienty/zákazníky/ členy/pacienty... valí další vlna formulářů od institucí, které budou vyžadovat jejich souhlasy, případně výslovné souhlasy se shromažďováním osobních údajů, jste již nejspíš slyšeli. Jmenuje se to GDPR - obecné nařízení na ochranu osobních údajů.
• Zmatek v hlavách z něho mají především podnikatelé, ale třeba i činovníci bytových družstev nebo spolků. 
• Od 25. května budou muset jednat v souladu s touto směrnicí: tedy data zpracovávat, jen když k tomu mají důvod, zabezpečit je v kyberprostoru a neodkladně hlásit, když zjistí narušení bezpečnosti.
• Na klienty tedy potvrzování souhlasu o zpracování osobních údajů čeká opravdu všude. Navíc budou mít právo žádat, aby byli v databázi konkrétního zpracovatele „zapomenuti“.

Pravdou je, že u bezkontaktních karet banky zákazníkům nedávaly moc na výběr, prostě jim je začaly vydávat. Dá se předpokládat, že s propojováním finančních služeb to bude podobné, klienti budou zahrnuti spoustou nabídek, některé služby budou při propojení o pár korun výhodnější a jiné jím budou dokonce podmíněny. Časem se nejspíš propojování stane standardem. 

Markéta Dvořáčková z Equy však upozorňuje: „Klient není povinen zpřístupnit údaje jinému poskytovateli, je to jen možnost. Kdo nebude mít o službu zájem, na toho nemá otevřené bankovnictví žádný dopad.“

Prověří někdo třetí strany?

Aby se takzvaná třetí strana mohla napojit na klientův účet, bude potřebovat jeho výslovný souhlas. A kromě toho také speciální licenci od ČNB (stávající banky ji mají automaticky) a ještě certifikát o tom, že dokáže získané údaje zabezpečit proti zneužití. 

Banky pak třetím stranám, které uvedené požadavky splní, otevřou takzvané API, to je počítačový termín pro rozhraní na programování aplikací, jde o jakýsi technologický vstup do banky, a třetí strany je budou moci využít. Petr Plocek z UniCredit Bank k tomu dodává: „Kvůli udělení práv klient nemusí chodit do pobočky. Vše proběhne elektronicky.“

Už jsou banky otevřené?

Porovnejte si nabídku běžných účtů a vyberte si ten nejvýhodnější.

Částečně. Zpřístupnění API není v bankovních službách úplná novinka. Například klienti Fia si mohou, pokud podnikají, propojit konto se svým firemním účetnictvím už od roku 2012. A nově lze Fio účet otevírat v internetovém bankovnictví Creditas. 

Většinou se však banky na zveřejnění API teprve připravují. Ačkoli zákon začal platit v polovině ledna, praxe zaostala, i když to není úplně chyba bank. API si až dosud každá z nich tvořila podle svého, existuje tak mnoho variant.

Směrnice PSD2 sice nakázala systém zpřístupnit, bohužel však požadavek na standardizovaný formát API byl ustanoven až v listopadu 2017. „I ty banky, které už API zveřejnily, je nemají jednotně nastavené a nemohou tedy hned poskytovat nové služby,“ upozorňuje Jana Karasová z Air Bank. 

Michal Teubner dodává, že v Komerční bance již zaznamenali požadavky třetích stran a současně je sami oslovují. Licenci však mají zatím jen banky, třetí strany (poradenské firmy, obchodníci, pojišťovny, společnosti zabývající se úvěry či finančními technologiemi...) o ni teprve žádají ČNB.

Jak si připojit další účet?

Postup nejspíš nebude zcela jednotný. Pravděpodobně to bude fungovat tak, jak je to běžné právě mezi Creditas a Fio bankou. Vyzkoušeli jsme to. 

V bance, kterou chcete zpřístupnit (Fio), si v nastavení zvolíte možnost API a vytvoříte nový kód, takzvaný token. Propojení můžete pojmenovat, abyste věděli, komu svou banku otevíráte. 

Také si zvolíte, zda třetí strana (tou je v tomto případě Creditas) může na váš účet jen nahlížet, nebo zda jejím prostřednictvím půjde i zadávat příkazy. Uvedete, do kdy je povolení platné. Transakci musíte potvrdit SMS kódem, který vám přijde na mobil (jako když vytváříte trvalý příkaz). 

Token je dlouhý kód, který zkopírujete v internetovém bankovnictví Creditas, vyberete si k tomu volbu „připojit externí účet“. Potvrdíte a hned to funguje: v rámci přihlášení do Creditas můžete platit z účtu Fio. Fio to třetí straně umožní na základě vašeho souhlasu, ale ještě před tím při každém pokusu o transakci zkontroluje platnost licence a certifikátu.

Budu mít přehled o svých souhlasech?

Ano. V internetovém bankovnictví naleznete seznam souhlasů, tedy informaci o tom, pro koho jste vytvořili token a jaký typ oprávnění jste povolili (dívat se, nebo i provádět platby). Jedním klikem pak můžete propojení snadno zrušit, a to ještě před koncem původně zvolené platnosti.

Je to bezpečné?

Je a není. Jako u všech finančních záležitostí, i zde je třeba používat zdravý rozum. Sice funguje ono udělování licence a certifikace, ale konečné rozhodnutí o tom, kdo se bude probírat vaší platební historií, je na vás. Pokud půjde o jednorázovou záležitost spojenou třeba s žádostí o hypotéku, má otevřenost smysl a je to pohodlné řešení. 

Stejně tak u často opakovaných nákupů v renomovaných obchodech, ostatně podobně to dělá mnoho lidí již dnes, když při placení dovolí obchodníkovi zapamatovat si údaje o kartě. Rozdávat však přístupy na potkání a dlouhodobě mnoha e-shopům? To moc rozumné není. Třeba proto, že byste se mohli stát cílem obtěžující reklamy volené přesně podle vašich výdajů. 

Opravdové riziko nepozorným klientům hrozí i jinde: o přístup vás může požádat aplikace, která se vás pokusí přesměrovat na falešnou stránku podobnou webu banky. Jejím cílem bude přečíst vaše přihlašovací údaje a následně se dostat na váš účet vaším jménem. Jak se takového nebezpečí vyvarovat? I zde fungují standardní bezpečnostní pravidla. 

Pro přístup do banky (tedy i získání tokenu) se neproklikávejte z webu třetí strany. Přihlaste se tak, jak to děláte obvykle, zkontrolujte přitom adresu v příkazovém řádku a zelený zámeček v levém horním rohu, který značí zabezpečené připojení. Banky také na svých stránkách zveřejní seznamy partnerů, které mají prověřené.

Nemohou platby probíhat beze mě?

Nemohou. Ke každé transakci je totiž třeba vaše autorizace. Pokud bude například třetí stranou obchodník, umožní vám jednoduchý přístup do vaší banky (ono tlačítko „zaplatit“), ale autorizaci platby (třeba esemeskou) budete dělat vy.