Říká se, že kolik jazyků znáš, tolikrát jsi člověkem. V digitálním světě by se podobné pravidlo mohlo vztáhnout na identity založené na různých prostředcích, které lze pro identifikaci fyzických osob použít. Jedná se přitom o proces nezbytný k řádnému fungování řady systémů nebo řešení situací, kdy je identifikace jednající osoby nezbytnou podmínkou pro platnost úkonů.
Motto: „Kdo se moc ptá, málo googluje.“
Co je to digitální identita
V materiální podobě je postup zjištění identity dlouhodobě známý. Spočívá v předložení papírového průkazu, cestovního dokladu nebo jiné listiny, která osvědčuje totožnost fyzické osoby neboli držitele. Také v digitálním světě se jedná o proces, kdy je elektronickou cestou spolehlivě zjištěna identita konkrétní fyzické osoby. Je to přitom proces v řadě případů nezbytný, i právní předpisy stanovují určení jednající osoby jako nutný předpoklad pro platnost právního jednání. Jako příklad lze uvést § 562 nového občanského zákoníku (NOZ):
- Písemná forma je zachována i při právním jednání učiněném elektronickými nebo jinými technickými prostředky umožňujícími zachycení jeho obsahu a určení jednající osoby.
Podobně hovoří i § 70 daňového řádu, § 37 správního řádu, § 42 občanského soudního řádu a další procesní předpisy. Oblast elektronické identity se přitom v poslední době intenzivně rozvíjí a mění, takže jaké jsou současné možnosti?
Zjištěná identita
Schopnost identifikovat fyzickou osobu, se kterou je jednoznačně spojen, má zaručený elektronický podpis splňující atributy definované článkem 26 evropského nařízení 910/2014, o elektronické identifikaci a službách vytvářejících důvěru, tzv. eIDAS.
Podobné účinky má i v české legislativě definovaný uznávaný elektronický podpis a stejně tak „nejvyšší“ stupeň – podpis kvalifikovaný. Podrobnosti o jednotlivých druzích elektronických podpisů můžete najít v článku věnujícímu se prokazatelnosti původu dokladů.
Zaručená identita
V tomto případě se za řádné provedení identifikace „zaručí“ subjekt, který požívá dostatečnou míru důvěry. V legislativě se nazývá „kvalifikovaný správce – poskytovatel důvěryhodných služeb“. Musí projít procesem certifikace (akreditace) a podrobit se kontrolnímu dohledu ze strany příslušného orgánu (u nás je jím Ministerstvo vnitra). Na jeho postupy se spolehne jiný subjekt nazývaný „spoléhající se strana“, který takto provedenou identifikaci a předanou identitu fyzické osoby považuje za dostatečně průkaznou.
Legislativní zakotvení vychází ze speciálního zákona č. 250/2017 Sb., o elektronické identifikaci, a také z již zmíněného nařízen eIDAS, které mimo jiné upravuje v článku 6 vzájemné uznávání prostředků pro elektronickou identifikaci všemi členskými státy Evropské unie (tzv. princip interoperability).
V České republice byl z důvodu naplnění těchto legislativních požadavků zřízen zvláštní portál eIdentita, který je svěřen Správě základních registrů, tedy instituci obhospodařující páteřní informační systémy ČR, včetně registru obyvatel. Jak uvedené napovídá, právě tento registr poskytuje identitní údaje. V praxi je dnes již možné využít vícero možností (viz obrázek), jejichž počet zřejmě ještě není konečný:
- Každá fyzická osoba si může pořídit jeden či více z uvedených prostředků:
Mobilní klíč eGovernmentu je aplikace pro mobilní telefony se systémy Android nebo iOS, která používá jednorázové QR kódy. Po jejich sejmutí čtečkou instalovanou v mobilu musí proběhnout přihlášení do aplikace s použitím některého z nastavených způsobů identifikace (PIN, otisk prstu, gesto ad.). - eObčanka představuje státem garantovaný prostředek identifikace, zveřejněný na seznamu evropské Komise jako „cz eID card“, a měl by být proto uznáván ve všech členských státech EU. Musí se ovšem jednat o občanský průkaz vydaný po 1. červenci 2018, ve kterém si jeho držitel aktivoval kontaktní čip (aktivace se provádí při převzetí občanky nebo později na úřadu, který osobní doklady vydává). eObčanka je vložena do čtečky připojené k počítači, notebooku apod.
- NIA ID (jméno, heslo, SMS) – digitální identitu lze založit i na přihlašování tímto způsobem, pro jehož aktivaci je ale nutná návštěva některého pracoviště Czech POINTu. K přihlášení pak dojde zadáním jména, hesla a jednorázového kódu obdrženého SMS zprávou.
- První certifikační autorita, a.s., nabízí jako prostředek pro přihlášení čipové karty Starcos (ve verzi 3.5 nebo vyšší) opatřené certifikátem a vložené do čtečky připojené k počítači, notebooku atd. Musí se ale jednat o speciální certifikát vydaný pro tyto účely I.CA – k přihlášení nelze používat certifikáty od této společnosti určené k vytváření elektronických podpisů.
- mojeID je služba, kterou poskytuje zájmové sdružení právnických osob s názvem CZ.NIC. Pokud si založíte osobní účet pro mojeID, musíte se navíc vybavit bezpečnostním klíčem, ať už fyzickým v podobě USB tokenu, nebo systémovým na zařízeních s Androidem či Windows. K přihlášení je pak využit zvolený způsob zabezpečení (otisk prstu, scan obličeje a další).
- Bankovní identita je v současné době zaváděný způsob zprostředkovaný zatím bankami ČSOB a Českou spořitelnou, na spadnutí je řešení Komerční banky. Jedná se o postup zjištění identity stejnými prostředky a postupy, které jsou využívány pro přihlášení do internetového bankovnictví peněžních ústavů. Byla založena speciální korporace Bankovní identita, a.s., zastřešující všechny peněžní ústavy aktivní v České republice. Po určitých porodních bolestech by měl být tento způsob identifikace plně nasazen v průběhu roku 2021.
Statistické údaje ke dni 4. 2. 2021 naznačují postupný nárůst využívání portálu eIdentita neboli Národního bodu pro identifikaci a autentizaci (tzv. NIA):
- Mobilní klíč eGovernmentu použilo 5 232 osob k celkem 26 384 přihlášením.
- Bylo vydáno 310 889 občanských průkazů nového typu s aktivovanými čipy, použity k identifikaci byly v 544 795 případech.
- Přihlašování jménem, heslem a jednorázovým SMS kódem (NIA ID) využilo více než 100 tisíc uživatelů ve 2 182 113 případech.
- Kartu Starcos První certifikační autority použilo 509 držitelů k více než 40 tisícům přihlášení.
- Uživatelů služby mojeID se přihlašovalo 7 605 v celkem 41 737 případech.
- Bankovní identita našla využití v 79 382 případech, není ale pochyb, že má ambice stát se široce používaným prostředkem. Internetbanking má v Česku více než 5 milionů uživatelů.
Ověřená identita
Garantem zjištění identity konkrétní osoby je v tomto případě informační systém datových schránek (ISDS). Vychází se přitom z předpokladu, že přihlášení osoby (jak oprávněné, tak i pověřené) do datové schránky je procesem vysoce privátním a s přihlašovacími údaji i prostředky je zacházeno tak, aby nemohlo dojít k jejich zneužití nebo neoprávněnému užití. Díky tomu je identita fyzické osoby považována za dostatečně spolehlivou a je využitelná např. na novém portálu Moje daně, e-portálu České správy sociálního zabezpečení nebo Portálu občana.
Pro samotný proces přihlášení osoby do datové schránky lze přitom použít také vícero možností. Kromě jména a hesla (doplněného případně o SMS nebo jednorázový bezpečnostní kód, tzv. OTP – one time password) je využitelný i mobilní klíč, eIdentita či elektronický certifikát.
Závěr
Z výše uvedeného výčtu vyplývá, že možností, jak prokazovat svou identitu v digitálním prostředí, je celá řada. Vždy se přitom jedná o postupy, které probíhají v chráněném prostředí, jsou použity šifrovací mechanismy a další zabezpečení. Celý proces se navíc odehrává pod kontrolou dané fyzické osoby, která také musí udělit souhlas k tomu, aby její osobní údaje získané během identifikace byly předány někam jinam.
Rizika zneužití digitální identity jsou přímo úměrná způsobu zacházení s přihlašovacími údaji a prostředky a lze je výrazně minimalizovat dodržováním základních bezpečnostních pravidel. Není pochyb o tom, že k prokazování naší identity budeme stále častěji používat digitální cestu, která se v některých případech již dnes stává jedinou možnou variantou. Vyplatí se proto se s existujícími možnostmi seznámit a naučit se je používat.