Online ověřování totožnosti (KYC): bezpečná a promyšlená implementace

Proč řešit online ověřování totožnosti (KYC) bezpečně a s rozvahou

Digitální KYC (Know Your Customer) je nezbytné pro banky, fintech společnosti, kryptoměnové burzy, pojišťovny, platformy s regulovaným obsahem či gig ekonomiku. Nesprávně navržené KYC však může vést k únikům údajů, diskriminaci, zbytečné byrokracii a ztrátě konverzí. Cílem je dosáhnout rovnováhy mezi souladem s předpisy, zabezpečením proti podvodům, ochranou soukromí a uživatelským komfortem.

Regulační kontext a principy

Povinnosti AML/CFT: identifikace a ověření klienta, porozumění účelu vztahu, průběžné monitorování, prověřování PEP a sankčních seznamů.
Ochrana údajů: zákonnost, minimalizace, přesnost, omezení účelu a doby uchovávání, bezpečnost zpracování, odpovědnost a transparentnost.
Proporcionalita: vyšší riziko = přísnější ověření; nízké riziko = jednodušší postupy s větším ohledem na soukromí.

KYC založené na riziku: úrovně a scénáře

Úroveň rizika	Příklady služeb	Přiměřené kroky
Nízká	Předplatné s nízkou hodnotou, dárkové karty	Ověření e-mailu/telefonu, základní signály zařízení, žádné doklady
Střední	Fintech peněženky s limity, P2P platby	Doklad totožnosti + liveness, porovnání selfie s dokladem, kontrola sankčních seznamů
Vysoká	Bankovní účty, kryptoměnové burzy s vysokými limity	Doklad + liveness + ověření čipu NFC/eMRTD nebo propojení s bankou/eID; posouzení zdroje finančních prostředků

Metody ověření identity: silné a slabé stránky

Doklad + OCR: rychlé, ale náchylné k padělkům a deepfake print. Vyžaduje kontrolu bezpečnostních prvků a vizuální konzistence.
Selfie + liveness: odhaluje masky a přehrávaná videa; je třeba chránit biometrické šablony a řešit zkreslení.
Čip NFC (eMRTD): čtení čipu pasu/občanského průkazu zvyšuje důvěryhodnost; vyžaduje kompatibilní zařízení a dobrý UX.
Bankovní identita / eID: silné propojení s existující stopou KYC; právně jasné, ale závislé na jurisdikci a dostupnosti.
Video-KYC: živé spojení s operátorem; vyšší náklady, otázky škálovatelnosti a přístupnosti.
KBA (znalostní otázky): považuje se za slabé; lze je snadno kompromitovat úniky dat.

Architektura bezpečného KYC: od „proofingu“ po „binding“

Identity proofing: shromáždění důkazů (doklad, biometrie, eID) a jejich validace.
Binding: propojení ověřené identity s účtem a konkrétním zařízením/kanálem.
Credentialing: vydání verifiable credential (VC) nebo interního tokenu pro budoucí prokazování bez opětovného nahrávání dokladů.
Lifecycle: odvolání, opětovné KYC při změně rizika, omezená doba uchovávání a selektivní sdílení (pouze atributů, nikoli celých dokladů).

Minimalizace a selektivní sdílení: méně je více

Důkazy založené na atributech: místo skenu dokladu upřednostněte potvrzení „18+“, „rezident EU“, „jméno souhlasí“.
Tokenizace: uložte pouze hash/otisk dokladu se pepper v HSM; originál uchovávejte mimo produkční prostředí.
Zakrytí citlivých údajů: maskování čísel (např. zobrazení posledních 3 znaků), začernění nepotřebných polí.

Biometrie a liveness: bezpečnost vs. soukromí

Oddělení šablon: biometrické šablony ukládejte do odděleného trezoru se samostatnými klíči a auditem přístupů.
Porovnávání přímo v zařízení: pokud je to možné, provádějte match v zařízení a odesílejte pouze výsledek.
Zkreslení a přístupnost: testujte na různých fototypech a zařízeních i u lidí s pohybovým/zrakovým postižením.
Anti-spoof: detekce přehrávaného videa, masky, 3D obličeje, fotografie na displeji; kombinujte pasivní a aktivní signály.

Ochrana údajů v praxi: model hrozeb a technická opatření

Šifrování: údajů „v klidu“ (AES-GCM) i „při přenosu“ (TLS); klíče v HSM; key rotation a separation of duties.
: least privilege, break-glass s uvedením důvodu a dvojím schválením; podrobné auditní záznamy.

Segmentace databáze: oddělení PII od provozních metadat; pseudonymizace interního BI.

Správa tajných údajů: centrální trezory tajných údajů, žádné tajné údaje v kódu ani v protokolech CI.

Zabezpečení front-endu: Content Security Policy, Trusted Types, blokování externích skriptů bez smluvního základu.

Prověřování dodavatelů: když KYC zadáváte externě

Smluvní rámce: smlouvy o zpracování údajů, subzpracovatelé, předávání údajů mimo EU s vhodnými zárukami.

Transparentnost: architektura, doba uchovávání, místo uložení dat, model cards pro ML, referenční zakázky.

Bezpečnostní doklady: penetrační testy, certifikace, program vulnerability disclosure.

Plán ukončení spolupráce: proces vymazání a předání dat při ukončení spolupráce.

Návrh uživatelské zkušenosti: férovost a konverze

Předvídatelnost: předem vysvětlete, proč je KYC potřeba, jak dlouho trvá a jaké údaje požadujete.

Přístupnost: podpora čteček obrazovky, alternativy k selfie/liveness, offline možnosti.

Postupné vyžadování údajů: žádejte pouze to, co je nutné pro daný krok; nabídněte alternativní metody (eID, bankovní identita).

Možnost pokračovat později: možnost proces pozastavit a později dokončit; jasné pokyny pro případ neúspěchu.

Prověřování PEP a sankčních seznamů: přesnost bez přehnaných zásahů

Skóre shody: pracujte se skóre shody a při nejistotě proveďte manuální ověření; minimalizujte falešně pozitivní výsledky.

Dokumentování rozhodnutí: uchovávejte zdůvodnění shody a kroky ověření; umožněte odvolání.

Datová hygiena: pravidelné aktualizace seznamů a deduplikace.

Doba uchovávání, výmaz a práva subjektů údajů

Časové limity: uchovávejte data pouze po dobu vyžadovanou zákonem nebo potřebnou pro audit; automatické zásady time to live.

Selektivní mazání: možnost vymazat surové snímky a ponechat pouze kryptografické důkazy.

Přenositelnost a přístup: bezpečný export kopií údajů pro uživatele; audit toho, kdo a kdy k údajům přistupoval.

Moderní přístupy: ověřitelné přihlašovací údaje a selektivní odhalování

Verifiable Credentials umožňují vydávat potvrzení (např. „18+“, „KYC provedeno“) do uživatelské peněženky. Při dalším onboardingu stačí předložit ověřitelný důkaz bez sdílení původních dokladů. Výhody: menší datová stopa, větší kontrola uživatele, rychlejší procesy. Klíčem je interoperabilita, bezpečné úložiště klíčů a jasné odvolávání.

Prevence podvodů vs. soukromí: jak najít hranici

Signály zařízení a sítě: shromažďujte pouze to, co je nezbytné (např. rizikové vzorce emulátorů), vyhýbejte se invazivnímu fingerprintingu bez právního základu.

Behaviorální analýza: agregované metriky a krátká doba uchovávání; žádné „skryté“ profilování nad rámec účelů AML.

Průběžné KYC: opětovné KYC spouštějte na základě událostí (změna limitu, geografie, vzorce chování), nikoli jen pro jistotu.

Reakce na incidenty: když se něco pokazí

Detekce a izolace: rychle vypněte dotčenou část procesu (nahrávání, ověřování).

Rotace klíčů: okamžitá rotace kryptografických klíčů, zneplatnění tokenů a relací.

Forenzní stopa: zachovejte protokoly přístupů a změn konfigurace; časovou osu událostí.

Komunikace: transparentně informujte dotčené osoby; doporučte další kroky (zmrazení účtů, nové doklady, hrozí-li zneužití).

Analýza po incidentu: nápravná opatření a aktualizace DPIA/registrů rizik.

Kontrolní seznam pro návrh a provoz KYC

Je definován účel a minimální rozsah údajů pro každý krok?

Existují alternativní metody (eID/NFC/bankovní identita) pro různé skupiny uživatelů?

Probíhá zpracování přímo v zařízení všude, kde je to možné? Jsou biometrické údaje oddělené a šifrované?

Máme nastavenou dobu uchovávání s automatickým plánem mazání a auditem?

Je dodavatel vázán jasnými smlouvami, pravidly pro subzpracovatele a plánem ukončení spolupráce?

Lze protokoly a rozhodnutí (PEP/sankce) auditovat a vysvětlit?

Máme připravený postup pro řešení incidentů a kontakt na DPO/CSIRT?

Kontrolní seznam pro uživatele: jak absolvovat KYC bezpečněji

Ověřte si legitimitu služby a zjistěte, jak dlouho a kde uchovává vaše doklady.

Upřednostněte oficiální aplikaci; nenahrávejte doklady přes neznámé odkazy.

Zakryjte nepotřebná pole (pokud to proces umožňuje), nefotografujte doklad na veřejnosti.

Po dokončení odstraňte fotografie dokladů z galerie i záloh; zapněte upozornění na přihlášení.

U dalších služeb využijte verifiable credential nebo bankovní identitu/eID místo opětovného nahrávání.

Časté chyby a jak se jim vyhnout

KYC „jedna velikost pro všechny“: stejná přísnost vůči všem snižuje konverze a zbytečně zvyšuje riziko úniků.

Nekontrolované uchovávání: doživotní uchovávání selfie a dokladů bez důvodu.

Neprůhledné ML: nevysvětlená zamítnutí; chybí odvolání a manuální kontrola.

Externí skripty na stránce KYC: marketingové pixely při sběru dokladů jsou nepřípustné.

KYC jako součást ekosystému důvěry

Bezpečné online KYC nestojí jen na technologiích. Vyžaduje jasný účel, minimální sběr, silnou kryptografii, férové rozhodování a skvělé UX. Pokud KYC navrhnete na základě rizik a s respektem k soukromí, získáte víc než jen soulad s předpisy: získáte důvěru uživatelů a udržitelný provoz.