Open banking a PSD2 – přístup třetích stran k účtu, jak je to bezpečné a jak souhlas řídit

Open banking je způsob, jak může banka na váš pokyn zpřístupnit údaje o účtu či platbu aplikaci třetí strany. Ve všední praxi to znamená, že se můžete v jedné aplikaci podívat na účty z několika bank, nechat si zpracovat přehled výdajů, zaplatit v e-shopu přímo z účtu bez zadávání karty nebo si nechat ověřit příjem při žádosti o půjčku. Základem je evropská směrnice PSD2, která bankám ukládá, aby po vašem souhlasu poskytly přístup k účtu regulovaným poskytovatelům (rozhraní API), a požaduje silné ověření klienta. Služba může být velmi užitečná, ale pro bezpečnost je důležité vědět, komu přístup dáváte, na co a na jak dlouho.

V tomto článku vysvětlujeme, co je open banking a PSD2, jaké služby třetích stran existují, jak poznat regulovaného poskytovatele, jak je přístup chráněn, jak souhlas udělit, zkontrolovat a odvolat, před jakými podvody se chránit a co dělat při zneužití. Čerpáme z materiálů České národní banky pro vývojáře (Open Banking Hub), z jejího stanoviska k přístupu k platebním účtům pro účely poskytování platebních služeb, z článku ČNB PSD 2 a nebankovní poskytovatelé po dvou letech, z přehledu ePravo: regulatorní posun v oblasti platebních služeb a z informací ČNB o platebním styku. Pravidla se vyvíjejí, proto si aktuální podmínky ověřte u své banky.

Další návody najdete v kategorii Mobil, bankovnictví a platby, například Bezpečnost mobilního bankovnictví, 3D Secure a Nákupy a bankovnictví online.

Aktualizováno: listopad 2026.

Co je PSD2 a open banking

PSD2 je evropská směrnice o platebních službách, která v Česku platí od roku 2018 a je promítnuta do zákona o platebním styku. Zavedla dvě důležité věci:

1. Silné ověření zákazníka (SCA): platby a přihlášení se ověřují nejméně dvěma ze tří prvků (znalost, vlastnictví, biometrie); viz 3D Secure.
2. Přístup třetích stran k účtu (TPP): banky musí regulovaným poskytovatelům, pokud k tomu dáte souhlas, zpřístupnit rozhraní pro dvě typy služeb:

- Služba informování o účtu (AIS, poskytovatel AISP): agregace zůstatků a transakcí z více bank, přehledy výdajů, rozpočty. - Služba iniciace platby (PIS, poskytovatel PISP): poskytovatel ve vašem jménu zadá platbu z vašeho účtu (například u obchodníka), ale vy ji potvrdíte u své banky.

Pojem open banking je širší: označuje celý ekosystém služeb a rozhraní postavených na bankovních datech. V Česku existuje standardizované rozhraní (Czech Open Banking Standard) a ČNB provozuje stránky pro vývojáře.

Orientační postup udělení přístupu třetí straně k účtu – vlastní infografika

Jak je přístup chráněn

Základní principy PSD2 a open bankingu:

• Souhlas klienta: třetí strana nesmí k účtu přistupovat bez vašeho výslovného souhlasu, který udělujete u své banky (přesměrování do bankovnictví a potvrzení silným ověřením).
• Žádné sdílení hesla s třetí stranou (v moderním modelu): poskytovatel nezíská vaše přihlašovací údaje, ale přístupový token s omezeným rozsahem. Pokud po vás aplikace žádá přímo bankovní heslo (například formulář s polem pro heslo od internetového bankovnictví), je to varovný signál; využívaná by měla být cesta přes přesměrování do banky.
• Regulace poskytovatele: třetí strana potřebuje licenci či registraci od národního regulátora (v ČR ČNB) a certifikát pro komunikaci s bankami.
• Omezený rozsah: souhlas se týká konkrétních údajů (například zůstatky a transakce, nikoli všech operací) a platnost souhlasu je časově omezená; po jejím uplynutí je potřeba jej obnovit. Konkrétní dobu a podmínky ověřte u banky a poskytovatele.
• Iniciace platby vyžaduje potvrzení u banky; poskytovatel sám platit nemůže.
• Odpovědnost: pravidla určují, jak se postupuje při neoprávněné platbě; viz Okamžité platby a podvodné převody.

Jak poznat regulovaného poskytovatele

Než přístup k účtu povolíte:

1. Ověřte poskytovatele v seznamu regulovaných subjektů (registry ČNB a evropské registry); služby bez licence jsou riziková.
2. Zjistěte, kdo aplikaci provozuje: název firmy, sídlo, kontakt, zásady ochrany osobních údajů.
3. Zkontrolujte, k čemu přístup potřebuje: aplikace pro rozpočet nepotřebuje právo platit.
4. Zkontrolujte hodnocení a reference a zda aplikace pochází z oficiálního obchodu; viz Falešné bankovní aplikace.
5. Ověřte, jak dlouho a co přesně souhlas umožňuje a jak jej odvolat.
6. Nezadávejte přístup z odkazu v e-mailu či SMS; službu otevřete sami.
7. Přečtěte si podmínky zpracování osobních údajů: kdo údaje používá a komu je předává (například marketing či scoring); viz Ochrana osobních údajů.

Kontrolní seznam – vlastní infografika

Jak souhlas zkontrolovat a odvolat

Banky obvykle nabízejí v internetovém či mobilním bankovnictví přehled udělených přístupů třetím stranám (název v nabídce se liší, například „Souhlasy“, „Přístupy třetích stran“ či „Nastavení zabezpečení“). Postup:

1. Přihlaste se do bankovnictví a najděte sekci se souhlasy či přístupy třetích stran.
2. Zkontrolujte seznam: poznáváte všechny aplikace? Používáte je ještě?
3. Odvolejte přístup těm, které nepotřebujete či neznáte.
4. Odvolání zkontrolujte i v aplikaci třetí strany a případně požádejte o smazání údajů.
5. Pokud sekci nenajdete, kontaktujte banku.

Pokud službu přestanete používat, souhlas odvolejte, neponechávejte jej „na později“. Jakmile se vyskytne podezřelá změna, kterou jste neprovedli, kontaktujte banku.

Podvody a rizika

• Falešné open banking aplikace a „agregátory“, které vyžadují přímo vaše heslo či kód a chtějí je zneužít; viz Phishing.
• Falešné platební brány v e-shopech napodobující přesměrování do banky; kontrolujte adresu stránky a certifikát; viz HTTPS zámek.
• Podvodné „půjčky a ověření příjmu“: žádají o přístup k účtu, aby „ověřili bonitu“, a následně zneužijí data nebo vás přesvědčí k platbám.
• Zneužití dat k prodeji či marketingu: poskytovatel může údaje využívat dle svých podmínek; čtěte je.
• Přístup k účtu pod tlakem: „podpora“ vám volá a vede vás k udělení přístupu cizí aplikaci; viz Push notifikace a potvrzení plateb.
• Zbytečné zřeknutí se ochrany: pokud poskytnete bankovní heslo třetí straně, může to ovlivnit posouzení případné reklamace; banky obvykle vyžadují, abyste přihlašovací údaje nikomu nesdělovali.
• Zapomenutý souhlas u služby, kterou již nepoužíváte.

Co dělat při podezření či zneužití

1. Odvolejte souhlas v bankovnictví a změňte přihlašovací údaje.
2. Kontaktujte banku (oficiální linka), nahlaste podezřelé platby a požádejte o kontrolu účtu; viz Okamžité platby a podvodné převody.
3. Zablokujte karty a snižte limity; viz Limity na kartách a platbách.
4. Kontaktujte poskytovatele a požádejte o vysvětlení či výmaz údajů; stížnost můžete podat u regulátora.
5. Uložte důkazy a při škodě podejte oznámení policii.
6. Zkontrolujte zařízení antivirem a aktualizujte systém; viz Bezpečnost mobilních zařízení.

Firmy a kancelář

Firmy využívající účetní a finanční aplikace s napojením na bankovnictví by měly vést evidenci souhlasů, určit odpovědné osoby, používat jen regulované poskytovatele, omezit přístup na nezbytné údaje a pravidelně souhlasy přezkoumávat (včetně při odchodu zaměstnance či změně dodavatele). Při iniciaci plateb doporučujeme dvojí schvalování vyšších částek; viz Zabezpečení firemního účtu a 2FA pro týmy.

Časté otázky v praxi

Je open banking bezpečné?: při regulovaném poskytovateli a souhlasu udělovaném u banky ano. Vidí aplikace mé heslo?: v pravém modelu ne. Může aplikace platit bez mého potvrzení?: ne, platbu potvrzujete u banky. Jak souhlas zruším?: v bankovnictví či u poskytovatele. Musím open banking používat?: ne, je dobrovolný.

Open banking v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro klienty banky – vlastní infografika

Související články

Další návody najdete v kategorii Mobil, bankovnictví a platby: 3D Secure, PayPal: bezpečnost, QR platby a bezpečnost a Elektronické peněženky.

Shrnutí

Open banking a PSD2 umožňují regulovaným třetím stranám přístup k účtu na základě vašeho souhlasu. Používejte jen ověřené poskytovatele, souhlas udělujte u své banky, nikdy nesdělujte přihlašovací údaje a souhlasy pravidelně kontrolujte a odvolávejte. Další informace najdete na stránkách ČNB.

Často kladené otázky k open bankingu a PSD2