Jaká bude naše národní elektronická identita?

Zatím se to jen předpokládalo, nyní už se k tomu vnitro otevřeně hlásí: náš národní systém elektronické identifikace, který ohlásíme do Bruselu, vznikne z toho, jak se dnes přihlašujeme k datovým schránkám.

Když stát chce, aby s ním jeho občané komunikovali elektronicky - a nově si to začíná dokonce i vynucovat, pomocí automaticky ukládaných pokut - musí občanům umožnit, aby se vůči příslušným on-line službám mohli identifikovat, a také autentizovat. Tedy aby mohli sdělit, kým jsou, a mohli také s dostatečnou spolehlivostí prokázat, že jsou skutečně tím, za koho se vydávají. Aby protistrana věděla, s kým komunikuje a komu poskytuje své služby.

Něco takového ale nechce jenom náš stát. Reálně použitelný systém elektronické identifikace od nás očekává i Evropská unie. Její nedávno publikované nařízení č. 910/2014, známé též pod přezdívkou eIDAS, sice nepřikazuje, ale očekává, že každá členská země si vytvoří vlastní systém elektronických identit. Ba co víc: chce, aby se tyto elektronické identity a s nimi spojené systémy identifikace daly používat přeshraničně. Aby se cizinec mohl zde v ČR přihlašovat pomocí své "domácí" elektronické identity. Nikoli abychom mu zde v ČR přidělovali nějakou dočasnou "tuzemskou" elektronickou identitu.

Stejně by to ale mělo fungovat i naopak: náš občan by měl mít možnost přihlašovat se v zahraničí, resp. k zahraničním službám, pomocí své "tuzemské" (resp. své "národní") elektronické identity. Jenže, a to je důležitá otázka: jaká "tuzemská" identita to bude?

Možností zatím není nijak mnoho: funkčně i po stránce splnění nezbytných standardů je připraven systém MojeID. Jenže pochází z privátního sektoru a nestojí za ním stát - který by ale měl ručit za správnost a korektnost celé identifikace.

Také na straně státu již existuje několik "identitních prostorů". Zjednodušeně: systémů, resp. databází, ve kterých je zanesena identita konkrétních osob. Nejvýznamnějším příkladem je asi obsah základního registru obyvatel. Zjednodušeně si obsah tohoto registru lze představit jako obrovskou kartotéku, ve které dnes již má každý obyvatel ČR svůj lístek. A na něm je napsáno třeba to, kde bydlí, kdy se narodil, jaké je číslo jeho OP, jeho cestovního dokladu (pasu) a další údaje. A samozřejmě i jméno a příjmení. Jenže právě tato "kartotéka" není přímo použitelná: vy sami nemůžete ukázat prstem na jeden konkrétní lístek této kartotéky, říci "to jsem já" (identifikovat se), a také prokázat, že jste to skutečně vy a ne někdo jiný, kdo by se za vás je vydával. Nejde to už jen proto, že k těmto identitám v základním registru obyvatel nejsou vydávány (a ani neexistují) žádné přihlašovací údaje, které by konkrétní osoby mohly používat pro svou vlastní identifikaci a autentizaci. Základní registr obyvatel slouží jiným informačním systémů, jako zdroj tzv. referenčních údajů, a sám není přímo přístupný.

Pro reálně použitelnou elektronickou identifikaci opravdu nestačí jen nějaká "kartotéka" (databáze), ve které jsou zaneseny konkrétní údaje o identitě konkrétních osob. Jde pouze o nezbytný základ, nad kterým musí být vybudována poměrně rozsáhlá nadstavba, řešící právě ono "reálné používání". Tedy třeba vydávání nezbytných přihlašovacích údajů, v nejjednodušším případě jmen a hesel, ale i jejich další správu: případné zneplatňování a vydávání nových. Či volbu a praktickou realizaci "silnější" autentizace, pomocí jednorázových (SMS) kódu, certifikátů atd. Pro nějaké desítky uživatelů může být takováto nadstavba řešena třeba i ručně, ale pro miliony občanů už je to o něčem úplně jiném.

A teď: má stát již někde vybudovanou podobnou nadstavbu, kterou by mohl využít? Ano, má - kolem CzechPOINTů, a také kolem datových schránek. V prvním případě jde o elektronické identity a identifikaci úředníků, obsluhujících samotné CzechPOINTy, zatímco ve druhém případě jde o identifikaci fyzických osob, které mohou pracovat s datovými schránkami. V obou případech jsou již vydány (a také reálně používány) příslušné přihlašovací údaje, a jsou nastaveny procesy pro vydávání přihlašovacích údajů novým úředníkům, resp. novým uživatelům datových schránek, pro jejich případné zneplatňování, vydávání nových přihlašovacích údajů atd. Stejně jako možnost přihlašovat se pomocí "silnějších" metod (SMS kód, certifikáty).

No a právě tyto dva systémy elektronické identifikace by stát chtěl "rozvinout", zřejmě nějak sloučit a přeměnit na onen "národní systém elektronické identifikace", který od nás očekává Brusel, a po kterém volá nařízení eIDAS (č. 910/2014). Zcela nedávno takovýto záměr zazněl od zástupců MV ČR na konferenci eGovernment 20:10 v Mikulově.

Co by to ale znamenalo? Po praktické stránce, pokud by takovouto elektronickou identitu měli získat všichni občané, musely by jim být vydány obdobné přihlašovací údaje, jaké se dnes vydávají pro přístup k datovým schránkám. To by stát mohl udělat bez toho, že by jim datovou schránku skutečně zřídil. Ale mohl by to udělat i jinak: tak, že by jim datovou schránku rovnou i zřídil, ale ještě ji neaktivoval, resp. ještě neprovedl její tzv. zpřístupnění. To by zůstalo až na vůli samotné fyzické osoby. Výhodou by mohlo být to, že uživatel s dosud neaktivovanou datovou schránkou by již mohl mít k dispozici rozhraní k datovým schránkám, přes které se dnes volí způsob přihlašování. Zda jen pomocí jména a hesla, nebo i s využitím jednorázových kódů, s pomocí certifikátu atd.

Lze si ovšem představit i "černý scénář" v podobě toho, že datová schránka by byla všem rovnou i zpřístupněna. Což by mělo poměrně závažné důsledky, které z držení zpřístupněné datové schránky vyplývají. Jako například povinnost elektronické komunikace s některými orgány veřejné moci (zejména s finanční správou), a doručování (ze strany veřejné správy) již jen v elektronické podobě, právě do datové schránky.

No, uvidíme.