Připojit účet vedený v bance v EU nebo EHP do aplikace na rozpočet či evidenci je obecně bezpečné, pokud aplikace používá regulovaný open banking podle PSD2. Přístup schválíte přímo ve své bance, aplikace místo hesla dostane souhlas pouze ke čtení, s tímto souhlasem nemůže zadat platbu a vy ho můžete kdykoli zrušit. Rizika, která zbývají, se týkají samotné aplikace: jak dobře chrání uložená data, kolik toho po vás chce a jestli jste opravdu v pravé aplikaci, a ne v podvržené kopii.
V článku najdete, co se technicky děje, když kliknete na „připojit banku“, co aplikace s takovým přístupem smí a nesmí, která rizika jsou skutečná a krátký kontrolní seznam, který můžete použít na jakoukoli aplikaci, včetně té naší.
Co „připojení banky“ ve skutečnosti znamená
Od směrnice PSD2 (směrnice (EU) 2015/2366) musí banky v EU zpřístupnit platební účty licencovaným třetím stranám přes vyhrazené rozhraní, obvykle API. Firma, která takto čte data o účtech, je poskytovatel služby informování o platebním účtu (AISP). Musí mít povolení nebo registraci od národního regulátora, v Česku od ČNB, a najdete ji v registru platebních institucí EBA.
Mnoho aplikací licenci samo nemá. Spolupracují s licencovaným agregátorem, který udržuje napojení na tisíce bank. Průběh je v obou případech stejný:
V aplikaci vyberete svou banku.
Aplikace vás přesměruje na přihlašovací stránku nebo do aplikace vaší banky.
Přihlásíte se tam běžným silným ověřením (heslo a druhý faktor).
Banka ukáže, o co se žádá (které účty, jaká data, na jak dlouho), a vy to schválíte.
Banka vydá poskytovateli souhlas. Aplikace ho pak používá ke stahování zůstatků a pohybů.
Heslo do internetového bankovnictví zadáváte do své banky, ne do aplikace. To je hlavní rozdíl oproti starší praxi „screen scrapingu“, kdy jste přihlašovací údaje předali třetí straně a ta se přihlašovala za vás.
Co poskytovatel informací o účtu smí a co ne
PSD2 omezuje, co AISP s vašimi daty smí dělat. Zjednodušeně: smí přistupovat jen k účtům, které určíte, nesmí žádat citlivé platební údaje (například údaje karty) a nesmí data používat ani uchovávat k jiným účelům než ke službě, kterou jste si objednali.
| Smí | Nesmí |
|---|---|
| Číst zůstatky vybraných účtů | Zadat platbu nebo převod |
| Číst historii pohybů (jak daleko zpět, záleží na bance) | Vidět nebo ukládat vaše heslo do bankovnictví |
| Pravidelně obnovovat data, dokud je souhlas platný | Přistupovat k účtům, které jste nevybrali |
| Ponechat si už stažená data podle svých zásad ochrany soukromí | Stahovat dál po zrušení nebo vypršení souhlasu |
Posílání peněz je samostatná regulovaná činnost (nepřímé dání platebního příkazu) s vlastní licencí a s vaším výslovným schválením v bance u každé platby. Souhlas ke čtení pro aplikaci na rozpočet ji potichu nezahrnuje.
Jak dlouho propojení vydrží a proč vás aplikace žádá o „obnovení“
Banky vás musí pravidelně znovu ověřit. Původně každých 90 dní. Novela technických standardů k PSD2 (závěrečná zpráva EBA z dubna 2022), účinná od 25. července 2023, lhůtu prodloužila na 180 dní a zakázala bankám vyžadovat další ověření pokaždé, když poskytovatel na pozadí obnovuje data.
V praxi délka závisí na bance a na tom, o jak dlouhý souhlas aplikace žádá. Některé chtějí 90 dní, jiné 180. Dobrá aplikace vás upozorní předem, aby vám zůstatky potichu nezastaraly.
Rizika, na kterých opravdu záleží
Regulované propojení bývá málokdy slabým místem. Slabá místa jsou tato:
Úložiště dat samotné aplikace. Stažené pohyby leží v databázi aplikace. Únik z ní odhalí vaši historii. Zjistěte, kde jsou data uložená, jestli jsou přístupové tokeny k bance šifrované a jestli se data neprodávají nebo nepoužívají k reklamě.
Příliš široký souhlas. Když potřebujete jen jeden podnikatelský účet, nepřipojujte všechny.
Phishing a podvržené aplikace. Útočník open banking nepotřebuje, když heslo do bankovnictví zadáte na falešnou stránku. Přihlášení k bance musí vždy proběhnout na skutečné doméně nebo v aplikaci banky.
Připojení mimo banky. Kryptoburzy a brokeři pod PSD2 nespadají. Aplikace se k nim připojují přes API klíče, které si vytvoříte. Vytvářejte je vždy jen pro čtení a bez práva výběru.
Neregulované obezličky. Účty mimo EU a EHP a některé typy účtů regulované rozhraní mít nemusí. Pak se aplikace buď nepřipojí, nebo nabídne import výpisu, což je v pořádku, nebo chce přihlašovací údaje, což odmítněte.
Kontrolní seznam: osm otázek před připojením jakékoli aplikace
Kdo zajišťuje napojení na banku a je ta firma v registru EBA nebo národního regulátora?
Přihlašujete se na stránce nebo v aplikaci své banky, nikdy ve formuláři uvnitř aplikace na rozpočet?
Je přístup jen pro čtení a říká aplikace jasně, že neumí zadávat platby?
Jak dlouho souhlas platí a upozorní vás aplikace před jeho vypršením?
Kde jsou data uložená (v EU, nebo jinde) a jsou šifrovaná?
Prodávají se data, sdílejí k reklamě nebo slouží k trénování cizích modelů?
Můžete si vše vyexportovat a účet smazat?
Můžete přístup zrušit i ve své bance, nejen v aplikaci?
Pokud aplikace neumí jasně odpovědět na první tři otázky, nepřipojujte ji.
Co se změní s PSD3 a nařízením o platebních službách
PSD2 nahradí nová směrnice (PSD3) a přímo použitelné nařízení o platebních službách (PSR). Evropský parlament a Rada dosáhly předběžné politické dohody 27. listopadu 2025 a v dubnu 2026 byly zveřejněny konečné kompromisní texty. Formální přijetí se čeká v roce 2026 a většina povinností začne platit později, kolem roku 2028. Pro uživatele služeb informování o účtu míří změny k větší kontrole, ne menší: balíček má zajistit spolehlivější rozhraní bank a dát klientům lepší přehled o tom, kdo má k jejich účtům přístup, a možnost ho odebrat. Model „jen pro čtení na základě souhlasu“ se pro aplikace na rozpočet nijak nezhoršuje.
Jak propojení s bankou řeší MoneySky
Sami jsme aplikace na rozpočet a evidenci, takže tady je stejný kontrolní seznam použitý na nás:
Napojení na banky zajišťuje GoCardless, s povolením FCA pod číslem 597190, a pokrývá přes dva tisíce bank v EU, EHP a Velké Británii.
Přístup schvalujete ve své bance. Dostaneme souhlas jen ke čtení a přihlašovací údaje nikdy nevidíme. Propojení neumí zadat platbu a MoneySky žádnou platební funkci vůbec nemá.
Aktuálně žádáme o souhlasy na 90 dní a před vypršením vás upozorníme.
Data jsou uložena v EU, tokeny k bankám, IBANy i API klíče burz jsou šifrované a data nikdy neprodáváme.
Banku, která není podporovaná, nahradíte importem výpisu v CSV.
Data si můžete kdykoli vyexportovat. Při smazání účtu vám nejdřív pošleme kompletní archiv.
Podrobnosti ke každé bance, včetně toho, kolik historie vrací, najdete na stránce Propojení banky.
Časté otázky
Může mi aplikace na rozpočet vzít peníze z účtu?
Přes souhlas k informování o účtu, který je jen pro čtení, ne. Zadávání plateb vyžaduje jinou licenci a vaše výslovné schválení v bance u každé platby.
Dávám aplikaci heslo do internetového bankovnictví?
Ne. U open bankingu podle PSD2 se přihlašujete ve své bance. Pokud po vás aplikace chce heslo do bankovnictví ve svém vlastním formuláři, berte to jako varovný signál.
Jak často musím propojení obnovovat?
Pravidla dovolují souhlas až na 180 dní, než se musíte znovu ověřit. Některé aplikace žádají o kratší souhlas, často na 90 dní.
Co se stane, když přístup zruším?
Poskytovatel okamžitě přestane dostávat nová data. Už stažená data zůstanou v aplikaci, dokud je nesmažete vy nebo celý účet, podle pravidel dané aplikace.
Je screen scraping v EU ještě povolený?
U platebních účtů, na které se vztahuje PSD2, musí banky nabízet vyhrazené rozhraní a seriózní poskytovatelé ho používají. Předávat přihlašovací údaje třetí straně je praxe, které je lepší se vyhnout.
Jak ověřím, že má poskytovatel licenci?
Vyhledejte firmu v registru platebních institucí EBA nebo v registru národního regulátora v její domovské zemi, v Česku v seznamech ČNB.
Pokud chcete vidět, jak propojení jen pro čtení vypadá v praxi, 14denní zkušební verze MoneySky nevyžaduje kartu. Připojte jeden účet, rozhlédněte se, a když to pro vás nebude, souhlas ve své bance zrušte.