Měl jsem několikrát možnost se se Stevem osobně potkat. Vždy mne naplnil neuvěřitelným optimismem a dodal plno energie na další týdny a měsíce dopředu. Když jsem ho poprvé potkal v Londýně, zrovna Apple vyrobil první verzi mini iPadu s 7palcovou obrazovkou a Samsung zrovna vyjel s maxi verzí Note. Trošku jsme si společně dělali legraci, co je vlastně lepší. Nakonec jsme si oba svorně řekli, že ani jedno se nevejde pořádně do kapsy. Tak začalo moje první setkání s legendárním Wozkou. Ačkoliv už dlouhou dobu nebyl součástí Apple, stále si udržoval vnitřní pocit, že je stále s nimi. A to si myslím, že mu to zůstalo dodnes. Pamatuji si na jeho ukázku super hodinek, co byly asi tak 1 cm vysoké s průměrem cca 5 centimetrů, se speciálním snímačem na spodní straně. To bylo v době, kdy o Apple Watch nebylo ani náznakem patrné, že vůbec něco takové Apple bude vůbec vyrábět. Ty hodinky byly speciální. Vždy, když se na ně Wozka podíval, vždy mu ukázali přesně to, na co v tu chvíli myslel. To celé zajišťoval super snímač na spodku hodinek. Jediná nevýhoda toho celého bylo, že snímač musel generovat impulsy o hodnotě 100 Voltů v mikro intervalech, aby ze svého těla dostal tu správnou myšlenkovou informaci. Ačkoliv proud byl skutečně mikro, i tak měl na letišti problém, aby ho s tím pustili do letadla, protože jako správný Američan musel věc označit, že obsahuje „High Voltage“. To mne vybavilo historku, kdy jsem jel poprvé do U.S. představit náš první prototyp terminálu Albert a na letišti mne obstoupili ozbrojení hoši, vyklidily půlku terminálu v Dusseldorfu, aby pak zjistili, že náhradní baterky nejsou bomba. A dnes? Apple Watch jsou neprodávanější typ hodinek na světě a všude vidíte platební terminály s  Androidem s funkcí "PIN on Glass" , kde jsem měl možnost být tím prvním, kdo pomohl stvořit něco takového. A tak Wozka, i já z toho máme velice dobrý pocit vynalézat něco nového, aniž bychom to pak prodávali jako svoje produkty. Prostě nás baví ta inovace. To bude stejné jako, když mi pak za nějaký čas později vyprávěl, jak měl takový nápad narvat paměťové čipy do formátu 3,5palcových disků a jak to bude všechno efektivní. Zhruba tak po půl roce půlka Silicon Valey měla první verzi SSD disků, která neuvěřitelným způsobem zrychlila práci všech serverů. A dnes si nikdo ani nepředstaví nemít v lehkém notebooku disk SSD. Wozka je prostě formát. Včera jsem se dočetl, že guru „Amazon - Jeff Bezos“ se rozhodl sponzorovat po vzoru Billa Gatese charitu. Nikdo však netuší, že Wozka většinu příjmů věnoval na charitu. Jak on sám říká, abych se uživil, musím stále něco nového vymýšlet. To se mi na něm neskutečně líbí. Vůbec jeho názory stojí za zamyšlení. Jako například, že nevěří v umělou inteligenci. Respektive tomu, že během jeho života nechá svůj vůz řídit místo něho. V tom se spolu rozcházíme. Snad je to jen tomu kvůli tomu, že jsem o 22 let mladší. Ale jedno máme zcela jistě společné, zachováváme si vášeň a nadšení pro technologie a inovace. Zajímavé je, že ačkoliv se podílel na umělé inteligenci stanovující správný úvěrový kredit pro Apple Card, tak cítí, že stroje a jejich algoritmy mají stále velké limity v tom, kdo je programuje. Před pár měsíci smazal svůj účet na Facebooku, protože začal mít obavy o ochranu svého soukromí. Nevěří totiž, že to není hrozba pro jeho osobu. Já sám si někdy říkám, kdy k tomu dospěji, resp. co dělat, aby naše digitální identita byla ta, která nás více ochrání. Když byl posledně v Budapešti, tak se svěřil, co si myslí o digitálním bankovnictví, které ve mne evokovalo myšlenku, jak je opravdu jedno jestli žiji v U.S. nebo u nás doma: Na otázku zda: „Existuje role vlády s ohledem na bankovní inovace?“ Odpověděl: „Nikdy jsem o tom nepřemýšlel, protože vždy považuji inovace za pocházející od konkrétních jednotlivců, kteří chtějí něco změnit a dělat věci lépe. Nemyslím si, že když vláda říká: „Ach, chceme tu inovaci." tak to skutečně tak myslí. Jen se snaží populisticky říct: „ Chceme to,“ Bohužel ale oni nejsou ti , kteří to opravdu dokážou! a v tom jsou stejné i banky. Dokážou to pouze ti, kteří to mohou vytvořit. To jsou ti, kteří skutečně vědí, co je realistický přístup k inovacím.“ Na to se nedá nic dalšího říci. Váš Mirek Pekárek, inovátor. P.S. protože jsem nechtěl vyčerpat všechny jeho myšlenky a naše společné pocity. Příště Vám popíši, jak to bylo skutečně v Applu.

Vážení obchodní přátelé a partneři, nečekal jsem žádné fanfáry, nicméně by bylo vhodné si připomenout, že dnes vstupuje v platnost nová platební směrnice pod souhrnným názvem PSD2. Protože jste v posledních dnech jistě zaznamenali diskuze a všelijaká vyjádření týkající se změn v oblasti platebního styku a používání platebních karet, rozhodl jsem se aspoň částečně vysvětlit o co vlastně jde. Tato směrnice byla schválena Evropskou komisí a následně technicky implementována od loňského března 2018. Jedná se o komplexní změnu na poli bezhotovostních plateb, kdy na jedné straně je umožňováno novým, tzv. třetím stranám provádět přímé platby z účtů klientů bank, získávat on-line informace o účtech klientů a zároveň stanovuje vyšší zabezpečení transakcí prostřednictvím tzv. silné autentifikace klienta i pro klasické platky prováděné platebními kartami. Tato norma se týká všech plateb v kamenných i internetových obchodech na celém území EU. Tato norma sebou přináší zásadní změny technického zabezpečení všech systémů platebních terminálů, platebních brán, systému vydávání karet, přístupů do mobilního bankovnictví a provádění přímých i nepřímých plateb z bankovních účtu. Toto vše bylo předmětem diskuzí po celém území Evropské Unie. Asi nejdůležitější technickou změnou je zavedení tzv. dvou faktorové autentifikace klienta při provádění platebních transakcí. Pro ty z Vás, co se chtějí více do detailu podívat, jak doplnění směrnice vypadá, tak zde máte odkaz: Evropská směrnice - doplnění. To vše nabývá účinnosti dne 14. 9. 2019, kdy i kartové operace musí mít silné, tzv. dvou faktorové ověření uživatele. Někdy se používá termín „Strong Customer Authentification, neboli SCA“, které se nejvíce používá pro oblast plateb prostřednictvím přímého bankovnictví anebo při platbách na internetu. Dvou faktorové ověření znamená, že k ověření uživatele musí být použita kombinace alespoň dvou bezpečnostních prvků (faktorů) z různých kategorií, přičemž jde o následující kategorie:  znalost  (to, co ví pouze uživatel) – např. heslo či PIN, držení  (to, co drží pouze uživatel) – např. karta nebo telefon, inherence  (to, čím uživatel je) – biometrické prvky jako např. otisk prstu či scan oka. Podmínkou je, že každý ověřovací prvek musí být z jiné kategorie. Zavedením silného zabezpečení se maximálně posílila pozice banky klienta, která uděluje souhlas k přístupu na účet klienta (v oblasti přímých plateb z účtu) a zároveň uděluje souhlas při rezervaci prostředků na účtu klienta při platbě kartou. A to vše v on-line režimu. Může se jevit, že 18 měsíců byla dostatečně dlouhá doba pro implementaci všech změn, nicméně technické specifikace byly stále upřesňovány ze strany Evropské Bankovní Asociace a to až do července tohoto roku. Na základě ohlasů technické veřejnosti, Evropská Bankovní Asociace doporučila v červenci 2019 lokálním autoritám odložit účinnost normy PDS2 o 12 až 18 měsíců pro oblast elektronické komerce. U platebních terminálů se předpokládalo, že transakce jsou autorizovány především PINem. Pojďme se podívat na jednotlivé oblasti OBLAST PLATEBNÍCH TERMINÁLŮ Platební terminál je velice bezpečné zařízení, které dokáže tzv. silnou autentifikaci provádět prostřednictvím PINu. Tedy držení karty je jeden faktor, znalost PIN jak faktor druhý. Proto se dá očekávat, že placení kartou na platebním terminálu a zadání PIN je bráno za vysoce zabezpečené. Problém přichází v momentě, kdy chceme platit bezkontaktně a kde jsme si zvykli již PIN nezadávat. V některých případech dokonce je nutné, aby transakce probíhala rychle a bez odkladně. (především k eliminaci nadbytečných front). Aby se předešlo k opětovnému zadávání PINu u bezkontaktních transakcí, tak se zavádějí výjimky, které bohužel nejsou jednoduše aplikovatelné bez spolupráce všech zainteresovaných stran jako jsou především vydavatelské banky (Issueři), provozovatelé platebních terminálů, platební asociace a zprostředkovatelé plateb (Acquireři) a zároveň obchodníci. Mnohdy docházelo k mylné interpretaci, že bezkontaktní platby jsou vyjmuty z požadavku na vysoké zabezpečení. Evropská Bankovní Asociace (EBA), která je odpovědná za technickou definici požadavků potvrdila, že bezkontaktní platby mají výjimku do výše 50 EUR a do maximálně 5ti po sobě jdoucích transakcích s celkovým limitem 150 EUR. To v praxi znamená, že každá šestá transakce musí být bez ohledu na její výši autorizována PIN anebo například po 3 transakcích ve výši 50 EUR. Logika požadavku na vložení dodatečného PIN u bezkontaktních transakcí je plně v kompetenci vydavatele karty. Ten má možnost vyhodnocovat rizika například vycházející z pohybu klienta a požadovat zadání PIN kdykoliv má podezření na zneužití karty. Vzhledem k tomu, že Česká republika na rozdíl od některých vyspělých zemí Evropské Unie, používá ve vysokém počtu bezkontaktní karetní transakce na terminálech, dochází na straně obchodníka k nutnosti provést PIN autorizaci při překročení pěti po sobě jdoucích bezkontaktních platbách relativně často. Jak už bylo zmíněno, kontrola tohoto počtu a limitů je vždy na straně vydavatele karty klienta. Platební terminál je povinen vždy on-line posílat informaci ke zpracování k vydavateli. Zde jsou jednotlivá doporučení ČNB: Sdělení pro spotřebitele Vzhledem k velice krátkému času na implementaci jsou banky nyní v procesu implementace ve svých kartových systémech, především pro výpočet a součet po sobě jdoucích bezkontaktních transakcí. V minulosti nebylo možné v rámci bankovních systémů rozlišit mezi platbou kontaktní a bezkontaktní. Paralelně provozovatelé platebních terminálů dle nastavení jednotlivých obchodních případů vzdáleně upravují SW platebních terminálů tak, aby požadavek na zadání PIN byl proveden automaticky v případě, že o to banka, která konkrétní kartu klienta vydala, požádá. Současná praxe však ukazuje, že při nasazování těchto úprav nejsou všechny procesy na straně bank, vydavatelů a aplikačních brán sladěné. Může docházet k případům, že transakce je zamítnuta bez udání konkrétního důvodu, ačkoliv terminál měl pouze požádat o vložení PIN. Doporučení zní, požádat klienta o vložení karty s čipem přímo do platebního terminálu a zadat PIN. Při placení kartami vložených do mobilních telefonů se předpokládá použití jiného prvku, než PIN a to je biometrie a nebo zadání hesla do mobilní peněženky. Zadání hesla je faktorem znalosti (obdobně jako u PINu ke kartě) a fyzická karta je nahrazena vlastnictvím mobilního telefonu. Místo hesla to peněženek (Apple Pay, Google Pay) je možné použít otisk prstu nebo faceID, který se může brát jako biometrický prvek. Nicméně jako prvek biometrie se musí považovat systém, který není zpracováván pouze v telefonu, ale centrálně. Vzhledem k tomu, že centrální systémy správy biometrických údajů prakticky neexistují, přikročilo se k další časově omezené (1-2 roky) výjimce, kdy je možné použít biometrickou autorizaci současných systému Apple Pay, Samsung Pay, Google Pay, Garmin a podobně. V průběhu 2020-2021 se očekává prodloužení této výjimky anebo k přechodu na jiný typ vyššího zabezpečení. OBLAST E-COMMERCE V oblasti eCommerce se vyšší zabezpečení již používalo pomocí jednorázového kódu v rámci řešení, které jsou obecně známy pod pojmem 3D Secure (verze 1.0.2), která požaduje ověření klienta pomocí SMS po přesměrování na webovou stránku vydavatele karty. PSD2 a její technické normy předpokládaly přechod na vyšší úroveň, tzv. 3D Secure 2.0, kde je umožněno kromě SMS kódu ověřit klienta napřímo v aplikaci mobilního bankovnictví. Dnes moderně nazývané jakési „klíče“, které zajistí přímý dotaz do telefonu uživatele na potvrzení autentifikační zprávy spuštěné po bezpečném otevření mobilního bankovnictví. To v tomto případě se považuje jako zmíněný druhý faktor. Probíhají neustále odborné diskuze na téma, zda jednorázově zaslaná SMS je považována jako druhý faktor. Ačkoliv dle statistik z českého trhu zneužití SMS kódů je prakticky minimální, Česká Národní Banka se přiklonila k názoru, že kód zaslaný v SMS nemusí být vždy považován jako druhý faktor, protože je zasílán na telefon, kde není zaručeno, že kód zná pouze uživatel karty. Proto od července tohoto roku nemůže být považována ze strany vydavatele jako silná autentifikace klienta, a tudíž není v souladu s novou normou PSD2. Za silné ověření klienta se považuje autorizace přes „klíče“ mobilních bankovnictví bank anebo vložení speciálního ePIN, které musí klient obdržet od své banky. Jak již bylo zmíněno výše, EBA doporučila národním bankám posunout implementaci o 12 až 18 měsíců. Ačkoliv Česka Národní Banka zatím oficiálně nepotvrdila toto odložení, svými vyjádřeními souhlasí s odložením a doporučuje neblokovat transakce v oblasti e-Commerce. Oficiální stanovisko chce vydat až po zasedání EBA, které by se mělo konat v nejbližších dnech či týdnech, kde by se měly analyzovat výstupy ze zkušeností se zavedením v jednotlivých zemích Evropské Unie. Některé členské země již oficiálně přistoupili k odložení, nicméně lhůta je podmíněna ve většině případů tím, že banky a provozovatelé předloží jednotlivé implementační plány. V současné době není český bankovní trh připraven na silné ověření klienta prostřednictvím aplikaci mobilního bankovnictví. Většina velkých a některých inovativních bank již implementovala tzv. klíče, které napomáhají silné autentifikaci, ale jen málo uživatelů tyto aplikace používá a vydání nového ePIN je procesně náročné a pro klienta komplikované. Ačkoliv se očekává, že k odložení dojde, společnosti v oblasti elektronické komerce i tak nadále provádí změny směřující k naplněni požadavků na vyšší zabezpečení dle aktuálních standardů 3DS2.1. A to včetně implementace nové platební brány splňující spřízněné podmínky ČNB a včetně implementace komunikace s mobilními aplikacemi vydavatelů. Podrobnosti o přístupu ČNB naleznete zde: Sdělení ČNB v souvislosti s účinností nařízení Komise ... Bude pouze záležet na spolupráci všech zainteresovaných stran a implementace není úplně snadnou záležitostí. OBLAST PŘÍMÉHO BANKOVNICVÍ To je oblast, kde PSD2 nově zavádí pojem o tzv. třetích stranách. Kdo jsou třetí strany naleznete zde: kdo jsou třetí stran Tak jak již bylo uvedeno v oblasti e-commerce, díky zavádění silného zabezpečení vstupují na trh jednotlivé banky se svými inovovanými aplikacemi mobilního bankovnictví, které umožňují se napojit na účty cizích bank. Zde je využíváno API rozhraní, které je k dispozici tzv. třetím stranám jako AISP. Pro povolení přístupu se používají právě tzv. „klíče“, které pak slouží i pro již zmíněné ověření klientů pro transakce v oblasti e-commerce. Tato oblast je relativně nová, prakticky využívaná pouze bankami mezi sebou. V České republice nebyla poskytnuta doposud licence žádné společnosti pro oblast nepřímého zadání platebního příkazu (PISP) ačkoliv několik subjektů od samého začátku o licence žádají. Pro službu AISP byla udělena licence pouze cca 2-3 subjektům. Ani připravenost bank není v této oblasti vysoká. Několik bank udělalo mnoho systémových změn tak, aby dokázaly fungovat mezi sebou. Způsoby, jak inovovaly své systémy, byly především vyvíjeny směrem k sobě. Tedy zjednodušit práci pro své klienty, znesnadnit přístup externím subjektům včetně konkurenčních bank a to pod záštitou garance vysokého zabezpečení přístupu k bankovním účtům. To se dá vše logicky pochopit. Takže v této oblasti nehrozí, že by se nový platební trh zhroutil tím, že ode dneška by bylo možné ovládat účty klientů a platit pomocí aplikací „třetích stran“, proto žádné překlenovací období není potřeba zavádět. Vlastně není ani pro co a pro koho. Banky tak mají více času to vše v klidu doladit. Teprve až někdo nový dosáhne na licenci, bude schopen dělat něco navíc. Zde tu nesmíme však zapomínat, že žijeme v Evropském prostoru a na trh mohou ode dneška přijít subjekty zvenčí. Již zde vidíme trendy jako Revolut, N26 a podobně a dokud žádná česká společnost nedostane licenci, tak zde trh bude brzo ovládán úplně někým jiným. To může nekontrolovaně změnit chování na platebním trhu velice rychle a všechny investice, které se nyní vkládají do klasických kartových systémů, se nemusí v budoucnu vůbec využívat. Publikoval : Miroslav Pekárek

Minulý týden, kdy došlo k ročnímu výročí schválení poslední verze RTS upravující technická pravidla platební regulace PSD2, bylo 45. zasedání Evropské Asociace Platebních společností. V předvečer tohoto výročí bylo zajímavé s experty a kolegy z celé Evropy sdílet dosavadní zkušenosti v oblasti acquiringu, issuingu a transakčního procesingu. Mezi nežhavější témata byly především současné diskuze o implementaci instantních plateb, které doplňují přímé platby v řadě zemí Evropy, dále pak regulace DCC a nová nařízení nejenom z oblasti silné autentifikace klienta (SCA), ale také především z nových požadavků na platební instituce při potírání daňových úniků daně z přidané hodnoty. V rámci odpolední sekce se nám podařilo kolegy seznámit s připravovanými principy digitálního acquiringu, který spojuje tradiční pojetí plateb a nové digitální formy rozvoje i s odkazem na generační rozdíly jednotlivých uživatelů. Digitální Acquring je jedním z nosných témat našeho výzkumu, kterému se věnujeme prakticky od zahájení platnosti PSD2 v minulém roce. Spojuje některé prvky, které na první pohled nemusí na sebe navazovat, ale v konečném důsledku právě díky digitální formě se budou postupně v následujících obdobích propojovat. Nejdůležitějšími stavebními kameny jsou: - Virtualizace (tokenizace) klasických platebních karet - Přímé platby ve formě PSD2 - Instantní platby - Silná autentifikace klienta - Digitální identita - Umělá inteligence - Transakční risk monitoring. - API řízené platby Bylo patrné, že toto téma velice dobře zapadlo do celkové diskuze na celoevropské úrovni, a proto se v následujícím období této oblasti budeme více věnovat a budeme představovat jednotlivé novinky postupně tak, jak budou zaváděny do praxe. Autor: Miroslav Pekárek