- není to bezvýznamový identifikátor, dá se z něj odvodit pohlaví a datum narození,
- naopak je díky jeho konstrukci při znalosti data narození snadno predikovatelné - zaznamenali jsme pokusy, kdy automat pro zjištění RČ postupně zkoušel pro datum narození všechna čísla odpovídající bezezbytkovému celočíselnému dělení 11 (je jich pouze 909), dokud se pro danou osobu netrefil) ,
- není snadno revokovatelné a při jeho zneužití nelze jednoduše získat nové.
To ale i další faktory je činí nevhodnými pro používání jako identifikátory
osob.
První krok k omezení používání rodných čísel přinesly
Základní registry (ZR), které byly zřízeny zákonem 11/2009 Sb. Jedním z jejich
z cílů bylo omezení významu rodného čísla při komunikaci v rámci státní správy a samosprávy a jejich agendových informačních systémů (AIS). K tomu se využívají dva identifikátory – ZIFO a AIFO.
ZIFO – Zdrojový identifikátor fyzické osoby
ZIFO je neveřejný identifikátor a používá se výhradně ke generování
AIFO. Je to náhodný řetězec vytvářený pomocí generátoru náhodných čísel v HSM.
Je dostatečně dlouhý, aby nebyla možná jeho zpětná rekonstrukce z AIFO. Skládá
se ze dvou částí (ZIFO-A, ZIFO-B), jejichž délka v součtu činí 12928 bitů (bez kontrolních údajů).
Jeho generování má v kompetenci Úřad pro
ochranu osobních údajů prostřednictvím informačního systému
(IS) ORG.
Tyto identifikátory nejsou použitelné jak při komunikaci v rámci státní správy a samosprávy (mimo jejich speciální funkci pro generování AIFO v ORG), tak v soukromoprávní oblasti nebo při komunikaci občana se státní správou.
AIFO – Agendový identifikátor fyzické osoby
AIFO
jsou bezvýznamové identifikátory a jsou jedinečné pro osobu a agendu, což
znamená, že osoba „Josef Novák“ má v agendě evidence obyvatel jiné AIFO
než v agendě katastru nemovitostí. Odvození AIFO ze ZIFO zajišťuje informační systém ORG
a probíhá v HSM. Algoritmus vyžívá posloupnosti 3 standardních
kryptografických funkcí, jejich výstupem je 128 bitů (bez kontrolních údajů). Ztráta
věrohodnosti jedné z funkcí bezprostředně neohrožuje věrohodnost AIFO.
Když chce agenda katastru nemovitostí provést dotaz do evidence obyvatel, tak provede dotaz pro AIFO, které má pro osobu Josef Novák přiděleno (např. 123456), převodník ORG transparentně na pozadí při komunikaci přes eGSB/ISSS přeloží AIFO Jana Nováka v agendě katastru nemovitostí na AIFO agendy evidence obyvatel a do IS evidence obyvatel dotaz na pro Josefa Nováka doputuje pod jeho AIFO v dané agendě (např. 987654).
Kdyby se k sobě, např. díky úniku dat, dostala data různých agend, nepůjdou přes AIFO nijak propojit - v agendě katastru nemovitostí má Jan Novák AIFO 123456 a v agendě evidence obyvatel má Jan Novák AIFO 987654. Propojení dokáže udělat pouze ORG, který ale zase neobsahuje žádné osobní údaje a je to zjednodušeně řešeno jen databáze ZIFO a k nim vydaným AIFO pro jednotlivé AIS. AIFO tak chrání před neoprávněným sdružováním dat.
Pozn.: celé je to podstatně komplikovanější, na pozadí probíhají další kontroly, např. v Registru práv a povinností, zda daná agenda (resp. činnostní role, pod kterou je zasílán dotaz) má na požadovaná data nárok. Není to tak, že libovolný AIS může číst libovolné údaje. Přístup k jednotlivým údajům je položkově přesně vymezen v zákoně. Vše je auditováno, každé volání i odpověď má jednoznačnou identifikaci (GUID), viz popis hlaviček eGon služeb.
AIFO jsou ze zákona neveřejné a není je možné používat pro
účely uvádění na podáních (v případě katastru návrh na vklad) nebo na výstupech
(v případě katastru list vlastnictví). Jsou velmi dobře využitelná v rámci
státní správy, ale nejsou použitelná v soukromoprávní oblasti nebo při
komunikaci občana se státní správou.
Vztah mezi ZIFO a AIFO:
AIFO je využitelné pouze jako interní identifikátor OVM a to
ještě ne ve všech případech (např. katastr nemovitostí stále eviduje několik
desítek tisíc fyzických osob, u nichž se nepodařilo ztotožnění proti základním registrům
a nebylo získáno jejich AIFO).
ZIFO ani AIFO nejsou veřejné identifikátory a nemohou nahradit
rodná čísla. Proto byly navrženy další identifikátory.
KIFO – Klientský identifikátor fyzické osoby
KIFO jsou veřejné identifikátory, jejichž použití je omezeno
na jeden rezort (finanční správa, zdravotnictví, …). Toto omezení je podstatné
a je dáno tím, aby se z KIFO nestal plošný identifikátor, jakým je RČ. Jako
příklad KIFO lze uvést číslo pacienta resortu zdravotnictví nebo DIČ podnikající
fyzické osoby.
KIFO smí existovat pouze tehdy, když jej resort nebo OVM
může vydávat na základě zákona, ve kterém musí být stanoveny podmínky vydávání
a užívání. Resort vydávající tento identifikátor musí zajistit službu převodu KIFO
na AIFO (a zpět), pro agendy vykonávané v rámci resortu resortními OVM.
Hlavním účelem je možnost jejich používání soukromou sférou,
například soukromými zdravotnickými zařízeními při komunikaci s resortem zdravotnictví.
KIFO je veřejný identifikátor a může být uváděn na resortních
dokumentech, dokladech (průkaz pojištěnce), informačních tabulích atd. Může se ukládat
v informačních systémech.
KIFO je v principu pro jednu osobu trvalé a nemusí být
zaveden mechanismus jeho pravidelné obměny. Musí ale být zaveden mechanizmus
jeho revokace a přidělení nového při případném zneužití a proto musí počítat s historickými
hodnotami.
SIFO – Stykový identifikátor fyzické osoby
SIFO jsou stejně jako KIFO veřejné identifikátory. Příkladem
SIFO je číslo občanského průkazu nebo číslo cestovního pasu.
Oproti KIFO, které jsou omezeny na jeden resort, jsou SIFO vydávány fyzickým osobám plošně a centrálně a jsou tak využitelné přes více resortů. Proto se na ně vztahují přísnější podmínky:
- nesmí se ukládat do informačních systémů za účelem identifikace fyzické osoby, ale musí být na vstupu převedeny na AIFO nebo KIFO a IS musí dále pracovat pouze s těmito identifikátory,
- musí mít omezenou platnost (10 let).
Stejně jako v případě KIFO musí existovat mechanizmus
jeho revokace a přidělení nového při případném zneužití (ztráta nebo odcizení občanského průkazu), včetně evidence historických
hodnot.
Zmíněné omezení ukládání SIFO do informačních systémů se
týká výhradně účelu dohledávání dané osoby v IS. Pokud ale agenda pro své další
fungování, například pro účely vydávání údajů na výpisech, SIFO potřebuje, tak
ho ukládat může. V tom případě se identifikátor nevystupuje v roli SIFO.
V případě katastru se může jednat např. o list vlastnictví, aby si kupující mohl
na jeho základě potvrdit, že jedná s osobou v katastru zapsanou jako
vlastník nemovitost.
Pokud vám odstavec výše přijde nesrozumitelný, tak ho zkusím zjednodušeně připodobnit, jak by to mohlo po zavedení probíhat v praxi (neuvažuji teď výjimky jako např. cizinci atd.):
- na katastr dorazí návrh na vklad, v seznamu účastníků budou uvedena čísla cestovních dokladů (pasů),
- katastr podle čísel dokladů provede dotaz do základních registrů, aby zjistil AIFO účastníků návrhu na vklad a čísla identifikačních dokladů (ZR vrací všechny platné doklady),
- zjištěná AIFO a čísla občanských průkazu si uloží do ISKN,
- číslo občanského průkazu se bude zobrazovat a vydávat ve výstupech (např. výpis z katastru nemovitostí neboli „LVčko“).
Katastr by měl (převážně z výkonostních důvodů) uložené číslo občanského průkazu, ale toto číslo by neplnilo roli SIFO – nedalo se podle něj přímo vyhledávat. Pokud by někdo chtěl vyhledávat osobu, nezadal by rodné číslo, ale číslo dokladu (a bude moci zadat i číslo pasu, které katastr uloženo nemá). Katastr následně provede dotaz do ZR/ROB, aby pro dané číslo dokladu zjistil AIFO a měl tak identifikátor fyzické osoby, o kterou se jedná. Následně podle AIFO zjistí všechna vlastnictví nemovitostí a jiné právní vztahy.
Protože katastr odebírá notifikace o změnách, tak se bude automaticky aktualizovat číslo občanského průkazu při jeho změně. Vyhledávání ale bude fungovat i pomocí historických čísel.
Uvedený postup má jeden další pozitivní boční efekt. Všechny dotazy do ZR/ROB se ukládají a občan si následně může vyžádat informaci (nebo je mu automatizovaně 1x ročně odeslána do datové schránky), který AIS na něj vznesl dotazy. Protože se ze SIFO na AIFO budou převádět všechny dotazy, bude mít daný občan poměrně slušnou evidenci toho, kdo se na něj kdy ptal (další evidence je ještě v rámci GDPR).
Pozn.: Výpis o využití údajů z registru obyvatel se
tím stane poměrně nepřehledným a dlouhým a bylo by zřejmě vhodné ho převést do nějaké
interaktivní formy s možností filtrování a třídění.
Jaký je aktuální stav a co dál?
V roce 2019 Ministerstvo vnitra zpracovalo koncepci řešení minimalizace
využívání RČ a předložilo ji do mezirezortního připomínkového řízení. Vláda ji
usnesením č. 28/2020
vzala na vědomí a členové vlády a vedoucí ústředních správních úřadů dostali za
úkol zpracovat do 31.03.2020 přehled právních předpisů v jejich působnosti, na
které bude mít dopad.
Resorty mají do konce září 2020 zpracovat analýzu a do konce prosince 2020 Ministerstvo vnitra předloží vládě souhrnný materiál koncepce zavedení nových elektronických identifikátorů fyzických osob.
Musí být provedena novelizace jednotlivých předpisů
a musí vzniknout služby pro převod SIFO/KIFO (včetně historických) na AIFO. Podle upravené legislativy a nových služeb se musí upravit jednotlivé agendové IS, jejich výstupy atd.
Pozn.:
V případě identifikačních dokladů (občanský průkaz, cestovní pas) současné
služby ISZR
umožňují vyhledávání pouze pomocí platných údajů a vracejí též pouze platná
data.
Pokud platí plán ukončení
uváděných rodných čísel v občanských průkazech od roku 2022, je toho
na práci více než dost. Legislativa se může nepříjemně táhnout, OVM budou
čekat na vydání specifikací nových
služeb a jejich vystavení na testovací
prostředí ISZR.
Jednotlivé resorty budou dle svých potřeb (a nutných zákonných zmocnění) pro identifikaci osob na rozhraní občan-resort využívat KIFO (zřejmě např. Finanční správa) nebo SIFO (např. katastr). Komunikace mezi úřady už dnes většinově probíhá přes AIFO.
Vzhledem k tomu, kolik let se o této problematice
mluví, bylo by dobré řešení dotáhnout do zdárného konce, byť to jednoduché nebude. Stejně nás to nemine.
Rodná čísla jako taková ale nezanikají. Stále se budou zapisovat
např. do matrik. Dochází „pouze“ k jejich postupné minimalizaci v roli interních
nebo veřejných identifikátorů.
