Lítačka a soukromí: proč moderní město nemusí sbírat fotky všech cestujících

Průkazovou fotografii, prosím

Když si v Praze pořizujete dlouhodobý kupon na MHD přes mobilní aplikaci Lítačka, město po vás chce průkazovou fotografii. Nahrajete ji na server Dopravního podniku a tam ji někdo ručně schválí.

Povinnost nahrát fotku přitom nezávisí na délce kuponu, ale na tom, na čem kupon nosíte. Kdo jako nosič používá mobilní aplikaci, fotku potřebuje vždy, ať kupuje měsíční, čtvrtletní nebo roční kupon. Kdo má kupon na bankovní kartě, fotku nepotřebuje, karta je ve výchozím stavu anonymní. Fyzickou kartu ale nosí čím dál méně lidí, a kdo přejde na mobil, fotku odevzdat musí.

Vypadá to jako banalita. Ve skutečnosti ten požadavek prozrazuje, jak systém přemýšlí. Lítačka je v roce 2026 moderní aplikace s QR kódy, plánovačem spojení a kuponem na bankovní kartě. Pod tím vším ale běží identitní model z dob papírové průkazky s nalepenou fotkou a razítkem. Jen se ta fotka přesunula z laminované kartičky do centrální databáze cestujících.

Tenhle text není o tom, že by revizor neměl vědět, komu kupon patří. Je o tom, že město, které se hlásí k chytrému řízení, digitálním službám a ochraně dat, nemá důvod řešit ověření jedné jízdenky sbíráním snímků obličejů celé populace.

Co revizor doopravdy potřebuje vědět

Otázka při kontrole je jediná: je člověk, který mi ukazuje kupon, ten, komu kupon patří?

Odborně se tomu říká vázanost (binding) jízdního dokladu k osobě. Fotka v databázi je jen jeden ze způsobů, jak ji zajistit. Není to požadavek, je to návrhové rozhodnutí. A má své důsledky: město musí shromáždit a držet snímek obličeje každého držitele kuponu na mobilu a ten snímek musí být kdykoli dostupný z jednoho centrálního místa.

Letadlo vás pustí na palubu, aniž by aerolinka měla vaši fotku. Banka vám vydá kartu, aniž by si ukládala snímek vašeho obličeje. Stejný problém, tedy sdílení jízdenky nebo ztráta identity, řeší i jiné dopravní systémy a mnohé z nich bez fotobanky. Praha se rozhodla jinak a nikdy to nemusela obhajovat.

Co stojí databáze tváří celého města

Fotka obličeje pořízená podle pravidel pro doklady není obyčejný osobní údaj. Je to snímek v kvalitě, jakou potřebují systémy pro rozpoznávání obličejů. Databáze takových snímků, svázaných se jménem, datem narození a historií nákupů, je přesně ten typ dat, který po úniku nejde vzít zpět. Heslo si změníte, obličej ne.

GDPR v článku 5 vyžaduje minimalizaci dat: sbírat jen to, co je pro daný účel nezbytné. Fotka u kuponu je nezbytná jen za předpokladu, že neexistuje méně invazivní způsob, jak kupon ověřit. Ten předpoklad nikdo veřejně nezkoumal, protože fotka na průkazce byla vždycky.

A pak je tu otázka odpovědnosti. Kdo ručí za to, že databázi nikdo nezneužije, nezkopíruje ani nepropojí s kamerovým systémem, až se jednou někomu na magistrátu bude zdát, že by to bylo praktické? Data, která neexistují, nelze zneužít. Data, která leží na serveru, čekají na první dostatečně přesvědčivý důvod.

Potřebuje vůbec město fotku?

Průkazová fotografie je nejslabší ze všech způsobů, jak kupon svázat s osobou. Závisí na tom, jak ji revizor posoudí. Nefunguje dobře s rouškou, brýlemi nebo novým účesem. A ze všech dostupných metod spotřebuje nejvíc osobních údajů. Existují silnější možnosti, u kterých město nemusí sbírat jediný snímek obličeje.

Podstatné je, co přesně revizor ověřuje. Ne „jak ten člověk vypadá“, ale „je tohle osoba, které kupon patří“. První otázka fotku potřebuje. Druhá ne.

Čtyři cesty bez fotobanky

Žádná z následujících možností není výzkumný projekt. Všechny stojí na technologiích, které město buď už používá, nebo které mu Evropská unie brzy dodá.

1. Kryptografický klíč v telefonu

Nejsilnější varianta. Řeší i hlavní slabinu naivního nápadu „ať fotka zůstane jen v telefonu“: útočník si může napsat falešnou aplikaci, která ukáže platný QR kód a podvrženou fotku, a revizor klon od originálu nerozezná.

Celý problém zmizí, když fotku vynecháte úplně. Moderní telefon má hardwarově chráněné úložiště klíčů. Na Androidu je to TEE (Trusted Execution Environment) nebo StrongBox, na iPhonu Secure Enclave. Je to izolovaná část čipu, ze které soukromý klíč nejde vytáhnout, ani když je napadený operační systém.

Při nákupu kuponu aplikace vytvoří pár klíčů přímo v tomhle úložišti. Veřejný klíč pošle na server, server ho spolu s údaji o kuponu podepíše. Při kontrole pošle revizorova čtečka telefonu náhodnou výzvu. Telefon ji podepíše soukromým klíčem, ale až poté, co ho majitel odemkne otiskem prstu nebo obličejem. Čtečka podpis ověří i bez připojení k internetu.

Útočník výzvu nepodepíše, protože soukromý klíč čip nikdy neopustí. Kupon nezkopíruje do jiného telefonu. A cizí otisk prstu neodemkne. Je to silnější ochrana než průkazová fotka, a to bez jediného snímku na serveru. Biometrie se přitom ověřuje jen v telefonu cestujícího, město ji nikdy nevidí.

2. Kupon na bankovní kartě: tohle už funguje

Praha tuhle cestu nabízí už dnes. Platební karta slouží jako nosič kuponu a v systému je ve výchozím stavu anonymní, bez fotografie. Při kontrole cestující přiloží kartu ke čtečce revizora a ta ukáže, jaký kupon na ní je.

Čip bankovní karty dokazuje, že karta je pravá a že ji někdo fyzicky drží. Nedokazuje, že ji drží její majitel. Kdo kartu půjčí kamarádovi, tomu kontrola projde. Jedinou zábranou sdílení je, že nikdo nechce půjčovat svou platební kartu. Pro městskou dopravu to ale může stačit.

Problém je jinde. Lidé čím dál častěji platí telefonem přes Apple Pay nebo Google Pay a plastovou kartu nenosí. Kdo přejde na mobilní aplikaci, musí odevzdat fotku. Lítačka tak paradoxně trestá ty, kdo přijali modernější způsob placení. Anonymní varianta existuje, ale jen pro ty, kdo pořád nosí plast v peněžence.

Řešením je přenést princip anonymního nosiče z bankovní karty do telefonu. Přesně to dělá varianta s hardwarovým klíčem: bezpečný prvek v telefonu hraje stejnou roli jako čip v kartě.

3. Evropská digitální peněženka

Nařízení eIDAS 2.0 ukládá členským státům nabídnout občanům evropskou digitální peněženku identity (EUDI Wallet). Peněženka umí prokázat jen to, co je potřeba: že jste držitel kuponu, a na požádání ukázat revizorovi státem ověřenou fotku, aniž by ji dopravce kdy dostal k uložení. Dopravce v tomhle modelu identitu jen ověřuje, nevydává ji a neskladuje.

To je cílový stav a Praha má všechny předpoklady být prvním českým městem, které ho použije.

4. PIN jako záloha

Nejjednodušší varianta: cestující prokáže, že je držitel kuponu, tím, že zná PIN. Bezpečně se to dělá tak, že PIN nikdy neopustí telefon. Čtečka pošle náhodnou výzvu, telefon z ní a z PINu spočítá odpověď a čtečka ji ověří, aniž by PIN znala.

PIN je ale nejslabší možnost: dá se odkoukat, dá se říct kamarádovi a krátký PIN se po případném úniku dat dá rychle prolomit. Hodí se jako doplněk pro okrajové případy, třeba pro starý telefon bez čtečky otisků, ne jako hlavní mechanismus.

	Klíč v telefonu	Bankovní karta	EUDI Wallet	Fotka (dnes)
Ověří, že jde o majitele?	Ano (biometrie v telefonu)	Ne, jen držení karty	Ano (státní identita)	Ano, vizuálně
Ochrana proti sdílení	Silná	Karta je důkaz	Silná	Silná, ale draze vykoupená daty
Funguje bez internetu?	Ano	Ano	Ano	Záleží na systému
Potřebuje fotobanku?	Ne	Ne	Ne	Ano
Náročnost zavedení	Střední	Hotovo	Nízká (dodá stát)	Hotovo

Proč se to neděje

Důvody nejsou technické. Jsou tři a všechny jsou lidské.

Setrvačnost. Lítačka zdědila identitní model po Opencard a ta ho zdědila po papírové průkazce. Aplikace se napojila na existující databázi, protože to bylo nejrychlejší. Nikdo nedostane pochvalu za přepsání identitní vrstvy, která z pohledu vedení funguje.

Provozní pohodlí. Fotka v databázi zjednodušuje obnovu karet, řešení sporů a hlavně práci revizorů. Ověřování kryptografických podpisů by vyžadovalo úpravu čteček a novou infrastrukturu pro klíče. Pohodlí provozovatele se tak tiše proměnilo v povinnost cestujícího.

Chybějící tlak. Úřad pro ochranu osobních údajů se ptá, jestli je zpracování zákonné, ne jestli je ze všech možností nejméně invazivní. Cestující fotku nahrají, protože jinak kupon nedostanou. A zastupitelé, kteří ve volebních programech píšou o chytrém městě, nikdy nemuseli vysvětlovat, proč chytré město potřebuje sbírku tváří.

Výsledkem je město s moderní aplikací, moderní platební bránou a identitním modelem, kterému by v roce 1995 rozuměl každý úředník s laminovačkou.

Co může Praha udělat teď

Praha první krok už udělala: kupon na bankovní kartě funguje bez fotky. Stačí ten samý princip přenést do mobilní aplikace. Bezpečný prvek v telefonu hraje stejnou roli jako čip v kartě a odemykání otiskem nebo obličejem je dnes standard. Výsledek: silnější ochrana než fotka, bez jediného snímku na serveru.

Druhý krok je zveřejnit posouzení vlivu na ochranu osobních údajů pro Lítačku a poctivě v něm odpovědět, proč je centrální fotobanka nezbytná, když tentýž systém prodává kupon na bankovní kartě bez fotky a žádná aerolinka fotku nepotřebuje. Pokud odpověď zní „protože je to pro nás jednodušší“, mělo by to tam stát napsané.

Třetí krok je připravit se na evropskou digitální peněženku. Město, které jako první nabídne kupon ověřený peněženkou místo vlastní fotobanky, bude první v Česku a jedno z prvních v Evropě. To je titulek, který si chytré město zaslouží víc než další sada QR kódů.

Soukromí není luxus, který si město může dovolit až po všem ostatním. Je to vlastnost návrhu: buď ji systém má od začátku, nebo se dolepuje pozdě a draze. Praha má dnes všechno, co potřebuje, aby si ji vybrala. Stačí přestat přemýšlet jako průkazka s razítkem.