Platební brána pro e-shop je služba, přes kterou zákazník zaplatí kartou nebo jinou metodou přímo při objednávce. Zákon pojem platební brána nezná, peníze ale smí přijímat a vyplácet jen poskytovatel s oprávněním České národní banky. Malý e-shop proto u výběru řeší hlavně tři věci: kdo za službou stojí, jak je nastavená bezpečnost a co přesně podepisuje.
Ve zkratce
- Licenci ČNB musí mít ten, kdo peníze přijímá a vyplácí, čistě technická brána ji mít nemusí.
- Oprávnění poskytovatele ověříte v seznamech ČNB, zahraniční firmu v registru Evropského orgánu pro bankovnictví.
- Platby na dálku vyžadují silné ověření zákazníka, u karet ho zajišťuje 3-D Secure.
- Za běžné spotřebitelské karty nesmí e-shop účtovat žádný poplatek.
- Platby přes bránu na webu se do evidence tržeb od roku 2027 nezapočítávají.
- Řadu zákonných ochran si e-shop jako podnikatel může smluvně vzdát, smlouvu je proto nutné číst.
Jak probíhá platba kartou a kdo je kdo
Zákazník platí kartou, kterou mu vydal jeho poskytovatel. Na straně e-shopu stojí akceptant, tedy poskytovatel, se kterým obchodník uzavírá smlouvu o přijímání a zpracování karetních plateb. Pravidla transakce určuje karetní schéma.
| Kdo | Co dělá |
|---|---|
| Vydavatel | Vydává zákazníkovi kartu a ověřuje jeho platbu |
| Akceptant | Má smlouvu s e-shopem, přijímá a zpracovává karetní platby |
| Karetní schéma | Stanoví pravidla a normy pro karetní transakce |
| Technická brána | Zajišťuje technické propojení, peníze nedrží |
Technická brána a akceptant
Platební službou podle zákona není technická služba, která placení jen podporuje a peníze se do její držby nedostanou. Brána, která na peníze nesahá, tak sama licenci ČNB mít nemusí. Musí ji mít ten, kdo platby přijímá a posílá obchodníkovi.
Další platební metody
Převod a QR platba
Bankovní převod je úhrada z účtu zákazníka na účet e-shopu na základě příkazu, který zákazník dává své bance. QR platba vede ke stejné úhradě, jen ji zákazník zadá v bankovní aplikaci. Při příkazu přes internet použije jeho banka silné ověření.
Platební tlačítka bank
Tlačítka napojená na internetové bankovnictví bývají služba nepřímého dání platebního příkazu. Jde o platební službu, poskytovatel k ní potřebuje oprávnění.
Peněženky v telefonu a odložené platby
Peněženka v mobilu platí kartou, která je v ní uložená, takže jde o karetní platbu. Když splatnost zákazníkovi odkládá třetí strana, jde o úvěr a platí pro něj pravidla spotřebitelského úvěru.
Licence ČNB a jak poskytovatele ověřit
Kdo smí poskytovat platební služby
Podle § 5 zákona o platebním styku smějí platební služby poskytovat jen vyjmenované subjekty. Patří mezi ně banky, spořitelní a úvěrní družstva, platební instituce, instituce elektronických peněz a poskytovatelé platebních služeb malého rozsahu, kteří mají povolení ČNB a zákonem omezený objem transakcí.
Jak ověřit oprávnění
ČNB vede veřejné seznamy oprávněných subjektů v aplikaci Seznamy regulovaných a registrovaných subjektů. Poskytovatele vyhledáte podle názvu nebo IČO a zkontrolujete typ oprávnění a výčet platebních služeb, které smí poskytovat.
Zahraniční poskytovatel a kontrola klienta
Platební a elektronické instituce z celé EU a EHP najdete v registru Evropského orgánu pro bankovnictví. Tyto instituce jsou povinné osoby podle zákona proti praní peněz, proto e-shop před smlouvou identifikují. Hodí se mít v pořádku živnostenské oprávnění, jak vybrat obory volné živnosti pro e-shop, popisuje samostatný článek.
Silné ověření, 3-D Secure a PCI DSS
Co je silné ověření
Poskytovatel zákazníka použije silné ověření, když zákazník dává příkaz k elektronické platbě. Ověření kombinuje aspoň dva nezávislé prvky ze tří: něco, co zná jen on, věc, kterou má u sebe, a biometrický údaj. U plateb na dálku musí ověření navíc spojit transakci s přesnou částkou a konkrétním příjemcem. Výjimky stanoví nařízení EU 2018/389, použitelné od 14. 9. 2019, a uplatňuje je poskytovatel, ne e-shop.
Proč mít 3-D Secure zapnuté
3-D Secure je technický protokol, kterým se zákazník při platbě kartou na dálku ověří u vydavatele karty. Pokud příjemce nebo jeho poskytovatel silné ověření neumožnil, má proti nim postih banka zákazníka, která mu škodu nahradila. Vypnuté ověření tak může riziko podvodné platby přesunout na e-shop.
Co čeká malý e-shop kvůli PCI DSS
PCI DSS je bezpečnostní standard karetních společností. Jaký dotazník e-shop vyplní, určuje jeho akceptant nebo karetní značky. Zjednodušený dotazník SAQ A je pro obchodníky, kteří zpracování karet celé svěřili poskytovateli a kartová data sami neukládají ani nepřenášejí. Od 31. 3. 2025 v něm obchodník potvrzuje, že jeho web není náchylný k útokům skriptů. Neplatí to, když e-shop zákazníka přesměruje na stránku poskytovatele.
Smí e-shop účtovat poplatek za platbu kartou
Spotřebitelské karty bez poplatku
Úpravu obsahuje § 254 zákona o platebním styku. Za platební prostředek, u kterého evropské nařízení o mezibankovních poplatcích reguluje poplatek mezi bankami, příjemci úplata nenáleží. Prakticky to znamená, že za běžné spotřebitelské debetní a kreditní karty nesmí e-shop poplatek účtovat. Požadování úplaty v rozporu se zákonem je přestupek s pokutou až 500 000 Kč, který projednává Česká obchodní inspekce.
Informace předem a slevy
Kde poplatek dovolený je, smí být nejvýše ve výši přímých nákladů a zákazník se o něm musí dozvědět před zahájením platby. Smlouva s poskytovatelem nesmí e-shopu bránit, aby za určitý způsob platby nabízel slevu. Způsob platby a celkovou cenu sdělujete zákazníkovi už před objednávkou, souvisí to s pravidly pro uvádění cen a slev v e-shopu i s tím, co patří do obchodních podmínek e-shopu.
Vratky a neautorizované platby
Neautorizovaná platba
Když zákazník oznámí platbu, kterou neautorizoval, jeho poskytovatel mu nejpozději do konce následujícího pracovního dne vrátí účet do původního stavu. Lhůta neběží, pokud má poskytovatel důvod podezírat zákazníka z podvodu a oznámí to dohledu. Neautorizovanou nebo chybnou platbu musí zákazník nahlásit bez zbytečného odkladu, nejpozději do 13 měsíců od odepsání z účtu.
Chargeback
Zákonné lhůty se týkají vztahu zákazníka a jeho banky. Reklamace karetní transakce u vydavatele, například kvůli nedodanému zboží, se řídí pravidly karetních schémat a smlouvou e-shopu s akceptantem.
Vracení peněz při odstoupení
Podle občanského zákoníku při odstoupení spotřebitele vrací e-shop do 14 dnů všechny přijaté peníze včetně nákladů na dodání, a to stejným způsobem, jakým je přijal. Jinak jen se souhlasem spotřebitele. Jak postupovat u vadného zboží, shrnuje článek o reklamaci v e-shopu.
Evidence tržeb a změny, které se chystají
Evidence tržeb od roku 2027
Zákon o evidenci tržeb s obecnou účinností od 1. 1. 2027 se týká jen kontaktních plateb. Finanční správa výslovně uvádí, že evidenci nepodléhá platba přes platební bránu nebo QR kód na webu e-shopu. Dobírku převzatou poštovní službou a převedenou na účet podnikatel také neeviduje. Pokud ale e-shop bere platby osobně na výdejním místě nebo v showroomu, ty se evidují. Podrobně to rozebírá článek o evidenci tržeb od roku 2027.
Nová evropská pravidla
Evropská unie připravuje nařízení o platebních službách a směrnici PSD3. Rada a Evropský parlament se předběžně dohodly 27. 11. 2025, k říjnu 2026 ale nejsou formálně přijaty a zatím neplatí. Okamžité úhrady v eurech musí poskytovatelé v Česku umět přijímat do 9. 1. 2027 a odesílat do 9. 7. 2027.
Co hlídat ve smlouvě s poskytovatelem
Výpověď a podnikatelská výjimka
Zákon dává uživateli právo rámcovou smlouvu kdykoli vypovědět s výpovědní dobou nejvýše jeden měsíc. Poskytovatel smí vypovídat smlouvu na dobu neurčitou jen po dohodě a s výpovědní dobou aspoň dva měsíce. E-shop ale není spotřebitel, a tak se od těchto pravidel může smlouva odchýlit.
Rozpis poplatků
Akceptant musí poplatky obchodníka účtovat rozepsané podle kategorií a značek karet a u každé transakce uvádět poplatek obchodníka i mezibankovní poplatek.
Co si zjistit předem
Ověřte oprávnění poskytovatele a zeptejte se, zda smlouva nemění zákonné výpovědní lhůty. Zjistěte si také, zda poskytovatel drží část plateb jako rezervu a jak často peníze vyplácí.
Šest kroků při výběru platební brány
- Zjistěte, kdo je akceptant. Licenci musí mít ten, kdo přijímá a vyplácí peníze.
- Ověřte oprávnění. Hledejte v seznamech ČNB nebo v registru evropského orgánu.
- Nechte zapnuté silné ověření. Bez něj může riziko podvodu přejít na vás.
- Zeptejte se na PCI DSS. Akceptant řekne, jaký dotazník máte vyplnit.
- Neúčtujte poplatek za spotřebitelské karty. Slevu za jinou metodu nabízet smíte.
- Přečtěte si výpověď a lhůty. Jako podnikatel můžete o zákonnou ochranu smluvně přijít.
Platební brána je jen jedna z mnoha smluv, které firma uzavírá. Přehled dalších témat od živnosti po podpisy najdete v průvodci založením a vedením firmy.
Související témata od podmínek po prodej do EU řadí průvodce e-shopem a online prodejem.
Časté otázky
Potřebuje e-shop pro platby kartou vlastní licenci od ČNB?
Ne, oprávnění ČNB musí mít poskytovatel, který peníze za e-shop přijímá a vyplácí. E-shop, který prodává své zboží, je jen příjemcem platby. Čistě technická brána, která na peníze nesahá, podle zákona o platebním styku platební službu neposkytuje.
Jak ověřím, že poskytovatel platební brány má povolení ČNB?
Vyhledejte ho podle názvu nebo IČO v seznamech regulovaných subjektů na webu ČNB a zkontrolujte typ oprávnění i povolené platební služby. Zahraniční platební instituci najdete v registru Evropského orgánu pro bankovnictví.
Smí e-shop účtovat poplatek za platbu kartou?
Za běžné spotřebitelské debetní a kreditní karty ne, zakazuje to § 254 zákona o platebním styku. U jiných prostředků smí poplatek nejvýše pokrýt přímé náklady a zákazník o něm musí vědět předem. Slevu za určitý způsob platby nabízet lze.
Co je 3-D Secure a musí ho e-shop mít zapnuté?
Je to technický protokol, kterým se zákazník při platbě kartou na dálku ověří u vydavatele karty. Pokud e-shop silné ověření neumožní, může po něm banka zákazníka žádat náhradu toho, co zákazníkovi za neautorizovanou platbu vrátila.
Musí se platby přes platební bránu od roku 2027 evidovat v EET?
Ne. Evidence tržeb od 1. 1. 2027 se týká jen kontaktních plateb a platba přes bránu na webu e-shopu jí podle Finanční správy nepodléhá. Evidují se ale platby, které e-shop přijme osobně, třeba na výdejním místě.
Jak dlouho může zákazník reklamovat neautorizovanou platbu kartou?
Zákazník ji musí nahlásit bez zbytečného odkladu, nejpozději do 13 měsíců od odepsání peněz z účtu. Banka mu pak vrátí účet do původního stavu nejpozději do konce následujícího pracovního dne, pokud ho nepodezírá z podvodu.
Zdroje
- Zákon o platebním styku, zákon č. 370/2017 Sb. (zakonyprolidi.cz)
- Seznamy regulovaných subjektů ČNB, ověření oprávnění poskytovatele (cnb.cz)
- Nařízení o silném ověření, nařízení (EU) 2018/389 (eur-lex.europa.eu)
- Změny dotazníku SAQ A, PCI Security Standards Council (pcisecuritystandards.org)
- Kdo musí evidovat tržby, Finanční správa (eet.gov.cz)
