În Monitorul Oficial nr. 1119 din 24 noiembrie 2021 a fost publicată Decizia nr. 564/2021 a Autorității pentru Digitalizarea României pentru aprobarea Normelor privind reglementarea, recunoașterea, aprobarea sau acceptarea procedurii de identificare a persoanei la distanță utilizând mijloace video. Actul normativ stabilește cerințele minime tehnice și de securitate privind reglementarea, recunoașterea, aprobarea sau acceptarea procedurii de identificare a persoanei la distanță utilizând mijloace video de către furnizorii de servicii de identificare, ca formă a „identificării electronice“ definite în Regulamentul eIDAS.

Potrivit Normelor, identificarea persoanei la distanță prin mijloace video reprezintă procesul de identificare și verificare a identității persoanei fizice, în baza documentelor prezentate, a imaginilor capturate și/sau a informațiilor comunicate de persoana fizică, utilizând mijloace video.

Activitatea de identificare a persoanei la distanță prin mijloace video de către furnizori de servicii de profil, înregistrați în România, se poate efectua numai după obținerea avizului emis de către Autoritatea pentru Digitalizarea României.

Identificarea persoanei la distanță utilizând mijloace video se realizează cu ajutorul unui sistem. Pentru verificarea identității persoanei la distanță utilizând mijloace video se utilizează atât documentele de identitate, a căror imagine este capturată prin mijlocul video, cât și date sau informații obținute din surse credibile și independente, în măsura în care sunt disponibile, inclusiv pe bază de acorduri/parteneriate încheiate între instituții publice sau private și furnizorii de servicii de identificare, de exemplu: baze de date ale organismelor din sectorul public, baze de date private care conțin informații de la autorități publice, rapoarte de audit, documente fiscale, extrase de cont etc. Consultarea surselor de date este efectuată cu respectarea cerințelor aplicabile în materia protecției datelor cu caracter personal de informare a persoanei vizate, respectiv a persoanei supuse identificării la distanță prin mijloace video, în mod prealabil efectuării unei activități de prelucrare de date. Se interzice utilizarea datelor/informațiilor obținute de către furnizorii de servicii de identificare în procesul de identificare a persoanei la distanță prin mijloace video din diverse surse în alte scopuri, fără informarea/acordul persoanei sau alte prevederi legale în acest sens.

Actul normativ prevede, între altele, că prestatorii de servicii de plată, instituțiile de credit și instituțiile financiare nebancare care doresc să utilizeze mijloace video pentru identificarea clienților la distanță, cu respectarea cerințelor legale aplicabile în materia prevenirii și combaterii spălării banilor și finanțării terorismului, au obligația de a notifica ADR cu 30 de zile înainte de utilizarea mijloacelor video pentru identificarea clienților la distanță. Notificarea va fi însoțită de următoarele documente: a) descrierea soluției tehnice și a echipamentelor utilizate în procesul de identificare a persoanei la distanță utilizând mijloace video (poate fi inclusă în documentația de avizare a instrumentului financiar de plată cu acces la distanță); b) raport de audit în care să se specifice conformitatea cu cerințele prevăzute în prezentele norme, realizat de un auditor din lista auditorilor IT publicată pe site-ul Autorității (referințele la identificarea utilizând mijloace video pot fi incluse în raportul de audit întocmit pentru avizarea instrumentului financiar de plată cu acces la distanță); c) o poliță de asigurare de răspundere civilă față de terți, în valoare de 100.000 euro, care să acopere prejudiciile cauzate de identificarea incorectă a clientului (polița de asigurare trebuie să fie valabilă/reînnoită pe toată perioada cât prestatorul de servicii de plată utilizează metoda de identificare a persoanei la distanță utilizând mijloace video); d) declarația reprezentantului legal că prestatorul de servicii de plată dispune de politici și proceduri de identificare și diminuare a riscului asociat metodei de identificare, inclusiv personal specializat în conformitate cu prevederile Legii nr. 129/2019 pentru prevenirea și combaterea spălării banilor și finanțării terorismului, precum și pentru modificarea și completarea unor acte normative, cu modificările și completările ulterioare; e) lista standardelor recomandate de către ETSI și Comisia Europeană, în cazul în care au fost definite la nivelul UE, în baza cărora se realizează identificarea video; f) o declarație pe proprie răspundere a reprezentantului legal al prestatorului de servicii de plată din care să rezulte că prestatorul a adoptat și implementat proceduri privind protecția datelor cu caracter personal în procesul de identificare a persoanei la distanță utilizând mijloace video, în concordanță cu legislația în domeniu. În cazul în care prestatorul de servicii de plată, instituția de credit sau instituția financiară nebancară va utiliza, pentru identificarea persoanei la distanță utilizând mijloace video, servicii și/sau sisteme/procese furnizate de către un terț de verificare a identității sau de un prestator de servicii de încredere calificate, va depune în locul documentelor menționate anterior o copie a contractului încheiat cu terțul/prestatorul de servicii de încredere, precum și declarația reprezentantului legal că dispune de politici și proceduri interne privind utilizarea acestora. În cazul în care soluția tehnică utilizată de către prestatorul de servicii de plată, instituția de credit sau instituția financiară nebancară pentru identificarea persoanei la distanță utilizând mijloace video este utilizată de către un prestator de servicii de încredere în scopul furnizării de servicii de încredere calificate, este obligatoriu ca prestatorul de servicii de plată, instituția de credit sau instituția financiară nebancară să prezinte Autorității raportul de evaluare a conformității soluției, întocmit de către un organism de evaluare a conformității, în concordanță cu prevederile Regulamentului eIDAS.

Identificarea la distanță utilizând mijloace video poate fi realizată prin mijloace de verificare automatizate, fără operator uman, sau prin mijloace de verificare cu operator uman. Identificarea la distanță utilizând mijloace video realizată cu operator uman poate fi efectuată doar de personal instruit. Persoanele care au atribuții și responsabilități în procesul de identificare a persoanei la distanță utilizând mijloace video vor beneficia sau vor fi obligate să urmeze cursuri de pregătire profesională sau programe de instruire anuale, organizate extern sau intern. Instruirea personalului desemnat pentru realizarea identificării persoanei la distanță utilizând mijloace video intră în responsabilitatea reprezentantului legal al furnizorului de servicii de identificare sau a unei persoane desemnate de reprezentantul legal în acest sens. Atribuțiile și responsabilitățile personalului care realizează identificarea persoanei la distanță utilizând mijloace video vor fi stabilite prin act administrativ al persoanei care are competența de numire în funcție și vor fi prevăzute în fișa postului. Identificarea la distanță utilizând mijloace video realizată prin mijloace de verificare automatizate, fără operator uman, va utiliza mijloace digitale în conformitate cu standardele în vigoare, dispozițiile din prezentele norme referitoare la personalul instruit sau operatorul uman neaplicându-se în acest caz.

În procesul de identificare a persoanei la distanță utilizând mijloace video sunt permise numai documentele de identitate, identificabile în mod clar și aflate în termenul de valabilitate, emise de o autoritate publică competentă. Aceste documente sunt specificate în Normele metodologice.

La verificarea documentelor de identitate vor fi avute în vedere următoarele aspecte, dar fără a se limita la acestea: a) starea documentului de identitate, asigurându-se că acesta nu este deteriorat sau nu are elemente detectabile de falsificare; b) existența elementelor de securitate optică/vizuală, după caz; c) să ceară persoanei care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video să încline documentul pe orizontală și/sau verticală în fața dispozitivului video de identificare; d) verificarea a cel puțin trei elemente de securitate din categorii diferite; e) verificarea altor elemente, dacă este cazul, cum ar fi: formatul documentului, dimensiunea și distanțarea caracterelor și fontul tipografic, în funcție de tipul de document analizat; f) verificarea conținutului caracteristicilor individuale găsite în document, și anume, compararea fotografiilor primare și secundare - fotografia realizată cu imprimare laser cu cea fantomă (monocromă).

La verificarea identității persoanei se au în vedere următoarele aspecte, dar fără a se limita la acestea: a) să se asigure că fotografia și elementele înscrise pe documentul de identitate corespund persoanei care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video; b) să se asigure că informațiile conținute în documentul de identificare sunt corecte și valabile, în raport cu persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video; c) să se asigure că informațiile furnizate de persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video sunt corecte; d) tipul și secvența de întrebări adresate în procesul de identificare nu pot fi identice în sesiunile de identificare consecutive, dacă este cazul, în lipsa informațiilor menționate la lit. a), b), c) sau f); e) în cazul în care identificarea persoanei la distanță prin metode video se realizează în mod automatizat, solicitările sau secvențele video trebuie să conțină un element aleatoriu pentru a preveni riscul de preînregistrare a procesului de identificare la distanță prin metode video; f) să se efectueze verificarea încrucișată a informațiilor furnizate de persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video și a informațiilor rezultate din calculul automat al citirii caracterelor MRZ, atunci când este posibil; g) să se solicite, dacă este cazul, alte documente și/sau informații prin care să se verifice identitatea.

Pe parcursul procesului de identificare a persoanei la distanță utilizând mijloace video este obligatoriu să se utilizeze un factor de autentificare suplimentar, prin transmiterea către persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video a unui cod de unică folosință (One Time Password - OTP) sau prin transmiterea unui link cu o durată limitată, special creat în acest scop, generat în mod individual (prin e-mail sau SMS). Procedura de identificare a persoanei la distanță poate fi încheiată numai dacă a fost finalizată transmiterea și validarea OTP sau numai dacă au fost finalizate transmiterea și accesarea linkului.

Întregul proces de identificare a persoanei la distanță utilizând mijloace video, în toate etapele sale, trebuie să fie înregistrat și păstrat. Toate înregistrările audiovideo, datele și informațiile aferente procesului respectiv de identificare a persoanei vor fi păstrate într-o formă admisă în procedurile judiciare.

(Copyright foto: 123RF Stock Photo)