4.4 Matchning af kundeidentitet som led i verifikationsprocessen

Fjernidentificeringsløsninger, der gennemføres af kredit- og finansieringsinstitutterne, bør som minimum indeholde verifikationsprocesser, der sikrer:

• a) at der er overensstemmelse mellem den fysiske persons synlige oplysninger og den fremlagte dokumentation
• b) at kunden, hvis det en juridisk enhed, er offentligt registreret, hvis det er relevant
• c) hvis kunden er en juridisk enhed, at den fysiske person, der repræsenterer kunden, har ret til at handle på dennes vegne.

Hvis fjernidentificeringsløsningen indebærer brug af biometriske data til at kontrollere kundens identitet, bør kredit- og finansieringsinstitutterne sikre, at de biometriske data er tilstrækkeligt entydige til at kunne forbindes med en eneste fysisk person. Kredit- og finansieringsinstitutterne bør anvende stærke og pålidelige algoritmer til at kontrollere, at de biometriske data, der er angivet i det indsendte identitetsdokument, tilhører den nye kunde. I situationer, hvor løsningen ikke giver den krævede grad af tillid, bør der foretages yderligere kontrol.

I situationer, hvor den fremlagte dokumentation er af utilstrækkelig kvalitet, som resulterer i tvetydighed eller usikkerhed, således at udførelsen af fjernkontrol påvirkes, bør processen for at fjernidentificere den nye kunde afbrydes og genoptages eller ændres til en personlig kontrol.

Hvis kredit- og finansieringsinstitutterne anvender uovervågede fjernidentificeringsløsninger, hvor kunden ikke interagerer med en medarbejder under verifikationsprocessen, bør de:

• a) sikre, at eventuelle fotografier eller videoer tages under passende belysningsforhold, og at de egenskaber, der skal kontrolleres, fremgår så tydeligt, at kundens identitet kan verificeres med sikkerhed
• b) sikre, at eventuelle fotografier og videoer tages på det tidspunkt, hvor kunden udfører verifikationsprocessen
• c) kontrollere, at den biometriske information kommer fra en levende person, hvilket kan omfatte procedurer, hvor der kræves en særlig handling fra kundens side for at kontrollere, at han/hun er til stede i kommunikationssessionen, eller som i stedet baserer sig på en analyse af de modtagne data og ikke kræver en specifik handling fra kundens side
• d) anvende stærke og pålidelige algoritmer til at kontrollere, at fotografiet eller videoerne stemmer overens med billedet/billederne fra det eller de officielle dokumenter, der tilhører kunden.

Hvis kredit- og finansieringsinstitutterne anvender overvågede fjernidentificeringsløsninger, hvor kunden interagerer med en medarbejder under verifikationsprocessen, bør de:

• a) sikre, at billed- og lydkvaliteten er tilstrækkelig til, at kundens identitet kan verificeres med sikkerhed, og at der anvendes pålidelige teknologiske systemer
• b) planlægge deltagelse af en medarbejder, der har tilstrækkelig viden om den gældende lovgivning om bekæmpelse af hvidvask af penge og finansiering af terrorisme og sikkerhedsaspekter af fjernverifikation, og som er tilstrækkeligt uddannet til at foregribe og forhindre forsætlig brug af bedrageriteknikker i forbindelse med fjernverifikation og til at opdage at sådanne anvendes og reagere herpå
• c) udarbejde en interviewvejledning, der definerer de efterfølgende trin i fjernverifikationsprocessen samt de handlinger, der kræves af medarbejderen. Interviewvejledningen bør omfatte vejledning om observation og identifikation af psykologiske faktorer eller andre elementer, der kan være tegn på mistænkelig adfærd under fjernverifikation.

Hvor det er muligt, bør kredit- og finansieringsinstitutterne anvende fjernidentificeringsløsninger, der omfatter at kunder skal vedtage verificeringstiltag i tilfældig rækkefølge for at beskytte mod risici såsom brug af syntetiske identiteter eller tvang. Hvor det er muligt, bør kredit- og finansieringsinstitutterne også give den medarbejder, der er ansvarlig for fjernverifikationsprocessen, tilfældige opgaver for at undgå hemmelig samordning mellem kunden og den ansvarlige medarbejder.

Ud over ovenstående, og hvis det står i et rimeligt forhold til den risiko for hvidvask af penge og finansiering af terrorisme, der er forbundet med forretningsforbindelsen, bør kredit- og finansieringsinstitutterne anvende en eller flere af følgende kontroller eller en tilsvarende foranstaltning for at gøre verifikationsprocessens mere pålidelig. Disse kontroller eller foranstaltninger kan omfatte, men er ikke begrænset til, følgende:

• a) Den første indbetaling trækkes fra en betalingskonto, som kunden er eneindehaver af eller en af indehaverne af hos et kredit- eller finansieringsinstitut, der er reguleret inden for EØS, eller et kredit- eller finansieringsinstitut i et tredjeland, der har krav til bekæmpelse af hvidvask af penge og finansiering af terrorisme, som ikke er mindre strenge end kravene der følger af direktiv (EU) 2015/849.
• b) Der sendes en tilfældigt genereret kode til kunden, så denne kan bekræfte sin tilstedeværelse under fjernverificeringsprocessen. Koden bør være en engangs- og tidsbegrænset kode.
• c) Der indsamles biometriske data for at sammenligne dem med data indsamlet gennem andre uafhængige og pålidelige kilder.
• d) Telefonisk kontakt med kunden.
• e) Direkte fremforsendelse af meddelelse (både elektronisk og pr. post) til kunden.

Kredit- og finansieringsinstitutterne bør anse kriterierne i stk. 38-43 for at være opfyldt, hvis løsningen indeholder:

• a) elektroniske identifikationsordninger, der er anmeldt i overensstemmelse med artikel 9 i forordning (EU) nr. 910/2014, og som opfylder kravene til sikringsniveauerne "betydelig" eller "høj" i overensstemmelse med artikel 8 i nævnte forordning
• b) relevante kvalificerede tillidstjenester, der opfylder kravene i forordning (EU) nr. 910/2014, navnlig kapitel III, afdeling 3, og artikel 24, stk. 1, afsnit 2, litra b), i nævnte forordning.