4.4 Η αντιστοίχιση της ταυτότητας του πελάτη ως μέρος της διαδικασίας επαλήθευσης

Οι λύσεις εξ αποστάσεως ταυτοποίησης των πελατών που εφαρμόζονται από τα πιστωτικά ιδρύματα και τους χρηματοπιστωτικούς οργανισμούς θα πρέπει, τουλάχιστον, να παρέχουν τις ακόλουθες δυνατότητες στο πλαίσιο της οικείας διαδικασίας επαλήθευσης:

• α) αντιστοίχιση μεταξύ των οπτικών στοιχείων του φυσικού προσώπου και των υποβληθέντων εγγράφων·
• β) εφόσον ο πελάτης είναι νομική οντότητα, να είναι καταχωρισμένη σε δημόσιο μητρώο, κατά περίπτωση·
• γ) εφόσον ο πελάτης είναι νομική οντότητα, το φυσικό πρόσωπο που τον εκπροσωπεί να έχει το δικαίωμα να ενεργεί εκ μέρους του.

Όταν η λύση εξ αποστάσεως ταυτοποίησης πελατών περιλαμβάνει τη χρήση βιομετρικών στοιχείων για την επαλήθευση της ταυτότητας του πελάτη, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να διασφαλίζουν ότι τα βιομετρικά στοιχεία είναι επαρκώς μοναδικά ώστε να συνδέονται ανεπιφύλακτα με ένα και μόνο φυσικό πρόσωπο. Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να χρησιμοποιούν ισχυρούς και αξιόπιστους αλγόριθμους για την επαλήθευση της αντιστοίχισης μεταξύ των παρεχόμενων με το υποβληθέν έγγραφο ταυτότητας βιομετρικών στοιχείων και του υπό ταυτοποίηση πελάτη. Σε περίπτωση που η λύση δεν παρέχει το απαιτούμενο επίπεδο βεβαιότητας, θα πρέπει να διενεργούνται πρόσθετοι έλεγχοι.

Όταν η ποιότητα των αποδεικτικών στοιχείων που υποβάλλονται κρίνεται ανεπαρκής με αποτέλεσμα να προκύπτει ασάφεια η αβεβαιότητα που επηρεάζει την εκτέλεση των εξ αποστάσεως ελέγχων, η διαδικασία εξ αποστάσεως ταυτοποίησης του συγκεκριμένου πελάτη θα πρέπει να διακόπτεται και να ξεκινά εκ νέου ή να ανακατευθύνεται προς τη διά ζώσης επαλήθευση.

Όταν τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί χρησιμοποιούν αυτόματες λύσεις εξ αποστάσεως ταυτοποίησης, στο πλαίσιο των οποίων ο πελάτης δεν αλληλεπιδρά με κάποιον υπάλληλο που διενεργεί τη διαδικασία επαλήθευσης, θα πρέπει:

• α) να διασφαλίζουν ότι η φωτογραφία/οι φωτογραφίες ή οι μαγνητοσκοπήσεις λαμβάνονται υπό συνθήκες επαρκούς φωτισμού και ότι τα απαιτούμενα χαρακτηριστικά αποτυπώνονται με την αναγκαία ευκρίνεια, η οποία θα επιτρέψει τη δέουσα επαλήθευση της ταυτότητας του πελάτη·
• β) να διασφαλίζουν ότι η φωτογραφία/οι φωτογραφίες ή οι μαγνητοσκοπήσεις λαμβάνονται κατά τη διάρκεια της διαδικασίας επαλήθευσης της ταυτότητας του πελάτη·
• γ) να επαληθεύουν την ενεργό συμμετοχή του πελάτη, ήτοι με την ενδεχόμενη εφαρμογή διαδικασιών στο πλαίσιο των οποίων ο πελάτης καλείται να προβεί σε συγκεκριμένες ενέργειες που θα επαληθεύουν την παρουσία του κατά τη διάρκεια της επικοινωνίας μαζί του ή διαδικασιών που μπορεί να βασίζονται στην ανάλυση των ληφθέντων στοιχείων και δεν απαιτούν κάποια συγκεκριμένη ενέργεια εκ μέρους του πελάτη·
• δ) να χρησιμοποιούν ισχυρούς και αξιόπιστους αλγόριθμους για να επαληθεύουν εάν η/οι φωτογραφία/ - ες ή τα βίντεο που ελήφθησαν αντιστοιχίζονται με την/τις εικόνα/ - ες που ανακτήθηκαν από επίσημο/ - α έγγραφο/ - α του πελάτη.

Όταν τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί χρησιμοποιούν λύσεις εξ αποστάσεως ταυτοποίησης πελατών, στο πλαίσιο των οποίων ο πελάτης αλληλεπιδρά με υπάλληλο που εφαρμόζει τη διαδικασία επαλήθευσης, θα πρέπει:

• α) να διασφαλίζουν ότι η ποιότητα της εικόνας και του βίντεο είναι επαρκής και επιτρέπει τη δέουσα επαλήθευση της ταυτότητας του πελάτη, καθώς και ότι χρησιμοποιούνται αξιόπιστα τεχνολογικά συστήματα για τον σκοπό αυτό·
• β) να προβλέπουν τη συμμετοχή ενός υπαλλήλου με επαρκή γνώση των διατάξεων ΚΞΧ/ΧΤ και των πτυχών ασφαλείας της εξ αποστάσεως επαλήθευσης και ο οποίος είναι επαρκώς εκπαιδευμένος για να προβλέπει και να προλαμβάνει την εσκεμμένη ή δόλια χρήση τεχνικών εξαπάτησης που σχετίζονται με την εξ αποστάσεως επαλήθευση, καθώς και για να εντοπίζει και να αντιμετωπίζει τα σχετικά συμβάντα·
• γ) να καταρτίζουν οδηγό συνεντεύξεων που θα καθορίζει τα επόμενα στάδια της διαδικασίας εξ αποστάσεως επαλήθευσης, καθώς και τις ενέργειες που απαιτούνται από τον υπάλληλο. Ο οδηγός συνέντευξης θα πρέπει να περιλαμβάνει καθοδήγηση σχετικά με την παρατήρηση και τον εντοπισμό ψυχολογικών παραγόντων ή άλλων χαρακτηριστικών τα οποία ενδέχεται να χαρακτηρίζουν κάποια ύποπτη συμπεριφορά κατά τη διάρκεια της εξ αποστάσεως επαλήθευσης.

Στο μέτρο του δυνατού, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να χρησιμοποιούν λύσεις εξ αποστάσεως ταυτοποίησης πελατών που περιλαμβάνουν τυχαία ακολουθία ενεργειών τις οποίες θα πρέπει να εκτελεί ο πελάτης για σκοπούς επαλήθευσης της ταυτότητάς του και προκειμένου τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί να προστατεύονται από τη χρήση συνθετικών ταυτοτήτων ή ενεργειών εξαναγκασμού. Στο μέτρο του δυνατού, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει επίσης να προβλέπουν την τυχαία ανάθεση πελατών στον υπάλληλο που είναι αρμόδιος για την εφαρμογή της διαδικασίας εξ αποστάσεως επαλήθευσης ώστε να αποτρέπεται το ενδεχόμενο αθέμιτης σύμπραξης μεταξύ πελάτη και αρμόδιου υπαλλήλου.

Επιπλέον των ανωτέρω, και αναλογικά με τον κίνδυνο ΞΧ/ΧΤ που σχετίζεται με την επιχειρηματική σχέση, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να εφαρμόζουν έναν ή περισσότερους από τους παρακάτω ελέγχους ή κάποιο παρόμοιο μέτρο με στόχο την ενίσχυση της αξιοπιστίας της διαδικασίας επαλήθευσης. Μεταξύ των εν λόγω ελέγχων ή μέτρων περιλαμβάνονται, ενδεικτικά, οι ακόλουθες ενέργειες:

• α) η αρχική πληρωμή γίνεται μέσω λογαριασμού, με μοναδικό δικαιούχο ή συνδικαιούχο τον πελάτη, ο οποίος τηρείται σε ρυθμιζόμενο πιστωτικό ίδρυμα ή ρυθμιζόμενο χρηματοπιστωτικό οργανισμό εντός του ΕΟΧ ή σε τρίτη χώρα που προβλέπει απαιτήσεις ΚΞΧ/ΧΤ οι οποίες δεν είναι λιγότερο αυστηρές από τις αντίστοιχες απαιτήσεις της οδηγίας (ΕΕ) 2015/849·
• β) Αποστολή τυχαία παραγόμενου κωδικού πρόσβασης στον πελάτη για να επιβεβαιώσει την παρουσία του κατά τη διάρκεια της διαδικασίας εξ αποστάσεως επαλήθευσης. Ο κωδικός πρόσβασης πρέπει να είναι μίας χρήσης και περιορισμένης χρονικής διάρκειας ισχύος·
• γ) συλλογή βιομετρικών στοιχείων προς σύγκριση με στοιχεία τα οποία συλλέγονται μέσω άλλων ανεξάρτητων και αξιόπιστων πηγών·
• δ) τηλεφωνική επικοινωνία με τον πελάτη·
• ε) άμεσο ταχυδρομείο (ηλεκτρονικό και μέσω ταχυδρομικής υπηρεσίας) με τον πελάτη.

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να θεωρούν ότι πληρούνται τα κριτήρια των παραγράφων 38 έως 43 όταν η λύση χρησιμοποιεί κάποιο από τα ακόλουθα μέσα:

• α) συστήματα ηλεκτρονικής ταυτοποίησης που κοινοποιούνται σύμφωνα με το άρθρο 9 του κανονισμού (ΕΕ) αριθ. 910/2014 και πληρούν τις απαιτήσεις επιπέδου διασφάλισης «βασικό» ή «υψηλό» σύμφωνα με το άρθρο 8 του κανονισμού αυτού·
• β) εγκεκριμένες υπηρεσίες εμπιστοσύνης που πληρούν τις απαιτήσεις του κανονισμού (ΕΕ) αριθ. 910/2014, ειδικότερα του κεφαλαίου ΙΙΙ, τμήμα 3 και του άρθρου 24 παράγραφος 1, εδάφιο 2, στοιχείο β) του εν λόγω κανονισμού.