4.5 Στήριξη σε τρίτα μέρη και εξωτερική ανάθεση

Επιπλέον των σημείων που αναφέρονται στην παράγραφο 9, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να περιλαμβάνουν στις πολιτικές και τις διαδικασίες τους τις προδιαγραφές βάσει των οποίων καθορίζονται οι λειτουργίες της εξ αποστάσεως ταυτοποίησης πελατών που εφαρμόζονται ή εκτελούνται από το πιστωτικό ίδρυμα και τον χρηματοπιστωτικό οργανισμό, από τρίτους ή από άλλον εξωτερικό πάροχο υπηρεσιών. 4.5.1 Στήριξη σε τρίτα μέρη σύμφωνα με το κεφάλαιο ΙΙ τμήμα 4 της οδηγίας (ΕΕ) 2015/849

Επιπλέον των κατευθυντηρίων γραμμών της ΕΑΤ σχετικά με τους παράγοντες κινδύνου⁸ , ειδικότερα των κατευθυντηρίων γραμμών 2.20 έως 2.21 , 4.32 έως 4.37 των εν λόγω κατευθυντηρίων γραμμών, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να εφαρμόζουν τα ακόλουθα κριτήρια:

• α) λαμβάνουν τα αναγκαία μέτρα για να βεβαιωθούν ότι οι διαδικασίες για την εξ αποστάσεως διενέργεια ΜΔΕ που εφαρμόζει το τρίτο μέρος, καθώς και οι πληροφορίες που το τρίτο μέρος συλλέγει στο πλαίσιο αυτό, είναι επαρκείς και συνεπείς με τις απαιτήσεις που θεσπίζονται στις παρούσες κατευθυντήριες γραμμές·
• β) διασφαλίζουν τη συνέχεια των επιχειρηματικών σχέσεων που δημιουργούνται μεταξύ του πελάτη και του πιστωτικού ιδρύματος ή του χρηματοπιστωτικού οργανισμού ώστε να προστατεύονται από συμβάντα τα οποία ενδέχεται να αποκαλύψουν ελλείψεις της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών που εφαρμόζει το τρίτο μέρος.

4.5.2 Εξωτερική ανάθεση της ΔΕΠ

⁸ EBA/GL/2016/02.

Όταν τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί αναθέτουν εν όλω ή εν μέρει τη διαδικασία εξ αποστάσεως ταυτοποίησης πελατών σε εξωτερικό πάροχο υπηρεσιών, όπως ορίζεται στο άρθρο 29 της οδηγίας (ΕΕ) 2015/849, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να εφαρμόζουν, επιπλέον των κατευθυντηρίων γραμμών 2.20 έως 2.21, 4.32 έως 4.37 των κατευθυντηρίων γραμμών της ΕΑΤ σχετικά με τους παράγοντες κινδύνου και των κατευθυντηρίων γραμμών της ΕΑΤ σχετικά με την εξωτερική ανάθεση⁹ κατά περίπτωση, πριν και κατά τη διάρκεια της επιχειρηματικής σχέσης με τον εξωτερικό πάροχο υπηρεσιών, τα ακόλουθα μέτρα, η έκταση των οποίων θα πρέπει να προσαρμόζεται ανάλογα με τον βαθμό του κινδύνου:

• α) να διασφαλίζουν ότι ο πάροχος υπηρεσιών στον οποίο έχει γίνει η εξωτερική ανάθεση εφαρμόζει αποτελεσματικά και συμμορφώνεται προς τις πολιτικές και τις διαδικασίες εξ αποστάσεως ταυτοποίησης πελατών του πιστωτικού ιδρύματος και του χρηματοπιστωτικού οργανισμού σύμφωνα με τη συμφωνία εξωτερικής ανάθεσης. Η συμμόρφωση αυτή θα πρέπει να επιτυγχάνεται μέσω τακτικής υποβολής εκθέσεων, συνεχιζόμενης παρακολούθησης, πραγματοποίησης επιτόπιων επισκέψεων ή διεξαγωγής δειγματοληπτικών δοκιμών·
• β) να διενεργούν αξιολογήσεις για να διασφαλίζουν ότι ο πάροχος υπηρεσιών στον οποίο έχει γίνει η εξωτερική ανάθεση διαθέτει επαρκή εξοπλισμό και είναι ικανός να εφαρμόζει τη διαδικασία εξ αποστάσεως ταυτοποίησης πελατών. Μεταξύ των αξιολογήσεων περιλαμβάνονται, ενδεικτικά, η αξιολόγηση της κατάρτισης του προσωπικού, της καταλληλότητας της τεχνολογίας και της διακυβέρνησης των δεδομένων του παρόχου υπηρεσιών στον οποίο έχει γίνει η εξωτερική ανάθεση·
• γ) να διασφαλίζουν ότι ο πάροχος υπηρεσιών στον οποίο έχει γίνει η εξωτερική ανάθεση ενημερώνει τα πιστωτικά ιδρύματα και τους χρηματοπιστωτικούς οργανισμούς για οποιεσδήποτε προτεινόμενες αλλαγές της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών ή οποιαδήποτε τροποποίηση της λύσης που παρέχεται από τον εξωτερικό πάροχο υπηρεσιών.

⁹ Κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την εξωτερική ανάθεση δραστηριοτήτων.docx (europa.eu)

Όταν ο εξωτερικός πάροχος υπηρεσιών αποθηκεύει δεδομένα πελατών, μεταξύ των οποίων, ενδεικτικά, φωτογραφίες, βίντεο και έγγραφα, κατά τη διάρκεια της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να διασφαλίζουν ότι:

• α) συλλέγονται και αποθηκεύονται μόνο τα αναγκαία δεδομένα του πελάτη για σαφώς καθορισμένη περίοδο διατήρησης·
• β) η πρόσβαση στα δεδομένα είναι αυστηρά περιορισμένη και καταγράφεται·
• γ) εφαρμόζονται μέτρα ασφαλείας για τη διασφάλιση της προστασίας των αποθηκευμένων δεδομένων.