4.2 Informatievergaring

Kredietinstellingen en financiële instellingen dienen in hun gedragslijnen en procedures, naast de in punt 9 genoemde aspecten, ook de informatie op te nemen die nodig is om de cliënt te identificeren, evenals de soorten documenten, gegevens of informatie die de instelling zal gebruiken om de identiteit van de cliënt te verifiëren en de wijze waarop deze informatie zal worden geverifieerd.

Kredietinstellingen en financiële instellingen dienen ervoor te zorgen dat:

• a) de via de oplossing voor de acceptatie van cliënten op afstand verkregen informatie actueel en toereikend is om te voldoen aan de toepasselijke wet- en regelgevingsnormen voor het eerste cliëntenonderzoek;
• b) alle beelden, al het audio- en videomateriaal en alle gegevens worden vastgelegd in een leesbaar formaat en van voldoende kwaliteit zijn, zodat de cliënt eenduidig herkenbaar is;
• c) het identificatieproces niet wordt voortgezet als technische tekortkomingen of onverwachte onderbrekingen van de verbinding worden vastgesteld.

Kredietinstellingen of financiële instellingen kunnen ervan uitgaan dat aan de criteria van punt 24 is voldaan wanneer voor de oplossing wordt gebruikgemaakt van een van de volgende elementen:

• a) stelsels voor elektronische identificatie die overeenkomstig artikel 9 van Verordening (EU) nr. 910/2014 zijn aangemeld en voldoen aan de vereisten van de betrouwbaarheidsniveaus “substantieel” of “hoog” overeenkomstig artikel 8 van die verordening;
• b) relevante gekwalificeerde vertrouwensdiensten die voldoen aan de vereisten van Verordening (EU) nr. 910/2014, met name hoofdstuk III, afdeling 3, en artikel 24, lid 1, tweede alinea, punt b), van die verordening.

De documenten en informatie die tijdens het proces van identificatie op afstand worden verzameld en overeenkomstig artikel 40, lid 1, punt a), van Richtlijn (EU) 2015/849 moeten worden bewaard, dienen door de kredietinstelling of financiële instelling te worden voorzien van een tijdstempel en veilig te worden opgeslagen. De inhoud van opgeslagen gegevens, met inbegrip van beelden, video’s, geluid en gegevens, dienen in een leesbaar formaat beschikbaar te zijn en achteraf te kunnen worden geverifieerd.

4.2.2 Identificatie van natuurlijke personen

Kredietinstellingen en financiële instellingen dienen in hun gedragslijnen, zoals beschreven in punt 9 in afdeling 4.1.1, vast te leggen welke informatie zij nodig hebben om cliënten op afstand te identificeren overeenkomstig artikel 13, lid 1, punten a) en c), van Richtlijn (EU) 2015/849. Daarnaast dienen kredietinstellingen en financiële instellingen aan te geven welke informatie:

• a) door de cliënt handmatig wordt ingevoerd;
• b) automatisch wordt overgenomen uit de door de cliënt verstrekte documentatie;
• c) wordt verzameld met behulp van andere interne of externe bronnen.

Kredietinstellingen en financiële instellingen dienen passende mechanismen in te voeren en te onderhouden om ervoor te zorgen dat de informatie die zij overeenkomstig punt 27 automatisch overnemen, betrouwbaar is. Zij dienen controles toe te passen om de daaraan verbonden risico’s aan te pakken, met inbegrip van risico’s in verband met automatische gegevensvergaring, zoals verberging van de locatie van het apparaat van de cliënt, spoofing van IP-adressen of diensten als Virtual Private Networks (VPN’s).

4.2.3 Identificatie van rechtspersonen

Wanneer kredietinstellingen en financiële instellingen op afstand cliënten accepteren die rechtspersonen zijn, dienen zij in hun gedragslijnen en procedures, zoals uiteengezet in punt 9 in afdeling 4.1.1, te bepalen welke categorie rechtspersonen daarvoor in aanmerking komt, rekening houdend met het niveau van het ML/TF-risico dat aan elke categorie verbonden is, evenals de mate van menselijke tussenkomst die nodig is om de identificatie-informatie te valideren.

Kredietinstellingen en financiële instellingen dienen ervoor te zorgen dat de oplossing voor de acceptatie van cliënten op afstand over functies beschikt voor het verzamelen van:

• a) alle relevante gegevens en documentatie om de rechtspersoon te identificeren en te verifiëren;
• b) alle relevante gegevens en documentatie om te verifiëren dat de natuurlijke persoon die namens de rechtspersoon handelt, wettelijk bevoegd is om als zodanig op te treden;
• c) de informatie over de uiteindelijk begunstigden overeenkomstig bepaling 4.12 van de EBA-richtsnoeren inzake ML/TF-risicofactoren⁶ .

⁶ EBA/GL/2021/02.

Met betrekking tot een natuurlijke persoon die namens een rechtspersoon handelt, passen kredietinstellingen en financiële instellingen het in afdeling 4.2.2 beschreven identificatieproces toe.

4.2.4 Aard en doel van de zakelijke relatie

Wanneer kredietinstellingen en financiële instellingen overeenkomstig artikel 13, lid 1, punt c), van Richtlijn (EU) 2015/849, zoals nader gespecificeerd in deel 4.38 van de EBA-richtsnoeren inzake ML/TF-risicofactoren, informatie over het doel en de beoogde aard van de zakelijke relatie beoordelen en – in voorkomend geval – verkrijgen, dienen zij ervoor te zorgen dat zij met het oog op de toepassing van deze richtsnoeren de relevante maatregelen volledig hebben getroffen vóór het einde van het proces van acceptatie van cliënten op afstand.