4.4 Dopasowywanie tożsamości klienta w ramach procesu weryfikacji

Rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami stosowane przez instytucje kredytowe i finansowe powinny umożliwiać w ramach procesu weryfikacji co najmniej:

• a) stwierdzenie zgodności widocznych informacji dotyczących osoby fizycznej z przedstawioną dokumentacją;
• b) w przypadku gdy klient jest osobą prawną, osobą fizyczną prowadzącą działalność gospodarczą lub jednostką organizacyjną nieposiadającą osobowości prawnej: stwierdzenie, że – w stosownych przypadkach – jest on ujęty w rejestrach publicznych;
• c) w przypadku gdy klient jest osobą prawną, osobą fizyczną prowadzącą działalność gospodarczą lub jednostką organizacyjną nieposiadającą osobowości prawnej: stwierdzenie, że osoba fizyczna, która go reprezentuje, jest uprawniona do działania w jego imieniu.

W przypadku gdy rozwiązanie w zakresie zdalnego nawiązywania relacji z klient ami wiąże się z wykorzystaniem danych biometrycznych do weryfikacji tożsamości klienta, instytucje kredytowe i finansowe powinny upewnić się, że dane biometryczne są wystarczająco unikalne, aby można je było jednoznacznie powiązać z jedną osobą fizyczną. Instytucje kredytowe i finansowe powinny stosować s ilne i wiarygodne algorytmy w celu weryfikacji zgodności danych biometrycznych podanych w przedstawionym dokumencie tożsamości z klientem, z którym nawiązywana jest relacja. W sytuacjach, w których rozwiązanie nie zapewnia wymaganego poziomu ufności, należy zastosować dodatkowe środki kontroli.

W sytuacjach, w których jakość przedstawionych dowodów jest niewystarczająca, co prowadzi do niejasności lub niepewności, wpływając na przeprowadzanie kontroli zdalnej, należy przerwać proces zdalnego nawiązywania relacji z klient em i rozpocząć go ponownie lub przekierować klienta do weryfikacji bezpośredniej.

W przypadku gdy instytucje kredytowe i finansowe stosują rozwiązania zdalnego nawiązywania relacji z klient ami bez nadzoru, tj. gdy przy stosowaniu takich rozwiązań klient w procesie weryfikacji nie wchodzi w interakcje z pracownikiem, instytucje te powinny:

• a) zapewnić, aby wszelkie fotografie lub nagrania wideo były wykonywane w odpowiednich warunkach oświetleniowych oraz aby wymagane cechy zostały uchwycone w sposób wystarczająco jasny, co ma umożliwić właściwą weryfikację tożsamości klienta;
• b) za pewnić, aby wszelkie fotografie lub nagrania wideo zostały wykonane w momencie, gdy klient przechodzi przez proces weryfikacji;
• c) przeprowadzać weryfikację wykrywania aktywności klienta, mogącą obejmować procedury, w przypadku których od klienta wymaga się podjęcia konkretnego działania, co służy sprawdzeniu, czy klient jest obecny na sesji komunikacyjnej, lub mogącą opierać się na analizie otrzymanych danych i niewymagającą konkretnego działania ze strony klienta;
• d) stosować silne i wiarygodne algorytmy w celu sprawdzenia, czy wykonane fotografie lub nagrania wideo są zgodne z obrazem( - ami) pobranym( - i) z oficjalnego( - ych) dokumentu( - ów) należącego( - ych) do klienta.

W przypadku gdy instytucje kredytowe i finansowe stosują rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami pod nadzorem, tj. gdy przy stosowaniu takich rozwiązań klient w procesie weryfikacji wchodzi w interakcje z pracownikiem, instytucje te powinny:

• a) zapewnić wystarczającą jakość obrazu i dźwięku, aby umożliwić właściwą weryfikację to żsamości klienta oraz stosowanie wiarygodnych systemów technicznych;
• b) przewidywać udział w procedurze pracownika, który posiada wystarczającą wiedzę na temat obowiązujących przepisów w obszarze przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz aspektów bezpieczeństwa zdalnej weryfikacji i który jest wystarczająco przeszkolony, aby przewidywać umyślne lub celowe stosowanie technik wprowadzania w błąd związanych ze zdalną weryfikacją oraz zapobiegać takiemu działaniu, wykrywać je i reagować w przypadku jego wystąpienia;
• c) opracować scenariusz rozmowy, w którym określone zostaną kolejne etapy procesu zdalnej weryfikacji, a także działania wymagane od pracownika. Scenariusz rozmowy powinien zawierać wytyczne dotyczące obserwacji i identyfikacji czynników psychologicznych lub innych cech, które mogą wskazywać na podejrzane zachowanie podczas zdalnej weryfikacji.

W miarę możliwości instytucje kredytowe i finansowe powinny korzystać z takich rozwiązań w zakresie zdalnego nawiązywania relacji z klient ami , które obejmują losową sekwencję czynności wykonywanych przez klienta na potrzeby weryfikacji, co ma stanowić ochronę przed takimi zagrożeniami jak stosowanie fałszywych tożsamości lub przymusu. W miarę możliwości instytucje kredytowe i finansowe powinny również w sposób losowy przydzielać pracownika odpowiedzialnego za proces zdalnej weryfikacji, aby uniknąć zmowy między klientem a pracownikiem odpowiedzialnym za weryfikację.

Ponadto, jeżeli jest to współmierne do ryzyka prania pieniędzy lub finansowania terroryzmu, które to ryzyko jest związane z danym stosunkiem gospodarczym, instytucje kredytowe i finansowe powinny stosować co najmniej jeden z następujących środków kontroli lub podobny środek w celu zwiększenia wiarygodności procesu weryfikacji. Takimi środkami kontroli lub innymi środkami mogą być między innymi:

• a) dokonanie pierwszej płatności na rachunek płatniczy, którego klient jest jedynym właścicielem lub współwłaścicielem, prowadzony w instytucji kredytowej lub finansowej regulowanej w EOG lub w państwie trzecim, których wymogi w zakresie przeciwdziałania praniu pieniędzy lub finansowaniu terroryzmu są nie mniej rzetelne niż wymogi określone w dyrektywie (UE) 2015/849;
• b) wysłanie klientowi wygenerowanego losowo hasła w celu potwierdzenia obecności podczas procesu zdalnej weryfikacji. Hasło powinno być kodem jednorazowego użytku, który należy zastosować w określonym czasie;
• c) pobranie danych biometrycznych i porównanie ich z danymi zgromadzonymi w innych niezależnych i wiarygodnych źródłach;
• d) kontakt telefoniczny z klientem;
• e) wysłanie korespondencji bezpośredniej (zarówno elektronicznej, jak i pocztowej ) do k lienta.

Instytucje kredytowe i finansowe powinny uznać kryteria określone w ust. 38 – 43 za spełnione, jeżeli w ramach danego rozwiązania stosuje się jedno z poniższych kryteriów:

• a) systemy identyfikacji elektronicznej notyfikowane zgodnie z art. 9 rozporządze nia (UE) nr 910/2014 i spełniające wymogi „średniego” lub „wysokiego” poziomu bezpieczeństwa zgodnie z art. 8 tego rozporządzenia;
• b) odpowiednie kwalifikowane usługi zaufania, które spełniają wymogi rozporządzenia (UE) nr 910/2014, w szczególności rozdziału III sekcja 3 i art. 24 ust. 1 akapit drugi lit. b) tego rozporządzenia.