Reminder: De-acum, identificarea persoanei la distanţă prin mijloace video este recunoscută doar dacă furnizorul acestor servicii are avizul ADR

La final de noiembrie 2021 a apărut în Monitorul Oficial Decizia ADR nr. 564/2021 pentru aprobarea Normelor privind reglementarea, recunoaşterea, aprobarea sau acceptarea procedurii de identificare a persoanei la distanţă utilizând mijloace video. Normele erau necesare pentru că nu exista la nivel național o reglementare la care cei ce folosesc aceste proceduri de identificare să se raporteze.

Același document a stabilit, pentru operatorii economici sau instituţiile care folosesc identificarea la distanţă prin mijloace video, o perioadă de grație opt luni pentru a se pune în acord cu normele. „Activitatea de identificare a persoanei la distanță prin mijloace video de către furnizori de servicii de identificare a persoanei la distanță prin mijloace video, înregistrați în România, se poate efectua numai după obținerea avizului emis de către Autoritatea pentru Digitalizarea României”, scrie, mai exact, în norme.

Perioada de tranziție s-a încheiat, iar asta înseamnă că de-acum identificarea persoanei la distanţă prin mijloace video este recunoscută doar dacă furnizorul de servicii de identificare a persoanei la distanță a obținut avizul de la ADR.

În spatele acestei proceduri de identificare video stă ideea de a scuti unele drumuri pe care le facem la ghișeele instituțiilor publice, dar și la cele ale băncilor, de exemplu, pentru a obține anumite servicii, pentru a ne deschide conturi ș.a.m.d.. „Totodată, procedura de identificare la distanță prin mijloace video va aduce un beneficiu persoanelor cu dizabilități motorii, întrucât nu mai este necesară deplasarea acestora”, mai scria în nota de fundamentare din spatele acestor norme.

Când tehnologia ne pune la dispoziție atâtea instrumente utile în cotidianul nostru, când putem să realizăm numeroase tranzacții și operațiuni la distanță, chiar transfrontalier, ne lovim adesea, în continuare, de necesitatea de a ne prezenta fizic la ghișeu pentru a obține un serviciu. De ce? Pentru că trebuie să demonstrăm că noi suntem cei care solicită și vor beneficia de acel serviciu. 

Ca în cazul identificării video pe care o face ANAF pentru deschiderea contului în SPV, decizia ADR vine cu un set de norme ce stabilesc rigorile acestor proceduri de identificare video la distanță pentru ca ele să poată echivala, practic, cu prezența fizică a persoanei. 

„Reglementarea privind identificarea video la distanță completează legislația națională cu privire la metodele de identificare recunoscute care oferă un nivel de asigurare echivalent din perspectiva fiabilității cu prezența fizica și aduce beneficii importante:

1. Pentru clienții prestatorilor de servicii de încredere: achiziția și obținerea 100% on-line a certificatelor calificate: identificare video, plată cu cardul și obținerea accesului imediat la soluții de semnătură electronică la distanță (în cloud).
2. Pentru clienții instituțiilor financiare: on-boarding exclusiv on-line, fără a fi necesară deplasarea la o sucursală a băncii pentru deschiderea de cont, și accesul la produse financiare
3. Pentru noi toți, în calitate de cetățeni, în relația cu organismele din sectorul public care oferă aceasta posibilitate, nu mai este necesară deplasarea la sediul acestora pentru a ne face cont la un serviciu on-line pus la dispoziție de respectivul organism”, a explicat pentru redacția noastră Veronica Mitroi, Director Business Unit Servicii de Încredere, certSIGN.

Cine e furnizorul de servicii de identificare video la distanță? Definiția din decizie ne arată că poate fi vorba de un privat sau de o entitate publică - prestatorii de servicii de încredere (cei din Regulamentul eIDAS), prestatorii de servicii de plată, instituțiile de credit, instituțiile financiare nebancare, organismele din sectorul public și terțul de verificare a identității. „Prestatorii de servicii de încredere, prestatorii de servicii de plată și organismele din sectorul public pot externaliza serviciile de identificare către un astfel de terț. De asemenea, un prestator de servicii de încredere care utilizează identificarea video conform normelor poate fi și terț de verificare a identității”, ne-a mai explicat reprezentantul certSIGN. Decizia ADR nu ne arată cum că lista aici ar fi deschisă, adică norma nu e formulată astfel încât să ne dea de înțeles că ar mai intra în noțiunea de furnizori de servicii și alte entități decât cele subliniate mai sus. „Chiar dacă nu se aplică altor tipuri de business, cred că își pot propune să se raporteze la cerințele tehnice din norme. Practic, sunt singurele din România care reglementează modul în care se face identificarea video”, a completat Veronica Mitroi.

„Pentru a utiliza identificarea la distanță, un furnizor de servicii de identificare a persoanei la distanță utilizând mijloace video trebuie să parcurgă un audit sau să utilizeze serviciile unui terț de verificare a identității, care este verificat și se află pe Lista terților de identificare”, completează Veronica Mitroi.

Cum se face verificarea identității

Conform normelor, pentru verificarea identității persoanei la distanță utilizând mijloace video se utilizează:

• atât documente de identitate, a căror imagine este capturată prin mijlocul video,
• cât și date sau informații obținute din surse credibile și independente, în măsura în care sunt disponibile, inclusiv pe bază de acorduri/parteneriate încheiate între instituții publice sau private și furnizorii de servicii de identificare, de exemplu:
  • baze de date ale organismelor din sectorul public;
  • baze de date private care conțin informații de la autorități publice;
  • rapoarte de audit, documente fiscale, extrase de cont etc..

Pentru cei care sunt preocupați de aspectele de protecția datelor personale, normele interzic furnizorilor de servicii de identificare video să utilizeze informațiile furnizate în procesul de identificare „în alte scopuri, fără informarea/acordul persoanei sau alte prevederi legale în acest sens”.

Mai departe, identificarea la distanță utilizând mijloace video poate fi realizată prin mijloace de verificare automatizate, fără operator uman, sau prin mijloace de verificare cu operator uman - desigur, asta înseamnă personal instruit regulat.

Ce trebuie să verifice cei care fac identificarea video:

• fotografia și elementele înscrise pe documentul de identitate corespund persoanei care parcurge procedura;
• informațiile conținute în documentul de identificare sunt corecte și valabile;
• informațiile furnizate de persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video sunt corecte;
• tipul și secvența de întrebări adresate în procesul de identificare nu pot fi identice în sesiunile de identificare consecutive;
• în cazul în care identificarea persoanei la distanță prin metode video se realizează în mod automatizat, solicitările sau secvențele video trebuie să conțină un element aleatoriu pentru a preveni riscul de preînregistrare a procesului de identificare la distanță prin metode video.

Clarificare privind verificarea semnăturilor electronice avansate

Prestatorul de servicii de încredere, entitatea care ne furnizează semnăturile electronice, poate realiza identificarea video la distanță pentru a elibera certificatele calificate pentru semnăturile electronice. Între toate cerințele înscrise în normele din recenta decizie ADR regăsim însă și un aspect interesant apropo de semnăturile avansate.

Chiar dacă adresează identificarea la distanță prin mijloace video, normele ADR aduc și o clarificare privind verificarea semnăturilor electronice avansate. După cum se cunoaște, spre deosebire de semnăturile calificate, ce pot fi validate folosind infrastructura europeană (listele de încredere) creată de Regulamentul eIDAS, semnăturile avansate nu se pot verifica automat și trebuie demonstrat că îndeplinesc cerințele art. 26 din Regulamentul eIDAS. Potrivit art. 6 (1) din norme, „pentru situațiile în care este necesară demonstrarea îndeplinirii cerințelor art. 26 din Regulamentul eIDAS cu privire la o semnătură electronică avansată creată pe baza unui certificat necalificat, emis în urma unui proces de identificare a persoanei la distanță utilizând mijloace video, este obligatoriu să fie demonstrată și îndeplinirea cerințelor de la cap. II din prezentele norme”. 

Astfel, sunt definite cerințe explicite pentru verificarea identității unei persoane căreia i se emite un certificat necalificat în scopul de a crea o semnătură avansată. Pentru aceasta trebuie îndeplinite aceleași cerințe procedurale, tehnice, de securitate și de personal ca și un prestator de servicii de încredere ce emite certificate calificate sau o instituție financiară sau organism din sectorul public. Această abordare este una fireasca, având în vedere condițiile foarte exigente precizate de Regulamentul eIDAS la articolul 26, care trebuie îndeplinite de orice semnatura avansată, indiferent dacă este calificată sau nu.