Zdalna weryfikacja tożsamości klienta - metody, prawo, praktyka

Fintech uruchamia nowy produkt i potrzebuje zweryfikować tożsamość klientów przy rejestracji. Firma ubezpieczeniowa chce umożliwić zdalne zawieranie polis. Kancelaria prawna otwiera się na obsługę klientów online. Każda z tych organizacji stoi przed tym samym pytaniem: jak potwierdzić, że osoba po drugiej stronie ekranu jest tą, za którą się podaje? Metod jest coraz więcej. Regulacje są coraz bardziej szczegółowe. A konsekwencje błędnego wyboru - coraz poważniejsze.

Przegląd metod weryfikacji

Zdalna weryfikacja tożsamości, czyli KYC - Know Your Customer - nie jest jedną technologią. To zbiór metod, z których każda oferuje inny poziom pewności, inne dane i inny koszt.

Wybór zależy od branży, wymogów regulacyjnych i specyfiki procesu biznesowego.

Wideoweryfikacja z dokumentem tożsamości

Klient pokazuje dokument - dowód osobisty, paszport lub prawo jazdy - przed kamerą. System automatycznie odczytuje dane z dokumentu metodą OCR: imię, nazwisko, datę urodzenia, datę wydania, miejsce urodzenia, PESEL, numer dokumentu, datę ważności oraz obywatelstwo.

Wariant podstawowy

W najprostszym wariancie klient pokazuje sam dokument przed kamerą. System odczytuje wszystkie dane dostępne w warstwie wizualnej dokumentu.

Wariant z selfie

W tym wariancie klient pokazuje dokument i wykonuje zdjęcie twarzy. System porównuje twarz użytkownika ze zdjęciem znajdującym się w dokumencie.

Wariant ze sprawdzeniem żywotności

Sprawdzenie żywotności, czyli liveness check, to dodatkowe badanie, które pozwala ocenić, czy przed kamerą znajduje się żywa osoba, a nie zdjęcie, nagranie lub deepfake.

To dziś standard w procesach wymagających wyższego poziomu pewności. Chroni przed coraz bardziej zaawansowanymi próbami oszustw z wykorzystaniem sztucznej inteligencji.

Weryfikacja e-dowodem

Dowód osobisty z warstwą elektroniczną, czyli e-dowód, pozwala na odczyt danych kryptograficznie zabezpieczonych.

To jedna z najpewniejszych metod zdalnej weryfikacji. Dane pochodzą bezpośrednio z dokumentu wydanego przez państwo, a ich autentyczność jest potwierdzana kryptograficznie.

W ramach tej metody można pozyskać m.in. imię, nazwisko, PESEL, datę urodzenia, miejsce urodzenia, numer dokumentu, datę ważności oraz obywatelstwo.

Ograniczeniem jest konieczność posiadania e-dowodu z aktywną warstwą elektroniczną oraz smartfona z NFC.

Weryfikacja przez bankowość online

Klient loguje się do swojego banku, a bank potwierdza jego tożsamość. W praktyce stosowane są dwa główne warianty.

Weryfikacja przelewem

Pozwala pozyskać imię, nazwisko oraz numer konta bankowego klienta.

Logowanie do bankowości

Pozwala potwierdzić dane klienta na podstawie informacji dostępnych w systemie bankowym.

Podpis Zaufany

Podpis Zaufany to polska metoda oparta na Profilu Zaufanym. Pozwala potwierdzić imię, nazwisko oraz PESEL.

Jej zaletą jest powszechna dostępność - miliony Polaków mają aktywny Profil Zaufany.

Autenti eID (wcześniej BROKER ID) umożliwia wykorzystanie różnych metod elektronicznej identyfikacji w jednym procesie. Dzięki temu firma nie musi ograniczać się do jednego dostawcy ani jednej ścieżki weryfikacji.

To szczególnie istotne wtedy, gdy organizacja obsługuje różne grupy klientów: polskich, zagranicznych, indywidualnych, biznesowych albo takich, którzy wymagają podwyższonego poziomu pewności identyfikacji.

Co mówi prawo

Zdalna weryfikacja tożsamości nie jest wyłącznie kwestią technologiczną. To również obszar regulowany przez prawo unijne, krajowe przepisy o ochronie danych oraz wytyczne nadzorcze.

Więcej informacji znajdziesz na: https://autenti.com/pl/

eIDAS

Rozporządzenie eIDAS - Electronic Identification, Authentication and Trust Services - ustanawia ramy prawne dla identyfikacji elektronicznej w Unii Europejskiej.

Definiuje poziomy pewności identyfikacji: niski, istotny i wysoki. Wymaga także wzajemnego uznawania środków identyfikacji elektronicznej między państwami członkowskimi.

Dla firm oznacza to jedno: metoda weryfikacji musi odpowiadać poziomowi ryzyka danego procesu.

Otwarcie konta bankowego wymaga wyższego poziomu pewności niż rejestracja w serwisie informacyjnym.

RODO

Weryfikacja tożsamości wiąże się z przetwarzaniem danych osobowych. W niektórych przypadkach może obejmować również dane szczególnie wrażliwe, takie jak wizerunek lub dane biometryczne wykorzystywane przy liveness check.

RODO wymaga podstawy prawnej, minimalizacji danych oraz odpowiednich zabezpieczeń technicznych.

W praktyce oznacza to, że firma powinna zbierać tylko te dane, które są niezbędne dla konkretnego procesu. Jeśli potrzebne jest wyłącznie potwierdzenie pełnoletności, nie ma potrzeby pozyskiwania numeru PESEL.