Zdalna identyfikacja klientów zgodna z AML. Ważne stanowisko GIIF

Generalny Inspektor Informacji Finansowej (GIIF) zajął stanowisko w sprawie budzącej od dłuższego czasu wątpliwości praktyczne i prawne dotyczące zdalnej identyfikacji klientów. W odpowiedzi na wystąpienie Rzecznika Praw Obywatelskich GIIF potwierdził, że instytucje obowiązane mogą wykorzystywać elektronicznie przesyłane kopie dokumentów tożsamości w procesie stosowania środków bezpieczeństwa finansowego przewidzianych w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (AML).

Stanowisko ma istotne znaczenie dla banków, które coraz częściej wykorzystują rozwiązania umożliwiające zdalne nawiązywanie i obsługę relacji z klientami. Odpowiedź GIIF stanowi bowiem ważne potwierdzenie dotychczasowej praktyki rynkowej oraz ogranicza ryzyko interpretacyjne związane z legalnością pozyskiwania i przetwarzania kopii dokumentów tożsamości w procesach AML. 
 
Do Rzecznika Praw Obywatelskich (RPO) wpłynął sygnał kwestionujący praktykę polegającą na weryfikowaniu tożsamości klienta na podstawie elektronicznie przesłanej kopii dowodu osobistego. Autor wystąpienia wskazywał, że potwierdzenie tożsamości powinno następować wyłącznie poprzez bezpośrednie okazanie dokumentu lub przy wykorzystaniu środków identyfikacji elektronicznej oraz usług zaufania przewidzianych w przepisach unijnych. Zdaniem wnioskodawcy przesyłanie kopii dokumentów mogło prowadzić do przetwarzania nadmiernego zakresu danych osobowych i budzić wątpliwości w świetle zasady minimalizacji danych wynikającej z RODO. 

W związku z tym RPO zwrócił się do GIIF o ocenę zgodności takiej praktyki z przepisami AML oraz o zajęcie stanowiska co do dopuszczalności wykorzystywania elektronicznych kopii dowodów osobistych w procesie identyfikacji i weryfikacji klientów. 
 
Odpowiedź GIIF jest jednoznaczna. GIIF przypomniał, że ustawa AML nakłada na instytucje obowiązane obowiązek stosowania środków bezpieczeństwa finansowego, obejmujących m.in. identyfikację klienta oraz weryfikację jego tożsamości. W celu wykonania tych obowiązków instytucje obowiązane mogą przetwarzać informacje zawarte w dokumentach tożsamości oraz sporządzać ich kopie. 

Oznacza to, że już sama ustawa AML stanowi samodzielną podstawę prawną do pozyskiwania danych niezbędnych do identyfikacji i weryfikacji klienta. GIIF nie podzielił zatem poglądu, że wykorzystanie elektronicznie przesłanej kopii dokumentu tożsamości jest pozbawione podstawy prawnej. Wręcz przeciwnie wskazał, że przepisy AML umożliwiają takie działania w zakresie niezbędnym do realizacji ustawowych obowiązków instytucji obowiązanych. 

Jednocześnie GIIF przypomniał, że w przypadku identyfikacji klienta bez jego fizycznej obecności opublikowano wcześniej szczegółowe wytyczne dotyczące zdalnej identyfikacji klienta, dostępne w Biuletynie Informacji Publicznej Ministerstwa Finansów. Link do wytycznych https://www.gov.pl/web/finanse/-publikacje-i-wytyczne-giif-dla-instytucji-obowiazanych. Wytyczne te pozostają istotnym punktem odniesienia dla podmiotów stosujących procesy onboardingu na odległość. 

 
W ostatnich latach sektor finansowy intensywnie rozwija kanały cyfrowe, umożliwiające klientom otwieranie rachunków, zawieranie umów czy składanie wniosków kredytowych bez konieczności wizyty w placówce. Takie procesy wymagają jednak zapewnienia zgodności zarówno z przepisami AML, jak i regulacjami dotyczącymi ochrony danych osobowych. 

W praktyce część instytucji obawiała się, czy gromadzenie elektronicznej kopii dokumentu tożsamości nie zostanie zakwestionowane jako działanie nadmierne lub wykraczające poza ustawowe uprawnienia. Stanowisko GIIF potwierdza, że przepisy AML przewidują możliwość korzystania z takich dokumentów i sporządzania ich kopii, jeżeli jest to uzasadnione realizacją środków bezpieczeństwa finansowego. 

Dla banków oznacza to większą pewność prawną w zakresie funkcjonujących już procesów zdalnej identyfikacji klientów, choć oczywiście nie zwalnia ich z obowiązku odpowiedniego zabezpieczania danych oraz stosowania podejścia opartego na ocenie ryzyka. 
 
Ponadto w piśmie do GIIF, RPO zasugerował rozważenie zmian redakcyjnych w art. 37 ust. 1 ustawy AML, które umożliwiłyby wyraźniejsze rozróżnienie dwóch etapów procesu: 

• ustalenia danych identyfikacyjnych klienta, 
• potwierdzenia (weryfikacji) tych danych. 

Zdaniem RPO takie doprecyzowanie mogłoby zwiększyć przejrzystość przepisów i ułatwić prawidłowe zarządzanie retencją danych wykorzystywanych podczas identyfikacji klienta. 
 
GIIF poinformował, że postulat został przyjęty do wiadomości, a ewentualne zmiany mogą zostać rozważone przy najbliższych pracach legislacyjnych dotyczących ustawy AML. Nie oznacza to jednak obecnie zmiany obowiązującego stanu prawnego. W chwili obecnej GIIF uznaje, że istniejące przepisy zapewniają wystarczającą podstawę do wykorzystywania danych z dokumentów tożsamości i sporządzania ich kopii na potrzeby realizacji obowiązków AML. 
 
Całość materiału znajduje się w Biuletynie Informacji Publicznej RPO na stronie https://bip.brpo.gov.pl/pl/content/rpo-kopia-dowodu-droga-elektroniczna-potwierdzenie-tozsamosci-giif-odpowiedz