Norme din 11 noiembrie 2021

Capitolul IDispoziții generale

Articolul 1

Prezentele norme stabilesc cerințele minime tehnice și de securitate privind reglementarea, recunoașterea, aprobarea sau acceptarea procedurii de identificare a persoanei la distanță utilizând mijloace video de către furnizorii de servicii de identificare, ca formă a „identificării electronice“ definite în Regulamentul eIDAS.

Articolul 2

În înțelesul prezentelor norme, termenii, expresiile și abrevierile de mai jos au următoarele semnificații:

a)furnizor de servicii de identificare a persoanei la distanță utilizând mijloace video, denumit, pe scurt, în continuare, furnizor de servicii de identificare, înseamnă o entitate juridică de drept public sau privat care identifică persoana la distanță prin mijloace video în scopurile precizate în prezentele norme, respectiv prestatorii de servicii de încredere, prestatorii de servicii de plată, instituțiile de credit, instituțiile financiare nebancare, organismele din sectorul public, terțul de verificare a identității;

b)identificarea persoanei la distanță prin mijloace video - procesul de identificare și verificare a identității persoanei fizice, în baza documentelor prezentate, a imaginilor capturate și/sau a informațiilor comunicate de persoana fizică, utilizând mijloace video;

c)mijloace video - mijloace de identificare la distanță ce utilizează tehnologii care presupun fie transmiterea audiovideo de succesiuni de imagini în mișcare, în timp real, în cadrul unei videoconferințe cu prezența unui operator uman, fie transmiterea de succesiuni de imagini în mișcare reprezentând capturi video cu persoana fizică, fără prezența unui operator uman, cu verificarea ulterioară a acestora de către furnizorul de servicii de identificare (cu sau fără implicarea unui operator uman);

d)mijloace digitale - mijloace care utilizează tehnologii digitale inovatoare care folosesc, printre altele, inteligența artificială și/sau procese de învățare automată (machine learning), cum ar fi aplicațiile care realizează identificarea unei persoane și/sau verificări ale actelor de identitate (prin capturi de imagini digitale, măsurători ale semnalmentelor biometrice faciale, comparare de imagini), tehnologia NFC (comunicare în câmp apropiat) încorporată în documentele electronice de identitate;

e)sistem informatic pentru identificarea persoanei la distanță prin mijloace video reprezintă ansamblul de elemente implicate în procesul de identificare a persoanei la distanță prin mijloace video, prin care se transmit datele, imaginile capturate/încărcate și/sau informațiile comunicate de persoana fizică, denumit în continuare sistem;

f)Regulament eIDAS - Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului Uniunii Europene din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE;

g)prestator de servicii de încredere - o persoană fizică sau juridică care prestează unul sau mai multe servicii de încredere ca prestator de servicii de încredere calificat sau necalificat, conform art. 3 pct. 19 din Regulamentul eIDAS;

h)prestator de servicii de încredere calificat - un prestator de servicii de încredere care prestează unul sau mai multe servicii de încredere calificate și căruia i se acordă statutul de calificat de către organismul de supraveghere, conform art. 3 pct. 20 din Regulamentul eIDAS;

i)serviciu de încredere - un serviciu electronic prestat în mod obișnuit în schimbul unei remunerații, care constă în: (a) crearea, verificarea și validarea semnăturilor electronice, a sigiliilor electronice sau a mărcilor temporale electronice, a serviciilor de distribuție electronică înregistrată și a certificatelor aferente serviciilor respective; sau (b) crearea, verificarea și validarea certificatelor pentru autentificarea unui site internet; sau (c) păstrarea semnăturilor electronice, a sigiliilor sau a certificatelor aferente serviciilor respective, conform art. 3 pct. 16 din Regulamentul eIDAS;

j)serviciu de încredere calificat - un serviciu de încredere care îndeplinește cerințele aplicabile prevăzute de Regulamentul eIDAS, conform art. 3 pct. 17 din Regulamentul eIDAS;

k)organism de supraveghere - conform art. 17 din Regulament eIDAS;

l)prestatorii de servicii de plată - conform art. 2 pct. 61 din Regulamentul Băncii Naționale a României nr. 3/2018 privind monitorizarea infrastructurilor pieței financiare și a instrumentelor de plată, cu modificările și completările ulterioare;

m)ADR - Autoritatea pentru Digitalizarea României, denumită în continuare Autoritatea;

n)ETSI - Institutul European de Standardizare în Telecomunicații (European Telecommunications Standards Institute);

o)organism din sectorul public - o autoritate națională, regională sau locală, un organism de drept public sau o asociație formată din una sau mai multe astfel de autorități sau din unul sau mai multe astfel de organisme de drept public; sau o entitate privată mandatată de cel puțin una dintre aceste autorități, organisme sau asociații să presteze servicii publice atunci când acționează în temeiul unui astfel de mandat, conform art. 3 pct. 7 din Regulamentul eIDAS;

p)terțul de verificare a identității persoanei prin mijloace video reprezintă un emitent al mijloacelor de identificare electronică ce utilizează mijloace video sau o persoană juridică aflată într-o relație contractuală cu o entitate publică sau privată, în scopul furnizării serviciilor de identificare la distanță a persoanei utilizând mijloace video, înscris în lista specificată la art. 9 din prezentele norme, denumit în continuare terț;

q)emitent al mijloacelor de identificare electronică reprezintă o persoană juridică ce operează un sistem de identificare electronică, așa cum este acesta definit conform art. 3 pct. 4 din Regulamentul eIDAS, prin intermediul căruia furnizează servicii de identificare electronică către beneficiari, inclusiv către organismele din sectorul public.

Articolul 3

(1)În sensul prezentelor norme, activitatea de identificare a persoanei la distanță prin mijloace video de către furnizori de servicii de identificare a persoanei la distanță prin mijloace video, înregistrați în România, se poate efectua numai după obținerea avizului emis de către Autoritatea pentru Digitalizarea României.

(2)Autoritatea pentru Digitalizarea României va emite avizul conform modelului din anexa nr. 4 în termen de 30 de zile calendaristice de la depunerea documentației complete.

Articolul 4

(1)Persoana juridică stabilită și autorizată să presteze astfel de servicii în orice stat membru al Uniunii Europene (UE) care dorește să desfășoare activități de identificare a persoanei la distanță utilizând mijloace video, pentru cetățenii români sau pe teritoriul României, poate desfășura această activitate în condițiile prezentului articol.

(2)În cazul în care entitățile publice sau private utilizează un furnizor de servicii de identificare a persoanei la distanță prin mijloace video, stabilit într-un alt stat membru UE‚ eventualele prejudicii cauzate de o identificare incorectă a clientului întră în responsabilitatea entității care a contractat serviciile de identificare, denumită în continuare entitatea contractantă.

(3)Pentru acoperirea eventualelor prejudicii menționate la alin. (2), entitatea contractantă va încheia o poliță de asigurare de răspundere civilă față de terți, în valoare de 100.000 euro (polița de asigurare trebuie să fie valabilă/reînnoită pe toată perioada de valabilitate a contractului de prestări servicii de identificare a persoanei).

(4)Entitatea contractantă are obligația ca la încheierea contractului de prestări servicii de identificare să solicite furnizorului de servicii de identificare a persoanei prin mijloace video raportul de evaluare a conformității pentru soluția tehnică utilizată, întocmit de către un organism de evaluare a conformității în concordanță cu prevederile Regulamentului eIDAS.

(5)Documentele menționate la alin. (3) și (4), respectiv contractul de prestări servicii, polița de asigurare și raportul de evaluare a conformității, vor fi depuse la Autoritate.

Articolul 5

(1)Identificarea persoanei la distanță utilizând mijloace video se realizează cu ajutorul unui sistem.

(2)Pentru verificarea identității persoanei la distanță utilizând mijloace video se utilizează atât documentele de identitate, a căror imagine este capturată prin mijlocul video, cât și date sau informații obținute din surse credibile și independente, în măsura în care sunt disponibile, inclusiv pe bază de acorduri/parteneriate încheiate între instituții publice sau private și furnizorii de servicii de identificare, de exemplu: baze de date ale organismelor din sectorul public, baze de date private care conțin informații de la autorități publice, rapoarte de audit, documente fiscale, extrase de cont etc.

(3)Consultarea surselor de date este efectuată cu respectarea cerințelor aplicabile în materia protecției datelor cu caracter personal de informare a persoanei vizate, respectiv a persoanei supuse identificării la distanță prin mijloace video, în mod prealabil efectuării unei activități de prelucrare de date, respectiv consultarea surselor de date prevăzute la alin. (2).

(4)Se interzice utilizarea datelor/informațiilor obținute de către furnizorii de servicii de identificare în procesul de identificare a persoanei la distanță prin mijloace video din diverse surse în alte scopuri, fără informarea/acordul persoanei sau alte prevederi legale în acest sens.

Articolul 6

(1)Prestatorul de servicii de încredere poate realiza identificarea persoanei la distanță utilizând mijloace video fie în vederea eliberării de certificate calificate, în conformitate cu prevederile art. 24 alin. (1) lit. (d) din Regulamentul eIDAS, fie în calitate de terț de verificare a identității persoanei, în conformitate cu prevederile prezentelor norme. Pentru situațiile în care este necesară demonstrarea îndeplinirii cerințelor art. 26 din Regulamentul eIDAS cu privire la o semnătură electronică avansată creată pe baza unui certificat necalificat, emis în urma unui proces de identificare a persoanei la distanță utilizând mijloace video, este obligatoriu să fie demonstrată și îndeplinirea cerințelor de la cap. II din prezentele norme.

(2)Prestatorul de servicii de încredere poate realiza identificarea persoanei la distanță, în vederea eliberării de certificate calificate, în conformitate cu prevederile art. 24 alin. (1) lit. (d) din Regulamentul eIDAS, fie direct, fie prin intermediul unui terț de verificare a identității.

(3)Prestatorul de servicii de încredere care intenționează să realizeze identificarea persoanei la distanță utilizând mijloace video, în scopul emiterii certificatelor calificate conform Regulamentului eIDAS și/sau în calitate de terț de verificare a identității persoanei, are obligația de a notifica Autoritatea, în calitate de organism de supraveghere, cu 30 de zile înainte de utilizarea mijloacelor video pentru identificarea persoanei la distanță, conform modelului prezentat în anexa nr. 1.

(4)Notificarea prevăzută la alin. (3) va fi însoțită de următoarele documente:

a)descrierea soluției tehnice și a echipamentelor utilizate în procesul de identificare a persoanei la distanță utilizând mijloace video;

b)raportul de evaluare a conformității emis de un organism de evaluare a conformității, așa cum este definit în Regulamentul eIDAS și în procedura de acordare, suspendare și retragere a statutului de prestator de servicii de încredere calificat, care să ateste inclusiv îndeplinirea cerințelor prevăzute în prezentele norme;

c)declarația reprezentantului legal că prestatorul de servicii de încredere dispune de politici și proceduri de identificare și diminuare a riscului asociat metodei de identificare, inclusiv personal specializat în conformitate cu prevederile Regulamentului eIDAS și ale standardelor ETSI;

d)lista standardelor recomandate de către ETSI și Comisia Europeană, în cazul în care au fost definite la nivelul Uniunii Europene, în baza cărora se realizează identificarea video;

e)declarația pe propria răspundere a reprezentantului legal că prestatorul de servicii de încredere a adoptat și implementat proceduri privind protecția datelor cu caracter personal în procesul de identificare a persoanei la distanță utilizând mijloace video, în concordanță cu legislația în domeniu.

Articolul 7

(1)Prestatorii de servicii de plată, instituțiile de credit și instituțiile financiare nebancare care doresc să utilizeze mijloace video pentru identificarea clienților la distanță, cu respectarea cerințelor legale aplicabile în materia prevenirii și combaterii spălării banilor și finanțării terorismului, au obligația de a notifica Autoritatea cu 30 de zile înainte de utilizarea mijloacelor video pentru identificarea clienților la distanță, conform modelului prezentat în anexa nr. 1.

(2)Notificarea va fi însoțită de următoarele documente:

a)descrierea soluției tehnice și a echipamentelor utilizate în procesul de identificare a persoanei la distanță utilizând mijloace video (poate fi inclusă în documentația de avizare a instrumentului financiar de plată cu acces la distanță);

b)raport de audit în care să se specifice conformitatea cu cerințele prevăzute în prezentele norme, realizat de un auditor din lista auditorilor IT publicată pe site-ul Autorității (referințele la identificarea utilizând mijloace video pot fi incluse în raportul de audit întocmit pentru avizarea instrumentului financiar de plată cu acces la distanță);

c)o poliță de asigurare de răspundere civilă față de terți, în valoare de 100.000 euro, care să acopere prejudiciile cauzate de identificarea incorectă a clientului (polița de asigurare trebuie să fie valabilă/reînnoită pe toată perioada cât prestatorul de servicii de plată utilizează metoda de identificare a persoanei la distanță utilizând mijloace video);

d)declarația reprezentantului legal că prestatorul de servicii de plată dispune de politici și proceduri de identificare și diminuare a riscului asociat metodei de identificare, inclusiv personal specializat în conformitate cu prevederile Legii nr. 129/2019 pentru prevenirea și combaterea spălării banilor și finanțării terorismului, precum și pentru modificarea și completarea unor acte normative, cu modificările și completările ulterioare;

e)lista standardelor recomandate de către ETSI și Comisia Europeană, în cazul în care au fost definite la nivelul Uniunii Europene, în baza cărora se realizează identificarea video;

f)o declarație pe proprie răspundere a reprezentantului legal al prestatorului de servicii de plată din care să rezulte că prestatorul a adoptat și implementat proceduri privind protecția datelor cu caracter personal în procesul de identificare a persoanei la distanță utilizând mijloace video, în concordanță cu legislația în domeniu.

(3)În cazul în care prestatorul de servicii de plată, instituția de credit sau instituția financiară nebancară va utiliza, pentru identificarea persoanei la distanță utilizând mijloace video, servicii și/sau sisteme/procese furnizate de către un terț de verificare a identității sau de un prestator de servicii de încredere calificate, va depune în locul documentelor prevăzute la alin. (2) o copie a contractului încheiat cu terțul/prestatorul de servicii de încredere, precum și declarația reprezentantului legal că dispune de politici și proceduri interne privind utilizarea acestora.

(4)În cazul în care soluția tehnică utilizată de către prestatorul de servicii de plată, instituția de credit sau instituția financiară nebancară pentru identificarea persoanei la distanță utilizând mijloace video este utilizată de către un prestator de servicii de încredere în scopul furnizării de servicii de încredere calificate, este obligatoriu ca prestatorul de servicii de plată, instituția de credit sau instituția financiară nebancară să prezinte Autorității raportul de evaluare a conformității soluției, întocmit de către un organism de evaluare a conformității, în concordanță cu prevederile Regulamentului eIDAS.

Articolul 8

(1)Organismul din sectorul public care va pune la dispoziție servicii publice online va efectua o analiză a informațiilor utilizate/stocate pe platformă, pe baza căreia va stabili nivelul de asigurare pentru mijloacele de identificare electronică pe care le va utiliza sau accepta pentru autentificare în sistem, în conformitate cu prevederile Regulamentului de punere în aplicare (UE) 2015/1.502 al Comisiei din 8 septembrie 2015 de stabilire a unor specificații și proceduri tehnice minime pentru nivelurile de asigurare a încrederii ale mijloacelor de identificare electronică în temeiul art. 8 alin. (3) din Regulamentul eIDAS.

(2)Organismul din sectorul public care utilizează identificarea persoanei la distanță utilizând mijloace video, în vederea emiterii mijloacelor de identificare electronice folosite, va efectua auditarea sistemului de identificare electronică în raport cu nivelul de asigurare stabilit pentru platforma de servicii publice și prevederile cadrului național de interoperabilitate.

(3)În procesul de auditare, auditorul va avea în vedere cerințele din prezentele norme și va menționa în clar opinia sa cu privire la respectarea acestora, în cadrul raportului de audit.

(4)Totodată, în procesul de auditare, auditorul va avea în vedere și analiza informațiilor întocmită de către organismul din sectorul public, precum și concordanța acesteia cu procedurile și procesele desfășurate pentru identificarea persoanei la distanță utilizând mijloace video.

(5)Organismul din sectorul public va informa Autoritatea cu 30 de zile înainte de utilizarea mijloacelor video pentru identificarea persoanei la distanță, conform modelului prezentat în anexa nr. 1, și va depune raportul de audit întocmit în acest sens.

(6)Reauditarea platformei de identificare se va realiza la fiecare 24 de luni, dacă pe această perioadă nu s-au făcut modificări.

(7)Odată cu raportul de audit va fi depus și actul administrativ al organismului din sectorul public prin care s-a stabilit nivelul de asigurare al platformei prin care sunt puse la dispoziție serviciile publice online.

(8)Organismele din sectorul public au obligația de a realiza proceduri interne cu privire la identificarea persoanei la distanță utilizând mijloace video pentru punerea la dispoziție a serviciilor publice online.

(9)În cazul în care organismul din sectorul public va utiliza, pentru identificarea persoanei la distanță prin mijloace video, serviciile furnizate de către un terț, acesta va depune la Autoritate o copie a contractului încheiat în acest sens, înlocuind astfel raportul de audit.

(10)În cazul în care organismul din sectorul public permite autentificarea la serviciile publice online exclusiv prin utilizarea unor mijloace de identificare electronică puse la dispoziție de către un emitent terț, acesta va depune la Autoritate o copie a contractului încheiat în acest sens, înlocuind astfel raportul de audit.

(11)În cazul în care în urma analizei informațiilor utilizate/stocate pe platformă rezultă necesitatea unui nivel de asigurare ridicat, raportul de audit pentru sistemul de identificare a persoanei utilizând mijloace video trebuie să fie întocmit de către un organism de evaluare a conformității, astfel cum este definit în Regulamentul eIDAS.

Articolul 9

(1)În procesul de verificare a identității persoanei la distanță utilizând mijloace video se pot utiliza serviciile furnizate de către terți în baza unui contract.

(2)Terțul care efectuează identificarea persoanei la distanță utilizând mijloace video în numele unei alte entități este obligat să respecte prevederile prezentelor norme.

(3)Lista terților care pot efectua identificarea persoanei la distanță utilizând mijloace video va fi gestionată de către Autoritate și publicată pe pagina de internet a acesteia.

(4)Contractul pentru furnizarea serviciilor de identificare a persoanei la distanță utilizând mijloace video, încheiat de terț cu entități publice sau private, va conține clauze referitoare la modalitățile de despăgubire a persoanelor prejudiciate, în cazul producerii unui eventual prejudiciu.

(5)Procedura privind înscrierea/radierea terților în/din lista terților de verificare, precum și cerințele de înscriere se regăsesc în anexa nr. 3.

(6)Prin excepție de la alin. (5) și de la anexa nr. 3, dosarul de notificare a Autorității va conține doar contractul încheiat între părți în cazul în care un prestator de servicii de încredere înregistrat în România acționează ca terț de identificare, utilizând aceleași procese și sisteme pentru emiterea certificatelor calificate pentru care a îndeplinit cerințele prezentelor norme și pentru care deține aviz eliberat de Autoritate.

Articolul 10

(1)Identificarea la distanță utilizând mijloace video poate fi realizată prin mijloace de verificare automatizate, fără operator uman, sau prin mijloace de verificare cu operator uman.

(2)Identificarea la distanță utilizând mijloace video realizată cu operator uman poate fi efectuată doar de personal instruit.

(3)Persoanele care au atribuții și responsabilități în procesul de identificare a persoanei la distanță utilizând mijloace video vor beneficia sau vor fi obligate să urmeze cursuri de pregătire profesională sau programe de instruire anuale, organizate extern sau intern.

(4)Instruirea personalului desemnat pentru realizarea identificării persoanei la distanță utilizând mijloace video intră în responsabilitatea reprezentantului legal al furnizorului de servicii de identificare sau a unei persoane desemnate de reprezentantul legal în acest sens.

(5)Atribuțiile și responsabilitățile personalului care realizează identificarea persoanei la distanță utilizând mijloace video vor fi stabilite prin act administrativ al persoanei care are competența de numire în funcție și vor fi prevăzute în fișa postului.

(6)Identificarea la distanță utilizând mijloace video realizată prin mijloace de verificare automatizate, fără operator uman, va utiliza mijloace digitale în conformitate cu standardele în vigoare, dispozițiile din prezentele norme referitoare la personalul instruit sau operatorul uman neaplicându-se în acest caz.

Articolul 11

(1)În procesul de identificare a persoanei la distanță utilizând mijloace video sunt permise numai documentele de identitate, identificabile în mod clar și aflate în termenul de valabilitate, emise de o autoritate publică competentă.

(2)Documentele de identitate acceptate în procesul de identificare a persoanei la distanță utilizând mijloace video sunt specificate în anexa nr. 2.

Articolul 12

Furnizorii de servicii de identificare sunt obligați să respecte toate dispozițiile legale cu privire la protecția datelor cu caracter personal prevăzute în Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE și în Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cu modificările ulterioare.

Capitolul IICerințe în vederea realizării procedurii de identificare a persoanei la distanță utilizând mijloace video

Articolul 13

(1)Înainte de elaborarea unei proceduri de identificare a persoanei la distanță utilizând mijloace video, furnizorul de servicii de identificare va realiza o analiză de risc.

(2)Analiza de risc trebuie să acopere în special riscurile legate de prezentarea documentelor de identitate falsificate, a canalelor de comunicare, precum și riscurile privind conservarea incorectă a probelor.

(3)Furnizorul de servicii de identificare a persoanei la distanță utilizând mijloace video trebuie să implementeze cerințele tehnice și de securitate care permit verificarea autenticității, validității și integrității documentelor de identitate utilizate în procesul de identificare video, în concordanță cu standardele în domeniu.

Articolul 14

(1)Personalul implicat în procesul de identificare a persoanei la distanță utilizând mijloace video trebuie să îndeplinească cerințele prevăzute la art. 10.

(2)Atribuțiile și responsabilitățile personalului care realizează identificarea persoanei la distanță utilizând mijloace video trebuie să fie în concordanță cu procedurile interne de identificare video și specificate în fișa postului.

Articolul 15

(1)Procesul de identificare a persoanei la distanță utilizând mijloace video trebuie efectuat într-o locație care să asigure securitatea și integritatea informațiilor colectate.

(2)Securitatea fizică presupune luarea următoarelor măsuri:

a)accesul controlat la echipamentele utilizate în procesul de identificare video, cu precizarea mai multor niveluri de drepturi de acces ale personalului care operează sistemele;

b)utilizarea echipamentelor speciale de evitare și detecție a intruziunilor fizice.

Articolul 16

(1)Anterior demarării sau la inițierea procedurii de identificare a persoanei la distanță utilizând mijloace video, persoana care este supusă identificării trebuie să își dea acordul în mod expres în vederea parcurgerii procesului de identificare și asupra scopului identificării, precum și acordul cu privire la realizarea de fotografii și/sau capturi de imagini ale sale și ale documentului de identitate.

(2)Exprimarea consimțământului va fi păstrată împreună cu procesul de identificare.

(3)Furnizorul de servicii de identificare este responsabil pentru luarea tuturor măsurilor care să asigure confidențialitatea datelor de identificare ale persoanei, securitatea transmisiei, autenticitatea, integritatea și conservarea înregistrării.

Articolul 17

La verificarea documentelor de identitate vor fi avute în vedere următoarele aspecte, dar fără a se limita la acestea:

a)starea documentului de identitate, asigurându-se că acesta nu este deteriorat sau nu are elemente detectabile de falsificare;

b)existența elementelor de securitate optică/vizuală, după caz;

c)să ceară persoanei care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video să încline documentul pe orizontală și/sau verticală în fața dispozitivului video de identificare;

d)verificarea a cel puțin trei elemente de securitate din categorii diferite;

e)verificarea altor elemente, dacă este cazul, cum ar fi: formatul documentului, dimensiunea și distanțarea caracterelor și fontul tipografic, în funcție de tipul de document analizat;

f)verificarea conținutului caracteristicilor individuale găsite în document, și anume, compararea fotografiilor primare și secundare - fotografia realizată cu imprimare laser cu cea fantomă (monocromă).

Articolul 18

La verificarea identității persoanei se au în vedere următoarele aspecte, dar fără a se limita la acestea:

a)să se asigure că fotografia și elementele înscrise pe documentul de identitate corespund persoanei care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video;

b)să se asigure că informațiile conținute în documentul de identificare sunt corecte și valabile, în raport cu persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video;

c)să se asigure că informațiile furnizate de persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video sunt corecte;

d)tipul și secvența de întrebări adresate în procesul de identificare nu pot fi identice în sesiunile de identificare consecutive, dacă este cazul, în lipsa informațiilor menționate la lit. a), b), c) sau f);

e)în cazul în care identificarea persoanei la distanță prin metode video se realizează în mod automatizat, solicitările sau secvențele video trebuie să conțină un element aleatoriu pentru a preveni riscul de preînregistrare a procesului de identificare la distanță prin metode video;

f)să se efectueze verificarea încrucișată a informațiilor furnizate de persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video și a informațiilor rezultate din calculul automat al citirii caracterelor MRZ, atunci când este posibil;

g)să se solicite, dacă este cazul, alte documente și/sau informații prin care să se verifice identitatea.

Articolul 19

Cerințele tehnice și organizatorice în procesul de identificare a persoanei la distanță utilizând mijloace video sunt următoarele:

a)identificarea persoanei la distanță prin mijloace video trebuie efectuată în timp real, într-o sesiune unică și fără întreruperi/pauze, în cazul unei videoconferințe care necesită operator uman, sau prin mijloace video ce vor fi verificate ulterior, în termen de maximum 24 de ore de la momentul înregistrării video, atât timp cât se respectă toate celelalte prevederi din prezentele norme;

b)integritatea și confidențialitatea comunicării trebuie asigurată în mod corespunzător prin utilizarea unui canal criptat;

c)înregistrarea trebuie să prevadă în mod clar data și ora, fie în cuprinsul acesteia, fie în metadate;

d)calitatea comunicării trebuie să fie adecvată pentru a permite identificarea clară a caracteristicilor și elementelor de securitate ale documentului de identitate;

e)sistemul trebuie să recunoască și să verifice cel puțin două elemente de securitate din categorii diferite ale documentului de identitate, specificate în Registrul public online al documentelor autentice de identitate și de călătorie - PRADO;

f)furnizorul de servicii de identificare trebuie să implementeze procedurile care stau la baza proceselor de identificare a persoanei la distanță utilizând mijloace video;

g)furnizorul de servicii de identificare trebuie să pună la dispoziția publicului lista completă a documentelor de identificare acceptate în scopurile prevăzute de prezentele norme.

Articolul 20

(1)Dacă nu sunt îndeplinite condițiile tehnice necesare desfășurării corespunzătoare a procesului de verificare a identității, de exemplu: în cazuri de calitate slabă a imaginii, condiții slabe de lumină sau sunet ori întreruperi în transmisia video, procesul de identificare a persoanei la distanță utilizând mijloace video trebuie întrerupt, urmând a se relua.

(2)Ori de câte ori documentul de identitate prezentat în timpul procesului de identificare a persoanei la distanță utilizând mijloace video oferă îndoieli cu privire la conținutul său în ceea ce privește autenticitatea, actualitatea și exactitatea informațiilor oferite, procesul de identificare a persoanei la distanță prin mijloace video se va întrerupe, caz în care furnizorul de servicii de identificare va documenta motivele întreruperii pentru evidențe interne și pentru controale/audituri externe viitoare.

(3)Ori de câte ori, în timpul identificării utilizând mijloace video, există suspiciuni cu privire la veridicitatea elementelor de identificare, procesul de identificare nu produce efectele dovedirii elementelor de identificare pentru care este destinat, acesta va fi întrerupt, caz în care furnizorul de servicii de identificare va documenta motivele întreruperii pentru evidențe interne și pentru controale/audituri externe viitoare.

Articolul 21

(1)Pe parcursul procesului de identificare a persoanei la distanță utilizând mijloace video este obligatoriu să se utilizeze un factor de autentificare suplimentar, prin transmiterea către persoana care parcurge procedura de identificare a persoanei la distanță utilizând mijloace video a unui cod de unică folosință (One Time Password - OTP) sau prin transmiterea unui link cu o durată limitată, special creat în acest scop, generat în mod individual (prin e-mail sau SMS).

(2)Procedura de identificare a persoanei la distanță utilizând mijloace video poate fi încheiată numai dacă a fost finalizată transmiterea și validarea OTP sau numai dacă au fost finalizate transmiterea și accesarea linkului.

Articolul 22

(1)Întregul proces de identificare a persoanei la distanță utilizând mijloace video, în toate etapele sale, trebuie să fie înregistrat și păstrat.

(2)Toate înregistrările audiovideo, datele și informațiile aferente procesului de identificare a persoanei la distanță utilizând mijloace video vor fi păstrate într-o formă admisă în procedurile judiciare.

(3)Punerea la dispoziția autorităților competente a informațiilor obținute prin procesul de identificare a persoanei la distanță utilizând mijloace video se face cu respectarea prevederilor Legii nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date.

Capitolul IIIControl, supraveghere

Articolul 23

(1)Autoritatea exercită controlul și supravegherea respectării prevederilor prezentelor norme.

(2)În vederea efectuării controlului prevăzut la alin. (1), președintele Autorității, prin decizie, desemnează și stabilește atribuțiile personalului de specialitate împuternicit să efectueze controlul în conformitate cu procedura aprobată de președinte, precum și natura, conținutul și modalitatea de solicitare a informațiilor cuprinse în documentele necesare efectuării controlului.

(3)În urma sesizărilor primite sau în urma sesizării din oficiu, personalul cu atribuții de control efectuează acțiuni de control, cu tematică sau inopinat, în cadrul cărora poate solicita, menționând temeiul legal și scopul solicitării, documentele necesare pentru efectuarea controlului.

(4)În cadrul acțiunilor de control, personalul de control poate să solicite și să primească, la fața locului sau într-un termen stabilit, informații cu privire la conformitatea cu cerințele privind identificarea persoanei la distanță utilizând mijloace video, necesare efectuării controlului.

(5)Nerespectarea prezentelor norme se constată de către personalul de control din cadrul Autorității, care va întocmi un raport de constatare, semnat de către responsabilul echipei de control și de către reprezentantul furnizorului de servicii de identificare prezent la momentul încheierii raportului, căruia i se va înmâna o copie a raportului.

(6)Autoritatea va transmite entității în cauză o notificare prin care îi va aduce la cunoștință neregulile constatate și măsurile cu caracter obligatoriu ce trebuie luate pentru remedierea acestora, stabilind totodată și termenul de conformare, care nu poate depăși 45 de zile calendaristice de la data primirii acesteia.

(7)În cazul în care, după expirarea termenului de conformare prevăzut la alin. (6), entitatea în cauză nu face dovada remedierii neregulilor constatate, Autoritatea îi va retrage avizul.

Articolul 24

Următoarele fapte conduc la retragerea avizului tehnic:

a)utilizarea serviciilor de identificare a persoanei la distanță prin mijloace video în vederea furnizării de servicii de încredere în conformitate cu Regulamentul (UE) 910/2014 fără respectarea prevederilor art. 6 din prezentele norme;

b)utilizarea serviciilor de identificare a persoanei la distanță utilizând mijloace video de către prestatorii de servicii de plată fără respectarea prevederilor art. 7 din prezentele norme sau în lipsa unui contract valabil de furnizare de servicii de identificare a persoanei la distanță utilizând mijloace video cu un terț de verificare;

c)utilizarea serviciilor de identificare a persoanei la distanță, de către un organism din sectorul public, pentru punerea la dispoziție a serviciilor online fără respectarea prevederilor art. 8 din prezentele norme sau în lipsa unui contract valabil de furnizare de servicii de identificare a persoanei la distanță utilizând mijloace video cu un terț de verificare;

d)neîndeplinirea oricărei cerințe prevăzute în cap. II din prezentele norme;

e)furnizarea serviciilor de identificare la distanță a persoanei utilizând mijloace video de către un terț de verificare fără un raport de audit valabil.

Capitolul IVMăsuri tranzitorii

Articolul 25

(1)Furnizorii de servicii de identificare la distanță prin mijloace video au obligația de a se conforma obligațiilor ce le revin în temeiul prezentelor norme în termen de 240 de zile de la data publicării acestora în Monitorul Oficial al României, Partea I.

(2)Procedurile de identificare a persoanei la distanță prin mijloace video incluse în documentațiile tehnice de avizare a instrumentelor financiare de plată și acordare statut calificat pentru prestatorii de servicii de încredere depuse în termenul stabilit la alin. (1) trebuie să respecte cerințele prezentelor norme.

Capitolul VDispoziții finale

Articolul 26

(1)Măsurile tehnice și organizatorice întreprinse de furnizorii de servicii de identificare pentru îndeplinirea cerințelor enumerate în prezentele norme vor fi în concordanță cu tehnologia utilizată și cu riscurile potențiale.

(2)Furnizorii de servicii de identificare a persoanei la distanță utilizând mijloace video au obligația de a implementa măsuri de securitate informatică, de a monitoriza continuu și de a evalua anual riscurile operaționale generate de utilizarea sistemelor informatice prin intermediul cărora se realizează identificarea persoanei la distanță, cu respectarea legislației naționale și a reglementărilor comunitare.

Articolul 27

(1)Monitorizarea și controlul aplicării dispozițiilor prezentelor norme revin Autorității pentru Digitalizarea României.

(2)Documentele care vor fi transmise Autorității, în vederea îndeplinirii atribuțiilor prevăzute la alin. (1), vor fi redactate în limba română, vor fi semnate de către reprezentantul legal al furnizorului de servicii de identificare sau de către o persoană împuternicită expres în acest sens de către acesta, iar copiile depuse vor fi certificate pentru conformitate cu originalul. Documentația va fi numerotată și opisată.

(3)Documentele sus-menționate pot fi transmise și în format electronic, semnate cu semnătură electronică calificată.

Articolul 28

Anexele nr. 1-4 fac parte integrantă din prezentele norme.

Anexa nr. 1

la norme

NOTIFICARE

privind utilizarea mijloacelor video în procesul de identificare a persoanei la distanță (model)

Stimată/Stimate doamnă/domnule președinte,

având în vedere prevederile art. 6, 7 și 8 (după caz) din Normele privind reglementarea, recunoașterea, aprobarea sau acceptarea procedurii de identificare a persoanei la distanță utilizând mijloace video, aprobate prin Decizia președintelui Autorității pentru Digitalizarea României nr. 564/2021,

.........(denumirea prestatorului de servicii de încredere/prestatorului de servicii de plată/instituției de credit/instituției financiare nebancare/organismului din sectorul public) ...., cu domiciliul/sediul în ..................(adresa completă, inclusiv telefon și fax)..................., înregistrat(ă) la Oficiul Registrului Comerțului de pe lângă Tribunalul ..........................., cod unic de înregistrare/cod de identificare fiscală ......................, reprezentat(ă) legal prin .........(numele și prenumele) ......., domiciliat(ă) în .......(adresa completă, inclusiv telefon)........, identificat(ă) prin actul de identitate ......(serie, număr, cod numeric personal).........,

vă informăm că începând cu data de .............................. vom utiliza mijloace video pentru identificarea persoanei la distanță în scopul .............(o descriere a scopului pentru care este necesară identificarea persoanei la distanță)................... .

Anexăm la prezenta notificare următoarele documente: ...........................

a)cartea de identitate;

b)cartea de identitate provizorie - doar pentru organismele din sectorul public;

c)pașaportul.

Anexa nr. 3

la norme

PROCEDURĂ

privind înscrierea/radierea terților de verificare a identității persoanei la distanță utilizând mijloace video în/din Lista terților de verificare

Articolul 1

(1)Terțului de verificare a identității, denumit în continuare terț, care intenționează să presteze servicii de identificare a persoanei la distanță utilizând mijloace video îi sunt incidente prevederile prezentelor norme și are obligația înscrierii în Lista terților de verificare a identității, în continuare denumită Lista.

(2)Terțul înscris în Listă poate presta servicii de identificare pentru diverse entități în baza unui contract.

Articolul 2

Terțul poate fi persoană juridică de drept public sau privat.

Articolul 3

În vederea înscrierii în Listă, terțul depune la Autoritatea pentru Digitalizarea României (ADR) o cerere de înscriere conform modelului prevăzut în anexa care face parte integrantă din prezenta procedură, însoțită de documentația care trebuie să cuprindă următoarele, după caz:

1.datele de identificare ale terțului:

a)denumirea și adresa/sediul social;

b)adresa unde funcționează sistemul informatic utilizat pentru identificarea persoanei la distanță prin mijloace video;

c)telefon/fax, e-mail, adresa paginii de internet;

d)certificatul de înregistrare a terțului, în copie;

e)certificat constatator emis de Oficiul Național al Registrului Comerțului, cu starea la zi a persoanei juridice, în original, nu mai vechi de 30 de zile;

f)certificatul de cazier fiscal al persoanei juridice, în original, aflat în termenul de valabilitate;

g)cazier judiciar al reprezentantului legal, aflat în termenul de valabilitate;

h)actul de identitate al reprezentantului legal al terțului, în copie;

2.descrierea soluției tehnice de identificare și a echipamentelor utilizate în procesul de identificare a persoanei la distanță utilizând mijloace video (inclusiv denumirea și seriile de fabricație ale echipamentelor și suporturilor de stocare, acolo unde este cazul);

3.raportul de evaluare a conformității:

a)raportul de evaluare a conformității trebuie să fie emis de un organism de evaluare a conformității, așa cum este definit în Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE (Regulamentul eIDAS), prezentat ADR în maximum 30 de zile de la primirea acestuia. Perioada supusă evaluării este de 2 ani și reprezintă perioada cuprinsă între două evaluări succesive;

b)raportul de evaluare a conformității trebuie să ateste îndeplinirea cerințelor de securitate informatică, inclusiv a cerințelor specificate în prezentele norme;

4.o poliță de asigurare de răspundere civilă față de terți, în valoare de 100.000 euro, care să acopere prejudiciile cauzate de identificarea incorectă a clientului;

5.declarația reprezentantului legal că terțul dispune de politici și proceduri de identificare și diminuare a riscului asociat metodei de identificare, inclusiv personal specializat în conformitate cu prevederile Regulamentului eIDAS și ale standardelor ETSI;

6.lista standardelor recomandate de către ETSI și Comisia Europeană, în cazul în care au fost definite la nivelul Uniunii Europene, în baza cărora se realizează identificarea video;

7.declarația pe propria răspundere a reprezentantului legal că terțul a adoptat și implementat proceduri privind protecția datelor cu caracter personal în procesul de identificare a persoanei la distanță utilizând mijloace video, în concordanță cu legislația în domeniu;

8.certificare ISO 27001 sau declarația reprezentantului legal că terțul are politici și proceduri privind punerea în aplicare a cerințelor standardului ISO 27001/ISO 27002;

9.curriculum vitae al operatorului sistemului informatic utilizat la identificarea persoanei la distanță prin mijloace video, datat și semnat, cu prezentarea experienței profesionale în domeniul sistemelor informatice;

10.extras Revisal care să conțină informații cu privire la contractul de muncă al operatorului sistemului;

11.cazierul judiciar al operatorului sistemului;

12.plan de continuitate a afacerii și recuperare în caz de dezastru;

13.planul de încetare a activității.

Articolul 4

Terțul are obligația de a implementa măsuri de securitate informatică, de a monitoriza continuu și de a evalua anual riscurile operaționale generate de utilizarea sistemelor informatice prin intermediul cărora se face identificarea persoanei la distanță utilizând mijloace video, cu respectarea legislației naționale și europene.

Articolul 5

ADR poate efectua verificări la sediul terțului înscris sau în curs de înscriere în Listă prin personal desemnat prin decizie a președintelui autorității.

Articolul 6

(1)Terțul va notifica ADR orice dezvoltare, modificare a datelor de exploatare și a procedurilor operaționale, care ar putea afecta major funcționarea și securitatea sistemului, în termen de 30 de zile de la data când acestea devin operaționale.

(2)Notificarea conține descrierea modificării/dezvoltării efectuate și a impactului acesteia asupra funcționării și securității sistemului.

(3)Terțul va notifica ADR, în termen de maximum 30 de zile, orice incident de securitate care a afectat în mod direct procesul de identificare sau în cazul care s-au constatat identificări eronate. Notificarea va cuprinde cauza și măsurile ce urmează a fi luate în vederea remedierii situației apărute.

(4)ADR poate solicita un nou raport de evaluare a conformității pentru sistem, după analizarea notificărilor prevăzute la alin. (1) și (2).

Articolul 7

La încetarea activității terțului, reprezentantul legal al acestuia notifică ADR în acest sens.

Articolul 8

Odată cu depunerea notificării de încetare, reprezentantul legal al terțului va depune o declarație pe propria răspundere prin care susține că toate datele/informațiile obținute în procesul de identificare a persoanei la distanță utilizând mijloace video au fost transferate pentru păstrare într-o formă admisă în procedurile judiciare și că a luat toate măsurile privind ștergerea acestora de pe alte suporturi de stocare utilizate.

Articolul 9

În cazul transferului sau casării echipamentelor utilizate pentru identificarea video, reprezentantul legal al terțului va coordona transferul/distrugerea corespunzător/corespunzătoare al/a acestora și va lua toate măsurile pentru a asigura transferul în siguranță al datelor și/sau ștergerea definitivă a suporturilor de stocare.

Articolul 10

Înscrierea terțului în Listă sau transmiterea refuzului motivat al înscrierii se efectuează de ADR în termen de maximum 30 de zile de la primirea dosarului complet al solicitantului.

Articolul 11

Orice modificare a documentației prevăzute la art. 3 trebuie transmisă ADR în termen de maximum 30 de zile de la data efectuării modificării.

Articolul 12

ADR radiază terțul din lista prevăzută la art. 3 în oricare dintre următoarele situații:

a)la cererea acestuia;

b)în cazul lichidării sau la declanșarea procedurii de insolvență;

c)în cazul încălcării prevederilor art. 6;

d)în cazul nerespectării prevederilor prezentelor norme;

e)polița de asigurare de răspundere civilă profesională prevăzută la art. 3 pct. 4 a expirat;

f)în cazul în care raportul de evaluare a conformității prevăzut la art. 3 pct. 3 nu a fost reînnoit.

Articolul 13

Pentru toate situațiile menționate la art. 12 lit. c)-f), ADR transmite terțului o notificare prealabilă prin care i se aduc la cunoștință faptele pentru care va proceda la inițierea demersurilor pentru radierea din Listă.

Articolul 14

La solicitarea autorităților cu atribuții în domeniu, terțul, după caz, va pune la dispoziția acestora toate informațiile cerute pe care le deține în legătură cu identificarea unei persoane la distanță utilizând mijloace video. Punerea la dispoziție a acestor informații se realizează cu respectarea dispozițiilor legale în vigoare.

Articolul 15

Respectarea prevederilor art. 14 nu contravine conduitei etice și profesionale, nu constituie o încălcare a secretului profesional impus prin clauze contractuale sau prin prevederi legale și nu atrage niciun fel de răspundere asupra persoanei fizice și/sau juridice în cauză.

Anexă

la procedură

CERERE

de înscriere în Lista terților de verificare a identității persoanei la distanță utilizând mijloace video

............(denumirea persoanei juridice) ......................., cu sediul în ..................(adresa completă, inclusiv telefon și fax, adresa de e-mail, adresa paginii de internet)....................., înregistrată la Oficiul Registrului Comerțului de pe lângă Tribunalul ............................, cod unic de înregistrare/cod de identificare fiscală ......................, reprezentată legal prin ...............(numele și prenumele)..............., domiciliat(ă) în .........(adresa completă, inclusiv telefon)........, identificat(ă) prin actul de identitate ........(serie, număr, cod numeric personal).........., intenționez să prestez servicii de identificare a persoanei la distanță utilizând mijloace video și vă solicit înscrierea în Lista terților de verificare a identității persoanei la distanță utilizând mijloace video publicată pe site-ul instituției dumneavoastră.

Anexăm la prezenta notificare următoarele documente: .........................................