Zdalna identyfikacja klienta: kiedy litewskie przepisy AML pozwalają użyć podpisu kwalifikowanego

Kiedy można ustalić tożsamość bez osobistego spotkania

Litewska ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu wymaga od podmiotów zobowiązanych ustalenia tożsamości klienta przed rozpoczęciem relacji biznesowej. Dotyczy to nie tylko banków. Obowiązek mają także adwokaci, notariusze, biura księgowe, pośrednicy w obrocie nieruchomościami, operatorzy walut wirtualnych i inni.

Ustawa osobno reguluje przypadek, gdy klient nie jest fizycznie obecny przy identyfikacji. Art. 11 wymienia metody, które w ogóle pozwalają ustalić tożsamość na odległość. Jedną z nich jest kwalifikowany podpis elektroniczny.

W praktyce pytanie rzadko brzmi, czy wolno tak zrobić. Częściej chodzi o to, jak za dwa lata pokażesz organowi nadzoru, że tożsamość rzeczywiście została ustalona.

Dlaczego podpis kwalifikowany może potwierdzić tożsamość

Kwalifikowany podpis elektroniczny opiera się na kwalifikowanym certyfikacie. Kwalifikowany dostawca usług zaufania może go wydać dopiero po ustaleniu tożsamości osoby. Robi to przy jej fizycznej obecności lub równoważną metodą zgodnie z rozporządzeniem eIDAS (UE) nr 910/2014. Sam dostawca jest nadzorowany i widnieje na unijnej liście zaufania.

Dlatego podpis kwalifikowany to więcej niż elektroniczna zgoda. Certyfikat wskazuje osobę i jej numer identyfikacyjny, a podpis potwierdza, przez nadzorowanego dostawcę, kto podpisał. Dostawca ustalił tożsamość już przy wydawaniu certyfikatu.

Nie należy rozmywać tej zasady: liczy się tylko podpis kwalifikowany. Skan podpisu, jego obraz na dole dokumentu, kliknięcie potwierdzenia czy stopka e-mail nie spełniają tego wymogu.

• Litewski dowód osobisty: kwalifikowany certyfikat w chipie, działający także bez czytnika przez NFC.
• Mobile-ID: kwalifikowany certyfikat na karcie SIM.
• Konto Smart-ID na poziomie kwalifikowanym.
• Token USB lub karta inteligentna z kwalifikowanym certyfikatem.

Sam podpis nie wystarczy: zachowaj dowody

Najczęstszy błąd to schowanie podpisanego dokumentu i uznanie obowiązku za wykonany. Trzeba nie tylko ustalić tożsamość, lecz także móc później pokazać, jak to zrobiono. Potrzebne są sprawdzalne dane, nie wspomnienie.

Warto wcześniej znać jeden szczegół techniczny: podpis bez znacznika czasu i danych walidacyjnych po latach może stać się niemożliwy do sprawdzenia. Certyfikaty wygasają, urzędy certyfikacji zmieniają klucze, a później może zabraknąć miejsca, w którym da się potwierdzić, że certyfikat był ważny przy podpisaniu. Zachowaj podpis na poziomie długoterminowym albo razem z raportem weryfikacji.

• Podpisany dokument w oryginalnym formacie, nie wydruk ani zrzut ekranu.
• Wynik weryfikacji: kto podpisał, jakim certyfikatem, kto go wydał i kiedy podpisano dokument.
• Numer identyfikacyjny z certyfikatu i sposób powiązania go z funkcją, w której działa ta osoba.
• Kwalifikowany znacznik czasu i dane walidacyjne, aby podpis dało się sprawdzić po latach.

Tożsamość i funkcja to dwa różne pytania

Kwalifikowany podpis odpowiada na pytanie, kim jest ta osoba. Nie mówi, czy może działać w imieniu danej firmy.

Gdy klientem jest osoba prawna, ustawa wymaga ustalenia zarówno uprawnień przedstawiciela, jak i beneficjenta rzeczywistego. Przydatne sprawdzenie ma więc dwie części: podpis kwalifikowany ustala tożsamość osoby, a rejestry pokazują, czy ta sama osoba pełni deklarowaną funkcję – kierownika, wspólnika lub beneficjenta rzeczywistego.

Połączenie tych danych pozwala sprawdzić, czy numer identyfikacyjny w certyfikacie zgadza się z wpisem dotyczącym danej funkcji. Dopóki te części są osobne, pozostaje luka: podpisać może jedna osoba, a funkcję pełnić inna.

Jak to wygląda w praktyce

Kolejność ma znaczenie: najpierw sprawdź wpisy w rejestrach, dopiero potem zaproś osobę do podpisu. Inaczej możesz otrzymać poprawny podpis od osoby, która nie pełni wskazanej funkcji.

1. Ustal na podstawie rejestrów, kto pełni funkcję deklarowaną przez tę osobę: kierownika, wspólnika lub beneficjenta rzeczywistego.
2. Przygotuj dokument, który jasno mówi, co osoba potwierdza, podpisując go.
3. Zaproś tę osobę do podpisania go kwalifikowanym podpisem elektronicznym.
4. Sprawdź podpis i porównaj numer identyfikacyjny w certyfikacie z wpisem w rejestrze.
5. Przechowuj dokument, wynik weryfikacji podpisu i odpowiedzi z rejestrów razem, w jednym miejscu.

Jak robi to Tvarka

Zestaw do weryfikacji tożsamości Tvarka wykonuje właśnie te kroki i zwraca jeden kontener ASiC-E: podpisany dokument, odpowiedzi z rejestrów w otrzymanej postaci, wynik weryfikacji podpisu i potwierdzenie adwokata, że osoba wskazana w certyfikacie odpowiada wpisowi w rejestrze dla danej funkcji.

Bez rozmów wideo, selfie i danych biometrycznych. Tożsamość potwierdza podpis kwalifikowany, który osoba już posiada. Nie trzeba przetwarzać zdjęć twarzy ani ustalać, czy fotografia dokumentu jest prawdziwa.

Płacisz tylko za wynik. Jeśli według rejestrów nikt nie pełni wskazanej funkcji, osoba nie podpisze lub tożsamość się nie zgadza, zestaw nie powstaje i nie ma opłaty.