Jak działa cyfrowa weryfikacja tożsamości w sieci?

Kamil Nowak: Znajdujemy się przed siedzibą KIR w Warszawie. To właśnie tutaj spotkam się z panem Piotrem Wichowskim, aby porozmawiać o cyfrowym potwierdzaniu tożsamości. Jak działa taka weryfikacja i po co w ogóle jest potrzebna w twoim biznesie?  

Właśnie o tym będziemy rozmawiali. To kolejna odsłona podcastu Przyspiesz Biznes. Dzisiaj naszym gościem jest pan Piotr Wichowski. Dzień dobry.

Piotr Wichowski: Dzień dobry.

KN: Pan Piotr jest dyrektorem linii biznesowej usługi identyfikacji, odpowiedzialnym w KIR za rozwój usługi mojeID, która umożliwia zdalne potwierdzanie tożsamości z wykorzystaniem bankowości elektronicznej. I właśnie o tym, ale nie tylko, będziemy dzisiaj rozmawiali. Panie Piotrze, na czym polega to zdalne potwierdzenie tożsamości klienta i dlaczego jest tak ważne dla rozwoju usług online, które pączkują, eksplodują niemalże każdego dnia nowe?

PW: Zdalne potwierdzenie tożsamości, czyli identyfikacja elektroniczna, to po prostu weryfikacja tożsamości klienta bez jego fizycznej obecności. W ramach tradycyjnych-, że tak nazwę- weryfikacji tożsamości, usługodawca ma bezpośredni kontakt z klientem, tak poprzez biuro obsługi czy też biura sprzedaży. Miejsca, w których może zweryfikować tego klienta dokument tożsamości, zweryfikować dokumentu tożsamości oraz uzyskać dane, które są stwierdzone tym okazanym dokumentem. W przypadku zdalnego potwierdzenia tożsamości jest to już dużo większe wyzwanie, gdyż usługodawca musi mieć pewność, że osoba, która chce skorzystać z danych usług, jest tą osobą, za którą, za którą się podaje. Oczywiście ta waga i siła potwierdzenia tożsamości jest zależna od zakresu działalności i konkretnie usługi, którą usługodawca chcę dostarczyć, świadczyć dla swojego klienta. Stąd ta potrzeba zdalnego potwierdzenia tożsamości czy też pozyskania danych jest różna. Tak, funkcjonowanie usługodawców w ramach różnych sektorów, różnych branż też oznacza, że podlegają określonym regulacjom i wymaganiom swoich nadzorców w zakresie świadczonej usługi, w tym również w zakresie zasad i sposobu uwierzytelniania. Na rynku w tej chwili występuje kilka, jakby sposobów dostępu do danych potwierdzania tożsamości. Myślę, że należy tutaj zwrócić uwagę na wideo weryfikację, która jest w różnych formach wykorzystywana jako wideoweryfikacja prowadzona przez konsultanta.

– Czyli jak to, jak to wygląda? To znaczy, siedzimy przed komputerem, ten proces trwa i ktoś nam każe uśmiechnąć się do kamerki w Internecie?

– To są różne formy, tak znaczy to to może być w formie właśnie wideo weryfikacji i rozmowy z konsultantem, który w ramach tej wideo weryfikacji, prezentacji, w ramach tego procesu również dokumentu tożsamości potwierdza jego tożsamość i dane, które mogą być w tym procesie przekazane. Może to być wideo weryfikacja automatyczna. Gdzie klient rzeczywiście siedzi przed kamerką i w odpowiedni sposób jest instruowany w jakiś sposób, co ma robić w odpowiednim momencie również okazać dokument tożsamości, który jest, razem z wideo weryfikacją, wykorzystany do potwierdzenia jego tożsamości i danych. Więc te formy mogą być różne i są różne w zależności od sposobów i rozwiązań, które usługodawcy w tym zakresie stosują. Dowód, e-dowód czyli nowy dowód, który jest wydawany od 2020 roku – o ile się nie mylę – z tak zwaną warstwą elektroniczną, czyli warstwa elektroniczna, które posiada określone dane zawarte również na awersie i rewersie dokumentu i warunkiem wykorzystania takiego dowodów w procesie zdalnym jest aktywowanie warstwy elektronicznej i wykorzystując. Aplikację mobilną czy dedykowany czytnik można takie dane czytać i w określony sposób przekazać w procesie weryfikacji. Występują też inne metody, jak tak zwany przelew za złotówkę czy również skanowanie dokumentów wykorzystywane przez usługodawców, które nie zawsze może te metody możemy w pełni nazywać potwierdzeniem tożsamości, bo często one są po prostu pozyskaniem określonych danych, które same w sobie jeszcze nie są potwierdzeniem tożsamości. Ale trzeba mieć na uwadze, że poszczególni usługodawcy mają różną potrzebę, wagi i siły uwierzytelnienia, które jest wykonywane, czy to w procesie zdalnym, czy tradycyjnym. To wynika z chociażby zarówno z wymogów regulacyjnych jak jakiś sposobu działania usługi. Można tutaj dla przykładu podać chociażby usługodawców podlegających ustawie AMLowej, gdzie ten zakres danych i sposób weryfikacji jest wręcz określony przez tą ustawę. Ale są też usługodawcy, którzy potrzebują, jedynie potwierdzenia, że klient jest pełnoletni, żeby miał dostęp do usług, które świadczą, więc w zależności od potrzeb. Tutaj usługodawca może wykorzystywać odpowiednie mechanizmy. To o czym wspomniałem, to są metody w ramach, można powiedzieć, usługodawców, komercyjnych, sektora komercyjnego. Myślę, że należy tutaj też zwrócić uwagę, że w obszarze usług zdalnych, usług online świadczonych przez administrację publiczną, podstawowym, takim, można powiedzieć, podstawową metodą potwierdzenia tożsamości jest profil zaufany. Natomiast usługa mojeID, czyli zdalne potwierdzenie tożsamości dostarczane przez KIR, jest unikalnym rozwiązaniem, które jest wykorzystywane zarówno w sektorze komercyjnym, jak i w ramach administracji publicznej i spraw, które, jako obywatele, mamy obowiązek czy chcemy załatwiać w swoich urzędach czy serwisach administracji publicznej. MojeID oparte jest o bankowość elektroniczną. Jest to system identyfikacji elektronicznej w rozumieniu. rozporządzenia w sprawie identyfikacji elektronicznej i usług zaufania. W ramach tego, można powiedzieć, rozwiązania, dostawcami tożsamości są banki: banki jako podmioty zaufane, które posiadają dane klientów, dane, które są sprawdzone i zweryfikowane w momencie, kiedy klient staje się klientem banków, Dane, które banki przechowują i przetwarzają w sposób bezpieczny i w tej chwili w ramach usługi mojeID dostawcami tożsamości jest 11 największych banków. I ponad 500 banków spółdzielczych działających samodzielnie lub zrzeszonych i współpracujących z Bankiem Polskiej Spółdzielczości i SGB Bankiem. Banki te posiadają udział w całej bankowości elektronicznej na poziomie 98%, co oznacza, że ponad 21 milionów użytkowników bankowości elektronicznej ma dostęp, może, wręcz wykorzystuje w tej chwili mojeID jako sposób uwierzytelnienie potwierdzenia jego tożsamości. Tak jak wspomniałem, zarówno w relacjach z administracją publiczną, jak i w dostępie do komercyjnych usług świadczonych przez usługodawców z branż komercyjnych.

– A czy jest jakaś zależność, bo już znamy różne metody potwierdzania zdalnego tożsamości, czy jest jakaś zależność między tym, jaki biznes prowadzimy, jako jaki rodzaj czy branże biznesu sobie obieramy, a sposób potwierdzania tożsamości naszych kontrahentów, klientów, czy jest jakaś zależność, czy możemy sobie wybrać dowolny sposób, to znaczy, oferujemy sobie przelew za złotówkę na potwierdzenie tych tej tożsamości. Czy wideo, weryfikacja przez kamerę czy skanowanie dokumentów, Czy możemy wybrać wszystko, Czy to jest ograniczone do poszczególnych jakichś rodzajów działalności?

– Ja bym proponował wybrać mojeID jako tą usługę, która jest taką uniwersalną usługą, o której wspomniałem. Ale wracając do pytania, ale nawet tego wcześniejszego pytania, na co należy zwrócić uwagę, bo to też, jakby można powiedzieć, pokryje to, co pan teraz pyta. Jednym z podstawowych czy według mnie nawet podstawą przy wyborze i wdrażaniu. zdalnego potwierdzenia tożsamości jest zgodność regulacyjna rozwiązania z wszelkimi rozporządzeniami czy ustawami, czyli regulacjami, które określają zasady funkcjonowania identyfikacji elektronicznej. Tu tak naprawdę mówimy o 2 podstawowych: rozporządzeniu Parlamentu Europejskiego i Rady w sprawie identyfikacji elektronicznej i usług zaufania oraz naszej lokalnej ustawy. Ustawy o usługach zaufania oraz identyfikacji elektronicznej. MojeID działa w oparciu o obydwie te ustawy, w szczególności o ustawy EIDAS, która jest tutaj, można powiedzieć, nadrzędną zasadą regulującą identyfikację elektroniczną i z punktu widzenia dostawcy usług jest to zapewnienie, że rzeczywiście otrzymuje wiarygodne potwierdzenie tożsamości regulowane prawnie. Drugą kwestią jakby prawną, którą usługodawca powinien wziąć pod uwagę przy wyborze rozwiązanią i jego wdrażaniu są wymogi regulacyjne – To o co pan pytał – które dotyczą określonych branż czy wręcz usług. Tak, tutaj no chociażby branża usług finansowych, tak jest oferowana określonymi regulacjami, w ramach których określone usługi- wręcz usługi finansowe- muszą być, muszą być świadczone. To to samo dotyczy, no, chociażby sektora ubezpieczeniowego, ochrony zdrowia, Leasing. Większość, można powiedzieć, większość tych branż ma tak zwane jakby sektorowe regulacje, czy też rekomendacje swoich nadzorców, czy regulatorów. W ramach swojej działalności czy w ramach usługi, które świadczą. Więc ta zgodność regulacyjna, myślę, jest podstawą. Natomiast, na co jeszcze należy zwrócić uwagę, czy na co zwracają uwagę z perspektywy też, doświadczeń, które mamy w procesach, które od 3 lat czy od 2019 roku, odkąd uruchomiliśmy tą usługę, mamy, to na pewno powszechność i dostępność rozwiązania. Dostępność no, to oznacza, że usługodawca chciałby mieć zapewnienie, że, jak nie wszyscy, to zdecydowana większość jego klientów będzie miała dostęp i możliwość wykorzystania sposobu, który udostępni do potwierdzenia, tożsamości. Powszechność: bo czym rozwiązanie jest bardziej powszechne, tym dla klienta jest bardziej znane i nie obawia się jego wykorzystywania, co jest bardzo istotne z perspektywy klienta użytkownika. Kolejny element coraz bardziej istotny w tych procesach wyborów i samego budowania, procesu, w którym jest wykorzystywane potwierdzanie tożsamości, zdalne potwierdzenie tożsamości to tak zwany UX czyli doświadczenie klienta. Usługi coraz częściej są, czy bardzo często są, wręcz można powiedzieć, takie same albo bardzo podobne w swoich warunkach, jakich nam różni dostawcy oferują tą samą czy podobną usługę. Więc coraz częściej ta konkurencyjność. usługi przechodzi czy jest oparta na tym, żeby dla klienta proces był łatwy, szybki i bezpieczny. To są te podstawowe elementy, na które klient zwraca uwagę, czyli żeby no, oczywiście mówimy o potwierdzeniu jego tożsamości, przekazywaniu, przekazywaniu jego danych więc to poczucie bezpieczeństwa jest bardzo istotne, jego danych, ale łatwość intuicyjność rozwiązania, żeby nie musiał zapamiętywać, uczyć się czegoś na nowo, tworzyć nowych haseł, tworzyć nowych rozwiązań, więc tutaj rozwiązanie oparte o bankowość elektroniczną i stosowanie logowania do swojej bankowości elektronicznej w taki sam sposób jak każdą inną sprawę, którą załatwiam w banku w procesach potwierdzenia tożsamości w każdym miejscu, w którym to wymaga. No, jakby tutaj pokazuje, że to rozwiązanie jest przyjazne. Skrócenie tego procesu, znaczy to, to jest już kwestia można powiedzieć optymalizacji, optymalizacja samego procesu, w ramach którego jest potrzebne potwierdzenie tożsamości, tak żeby skrócić do minimum te elementy, które są wymagane, bo one są wymagane, chociażby regulacyjnie, przez które klient musi przejść, Ale żeby nie spowodowały, że klient, którymś momencie się podirytuje, skończy proces i pójdzie poszukać sobie bardziej przyjaznego i szybszego, bo on nie ma czasu albo nie będzie mu się podobało jakieś skomplikowane narzędzie. Więc to są chyba te rzeczy, które na które zwróciłbym uwagę z perspektywy doświadczeń, jakie mamy jako KIR.

– Przekazywanie takiego może nie nadmiaru, ale kompletu informacji w Internecie czasem no wzbudza jakieś nasze wątpliwości. Nie jesteśmy pewni… No, te poczucie bezpieczeństwa w tym procesie, pan sam powiedział, jest najważniejsze. Możemy być pewni za bezpieczeństwo takiego cyfrowego potwierdzania tożsamości? Możemy być pewni, że te nasze dane są zabezpieczone? W jaki sposób są zabezpieczone?

– Bezpieczeństwo, to podstawa, coś co, o czym jakby nie ma co dyskutować, musi być, zwłaszcza jeżeli mówimy o przetwarzaniu danych osobowych. Tak odniosę się tu do MojeID. To rozwiązanie znam. Nie chcę tutaj gdzieś oceniać innych rozwiązań. W ramach bezpieczeństwa, KIR można powiedzieć, ma w DNA swoim, w ramach usług, które świadczy zapewnienie najwyższych standardów bezpieczeństwa. Tak świadczymy usługi dla sektora finansowego, bankowego, również w administracji, od 30 lat. W ramach wszystkich systemów i usług stosujemy rozwiązania, które podlegają audytom, certyfikacjom i to bezpieczeństwo przenosimy na każdą, na każdą usługę, którą świadczymy. W ramach mojeID zastosowane zostały najnowocześniejsze technologie, również kryptograficzne, zapewniające możliwość szyfrowania i utrzymywania tego najwyższego standardu bezpieczeństwa, co jest istotne z punktu widzenia usługodawcy, który korzysta z tej usługi. Dodatkowo, z perspektywy klienta, proces został w ten sposób zbudowany, że klient ma kontrolę na każdym etapie potwierdzania jego tożsamości. To on wybiera usługodawcę, To on wybiera metodę mojeID. Jak wybierze metodę mojeID, to on wybiera dostawcę tożsamości, czyli bank, który potwierdzi jego tożsamość, który przekaże jego dane i na końcu, jeżeli on już jest w tym banku, wybrał konkretny bank, to on na końcu daje zgodę na to, żeby jego bank przekazał jego dane, potwierdził jego tożsamość, dla konkretnego dostawcy usług w konkretnym celu. Więc on na każdym etapie, wie, co się dzieje, i na każdym etapie to on decyduje, czy przechodzić do kolejnego etapu czy nie. To jest bardzo istotne z punktu widzenia takiego no.. poczucia bezpieczeństwa w procesie, który dotyczy, no moich danych osobowych.

– Słuchają nas, przedstawiciele… Przedsiębiorcy, przedstawiciele różnych branż, różnych, że tak powiem profesji i sektorów gospodarki. No i kiedy nas słuchają, może się zastanawiają, czy to jest dla mnie, czy ja może wręcz muszę w taki sposób weryfikować kontrahentów przed podjęciem współpracy, sprawdzać ich tożsamość wirtualnie? No to, gdzie, w jakich właśnie sektorach gospodarki może być, a gdzie musi być wykorzystywane takie zdalne potwierdzenie? Gdybyśmy mogli to jeszcze tak zebrać.

– No, tu też jakby z perspektywy, mojeID i zakresu wykorzystania mojeID wykorzystanie jest no, w tej chwili dosyć szerokie, Można powiedzieć w większości branż komercyjnych w części to już jest bardzo szeroko wykorzystywane. W części branż można powiedzieć: wchodzimy z pierwszymi użytkownikami. Na pewno sektor ubezpieczeniowy, sektor ochrony zdrowia, usług telekomunikacyjnych, usług finansowych, gier losowych. To w tych sektorach mojeID jest bardzo powszechnie wykorzystywane. To są sektory, które rzeczywiście są regulowane swoimi gdzieś regulacjami i rekomendacjami nadzorców, Gdzie to potwierdzenie tożsamości rzeczywiście wymaga najwyższej wiarygodności i tu nie chodzi o same dane, ale chodzi o potwierdzane dane, które, które potwierdzają tożsamość. klienta i wykorzystanie w praktyce mojeID potwierdza właśnie tą zgodność regulacyjną rozwiązania. Ale również są nowe sektory, które to są też sektory, które, można powiedzieć, są bardziej zaawansowane w cyfryzacji swoich procesów. W wielu sektorach te procesy trwają i to myślę, dynamicznie się będzie rozwijało. Zresztą, widzimy to w ramach prowadzonych obecnie i planowanych wdrożeń. MojeID już jest w sektorze pośrednictwa obrotu nieruchomościami i właśnie jeszcze w najbliższym czasie będziemy mieli też nowe, pierwsze jakby wejścia, uruchomienia w nowych sektorach. Sektor leasingowy jest takim sektorem również. No, są to usługi finansowe, które też jakby tutaj wymieniłem. No, oczywiście, to co wspomniałem, administracja publiczna tutaj to wykorzystanie mojeID tak jak powiedziałem, jest to jest unikalne, bo to jest jedyne komercyjne rozwiązanie, które może być wykorzystywane w procesie potwierdzenia, zdalnego potwierdzenia. Jest to istotne też dla komercyjnych dostawców usług, bo to świadczy o powszechności rozwiązania, czyli znajomości rozwiązania przez klienta, co powoduje, że on nie ma problemu czy nie obawia się wykorzystać tego rozwiązania, czy to w ramach usługi komercyjnej, czy w administracji publicznej. Po stronie administracji publicznej został stworzony tak zwany węzeł krajowy, czyli miejsce, w którym wszystkie urzędy, wszystkie systemy, wszystkie serwisy, które świadczą określone usługi dla obywateli są podłączone i w jeden jednolity sposób można się do tych, do tych Urzędów, do tych miejsc logować. Mówimy zarówno wszelkie urzędy, jak i właśnie takie serwisy czy portale jak internetowe konto pacjenta, Pracuj.gov.pl i tak dalej, ePUAP i wszystkie inne – jest ich ponad 800, które są publikowane na stronie login.gov.PL, które umożliwiają dostęp zdalny, do usług, czy też załatwiania spraw urzędowych, które musimy, albo chcemy, albo chcemy wykonać. To jest ten jakby zakres wykorzystania, natomiast sposoby wykorzystania, trochę rozszerzając ten temat, rzeczywiście pokazują, że dostawcy usług realizując te swoje wymogi regulacyjne bardzo często, czy wręcz w tej chwili najczęściej, stosują mojeID w ramach rejestracji w portalu lub zakładanie kont. Czyli potwierdzenie jego, potwierdzenie tożsamości klienta pozwala w tym momencie na udostępnianie i dostarczanie usług, które są dostępne na takim portalu, gdzie wejście na ten portal jest właśnie potwierdzane weryfikacją jego tożsamości. Potwierdzenie zdalne tożsamości może być też wykorzystane w procesie zawarcia umowy, przy czym zwracam uwagę, że to mówimy o zawarciu, a nie podpisaniu umowy. To znowu jest regulowane w ramach poszczególnych sektorów czy działalności usługodawców, gdzie odpowiednie regulacje wręcz nakazują, na przykład w sektorze usług leasingowych. Umowa leasingowa musi być umową, w ramach której może być potwierdzenie tożsamości w ramach procesu zdalnego, ale podpisanie umowy musi nastąpić z wykorzystaniem podpisu odręcznego lub kwalifikowanego podpisu elektronicznego. Ale są usługi – chociażby dostawy gazu czy energii, czy usługi telekomunikacyjne – które mogą być zawierane bez konieczności ich podpisywania. W takim rygorze można powiedzieć podpisu mokrego, odręcznego czy podpisu kwalifikowanego w tym zakresie. MojeID jako usługa KIR często jest stosowana razem z mSzafirem kwalifikowanym podpisem, pod mobilnym kwalifikowanym podpisem elektronicznym, który właśnie może być wykorzystywany w tych branżach w tych usługach, które wymagają takiego podpisu oprócz.

– Mam jeszcze takie pytanie, bo, AML – to hasło pojawiało się już w pana wypowiedzi- i czy możemy to tak uprościć, że zdalne potwierdzenie tożsamości zawsze spełnia wymagania tej ustawy o przeciwdziałaniu praniu pieniędzy. Zawsze? Czy, jednak są takie przypadki, że trzeba tego naszego kontrahenta no wezwać do siedziby, sprawdzić, czy to jest jeszcze… Jeszcze jakieś dane od niego zebrać, tak, żeby mieć pewność, że wszelkie znane znamiona wymagań tej procedury AML zostały wypełnione?

– Ustawa AML określa obowiązki wobec instytucji obowiązanej stosowania tak zwanej wewnętrznej procedury AML czyli zadań i działań, które muszą być podejmowane zgodnie z wymaganiami tej ustawy. Jednym bardzo istotnych elementów tej procedury jest identyfikacja i weryfikacja tożsamości. Konkretnie, artykuł 36 i 37 określa te zasady dotyczące, jakie dane muszą być wykorzystywane w procesie weryfikacji. To jest PESEL, imię, nazwisko, obywatelstwo. Dokument tożsamości: seria, dokument tożsamości. Artykuł 37 określa zasady, według których taka weryfikacja tożsamości musi być wykonana. Musi ona polegać na potwierdzeniu danych identyfikacyjnych w oparciu o dokument tożsamości stwierdzający te dane lub w oparciu o dane i informacje pozyskane z niezależnego, wiarygodnego źródła, Jeżeli jest to dostępne, ze środka identyfikacji elektronicznej lub odpowiednich usług zaufania określonych w rozporządzeniu EIDAS. I tu w odniesieniu do mojeID tak jak wspomniałem, mojeID opiera się i spełnia wymagania EIDAS. Banki, które są dostawcami tożsamości, występują w roli tak zwanego wydawcy, wydawcy środka identyfikacji elektronicznej, czyli tak zwanej, można powiedzieć, cyfrowej tożsamości klienta. I są zobowiązane do wydania takiego środka tożsamości jako warunek. Potwierdzenia jego tożsamości i przekazania danych, które są wymagane przez dostawcę usług. Więc, wprost, w odniesieniu do tych wymagań, które określa ustawa AML, podstawowe zasady, które którymi, którymi kieruje się, na których oparte jest mojeID, pokazuje, że to spełnia te wymagania ustawy. A z praktycznego punktu widzenia: w tej chwili uczestnicy usługi, czyli dostawcy usług, którzy korzystają z mojeID, wykorzystują go właśnie w ramach procedury AMLowej. Jest to coraz szersze, tak. To nawet nie dotyczy konkretnie jednej branży tylko, ustawa definiuje, jakie podmioty w ramach jakiejś działalności muszą temu podlegać i uczestnicy mojeID jako jeden z procesów, których to jest wykorzystywane, to coraz częściej używane jako właśnie weryfikacja tożsamości, zgodna z wymaganiami ustawy AML. 

– Panie Piotrze, tutaj postawmy na dzisiaj kropkę. Piotr Wichowski był moim i twoim gościem. Dziękujemy za rozmowę.

– Dziękuję bardzo.

– Słuchaczu, a tobie dziękujemy. Oczywiście za wysłuchanie tej rozmowy do końca, jeśli interesuje Cię wiedza właśnie taka jak ta, pozwalająca rozwiązywać codzienne problemy polskich przedsiębiorców albo rzucać nowe światło na jakieś wątpliwości, które pojawiają się w codziennej pracy, w codziennym załatwianiu dokumentów i podpisywaniu umów, to oczywiście zachęcam cię do sprawdzenia, wysłuchania, zobaczenia innych rozmów na kanale Przyspiesz Biznes. Troszkę już ich nagraliśmy. Są to rozmowy na wszelakie nurtujące Polskich przedsiębiorców tematy. Na pewno znajdziesz coś dla siebie. Daj łapkę w górę. Skomentuj. Udostępnij nasz odcinek, jeśli uważa, że nasza praca jest merytoryczna i warta polecenia. A tymczasem pożegnamy się do zobaczenia i do usłyszenia.