Hotărâre nr. 977 din 06.12.2023

GUVERNUL REPUBLICII MOLDOVA

H O T Ă R Â R E

cu privire la stabilirea metodelor alternative de identificare

de la distanţă a persoanei fizice şi aprobarea Procedurii

de identificare a persoanei fizice de la distanţă

utilizând mijloace digitale

nr. 977  din  06.12.2023

 (în vigoare 18.04.2024) 

Monitorul Oficial al R. Moldova nr. 20-23 art. 19 din 18.01.2024

* * *

În temeiul art.10 alin.(2) pct.4) lit.d) din Legea nr.124/2022 privind identificarea electronică şi serviciile de încredere (Monitorul Oficial al Republicii Moldova, 2022, nr.170-176, art.317), Guvernul

HOTĂRĂŞTE:

1. Se stabilesc două metode alternative de identificare de la distanţă a persoanei fizice:

1) identificarea persoanei de la distanţă utilizând mijloace digitale de verificare automatizate fără participarea operatorului uman;

2) identificarea persoanei de la distanţă utilizând mijloace digitale de verificare cu participarea operatorului uman.

2. Implementarea de către prestatorii de servicii de încredere calificaţi a metodelor alternative de identificare prevăzute la punctul 1 este opţională şi se realizează în conformitate cu Procedura de identificare a persoanei fizice de la distanţă prin utilizarea mijloacelor digitale.

3. Se aprobă Procedura de identificare a persoanei fizice de la distanţă utilizând mijloace digitale (se anexează).

4. Prezenta hotărâre intră în vigoare la expirarea a 3 luni de la data publicării în Monitorul Oficial al Republicii Moldova.

Aprobată

prin Hotărârea Guvernului nr.977/2023

PROCEDURA

de identificare a persoanei fizice de la

distanţă utilizând mijloace digitale

I. DISPOZIŢII GENERALE

1. Procedura de identificare a persoanei fizice de la distanţă utilizând mijloace digitale (în continuare – Procedură) stabileşte regulile şi cerinţele minime tehnice şi de securitate pentru realizarea de către prestatorii de servicii de încredere calificaţi a identificării şi verificării identităţii de la distanţă a persoanei utilizând mijloace digitale.

2. În înţelesul prezentei Proceduri, termenii, expresiile şi abrevierile de mai jos au următoarele semnificaţii:

atribute de identitate – subset al datelor de identificare trimise de serviciul de identificare a persoanei de la distanţă către serviciul client;

componenta de securitate – componenta electronică a unui act de identitate utilizat ca suport de stocare securizat pentru datele de identificare şi fotografia deţinătorului legitim al actului;

comunicare în câmp apropiat (Near Field Communication) – tehnologie de comunicare wireless pe distanţe scurte, care permite schimbul de date între dispozitive compatibile aflate la o distanţă de până la câţiva centimetri (în continuare – NFC);

consimţământ – orice indicare liberă, specifică, informată şi neechivocă a dorinţelor solicitantului, prin care acesta, printr-o declaraţie sau printr-o acţiune afirmativă clară, indică acordul cu privire la prelucrarea datelor cu caracter personal care îl privesc;

date biometrice – date cu caracter personal rezultate în urma prelucrărilor tehnice specifice, referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice, care permit sau confirmă identificarea unică a acesteia;

date de identificare – set de date cu caracter personal, inclusiv date biometrice, colectate şi verificate de către serviciul de identificare a persoanei de la distanţă, în vederea verificării identităţii unei persoane fizice;

detectarea biometrică a vitalităţii feţei (Biometric Liveness Detection) –tehnică utilizată pentru a detecta o tentativă de falsificare prin determinarea faptului dacă sursa unei probe biometrice este o fiinţă umană vie sau o reprezentare falsă. Acest lucru se realizează prin algoritmi care analizează datele colectate de la senzorii biometrici pentru a determina dacă sursa este în direct sau reprodusă;

dispozitivul solicitantului – orice dispozitiv aflat în posesia solicitantului, care este compatibil cu sistemul informatic pentru identificarea persoanei de la distanţă;

dosar electronic de evidenţă – element reţinut de prestatorul de servicii de încredere calificat care colectează datele relevante ce urmează să fie păstrate pentru soluţionarea litigiilor sau în cazul unei investigaţii şi, în special, în vederea furnizării de probe în instanţă;

furt/fals de identitate – utilizarea în mod fraudulos a datelor de identificare ale altei persoane sau modificarea identităţii implicând utilizarea unor date de identificare frauduloase care nu aparţin unei persoane existente;

identitate electronică – datele de identificare a persoanelor în format electronic reprezentând în mod unic o persoană fizică;

identificarea persoanei de la distanţă prin mijloace digitale – proces de identificare şi de verificare a identităţii persoanei fizice în baza actelor de identitate prezentate, a măsurătorilor semnalmentelor biometrice faciale, a comparării de imagini şi a informaţiilor comunicate de persoana fizică şi/sau preluate din surse de date externe, utilizând mijloace digitale;

mijloace digitale – mijloace ce utilizează tehnologii digitale inovatoare care folosesc, printre altele, mijloace video, inteligenţă artificială şi/sau procese de învăţare automată (machine learning), precum aplicaţiile care realizează identificarea unei persoane şi/sau verificări ale actelor de identitate (prin capturi de imagini digitale, prin măsurători ale semnalmentelor biometrice faciale sau prin comparare de imagini), tehnologia de comunicare în câmp apropiat (Near Field Communication) încorporată în actele de identitate;

mijloace video – mijloace de identificare de la distanţă ce utilizează tehnologii care presupun fie transmiterea audiovideo de succesiuni de imagini în mişcare, în timp real, în cadrul unei videoconferinţe, cu prezenţa unui operator uman, fie transmiterea de succesiuni de imagini în mişcare reprezentând capturi video cu persoana fizică, fără prezenţa unui operator uman, cu verificarea acestora cu sau fără implicarea unui operator uman;

organism de evaluare a conformităţii – organism care efectuează activităţi de evaluare a conformităţii şi întruneşte cerinţele prevăzute la punctul 7;

prestator de servicii de încredere calificat – astfel cum este definit conform prevederilor Legii nr.124/2022 privind identificarea electronică şi serviciile de încredere;

rezultatul verificării identităţii de la distanţă – toate informaţiile trimise de serviciul de identificare a persoanei de la distanţă către serviciul client, inclusiv verdictul (reuşit sau nereuşit) al verificării identităţii de la distanţă, motivul eşecului, dacă există, atributele de identitate legate de solicitant cerute de serviciul client şi verificate de către prestatorul de servicii de încredere calificat şi orice date suplimentare solicitate de serviciul client;

serviciu client – serviciu furnizat de prestatorul de servicii de încredere calificat, la care solicitantul doreşte să se identifice utilizând serviciul de identificare a persoanei de la distanţă;

serviciu de identificare a persoanei de la distanţă – serviciul electronic furnizat direct de către prestatorul de servicii de încredere calificat sau prin intermediul unui terţ, care este utilizat pentru colectarea şi verificarea datelor de identificare a solicitanţilor în vederea identificării acestora, crearea dosarului electronic de evidenţă şi transmiterea rezultatului verificării identităţii de la distanţă către serviciul client;

sistem informaţional pentru identificarea persoanei de la distanţă – ansamblul de elemente tehnologice implicate în procesul de identificare a persoanei de la distanţă prin mijloace digitale, prin care se transmit datele, imaginile capturate/încărcate şi/sau informaţiile comunicate de solicitant (în continuare – sistem informatic);

solicitant – persoană fizică a cărei identitate este verificată de către serviciul de identificare a persoanei de la distanţă;

surse externe de date – sisteme informaţionale şi registre de stat sau private;

verdictul de verificare a identităţii de la distanţă – verdict binar ("reuşit" sau "nereuşit") generat de serviciul de identificare a persoanei de la distanţă, după etapele de colectare şi verificare a datelor de identificare. Verdictul este "reuşit" dacă serviciul de identificare a persoanei de la distanţă concluzionează că actul de identitate prezentat de solicitant este autentic şi că solicitantul este deţinătorul legitim al acestuia, în caz contrar, verdictul este "nereuşit";

zona de citire automată (Machine Readable Zone MRZ) – zonă a unui act de identitate care conţine informaţii personale ale titularului şi este concepută pentru a fi citită în mod automatizat de către dispozitivele sau sistemele de recunoaştere optică a caracterelor (OCR).

3. Prestatorul de servicii de încredere calificat poate realiza identificarea persoanei de la distanţă utilizând mijloace digitale, în vederea eliberării de certificate calificate, în conformitate cu prevederile art.10 alin.(2) pct.4) lit.d) din Legea nr.124/2022 privind identificarea electronică şi serviciile de încredere.

4. Realizarea de către prestatorul de servicii de încredere calificat a identificării persoanei de la distanţă utilizând mijloace digitale, în scopul emiterii certificatelor calificate conform Legii nr.124/2022 privind identificarea electronică şi serviciile de încredere, nu este supusă unei autorizări prealabile.

5. Prestatorul de servicii de încredere calificat care intenţionează să aplice metode alternative de identificare a persoanei de la distanţă utilizând mijloace digitale, în scopul emiterii certificatelor calificate conform Legii nr.124/2022 privind identificarea electronică şi serviciile de încredere, are obligaţia, cu 30 de zile înainte de începerea activităţii, să notifice Serviciul de Informaţii şi Securitate, în calitate de organ de supraveghere şi control.

6. Notificarea prevăzută la punctul 5 va fi însoţită de următoarele documente:

1) descrierea sistemului informaţional şi a echipamentelor utilizate în procesul de identificare a persoanei de la distanţă utilizând mijloace digitale;

2) politica de identificare a persoanei de la distanţă;

3) raportul de evaluare a conformităţii soluţiilor software emis de un organism de evaluare a conformităţii, care să ateste inclusiv îndeplinirea cerinţelor prevăzute în prezenta Procedură;

4) confirmarea certificării, de către un organism de evaluare a conformităţii, a soluţiei software ce realizează detectarea biometrică a vitalităţii feţei;

5) declaraţia pe propria răspundere a reprezentantului legal că prestatorul de servicii de încredere calificat a adoptat şi a implementat proceduri privind protecţia datelor cu caracter personal în procesul de identificare a persoanei de la distanţă utilizând mijloace digitale, în concordanţă cu legislaţia în domeniu;

6) lista standardelor în baza cărora se realizează identificarea la distanţă.

7. Organismul de evaluare a conformităţii trebuie să respecte următoarele cerinţe:

1) să fie acreditat de o entitate naţională sau internaţională recunoscută în domeniul evaluării tehnologiilor informaţionale şi biometrice;

2) să aibă o experienţă de minimum 5 ani în evaluarea sistemelor similare de identificare biometrică şi a mijloacelor digitale;

3) să facă publice metodologiile şi criteriile de evaluare utilizate, asigurând astfel transparenţa procesului;

4) să garanteze confidenţialitatea datelor şi informaţiilor analizate în cadrul evaluării, evitând astfel orice potenţial risc de divulgare sau de compromitere a informaţiilor.

II. ACTIVITĂŢILE SERVICIULUI DE IDENTIFICARE

A PERSOANEI DE LA DISTANŢĂ

8. Identificarea de la distanţă utilizând mijloace digitale poate fi realizată prin mijloace de verificare automatizate, fără operator uman, sau prin mijloace de verificare cu operator uman.

9. Identificarea de la distanţă utilizând mijloace digitale, realizată cu operator uman, poate fi efectuată doar de personal calificat, care dispune de următoarele abilităţi şi cunoştinţe:

1) cunoaşte şi aplică politica de identificare a persoanei de la distanţă;

2) cunoaşte şi aplică legislaţia şi reglementările în vigoare referitoare la protecţia datelor cu caracter personal;

3) cunoaşte caracteristicile de securitate ale actelor de identitate şi verificările care trebuie efectuate pentru identificarea actelor de identitate falsificate sau deteriorate;

4) cunoaşte modul de operare al atacatorilor care duce la scenariile de risc identificate în evaluarea riscurilor legate de furtul/falsul de identitate.

10. Persoanele care au atribuţii şi responsabilităţi în procesul de identificare a persoanei de la distanţă utilizând mijloace digitale sunt obligate, cel puţi anual, să urmeze instruiri specializate, organizate extern sau intern, în următoarele domenii:

1) identificarea biometrică;

2) protecţia datelor cu caracter personal;

3) securitatea informaţională.

11. Identificarea de la distanţă utilizând mijloace digitale se realizează prin intermediul soluţiilor software dezvoltate şi/sau implementate conform prevederilor a cel puţin unuia dintre următoarele standarde:

1) SM EN ISO/IEC 15408:2020 Tehnologia informaţiei. Tehnici de securitate. Criterii de evaluare a securităţii IT, părţile 1-5;

2) SM ISO/IEC 27034:2022 Tehnologia informaţiei. Tehnici de securitate. Securitatea aplicaţiei, părţile 1-7;

3) SM ISO/IEC 24745:2022 Securitatea informaţiei, securitatea cibernetică şi protecţia datelor personale. Protecţia informaţiilor biometrice.

12. Respectarea prevederilor din punctul 11 se confirmă prin raportul de evaluare a conformităţii soluţiilor software, emis de un organism de evaluare a conformităţii.

13. Suplimentar prevederilor din punctul 11, detectarea biometrică a vitalităţii feţei se realizează prin intermediul unei soluţii software certificate de un organism de evaluare a conformităţii, conform standardelor ISO/IEC 30107 Tehnologia informaţiei. Detectarea atacurilor de prezentare biometrică, minimum nivelul II.

14. Un serviciu de identificare a persoanei de la distanţă parcurge succesiv următoarele etape:

1) colectarea datelor de identificare;

2) verificarea datelor de identificare;

3) constituirea dosarului electronic de evidenţă;

4) transmiterea rezultatului verificării identităţii de la distanţă.

15. La iniţierea procedurii de identificare a persoanei de la distanţă, utilizând mijloace digitale, solicitantul trebuie să-şi exprime consimţământul în vederea parcurgerii procesului de identificare şi asupra scopului identificării, precum şi pentru realizarea de fotografii, capturi de imagini şi/sau colectarea de date ale sale şi ale actului de identitate. Exprimarea consimţământului va fi păstrată împreună cu probele colectate în procesul de identificare.

16. În procesul de colectare a datelor cu caracter personal, solicitantul îşi exprimă consimţământul privind preluarea acestora din sursa externă concretă de date şi asupra categoriilor de date. Se interzice utilizarea datelor cu caracter personal/informaţiilor obţinute de prestatorul de servicii de încredere calificat în procesul de identificare a persoanei de la distanţă din diverse surse fără informarea şi consimţământul solicitantului.

17. Colectarea datelor de identificare se poate efectua simultan sau succesiv, în orice ordine. În procesul de colectare a datelor de identificare sunt furnizate sau preluate, din surse externe de date, următoarele date referitoare la solicitant:

1) numele şi prenumele solicitantului;

2) numărul de identificare de stat al persoanei fizice;

3) data şi locul naşterii solicitantului;

4) seria şi numărul actului de identitate;

5) data emiterii actului de identitate;

6) data de expirare a actului de identitate;

7) înregistrări foto şi video ale feţei solicitantului;

8) înregistrări foto şi video ale actului de identitate a solicitantului, în cazul în care identificarea persoanei de la distanţă se realizează utilizând mijloace digitale de verificare cu participarea operatorului uman;

9) cheile dispozitivului solicitantului;

10) datele de contact (telefon, adresa poştei electronice (e-mail) etc.).

18. La autenticitatea actului de identitate este verificată criptografic, folosind componenta de securitate, datele de identificare ale solicitantului (inclusiv fotografia acestuia), stocate pe componenta de securitate a actului de identitate, sunt preluate în mod securizat şi utilizate în procesul de identificare a persoanei de la distanţă utilizând mijloace digitale.

19. Serviciul de identificare a persoanei de la distanţă protejează confidenţialitatea şi integritatea datelor de identificare ale solicitantului pe măsură ce acestea sunt preluate de serviciu, prin intermediul dispozitivului solicitantului.

20. Suplimentar datelor preluate conform punctului 17, solicitantul poate furniza şi alte date sau îşi poate exprima consimţământul pentru ca acestea să fie preluate din surse externe de date.

21. Pe baza datelor de identificare colectate prin intermediul prelucrării automatizate, după caz cu implicarea operatorilor, se realizează verificarea autenticităţii actului de identitate prezentat, a statutului acestuia (nedeclarat pierdut sau furat) şi faptul că solicitantul este deţinătorul legitim al acestuia. Autenticitatea actului de identitate prezentat de solicitant poate fi verificată criptografic folosind tehnologia NFC pentru citirea componentei de securitate a acestuia. De asemenea, verificarea autenticităţii actului de identitate prezentat şi a datelor pe care le conţine, precum şi a datelor furnizate de solicitant, se realizează prin compararea cu datele din surse externe de date, inclusiv cu Registrul de stat al populaţiei.

22. Pentru identificarea solicitantului şi pentru verificarea identităţii acestuia se realizează în mod automatizat conversia în date a imaginilor preluate (crearea amprentei faciale) şi compararea acestora cu cele din Registrul de stat al populaţiei. Verificarea identităţii solicitantului este efectuată pe baza potrivirii semnalmentelor biometrice faciale şi a detectării biometrice a vitalităţii feţei printr-un algoritm de învăţare profundă. În timpul sesiunii de verificare a identităţii, pentru a determina vivacitatea semnalmentelor biometrice faciale ale solicitantului se face o comparaţie între un instantaneu luat dintr-un flux video selfie cu imaginea persoanei citită de pe componenta de securitate a actului de identitate, după caz, preluată din Registrul de stat al populaţiei.

23. În procesul de identificare a persoanei de la distanţă utilizând mijloace digitale sunt permise numai actele de identitate prevăzute în anexă, identificabile în mod clar, aflate în termenul de valabilitate şi emise de o autoritate publică competentă.

24. Serviciul de identificare a persoanei de la distanţă este obligat să implementeze cerinţele tehnice şi de securitate care permit verificarea autenticităţii, validităţii şi integrităţii actelor de identitate utilizate în procesul de identificare utilizând mijloace digitale, în concordanţă cu standardele prevăzute de prezenta Procedură.

25. Pentru identificarea persoanei de la distanţă se utilizează atât acte de identitate, a căror imagine este capturată prin mijloace video sau sunt verificate criptografic folosind tehnologia NFC pentru citirea componentei de securitate a acestuia, cât şi date sau informaţii obţinute din surse externe de date.

26. În etapa de verificare a datelor de identificare pentru sporirea nivelului de asigurare, suplimentar măsurilor prevăzute la punctele 21 şi 22, prestatorii de servicii de încredere calificaţi sunt în drept, cu consimţământul solicitanţilor, să aplice alte măsuri de verificare.

27. La verificarea identităţii solicitantului, faţa, capul şi umerii acestuia trebuie să fie vizibile şi încadrate. Faţa trebuie să fie liberă de umbre şi descoperită şi să se distingă clar de fundal şi alte obiecte, ca să poată fi recunoscută.

28. Serviciul de identificare a persoanei de la distanţă, după caz operatorul, poate îndruma solicitantul să-şi schimbe poziţia corpului şi să se introducă pe sine, după caz, şi actul de identitate în cadru, pentru a face posibilă identificarea acestuia de la distanţă.

29. Serviciul de identificare a persoanei de la distanţă, după caz, operatorul, poate cere îndepărtarea obiectelor care acoperă capul sau faţa şi ochelarii.

30. La verificarea identităţii solicitantului se au în vedere următoarele aspecte, dar fără a se limita la acestea:

1) să se asigure că fotografia şi elementele înscrise pe actul de identitate corespund solicitantului care parcurge procedura de identificare a persoanei de la distanţă utilizând mijloace digitale;

2) să se asigure că informaţiile conţinute în actul de identitate sunt corecte şi valabile, în raport cu solicitantul care parcurge procedura de identificare a persoanei de la distanţă utilizând mijloace digitale;

3) să se asigure că informaţiile furnizate de solicitantul care parcurge procedura de identificare a persoanei de la distanţă utilizând mijloace digitale sunt corecte;

4) în cazul în care identificarea solicitantului de la distanţă prin metode digitale se realizează în mod automatizat, fără participarea unui operator uman, solicitările şi secvenţele video trebuie să conţină un element aleatoriu pentru a preveni riscul de preînregistrare a procesului de identificare de la distanţă prin mijloace digitale;

5) să se efectueze verificarea încrucişată a informaţiilor furnizate de către solicitant, care parcurge procedura de identificare a persoanei de la distanţă utilizând mijloace digitale, şi a informaţiilor rezultate din calculul automat al citirii caracterelor MRZ, atunci când este posibil;

6) să se solicite, dacă este cazul, alte documente şi/sau informaţii prin care să se verifice identitatea.

31. Cerinţele tehnice şi organizatorice în procesul de identificare a solicitantului de la distanţă utilizând mijloace digitale sunt următoarele:

1) identificarea persoanei de la distanţă prin mijloace digitale este efectuată în timp real, într-o sesiune unică şi fără întreruperi/pauze, iar în cazul necesităţii validării suplimentare a probelor colectate de către un operator, transmiterea rezultatului verificării identităţii de la distanţă se va realiza într-un termen de maximum 72 de ore din momentul finalizării sesiunii;

2) integritatea şi confidenţialitatea comunicării este asigurată în mod corespunzător prin utilizarea unui canal criptat;

3) înregistrarea trebuie să prevadă în mod clar data şi ora, fie în cuprinsul acesteia, fie în metadate;

4) calitatea comunicării video-audio trebuie să permită identificarea clară a caracteristicilor feţei solicitantului şi, după caz, a elementelor de securitate ale actelor de identitate.

32. Dacă nu sunt îndeplinite condiţiile tehnice necesare pentru desfăşurarea corespunzătoare a procesului de verificare a identităţii, de exemplu, în cazurile calităţii joase a imaginii, a condiţiilor slabe de lumină sau de sunet, a întreruperilor în transmisia video, procesul de identificare a persoanei de la distanţă utilizând mijloace digitale este întrerupt, urmând a se relua.

33. Ori de câte ori actul de identitate prezentat în timpul procesului de identificare a persoanei de la distanţă utilizând mijloace digitale oferă îndoieli cu privire la conţinutul său, în ceea ce priveşte autenticitatea, actualitatea şi exactitatea informaţiilor oferite, procesul de identificare a persoanei de la distanţă prin mijloace digitale se va întrerupe, caz în care prestatorul de servicii de încredere calificat va documenta motivele întreruperii pentru evidenţe interne şi pentru controale/audituri externe viitoare.

34. Ori de câte ori, în timpul identificării utilizând mijloace digitale, există suspiciuni cu privire la veridicitatea elementelor de identificare, procesul de identificare nu produce efectele dovedirii elementelor de identificare pentru care este destinat, acesta va fi întrerupt, caz în care prestatorul de servicii de încredere calificat va documenta motivele întreruperii, pentru evidenţe interne şi pentru controale/audituri externe viitoare.

35. Datele colectate în procesul de identificare a persoanei de la distanţă, în scopul emiterii certificatelor calificate conform Legii nr.124/2022 privind identificarea electronică şi serviciile de încredere, indiferent de sursa acestora, împreună cu constatările şi rezultatul verificării, se păstrează în dosarul electronic de evidenţă pentru o perioadă de 15 ani.

36. Serviciul de identificare a persoanei de la distanţă protejează confidenţialitatea şi integritatea dosarului electronic de evidenţă.

37. După verificarea identităţii solicitantului, serviciul de identificare a persoanei de la distanţă comunică în regim automatizat serviciului client rezultatul verificării identităţii de la distanţă, inclusiv verdictul (reuşit sau nereuşit), motivul eşecului, dacă este cazul, şi atributele de identitate referitoare la solicitantul verificat.

38. Identificarea persoanei de la distanţă cu ajutorul mijloacelor digitale este considerată nereuşită dacă:

1) solicitantul a transmis în mod intenţionat sau neintenţionat date care nu corespund datelor de identificare colectate din surse externe de date;

2) solicitantul a prezentat un act de identitate nevalabil sau neautentic;

3) sesiunea expiră sau este întreruptă în timpul identificării unei persoane, a interviului, ori fluxul de informaţii nu asigură transmiterea de sunet şi de imagini sincronizate, clare, înregistrabile şi reproductibile, care trebuie să fie suficiente pentru a înţelege fără ambiguitate şi încredere că conţinutul transmis este sigur;

4) solicitantul refuză să respecte instrucţiunile serviciului de identificare a persoanei de la distanţă sau pe cele ale operatorului specificate în punctele 27-29.

39. Se interzice utilizarea datelor obţinute de către prestatorul de servicii de încredere calificat în procesul de identificare a persoanei de la distanţă prin mijloace digitale din diverse surse în alte scopuri, fără consimţământul persoanei sau conform altor prevederi legale în acest sens.

40. Prestatorul de servicii de încredere calificat este responsabil de luarea tuturor măsurilor care să asigure confidenţialitatea datelor de identificare ale persoanei, securitatea canalului de comunicare, autenticitatea, integritatea şi conservarea înregistrării.

III. CERINŢE PENTRU REALIZAREA PROCEDURII DE IDENTIFICARE

A PERSOANEI DE LA DISTANŢĂ UTILIZÂND MIJLOACE DIGITALE

Secţiunea 1

Cerinţe generale

41. La identificarea persoanei de la distanţă se utilizează mijloace digitale care garantează identificarea veridică a unei persoane şi permit prevenirea modificării sau utilizării abuzive a datelor transmise.

42. Fluxul de informaţii care conţine imagine şi sunet este înregistrat în aşa fel încât să permită reproducerea acestuia cu o calitate egală cu transmisia iniţială a sunetului şi imaginii sincronizate.

43. Fluxul de informaţii care conţine imagine şi sunet se înregistrează cu marca temporală electronică, cu adresa IP a solicitantului, cu numărul de identificare de stat al persoanei fizice care urmează să fie identificată. Marca temporală electronică este legată de datele care o privesc astfel încât să poată fi identificată orice modificare ulterioară a datelor, persoana care a făcut modificările, data, ora, modul şi motivul acestora.

44. Prestatorul de servicii de încredere calificat este obligat:

1) să elaboreze şi să menţină o descriere detaliată a arhitecturii sistemului informatic a serviciului de identificare a persoanei de la distanţă;

2) să elaboreze şi să menţină un plan de răspuns la incidente;

3) să elaboreze şi să menţină un plan de rezilienţă pentru a se asigura că informaţiile relevante rămân accesibile pentru o perioadă adecvată de timp, în scopul furnizării de probe legale şi al continuităţii activităţii;

4) să stabilească proceduri privind efectuarea copiilor de rezervă şi de recuperare în cazul unui incident de securitate cibernetică;

5) să înregistreze toate prelucrările de date şi acţiunile automatizate efectuate de operatori în cadrul unei verificări a identităţii de la distanţă;

6) să se asigure că informaţiile furnizate nu sunt false sau înşelătoare;

7) să furnizeze suficiente dovezi asupra faptului că modul în care funcţionează nu este de natură să-şi compromită imparţialitatea şi calitatea serviciului său pentru client sau să dea naştere unor conflicte de interese;

8) să dispună de licenţe valabile pentru instrumentele (software sau hardware) utilizate pentru furnizarea serviciului;

9) să ţină auditul operaţiilor de prelucrare a datelor cu caracter personal, al sistemului informatic al serviciului de identificare a persoanei de la distanţă, în funcţie de criterii şi indicatori specifici.

45. Dacă serviciul necesită instalarea unei anumite aplicaţii pe dispozitivul solicitantului, prestatorul de servicii de încredere calificat asigură disponibilitatea aplicaţiei mobile prin publicarea pe principalele platforme/magazine online de aplicaţii mobile.

Secţiunea a 2-a

Evaluarea şi managementul riscurilor

46. Prestatorul de servicii de încredere calificat asigură realizarea şi revizuirea cel puţin o dată pe an a unei evaluări a riscurilor legate de furtul/falsul de identitate şi a unei evaluări a riscurilor legate de securitatea sistemelor informatice.

47. În evaluarea riscurilor legate de furtul/falsul de identitate, prestatorul de servicii de încredere calificat identifică scenariile de risc legate de:

1) contrafacerea şi falsificarea actelor de identitate prin mijloace fizice, inclusiv următoarele:

a) utilizarea unui act de identitate contrafăcut pentru a crea o identitate falsă;

b) utilizarea unui act de identitate contrafăcut pentru a sustrage identitatea unei persoane existente;

c) utilizarea unui act de identitate falsificat pentru a crea o identitate falsă;

d) utilizarea unui act de identitate falsificat pentru a sustrage identitatea unei persoane existente;

2) contrafacerea şi falsificarea actelor de identitate prin mijloace digitale, inclusiv următoarele:

a) prezentarea unui act de identitate "virtual" (de exemplu, modelarea unei imagini de transpus pe videoclipul actului de identitate) pentru a crea o identitate falsă – atunci când autenticitatea actului de identitate nu este verificată criptografic folosind componenta de securitate;

b) inserarea de date frauduloase (fotografie, date de identitate etc.) în locul datelor prezente pe actul de identitate pentru a crea o identitate falsă – atunci când autenticitatea actului de identitate nu este verificată criptografic folosind componenta de securitate;

c) compromiterea secretelor criptografice sau exploatarea unei vulnerabilităţi în protocolul criptografic pentru modificarea datelor de identificare extrase din actul de identitate – atunci când autenticitatea actului de identitate este verificată criptografic folosind componenta de securitate;

3) modificarea aspectului solicitantului prin mijloace fizice, inclusiv următoarele:

a) folosirea unei măşti "fizice" (din latex, de exemplu) care seamănă cu o persoană existentă, pentru a-i fura identitatea acesteia;

b) folosirea machiajului pentru a se face să arate ca o persoană existentă, pentru a-i fura identitatea;

4) modificarea aspectului solicitantului prin mijloace digitale, inclusiv următoarele:

a) utilizarea unei măşti "virtuale" (modelarea unei măşti virtuale din videoclipuri sau fotografii, de exemplu) care seamănă cu o persoană existentă, pentru a-i fura identitatea;

b) inserarea de fotografii sau videoclipuri frauduloase ale feţei unei persoane existente pentru a înlocui datele furnizate în etapa de colectare, pentru a-i sustrage identitatea;

5) asemănarea solicitantului cu o persoană existentă pentru a fura identitatea acelei persoane (sosie, geamăn etc.);

6) influenţa asupra comportamentului solicitanţilor, inclusiv următoarele:

a) generarea unei constrângeri asupra solicitantului care îl obligă să se identifice de la distanţă (ameninţare fizică, şantaj etc.);

b) atragerea solicitantului prin invitarea acestuia să se identifice de la distanţă la un alt serviciu decât cel pe care crede că îl accesează, pentru a-şi colecta datele de identificare.

48. Prestatorul de servicii de încredere calificat revizuieşte evaluarea riscurilor legate de furtul/falsul de identitate ori de câte ori se modifică politica de identificare a persoanei de la distanţă sau în funcţie de evoluţiile tehnologice, dar nu mai rar decât o dată pe an.

49. În evaluarea riscurilor legate de securitatea sistemelor informatice, prestatorul de servicii de încredere calificat identifică scenarii de risc legate de:

1) scurgerea de date cu caracter personal;

2) scurgerea de informaţii sensibile referitoare la procesele de detectare a fraudelor.

50. Prestatorul de servicii de încredere calificat revizuieşte evaluarea riscurilor legate de securitatea sistemelor informatice în cazul oricăror modificări structurale ale sistemului informatic al serviciului de identificare a persoanei de la distanţă, inclusiv modificări ale găzduirii, ale infrastructurii sau ale arhitecturii acestuia sau modificări ale politicii de identificare a persoanei de la distanţă.

51. Prestatorul de servicii de încredere calificat este obligat să elaboreze un plan de management al riscului, care să acopere întreaga sferă a serviciului de identificare a persoanei de la distanţă şi să fie asociat cu toate evaluările de risc identificate în punctul 47.

52. Prestatorul de servicii de încredere calificat elaborează şi menţine un plan cu scopul de a testa capacitatea efectivă a serviciului de a detecta tentativele de furt/falsul de identitate:

1) pentru autenticitatea actului de identitate:

a) testarea eficacităţii măsurilor aplicate în cadrul planului de gestionare a riscurilor pentru a le reduce pe cele legate de contrafacerea şi falsificarea actelor de identitate prin mijloace fizice sau digitale identificate în evaluarea riscurilor legate de furtul/falsul de identitate – atunci când autenticitatea actului de identitate nu este verificată criptografic folosind componenta de securitate;

b) măsurarea ratelor de fals respingere şi fals acceptare realizate efectiv în contextul detectării riscurilor legate de contrafacerea şi falsificarea actelor de identitate prin mijloace fizice sau digitale identificate în evaluarea riscurilor legate de furtul/falsul de identitate – atunci când autenticitatea actului de identitate nu este verificată criptografic folosind componenta de securitate;

2) pentru detectarea biometrică a vitalităţii feţei:

a) testarea eficacităţii măsurilor aplicate în cadrul planului de management al riscurilor, pentru reducerea riscurilor legate de modificarea aspectului solicitantului prin mijloace fizice sau digitale identificate în evaluarea riscurilor legate de furtul/falsul de identitate;

b) măsurarea ratelor de fals respingere şi fals acceptare realizate efectiv în contextul detectării riscurilor legate de modificarea aspectului solicitantului prin mijloace fizice sau digitale identificate în evaluarea riscurilor legate de furtul/falsul de identitate;

3) pentru compararea semnalmentelor biometrice faciale ale solicitantului:

a) testarea eficacităţii măsurilor aplicate în cadrul planului de gestionare a riscurilor, pentru a reduce riscurile legate de asemănarea firească a solicitantului cu o altă persoană (sosie, geamăn etc.);

b) măsurarea ratelor de fals respingere şi fals acceptare realizate în contextul comparării semnalmentelor biometrice faciale ale solicitantului cu fotografia din actul de identitate şi/sau din Registrul de stat al populaţiei;

4) pentru riscurile legate de influenţarea comportamentului solicitantului – testarea eficacităţii măsurilor aplicate în cadrul planului de management al riscurilor pentru a reduce riscurile legate de influenţarea comportamentului solicitanţilor identificate în evaluarea riscurilor privind furtul/falsul de identitate.

53. Prestatorul de servicii de încredere calificat este obligat să execute planul de testare anual şi ori de câte ori are loc o modificare structurală a serviciului, o actualizare a evaluărilor riscurilor sau a planului de management al riscului.

Secţiunea a 3-a

Politica de identificare a persoanei de la distanţă

54. Prestatorul de servicii de încredere calificat este obligat să elaboreze şi să menţină o politică de identificare a persoanei de la distanţă.

55. Prestatorul de servicii de încredere calificat se asigură că solicitanţii au acces uşor, direct şi permanent la politica de identificare a persoanei de la distanţă.

56. Politica de identificare a persoanei de la distanţă trebuie:

1) să identifice dacă serviciul de identificare a persoanei de la distanţă operează cu mijloace de verificare automatizate fără operator uman sau prin mijloace de verificare cu operator uman;

2) să identifice atributele actului de identitate care caracterizează unicitatea identităţii unei persoane fizice;

3) să precizeze că prestatorul de servicii de încredere calificat respectă principiul minimizării datelor colectate şi păstrate;

4) să identifice toate datele personale referitoare la solicitanţi, prelucrate de către serviciul de identificare a persoanei de la distanţă;

5) să identifice care dintre datele personale ale solicitantului prelucrate de serviciu pot face obiectul prelucrării biometrice;

6) să interzică corectarea sau ştergerea de către solicitant a dosarului electronic de evidenţă şi a rezultatelor verificării de la distanţă a identităţii transmise serviciului client, precum şi a tuturor informaţiilor necesare stabilirii rezultatului;

7) să interzică accesul solicitantului la datele care au făcut obiectul unei prelucrări, a căror dezvăluire poate oferi informaţii despre natura verificărilor efectuate de serviciu şi referitoare la detectarea furtului/falsului de identitate;

8) să identifice toate limbile acceptate de serviciul de identificare a persoanei de la distanţă şi să indice că serviciul acceptă cel puţin limba română;

9) să precizeze că serviciul, înainte de a obţine date de identificare, trebuie să ceară solicitantului limba pe care doreşte să o folosească, atunci când serviciul acceptă una sau mai multe limbi, altele decât româna;

10) să identifice cerinţele care pot fi făcute de către serviciu sau de către operator către solicitant, pentru colectarea corectă a datelor din actul de identitate (luminozitate, focalizare, strălucire etc.);

11) să descrie solicitările care pot fi făcute de către serviciu sau de către operator solicitantului în procesul de colectare şi de verificare a datelor de identificare (luminozitate, focalizare, îndepărtarea ochelarilor solicitantului etc.);

12) să furnizeze informaţii cu privire la actele de identitate acceptate de serviciul de identificare a persoanei de la distanţă;

13) să indice că numai actele de identitate neexpirate sunt acceptate de către serviciu;

14) să precizeze că dacă se efectuează o verificare a valabilităţii actului de identitate, iar verificarea validităţii concluzionează că actul de identitate este nevalabil, atunci verdictul verificării identităţii de la distanţă este întotdeauna "nereuşit";

15) atunci când autenticitatea actului de identitate nu este verificată criptografic folosind componenta de securitate:

a) să descrie modul în care sunt verificate actele de identitate modificate fizic (acte de identitate rupte sau deteriorate etc.);

b) să precizeze rezoluţia minimă postcompresie a actului de identitate acceptat de serviciu. Rezoluţia minimă nu poate fi mai mică de 720p: 1280 × 720 la 25 de cadre pe secundă;

16) atunci când autenticitatea actului de identitate este verificată criptografic folosind componenta de securitate:

a) să precizeze că verdictul dat de serviciu este automat "nereuşit", fără intervenţia operatorului, dacă procesele automatizate de verificare a autenticităţii actului de identitate concluzionează că actul nu este autentic;

b) să menţioneze că fotografia folosită pentru efectuarea comparaţiei faciale este cea extrasă din componenta de securitate şi/sau, după caz, este preluată din Registrul de stat al populaţiei;

17) să precizeze că autenticitatea actului de identitate este verificată criptografic folosind componenta de securitate a documentului respectiv – în cazul în care identificarea solicitantului de la distanţă prin metode digitale se realizează în mod automatizat fără participarea unui operator uman. În cazul acesta, dacă din punct de vedere tehnic sau juridic este imposibil să se utilizeze componenta de securitate a actului de identitate sau dacă actul de identitate nu are componentă de securitate, acesta nu poate fi acceptat;

18) să precizeze că, pentru fiecare act de identitate acceptat, valabilitatea actului de identitate este verificată sistematic prin intermediul unui serviciu furnizat de autoritatea emitentă a actului de identitate. Dacă acest serviciu nu există sau este indisponibil, actul de identitate nu poate fi acceptat;

19) să specifice rezoluţia minimă după comprimare acceptată de serviciu pentru videoclipul feţei solicitantului. Această rezoluţie nu poate fi mai mică de 720p: 1280 × 720 la 25 de cadre pe secundă;

20) să precizeze că trebuie creat un dosar cu probe pentru fiecare verificare a identităţii, indiferent de verdict ("reuşit" sau "nereuşit");

21) să identifice componentele dosarului electronic de evidenţă. Aceste elemente trebuie să ofere toate informaţiile necesare soluţionării litigiilor;

22) să precizeze că prestatorul de servicii de încredere calificat criptează fişierele cu probe de îndată ce acestea sunt create, că cheia de decriptare este implementată în echipamente criptografice securizate;

23) să specifice metodele de gestionare a cheii de decriptare a dosarului cu probe şi, în mod special, să permită accesul la această cheie numai celor care trebuie să ştie;

24) să prevadă că solicitanţii îşi pot exercita dreptul de acces la datele cu caracter personal deţinute de prestatorul de servicii de încredere calificat în dosarul de evidenţă, dar nu pot exercita dreptul la rectificarea acelui fişier;

25) să precizeze că rezultatul verificării identităţii de la distanţă este transmis sistematic către serviciul client, indiferent de verdict ("reuşit" sau "nereuşit");

26) să indice că rezultatul verificării identităţii de la distanţă constă din verdictul ("reuşit" sau "nereuşit") al verificării şi în atributele de identitate ale solicitantului (nume, prenume, sex, data naşterii, locul naşterii, numărul de identificare de stat al persoanei fizice, numărul actului de identitate, o fotografie a feţei solicitantului luată din videoclipul feţei solicitantului etc.), precum şi orice date suplimentare solicitate de serviciul client;

27) să precizeze că videoclipurile cu actul de identitate şi faţa solicitantului nu sunt trimise în niciun fel către serviciul client, nici integral, nici parţial;

28) să precizeze întârzierea maximă dintre începerea colectării datelor de identificare ale solicitantului şi notificarea rezultatului verificării identităţii către serviciul client.

57. În politica de identificare a persoanei de la distanţă se specifică expres că dosarul electronic de evidenţă conţine cel puţin următoarele elemente:

1) datele de identificare:

a) videoclipul actului de identitate – atunci când autenticitatea actului de identitate nu este verificată criptografic folosind componenta de securitate;

b) fotografia solicitantului extrasă din componenta de securitate a actului de identitate – atunci când autenticitatea actului de identitate este verificată criptografic folosind componenta de securitate;

c) videoclipul cu faţa solicitantului;

2) data colectării fiecărei date de identificare;

3) o listă a tuturor verificărilor efectuate asupra datelor de identificare şi pentru fiecare verificare:

a) data verificării;

b) activitatea asociată auditului, în special:

- verificarea autenticităţii actului de identitate;

- detectarea biometrică a vitalităţii feţei solicitantului;

- compararea semnalmentelor biometrice faciale ale solicitantului;

c) tipul verificării: cu/fără participarea unui operator uman;

d) identitatea operatorului care a efectuat verificarea, dacă a fost efectuată cu participarea acestuia;

e) versiunea şi configuraţia, dacă există, a instrumentelor care au efectuat verificarea, dacă a fost efectuată fără participarea unui operator uman;

f) constatarea intermediară a prelucrării automatizate, returnată operatorului în urma verificării, dacă este necesară o validare din partea unui operator uman;

4) verdictul verificării identităţii de la distanţă ("reuşit" sau "nereuşit");

5) motivele care au generat verdictul "nereuşit";

6) identitatea operatorului care a emis verdictul, în cazul verificării efectuate cu participarea unui operator uman;

7) data la care a fost emis verdictul;

8) numele şi prenumele solicitantului;

9) numărul de identificare de stat al solicitantului;

10) data şi locul naşterii solicitantului;

11) seria şi numărul actului de identitate;

12) data emiterii actului de identitate;

13) data de expirare a actului de identitate;

14) adresa IP şi datele tehnice ale dispozitivului solicitantului;

15) rezultatul verificării identităţii de la distanţă trimis serviciului client;

16) consimţământul solicitantului.

Anexă

la Procedura de identificare a persoanei

de la distanţă utilizând mijloace digitale

ACTELE DE IDENTITATE

acceptate în procesul de identificare a persoanei

de la distanţă utilizând mijloace digitale

1. Buletinul de identitate

2. Paşaportul

Notă. În cazul în care identificarea solicitantului de la distanţă prin metode digitale se realizează în mod automatizat, fără participarea unui operator uman, vor fi acceptate doar actele de identitate a căror autenticitate poate fi verificată criptografic, utilizând tehnologia NFC pentru citirea componentei lor de securitate.