Tożsamość podpisującego i dowód cyfrowy

Sedno problemu

podpis elektroniczny ma wartość tylko wtedy, gdy można udowodnić, kto go złożył. Zwykłe kliknięcie w "Akceptuję" nie mówi nic wiarygodnego o tożsamości.

Techniki identyfikacji

Zaufany e-mail

Wysłany unikalny link. Kliknąć może wyłącznie posiadacz skrzynki. Podstawa podpisu zwykłego (SES).

Kod OTP przez SMS

Jednorazowy kod wysłany na numer telefonu. W połączeniu z e-mailem stanowi standard podpisu zaawansowanego (AES).

Weryfikacja wideo KYC

Weryfikacja przez wideorozmowę: dokument tożsamości, test żywotności, OCR. Stosowana dla podpisu kwalifikowanego (QES) i w sektorach regulowanych.

Certyfikat kwalifikowany

Osobisty certyfikat kryptograficzny wydany przez kwalifikowanego dostawcę usług zaufania (QTSP). Najwyższy poziom, wymagany dla podpisu kwalifikowanego (QES).

Krajowa tożsamość cyfrowa

FranceConnect+, itsme (Belgia), SPID (Włochy). Portfele EUDIW rozszerzą tę opcję w przyszłości.

Poziomy zaufania (LoA)

Rozporządzenie eIDAS definiuje trzy poziomy:

• Niski: zwykły e-mail → podpis zwykły (SES)
• Znaczny: podwójne uwierzytelnienie → podpis zaawansowany (AES)
• Wysoki: rygorystyczna weryfikacja → podpis kwalifikowany (QES)

Wyzwania związane z RODO

Identyfikacja wiąże się ze zbieraniem danych osobowych. RODO wymaga:

• Minimalizacji danych (zbieranie wyłącznie tego, co niezbędne)
• Udokumentowanego okresu przechowywania
• Prawa dostępu i usunięcia danych
• Podstawy prawnej (wykonanie umowy, art. 6 ust. 1 lit. b)

Dane biometryczne (wideo KYC) są danymi wrażliwymi — wymagana jest wyraźna zgoda.

KYC i sektory regulowane

Banki, ubezpieczyciele, podmioty z branży kryptowalut i pośrednicy nieruchomości podlegają przepisom AML/CFT. Procedura KYC wymaga:

• Weryfikacji dokumentu tożsamości z użyciem OCR
• Testu żywotności (dynamiczne selfie)
• Sprawdzenia w bazach sankcyjnych (PEP, OFAC)
• Czasem interwencji operatora ludzkiego podczas wideorozmowy

Błędów, których należy unikać

• Poleganie wyłącznie na e-mailu w przypadku umów o istotnym znaczeniu
• Przechowywanie dokumentów tożsamości bezterminowo
• Brak udokumentowania podstawy prawnej
• Zbieranie danych w większym zakresie niż to konieczne

Przykład zastosowania: otwarcie konta w neobanku

1. Wprowadzenie danych (imię i nazwisko, adres, zawód)
2. Przesłanie dokumentu tożsamości i potwierdzenia adresu zamieszkania
3. Test żywotności: dynamiczne selfie
4. Podpisanie umowy w trybie AES z kodem OTP SMS

W 10 minut konto zostaje otwarte z identyfikacją na poziomie "znacznym", akceptowalną przez ACPR.

Jak Certyneo może pomóc

Certyneo natywnie oferuje identyfikację przez e-mail oraz kod OTP SMS (AES). Dla przypadków wymagających wzmocnionego KYC dostępna jest integracja z weryfikacją wideo: sprawdzenie dokumentu, test żywotności, sprawdzenie w bazach sankcyjnych.

Dane KYC są przechowywane na serwerach w UE, szyfrowane, z udokumentowanymi okresami przechowywania zgodnie z RODO.

Poznaj rozwiązanie do podpisu elektronicznego Certyneo

FAQ

Czy sam e-mail wystarczy do ważnego podpisu?

Technicznie tak, w przypadku podpisu zwykłego (SES). Dla dokumentów o istotnym znaczeniu zalecany jest podpis zaawansowany (AES) z kodem OTP SMS.

Czy RODO zabrania przechowywania dokumentów tożsamości?

Nie, reguluje to zagadnienie. Wymaga podstawy prawnej, ograniczonego okresu przechowywania oraz wzmocnionego bezpieczeństwa danych wrażliwych.

Czy można wykorzystać FranceConnect+?

Tak, uznawany jest za poziom "znaczny" dla podpisu zaawansowanego (AES), a nawet kwalifikowanego (QES).

Czy weryfikacja wideo KYC jest obowiązkowa dla ubezpieczeń?

Nie jest to wymóg wprost, ale ACPR oczekuje wzmocnionej identyfikacji.

Czy można podpisać dokument, korzystając z tożsamości z innego kraju UE?

Tak, dzięki wzajemnemu uznawaniu w ramach rozporządzenia eIDAS (itsme, SPID, nPA).

Podsumowanie

Identyfikacja to najsłabsze ogniwo łańcucha dowodowego. Zadbaj o nią odpowiednio do wagi sprawy, a Twój podpis będzie solidny.

Wypróbuj Certyneo, aby wysyłać, podpisywać i śledzić swoje dokumenty online — prosto, szybko i w pełni bezpiecznie.