Особа підписанта та цифрове підтвердження

Суть проблеми

Електронний підпис має цінність лише тоді, коли можна довести, хто саме його поставив. Простий клік на "Приймаю" нічого достовірного не говорить про особу.

Методи ідентифікації

Довірений email

Надсилається унікальне посилання. Клікнути може лише власник поштової скриньки. Основа для простого електронного підпису (SES).

Одноразовий код по SMS (OTP)

Одноразовий код надсилається на номер телефону. У поєднанні з email це стандарт для удосконаленого електронного підпису (AES).

Відеоверифікація KYC

Перевірка через відеоконференцію: документ, що посвідчує особу, тест на живість, розпізнавання OCR. Використовується для QES та регульованих секторів.

Кваліфікований сертифікат

Персональний криптографічний сертифікат, виданий кваліфікованим надавачем довірчих послуг (QTSP). Найвищий рівень, необхідний для кваліфікованого електронного підпису (QES).

Національна цифрова ідентичність

FranceConnect+, itsme (Бельгія), SPID (Італія). Гаманці EUDIW у майбутньому розширять цю можливість.

Рівні довіри (LoA)

Стандарт eIDAS визначає три рівні:

• Низький: простий email → SES
• Суттєвий: двофакторна перевірка → AES
• Високий: суворa перевірка → QES

Вимоги GDPR

Ідентифікація передбачає збір персональних даних. Регламент GDPR вимагає:

• Мінімізації (збирати лише необхідне)
• Документованого строку зберігання
• Права на доступ та видалення
• Правової підстави (виконання договору, стаття 6.1.b)

Біометричні дані (відео KYC) є чутливими — потрібна явна згода.

KYC у регульованих секторах

Банки, страхові компанії, криптосервіси, агенції з нерухомості підпадають під вимоги протидії відмиванню коштів та фінансуванню тероризму. KYC передбачає:

• Перевірку документа, що посвідчує особу, з розпізнаванням OCR
• Тест на живість (динамічне селфі)
• Звірку з базами санкцій (PEP, OFAC)
• Іноді — участь оператора-людини під час відеоперевірки

Помилок, яких слід уникати

• Покладатися лише на email для важливих договорів
• Зберігати документи, що посвідчують особу, безстроково
• Не документувати правову підставу обробки даних
• Збирати більше даних, ніж необхідно

Приклад використання: відкриття рахунку в необанку

1. Введення даних (ім'я, адреса, професія)
2. Завантаження документа, що посвідчує особу, та підтвердження місця проживання
3. Тест на живість: динамічне селфі
4. Підписання договору за допомогою AES з OTP-кодом по SMS

За 10 хвилин рахунок відкрито з ідентифікацією рівня "суттєвий", прийнятною для ACPR.

Як Certyneo вам допомагає

Certyneo нативно пропонує ідентифікацію через email + OTP-код по SMS (AES). Для випадків, що вимагають посиленого KYC, доступна інтеграція з відеоверифікацією: перевірка документа, тест на живість, звірка із санкційними списками.

Дані KYC розміщуються на серверах у ЄС, зашифровані, з документованими строками зберігання відповідно до GDPR.

Дізнатися більше про рішення для електронного підпису Certyneo

Часті запитання

Чи достатньо лише email для дійсного підпису?

Технічно так, для SES. Для важливого документа надавайте перевагу AES з OTP-кодом по SMS.

Чи забороняє GDPR зберігання документів, що посвідчують особу?

Ні, він регулює це. Правова підстава, обмежений строк зберігання, посилена безпека для чутливих даних.

Чи можна використовувати FranceConnect+?

Так, він визнається на рівні "суттєвий" для AES і навіть QES.

Чи обов'язкова відеоверифікація KYC для страхування?

Не як обов'язкова вимога сама по собі, але ACPR очікує посиленої ідентифікації.

Чи можна підписувати за допомогою ідентичності з іншої країни ЄС?

Так, завдяки взаємному визнанню в рамках eIDAS (itsme, SPID, nPA).

Висновок

Ідентифікація — найвразливіша ланка в ланцюжку доказів. Приділіть їй належну увагу відповідно до важливості, і ваш підпис буде надійним.

Спробуйте Certyneo, щоб надсилати, підписувати та відстежувати ваші документи онлайн просто, швидко та безпечно.