Na podlagi 27. člena Zakona o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 68/16) izdaja ministrica za finance
o tehničnih pogojih, ki jih morajo izpolnjevati videoelektronska identifikacijska sredstva
S tem pravilnikom se določajo minimalni tehnični pogoji, ki jih morajo izpolnjevati videoelektronska identifikacijska sredstva, ter način njihove uporabe za namen ugotavljanja in preverjanja istovetnosti strank pri izvajanju pregleda stranke kot ukrepa za preprečevanje pranja denarja in financiranja terorizma s strani zavezancev iz 4. člena Zakona o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 68/16; v nadaljnjem besedilu: ZPPDFT-1).
Posamezni izrazi, uporabljeni v tem pravilniku, pomenijo:
1. »videoelektronska identifikacija« je postopek ugotavljanja in preverjanja istovetnosti stranke pri izvajanju pregleda stranke s pomočjo videoelektronskega identifikacijskega sredstva;
2. »posnetek zaslona« je grafični prikaz vsebine zaslona kot vidnega sestavnega dela videoelektronske identifikacije, ki je izdelan in shranjen v elektronski obliki v primerni kakovosti, ki ustreza namenu preverjanja in hrambe podatkov;
3. »uradni osebni dokument« za potrebe izvajanja videoelektronske identifikacije je uradni osebni dokument, ki je opremljen z biometrično fotografijo ter vsebuje optične in druge zaščitne znake, ki so najmanj enakovredni holografskim elementom oziroma elementom, ki se odzivajo na premikanje dokumenta in tako vplivajo na njihovo zaznavanje iz različnih zornih kotov ter jih je mogoče jasno vidno prepoznati in preveriti tudi v obliki posnetka zaslona.
4. »biometrična fotografija« iz prejšnje točke je fotografija, ki ustreza zahtevam, ki jih ministrstvo, pristojno za notranje zadeve, postavlja za izdajo biometrične potne listine, osebne izkaznice in vozniškega dovoljenja, ter se nanašajo na format, osvetlitev, ostrino in kontrast, ozadje, kakovost fotografije, pozicijo glave in izraz na obrazu, oči in smer pogleda ter na osebe, ki nosijo očala ali pokrivala.
(usposobljenost izvajalca)
(1) Oseba, ki za zavezanca izvede videoelektronsko identifikacijo, mora biti ustrezno usposobljena in zanesljiva.
(2) Ustrezna usposobljenost predpostavlja najmanj:
– poznavanje predpisov s področja preprečevanja pranja denarja in financiranja terorizma ter varstva osebnih podatkov;
– razumevanje tehničnih zahtev in delovanja naprav, s katerimi se izvede videoelektronska identifikacija;
– poznavanje značilnosti uradnih osebnih dokumentov;
– poznavanje praktične izvedbe videoelektronske identifikacije, vključno s preverjanjem zaščitnih znakov uradnega osebnega dokumenta oziroma uporabo ustrezne programske podpore za njihovo preverjanje, ugotavljanjem verodostojnosti podatkov ter zaznavo nelogičnih ali nedoslednih odzivov stranke v postopku izvedbe videoelektronske identifikacije.
(3) Zavezanec ali oseba, ki jo zavezanec pooblasti za izvajanje videoelektronske identifikacije, dokumentira izvedbo usposabljanja tako, da je možno ugotoviti njegovo ustreznost.
(1) Videoelektronska identifikacija se izvede v posebnem prostoru, ki je ločen od drugih prostorov zavezanca oziroma izvajalca videoelektronske identifikacije.
(2) Dostop do prostora, v katerem se izvaja videoelektronska identifikacija, mora biti ves čas nadzorovan in omogočen izključno osebam, ki sodelujejo pri izvedbi videoelektronske identifikacije.
(predhodno soglasje stranke)
(1) Na začetku postopka videoelektronske identifikacije se stranko, ki je pristopila k takemu načinu pregleda, pozove, da poda izrecno soglasje k izvedbi celotnega postopka ter da posebej soglaša z izdelavo in hrambo zvočnega posnetka celotnega postopka ter z izdelavo in hrambo posnetkov zaslona s podobo stranke in podobo njenega uradnega osebnega dokumenta.
(2) Za veljavnost soglasja iz prejšnjega odstavka veljajo določbe o pogojih za veljavnost privolitve, kot jih opredeljuje 7. člen Splošne Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljnjem besedilu: Splošna uredba o varstvu podatkov).
(3) Če stranka na začetku postopka ne poda soglasja po določbah tega člena, se videoelektronska identifikacija prekine in stranko se napoti na drug način ugotavljanja in preverjanja njene istovetnosti, ki je v skladu z ZPPDFT-1.
(osebni podatki in hramba podatkov)
(1) Osebni podatki, dokumentacija in posnetki, ki se zbirajo in obdelajo z videoelektronsko identifikacijo kot enim izmed dovoljenih načinov ugotavljanja in preverjanja istovetnosti stranke, se zbirajo in obdelajo za namen preprečevanja in odkrivanja pranja denarja in financiranja terorizma ter zanje v celoti veljajo določbe 32., 127. in 128. člena ZPPDFT-1, s katerimi je določena uporaba pridobljenih podatkov, dokumentacije in posnetkov ter obveščanje posameznika o obdelavi osebnih podatkov.
(2) Zavezanca glede hrambe podatkov iz prvega odstavka prejšnjega člena zavezuje določba 129. člena ZPPDFT-1 o hrambi podatkov pri zavezancu.
(organizacijsko-tehnične zahteve)
(1) Videoelektronska identifikacija se izvaja z videoelektronskim identifikacijskim sredstvom na način, ki zagotavlja videoprenos slike in zvoka v realnem času brez prekinitev.
(2) Celoten pogovor ali del pogovora, ki je namenjen izvedbi videoelektronske identifikacije, se zvočno posname.
(3) Videoelektronska identifikacija se izvaja z uporabo ustrezne tehnične opreme, ki zagotavlja varen videoprenos s šifriranjem celotne komunikacijske poti (šifriranje med končnimi točkami), tako da videoprenosa ni mogoče prestreči. Za šifriranje je potrebno uporabiti šifrirne algoritme in postopek upravljanja s ključi, za katere niso znane varnostne pomanjkljivosti, in šifrirne ključe temu ustreznih dolžin.
(4) Vsi podatki, pridobljeni med videoelektronsko identifikacijo, morajo biti ustrezno zaščiteni pred neupravičenim dostopom in zlorabo.
(5) Kakovost slike in zvoka videoprenosa morata ustrezati namenu nedvomne ugotovitve in preveritve istovetnosti stranke.
(1) Med videoelektronsko identifikacijo se izdela več posnetkov zaslona, s katerih so razvidni:
1. obraz fizične osebe, za katero se izvede pregled stranke;
2. prednja stran uradnega osebnega dokumenta oziroma stran, s katere so razvidni podatki;
3. zadnja stran uradnega osebnega dokumenta oziroma stran, s katere so razvidni podatki.
(2) Posnetki zaslona iz prejšnjega odstavka morajo biti take kakovosti, da je mogoče na njih v celoti in nedvomno prepoznati stranko in podatke, ki so razvidni iz njenega uradnega osebnega dokumenta.
(3) Stranka na zahtevo osebe, ki izvede videoelektronsko identifikacijo, zaradi ugotavljanja verodostojnosti slike in podatkov med videoelektronsko identifikacijo nagiba svojo glavo v različne smeri in ustno sporoči celotno serijsko številko uradnega osebnega dokumenta.
(4) Oseba, ki izvede videoelektronsko identifikacijo, se mora prepričati o avtentičnosti uradnega osebnega dokumenta in ujemanju podatkov na naslednje načine:
1. vidno preverjanje obstoja optičnih zaščitnih znakov, vključno s holografskimi ali drugimi enakovrednimi zaščitnimi elementi (na primer varnostne nitke, variabilne barve in podobno), ki morajo biti jasno prepoznavni tudi ob horizontalnem in vertikalnem nagibu uradnega osebnega dokumenta;
2. preverjanje formalnih znakov uradnega osebnega dokumenta in njihovo ujemanje glede na vrsto uradnega osebnega dokumenta (grafična zasnova, velikost znakov, razmik med znaki, tipografija in podobno);
3. preverjanje ujemanja že pridobljenih podatkov s podatki, ki so razvidni iz uradnega osebnega dokumenta;
4. preverjanje veljavnosti uradnega osebnega dokumenta in pravilnosti alfanumeričnih znakov njegove serijske številke;
5. vidno preverjanje morebitne naknadne namestitve fotografije, nepoškodovanosti laminacije, ki obdaja uradni osebni dokument, ali drugih zaščitnih znakov, ki izkazujejo njegovo nepoškodovanost;
6. preverjanje logične doslednosti podatkov, ki izhajajo iz dokumenta (na primer pravilnost datuma izdaje in poteka veljavnosti, pravilnost rojstnega datuma, njihovo medsebojno ujemanje in podobno).
(5) Preverjanje optičnih zaščitnih znakov in formalnih znakov uradnega osebnega dokumenta iz 1. in 2. točke prejšnjega odstavka se lahko izvede tudi z uporabo ustrezne programske podpore.
(6) Oseba, ki izvede videoelektronsko identifikacijo, se prepriča o tem, da so fotografija, morebitni osebni opis in podatki iz uradnega osebnega dokumenta skladni s stranko, ki je začela videoelektronsko identifikacijo, ter preveri logično doslednost vseh razpoložljivih podatkov (na primer ujemanja videza stranke v videoprenosu s podatki in njeno fotografijo iz uradnega osebnega dokumenta ali drugimi podatki, s katerimi zavezanec že razpolaga, in podobno).
(7) Oseba, ki izvede videoelektronsko identifikacijo, preveri ustreznost podanega namena stranke v zvezi z opravljanjem videoelektronske identifikacije in izključi morebitni vpliv tretjih oseb na izraženo voljo stranke. Pri tem upošteva tudi odziv stranke na posamezna vprašanja in njeno vedenje med videoelektronske identifikacije.
(enkratna identifikacijska številka)
(1) Oseba, ki izvede videoelektronsko identifikacijo, stranki po elektronski pošti ali sporočilu SMS pošlje posebno enkratno identifikacijsko številko, ki je centralno določena izključno za namen posameznega postopka videoelektronske identifikacije.
(2) Stranka med videoelektronsko identifikacijo številko iz prejšnjega odstavka neposredno prek videoelektronske identifikacije sporoči osebi, ki izvede videoelektronsko identifikacijo.
(3) Z uspešnim prejemom pravilne enkratne identifikacijske številke je postopek videoelektronske identifikacije končan.
(obveznost prekinitve videoelektronske identifikacije)
(1) Z izjemo primerov, ki so opisani v drugem odstavku tega člena, je treba postopek videoelektronske identifikacije prekiniti vedno, ko:
1. slabe svetlobne ali zvočne razmere pri stranki ali slaba kakovost prenosa slike ali zvoka ne omogočajo ugotavljanja in preverjanja istovetnosti stranke;
2. ni možna izdelava posnetka zaslona, ki bi bil ustrezen za vidno preverjanje stranke ali njenega uradnega osebnega dokumenta ali v njem vsebovanih podatkov;
3. se ugotovi kakršno koli neujemanje ali nedoslednost pri preverjanju avtentičnosti uradnega osebnega dokumenta;
4. obstaja negotovost glede istovetnosti stranke;
5. ko obstaja verjetnost za morebitni vpliv tretjih oseb na izraženo voljo stranke in posledično veljavnost privolitve.
(2) Če nastopijo okoliščine iz 4. ali 5. točke prvega odstavka 17. člena ZPPDFT-1, zavezanec nadaljuje izvedbo videoelektronske identifikacije in po končani izvedbi prouči, ali so nastopile okoliščine, ki določajo obvezno sporočanje podatkov Uradu RS za preprečevanje pranja denarja po 69. členu ZPPDFT-1.
(izvedba videoelektronske identifikacije prek zunanjega izvajalca)
(1) Če zavezanec izvedbo videoelektronske identifikacije naroči pri zunanjem izvajalcu, je odgovoren za to, da zunanji izvajalec izvede vse zaščitne ukrepe tako, da po obsegu in kakovosti ustrezajo določbam tega pravilnika. Končno odgovornost za izpolnjevanje določb tega pravilnika nosi zavezanec, za katerega videoelektronsko identifikacijo izvede zunanji izvajalec. Zavezanec mora pri sklenitvi, trajanju in odpovedi naročila zunanjemu izvajalcu ravnati kot dober gospodar s potrebno skrbnostjo in pisno določiti obveznosti, ki izhajajo iz naročila za izvedbo videoelektronske identifikacije pri zunanjem izvajalcu. Pri tem mora zavezanec za ustrezno ureditev pogodbene obdelave osebnih podatkov upoštevati tudi določbe o zahtevah glede zunanjega izvajanja obdelave osebnih podatkov, kot so opredeljene v 28. členu Splošne uredbe o varstvu podatkov.
(2) Okoliščina, da za zavezanca videoelektronsko identifikacijo izvede zunanji izvajalec, ne sme vplivati na kakovost izvedbe notranjih kontrol ali ovirati izvedbe nadzora s strani nadzornih organov.
Ta pravilnik začne veljati naslednji dan po objavi v Uradnem listu Republike Slovenije.
Št. 007-56/2017
Ljubljana, dne 4. maja 2018
EVA 2017-1611-0019
mag. Mateja Vraničar Erman l.r.
