EUDI Wallet a pénzügyi szektorban – Kérdések és válaszok a szabályozásról

Már csak bő egy év, és hatályba lép az EUDI Wallet elfogadását előíró uniós szabályozás. Innentől minden érintett szolgáltatónak el kell fogadnia ügyfeleik EUDI Walletjét – függetlenül attól, melyik EU-tagállamban bocsátották ki.

A mérföldkövek már megvannak, de nem minden részterület tiszta. Ügyfeleinktől rengeteg kérdést kapunk, hogyan kezdjék meg a felkészülést az egységes tárca bevezetésére. Q&A sorozatunk friss számában ezeket tettük fel Dr. Kósa Ferencnek, a MELASZ elnökének, aki azt is megosztotta velünk melyek azok a belső dokumentumok, amiket már most el lehet kezdeni átdolgozni.

– Pontosan melyik naptól lesz kötelező a magánszférában az EUDI Wallet elfogadása?

A határidő 2027. december 24. A Bizottság (EU) 2024/2977 végrehajtási rendelete az Európai Unió Hivatalos Lapjában 2024. december 4-én került kihirdetésre, és az azt követő 20. napon (2024. december 24.) lépett hatályba a rendelet 6. cikke alapján. Ehhez képest van 36 hónapjuk a szolgáltatóknak a felkészülésre, így a határidő 2027. december 24.

– Mely pénzügyi szolgáltatókra terjed ki az elfogadási kötelezettség? És mire?

Az EU jogi aktusai nem tartalmaznak általános definíciót a “pénzügyi szolgáltató” kifejezésre, de az idevágó releváns definíciók alapján a következő entitásokra tejed ki:

• Hitelintézetek és fióktelepeik, függetlenül attól, hogy a főirodájuk az Európai Unión belül vagy harmadik országban található.
• Pénzügyi intézmények, mint pénzváltó irodák (bureaux de change), biztosítók, amennyiben életbiztosítási tevékenységeket folytatnak, a befektetési jegyeket vagy részvényeket forgalmazó befektetési vállalkozások, a biztosítási közvetítők egy köre, kriptoeszköz szolgáltatók.
• A kötelezettség fogyasztóvédelmi szempontból bármely banki, hitel-, biztosítási, magán-nyugdíjpénztári, befektetési vagy fizetéssel kapcsolatos szolgáltatásra kiterjed.

Elmondható, hogy az eIDAS a lehető legszélesebb körben kívánta meghatározni a az elfogadásra kötelezett szolgáltatók körét.

– Csak online azonosításra és erős hitelesítésre, vagy számlanyitásra és szerződéskötésre is kiterjed?

Az eIDAS 5f. cikk (2) bekezdés alapján az EUDI Wallet elfogadási kötelezettsége csak erős felhasználóhitelesítés esetén, és csak online azonosítás során áll fenn. Ugyanakkor figyelemmel arra, hogy az AMLR alapján ügyfélazonosítás során el kell fogadniuk az attribútum tanúsítványokat, a központi nyilvántartásokból származó elektronikus igazolásokat és az eIDAS szerinti „jelentős” vagy „magas” biztonsági szintű azonosítási rendszereket, valamint a bizalmi szolgáltatásokat, ami nem tesz különbséget online, vagy offline azonosítás között, a Pmt. azonosítás során offline is el kell fogadni az EUDI Wallet-et.

Ahol Pmt. szerinti ügyfélazonosítás merül fel – így számlanyitás, szerződéskötés esetén is -, mind online, mind offline el kell fogadni az EUDI Wallet-et.

– Érinti a személyes ügyfélszolgálatot és a telefonos csatornát is?     

Ahol Pmt. szerinti ügyfélazonosítás szükséges, ott személyes ügyfélszolgálat és a telefonos csatorna esetén is el kell fogadni az EUDI Walletet.

– Ha a DÁP-ot 2027 végéig nem jelentik be EUDI Walletként, attól még kötelező-e a magyar bankoknak elfogadni a többi tagállam bejelentett tárcáit?

A kettő független egymástól. Attól, hogy egy tagállam esetleg határidőt mulasztana, még az összes többi tagállam bejelentett tárcáját el kell fogadni. Bár a magyar DÁP-ot bejelentés hiányában is el kell fogadni Magyarországon a DÁP tv. alapján.

– Az EUDI Wallettel végzett azonosítás teljesíti majd az ügyfél-átvilágítás azonosítási követelményét? Mit mond erről az EU AMLR?

Az AMLR 22. cikk (6) bekezdése alapján az EUDI Wallet adattartalma teljesíti az ügyfélazonosításhoz szükséges adatokat. Ugyanakkor az ügyfélazonosítás nem azonos az ügyfél-átvilágítással. Az ügyfélazonosítás az ügyfél-átvilágítás egy részlépése, de az ügyfél-átvilágítás sokkal több intézkedést foglal magában, mint az ügyfélazonosítás. Így önmagában az EUDI Wallet ügyfél-átvilágításra nem elegendő.

– A hatályos MNB 29/2024. rendelet szerint kell-e szelfit és élőségvizsgálatot végezni, ha az ügyfél EUDI Wallettel azonosít? Ugyanaz vonatkozik-e rá, mint a DÁP eAzonosításra?

Azt, hogy hogyan fog módosulni az MNB irányadó rendelete az EUDI Wallet kötelező elfogadásáig, nem merem megjósolni. A jelenleg hatályos rendelkezések alapján az “élőség” vizsgálata DÁP eAzonosítás esetén is kötelező. Ugyanakkor véleményem szerint a szolgáltató érdeke a jogszabályi követelményektől függetlenül, hogy meggyőződjön arról, valóban az a személy tartja a kezében az eszközt, aki azonosítani kívánja magát, illetve arról, hogy nem áll-e megtévesztés, kényszer vagy fenyegetés hatása alatt.

– Egy külföldi tárca PID-jében nincs anyja neve adat és a lakcím sem kötelező. Hogyan teljesíti a bank ma a Pmt. szerinti adatrögzítést egy ilyen ügyfélnél, és milyen kiegészítő adatbekérés jogszerű?

A Pmt. 7. § (3a) bekezdése alapján az anyja születési nevét nem kell rögzíteni, ha a bemutatott okirat nem tartalmazza. Ez vonatkozik az EUDI wallet adattartalmára is. A lakcím tekintetében pedig kizárólag magyar állampolgárok vagy Magyarországon lakcímmel rendelkező külföldiek esetében írja elő a lakcímkártya bemutatását a Pmt. 7. § (3) bekezdése – ennek megfelelően jelenleg sem igazolható, ha ilyen okirattal az ügyfél nem rendelkezik.

– A banknak regisztrációkor milyen igényelt adatkört és célt kell megadnia? Mi a jogkövetkezménye, ha többet kér, mint amennyit regisztrált?

Azokat az adatokat kell megadni, amiket a bank az ügyfelétől kérni fog. A célt pedig az adatkezelésnek és az általános adatvédelmi rendelet (GDPR) szabályainak megfelelően kell meghatározni. Ha az jogszabályi kötelezettség (pl. Pmt. szerinti átvilágítás) teljesítése, akkor azt kell megjelölni.

A bank nem kérhet több adatot, mint amennyit megjelölt. Ha megteszi, a felhasználó nem köteles teljesíteni, illetve bejelentést tehet az adatvédelmi hatóságnál, valamint a nyilvántartó hatóságnál, és annak a jogkövetkezménye az igénybe vevő törlése lesz a nyilvántartásból (és adatvédelmi bírság is lehet a GDPR alapján).

Hogy ki lesz a nyilvántartó hatóság, még nem tudható.

– A hatályos PSD2-szabályok szerint használható-e az EUDI Wallet erős ügyfél-hitelesítési elemként belépésnél vagy tranzakció-jóváhagyásnál? Ha igen, milyen feltételekkel?

Sőt, kötelező, ha azt az ügyfél kéri (eIDAS rendelet 5f. cikk (2) bekezdés). Ugyanakkor az ügyfelet nem kötelezhetik EUDI Wallet használatára.

– Ha az ügyfél a saját tagállami tárcájában lévő minősített aláírással írja alá a bank szerződését, mit kell a banknak ellenőriznie, és megtagadhatja-e az elfogadást?

Ha magánszemélyként jár el magánügyében, akkor minden további nélkül el kell fogadni. Jogi személy, cég, vállalkozás képviseletében, vagy szakma gyakorlása során nem fogadható el, ha az a tagállam által ingyenesen biztosított minősített elektronikus aláírás (bár ez utóbbit még nehéz ellenőrizni, a jövőben attribútum tanúsítvány kérhető).

Az ellenőrzés során arra kell figyelni, hogy a tanúsítvány minősített elektronikus aláírás tanúsítványa legyen, és a tanúsítvány az ügyfél nevére szóljon. Ha jogi személy, cég, vállalkozás vagy szakmai tevékenység során kíván nyilatkozatot tenni, akkor pedig a jövőben ezt igazoló attribútum tanúsítvány megkövetelése lesz javasolt. Fontos hangsúlyozni azonban, hogy az EUDI Wallet általában sem használható jogi személy képviseletében, vagy szakma gyakorlása során (kivéve az azonosítási funkciót KKV-k esetében).

– Hogyan készülhetnek a bankok az EUDI Wallet bevezetésére? A hatályos szabályok alapján mely belső dokumentumokat érdemes már most átdolgozni?

A Pmt. belső szabályzatát, az adatkezelési tájékoztatót, az ÁSZF azonosítási fejezetét és a szállítói szerződéseket érdemes előre venni.

A legfontosabb, hogy már most kezdjük el átgondolni a folyamatainkat, amelyeket érintheti az EUDI wallet kötelező elfogadása. Ahol ez felmerülhet, ott a folyamatba illesztés technikai-informatikai tervezésével és megvalósításával párhuzamosan történjen a szabályzatok kiegészítése, ne egymástól elválasztva, mert erre is fokozottan igaz az, hogy a szabályzatoknak a gyakorlati megvalósítást kell tükrözniük. Ugyanakkor fontos hangsúlyozni, hogy egységes válasz nem adható, mert az egyes szolgáltatók különböző dokumentumokat készíthettek/készíthetnek.

Az EUDI Wallet elfogadása nemcsak a core business-t érintheti, hanem egyéb kapcsolódó folyamatokat is, pl. panasz- és/vagy bejelentéskezelés, promóciós részvétel, stb.