DÁP eAzonosítás: minden kérdés és válasz, ami a webinárból kimaradt

Február végén a FinTechZone-nal közösen DÁP-váró webinárt tartottunk, hogy segítsünk a bankoknak, biztosítóknak felkészülni a Digitális Állampolgárság Programmal megvalósuló eAzonosítás bevezetésében.

Rengeteg kérdést kaptunk a webinar résztvevőitől – olyan sokat, hogy az esemény Q&A blokkjában nem is tudtunk mindegyikre sort keríteni. De ahogy ígértük, egyetlen tisztázatlan kérdést sem hagyunk a levegőben, íme tehát válaszaink a nyitott pontokra. Figyelem, mélyvíz következik, a teljes kontextushoz javasoljuk megtekinteni a webinár felvételét.

– A jelenlegi négy szem elv szerinti személyazonosság-ellenőrzési folyamat hogyan fog módosulni a DÁP bevezetése után? Jól gondolom, hogy a DÁP által biztosított eAzonosítás és HAASZ szolgáltatások révén a piaci szereplők már validált, hivatalos adatokat kapnak és így a manuális ellenőrzési lépés, például a négy szem elv, szükségtelenné válhat?

Az MNB által kiadott 29/2024 (VI.24.) rendeletben az elektronikus ügyfél-átvilágítás közös szabályaiban továbbra is az szerepel, hogy „A szolgáltató az elektronikus ügyfél-átvilágításra vonatkozó követelmények teljesülését az elektronikus ügyfél-átvilágítási szabályzatban meghatározott foglalkoztatottja által, az elektronikus ügyfél-átvilágítási szabályzatban meghatározott módon ellenőrzi.”

Ezen felül az MNB kifejezett elvárása, hogy a strómanok és egyéb visszaélések kiszűrése érdekében ellenőrizésre kerüljön, hogy a szóban forgó személy valós időben és élőben vesz-e részt az ügyfél-átvilágításban, és a hivatalos forrásból származó a fényképen szereplő személy megegyezik-e az ügyfél-átvilágításban résztvevő személlyel az arckép alapján.

Ellenőrizni kell azt is, hogy a DÁP-ból és a HAASZ-ból átadott adatok megegyeznek-e a lefotózott személyazonosító okmányon szereplő adatokkal.

– Lehetséges-e az, hogy az azonosítás során az ügyfél nem járul hozzá az „anyja neve” adat továbbításához, és így lehetetlenné teszi a 4T azonosítást? Ha igen, ebben az esetben hogyan tudjuk őt azonosítani? �

Az ügyfél döntése, hogy mely adatok átadásához járul hozzá, így az „anyja neve” adat átadását megtagadhatja, amivel meghiúsul a 4T azonosítás. Az ügyfél-átvilágítási folyamatban meg kell vizsgálni a 4T adatok meglétét, és ha ez hiányzik, akkor az okmányról kerül leolvasásra – OCR vagy NFC technológiával.

– Ha az azonosítás interfészén a DÁP ID alapján bármi lekérdezhető, akkor az ügyfél hogyan akadályozza meg, hogy olyat kérdezzek le, amire nem adott engedélyt?

Az ügyfél a DÁP alkalmazáson belüli konkrét adatra vonatkozó döntése, hogy mely adatok lekérdezéséhez ad hozzájárulást, így nem kérhető le az interfészen bármilyen adat, kizárólag az engedélyezettek. A HAASZ-ban csak akkor jön adat, ha az ügyfél ehhez kifejezetten hozzájárult.

– Akkor tehát a DÁP alkalmazásba jön értesítés az interfész lekérdezés nyomán, amit az ügyfélnek  jóvá kell hagynia. Ezt minden alkalommal meg kell tennie az ügyfélnek? Nem lehetséges állandó hozzájárulást adnia?

A HAASZ esetében lesz lehetőség eseti hozzájárulás kérésre és „tartós” hozzájárulás kérésére is, amelyben az adatkörökre vonatkozóan nem szükséges minden alkalommal új hozzájárulást bekérni.

– Nem arról volt szó, hogy a DÁP bevezetése az ügyfélút egyszerűsítését szolgálja? A bemutatott ügyfélúton azt láttam, hogy a már meglévő szelfis számlanyitási folyamatba további DÁP lépések kerültek, melyek nem adnak érdemi hozzáadott értéket, ha továbbra is szükséges az okmányok fényképezése.

A jelenlegi szelfis folyamatban ezek az adatok OCR segítségével már eddig is kiolvashatóak voltak. „A  29/2024 MNB rendelet szerint az ügyfél-átvilágítás elvégzéséhez szükséges az azonosítandó személy személyazonosság igazolására alkalmas hatósági igazolvány bemutatása, másolatának tárolása, valamint az igazolvány biztonsági elemeinek és sértetlenségének ellenőrzése.

A szolgáltatónak meg kell bizonyosodnia róla, hogy a bemutatott személyazonosító igazolványon szereplő személy megegyezik az ügyfél-átvilágítási folyamatban részvevő személlyel. (Jelenleg a HAASZ aggregátum szolgáltatással nem kérhető le fénykép az ügyfélről.)

Összességében a sikeres HAASZ lekéréssel azonnal rövidebb lehet a folyamat, mivel nem kell a lakcímkártyát befotózni, illetve a HAASZ adatköre várhatóan bővül a jövőben. Amikor például az arckép is lekérdezhető lesz, akár az okmányfotózási részek is kihagyhatóak a folyamatból, és még rövidebb folyamatot lehet felépíteni.

– Megoldható HAASZ vagy azon kívüli környezetben, hogy a hatályos jogszabályokhoz igazítottan kaphassunk adatokat (Pmt. alapon vagy Cascohoz, KGFB-hoz kötődő) DÁP-os e-azonosításkor?

A DÁP eAzonosításból érkező adatok az eIDAS szabályozásnak tesznek eleget, míg a HAASZ aggregátummal lekérhető adatkörre hazai szabályozás vonatkozik. A HAASZ keretében a következő adatforrásokból lehetséges az adatlekérés: Személyiadat- és lakcímnyilvántartás (SZL), Személyi igazolvány nyilvántartás (SZIG), Lakcímigazolvány nyilvántartás (LIG).

– A Pmt. szerint az okmány típus és szám is kötelező adat. Ezeket hogyan hívja be a folyamat? Ha több érvényes okmánya is van az ügyfélnek (SZIG, jogsi, útlevél), akkor melyiket húzza be?

Az IdomSoft tájékoztatása szerint a HAASZ bevezetésekor az alábbi nyilvántartások adati lesznek elérhetőek:

• Személyi Adat- és Lakcímnyilvántartás
• Személyi igazolvány nyilvántartás
• Lakcímigazolvány nyilvántartás
• Járműnyilvántartás

A felsoroltak alapján a kérdésben szereplő okmányok közül a személyi igazolvány okmány adatok lesznek elérhetőek a HAASZ aggregátum szolgáltatáson keresztül.

�– Ezek szerint az okmányadatokat (típus, szám) más adatbázisokból kell elhozni?

A HAASZ aggregátum szolgáltatással a személyi igazolvány adatok elérhetőek lesznek.

– HAASZ útvonal esetén, amikor az ügyfelektől bekérjük a hozzájárulást, a bank belenyúlhat a DÁP felületébe, hogy már a saját nevében tájékoztatást jeleníthessen meg az ügyfél számára, hogy milyen adatkezeléshez ad hozzájárulást?

A HAASZ esetében lesz lehetőség az adatlekérés okát és célját megadni, amit elvi szinten a DÁP applikáció képes lesz megjeleníteni, de jelenleg a HAASZ rendszer esetében ennek pontos működése nem ismert.

Valószínűleg ez a funkció egy rövid szöveges tartalom megjelenítésére lesz alkalmas, az összetettebb szövegezés vagy külön dokumentumok megjelentését a folyamat korábbi részében a DÁP-on kívül kell majd megoldani. Természetesen ennek pontos működése majd a HAASZ tesztrendszer megnyitása után lesz látható.

– A vezetéknév és keresztnév viselt név és nem születési név?    �

Az adattárca által kezelt személyazonosító adatokat (PID) a 2024. év végén hatályba lépett 2024/2977 EU végrehajtási rendelet határozza meg, melyben a viselt vezetéknév és viselt keresztnév szerepel kötelező adatként. A HAASZ keretein belül kérheti a pénzügyi szolgáltató az ügyfél születési vezeték és keresztnevének az átadását.

– Mennyibe fog kerülni a HAASZ-ba való bekérdezés?

�Az IdomSoft tájékoztatása szerint a közeljövőben (előreláthatólag Q2-ben) várható részletes díjazási tájékoztatás, amely a HAASZ aggregátum alkalmazás költségeire is kiterjed majd.

– A piaci szereplők többsége vélhetően az elektronikus csatornára való belépést fogja első körben megoldani. Ezt hogyan kell elképzelni?

A már meglévő ügyfélfiókokba történő bejelentkezések esetében az ügyfélfolyamat várhatóan a legtöbb esetben nagyon hasonló lesz, mint a DÁP bejelentkezés a jelenlegi állami rendszerekbe. A korábbi belépési oldalakon kerül elhelyezésre egy DÁP-pal történő belépés opció, amivel az ügyfél tudja majd használni a DÁP alkalmazását a belépéshez, és egy DÁP-pal történő autentikációval nyithatja be a meglévő ügyfélfiókba.

Eddigi tapasztalatunk szerint itt az egyik legfontosabb megoldandó feladat, hogy a meglévő ügyfélfiókok egyértelműen hozzá legyenek kapcsolva a konkrét személyekhez (valójában DÁP ID-hoz). Ez történhet a már meglévő adatok alapján, vagy ha azok erre nem alkalmasak, akkor az ügyfélre lehet bízni a meglévő ügyfélfiók és a DÁP alkalmazás összerendelését.

– A szolgáltatónak nincs kötelezettsége a HAASZ és az Aggregátum szolgáltatáshoz való csatlakozáshoz, ennek eredményeképp a szükséges adatokat akár egyéb forrásból is beszerezheti, jól gondolom?

A 2023. évi CIII. törvény (Dáptv.) alapján a pénzügyi szolgáltatóknak biztosítani kell ügyfeleik számára a DÁP eAzonosítás lehetőséget a szolgáltatások igénybevételekor, de a HAASZ aggregátum használatára nem vonatkozik a kötelezettség, így az eAzonosítás a HAASZ nélkül  is teljesülhet.

– Akkor is kell HAASZ előtt DÁP-ot hívni, ha a bank már letárolta az ügyfél DÁPID-ját és azzal tudja indítani a HAASZ lekérdezést?     �

A jelenleg publikált műszaki dokumentáció alapján HAASZ lekérdezést DAP ID birtokában lehet kezdeményezni, ha az rendelkezésre áll, akkor nem kell előtte eAzonosítást hívni.