„Niecertyfikowany” nie oznacza „domyślny”: czego AMLR tak naprawdę oczekuje od zdalnego onboardingu

Od kiedy AMLA opublikowała 1 października 2026 r. finalny projekt RTS w sprawie należytej staranności wobec klienta, w bankach, firmach ubezpieczeniowych i u operatorów telekomunikacyjnych rozpowszechniły się dwie interpretacje. Według pierwszej metody niecertyfikowane nadal będą zgodne z przepisami. Według drugiej odpowiedź brzmi po prostu: „eID-first”.

Obie są prawdziwe i obie są niepełne. Zdalna weryfikacja dokumentów przetrwa wyłącznie jako wyjątek, który trzeba uzasadnić indywidualnie dla każdego klienta. Z kolei samo eID rzadko dostarcza pełen zestaw danych wymaganych przez AMLR i nie dowodzi, że osoba, która się nim posługuje, jest jego posiadaczem.

Oto jak wygląda strategia onboardingu, której da się bronić.

Kluczowe daty

1 października 2026 r.: AMLA publikuje finalny projekt RTS dotyczących CDD i przekazuje go Komisji Europejskiej, która nadal może go zmienić.
24 grudnia 2026 r.: państwa członkowskie muszą udostępnić portfele EUDI zgodnie z eIDAS 2.0.
10 lipca 2027 r.: AMLR zaczyna obowiązywać, w tym zasady weryfikacji tożsamości z art. 22.
Sześć miesięcy po wejściu w życie: zaczynają obowiązywać RTS dotyczące CDD. Dokładna data zależy od tego, kiedy Komisja je przyjmie i opublikuje.

Jakie dane musisz zebrać zgodnie z AMLR

Art. 22 ust. 1 lit. a) rozporządzenia (UE) 2024/1624 (AMLR) określa minimalny zestaw danych dla każdej identyfikowanej osoby fizycznej: klienta, każdej osoby działającej w jego imieniu oraz każdej osoby, na rzecz której przeprowadzana jest transakcja.

Wszystkie imiona i nazwiska
Miejsce i pełna data urodzenia
Obywatelstwo (lub status bezpaństwowca, uchodźcy albo osoby objętej ochroną uzupełniającą) oraz, w stosownych przypadkach, krajowy numer identyfikacyjny
Miejsce zwykłego pobytu lub, jeśli osoba nie ma stałego adresu w Unii, adres pocztowy, a także numer identyfikacji podatkowej, jeżeli jest dostępny

Miej tę listę w pamięci. To miara, według której każda z opisanych dalej metod weryfikacji okazuje się w jakimś punkcie niewystarczająca.

Dwie ścieżki i kolejność preferencji

Art. 22 ust. 6 AMLR przewiduje dwa sposoby weryfikacji tożsamości:

Osobiście: na podstawie dokumentu tożsamości, paszportu lub równoważnego dokumentu, w razie potrzeby uzupełnionego informacjami z wiarygodnych i niezależnych źródeł.
Zdalnie: za pomocą środków identyfikacji elektronicznej o średnim lub wysokim poziomie bezpieczeństwa w rozumieniu eIDAS albo odpowiednich kwalifikowanych usług zaufania.

Finalny projekt RTS z 30 września 2026 r. doprecyzowuje te zasady. Motyw 11 stanowi, że takie środki identyfikacji elektronicznej i kwalifikowane usługi zaufania powinny być stosowane wszędzie tam, gdzie to możliwe, i potwierdza, że kwalifikują się do nich portfele EUDI.

Dla Twojego planowania istotne są dwa szczegóły:

Notyfikacja nie jest wymagana. Środek identyfikacji elektronicznej się liczy niezależnie od tego, czy został notyfikowany na podstawie art. 9 eIDAS, o ile spełnia wymogi poziomu średniego lub wysokiego. W praktyce organy nadzoru prawdopodobnie i tak będą preferować systemy notyfikowane, tak jak wcześniej wytyczne EBA.
„Wszędzie tam, gdzie to możliwe” to standard, według którego będziesz oceniany. Sprawia on, że eID staje się Twoją metodą pierwszego wyboru, a nie jedną z wielu opcji.

Rozwiązania alternatywne są dopuszczalne, ale mają swoją cenę

Art. 7 RTS otwiera drogę do zdalnej weryfikacji opartej na dokumentach, ale tylko wtedy, gdy klient nie może w rozsądny sposób okazać dokumentu osobiście i nie ma dostępu do kwalifikujących się środków identyfikacji elektronicznej ani kwalifikowanych usług zaufania.

Z tym warunkiem wiąże się ciężar dowodu. Zgodnie z art. 7 ust. 3 musisz być w stanie uzasadnić przed organem nadzoru, dlaczego klienta nie dało się zweryfikować metodami pierwszego wyboru, oraz wykazać, że Twoje rozwiązanie alternatywne spełnia wymogi RTS.

Art. 7 ust. 2 określa też pięć zabezpieczeń, które musi obejmować każde rozwiązanie alternatywne:

Powiązanie z posiadaczem: mechanizmy kontrolne potwierdzające, że osoba okazująca dokument jest jego posiadaczem.
Bezpieczny kanał: integralność i poufność komunikacji.
Jakość zapisu: obraz, wideo, dźwięk i dane na tyle wyraźne, by jednoznacznie zidentyfikować osobę.
Zatrzymanie w razie wątpliwości: proces zostaje przerwany w przypadku awarii technicznej, utraty połączenia lub jakichkolwiek podejrzeń dotyczących tożsamości lub integralności.
Dokumentacja gotowa do audytu: ważne, aktualne dane oraz kopie opatrzone znacznikiem czasu, bezpiecznie przechowywane i czytelne podczas późniejszej kontroli.

Oświadczenia własne klienta nie mogą zastąpić żadnego z tych elementów.

Rynkowa interpretacja jest więc słuszna: metody niecertyfikowane nadal można stosować. Jednak za każdym razem, gdy z nich korzystasz, opierasz się na wyjątku, którego będziesz musiał bronić podczas audytu.

Polski zestaw narzędzi i jego luki

W Polsce pięć środków kwalifikuje się jako metody pierwszego wyboru w rozumieniu eIDAS 2.0. Tylko jeden z nich jest w stanie samodzielnie dostarczyć pełen zestaw danych wymaganych przez AMLR.

Portfel EUDI wymaga osobnego ostrzeżenia. Zgodnie z art. 5a ust. 15 eIDAS korzystanie z niego jest dobrowolne i nikt nie może uzależniać dostępu do usługi od jego posiadania. Upowszechnienie portfela w całej UE może jeszcze przez jakiś czas pozostać nierównomierne. Ścieżka onboardingu oparta wyłącznie na portfelu wykluczałaby więc część klientów, a do tego nie wolno Ci go wymagać.

Dlaczego samo podejście „eID-first” nie wystarcza

Stawianie na pierwszym miejscu metod weryfikacji elektronicznej, takich jak portfel EUDI czy portfel krajowy, to właściwe ustawienie domyślne. Samo w sobie pozostawia jednak trzy luki.

Luka w danych. Większość środków identyfikacji elektronicznej nie zawiera pełnego zestawu danych wymaganych przez AMLR. Najczęściej brakuje miejsca zwykłego pobytu, więc po kroku eID nadal potrzebny jest drugi krok, który uzupełni dane.
Luka w powiązaniu z posiadaczem. Ważne poświadczenie dowodzi, że samo poświadczenie jest autentyczne, ale nie że należy do osoby, która je okazuje. Tę lukę zamyka test liveness powiązany z poświadczeniem.
Luka w zasięgu. Nie każdy klient ma kwalifikujący się środek identyfikacji elektronicznej, a korzystanie z portfela EUDI jest dobrowolne. Każdy, kto nie korzysta z eID, trafia do ścieżki alternatywnej, którą musisz uzasadnić.

Konfiguracja, której da się bronić, zamyka wszystkie trzy luki:

Kilka metod pierwszego wyboru w jednym procesie, tak aby większość klientów mogła skorzystać z którejś z nich.
Sposób na uzupełnienie danych wymaganych przez AMLR bez kierowania klienta na drugą ścieżkę.
Udokumentowana ścieżka alternatywna, która spełnia wszystkie pięć zabezpieczeń z art. 7, wraz z zapisem dla każdego klienta, dlaczego z niej skorzystano.

Presja różni się w zależności od sektora, ale logika pozostaje taka sama:

Bankowość: duże wolumeny i ścisły nadzór sprawiają, że ciężar uzasadniania jest tu największy.
Ubezpieczenia: onboarding jest często sporadyczny i zdalny, więc odpływ klientów spowodowany wąską listą metod szybko daje się odczuć.
Telekomunikacja: masowy onboarding oznacza, że wielu klientów nie będzie miało żadnego konkretnego środka identyfikacji elektronicznej.

Jak Identt zamyka te luki

Dostępne już dziś: wszystkie ścieżki w jednym procesie. Identt kieruje każdego klienta do najsilniejszej metody, jaka jest dla niego dostępna:

Obsługa portfela EUDI – Identt jest gotowy na mObywatel Europa
Odczyt dokumentu fizycznego (chip NFC + PIN)
mObywatel z pełnym dostępem do platformy Ministerstwa Cyfryzacji
Metody identyfikacji elektronicznej o średnim poziomie bezpieczeństwa w rozumieniu eIDAS, takie jak mojeID
Testy liveness, które wiążą poświadczenie z osobą, która je okazuje
Weryfikacja dokumentu + liveness jako ścieżka alternatywna na podstawie art. 7

Dowody, których da się bronić. Art. 7 ust. 3 wymaga, abyś wykazał przed organem nadzoru, że Twoja ścieżka alternatywna spełnia każde z zabezpieczeń. Identt rozwija technologie analizy dokumentów, biometrii i ochrony przed atakami typu spoofing we własnym zakresie, a jego proces potwierdzania tożsamości posiada certyfikację zgodności z ETSI TS 119 461. Otrzymujesz jednego odpowiedzialnego dostawcę i jedną ścieżkę audytu, a nie łańcuch weryfikacji zlecanych podwykonawcom.

Lista kontrolna przed lipcem 2027 r.

Zadaj te pytania swojemu zespołowi ds. onboardingu lub dostawcy już teraz:

Ile metod pierwszego wyboru oferuje dziś nasz zdalny proces?
Które pola danych wymaganych przez AMLR faktycznie dostarcza każda z metod i jak uzupełniamy braki?
Czy możemy akceptować portfel EUDI, nie czyniąc go obowiązkowym?
Czy nasza ścieżka alternatywna spełnia wszystkie pięć zabezpieczeń z art. 7 ust. 2?
Czy dla każdego klienta zapisujemy, dlaczego skorzystano ze ścieżki alternatywnej?
Czy nasza dokumentacja jest opatrzona znacznikiem czasu, bezpiecznie przechowywana i czytelna podczas kontroli organu nadzoru?

Jeśli na którekolwiek pytanie odpowiedź brzmi „nie” lub „nie wiem”, wciąż jest czas. Ale niewiele.

FAQ

Czy RTS dotyczące CDD już obowiązują?

Nie. Komisja musi je jeszcze przyjąć i może je zmienić. Zaczną obowiązywać sześć miesięcy po wejściu w życie, natomiast samo AMLR obowiązuje od 10 lipca 2027 r.

Czy nadal możemy stosować zdalną weryfikację dokumentów?

Tak, jako rozwiązanie alternatywne na podstawie art. 7. Wyłącznie wtedy, gdy klient nie może w rozsądny sposób okazać dokumentu tożsamości osobiście i nie ma kwalifikującego się środka identyfikacji elektronicznej ani kwalifikowanej usługi zaufania. Każdy taki przypadek musisz uzasadnić przed organem nadzoru.

Czy środek identyfikacji elektronicznej musi być notyfikowany na podstawie eIDAS?

Nie. Kwalifikuje się każdy środek identyfikacji elektronicznej o średnim lub wysokim poziomie bezpieczeństwa. Organy nadzoru mogą jednak preferować systemy notyfikowane.

Czy sam portfel EUDI wystarczy?

Kwalifikuje się, ale nie możesz wymagać od klientów, aby z niego korzystali, a polski zestaw danych nie obejmuje miejsca zwykłego pobytu. Nadal potrzebujesz brakujących danych i ścieżki alternatywnej.

Sprawdź swój onboarding pod kątem AMLR

W ramach krótkiego przeglądu zespół Identt przeanalizuje Twój obecny proces zdalnego onboardingu, wskaże, gdzie nie spełnia on wymogów RTS, i określi, które metody możesz zaoferować swoim klientom.

Artykuł uwzględnia finalny projekt RTS AMLA w sprawie należytej staranności wobec klienta z 30 września 2026 r., który Komisja Europejska musi jeszcze przyjąć i może zmienić. Artykuł nie stanowi porady prawnej.