29/2024. (VI. 24.) MNB rendelet

a) az auditált elektronikus hírközlő eszköz útján összegyűjtendő adatok és dokumentumok teljességére és pontosságára, valamint a felhasznált információforrások megbízhatóságára és függetlenségére;

b) az auditált elektronikus hírközlő eszköz alkalmazásának hatására a szolgáltató egészét érintő kockázatokat illetően, beleértve a pénzmosással és a terrorizmus finanszírozásával kapcsolatos technológiai, működési, reputációs és jogi kockázatokat;

c) a b) pont szerinti értékelés során azonosított valamennyi kockázatra vonatkozó érdemi kockázatmérséklő intézkedésekre és a korrekciós intézkedések, felelősök és határidők meghatározására;

d) a visszaéléssel érintett ügylet kockázatainak – többek között a személyazonosító vagy -hitelesítő adatokkal való visszaéléssel kapcsolatos és más IKT- és biztonsági kockázatok – értékelésére szolgáló tesztekre, mely

e) az elektronikus ügyfél-átvilágítási szabályzat által meghatározott ügyfelekre, termékekre és szolgáltatásokra irányuló működésének végponttól végpontig terjedő tesztelésére.

a) a szolgáltatót érintő, pénzmosással és terrorizmusfinanszírozással kapcsolatos kockázatoknak való kitettségben bekövetkezett változások,

b) az auditált elektronikus hírközlő eszköz működésében a monitoring-, audit-, külső ellenőrzési funkció által vagy felügyeleti tevékenység során feltárt hiányosságok,

c) a visszaélési kísérletek érzékelhető fokozódása, valamint

d) a jogi vagy egyéb szabályozási keretrendszer változása.

a) az összes érintett üzleti kapcsolat felülvizsgálatára annak értékelése céljából, hogy a szolgáltató megfelelő ügyfél-átvilágítási szintet alkalmazott-e a személyazonosság-igazoló ellenőrzésére, a tényleges tulajdonos azonosítására és az üzleti kapcsolat céljának és jellegének feltárására vonatkozó jogszabályi rendelkezéseknek való megfelelés érdekében, különös figyelemmel azokra, amelyek esetén a pénzmosással és terrorizmusfinanszírozással kapcsolatos kockázat a legmagasabb; és

b) figyelembe véve az a) pont szerinti felülvizsgálat során szerzett információkat, annak értékelésére, hogy az érintett üzleti kapcsolat esetében szükség van-e

a) minőségbiztosítási vizsgálat,

b) külső ellenőrzési funkció,

c) a minőségre vonatkozó rendszeres, automatizált jelentések,

d) mintavételen alapuló vizsgálat,

e) manuális felülvizsgálat.

a) elemei azonosíthatók és dokumentáltak,

b) üzemeltetési folyamatai szabályozottak, dokumentáltak és az üzemeltetési szabályzat szerinti gyakorisággal ellenőrzöttek,

c) változáskezelési folyamatai biztosítják, hogy a rendszer paraméterezésében és a szoftverkódban bekövetkező változások csak tesztelt és dokumentált módon valósulhassanak meg,

d) adatmentési és -visszaállítási rendje biztosítja a rendszer biztonságos visszaállítását, továbbá a mentés-visszaállítás az üzemeltetési szabályzat szerinti gyakorisággal és dokumentáltan tesztelt,

e) a felhasználói hozzáférés mind alkalmazási, mind infrastruktúra-szinten szabályozott, dokumentált és az üzemeltetési szabályzat szerinti gyakorisággal ellenőrzött,

f) a felállított végfelhasználói hozzáférések egységes, zárt rendszert alkotnak, biztosítják az azonosítási folyamat megvalósulását, továbbá felhasználóinak tevékenysége naplózott, a rendkívüli eseményekről automatikus figyelmeztetések generálódnak,

g) a hozzáférést biztosító kiemelt jogosultságok szabályozottak, dokumentáltak és az üzemeltetési szabályzat szerinti gyakorisággal ellenőrzöttek, a kiemelt jogosultságokkal elvégzett tevékenység naplózott, a naplófájlok sérthetetlensége biztosított, és a kritikus rendkívüli eseményekről automatikus figyelmeztetések generálódnak,

h) a távoli hozzáférés szabályozott, dokumentált és az üzemeltetési szabályzat szerinti gyakorisággal ellenőrzött,

i) a vírusok és más rosszindulatú kódok és cselekmények elleni védelem biztosított,

j) adatkommunikációja és rendszerkapcsolatai dokumentáltak és ellenőrzöttek, az adatkommunikáció bizalmassága, sérthetetlensége és hitelessége biztosított,

k) a katasztrófa-helyreállítási terv rendszeresen tesztelt,

l) karbantartása szabályozott,

m) adathordozóinak védelme szabályozott, továbbá biztosított, hogy az adathordozókhoz csak az arra jogosult személyek és csak az adatkezelési cél teljesülése érdekében férnek hozzá, ennek felülvizsgálata és ellenőrzése rendszeresen megtörténik,

n) saját kontrolljai és az üzemeltetési szabályzat gondoskodnak a rendszerelemek és a kezelt információk sértetlenségéről és védelméről, és

o) biztosított a megfelelő szintű fizikai védelem, az elkülönített környezet és az egyes biztonsági események detektálása és kezelése.

a) az ügyféllel felépített elektronikus átviteli csatornán keresztül folyó távadatátvitel megfelelően biztonságos, titkosított, bizalmas, sértetlen és hiteles legyen,

b) az ügyfél megkapja a szolgáltatás igénybevételének feltételeiről való tájékoztatást, beleértve a szolgáltatás biztonságára vonatkozó ügyféloldali felelősségről, valamint az adatkezelésről szóló tájékoztatást is,

c) a szolgáltatóoldali ügyfél-átvilágításban – amennyiben emberi beavatkozásra szükség van – csak a szükséges mértékben és csak olyan személy vegyen részt, aki – a szolgáltató által alkalmazott megoldástól függően – a közvetett vagy közvetlen elektronikus ügyfél-átvilágítás végrehajtásához szükséges jogi, technikai és biztonsági oktatásban részesült,

d) az elektronikus hírközlő eszközre és az elektronikus ügyfél-átvilágítási folyamatra vonatkozó olyan vizsgálati jelentéssel rendelkezzen, amely igazolja, hogy ezek informatikai védelme a biztonsági kockázatokkal arányos, és megfelel különösen a 13. §-ban foglalt követelményeknek,

e) a d) pont szerinti vizsgálati jelentés a jogi szabályozásban, az alkalmazott technológiában vagy az üzleti folyamatban történt releváns, a működésre kiható változás esetén, de legalább kétévente megújításra kerüljön,

f) a d) pont szerinti vizsgálati jelentést olyan, az Európai Gazdasági Térség valamely tagállamában bejegyzett szervezet állítsa ki, amely szervezetnél a vizsgálatban igazolhatóan részt vevő személy rendelkezik legalább

g) az elektronikus ügyfél-átvilágítás során a szolgáltató birtokába jutott személyes adatokat és személyes adatnak nem minősülő adatokat az adatkezelés időtartama alatt az érintett részére hozzáférhetővé tegye, átadja, valamint

h) az elektronikus ügyfél-átvilágítás folyamatáról elektronikusan eltárolt adatok oly módon kerüljenek rögzítésre, hogy azok a későbbiekben alkalmasak legyenek az ügyfél-átvilágításra vonatkozó rendelkezések betartásának és az ügyfél-átvilágítási intézkedések végrehajtásának utólagos ellenőrzésére.

a) az auditált elektronikus hírközlő eszközön keresztül szerzett információk naprakészek, és megfelelnek a Pmt. 12. §-ában meghatározott követelményeknek, és

b) a kép-, hang-, valamint kép- és hangfelvételek és adatok olvasható formátumban és megfelelő minőségben rögzítettek úgy, hogy az ügyfél egyértelműen felismerhető legyen.

a) az első kifizetésnek az ügyfél nevére szóló (kizárólagos vagy közös tulajdonú), az Európai Unió területén belül vagy olyan harmadik országban működő szabályozott hitel- vagy pénzintézetnél vezetett számlára történő teljesítése, amely ország a pénzmosás és a terrorizmusfinanszírozás elleni küzdelem tekintetében legalább a pénzügyi rendszerek pénzmosás vagy terrorizmusfinanszírozás céljára való felhasználásának megelőzéséről, a 648/2012/EU európai parlamenti és tanácsi rendelet módosításáról, valamint a 2005/60/EK európai parlamenti és tanácsi irányelv és a 2006/70/EK bizottsági irányelv hatályon kívül helyezéséről szóló, 2015. május 20-i 2015/849/EU európai parlamenti és tanácsi irányelvben előírtaknak megfelelő vagy azoknál szigorúbb követelményeket alkalmaz;

b) egyszer használatos és korlátozott időre szóló, véletlenszerűen generált azonosító kód küldése az ügyfélnek a távoli ellenőrzési folyamat során való jelenlét megerősítésére, és a kód ügyfél általi visszaküldése a szolgáltató által választott kommunikációs formában;

c) biometrikus adatok gyűjtése más, független és megbízható közhiteles forrásokból gyűjtött adatokkal történő összehasonlítás céljából;

d) telefonos kapcsolattartás az ügyféllel;

e) közvetlen – elektronikus és postai – küldemények küldése az ügyfélnek.

a) a kiszervezett tevékenységet végző fél auditált elektronikus hírközlő eszközzel összefüggő elektronikus ügyfél-átvilágítási folyamatai és eljárásai, valamint az ezzel összefüggésben gyűjtött információk és adatok elégségesek, és összhangban vannak a jogszabályokban meghatározott követelményekkel,

b) a kiszervezett tevékenységet végző fél biztosítani tudja az ügyfél, illetve a szolgáltatók közötti üzleti kapcsolatok folytonosságát az olyan eseményekkel szembeni védelem érdekében, amelyek során hiányosságokra derülhet fény a kiszervezett tevékenységet végző fél által auditált elektronikus hírközlő eszköz igénybevételével végzett elektronikus ügyfél-átvilágítási folyamattal kapcsolatban, valamint

c) a kiszervezett tevékenységet végző fél által működtetett auditált elektronikus hírközlő eszköz megfelel az e rendeletben meghatározott követelményeknek, és mindenkor az e rendelet szerinti érvényes vizsgálati jelentéssel rendelkezik.

a) rendszeres jelentéstételi kötelezettség előírásával, folyamatos nyomon követéssel, helyszíni szemlével, illetve mintavételes vizsgálat útján történő ellenőrzéssel biztosítja, hogy a kiszervezett tevékenységet végző fél a kiszervezési megállapodással összhangban ténylegesen végrehajtsa a szolgáltató elektronikus ügyfél-átvilágításra vonatkozó belső szabályait, és azoknak megfelelően járjon el,

b) a személyzet képzésével, a technológiai alkalmasságával és az adatirányítással összefüggő értékeléseket végez annak biztosítása érdekében, hogy a kiszervezett tevékenységet végző fél megfelelő személyi és tárgyi feltételekkel rendelkezzen az elektronikus ügyfél-átvilágítási folyamat, részfolyamat elvégzésére, valamint

c) biztosítja, hogy a kiszervezett tevékenységet végző fél előzetesen tájékoztassa a szolgáltatót az elektronikus ügyfél-átvilágítási folyamattal kapcsolatban felmerült bármely módosítási javaslatról.

a) a kiszervezett tevékenységet végző fél kizárólag a szükséges ügyfél adatokat gyűjtse és tárolja, a Pmt. 56–58. §-ában meghatározott adatmegőrzési időtartamnak megfelelően,

b) az adatokhoz való hozzáférés szigorúan korlátozott és nyilvántartott legyen, valamint

c) a kiszervezett tevékenységet végző fél megfelelő biztonsági intézkedéseket hajtson végre a tárolt adatok védelmének biztosítása érdekében.

a) megállapítani, hogy az átvilágítás alanyaként a távoli helyszínen megjelenő ügyfél valós, élő személy, az auditált elektronikus hírközlő eszközt valós időben személyesen használja, és az élő kép nem manipulált, valamint

b) az ügyfélről az ügyfél-átvilágítás során készített fényképet és az átvilágításhoz felhasznált okiratban szereplő képmást összehasonlítani olyan módon, hogy az alapján kétséget kizáróan megállapítható, hogy a személyazonosság igazolására alkalmas hatósági igazolványban szereplő személy azonos a fényképfelvételen szereplő személlyel.

a) az ügyfél a közvetett elektronikus ügyfél-átvilágítás feltételeit részletesen megismerte, és ahhoz kifejezetten hozzájárult,

b) erős ügyfél-hitelesítést alkalmaz,

c) a képátvitelt lehetővé tévő elektronikus hírközlő eszköz képfelbontása és a kép megvilágítása alkalmas az ügyfél nemének, korának, arcjellemzőinek felismerésére és az ügyfél által bemutatott fényképes azonosító okmánnyal való összevetésre, a bemutatott személyazonosság igazolására alkalmas hatósági igazolvány biztonsági elemeinek azonosítására, valamint

d) az ügyfél-átvilágítási folyamat szabályozott és a szolgáltató belső szabályzatában meghatározott módon folyamatosan ellenőrzött.

a) gondoskodik arról, hogy olyan felvétel készüljön az ügyfélről, amelyen arcképe felismerhető és rögzíthető,

b) meggyőződik arról, hogy az ügyfél valós, élő személy, az auditált elektronikus hírközlő eszközt valós időben személyesen használja, és az élő kép nem manipulált, valamint

c) olyan módon rögzíti az ügyfél-átvilágításhoz használt okiratokat, hogy az azokon található biztonsági elemek és adatsorok felismerhetők és tárolhatók legyenek.

a) a személyazonosság igazolására alkalmas hatósági igazolvány egyes elemei és azok elhelyezkedése megfelel a személyazonosság igazolására alkalmas hatósági igazolványt kiállító hatóság előírásainak, valamint

b) az egyes biztonsági elemek – így különösen a hologram, a kinegram vagy ezekkel megegyező más biztonsági elemek – felismerhetők és sérülésmentesek.

a) az ügyfél arcképe felismerhető és azonosítható az általa bemutatott személyazonosság igazolására alkalmas hatósági igazolványon látható arcképpel, valamint

b) a Pmt. által előírt azonosítási adatok teljeskörűen beszerzésre kerültek, és a személyazonosság igazolására alkalmas hatósági igazolványokon megtalálható adatok logikailag megfeleltethetők az ügyfélről a szolgáltatónál rendelkezésre álló adatokkal.

a) az ügyfél az ügyfél-átvilágítás során visszavonja az adatrögzítéshez vagy a közvetett elektronikus ügyfél-átvilágítás elvégzéséhez adott hozzájárulását,

b) az ügyfél által bemutatott személyazonosság igazolására alkalmas hatósági igazolvány fizikai és adattartalmi követelményei nem felelnek meg a 30. § (3) bekezdésében foglalt feltételeknek,

c) az ügyfél által bemutatott személyazonosság igazolására alkalmas hatósági igazolvány vizuális azonosításának feltételei nem adottak,

d) a szolgáltató nem tudja elkészíteni a képfelvételt, vagy nem tudja rögzíteni a 30. § (1) bekezdésében meghatározott munkamenetet,

e) az ügyfél-átvilágítás során ellentmondás vagy bizonytalanság lép fel, vagy

f) az azonosítási folyamat nem folytatható, mert műszaki hiányosságokat vagy váratlan csatlakozási fennakadásokat észlelnek.

a) Központi Azonosítási Ügynök (a továbbiakban: KAÜ szolgáltatás) igénybevételével,

b) elektronikus tárolóelemet tartalmazó, személyazonosság igazolására alkalmas hatósági igazolványból az ügyfél azonosításra alkalmas, hiteles természetes azonosító adatok kiolvasásával,

c) a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény (a továbbiakban: Dáptv.) 46. § (1) bekezdés a) pontja szerinti eAzonosítás igénybevételével vagy

d) egyéb módon, a 38. § szerinti korlátozásra figyelemmel

a) az auditált elektronikus hírközlő eszköz útján csatlakozik a KAÜ szolgáltatáshoz, és annak segítségével biztosítja, hogy az ügyfél-átvilágítás során az ügyfél azonosítsa magát, és

b) az általa biztosított auditált elektronikus hírközlő eszköz útján a KAÜ-től visszakapott információk alapján ellenőrzi az ügyfél személyazonosságát.

a) az ügyfél által bemutatott, elektronikus tárolóelemet tartalmazó, személyazonosság igazolására alkalmas hatósági igazolványból a szolgáltató az ügyfél személyes azonosításra alkalmas, hiteles természetes személyazonosító adatait és a személyazonosság igazolására alkalmas hatósági igazolványt kiállító hatóság által az ügyfélről készített fényképfelvételt az auditált elektronikus hírközlő eszköz útján elektronikus úton kiolvassa, és összeveti az ügyfél által megadott, illetve az azonosítás során felvett adatokkal és készített fényképfelvétellel, és

b) az adatok és fényképfelvételek auditált elektronikus hírközlő eszközzel történő összehasonlítása során kétséget kizáróan megállapítható, hogy a személyazonosság igazolására alkalmas hatósági igazolványban szereplő személy azonos az auditált elektronikus hírközlő eszközzel az átvilágítás során készített fényképfelvételen szereplő személlyel, valamint hogy a személyazonosság igazolására alkalmas hatósági igazolványt arra hatáskörrel rendelkező hatóság állította ki, és az elektronikusan tárolt és kiolvasott adatok változatlanok és hitelesek.

a) az ügyfél a közvetlen elektronikus ügyfél-átvilágítás feltételeit részletesen megismerte, és ahhoz kifejezetten hozzájárult, az adatkezelésről tájékoztatást kapott, és azt tudomásul vette,

b) a valós idejű kép- és hangátvitelt lehetővé tévő elektronikus hírközlő eszköz képfelbontása és a kép megvilágítása alkalmas az ügyfél nemének, korának, arcjellemzőinek felismerésére, és

c) az ügyfél-átvilágítási folyamat szabályozott és folyamatosan ellenőrzött.

a) úgy nézzen bele a kamerába, hogy arcképe felismerhető és rögzíthető legyen,

b) érthető módon közölje a közvetlen elektronikus ügyfél-átvilágításhoz használt személyazonosság igazolására alkalmas hatósági igazolvány azonosítóját, és

c) úgy mozgassa a közvetlen elektronikus ügyfél-átvilágításhoz használt személyazonosság igazolására alkalmas hatósági igazolványát, hogy az azon található biztonsági elemek és adatsorok felismerhetők és rögzíthetők legyenek.

a) a személyazonosság igazolására alkalmas hatósági igazolvány egyes elemei és azok elhelyezkedése megfelel a személyazonosság igazolására alkalmas hatósági igazolványt kiállító hatóság előírásainak, illetve a vonatkozó jogszabályi előírásoknak,

b) az egyes biztonsági elemek – így különösen a hologram, a kinegram vagy ezekkel megegyező más biztonsági elemek – felismerhetők és sérülésmentesek, és

c) a személyazonosság igazolására alkalmas hatósági igazolvány okmányazonosítója megegyezik az ügyfél által közölt okmányazonosítóval, felismerhető és sérülésmentes.

a) az ügyfél arcképe felismerhető és azonosítható az általa bemutatott személyazonosság igazolására alkalmas hatósági igazolványon látható arckép alapján, és

b) a személyazonosság igazolására alkalmas hatósági igazolványban megtalálható adatok logikailag megfeleltethetők az ügyfélről a szolgáltatónál rendelkezésre álló adatokkal.

a) az ügyfél a közvetlen elektronikus ügyfél-átvilágítás során visszavonja az adatrögzítéshez adott hozzájárulását,

b) az ügyfél által bemutatott személyazonosság igazolására alkalmas hatósági igazolvány fizikai és adattartalmi követelményei nem felelnek meg a 41. § (3) bekezdésében előírt feltételeknek,

c) az ügyfél által bemutatott személyazonosság igazolására alkalmas hatósági igazolvány vizuális azonosításának feltételei nem adottak,

d) a szolgáltató nem tudja elkészíteni a hang- és képfelvételt,

e) az ügyfél nem, nem teljes egészében vagy hibásan küldi vissza az azonosítási kódot,

f) az ügyfél nem tesz nyilatkozatot, vagy a szolgáltató számára észlelhetően befolyás alatt tesz nyilatkozatot, vagy

g) az ügyfél-átvilágítás során ellentmondás vagy bizonytalanság lép fel.

a) a hitelesítéssel járó kockázatok és elektronikus ügyfél-átvilágítási szabályzatban meghatározott egyedi kockázatcsökkentő intézkedések, különös tekintettel a személyazonossággal való visszaéléssel kapcsolatos kockázatokra,

b) annak a kockázata, hogy az ügyfél nem azonos azzal a személlyel, akinek kiadja magát, valamint

c) az elveszett, ellopott, felfüggesztett, visszavont vagy lejárt személyazonosító okmányok használatának kockázata, beleértve adott esetben a személyazonossággal való visszaélés felderítésére és megelőzésére szolgáló eszközöket is.