mDowód jest elektroniczny, ale nie działa online!

Tekst został opublikowany po raz pierwszy w sierpniu 2023 roku, ale wygląda na to, że wciąz jest aktualny…

Ciągle wiele osób nie wie, że dokument mObywatel (określany w materiałach informacyjnych Ministerstwa Cyfryzacji jako mDowód), dostępny w aplikacji mObywatel, zastępuje plastikowy dowód osobisty w relacjach wzajemnej fizycznej obecności stron, ale już nie w sytuacjach, gdy weryfikacja tożsamości następuje zdalnie.

dokument mObywatel – dokument mobilny stwierdzający tożsamość i obywatelstwo polskie użytkownika aplikacji mObywatel na terytorium Rzeczypospolitej Polskiej w relacjach wzajemnej fizycznej obecności stron;

Ustawa z dnia 26 maja 2023 r. o aplikacji mObywatel (Dz. U. poz. 1234 z późn. zm.) – art. 2 pkt 8

Zasada dwóch jedności

Z definicji wynika jasno, że dokument mObywatel nie jest uniwersalnym sposobem weryfikacji tożsamości – stwierdza on tożsamość tylko wtedy, gdy zachowana jest zasada dwóch jedności – miejsca i czasu.

Wymóg wzajemnej fizycznej obecności stron to inaczej mówiąc wymóg, aby osoba weryfikująca tożsamość i osoba, której tożsamość jest ustalana, znajdowały się w tym samym czasie w tym samym miejscu. Najłatwiej to zapamiętać jako wymóg dwóch jedności.

Czy można skorzystać z dokumentu mObywatel zdalnie?

Konsekwencją przyjęcia, że dokument mObywatel to „dokument mobilny stwierdzający tożsamość i obywatelstwo polskie użytkownika aplikacji mObywatel na terytorium Rzeczypospolitej Polskiej w relacjach wzajemnej fizycznej obecności stron” jest to, że nie ma podstawy prawnej do uznania, że można przy jego pomocy ustalić tożsamość osoby fizycznej, jeśli naruszona została zasada dwóch jedności.

W ramach np. połączenia wideo, nawet jeśli takie połączenie stwarza możliwość „obejrzenia” dokumentu mObywatel, zachowana będzie tylko jedność czasu, ale już nie miejsca. Ustalenie tożsamości w ramach takiego połączenia odbywa się w takiej sytuacji na ryzyko stron.

Profil mObywatel

Do weryfikacji tożsamości online służy inny element aplikacji mObywatel – profil mObywatel, który jest tzw. środkiem identyfikacji elektronicznej w rozumieniu eIDAS (czyli jest to zestaw danych umożliwiających ustalenie tożsamości osoby fizycznej w usługach online).

Korzystanie ze środków identyfikacji elektronicznej nie jest niczym nowym – jeśli ktoś loguje się np. do ePUAP przy pomocy bankowości online, to korzysta właśnie z takiej usługi – bank przekazuje dane umożliwiające jego identyfikację (czyli środek identyfikacji elektronicznej) do tzw. węzła krajowego, sam lub za pośrednictwem KIR S.A. w ramach usługi mojeID.

Środek identyfikacji elektronicznej (a zatem także profil mObywatel) można traktować jako cyfrowy odpowiednik dokumentu tożsamości.

Jak zweryfikować dokument mObywatel?

Ustawa przewiduje aż 5 sposobów weryfikacji dokumentu mObywatel (lub innego dokumentu mobilnego czyli takiego, który jest obsługiwany przez aplikację mObywatel).

Art. 9 ust. 2

2. Osoba, której jest prezentowany lub przekazywany do weryfikacji dokument mobilny, może dokonać potwierdzenia autentyczności, ważności, integralności lub pochodzenia tego dokumentu, weryfikując:

1) dane tego dokumentu lub

2) zaawansowaną pieczęć elektroniczną ministra właściwego do spraw informatyzacji lub obsługującego ten organ urzędu, weryfikowaną przy użyciu ważnego kwalifikowanego certyfikatu, którą jest opatrzony ten dokument, lub

3) podpis elektroniczny weryfikowany przy użyciu certyfikatu użytkownika aplikacji mObywatel, którym jest opatrzony ten dokument, lub

4) zabezpieczenia wizualne tego dokumentu, lub

5) poprawność funkcjonowania usługi pozwalającej na obsługę tego dokumentu.

Weryfikacja manualna

Trzy z wyżej wskazanych sposobów mają charakter „manualny” – polegają na weryfikacji danych dokumentu, jego zabezpieczeń wizualnych lub na weryfikacji poprawności „funkcjonowania usługi pozwalającej na obsługę tego dokumentu”. Inaczej mówiąc – polegają one na obejrzeniu ekranu smartfona, na którym jest zainstalowana aplikacja mObywatel. Jest oczywiste, że te sposoby mogą być dość zawodne, zwłaszcza, że nie ma przepisu, który dawałby weryfikującemu prawo do np. zażądania przekazania smartfona w jego ręce. W praktyce osoba tak weryfikująca dokument mObywatel ogląda ekran smartfonu wysuniętego w jego stronę.

Weryfikacja elektroniczna

Realna i niepodważalna weryfikacja dokumentu mObywatel wymaga zastosowania dwóch innych metod:

• weryfikacji zaawansowanej pieczęci elektronicznej ministra właściwego do spraw informatyzacji lub obsługującego ten organ urzędu, weryfikowanej przy użyciu ważnego kwalifikowanego certyfikatu, którą jest opatrzony ten dokument,

lub

• weryfikacji podpisu elektronicznego weryfikowanego przy użyciu certyfikatu użytkownika aplikacji mObywatel, którym jest opatrzony ten dokument.

Na szczęście jest to łatwiejsze niż jednokrotne przeczytanie ze zrozumieniem powyższego zdania.

Narzędzia do weryfikacji

Zgodnie z art. 19. ust. 1 pkt 7) ustawy, minister właściwy do spraw informatyzacji (czyli Minister Cyfryzacji) ma obowiązek udostępnić narzędzia, które umożliwiają potwierdzenie w wyżej opisany sposób autentyczności, ważności, integralności oraz pochodzenia dokumentów mobilnych

Tymi narzędziami są aplikacja na urządzenia mobilne „mWeryfikator” oraz dedykowana usługa online.

Dla „instytucjonalnych weryfikatorów” tożsamości – takich jak banki czy urzędy, w grę wchodzi w zasadzie tylko dedykowana usługa online.

mWeryfikator to bowiem aplikacja mobilna, co oznacza, że weryfikacja następuje na urządzeniu mobilnym osoby weryfikującej (weryfikacja aplikacja-aplikacja), gdzie nie ma ani możliwości wygenerowania potwierdzenia weryfikacji ani też możliwości zapisania lub przekazania danych z weryfikowanego dokumentu mObywatel w celu dalszego przetwarzania.

mWeryfikator przyda się zatem głównie w użytku konsumenckim – gdy jeden obywatel chce ustalić tożsamość drugiego – lub w sytuacjach awaryjnych, ewentualnie wówczas, gdy weryfikacja tożsamości następuje sporadycznie.

Tam, gdzie ważne jest utrwalenie informacji, że została dokonana weryfikacja oraz automatyczne pobranie zweryfikowanych danych do systemu informatycznego podmiotu weryfikującego, powinna być zastosowana dedykowana usługa online. Wymaga ona integracji systemu informatycznego strony weryfikującej z systemem mObywatel, ale ma wiele korzyści. Strona weryfikująca otrzymuje bowiem w ramach procesu weryfikacji dane dokumentu oraz dowód kryptograficznej weryfikacji tożsamości.

Usługa ta jest już udostępniona zainteresowanym podmiotom przez Ministerstwo Cyfryzacji.

Co powinny zrobić podmioty regularnie weryfikujące tożsamość klientów i interesantów?

Wejście w życie ustawy wprowadzającej aplikację mObywatel oznacza sporo pracy dla wielu instytucji. Muszą one zweryfikować swoje procedury i regulaminy dotyczące ustalania tożsamości tak, aby uwzględnić możliwość przedstawienia w jego ramach dokumentu mObywatel.

Od 14 lipca 2023 r. nie można bowiem odmówić akceptacji dokumentu mObywatel jako dokumentu tożsamości.

Art. 7 ust. 4

Jeżeli z przepisu prawa wynika obowiązek stwierdzenia tożsamości lub obywatelstwa polskiego na podstawie dokumentu tożsamości, w szczególności na podstawie dowodu osobistego, obowiązek ten uznaje się za spełniony w przypadku stwierdzenia tożsamości lub obywatelstwa polskiego na podstawie dokumentu mObywatel.

Banki i inne instytucje obowiązane do stosowania procedur AML muszą dostosować swoje procedury i systemy do końca sierpnia. Są one obowiązane stosować przepisy ustawy w zakresie wykorzystywania dokumentu mObywatel jako środka bezpieczeństwa finansowego do identyfikacji klienta oraz weryfikacji jego tożsamości od 1 września 2023 r. Wiąże się to m.in. z koniecznością wdrożenia zmiany procedur i regulaminów, a także wdrożeniem wspomnianej wyżej dedykowanej usługi online do weryfikacji dokumentu mObywatel.

Co dalej?

Aplikacja mObywatel to nie tylko dowód tożsamości w smartfonie. To także profil mObywatel, a wraz z nim szansa na unowocześnienie zasad identyfikacji klientów, zwłaszcza tych, którzy korzystają z usług online.

Z jednej strony profil mObywatel to nic nowego – można go porównać do profilu osobistego w ramach dowodów osobistych z warstwą elektroniczną. Jednak profil osobisty jest na razie rzadko wykorzystywany w praktyce, a samo korzystanie z niego dość skomplikowane.

Profil mObywatel w połączeniu z usługą weryfikacji online daje realną możliwość łatwego i pewnego zweryfikowania osób fizycznych, a uniwersalność aplikacji mObywatel, w ramach której pojawiają się coraz to nowe usługi, być może pozwoli na większą popularyzację tego sposobu identyfikacji osób fizycznych.

Czas pokaże, czy te przewidywania się spełnią.