Champ d'application
L'entrée en relation électronique désigne l'usage d'une technologie automatisée ou semi-automatisée pour tout ou partie de la collecte, de la vérification et de la conservation des données d'identification du client. La circulaire couvre l'identification des clients et des bénéficiaires effectifs. Pour les personnes morales, des copies papier des pièces d'identification restent exigées.
Exigences d'identification
- Le consentement préalable du client au traitement de ses données personnelles.
- Des facteurs d'authentification proportionnés au risque évalué.
- Le contrôle de l'authenticité et de l'intégrité des pièces, via les systèmes des autorités émettrices quand une connexion existe, sinon par vérification manuelle. Sans accès aux informations requises, l'entrée en relation ne peut être validée.
- La preuve de vie et de présence par communication audiovisuelle, reconnaissance faciale ou toute autre technologie fiable. La vidéo est une option, pas une obligation.
- Le rapprochement entre les données d'identification et la biométrie du client.
- Le filtrage et le profilage selon la circulaire 2017-08, et une fiche KYC générée automatiquement puis mise à jour dans le mois suivant tout changement.
- L'accord du client par signature électronique ou manuscrite, l'électronique reposant sur une identification fiable.
- La conservation sécurisée des fiches KYC, des données personnelles et des copies de pièces, avec une intégrité protégée par un procédé cryptographique fiable.
Gouvernance, tests et reporting
Le conseil approuve les procédures, qui couvrent le processus de bout en bout, une cartographie des risques (usurpation d'identité, cyber, LBC/FT), les mesures d'atténuation et la gestion des incidents. Avant la production, les résultats de test sont consignés chaque mois dans un registre de performance et la banque s'efforce de réduire le taux de fausse acceptation ; le déploiement est conditionné à la capacité du dispositif à éliminer les fausses acceptations. Les tests d'intrusion sont réalisés par un auditeur certifié par l'Agence nationale de la cybersécurité, et le dispositif est audité tous les deux ans.
Avant la mise en service, la banque transmet à la BCT un dossier avec la description du processus, le rapport sur les risques, le rapport de test d'intrusion, l'évaluation de préproduction et les plans d'atténuation. Les incidents majeurs sont déclarés sans délai.
Travailler avec un prestataire
L'externalisation suit la circulaire 2017-08 et l'article 81 de la loi 2016-48. Le prestataire passe les mêmes tests et des audits annuels, le contrat couvre la confidentialité, interdit la sous-traitance et donne accès à la BCT, et la banque garde l'entière responsabilité. Exécuter le logiciel du prestataire sur votre propre infrastructure, comme le permet l'édition auto-hébergée de Konnect ID, garde données et exploitation sous votre contrôle.
La place de Konnect ID
- Un écran d'information avant la capture ; le consentement lui-même est enregistré dans votre parcours, avant la session.
- Contrôle des documents : écrans, impressions, retouches, images réutilisées et cohérence des données.
- Défi de vivant guidé et correspondance faciale avec un seuil par parcours.
- Filtrage sur listes de sanctions et déclarations PPE, avec les correspondances envoyées en revue.
- Un rapport de dossier et un journal d'audit pour chaque décision, pour bâtir la fiche KYC et votre dossier BCT.
- Des seuils et règles de décision ajustables pendant les tests de préproduction.