Kemur rafræn auðkenning í stað afrits af persónuskilríkjum?

Stutta svarið

Já, fullgild rafræn skilríki geta komið í stað þess að viðskiptamaður framvísi vegabréfi, ökuskírteini eða nafnskírteini við áreiðanleikakönnun samkvæmt lögum um aðgerðir gegn peningaþvætti. Í lögum nr. 140/2018 eru slík rafræn skilríki beinlínis talin til viðurkenndra persónuskilríkja. Því er ekki gerð almenn krafa um að varðveita einnig ljósmynd eða skannað afrit af áþreifanlegu skilríki ef deili hafa verið sannreynd með fullnægjandi rafrænni auðkenningu.

Rafræn auðkenning kemur hins vegar ekki í stað áreiðanleikakönnunarinnar sjálfrar eða skjölunar hennar. Tilkynningarskyldi aðilinn þarf að varðveita gögn sem sýna hver var auðkenndur, með hvaða viðurkenndu aðferð, hvaðan staðfestar upplýsingar komu, hvenær sannprófun fór fram og hver niðurstaðan var. Hann þarf einnig að varðveita áhættuflokkun, upplýsingar um raunverulegan eiganda, tilgang og eðli viðskipta, rökstuðning fyrir einfaldri eða aukinni könnun og gögn úr reglubundnu eftirliti.

Varðveislutíminn er að lágmarki fimm ár frá lokum samningssambands eða frá einstökum viðskiptum. Að þeim tíma liðnum skal eyða gögnunum ef ekki er lengur málefnaleg ástæða til varðveislu þeirra, nema lögbært stjórnvald hafi krafist lengri varðveislu innan lögbundinna marka.

Rafræn skilríki eru sjálf viðurkennd persónuskilríki

Áreiðanleikakönnun felur í sér meira en innskráningu. Hún tekur meðal annars til þess að auðkenna viðskiptamann og raunverulegan eiganda, sannreyna upplýsingarnar, greina tilgang og eðli viðskipta og fylgjast reglulega með samningssambandinu. Rafræn skilríki geta hins vegar fullnægt þeim þætti sem lýtur að sönnun á deili.

Í 18. tölul. 1. mgr. 3. gr. laga nr. 140/2018 eru viðurkennd persónuskilríki skilgreind. Þar segir meðal annars:

Til gildra persónuskilríkja teljast [...] vegabréf, ökuskírteini og nafnskírteini [...] og rafræn skilríki sem innihalda fullgild rafræn vottorð sem varðveitt eru á fullgildum undirskriftarbúnaði [...].

—

Ekki nægir því hvaða innskráning sem er. Hlekkur í tölvupósti, notandanafn, lykilorð, ljósmynd af skilríki eða skýrsla frá einkafyrirtæki jafngildir ekki sjálfkrafa viðurkenndum rafrænum persónuskilríkjum. Meta þarf hvort auðkenningin uppfylli lagaskilgreininguna nákvæmlega og hvort hún sé nægilega örugg miðað við áhættu viðskiptanna.

Lögin krefjast sönnunar og sjálfstæðrar sannprófunar

Í 1. mgr. 10. gr. er gerð krafa um að einstaklingur sanni á sér deili með viðurkenndum persónuskilríkjum áður en samningssamband er stofnað eða viðskipti fara fram:

Áður en samningssambandi er komið á eða áður en viðskipti eiga sér stað skal tilkynningarskyldur aðili gera kröfu um að [...] einstaklingar sanni á sér deili með framvísun viðurkenndra persónuskilríkja.

—

Næsta skref er sjálfstæð sannprófun. Þegar viðskiptamaður er lögaðili þarf til dæmis að bera upplýsingar saman við fyrirtækjaskrá, kanna umboð þess sem kemur fram fyrir hönd félagsins og finna og sannreyna raunverulegan eiganda. Rafræn skilríki þess sem skráir félagið fyrir þjónustunni sanna ekki ein og sér hver eigi félagið eða stýri því í reynd.

Áhættumat getur kallað á frekari gögn. Óvenjuleg eignarhaldsskipan, ósamræmi milli rafrænnar auðkenningar og opinberrar skrár, viðskipti fyrir hönd þriðja manns eða tengsl við áhættusamt ríki geta réttlætt frekari sannprófun. Rafræn skilríki fella hvorki niður þá skyldu né heimildina til að afla nauðsynlegra gagna.

Hvað þarf að varðveita eftir rafræna auðkenningu?

Lögin gera ekki kröfu um eina tiltekna skjámynd eða eitt skráarsnið. Þau krefjast þess að varðveitt séu afrit af gögnum og upplýsingum úr áreiðanleikakönnun, upplýsingar um aðferðina sjálfa og nauðsynleg fylgiskjöl og viðskiptayfirlit:

Tilkynningarskyldir aðilar skulu varðveita [...] gögn og upplýsingar, þar á meðal upplýsingar sem hefur verið aflað með rafrænum hætti, að lágmarki í fimm ár frá því að samningssambandi lýkur eða einstök viðskipti hafa átt sér stað [...].

—

Í rafrænu ferli ætti rekjanleg auðkenningarskrá að sýna að minnsta kosti:

auðkenni viðskiptamanns, svo sem nafn og kennitölu eða sambærilegt erlent auðkenni;
dagsetningu og tíma auðkenningar og hvort hún tókst;
hvaða viðurkennda rafræna skilríkjaleið eða vottunarleið var notuð;
hvaða staðfestu auðkennisupplýsingar bárust og frá hvaða heimild;
tilvísun eða færsluauðkenni sem gerir kleift að rekja sannprófunina;
hvaða frekari samanburður var gerður við opinberar eða aðrar áreiðanlegar heimildir; og
frávik og viðvaranir og hvernig þau voru afgreidd.

Þetta er hagnýt útfærsla á skjölunarskyldunni, ekki tæmandi lögbundið gagnasnið. Tilkynningarskyldi aðilinn þarf að geta afhent eftirlitsaðila gögnin án tafar og sýnt fram á að könnunin hafi raunverulega farið fram. Hann á hins vegar ekki að varðveita PIN-númer, einkalykil eða önnur leynigögn auðkenningarbúnaðarins.

Fleira en auðkenningarfærslan þarf að fylgja málinu

Í reglugerð nr. 745/2019 eru tilgreind þau gögn sem þurfa að liggja fyrir vegna áreiðanleikakönnunar. Meðal þeirra eru:

gögn, upplýsingar og rökstuðningur fyrir áhættuflokkun viðskiptamanns;
gögn og upplýsingar sem aflað var við könnunina og hvaðan þeirra var aflað;
rökstuðningur fyrir einfaldri eða aukinni áreiðanleikakönnun;
viðbótarupplýsingar sem aflað er meðan samningssamband varir; og
samþykki yfirstjórnar þegar þess er krafist.

Reglugerðin leggur áherslu á bæði gögnin og uppruna þeirra:

Tilkynningarskyldir aðilar skulu varðveita [...] gögn og upplýsingar sem aflað var við áreiðanleikakönnun viðskiptamanna og hvaðan þeirra var aflað.

—

Kerfi sem geymir aðeins grænt hak við „auðkenndur“ er því of rýrt. Aftur á móti er óþarfi að afla myndar af áþreifanlegu skilríki til viðbótar „til öryggis“ ef fullgild rafræn skilríki voru notuð og rekjanleg sönnun um auðkenninguna er varðveitt. Gagnalágmörkun samkvæmt persónuverndarlögum gildir samhliða skjölunarskyldu peningaþvættislaga.

Nýlegt eftirlitsmál sýnir hvað telst ekki fullnægjandi

Í sátt Seðlabanka Íslands við greiðsluþjónustuaðila, sem birt var 2. júlí 2026, var farið yfir úrtak 15 viðskiptamanna. Í fjórum tilvikum höfðu raunverulegir eigendur ekki sannað á sér deili með fullnægjandi hætti og í öðrum fjórum voru upplýsingar um viðskiptamenn ekki sannreyndar nægilega við upphaf samningssambands. Í tveimur tilvikum hafði aðilinn notað skýrslur frá þjónustuveitanda sem ígildi skilríkja:

Skýrslur [...] teljast ekki vera persónuskilríki í skilningi 18. töluliðar

mgr. 3. gr. laga nr. 140/2018.

—

Í sama máli gat aðilinn ekki kallað fram afgreidd viðvörunarflögg úr reglubundnu eftirliti. Það var talið brot á skyldum um varðveislu gagna og upplýsingakerfi. Málið sýnir tvær aðskildar kröfur: auðkenningaraðferðin þarf að vera viðurkennd og síðar þarf að vera unnt að rekja eftirlitsferilinn.

Eldri úrskurður um ljósrit af skilríkjum

Í var fjármálafyrirtæki talið hafa mátt taka og varðveita afrit af skilríki vegna þágildandi peningaþvættislaga. Persónuvernd taldi söfnun upplýsinga um uppruna fjármagns hins vegar óheimila við þær aðstæður sem lágu fyrir. Úrskurðurinn er byggður á eldri lögum, en grundvallaratriðið stendur óhaggað: lagaskylda til auðkenningar réttlætir ekki söfnun allra upplýsinga sem kunna að vera gagnlegar.

Núgildandi lög gera ráð fyrir rafrænum skilríkjum og fjalla um gögn og upplýsingar sem aflað er rafrænt. Því þarf ekki að heimfæra eldri venju um ljósrit vélrænt upp á stafrænt ferli. Spurningin er hvort varðveitta skráin sanni fullnægjandi auðkenningu og aðra þætti könnunarinnar.

Þverskurður opinberra leiðbeininga

Hugtakið „rafræn skilríki“ kom fyrir í fjórum skjölum í íslenska leiðbeiningasafninu 16. júlí 2026. Þrjú þeirra komu frá Persónuvernd og eitt frá Fjármálaeftirlitinu:

Útgefandi	Fjöldi skjala
Persónuvernd	3
Fjármálaeftirlitið	1

Taflan telur nákvæma orðnotkun en tekur ekki til alls efnis um auðkenningu. Hún sýnir að almenn fræðsla um rafræn skilríki er ekki það sama og sértæk framkvæmd áreiðanleikakönnunar. Þar þarf að lesa saman lög nr. 140/2018, reglugerð nr. 745/2019 og eftirlitsmál Fjármálaeftirlitsins.

Gátlisti fyrir rafrænt auðkenningarferli

Áður en ljósritun skilríkja er lögð af ætti tilkynningarskyldur aðili að staðfesta að:

rafræna skilríkið falli undir lagaskilgreiningu viðurkenndra persónuskilríkja;
auðkenningarfærslan geymi nægar upplýsingar til að endurgera sannprófunina;
umboð, lögaðili og raunverulegur eigandi séu könnuð sérstaklega;
áhættuflokkun og val á einfaldri, hefðbundinni eða aukinni könnun sé rökstutt;
frávik og viðvaranir varðveitist einnig eftir að þeim hafi verið lokað;
gögn séu aðgengileg eftirlitsaðila án tafar en aðgangur starfsfólks sé takmarkaður; og
sjálfvirk eyðing taki mið af fimm ára lágmarki frá lokum samningssambands, en ekki aðeins frá stofndegi viðskiptamanns.

Niðurstaða

Fullgild rafræn skilríki geta komið í stað framvísunar og afritunar persónuskilríkja á áþreifanlegu formi. Þau koma hins vegar ekki í stað sönnunar um að rétt auðkenning hafi farið fram eða annarra þátta áreiðanleikakönnunar. Varðveita þarf rekjanlega auðkenningarfærslu, uppruna staðfestra upplýsinga, áhættumat og rökstuðning, upplýsingar um raunverulegan eiganda og feril reglubundins eftirlits.

Markmiðið er ekki að safna sem flestum afritum, heldur að geta sýnt, fimm árum eftir lok samningssambands ef á þarf að halda, hver var kannaður, hvernig, á hvaða grunni og með hvaða niðurstöðu — án þess að varðveita óþarfar eða leynilegar upplýsingar úr auðkenningarbúnaðinum.

Heimildir

, einkum 3., 8., 10., 28.–30. gr.
, einkum 2.–4., 15.–16. og 23. gr.
.
.

This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.