Desafio

Como podemos reforçar o registo e identificação remota de cidadãos através de algoritmos de reconhecimento facial e de imagem, para que seja um processo mais fácil, seguro e confiável?

Problemático

Desde 2016, na Catalunha, temos a identidade digital chamada idCAT O cadastro via celular é feito presencialmente ou por meio de um processo telemático, com certificado digital (2% do total de cadastros telemáticos) ou com cadastro baseado em informações que somente a Administração e o próprio cidadão conhecem (98%).

Os cidadãos valorizam muito o serviço de identificação digital. idCAT O aplicativo móvel com cadastro online é uma ótima opção por ser prático, rápido de obter, fácil de usar, permitir a realização de procedimentos imediatamente após o cadastro e não exigir memorização de informações. Isso é comprovado pelos quase 400.000 mil cidadãos que já o utilizam, pelos mais de um milhão de ações realizadas e pelos excelentes resultados das pesquisas de satisfação, tanto em relação ao uso quanto ao processo inicial de cadastro online.

No entanto, esta identidade digital tem alguns pontos a melhorar:

  • De acordo com a norma europeia de identificação e assinatura eletrónica e o esquema nacional de segurança, este sistema é considerado de baixo nível e existem algumas ações que não são recomendadas. Por exemplo, acesso a pastas públicas. Alguns serviços das administrações catalãs não o utilizam por este motivo. 
  • O processo de registro online implementado inicialmente apenas exigia que as informações de identidade e cartão de saúde fossem verificadas em relação aos registros oficiais correspondentes. Mas há cidadãos que não têm bilhete de identidade ou não têm cartão de saúde (funcionários públicos que têm seguro mútuo Muface ou catalães no estrangeiro)

Por esses motivos, consideramos explorar novos mecanismos que permitam que o processo de inscrição online sejaidCAT Dispositivos móveis com maior segurança, robustez e confiabilidade., com o objetivo de ampliar o número de usuários que podem obtê-lo sem se deslocar e ampliar os usos nas administrações catalãs.

Como resultado dessa exploração, desde maio de 2020, o sistema de registro doidCAT Internet móvel:

  • aplica métodos de identificação reconhecidos com termos de fiabilidade equivalentes à presença física, o que eleva o serviço a um nível substancial de segurança;
  • permite o acesso ao processo de registro online com DNI, TIE ou mesmo NIE, o que amplia o número de cidadãos que podem acessar o serviço.

Durante a exploração realizada verificou-se que:

O setor privado fez grandes progressos em implementação de processos seguros de identificação remota usando algoritmos de inteligência artificial, especificamente reconhecimento facial e de imagem. A principal área de dinamismo foi o setor bancário na sequência da Diretiva (UE) 2015/849 do Parlamento Europeu e do Conselho, de 20 de maio de 2015, relativa à prevenção da utilização do sistema financeiro para o branqueamento de capitais e ao financiamento de terrorismo. Adicionalmente, o SEBLAC (Serviço Executivo da Comissão de Prevenção à Lavagem de Dinheiro e à Lavagem de Dinheiro) aprovou diversas instruções sobre como realizar a identificação digital de um usuário por meio de mecanismos de videoidentificação e videoconferência. Os principais bancos europeus estão atualmente implementando serviços que facilitam o registro remoto usando algoritmos de reconhecimento facial e de imagem.

Uma questão chave é a confiabilidade de algoritmos de reconhecimento facial nas diferentes situações e condições em que nos encontramos, o que pode afetar a qualidade das imagens captadas. Felizmente, temos os excelentes estudos realizados pelo Instituto Nacional de Padrões e Tecnologia (NIST) sobre a robustez dos principais algoritmos de reconhecimento facial do mercado, em diferentes situações e condições, que nos oferecem informações muito valiosas para determinar a qualidade de os algoritmos e os níveis de risco de cada um, a fim de propor medidas mitigadoras.

Embora em geral o setor público esteja, como de costume, atrasado na adoção dessas tecnologias de inteligência artificial, recentemente e acelerada pela emergência sanitária do COVID-19, o Ministerio de Asuntos Económicos y Transformación Digital publicou o"Despacho ETD/465/2021, de 6 de maio, que regulamenta os métodos de identificação remota de vídeo para emissão de certificados eletrónicos qualificados", onde está contemplada a possibilidade de verificar a identidade remotamente.
Vale ressaltar que o Consórcio AOC já havia analisado experiências internacionais para determinar as melhores práticas a serem aplicadas no setor público da Catalunha e que, desde maio de 2020, já conta com o sistema. idCAT Dispositivo móvel, que se adapta e atende aos requisitos indicados neste pedido.

Solução aplicada

O sistema de registro doidCAT O sistema móvel via internet utiliza soluções de reconhecimento facial e de imagem que fornecem evidências no processo de cadastro, conferindo maior robustez ao processo e seguindo as diretrizes da regulamentação estabelecida pelo Estado (Portaria ETD/465/2021).

Els principais controles implementados estão:

  • O reconhecimento facial compara a foto da pessoa que faz o processo de registro (selfie) com a foto do documento oficial que a pessoa escaneia.
  • O reconhecimento facial compara uma foto da pessoa tirada da gravação em vídeo do processo de registro com a foto do documento oficial que a pessoa escaneia.
  • O reconhecimento de imagem permite digitalizar um documento oficial e verificar se ele é original e não foi adulterado.
  • Um teste de vida é realizado na pessoa que passa pelo processo, pedindo um gesto ou movimento
  • É validado (se a pessoa for residente na Espanha) que os dados do documento correspondem ao registro oficial da Direção Geral de Polícia.
  • Um operador humano valida todo o processo para alcançar um nível substancial de garantias de registro.

Exemplo do processo:

Paralelamente, vários foram implementados salvaguardas para atender aos requisitos legais e construir confiança:

  • Privacidade: Os cidadãos têm formas alternativas de obter uma identidade digital (eID) sem compartilhar seus dados biométricos.
  • Regulamento Geral de Proteção de Dados (RGPD): O consentimento do utilizador é obrigatório e a informação pessoal é gerida de acordo com o RGPD. Nenhum dado biométrico é armazenado: um vetor biométrico (uma longa sequência de números) é gerado e não é possível reconstruir o rosto a partir do vetor.
  • Certificações: O sistema cumpre os requisitos da regulamentação espanhola e possui as certificações necessárias para o seu cumprimento.
  • Algoritmos imparciais: verificações regulares de qualidade garantem precisão e evitam vieses.
  • Supervisão: Todas as transações são supervisionadas por funcionários públicos.
  • Impacto: Foi realizada uma avaliação do impacto da proteção de dados para garantir os direitos fundamentais dos usuários.

Requisitos da solução aplicada

A origem dos processos seguros de identificação remota com recurso a algoritmos de inteligência artificial encontra-se no setor financeiro da União Europeia, na sequência da aprovação da Diretiva (UE) 2015/849 do Parlamento e do Conselho, de 20 de maio de 2015, relativa à prevenção da utilização do sistema financeiro para lavagem de dinheiro ou financiamento do terrorismo; e as instruções da SEBLAC sobre como realizar a identificação digital de um usuário por meio de mecanismos de identificação por vídeo e videoconferência.

O Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e serviços de confiança para transações eletrónicas no mercado interno, já previa a possibilidade de verificação da identidade do pessoa que solicita um certificado qualificado usando métodos de identificação que garantem segurança equivalente em termos de confiabilidade à presença física.

Existem muitas soluções de reconhecimento facial e de imagem no mercado hoje. A solução escolhida pelo Consórcio AOC foi a oferecida pela DELOITTE ADVISORY SL, que faz parte da família de soluções VERIDAS (Veja o Concurso para o serviço de identificação remota)

Els requisitos adicionais que pedimos para garantir a adequação do aplicativo para o setor público foram os seguintes:

  • Isso pode ser feito por meio de um aplicativo web responsivo ou um aplicativo móvel altamente utilizável.
  • O serviço deve aceitar os documentos de identidade digital mais comuns dos principais países europeus e globais.
  • O processo de digitalização de documentos oficiais será realizado com mecanismos para controlar a veracidade do documento MZ, marcas d'água, etc. e minimizar os riscos de falsificação de identidade, manipulação e extração da fotografia do usuário.
  • O processo de captura da foto selfie do usuário incluirá um teste de vida (gesto facial: fechar os olhos, virar a cabeça, sorrir,…) e um detector da qualidade da foto tirada. Em caso de baixa qualidade, será proposto tirar uma nova foto.
  • A correlação da foto tirada do documento de identidade oficial e a "selfie" será feita com um algoritmo analisado pelo National Institute of Standards and Technology (EUA) (NIST) em seu último relatório sobre "Teste de Fornecedor de Reconhecimento Facial Contínuo (FRVT) Parte 2: Identificação".
  • Parte ou todo o processo será filmado como evidência para facilitar as tarefas de monitoramento, validação e controle. Um vídeo pré-gravado não pode ser carregado ou armazenado em um local à prova de adulteração.
  • Será verificado se o código de uso único enviado para o celular do usuário foi inserido corretamente na solução de registro.
  • Serão adicionadas informações sobre a geolocalização do processo de registro e o dispositivo utilizado, a fim de aplicar medidas de segurança adaptáveis.
  • Os documentos lavrados e os comprovativos do processo serão conservados, devidamente assinados com certificado digital e com o carimbo da hora AOC, pelo período mínimo de um ano.
  • A aplicação de gestão de funcionários públicos (back office) facilitará a fiscalização e/ou validação dos registos efetuados pelos cidadãos.
    • O período de validação de um processo de registro por um operador deve ser de no máximo 10 minutos (a partir do final do processo de digitalização e vídeo).
    • O serviço de validação estará disponível pelo menos no seguinte horário: das 9h às 17h.
    • Os operadores que realizam a validação serão devidamente treinados.
  • Serão cumpridas as normas da SEPBLAC no que diz respeito aos procedimentos de videoidentificação de clientes em operações sem contacto, no domínio do combate ao terrorismo e da prevenção do branqueamento de capitais.
  • Os sistemas de informação associados a este serviço serão alojados na União Europeia.

Adicionalmente, foram valorizados requisitos avançados:

  • Tenha uma integração com o DNI-e 3.0 SDK para extrair via NFC a foto armazenada no chip DNI. Esta funcionalidade só pode estar disponível através de uma APP.
  • Verificação de que o documento de identidade oficial digitalizado possui um holograma.
  • Conformidade regulatória em relação a:
    • Relatório de auditoria externa de conformidade com eIDAs - ENS, com o respectivo Certificado de Conformidade.
    • Solução incorporada no Catálogo de Produtos de Segurança CCNCERT ICT como produto qualificado ou componente certificado de acordo com o ENS.

Principais benefícios da solução aplicada

  1. Maior segurança: O algoritmo de reconhecimento facial e de imagem fornecido pelo VERIDAS provou ter um alto nível de precisão. A taxa de rejeição é muito baixa (5%), devido principalmente a problemas técnicos de gravação e iluminação da câmara.
  2. Conveniência: os usuários podem concluir todo o processo em casa em minutos, economizando tempo e esforço.
  3. inclusão: Investimos fortemente na experiência do usuário para tornar o processo extremamente simples para qualquer usuário, independentemente de suas habilidades digitais.
  4. poupança: Melhora a eficiência ao automatizar tarefas administrativas e reduzir erros, resultando em economia significativa de custos: até 80% por transação em comparação com os métodos presenciais.

Outros casos de uso

Apesar deste primeiro caso de uso proposto de identificação de vídeo para obter oidCat Em dispositivos móveis, o objetivo é estudar futuramente a viabilidade desses mecanismos de identificação por vídeo, que poderão fornecer elementos para aumentar o nível de segurança da identificação. idCAT Dispositivos móveis, que atualmente apresentam baixo nível de segurança. Portanto, o uso de algoritmos de reconhecimento facial e de imagem pode ser estendido no futuro a muitos outros cenários, tais como:

  • Realização de procedimentos e ações, sem a necessidade de gerar qualquer identidade digital prévia.
  • Voto eletrónico em processos participativos ou por cidadãos no estrangeiro. O processo atual é muito pesado e faz com que uma pequena porcentagem de cidadãos com direito a voto o exerça.

Status do projeto

  • Em produção desde maio de 2020
  • Indicadores (dados atualizados até junho de 2023):
    • mais de 110.000 identificações de vídeo feitas
    • 95% solicitações aceitas e 5% rejeitadas

Mais Informações