Despacho n.º 13138/2026, de 28 de outubro

Despacho n.º 13138/2026

Identificação de pessoas físicas através de procedimentos de identificação à distância com recurso a sistemas biométricos automáticos de reconhecimento facial

O Despacho n.º 2705/2021, de 11 de março, com as alterações introduzidas pelo Despacho n.º 2997/2024, de 21 de março, regula e estabelece os requisitos para os procedimentos e sistemas biométricos para a identificação de pessoas físicas através de procedimentos de identificação à distância.

O Regulamento (UE) N.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno, com as alterações introduzidas pelo Regulamento (UE) n.º 2024/1183 do Parlamento Europeu e do Conselho, de 11 de abril de 2024, no respeitante à Criação do Regime Europeu para a Identidade Digital, designado de Regulamento eIDAS, prevê que, para a emissão de certificados qualificados, possam ser utilizados outros métodos de identificação que deem garantias equivalentes, em termos de confiança, à da presença física.

Considerando a evolução tecnológica com o surgimento do novo Cartão de Cidadão, compatível com o padrão ICAO 9303 e a publicação do ETSI TS 119 461, mostra-se necessária a revisão e republicação do referido Despacho n.º 2705/2021.

O Gabinete Nacional de Segurança (GNS), atento à evolução da robustez das tecnologias de identificação à distância, considera que a utilização de tecnologias para transferência segura de dados e leitura de chips por radiofrequência, aliada à validação biométrica direta a partir de dados eletrónicos, contribui para processos de identificação à distância mais eficientes e seguros, reduzindo os falsos negativos nas validações e melhorando a experiência do utilizador nos processos.

Assim mostra-se necessário, introduzir alterações ao Despacho n.º 2705/2021, de 11 de março de 2021.

Nestes termos e ao abrigo das competências como Entidade Supervisora, previstas no artigo 46.º-B do Regulamento (UE) N.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, na sua redação atual, determino o seguinte:

1 - Os procedimentos de identificação à distância, através de sistemas biométricos automáticos de reconhecimento facial, para os efeitos definidos na alínea c) do n.º 1-A. do artigo 24.º do mesmo Regulamento, requerem o cumprimento integral dos requisitos definidos no Anexo A ao presente despacho, através de uma avaliação da conformidade, nos termos definidos no Anexo B.

2 - O presente despacho possui dois anexos (A e B), que dele fazem parte integrante.

3 - Os Anexos A e B passam a ter a seguinte redação:

ANEXO A

ANEXO B

4 - É republicado, em anexo ao presente despacho, do qual é parte integrante, o Despacho n.º 2705/2021, de 11 de março de 2021.

5 - O presente despacho entra em vigor no dia seguinte ao da sua publicação.

9 de outubro de 2026. - O Diretor-Geral do GNS, Manuel da Costa Honorato, CALM.

ANEXO

Republicação do Despacho n.º 2705/2021, de 11 de março

ANEXO A

Requisitos para os procedimentos e sistemas biométricos automáticos de reconhecimento facial

1 - Definições:

2 - Acrónimos:

3 - Referências:

4 - Modelo funcional:

Este capítulo apresenta, sob o ponto de vista funcional, o sistema biométrico automático de reconhecimento facial (sBIO), de modo a poder ser facilmente identificado o âmbito, os componentes e as diversas atividades desenvolvidas por cada um destes componentes/subsistemas.

O sBIO faz parte integrante do serviço de registo previsto para a implementação dos serviços de emissão de certificados do Prestador Qualificado de Serviços de Confiança (QTSP), descrito na norma ETSI EN 319 411-1 (referência [1]).

A construção deste modelo funcional, teve como objetivo a segmentação lógica /funcional e não representa qualquer exigência de arquitetura física que os QTSP terão de implementar para cumprir os requisitos aqui previstos.

Para os efeitos definidos neste Despacho, considera-se que o sBIO, deverá ser composto pelos subsistemas enunciados a seguir:

Subsistema de registo biométrico (ssR).

Subsistema interface cliente (ssC).

Subsistema biométrico de verificação facial (ssF).

Subsistema biométrico de deteção prova de vida - liveness detection (ssL).

Subsistema validação documento ID (ssID).

Estes subsistemas interagem, genericamente, de acordo com a figura descrita a seguir:

Figura 1 - Relação entre os subsistemas/sistemas externos do sistema sBIO

Estes subsistemas desenvolvem as seguintes ações:

4.1 - Subsistema de registo biométrico (ssR):

Subsistema responsável pelo controlo global de todas as ações desenvolvidas no procedimento de identificação à distância com recurso a sistemas biométricos automáticos de reconhecimento facial.

Este subsistema interage com todos os outros subsistemas, com serviço de registo para emissão de certificados e com os sistemas das autoridades nacionais responsáveis pela emissão do documento de identificação.

4.2 - Subsistema interface cliente (ssC):

Subsistema responsável pela recolha e envio de todos os dados do subscritor, necessários para o procedimento de identificação à distância com recurso a sistemas biométricos automáticos de reconhecimento facial, designadamente, a recolha e envio da(s) fotografia(s) do documento de identificação, a recolha e envio dos dados para a deteção da prova de vida (liveness detection).

Nos casos em que o documento de identificação contém informação eletrónica em chip, se sem contacto (eMRTD em conformidade com as normas ICAO), se com contacto através de leitor de chips, procede à recolha e envio dos dados constantes no mesmo.

4.3 - Subsistema biométrico de verificação facial (ssF):

Subsistema responsável pela verificação e validação dos dados biométricos recolhidos com a Referência Biométrica Oficial (RBO) existente. Este subsistema desenvolve dois processos de comparação biométrica de um-para-um (1:1).

A comparação principal, em que é feita entre a RBO e o template biométrico TBL, extraído da fotografia (selfie) recolhida para a deteção da prova de vida TBL, e a secundária, realizada entre a RBO e o template biométrico extraído TBID a partir da fotografia que consta na parte visível do documento de identificação, quando este não é um eMRTD.

4.4 - Subsistema biométrico de deteção prova de vida - liveness detection (ssL):

Subsistema responsável pela verificação da existência efetiva, em tempo real, do subscritor, devendo garantir que consegue detetar e resistir a ataques de apresentação (presentation atacks) biométricos diversos, designadamente, através de fotos, vídeos de alta resolução, máscaras faciais humanas, etc. É também responsável pela extração do template biométrico TBL a partir da fotografia/selfie recolhida.

4.5 - Subsistema validação documento ID (ssID):

Subsistema responsável pela interpretação e validação da autenticidade do documento de identificação oficial apresentado, validando, entre outros, as letras, os algarismos, os símbolos, a Machine Readable Zone (MRZ).

É também responsável pela extração do template biométrico TBID, a partir da fotografia do cidadão que consta no documento de identificação recolhida.

5 - Requisitos gerais:

Para os efeitos previstos neste documento, considera-se que a entidade que se submete ao processo de identificação, é uma pessoa física e passa a ser designada de subscritor, a entidade que verifica a identidade do subscritor, é um prestador qualificado de serviços de confiança, designada de QTSP.

Quanto um subscritor, demonstra com sucesso, a existência, posse ou controlo de mais de um mecanismo de autenticação requeridos pelo QTSP para validar a sua identidade, passa a ser designado por titular.

Neste capítulo, pretende-se sistematizar e definir os requisitos do SBIO, bem como os passos necessários para que um subscritor com o seu documento de identificação oficial, em tempo real, proceda uma operação de validação biométrica automática à distância junto do QTSP.

Por último importa realçar e recordar os fatores de segurança fundamentais, que permitem identificar e autenticar alguém de forma remota e recorrentemente explicitada, por autores especializados na temática, designadamente:

Algo que a pessoa (cidadão) é;

Algo que a pessoa tem;

Algo que a pessoa sabe.

Os referidos fatores estão materializados na figura seguinte.

Figura 2 - Categorias dos fatores de autenticação

5.1 - Requisitos sobre o fluxo do procedimento entre o subscritor e o sBIO

Todas as fases previstas neste fluxo (não necessariamente por esta ordem), devem ser obtidas com SUCESSO, pelo que, sempre que tal não se verifique, o processo de identificação deve ser cancelado.

5.1.1 - Identificação (Registo) do subscritor

5.1.1.1 - Regista telemóvel.

5.1.1.2 - Recebe um código OTP.

5.1.1.3 - Insere código OTP recebido.

5.1.2 - Recolha dos dados do documento de identificação

5.1.2.1 - Obtenção da(s) fotografia(s) em alta-definição do documento oficial de identificação, com o detalhe suficiente para a realização das avaliações posteriores.

5.1.3 - Recolha dos dados para deteção de prova de vida

5.1.3.1 - Obtenção da(s) fotografia(s)/selfie(s) de alta-definição, com o detalhe suficiente para a realização das avaliações posteriores.

5.1.4 - Recolha dos dados oficiais do cidadão

5.1.4.1 - Esta operação poderá ser efetuada de duas formas, dependendo das circunstâncias:

5.1.4.1.1 - Pelo dispositivo (acionado pelo cidadão).

5.1.4.1.2 - Pelo QTSP, nos casos em que tem a necessária autorização para aceder aos dados oficiais do cidadão, disponibilizados pela entidade pública competente pela emissão.

5.1.5 - Verificação do documento de identificação

5.1.5.1 - Verificação autenticidade do documento de identificação, com recurso a tecnologias automáticas fiáveis. Extração do template biométrico TBID.

5.1.5.2 - Nos casos em que os dados do subscritor são recolhidos por radiofrequência através do chip sem contacto do eMRTD, nos termos definidos no requisito 5.2.8.3.2, não será extraído o template biométrico TBID, referido no número anterior, uma vez que será extraído por esta via, a RBO.

5.1.6 - Deteção de prova de vida

5.1.6.1 - Verificação da existência efetiva, em tempo real, do subscritor.

5.1.6.2 - Extração do template biométrico TBL.

5.1.7 - Verificação biométrica do subscritor

5.1.7.1 - Execução de processos de comparação biométrica de um-para-um (1:1) entre a referência biométrica oficial (RBO), com:

5.1.7.1.1 - O template biométrico TBL, extraído dos dados de prova de vida.

5.1.7.1.2 - O template biométrico TBID, extraído da foto do documento de identificação, caso este não seja um eMRTD.

5.1.8 - Fator de autenticação secundário

5.1.8.1 - O subscritor introduz um fator de autenticação secundário do seu conhecimento prévio, ou seja, da categoria “Algo que a pessoa sabe”, que não tenha sido transacionado neste procedimento.

5.1.9 - Envio de OTP para fecho de procedimento

5.1.9.1 - O processo de identificação à distância fica concluído, com a introdução de um código OTP recebido para o efeito.

5.1.9.2 - Após conclusão do processo, o subscritor passa a titular e fica na posse das credenciais adequadas para o âmbito ao qual foi requerido o procedimento.

5.2 - Requisitos de segurança

5.2.1 - Organizacionais

Para além das fases tradicionais internacionalmente reconhecidas (por exemplo, a framework estabelecida pela OWASP Foundation) de desenvolvimento de produtos/sistemas, o sBIO deve ser implementado e monitorizado, com os seguintes requisitos adicionais:

5.2.1.1 - Incluir um teste piloto, com as seguintes características:

5.2.1.1.1 - O teste piloto é realizado, preferencialmente, em ambiente de produção.

5.2.1.1.2 - Os resultados do teste piloto, devem estar devidamente documentados.

5.2.1.1.3 - Incluir os resultados da avaliação de todos os subsistemas, para todos os processos de identificação dos subscritores, bem como, os dados da performance demonstrados.

5.2.1.1.4 - O teste piloto deve ser realizado num universo mínimo de 50 pessoas.

5.2.1.2 - Incluir uma atividade de acompanhamento permanente, com recurso a funcionários do QTSP ou entidade especializada para o efeito, de modo a estabelecer contacto posterior com o titular, com o objetivo de confirmar a validade/veracidade das ações realizadas pelo sBIO.

5.2.1.3 - A atividade de acompanhamento é feita por amostragem, acumulativa, com as seguintes características:

5.2.1.3.1 - Até 100 processos, amostragem de 10 %.

5.2.1.3.2 - De 101 a 1000 processos, amostragem de 1 %.

5.2.1.3.3 - A partir de 1001 a 10000 processos, amostragem de 0,1 %.

A partir dos 10001 processos, amostragem de 0,01 %. Por cada intervalo de 10000 processos é verificada/acompanhada uma pessoa.

5.2.2 - Proteção de dados

Os prestadores de serviços de confiança devem cumprir todas as disposições legais relativas à matéria da proteção de dados pessoais.

5.2.3 - Avaliação de risco e continuidade do negócio

5.2.3.1 - O QTSP deverá efetuar uma avaliação de risco ao sistema sBIO, que inclua os cenários ataque mais comuns a este tipo de sistemas.

5.2.3.2 - A avaliação de risco deverá ser integrada na avaliação de risco existente para a prestação de serviços de confiança.

5.2.3.3 - O QTSP deverá elaborar um plano de continuidade de negócio para o sBIO.

5.2.3.4 - O plano de continuidade de negócio deverá ser integrado no plano existente para a prestação de serviços de confiança.

5.2.4 - Gestão da segurança

5.2.4.1 - O sBIO deve ser gerido e operado adequadamente, seguindo as melhores práticas internacionais, devendo ser estabelecidas políticas e procedimentos de segurança, com vista à operação segura do mesmo.

5.2.4.2 - O sBIO deve garantir que os serviços disponibilizados, são geridos e operados de forma segura, devendo, o fabricante, para cada um dos subsistemas, disponibilizar a documentação relevante. Considera-se informação relevante, a seguinte.

5.2.4.2.1 - Guias para a instalação dos subsistemas.

5.2.4.2.2 - Guias para a administração dos subsistemas.

5.2.4.2.3 - Guias para a utilização dos subsistemas.

5.2.4.3 - O sBIO deve suportar a implementação de funções com diferentes privilégios.

5.2.4.4 - O sBIO deve disponibilizar e integrar centralmente, no mínimo, as funções/roles de administrador de segurança, administrador de sistemas e auditor de sistemas.

5.2.4.5 - Cada uma das funções, tem como atribuição genérica, o disposto no “REQ-7.215” da norma ETSI EN 319401 (referência [5]).

5.2.4.6 - O sBIO deve conseguir associar os utilizadores às funções.

5.2.4.7 - O sBIO (e subsistemas) devem ter os relógios sincronizados, com os sistemas em uso pelo QTSP para a gestão do ciclo de vida dos certificados.

5.2.4.8 - O sBIO deverá utilizar chaves criptográficas, para garantir as funções de autenticidade, integridade e confidencialidade do sistema e subsistemas. O uso não autorizado, a modificação ou substituição destas chaves poderão resultar numa perda de segurança no sistema como um todo, pelo que as chaves criptográficas utilizadas, devem ser geridas de forma segura durante o seu ciclo de vida. Para o efeito devem estar documentados:

5.2.4.8.1 - Todos os processos criptográficos utilizados.

5.2.4.8.2 - O ciclo de vida das chaves criptográficas utilizadas (geração, arquivo e destruição).

5.2.4.8.3 - A dimensão, algoritmos e esquemas criptográficos utilizados.

5.2.5 - Auditoria e controlo

Cada subsistema deverá gerar registos de auditoria. O QTSP deve documentar quais as ações sujeitas a registos de auditoria.

5.2.5.1 - No mínimo, os subsistemas devem recolher registos de auditoria, sobre as seguintes ações:

5.2.5.1.1 - Os eventos nucleares das funções do subsistema.

5.2.5.1.2 - Eventos relacionados com a gestão das chaves criptográficas.

5.2.5.1.3 - Alteração dos parâmetros e eventos sujeitos a registo.

5.2.5.2 - Os subsistemas devem garantir a integridade e autenticidade dos registos de auditoria.

5.2.5.3 - Os subsistemas devem implementar mecanismos para garantir que não existe destruição não autorizada dos registos de auditoria.

5.2.5.4 - Todos os registos de auditoria, contém, no mínimo, os seguintes parâmetros:

5.2.5.4.1 - Dia e hora do evento.

5.2.5.4.2 - Tipo de evento.

5.2.5.4.3 - Entidade (utilizador, administrador ou processo) responsável pela ação.

5.2.5.4.4 - Sucesso ou falha do evento.

5.2.6 - Performance

O QTSP deve monitorizar o desempenho do sBIO (e subsistemas), de modo a determinar, em ambiente de produção, a exatidão da verificação biométrica dos diversos subsistemas, designadamente, as seguintes taxas:

5.2.6.1 - As taxas de falhas nos diferentes tipos de aquisição (FTAR), designadamente:

5.2.6.1.1 - Fotografia(s) do documento de identificação.

5.2.6.1.2 - Deteção da prova de vida.

5.2.6.2 - As taxas de falhas de falsas não-correspondências (FNMR).

5.2.6.3 - As taxas de falhas na classificação dos ataques de apresentação (BPCER).

5.2.7 - Geração de alertas

Os subsistemas devem gerar alertas e notificar em tempo oportuno, sempre que se identifiquem eventos que possam ter impacto significativo na capacidade sistema desenvolver as funções para o qual foi concebido.

5.2.7.1 - O QTSP deverá elaborar e manter atualizada uma política de notificação de alertas, onde esteja previsto quais as situações e respetivas métricas, em que eventuais tentativas de fraude (realizadas por impostor biométrico) ao sistema, são comunicadas às autoridades judiciais nacionais.

No mínimo, devem ser gerados alertas e notificações para os responsáveis do sistema, nos seguintes casos, consoante o subsistema:

5.2.7.2 - Subsistema ssC:

5.2.7.2.1 - Tentativas sucessivas falhadas por parte do mesmo subscritor.

5.2.7.2.2 - Tentativas sucessivas falhadas por parte do mesmo dispositivo.

5.2.7.2.3 - Tempo excessivo na conclusão do processo.

5.2.7.3 - Subsistema ssF:

5.2.7.3.1 - O resultado da comparação entre a RBO e o TBL obtido, é anormalmente díspar.

5.2.7.3.2 - O resultado da comparação entre a RBO e o TBID obtido, é anormalmente díspar.

5.2.7.4 - Subsistema ssL:

5.2.7.4.1 - Sempre que se verifiquem resultados que indiciam uma potencial atividade fraudulenta.

5.2.7.5 - Subsistema ssID:

5.2.7.5.1 - Sempre que se verifiquem resultados indiciadores da utilização de um documento de identificação manipulado.

5.2.8 - Documentos de identificação permitidos

São permitidos documentos de identificação:

5.2.8.1 - Emitido por autoridade pública competente.

5.2.8.2 - Com características de segurança elevadas, claramente identificáveis e de acordo com os requisitos definidos no ponto seguinte, do qual constem a fotografia e a assinatura do titular do mesmo.

5.2.8.3 - Em conformidade com a Norma Doc 9303-p2 da ICAO (referência [4]),

Nos casos em que o documento de identificação também incorpore informação eletrónica sobre os dados biográficos, dados biométricos e informação descritiva da emissão, passível de ser recolhida por radiofrequência, conforme indicado em 5.3.4.9:

5.2.8.3.1 - Os mesmos são armazenados num chip sem contacto após assinatura eletrónica dos mesmos.

5.2.8.3.2 - Os mesmos, estão em conformidade com especificações previstas para os eMRTD, na norma Doc 9303-p9 da ICAO (referência [3]) e outras partes relevantes relacionadas com a leitura dos dados do chip sem contacto, designadamente, a parte 10, relativa à Logical Data Structure (LDS) for Storage of Biometrics and Other Data in the Contactless Integrated Circuit (IC).

5.2.8.4 - São também permitidos documentos de identificação que obedeçam aos requisitos constantes na Norma Doc 9303-p2 da ICAO (referência [4]), com a exceção de não serem obrigatoriamente sem contacto, ou seja documentos de identificação com contacto, mas que em tudo o resto obedeçam às regras definidas naquele documento.

5.2.9 - Consentimento

5.2.9.1 - Antes da iniciação do processo de identificação por sistema biométrico, a pessoa a ser identificada deve dar seu consentimento explícito a todo o processo de identificação, bem como a captação de fotografias e/ou captura de imagens dos próprios e do seu documento de identificação.

5.2.9.2 - O QTSP deve explicitamente informar o subscritor sobre as condições, termos e duração da informação retida.

5.2.9.3 - Esse consentimento deve ser registado e guardado.

5.2.10 - Comunicação

O QTSP deve disponibilizar publicamente a lista completa dos documentos de identificação aceites para os efeitos previstos neste Despacho.

5.3 - Requisitos específicos

5.3.1 - Sistema biométrico de reconhecimento facial (sBIO)

5.3.1.1 - O processo global de identificação deve poder ser parametrizável, de modo a limitar/interromper a conclusão do processo, pelos seguintes fatores:

5.3.1.1.1 - Duração máxima permitida para realizar o processo.

5.3.1.1.2 - Número máximo de tentativas permitidas por utilizador.

5.3.1.1.3 - Número máximo de tentativas permitidas por dispositivo.

5.3.1.2 - O sBIO deverá eliminar de forma segura todos os dados recolhidos, que contenham informação biométrica, após conclusão do processo (com e sem sucesso).

5.3.1.3 - Exceciona-se a obrigatoriedade de eliminação referida no número anterior, para o caso da(s) fotografia(s) do documento de identificação oficial (DOC), desde que garantidas as seguintes condições:

5.3.1.3.1 - Com o consentimento expresso do subscritor ou por permissão legal expressa.

5.3.1.3.2 - Os dados armazenados não ficam associados ao subscritor.

5.3.1.3.3 - Os dados armazenados são cifrados, utilizando mecanismos criptográficos fortes.

5.3.1.3.4 - O armazenamento é feito por um período máximo de 30 dias.

5.3.1.3.5 - Deve constar na política de retenção de dados em uso pelo QTSP.

Nota. - Esta exceção é incorporada pelo facto de, por regra, os subsistemas ssID estarem assentes em mecanismos de inteligência artificial e de deep learning, pelo que, com o objetivo de se tornarem evolutivamente mais robustos, é desejável que possam “apreender” com o maior número possível de registos, daí a “necessidade” de não serem eliminados de imediato.

5.3.1.4 - O sBIO deverá garantir que regista e arquiva de forma segura os resultados de todas a verificações realizadas, com especial incidência:

5.3.1.4.1 - O resultado da verificação entre a RBO e o TBL.

5.3.1.4.2 - O resultado da verificação entre a RBO e o TBID.

5.3.1.4.3 - O resultado da avaliação da deteção de prova de vida.

5.3.1.4.4 - O resultado da avaliação da autenticidade do documento de identificação.

5.3.1.5 - De modo a complementar a identificação inequívoca dos subscritores, garantir a utilização de pelo menos, um fator de autenticação adicional, da categoria “algo que a pessoa sabe”, que não tenha sido transacionado durante o processo de identificação.

5.3.2 - Comunicação entre subsistemas e sistemas externos

5.3.2.1 - A transação de dados entre os subsistemas deve ser efetuada com recurso a canais autênticos e seguros.

5.3.2.2 - A autenticidade, integridade e confidencialidade das transações devem ser devidamente asseguradas, através da utilização de protocolos que implementem criptografa “ponta-a-ponta”.

5.3.2.3 - As transações de dados entre os subsistemas e/ou sistemas externos que não se encontrem na mesma rede, devem ser asseguradas através de ligações site-to-site VPN IPsec, com recurso a dispositivos em hardware, preferencialmente, com certificação CC EAL4+.

5.3.2.4 - Nos casos em que os subsistemas e/ou sistemas externos estão alojados em fornecedores de serviços na nuvem (CSP), é dado cumprimento ao ponto anterior, quando o CSP contratado implementa um programa alargado de conformidade, baseado nos principais referenciais internacionais para serviços na “nuvem”, devendo, no mínimo, ter certificação ativa em:

5.3.2.4.1 - ISO/IEC 27001 (referência [12]).

5.3.2.4.2 - ISO/IEC 27017 (referência [13]).

5.3.2.4.3 - ISO/IEC 27018 (referência [14]).

5.3.2.5 - O requisito previsto no ponto 5.3.2.3 não se aplica às transações entre os subsistemas ssR e ssC.

5.3.3 - Subsistema ssR

5.3.3.1 - O ssR deve garantir o registo inequívoco de cada subscritor, atribuindo um identificador único a cada processo.

5.3.3.2 - Deve ter a capacidade de gerar centralmente e enviar ao subscritor, códigos únicos descartáveis (OTP) de duração limitada, especialmente produzidos para o efeito, através de SMS ou mensagem e correio eletrónico.

5.3.3.3 - Deve agregar os registos de auditoria dos acessos/ações realizados em todos os subsistemas.

5.3.3.4 - Deve permitir visualizar e realizar de forma simples e intuitiva (user friendly) consultas filtradas sobre os registos de auditoria referidos no número anterior.

5.3.3.5 - O acesso aos registos de auditoria está disponível apenas aos titulares das funções de auditor de sistemas.

5.3.3.6 - Este subsistema deve estar implementado numa DMZ (demilitarized zone), com recurso a BPD (Firewall) certificados, com um nível mínimo de CC EAL4+,

5.3.3.7 - A DMZ deve garantir a segregação do tráfego gerado com o subsistema interface cliente (exposto à internet) e o tráfego com os restantes subsistemas

5.3.3.8 - A DMZ deve, preferencialmente, ser implementada com recurso a dois BPD;

5.3.4 - Subsistema ssC

5.3.4.1 - Antes de iniciar o processo de identificação, o ssC deve efetuar os testes necessário no dispositivo, de modo a garantir que as câmaras do dispositivo têm as características e resolução necessária para a recolha da informação necessária.

5.3.4.2 - O ssC deve ser intuitivo, fornecer informação relevante e amigável.

5.3.4.3 - Deve seguir uma metodologia de desenvolvimento adequada, de modo a assegurar que os riscos de falha do sistema sejam mínimos.

5.3.4.4 - Deve implementar mecanismos para comprovar a posse do dispositivo por parte do subscritor.

5.3.4.5 - Deve implementar mecanismos de identificação do dispositivo utilizado pelo subscritor.

5.3.4.6 - Deve permitir a introdução de fatores de autenticação adicionais.

5.3.4.7 - O ssC deve permitir recolher e marcar com a data e hora da recolha, nas condições adequadas, a(s) fotografia(s) do documento de identificação, de modo a garantir:

5.3.4.7.1 - A correta avaliação sobre a sua autenticidade;

5.3.4.7.2 - A extração do template biométrico TBID.

5.3.4.8 - O ssC deve permitir recolher e marcar com a data e hora da recolha, a(s) fotografia(s) do subscritor, de modo a garantir:

5.3.4.8.1 - Uma avaliação inequívoca da deteção da prova de vida.

5.3.4.8.2 - A extração do template biométrico TBL.

5.3.4.9 - Quando aplicável, o ssC deve permitir recolher os dados constantes no chip sem e/ou com contacto do documento de identificação eletrónico, de modo a garantir a correta interpretação:

5.3.4.9.1 - Dos dados biográficos.

5.3.4.9.2 - Da referência biométrica RBO.

5.3.4.9.3 - Da informação relativa à emissão.

5.3.4.10 - O ssC deve processar e transmitir para o ssR de forma segura e autêntica:

5.3.4.10.1 - Os dados recolhidos relativos ao documento de identificação.

5.3.4.10.2 - Os dados recolhidos necessários à deteção da prova de vida.

5.3.4.10.3 - Quando aplicável, os dados recolhidos do chip.

5.3.4.11 - Nos casos em que os dados do subscritor são recolhidos por radiofrequência através do chip sem contacto do eMRTD, nos termos definidos no requisito 5.2.8.3.2, não será necessária a realização da recolha e marcações definidas no requisito 5.3.4.7.

5.3.5 - Subsistema ssF

5.3.5.1 - Com base nos recursos de digitais obtidos no processo de recolha realizado através do ssC, este subsistema deve efetuar as seguintes verificações biométricas:

5.3.5.1.1 - Principal, entre a referência biométrica RBO e o template TBL.

5.3.5.1.2 - Secundária, entre a referência biométrica RBO e o template biométrico TBID.

5.3.5.1.3 - Os dados apenas podem ser recolhidos do chip, quando previamente validados, designadamente:

5.3.5.1.3.1 - O documento de identidade digital só será aceite se a assinatura digital do emissor no documento for validada com sucesso;

5.3.5.1.3.2 - O documento de identificação é um eMRTD, em conformidade com o padrão ICAO 9303 - Machine Readable Travel Documents, Part 10, em que a entidade emissora, tem por base o certificado de assinatura de país (Country Signing Certificate), obtido via o PKD (Public Key Database) da ICAO.

5.3.5.1.4 - Nos casos em que os dados do subscritor são recolhidos por radiofrequência através do chip sem contacto do eMRTD, nos termos definidos no requisito 5.2.8.3.3, não será necessária a realização da verificação biométrica secundária, indicada no requisito 5.3.5.1.2.

5.3.5.2 - O ssF apenas utiliza algoritmos de verificação biométrica facial que tenham sido submetidos a testes independentes de medição da precisão, através de programa de testes internacionalmente reconhecido.

5.3.5.3 - Os testes previstos no ponto anterior devem assegurar valores de exatidão da verificação biométrica (verificações 1:1):

5.3.5.3.1 - Na verificação principal (RBO e TBL), o valor máximo admitido da taxa de falsos negativos (FNMR) é de 4 %, para uma taxa de falsos positivos (FMR) de 0,00001 %, ou seja, FNMR = 4 % @ FMR de 1/10000000;

5.3.5.3.2 - Na verificação secundária (RBO e TBID), o valor máximo admitido da taxa de falsos negativos (FNMR) é de 2 % para uma taxa de falsos positivos (FMR) = 0,0001 %, ou seja, FNMR = 2 % @ FMR de 1/1000000;

5.3.6 - Subsistema ssL

5.3.6.1 - Este subsistema deve estar certificado por entidade acreditada no âmbito da norma ISO/IEC 17025:2017 (referência [9]).

5.3.6.2 - A certificação referida no número anterior, é exigida para artefactos de nível 1 e 2, no âmbito do descrito na norma ISO/IEC 30107-3 (referência [8]).

5.3.6.3 - Tendo em consideração que para este subsistema, é exigida a certificação, nos termos referidos nos números 5.3.6.1 e 5.3.6.2, não serão definidos neste despacho métricas para os valores máximos admitido da taxa de falsos negativos (BPCER), devendo estas referências serem monitorizadas, tal como referido no requisito 5.2.6 deste despacho.

5.3.6.4 - Relativamente aos valores relacionados com a exatidão da verificação biométrica da deteção de prova de vida, considera-se que a taxa de erros de classificação de ataques (APCER), deve ser tendencialmente de zero (0), ou seja, nenhuma tentativa de ataque deve poder ser materializada.

5.3.6.5 - A(s) fotografia(s) recolhidas para efeitos de prova de vida devem ser apagadas após conclusão do processo de identificação;

5.3.6.6 - Deve garantir, a partir da imagem de alta-definição da selfie (foto Mugshot), com dimensão mínima de 300 dpi:

5.3.6.6.1 - A extração do template biométrico TBL, com um mínimo de 90 pixels de distância entre os olhos e um tamanho mínimo de 640 kB a 24 bits por pixel.

5.3.6.6.2 - Em conformidade com as especificações estabelecidas na ISO/IEC 19794-5 (referência [6]).

5.3.7 - Subsistema ssID

5.3.7.1 - Nos casos em que os dados do subscritor não são recolhidos por radiofrequência através do chip sem contacto do eMRTD, nos termos definidos no requisito 5.2.8.3.2, o ssID, deve estar assente num sistema de reconhecimento de caracteres (OCR), que permita, através das imagens/fotografias dos documentos de identificação extrair:

5.3.7.1.1 - O template biométrico TBID, a partir da fotografia do cidadão, em conformidade com as especificações estabelecidas na ISO/IEC 19794-5 (referência [6]).

5.3.7.1.2 - Letras, algarismos e símbolos constantes no documento de identificação, incluindo a MRZ.

5.3.7.2 - O ssID, deverá ter capacidade para verificar a presença e autenticidade dos mecanismos de segurança ótica do documento de identificação.

5.3.7.3 - O ssID deverá ter capacidade para detetar a adulteração documento de identificação, designadamente, dos dados impressos e da fotografia.

5.3.7.4 - O ssID, deverá ter capacidade para interpretar e verificar a MRZ com os dados relevantes do documento de identificação.

5.3.7.5 - O ssID, deverá ter capacidade de comparação dos dados extraídos, com os dados de emissão oficiais existentes.

ANEXO B

Certificação dos sistemas biométricos automáticos de reconhecimento facial

O QTSP que pretenda passar a identificar pessoas físicas através de procedimentos de identificação à distância com recurso a sistemas biométricos de reconhecimento facial, de acordo com o previsto na alínea c) no n.º 1-A. do artigo 24.º do regulamento eIDAS, deve apresentar à entidade supervisora um relatório de avaliação da conformidade emitido por um organismo de avaliação da conformidade que ateste o cumprimento dos requisitos previstos no Anexo A deste despacho.

Para o efeito, no respetivo relatório deverá constar uma matriz de avaliação que inclua, obrigatoriamente, os seguintes campos.

320056287