Artykuł 20

1. W ramach kontroli praw zarządzania dostępem podmioty finansowe opracowują, dokumentują i wdrażają polityki i procedury zarządzania tożsamością zapewniające możliwość jednoznacznego zidentyfikowania i uwierzytelnienia osób fizycznych i systemów uzyskujących dostęp do informacji podmiotów finansowych w celu przyznania im praw dostępu użytkowników zgodnie z art. 21.

2. Polityki i procedury zarządzania tożsamością, o których mowa w ust. 1, obejmują wszystkie następujące elementy:

a) bez uszczerbku dla art. 21 akapit pierwszy lit. c), każdemu pracownikowi podmiotu finansowego lub pracownikowi zewnętrznego dostawcy usług ICT uzyskującemu dostęp do zasobów informacyjnych i zasobów ICT podmiotu finansowego przydziela się unikalną tożsamość odpowiadającą unikalnemu kontu użytkownika;

b) proces zarządzania cyklem życia tożsamości i kont umożliwiający zarządzanie tworzeniem wszystkich kont, wprowadzaniem w nich zmian i dokonywaniem ich przeglądu, a także ich aktualizowaniem, tymczasową dezaktywacją i usuwaniem.

Do celów lit. a) podmioty finansowe prowadzą rejestr wszystkich przydzielonych tożsamości. Rejestr ten przechowuje się po dokonaniu reorganizacji podmiotu finansowego lub po rozwiązaniu stosunku umownego, bez uszczerbku dla wymogów dotyczących zatrzymywania danych przewidzianych w obowiązujących przepisach unijnych i krajowych.

Do celów lit. b) podmioty finansowe wprowadzają – w miarę możliwości i w stosownych przypadkach – zautomatyzowane rozwiązania na potrzeby procesu zarządzania cyklem życia tożsamości.