ماذا تعني PIPEDA للتحقق من الهوية

إذا كانت شركتك تجمع صورة لرخصة قيادة شخص ما أو لجواز سفره، فأنت تجمع من أكثر المعلومات الشخصية حساسية: اسمًا قانونيًا كاملًا وتاريخ ميلاد ورقم مستند وصورة وأحيانًا عنوانًا. وفي كندا، ينظّم قانون حماية المعلومات الشخصية والوثائق الإلكترونية الفيدرالي (PIPEDA) كيفية تعامل مؤسسات القطاع الخاص مع هذه المعلومات. يستعرض هذا المقال ما تعنيه مبادئ PIPEDA العشرة للمعلومات العادلة فعليًا لشركة تجري التحقق من الهوية، وأين تظهر في منتج مثل ShieldID.

هذا ليس استشارة قانونية. يختلف تطبيق PIPEDA بحسب قطاعك ومقاطعتك وما تفعله بالبيانات؛ ولدى كيبيك نظامها الخاص الأشد صرامة الذي يُضاف فوقه. استشر محاميك الخاص بشأن التزاماتك المحددة. وما يلي خريطة بلغة مبسطة للمبادئ نفسها.

المبادئ العشرة عمليًا

يقوم PIPEDA على عشرة مبادئ مستمدة من القانون النموذجي للخصوصية الصادر عن الجمعية الكندية للمعايير (CSA) ومدرجة في الجدول 1 من القانون. وهي ليست عشر خانات منفصلة للتأشير، بل تصف دورة حياة واحدة للمعلومات الشخصية، من لحظة تقرر فيها أنك بحاجة إليها حتى لحظة التخلص منها.

• المساءلة: شخص أو دور واحد في مؤسستك مسؤول عن الامتثال للخصوصية، ولا تزول هذه المسؤولية عندما تسلّم صور الهوية إلى مزوّد تحقق من طرف ثالث. تبقى مسؤولًا عمّا يحدث للبيانات، ولهذا يهم عقدك مع ذلك المزوّد.
• تحديد الأغراض: تحدد قبل الجمع سبب حاجتك إلى الهوية. «نتحقق من الهوية للحد من الاحتيال في طلبات الإيجار» غرض صحيح. أما «قد نحتاجها لاحقًا» فليس غرضًا.
• الموافقة: يفهم الشخص ما الذي يُجمع ولماذا، ويوافق عليه قبل إجراء التحقق. والموافقة على غرض محدد لا تشمل غرضًا آخر لاحقًا.
• تقييد الجمع: اجمع فقط ما يتطلبه الغرض المعلن. فإذا كنت تحتاج فقط إلى تأكيد أن شخصًا ما فوق 18 عامًا ويقيم في أونتاريو، فلا حاجة إلى الاحتفاظ برقم مستنده الكامل في ملفاتك إلى أجل غير مسمى.
• تقييد الاستخدام والإفصاح والاحتفاظ: استخدم البيانات للغرض الذي حددته فقط، ولا تسلّمها إلى غيرك دون موافقة أو سند قانوني، ولا تحتفظ بها إلا بالقدر الذي يتطلبه الغرض، ثم تخلّص منها.
• الدقة: ينبغي أن تكون المعلومات الشخصية دقيقة وكاملة وحديثة بالقدر الذي يتطلبه الغرض. وهذا أحد أسباب كون الأحكام على مستوى الحقل أهم من درجة واحدة بالنجاح أو الفشل: إذ ترى بدقة أي بيانات يطمئن إليها النظام وأيها لا يطمئن إليها.
• الضمانات الأمنية: احمِ البيانات بإجراءات أمنية تناسب حساسيتها، من تشفير وضوابط وصول وقيود على من يمكنه الاطلاع عليها ومتى.
• الانفتاح: أتِح ممارسات الخصوصية لديك بلغة واضحة، لا مدفونة في اتفاقية ترخيص (EULA) لا يقرأها أحد.
• إتاحة الوصول للأفراد: عند الطلب، أخبر الشخص بما لديك من معلومات شخصية عنه وكيف استُخدمت، وصحّحها إن كانت خاطئة.
• الاعتراض على الامتثال: امنح الناس وسيلة لتقديم الشكاوى، وضع إجراءً للتحقيق فيها والرد عليها.

كيف يبدو ذلك داخل ShieldID

تقابل بعض هذه المبادئ مباشرة أمورًا محددة ينبغي لمنصة التحقق أن تستطيع الإشارة إليها، لا مجرد الوعد بها. وتقييد الجمع والاحتفاظ هو أوضح مثال: يستخرج ShieldID الحقول التي يحتاجها القرار، وهي الاسم وتاريخ الميلاد ورقم المستند والعنوان وصورة الوجه للمطابقة، ويحذف صور الهوية تلقائيًا بمؤقت قصير، سبعة أيام افتراضيًا. أما سجل التحقق (أي أن فحصًا قد جرى ونتيجته) فيبقى بعد الصور؛ بينما لا تبقى الصور نفسها إلى أجل غير مسمى.

تظهر الضمانات الأمنية في التشفير: يُخزَّن تاريخ الميلاد مشفرًا لا نصًا صريحًا، وتُشفَّر صور الهوية أثناء التخزين بـ AES-256-GCM. وتظهر المساءلة والانفتاح في سجل النشاط، وهو سجل Trust Ledger الذي لا يقبل إلا الإضافة، وتفرضه قاعدة البيانات. ويسهم التحقق من الهوية نفسه بإدخالين اثنين فقط: تم التحقق أو فشل؛ أما إدخالات السجل الأوسع لحساب ShieldID API مستقل فستتوفر قريبًا. يمكن إضافة الإدخالات ولا يمكن تعديلها أو حذفها أبدًا، ما يمنح مسؤول الخصوصية أو من يعترض على قرار شيئًا ملموسًا يستند إليه، بدلًا من كلمة المزوّد.

من المهم أن نكون دقيقين فيما لا يدّعيه ShieldID. نحن لا نحمل شهادة PIPEDA، لأنه لا توجد شهادة كهذه يمكن لأي مزوّد حيازتها؛ فـ PIPEDA قانون، لا هيئة معايير تمنح شارة. والصياغة الصادقة هي أن ShieldID مصمَّم ليتوافق مع PIPEDA: الاستضافة في كندا، والحد الأدنى من الجمع، ومؤقت حذف تلقائي، وسجل قابل للتدقيق، وهي ضوابط لا ضمان للامتثال. أما ما إذا كان استخدام مؤسستك للمنتج بمجمله متوافقًا مع PIPEDA فهو تقدير يعود إلى مؤسستك، وإلى محاميك الخاص عند الحاجة، ولا تستطيع الأداة أن تحسمه نيابةً عنك.

القانون 25 في كيبيك (Law 25)

إذا كنت تعمل في كيبيك، فإن PIPEDA ليس القانون الوحيد المعني. فقانون كيبيك Law 25 (قانون تحديث الأحكام التشريعية المتعلقة بحماية المعلومات الشخصية) يضع متطلبات خاصة به، أشد صرامة عمومًا، على مؤسسات القطاع الخاص، منها قواعد بشأن الموافقة والإخطار بالخروقات وتقييمات أثر الخصوصية لبعض المشاريع والبيانات البيومترية تحديدًا. وتعالج مطابقة الوجه وكشف الحيوية معلومات بيومترية، وهي الفئة التي يوليها Law 25 أشد اهتمامه. فإذا كان المتقدمون لديك في كيبيك، فاعتبر PIPEDA الحد الأدنى لا الأقصى، واحصل على مشورة خاصة بكيبيك قبل أن تعتمد على القواعد الفيدرالية وحدها.

ما لا يشترطه PIPEDA

من المفيد أيضًا معرفة ما لا يحدده القانون. فـ PIPEDA لا تحدد مدة احتفاظ ثابتة بالأيام، بل تنص على «ما دام ذلك ضروريًا» وتترك الرقم لك ولغرضك. كما أنها لا تفرض خوارزمية تشفير بعينها ولا بلد استضافة بعينه؛ فإقامة البيانات داخل البلد ضمانة معقولة من بين ضمانات عدة، وليست بحد ذاتها شرطًا قانونيًا لمعظم المؤسسات. ولا تُلزم المورّد بالحصول على شهادة أمنية معينة. ولا يعني ذلك أن هذه الخيارات غير مهمة، فهي ببساطة ضوابط تعتمدها المؤسسة للوفاء بالمبادئ، وليست بنودًا تتحقق منها PIPEDA نيابةً عنك.

باختصار: اعرف ما تجمعه ولماذا، واجمع الحد الأدنى، واحمِه، واحتفظ به فقط للمدة التي تحتاجها، وكن قادرًا على إثبات ما فعلته. يمكن لمنصة التحقق أن تسهّل كل ذلك، عبر مؤقت احتفاظ قصير، وتشفير افتراضي، وسجل قابل للبحث، لكن الالتزام يقع على عاتق المؤسسة التي تجمع البيانات، لا على الأداة التي تستخدمها.