Was PIPEDA für die Ausweisverifizierung bedeutet

Wenn Ihr Unternehmen ein Foto vom Führerschein oder Reisepass einer Person erfasst, erheben Sie einige der sensibelsten personenbezogenen Daten überhaupt: einen vollständigen rechtlichen Namen, ein Geburtsdatum, eine Dokumentnummer, ein Foto, manchmal eine Adresse. In Kanada regelt das bundesweite Gesetz Personal Information Protection and Electronic Documents Act (PIPEDA), wie Organisationen des privaten Sektors mit diesen Informationen umgehen. Dieser Beitrag erläutert, was die zehn Grundsätze der PIPEDA für faire Informationspraktiken für ein Unternehmen, das Identitätsverifizierung betreibt, tatsächlich bedeuten und wo sie sich in einem Produkt wie ShieldID wiederfinden.

Dies ist keine Rechtsberatung. PIPEDA gilt je nach Branche, Provinz und Umgang mit den Daten unterschiedlich; Québec hat ein eigenes, strengeres Regime, das hinzukommt. Sprechen Sie mit Ihrer eigenen Rechtsberatung über Ihre konkreten Pflichten. Das Folgende ist eine allgemein verständliche Übersicht über die Grundsätze selbst.

Die zehn Grundsätze in der Praxis

PIPEDA beruht auf zehn Grundsätzen, die dem Musterkodex für den Datenschutz der Canadian Standards Association entstammen und in Anhang 1 des Gesetzes verankert sind. Es sind nicht zehn getrennte Punkte zum Abhaken; sie beschreiben einen einzigen Lebenszyklus personenbezogener Daten – vom Moment, in dem Sie entscheiden, dass Sie sie benötigen, bis zu dem Moment, in dem Sie sie loswerden.

• Verantwortlichkeit: Eine Person oder Rolle in Ihrer Organisation ist für die Einhaltung des Datenschutzes verantwortlich, und diese Verantwortung endet nicht, wenn Sie Ausweisbilder an einen externen Verifizierungsanbieter übergeben. Sie bleiben für den Umgang mit den Daten verantwortlich, weshalb Ihr Vertrag mit diesem Anbieter wichtig ist.
• Festlegung der Zwecke: Sie benennen vor der Erhebung, warum Sie den Ausweis benötigen. „Wir verifizieren die Identität, um Betrug bei Mietanträgen zu reduzieren“ ist ein Zweck. „Wir brauchen ihn vielleicht später“ ist keiner.
• Einwilligung: Die Person versteht, was erhoben wird und warum, und stimmt zu, bevor die Verifizierung stattfindet. Eine Einwilligung für einen bestimmten Zweck deckt keinen anderen, späteren Zweck ab.
• Begrenzung der Erhebung: Erheben Sie nur, was der angegebene Zweck erfordert. Wenn Sie nur bestätigen müssen, dass jemand über 18 ist und in Ontario lebt, müssen Sie nicht dauerhaft die vollständige Dokumentennummer speichern.
• Begrenzung von Verwendung, Weitergabe und Aufbewahrung: Verwenden Sie die Daten nur für den genannten Zweck, geben Sie sie ohne Einwilligung oder gesetzliche Grundlage nicht an Dritte weiter und bewahren Sie sie nur so lange auf, wie der Zweck es erfordert – dann löschen Sie sie.
• Richtigkeit: Personenbezogene Daten sollten so richtig, vollständig und aktuell sein, wie es der Zweck erfordert. Das ist ein Grund, warum Ergebnisse je Feld wichtiger sind als ein einzelner Wert „bestanden/nicht bestanden“: Sie sehen genau, bei welchen Daten sich das System sicher ist und bei welchen nicht.
• Sicherheitsvorkehrungen: Schützen Sie die Daten mit Sicherheitsmaßnahmen, die ihrer Sensibilität angemessen sind – Verschlüsselung, Zugriffskontrollen sowie Beschränkungen, wer sie wann einsehen darf.
• Transparenz: Machen Sie Ihre Datenschutzpraktiken in verständlicher Sprache zugänglich, nicht vergraben in einer Endbenutzer-Lizenzvereinbarung, die niemand liest.
• Auskunftsrecht: Teilen Sie einer Person auf Anfrage mit, welche personenbezogenen Daten Sie über sie haben und wie sie verwendet wurden, und berichtigen Sie sie, falls sie falsch sind.
• Beschwerdemöglichkeit: Geben Sie den Menschen eine Möglichkeit, sich zu beschweren, und richten Sie ein Verfahren ein, um diese Beschwerde zu prüfen und zu beantworten.

Wie das innerhalb von ShieldID aussieht

Einige dieser Grundsätze lassen sich direkt auf konkrete Dinge abbilden, auf die eine Verifizierungsplattform verweisen können sollte, statt sie nur zu versprechen. Die Begrenzung von Erhebung und Aufbewahrung ist das deutlichste Beispiel: ShieldID extrahiert die Felder, die eine Entscheidung benötigt – Name, Geburtsdatum, Dokumentennummer, Adresse, das Foto für den Gesichtsabgleich – und löscht die Ausweisbilder automatisch nach einer kurzen Frist, standardmäßig nach sieben Tagen. Der Verifizierungsdatensatz (dass eine Prüfung stattgefunden hat, und ihr Ergebnis) besteht länger als die Bilder; die Bilder selbst werden nicht unbegrenzt aufbewahrt.

Sicherheitsvorkehrungen zeigen sich in der Verschlüsselung: Das Geburtsdatum wird verschlüsselt gespeichert, nicht im Klartext, und Ausweisbilder werden im Ruhezustand mit AES-256-GCM verschlüsselt. Verantwortlichkeit und Transparenz zeigen sich im Activity Ledger – dem nur erweiterbaren Protokoll von Trust Ledger, das durch die Datenbank erzwungen wird. Die Identitätsverifizierung selbst liefert genau zwei Einträge, verifiziert oder fehlgeschlagen; umfassendere Ledger-Einträge für ein eigenständiges ShieldID-API-Konto folgen in Kürze. Einträge können hinzugefügt, aber nie bearbeitet oder gelöscht werden. Das gibt einer Datenschutzbeauftragten oder einer Person, die eine Entscheidung anfechtet, etwas Konkretes in die Hand, statt nur das Wort eines Anbieters.

Es ist wichtig, genau zu sagen, was ShieldID nicht für sich beansprucht. Wir besitzen keine PIPEDA-Zertifizierung, weil es eine solche Zertifizierung für keinen Anbieter gibt – PIPEDA ist ein Gesetz, keine Normungsstelle mit einem Siegel. Die ehrliche Formulierung lautet, dass ShieldID darauf ausgelegt ist, sich an PIPEDA zu orientieren: kanadisches Hosting, minimale Erhebung, ein automatischer Löschzeitplan und ein prüfbares Protokoll sind Kontrollen, keine Compliance-Garantie. Ob die Nutzung des Produkts durch Ihre Organisation insgesamt PIPEDA-konform ist, muss Ihre Organisation und gegebenenfalls Ihre eigene Rechtsberatung beurteilen – das Werkzeug kann Ihnen diese Beurteilung nicht abnehmen.

Das Law 25 von Québec

Wenn Sie in Québec tätig sind, ist PIPEDA nicht das einzige maßgebliche Gesetz. Das Law 25 von Québec (An Act to modernize legislative provisions as regards the protection of personal information) stellt eigene, in der Regel strengere Anforderungen an Organisationen des privaten Sektors, darunter Regeln zu Einwilligung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen für bestimmte Projekte und speziell zu biometrischen Daten. Gesichtsabgleich und Liveness-Erkennung verarbeiten biometrische Informationen – genau die Kategorie, der das Law 25 die meiste Aufmerksamkeit widmet. Wenn Ihre Antragstellenden in Québec ansässig sind, betrachten Sie PIPEDA als Untergrenze, nicht als Obergrenze, und holen Sie Rechtsrat speziell zu Québec ein, bevor Sie sich allein auf die bundesrechtlichen Regeln verlassen.

Was PIPEDA nicht verlangt

Ebenso nützlich ist es zu wissen, was das Gesetz nicht vorgibt. PIPEDA legt keine feste Aufbewahrungsfrist in Tagen fest – es heißt „so lange wie nötig“ und überlässt die Zahl Ihnen und Ihrem Zweck. Es schreibt weder einen bestimmten Verschlüsselungsalgorithmus noch ein bestimmtes Hosting-Land vor; Datenresidenz ist eine sinnvolle Schutzmaßnahme unter mehreren, für die meisten Organisationen aber keine gesetzliche Anforderung an sich. Und es verlangt von einem Anbieter keine bestimmte Sicherheitszertifizierung. Das macht diese Entscheidungen nicht unwichtig – es sind lediglich Kontrollen, die eine Organisation einführt, um die Grundsätze zu erfüllen, und keine Kästchen, die PIPEDA selbst für Sie abhakt.

Kurz gesagt: Wissen Sie, was Sie erheben und warum, erheben Sie nur das Nötigste, schützen Sie es, bewahren Sie es nur so lange auf, wie Sie es brauchen, und seien Sie in der Lage, Ihr Vorgehen nachzuweisen. Eine Verifizierungsplattform kann jeden dieser Punkte erleichtern – ein kurzer Aufbewahrungs-Timer, Verschlüsselung als Standard, ein durchsuchbares Protokoll –, aber die Verpflichtung liegt bei der Organisation, die die Daten erhebt, nicht bei dem Werkzeug, das sie dafür einsetzt.