Qué significa PIPEDA para la verificación de identidad

Si su empresa recopila una foto de la licencia de conducir o del pasaporte de una persona, está recopilando parte de la información personal más sensible que existe: nombre legal completo, fecha de nacimiento, número de documento, una fotografía y, a veces, un domicilio. En Canadá, la Personal Information Protection and Electronic Documents Act (PIPEDA) federal regula cómo las organizaciones del sector privado manejan esa información. Esta publicación explica qué significan en la práctica los diez principios de información justa de PIPEDA para una empresa que realiza verificación de identidad, y dónde aparecen en un producto como ShieldID.

Esto no constituye asesoría legal. PIPEDA se aplica de manera diferente según su sector, su provincia y lo que usted haga con los datos; Quebec tiene su propio régimen, más estricto, superpuesto al anterior. Consulte a su propio asesor legal sobre sus obligaciones específicas. Lo que sigue es un mapa en lenguaje sencillo de los principios en sí.

Los diez principios, en la práctica

PIPEDA se construye en torno a diez principios, tomados del código modelo de privacidad de la Canadian Standards Association e incorporados en el Anexo 1 de la Ley. No son diez casillas independientes por marcar; describen un único ciclo de vida de la información personal, desde el momento en que usted decide que la necesita hasta el momento en que se deshace de ella.

• Responsabilidad: una persona o un rol de su organización es responsable del cumplimiento en materia de privacidad, y esa responsabilidad no desaparece cuando usted entrega imágenes de documentos de identidad a un proveedor externo de verificación. Usted sigue siendo responsable de lo que ocurra con los datos, por eso es importante su contrato con ese proveedor.
• Identificación de los fines: usted indica, antes de recopilarlo, por qué necesita el documento de identidad. “Verificamos la identidad para reducir el fraude en las solicitudes de arrendamiento” es un fin. “Podríamos necesitarlo más adelante” no lo es.
• Consentimiento: la persona comprende qué se está recopilando y por qué, y está de acuerdo, antes de que se realice la verificación. El consentimiento para un fin específico no cubre un fin distinto y posterior.
• Limitación de la recopilación: recopile solo lo que exija el fin declarado. Si únicamente necesita confirmar que alguien es mayor de 18 años y vive en Ontario, no necesita conservar indefinidamente el número completo de su documento.
• Limitación del uso, la divulgación y la conservación: utilice los datos solo para el fin que indicó, no se los entregue a otra persona sin consentimiento o autorización legal, y consérvelos solo el tiempo que el fin requiera; después, elimínelos.
• Exactitud: la información personal debe ser tan exacta, completa y actual como lo requiera el fin. Esta es una de las razones por las que los veredictos por campo importan más que una única puntuación de aprobado o rechazado: usted puede ver exactamente de qué datos el sistema está seguro y de cuáles no.
• Salvaguardas: proteja los datos con una seguridad adecuada a su sensibilidad: cifrado, controles de acceso y límites sobre quién puede consultarlos y cuándo.
• Transparencia: ponga sus prácticas de privacidad a disposición en lenguaje sencillo, no enterradas en un contrato de licencia que nadie lee.
• Acceso individual: bajo solicitud, informe a la persona qué información personal tiene sobre ella y cómo se ha utilizado, y corríjala si es incorrecta.
• Posibilidad de impugnar el cumplimiento: dé a las personas una forma de presentar una queja y tenga un proceso para investigar y responder a esa queja.

Cómo se ve esto dentro de ShieldID

Algunos de estos principios se traducen directamente en aspectos concretos que una plataforma de verificación debería poder demostrar, y no solo prometer. La limitación de la recopilación y de la conservación es el ejemplo más claro: ShieldID extrae los campos que necesita una decisión (nombre, fecha de nacimiento, número de documento, dirección, la foto para la comparación facial) y elimina automáticamente las imágenes del documento de identidad mediante un temporizador corto, de siete días de forma predeterminada. El registro de la verificación (que se realizó una comprobación y su resultado) perdura más que las imágenes; las imágenes en sí no permanecen almacenadas indefinidamente.

Las salvaguardas se manifiestan como cifrado: la fecha de nacimiento se almacena cifrada, no en texto plano, y las imágenes de los documentos se cifran en reposo con AES-256-GCM. La responsabilidad y la transparencia se manifiestan en el registro de actividad: el registro de solo adición de Trust Ledger, garantizado por la base de datos. La verificación de identidad en sí aporta exactamente dos entradas, verificada o fallida; las entradas de registro más amplias para una cuenta independiente de la API de ShieldID estarán disponibles próximamente. Las entradas pueden agregarse, nunca editarse ni eliminarse, lo que ofrece a un oficial de privacidad o a una persona que impugna una decisión algo concreto a lo cual remitirse, en lugar de la palabra de un proveedor.

Vale la pena ser precisos sobre lo que ShieldID no afirma. No contamos con una certificación de PIPEDA, porque no existe tal certificación que algún proveedor pueda poseer: PIPEDA es una ley, no un organismo de normalización con una insignia. La formulación honesta es que ShieldID está diseñado para alinearse con PIPEDA: el alojamiento en Canadá, la recopilación mínima, un temporizador de eliminación automática y un registro auditable son controles, no una garantía de cumplimiento. Determinar si el uso general que hace su organización del producto cumple con PIPEDA le corresponde a su organización y, cuando sea necesario, a su propio asesor legal; la herramienta no puede hacer esa determinación por usted.

Law 25 de Quebec

Si opera en Quebec, PIPEDA no es la única ley que debe considerar. La Law 25 de Quebec (An Act to modernize legislative provisions as regards the protection of personal information) establece sus propios requisitos, por lo general más estrictos, para las organizaciones del sector privado, incluidas reglas sobre el consentimiento, la notificación de brechas de seguridad, las evaluaciones de impacto en la privacidad para ciertos proyectos y, de forma específica, los datos biométricos. La comparación facial y la detección de prueba de vida procesan información biométrica, que es precisamente la categoría a la que la Law 25 presta mayor atención. Si sus solicitantes están en Quebec, considere PIPEDA como el mínimo y no como el límite, y obtenga asesoría específica sobre Quebec antes de basarse únicamente en las normas federales.

Lo que PIPEDA no exige

También es útil saber qué no especifica la ley. PIPEDA no fija un plazo de conservación en días: dice “el tiempo que sea necesario” y deja el número a su criterio y a su finalidad. No obliga a usar un algoritmo de cifrado específico ni a alojar los datos en un país determinado; la residencia de datos es una salvaguarda razonable entre varias, no un requisito legal en sí mismo para la mayoría de las organizaciones. Y tampoco exige que un proveedor cuente con una certificación de seguridad en particular. Nada de esto le quita importancia a esas decisiones: son simplemente controles que una organización adopta para cumplir los principios, no casillas que PIPEDA verifique por usted.

La versión corta: sepa qué recopila y por qué, recopile lo mínimo, protéjalo, consérvelo solo el tiempo que lo necesite y pueda demostrar lo que hace. Una plataforma de verificación puede facilitar cada uno de esos puntos (un temporizador de conservación corto, cifrado por defecto, un registro en el que se pueda buscar), pero la obligación recae en la organización que recopila los datos, no en la herramienta que utiliza.