PIPEDA برای احراز هویت چه معنایی دارد

اگر کسب‌وکار شما عکس گواهینامه یا گذرنامهٔ افراد را جمع‌آوری می‌کند، به برخی از حساس‌ترین اطلاعات شخصی دست می‌یابید: نام کامل قانونی، تاریخ تولد، شمارهٔ مدرک، عکس و گاهی نشانی. در کانادا، قانون فدرال حفاظت از اطلاعات شخصی و اسناد الکترونیکی (PIPEDA) چگونگی رفتار سازمان‌های بخش خصوصی با این اطلاعات را تنظیم می‌کند. این نوشته بررسی می‌کند ده اصل اطلاعات منصفانهٔ PIPEDA برای کسب‌وکاری که احراز هویت انجام می‌دهد واقعاً چه معنایی دارند و در محصولی مانند ShieldID کجا نمود می‌یابند.

این متن مشاورهٔ حقوقی نیست. PIPEDA بسته به بخش فعالیت، استان شما و نوع استفاده‌تان از داده‌ها به‌صورت متفاوتی اعمال می‌شود؛ کبک نظام خاص و سخت‌گیرانه‌تر خود را نیز بر این چارچوب افزوده است. دربارهٔ تعهدات مشخص خود با مشاور حقوقی خودتان صحبت کنید. آنچه در ادامه می‌آید نقشه‌ای به زبان ساده از خود اصول است.

ده اصل در عمل

PIPEDA بر پایهٔ ده اصل بنا شده است که از قانون نمونهٔ حریم خصوصی انجمن استانداردهای کانادا (CSA) گرفته شده و در پیوست ۱ قانون درج شده است. این‌ها ده کادر جداگانه برای علامت‌زدن نیستند؛ بلکه یک چرخهٔ حیات واحد برای اطلاعات شخصی را توصیف می‌کنند، از لحظه‌ای که تصمیم می‌گیرید به آن‌ها نیاز دارید تا لحظه‌ای که از شرشان خلاص می‌شوید.

• پاسخ‌گویی: یک فرد یا یک نقش در سازمان شما مسئول رعایت حریم خصوصی است و این مسئولیت با سپردن تصاویر مدارک شناسایی به یک فروشندهٔ شخص ثالث راستی‌آزمایی از بین نمی‌رود. شما همچنان در قبال آنچه بر سر داده‌ها می‌آید پاسخ‌گو هستید و به همین دلیل قرارداد شما با آن فروشنده اهمیت دارد.
• تعیین اهداف: پیش از جمع‌آوری اعلام می‌کنید که چرا به مدرک شناسایی نیاز دارید. «ما هویت را برای کاهش تقلب در درخواست‌های اجاره راستی‌آزمایی می‌کنیم» یک هدف است. «شاید بعداً به آن نیاز پیدا کنیم» هدف نیست.
• رضایت: فرد پیش از انجام راستی‌آزمایی می‌داند چه چیزی و چرا جمع‌آوری می‌شود و با آن موافقت می‌کند. رضایت برای یک هدف مشخص، هدف دیگر و بعدی را پوشش نمی‌دهد.
• محدودکردن جمع‌آوری: فقط آنچه هدف اعلام‌شده ایجاب می‌کند جمع‌آوری کنید. اگر فقط باید تأیید کنید که فردی بالای ۱۸ سال است و در انتاریو زندگی می‌کند، لازم نیست شمارهٔ کامل سند او را برای مدت نامحدود نگه دارید.
• محدودکردن استفاده، افشا و نگهداری: از داده‌ها فقط برای هدفی که اعلام کرده‌اید استفاده کنید، بدون رضایت یا مجوز قانونی آن‌ها را به دیگری ندهید و فقط تا زمانی که هدف ایجاب می‌کند نگه دارید، سپس از شرشان خلاص شوید.
• دقت: اطلاعات شخصی باید به اندازه‌ای که هدف ایجاب می‌کند دقیق، کامل و به‌روز باشد. این یکی از دلایلی است که نتایج در سطح هر فیلد از یک امتیاز واحد قبول/رد مهم‌تر است: می‌توانید دقیقاً ببینید سامانه به کدام داده اطمینان دارد و به کدام ندارد.
• تدابیر حفاظتی: از داده‌ها با امنیتی متناسب با حساسیت آن‌ها محافظت کنید: رمزگذاری، کنترل دسترسی و محدودیت دربارهٔ اینکه چه کسی و چه زمانی می‌تواند آن‌ها را ببیند.
• شفافیت: رویه‌های حریم خصوصی خود را به زبان ساده در دسترس قرار دهید، نه اینکه در یک EULA که هیچ‌کس نمی‌خواند دفن شود.
• دسترسی افراد: در صورت درخواست، به فرد بگویید چه اطلاعات شخصی‌ای از او نزد شماست و چگونه استفاده شده است، و اگر نادرست است آن را اصلاح کنید.
• اعتراض به رعایت اصول: به افراد راهی برای شکایت بدهید و فرایندی برای بررسی و پاسخ به آن شکایت داشته باشید.

این موضوع در ShieldID چگونه است

چند مورد از این اصول مستقیماً با مواردی مشخص مطابقت دارد که یک پلتفرم راستی‌آزمایی باید بتواند به آن‌ها اشاره کند، نه اینکه فقط وعده بدهد. محدودکردن جمع‌آوری و نگهداری روشن‌ترین نمونه است: ShieldID فیلدهای موردنیاز برای تصمیم‌گیری را استخراج می‌کند، یعنی نام، تاریخ تولد، شمارهٔ سند، نشانی و عکس برای تطبیق چهره، و تصاویر مدرک شناسایی را با یک تایمر کوتاه، به‌طور پیش‌فرض هفت روز، خودکار پاک می‌کند. سابقهٔ راستی‌آزمایی (اینکه یک بررسی انجام شده و نتیجهٔ آن) بیشتر از تصاویر باقی می‌ماند؛ خود تصاویر برای مدت نامحدود نگه داشته نمی‌شوند.

تدابیر حفاظتی در قالب رمزگذاری دیده می‌شوند: تاریخ تولد رمزگذاری‌شده ذخیره می‌شود، نه به‌صورت متن ساده، و تصاویر مدارک شناسایی در حالت ذخیره با AES-256-GCM رمزگذاری می‌شوند. پاسخ‌گویی و شفافیت در دفتر فعالیت (Activity Ledger) دیده می‌شوند، یعنی سابقهٔ فقط‌افزودنی Trust Ledger که پایگاه داده آن را تضمین می‌کند. خود راستی‌آزمایی هویت دقیقاً دو نوع ورودی ثبت می‌کند، موفق یا ناموفق؛ ورودی‌های گسترده‌تر دفتر برای حساب مستقل API در ShieldID به‌زودی ارائه می‌شود. ورودی‌ها را می‌توان افزود، اما هرگز ویرایش یا حذف نمی‌شوند، و این چیزی مشخص در اختیار مسئول حریم خصوصی یا فردی که به یک تصمیم اعتراض دارد می‌گذارد، به‌جای اتکا به قول یک فروشنده.

ارزش دارد دقیق بگوییم ShieldID چه چیزی را ادعا نمی‌کند. ما گواهینامهٔ PIPEDA نداریم، زیرا چنین گواهینامه‌ای برای هیچ فروشنده‌ای وجود ندارد؛ PIPEDA یک قانون است، نه نهاد استانداردی که نشان صادر کند. بیان صادقانه این است که ShieldID برای هم‌راستایی با PIPEDA طراحی شده است: میزبانی در کانادا، حداقل جمع‌آوری، تایمر پاک‌سازی خودکار و سابقهٔ قابل‌ممیزی، کنترل‌هایی هستند و تضمین انطباق نیستند. اینکه استفادهٔ کلی سازمان شما از این محصول با PIPEDA سازگار است یا نه، تشخیصی است برای سازمان شما و، در صورت نیاز، مشاور حقوقی خودتان؛ ابزار نمی‌تواند این تشخیص را به‌جای شما بدهد.

Law 25 در کبک

اگر در کبک فعالیت می‌کنید، PIPEDA تنها قانون مؤثر نیست. Law 25 کبک (قانونی برای نوسازی مقررات قانونی در زمینهٔ حفاظت از اطلاعات شخصی) الزامات خاص و عموماً سخت‌گیرانه‌تری برای سازمان‌های بخش خصوصی تعیین می‌کند، از جمله قواعدی دربارهٔ رضایت، اطلاع‌رسانی نقض داده، ارزیابی اثر حریم خصوصی برای برخی پروژه‌ها و به‌طور خاص داده‌های بیومتریک. تطبیق چهره و تشخیص زنده‌بودن اطلاعات بیومتریک را پردازش می‌کنند، که دقیقاً همان دسته‌ای است که Law 25 بیش از همه به آن توجه دارد. اگر متقاضیان شما در کبک هستند، PIPEDA را حداقل بدانید، نه سقف، و پیش از اتکا به قوانین فدرال به‌تنهایی، مشاورهٔ مختص کبک بگیرید.

آنچه PIPEDA الزام نمی‌کند

همچنین دانستن آنچه قانون مشخص نمی‌کند مفید است. PIPEDA مدت نگهداری ثابتی را بر حسب روز تعیین نمی‌کند؛ می‌گوید «تا زمانی که لازم است» و تعیین عدد را به عهده شما و هدف شما می‌گذارد. این قانون الگوریتم رمزنگاری خاصی یا کشور میزبانی مشخصی را الزامی نمی‌کند؛ اقامت داده‌ها یکی از چند تدبیر حفاظتی معقول است و برای اکثر سازمان‌ها فی‌نفسه الزام قانونی نیست. همچنین از فروشنده نمی‌خواهد گواهی امنیتی خاصی داشته باشد. هیچ‌یک از این‌ها به معنای بی‌اهمیت بودن آن انتخاب‌ها نیست؛ این‌ها صرفاً کنترل‌هایی هستند که سازمان برای رعایت اصول اتخاذ می‌کند، نه مواردی که خود PIPEDA برای شما بررسی کند.

خلاصه آن که: بدانید چه چیزی را و چرا جمع‌آوری می‌کنید، حداقل لازم را جمع‌آوری کنید، از آن محافظت کنید، فقط تا زمانی که نیاز دارید نگه دارید و بتوانید کار خود را اثبات کنید. یک پلتفرم احراز هویت می‌تواند هر یک از این موارد را آسان‌تر کند، مانند زمان‌سنج کوتاه نگهداری، رمزنگاری پیش‌فرض و سابقه‌ای قابل جست‌وجو، اما مسئولیت بر عهده سازمانی است که اطلاعات را جمع‌آوری می‌کند، نه ابزاری که از آن استفاده می‌کند.