Ce que la PIPEDA signifie pour la vérification d'identité

Si votre entreprise recueille une photo du permis de conduire ou du passeport d'une personne, vous recueillez certains des renseignements personnels les plus sensibles qui soient : un nom légal complet, une date de naissance, un numéro de document, une photo, parfois une adresse. Au Canada, la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA) régit la façon dont les organisations du secteur privé traitent ces renseignements. Cet article passe en revue ce que les dix principes d'équité en matière de renseignements de la PIPEDA signifient concrètement pour une entreprise qui fait de la vérification d'identité, et où ils apparaissent dans un produit comme ShieldID.

Ceci ne constitue pas un avis juridique. La PIPEDA s'applique différemment selon votre secteur, votre province et l'usage que vous faites des données; le Québec a son propre régime, plus strict, qui s'ajoute au premier. Adressez-vous à votre propre conseiller juridique au sujet de vos obligations particulières. Ce qui suit est une carte en langage clair des principes eux-mêmes.

Les dix principes en pratique

La PIPEDA repose sur dix principes, tirés du code type sur la protection des renseignements personnels de l'Association canadienne de normalisation et inscrits à l'annexe 1 de la Loi. Il ne s'agit pas de dix cases distinctes à cocher; ils décrivent un cycle de vie unique des renseignements personnels, du moment où vous décidez d'en avoir besoin jusqu'au moment où vous vous en défaites.

• Responsabilité : une personne ou un rôle au sein de votre organisation est responsable de la conformité en matière de protection de la vie privée, et cette responsabilité ne disparaît pas lorsque vous confiez des images de pièces d'identité à un fournisseur tiers de vérification. Vous demeurez responsable de ce qui arrive aux données, c'est pourquoi votre contrat avec ce fournisseur est important.
• Détermination des fins : vous indiquez, avant de la recueillir, pourquoi vous avez besoin de la pièce d'identité. « Nous vérifions l'identité pour réduire la fraude dans les demandes de location » est une fin légitime. « Nous pourrions en avoir besoin plus tard » n'en est pas une.
• Consentement : la personne comprend ce qui est recueilli et pourquoi, et y consent, avant que la vérification n'ait lieu. Le consentement donné pour une fin précise ne couvre pas une autre fin, ultérieure.
• Limitation de la collecte : ne recueillez que ce que la fin déclarée exige. Si vous avez seulement besoin de confirmer qu'une personne a plus de 18 ans et vit en Ontario, vous n'avez pas besoin de conserver indéfiniment le numéro complet de son document.
• Limitation de l'utilisation, de la communication et de la conservation : n'utilisez les données que pour la fin que vous avez indiquée, ne les transmettez à personne sans consentement ou autorisation légale, et ne les conservez que le temps requis par cette fin — puis défaites-vous-en.
• Exactitude : les renseignements personnels doivent être aussi exacts, complets et à jour que l'exige la fin visée. C'est l'une des raisons pour lesquelles les verdicts par champ comptent plus qu'une simple note de réussite/échec : vous voyez exactement quelle donnée le système juge fiable ou non.
• Mesures de sécurité : protégez les données par des mesures de sécurité adaptées à leur degré de sensibilité — chiffrement, contrôles d'accès et limites sur les personnes qui peuvent les consulter et le moment où elles le peuvent.
• Transparence : rendez vos pratiques de protection de la vie privée accessibles en langage clair, et non enfouies dans un contrat de licence que personne ne lit.
• Accès aux renseignements personnels : sur demande, indiquez à une personne quels renseignements personnels vous détenez à son sujet et comment ils ont été utilisés, et corrigez-les s'ils sont inexacts.
• Possibilité de porter plainte à l'égard du non-respect des principes : donnez aux gens un moyen de porter plainte et prévoyez un processus pour enquêter sur cette plainte et y répondre.

Ce que cela donne concrètement dans ShieldID

Quelques-uns de ces principes correspondent directement à des éléments précis qu'une plateforme de vérification doit pouvoir démontrer, et pas seulement promettre. La limitation de la collecte et de la conservation en est l'exemple le plus clair : ShieldID extrait les champs nécessaires à une décision — nom, date de naissance, numéro de document, adresse, photo pour la comparaison faciale — et purge automatiquement les images des pièces d'identité selon un court délai, sept jours par défaut. Le dossier de vérification (le fait qu'un contrôle a eu lieu, et son résultat) survit aux images; les images elles-mêmes ne traînent pas indéfiniment.

Les mesures de sécurité se traduisent par le chiffrement : la date de naissance est stockée chiffrée, et non en texte clair, et les images des pièces d'identité sont chiffrées au repos avec AES-256-GCM. La responsabilité et la transparence se manifestent dans le registre d'activité — le registre en ajout seulement de Trust Ledger, appliqué par la base de données. La vérification d'identité elle-même y ajoute exactement deux entrées, vérifiée ou échouée; des entrées de registre plus larges pour un compte ShieldID API autonome seront bientôt disponibles. Des entrées peuvent être ajoutées, jamais modifiées ni supprimées, ce qui donne à un responsable de la protection de la vie privée ou à une personne qui conteste une décision quelque chose de concret sur quoi s'appuyer, plutôt que la simple parole d'un fournisseur.

Il importe d'être précis sur ce que ShieldID ne prétend pas. Nous ne détenons aucune certification PIPEDA, car aucune certification de ce genre n'existe pour un fournisseur — la PIPEDA est une loi, et non un organisme de normalisation qui délivre un insigne. La formulation honnête est que ShieldID est conçu pour s'harmoniser avec la PIPEDA : l'hébergement canadien, la collecte minimale, une minuterie de purge automatique et un registre vérifiable sont des mesures de contrôle, et non une garantie de conformité. Déterminer si l'utilisation globale du produit par votre organisation est conforme à la PIPEDA relève de votre organisation et, au besoin, de votre propre conseiller juridique — l'outil ne peut pas le déterminer à votre place.

La Law 25 du Québec

Si vous exercez vos activités au Québec, la PIPEDA n'est pas la seule loi qui s'applique. La Law 25 du Québec (An Act to modernize legislative provisions as regards the protection of personal information) impose ses propres exigences, généralement plus strictes, aux organisations du secteur privé, notamment en matière de consentement, de notification des incidents de confidentialité, d'évaluations des facteurs relatifs à la vie privée pour certains projets et, plus particulièrement, de données biométriques. La comparaison faciale et la détection du caractère vivant traitent des renseignements biométriques, soit précisément la catégorie à laquelle la Law 25 porte le plus d'attention. Si vos demandeurs se trouvent au Québec, considérez la PIPEDA comme un plancher et non comme un plafond, et obtenez des conseils propres au Québec avant de vous en remettre uniquement aux règles fédérales.

Ce que la PIPEDA n'exige pas

Il est aussi utile de savoir ce que la loi ne précise pas. La PIPEDA ne fixe pas de durée de conservation en jours : elle parle de « aussi longtemps que nécessaire » et laisse à votre organisation le soin de déterminer le nombre selon sa finalité. Elle n'impose pas d'algorithme de chiffrement particulier ni de pays d'hébergement précis; la résidence des données est une mesure de protection raisonnable parmi d'autres, et non une exigence légale en soi pour la plupart des organisations. Et elle n'exige pas qu'un fournisseur détienne une certification de sécurité particulière. Rien de cela ne rend ces choix sans importance : ce sont simplement des mesures de contrôle qu'une organisation adopte pour respecter les principes, et non des cases que la PIPEDA vérifie elle-même à votre place.

En résumé : sachez ce que vous recueillez et pourquoi, recueillez le strict minimum, protégez-le, ne le conservez que le temps nécessaire et soyez en mesure de démontrer votre démarche. Une plateforme de vérification peut faciliter chacun de ces points — une courte minuterie de conservation, un chiffrement par défaut, un registre consultable — mais l'obligation incombe à l'organisation qui recueille les renseignements, et non à l'outil qu'elle utilise.