Che cosa significa PIPEDA per la verifica dell'identità

Se la Sua azienda raccoglie la foto della patente di guida o del passaporto di una persona, raccoglie alcune delle informazioni personali più sensibili che esistano: nome legale completo, data di nascita, numero di documento, una foto, a volte un indirizzo. In Canada, la legge federale Personal Information Protection and Electronic Documents Act (PIPEDA) regola il modo in cui le organizzazioni del settore privato trattano tali informazioni. Questo articolo illustra che cosa significano in concreto i dieci principi di equa gestione delle informazioni della PIPEDA per un'azienda che effettua la verifica dell'identità, e dove compaiono in un prodotto come ShieldID.

Questo non costituisce una consulenza legale. La PIPEDA si applica in modo diverso a seconda del Suo settore, della Sua provincia e dell'uso che fa dei dati; il Québec ha un proprio regime, più rigoroso, che si sovrappone a essa. Si rivolga al Suo consulente legale per i Suoi specifici obblighi. Quanto segue è una mappa, in linguaggio semplice, dei principi stessi.

I dieci principi, in pratica

La PIPEDA si fonda su dieci principi, tratti dal codice modello sulla privacy della Canadian Standards Association e inseriti nell'Allegato 1 della legge. Non sono dieci caselle separate da spuntare: descrivono un unico ciclo di vita delle informazioni personali, dal momento in cui decide di averne bisogno fino al momento in cui se ne libera.

• Responsabilità: una persona o un ruolo della Sua organizzazione è responsabile della conformità in materia di privacy, e tale responsabilità non viene meno quando affida le immagini dei documenti a un fornitore terzo di verifica. Lei resta responsabile di ciò che accade ai dati, ed è per questo che il contratto con quel fornitore è importante.
• Identificazione delle finalità: prima di raccoglierlo, Lei dichiara perché ha bisogno del documento d'identità. «Verifichiamo l'identità per ridurre le frodi sulle domande di locazione» è una finalità. «Potrebbe servirci in seguito» non lo è.
• Consenso: la persona comprende che cosa viene raccolto e perché, e vi acconsente, prima che la verifica abbia luogo. Il consenso per una finalità specifica non copre una finalità diversa e successiva.
• Limitazione della raccolta: raccolga soltanto ciò che la finalità dichiarata richiede. Se Le serve solo confermare che una persona abbia più di 18 anni e risieda in Ontario, non ha bisogno di conservare a tempo indeterminato il numero completo del suo documento.
• Limitazione di utilizzo, comunicazione e conservazione: utilizzi i dati soltanto per la finalità indicata, non li comunichi ad altri senza consenso o autorizzazione di legge e li conservi solo per il tempo richiesto dalla finalità — poi se ne liberi.
• Esattezza: le informazioni personali dovrebbero essere accurate, complete e aggiornate nella misura richiesta dalla finalità. È uno dei motivi per cui gli esiti per singolo campo contano più di un unico punteggio di superamento/fallimento: Lei può vedere con precisione di quale dato il sistema è sicuro e di quale no.
• Misure di sicurezza: protegga i dati con una sicurezza adeguata alla loro sensibilità — crittografia, controlli di accesso e limiti su chi può consultarli e quando.
• Trasparenza: renda disponibili le Sue pratiche in materia di privacy in un linguaggio semplice, non sepolte in un EULA che nessuno legge.
• Accesso individuale: su richiesta, comunichi a una persona quali informazioni personali che la riguardano detiene e come sono state utilizzate, e le corregga se sono errate.
• Contestazione della conformità: offra alle persone un modo per presentare un reclamo e disponga di un processo per esaminarlo e rispondervi.

Come si traduce tutto ciò in ShieldID

Alcuni di questi principi corrispondono direttamente a elementi specifici che una piattaforma di verifica dovrebbe essere in grado di dimostrare, non solo promettere. La limitazione della raccolta e della conservazione è l'esempio più chiaro: ShieldID estrae i campi necessari a una decisione — nome, data di nascita, numero del documento, indirizzo, la foto per il confronto del volto — ed elimina automaticamente le immagini dei documenti con un breve timer, per impostazione predefinita sette giorni. Il record della verifica (il fatto che un controllo sia avvenuto e il suo esito) sopravvive alle immagini; le immagini stesse non restano conservate a tempo indeterminato.

Le misure di sicurezza si traducono in crittografia: la data di nascita è memorizzata in forma cifrata, non in chiaro, e le immagini dei documenti sono cifrate a riposo con AES-256-GCM. Responsabilità e trasparenza si traducono nell'Activity Ledger — il registro di Trust Ledger a sola aggiunta, imposto dal database. La verifica dell'identità in sé contribuisce esattamente con due voci, verificata o non riuscita; voci più ampie del registro per un account API ShieldID autonomo saranno disponibili a breve. Le voci possono essere aggiunte, mai modificate o eliminate, il che offre a un responsabile della privacy o a una persona che contesta una decisione qualcosa di concreto a cui fare riferimento, anziché la parola di un fornitore.

È opportuno essere precisi su ciò che ShieldID non dichiara. Non possediamo una certificazione PIPEDA, perché non esiste alcuna certificazione di questo tipo che un fornitore possa ottenere: la PIPEDA è una legge, non un ente di normazione con un badge. La formulazione onesta è che ShieldID è progettato per essere allineato alla PIPEDA: hosting in Canada, raccolta minima, un timer di eliminazione automatica e un registro verificabile sono controlli, non una garanzia di conformità. Stabilire se l'uso complessivo del prodotto da parte della Sua organizzazione sia conforme alla PIPEDA spetta alla Sua organizzazione e, se necessario, al Suo consulente legale: lo strumento non può stabilirlo al Suo posto.

La Law 25 del Québec

Se opera in Québec, la PIPEDA non è l'unica legge in gioco. La Law 25 del Québec (Legge che modernizza le disposizioni legislative in materia di protezione delle informazioni personali) stabilisce requisiti propri, generalmente più rigorosi, per le organizzazioni del settore privato, comprese regole su consenso, notifica delle violazioni, valutazioni d'impatto sulla privacy per alcuni progetti e, in particolare, dati biometrici. Il confronto del volto e il rilevamento della liveness trattano informazioni biometriche, che è esattamente la categoria su cui la Law 25 concentra maggiore attenzione. Se i Suoi richiedenti si trovano in Québec, consideri la PIPEDA come la soglia minima, non come il limite massimo, e richieda una consulenza specifica sul Québec prima di affidarsi alle sole norme federali.

Che cosa la PIPEDA non richiede

È utile anche sapere che cosa la legge non specifica. PIPEDA non fissa un periodo di conservazione in giorni: parla di «per il tempo necessario» e lascia il numero a Lei e alla Sua finalità. Non impone un algoritmo di crittografia specifico né un paese di hosting specifico; la residenza dei dati è una tutela ragionevole tra le altre, non un requisito di legge in sé per la maggior parte delle organizzazioni. E non impone a un fornitore di possedere una particolare certificazione di sicurezza. Nulla di ciò rende queste scelte irrilevanti: sono semplicemente controlli che un'organizzazione adotta per rispettare i principi, non caselle che PIPEDA stessa verifica al posto Suo.

In sintesi: sapere che cosa si raccoglie e perché, raccogliere il minimo, proteggerlo, conservarlo solo per il tempo necessario ed essere in grado di dimostrare il proprio operato. Una piattaforma di verifica può rendere ciascuno di questi punti più semplice (un breve timer di conservazione, la crittografia predefinita, un registro consultabile), ma l'obbligo spetta all'organizzazione che raccoglie i dati, non allo strumento che utilizza.