PIPEDA が本人確認に意味すること

運転免許証やパスポートの写真を収集する場合、正式な氏名、生年月日、書類番号、顔写真、場合によっては住所といった、最も機微な個人情報を収集していることになります。カナダでは、連邦法の Personal Information Protection and Electronic Documents Act(PIPEDA)が、民間組織によるその情報の取り扱いを規定しています。この記事では、PIPEDA の10の公正情報原則が本人確認を行う事業者にとって実際に何を意味するのか、そして ShieldID のような製品のどこに表れるのかを説明します。

これは法的助言ではありません。PIPEDA の適用は、業種、州、データの取り扱い方によって異なります。ケベック州には、それに上乗せされる独自のより厳格な制度があります。具体的な義務については、ご自身の弁護士にご相談ください。以下は、原則そのものを平易な言葉でまとめたものです。

10の原則の実際

PIPEDA は、カナダ規格協会のモデルプライバシーコードに基づき、同法の附則1に盛り込まれた10の原則で構成されています。これらはチェックを入れるべき10個の別々の項目ではなく、個人情報が必要だと判断した時点から廃棄する時点までの、ひと続きのライフサイクルを表しています。

• 説明責任:組織内の1人の担当者または1つの役割がプライバシーコンプライアンスに責任を負います。この責任は、ID画像を第三者の検証ベンダーに渡しても消えることはありません。データの扱いについては引き続き御社が責任を負うため、そのベンダーとの契約が重要になります。
• 目的の特定:収集する前に、なぜIDが必要なのかを明示します。「賃貸申込における不正を減らすために本人確認を行います」は目的になります。「後で必要になるかもしれない」は目的になりません。
• 同意:本人が、何がなぜ収集されるのかを理解し、検証が行われる前にそれに同意します。特定の目的への同意は、後から生じる別の目的には及びません。
• 収集の制限:明示した目的に必要なものだけを収集します。18歳以上でオンタリオ州在住であることを確認するだけなら、書類番号の全体を無期限に保管する必要はありません。
• 利用、開示、保持の制限:データは明示した目的にのみ使用し、同意や法的権限なしに他者へ渡さず、目的に必要な期間だけ保持して、その後は廃棄します。
• 正確性:個人情報は、目的に必要な範囲で正確、完全かつ最新であるべきです。フィールドごとの判定が単一の合否スコアより重要である理由の一つがここにあります。システムがどのデータに確信を持ち、どのデータに持てないのかを正確に確認できます。
• 安全管理措置:暗号化、アクセス制御、誰がいつ閲覧できるかの制限など、データの機微性に見合ったセキュリティで保護します。
• 公開性:プライバシーに関する取り組みを、誰も読まない利用許諾契約書(EULA)の中に埋もれさせず、平易な言葉で公開します。
• 本人のアクセス:請求があれば、どのような個人情報を保有しているか、どのように利用されたかを本人に伝え、誤りがあれば訂正します。
• コンプライアンスへの異議申立て:苦情を申し立てる手段を提供し、その苦情を調査して対応するプロセスを整えます。

ShieldID の内部ではどうなっているか

これらの原則のいくつかは、検証プラットフォームが約束するだけでなく、具体的に示せるべき事柄に直接対応しています。最も分かりやすいのが収集と保持の制限です。ShieldID は、判断に必要なフィールド(氏名、生年月日、書類番号、住所、顔照合用の写真)を抽出し、ID画像は短いタイマーにより自動的に削除されます。デフォルトは7日間です。検証記録(確認が行われたこととその結果)は画像より長く残りますが、画像自体が無期限に残り続けることはありません。

安全管理措置は暗号化として表れます。生年月日は平文ではなく暗号化して保存され、ID画像は AES-256-GCM で保存時に暗号化されます。説明責任と公開性は、Trust Ledger の追記専用レコードであり、データベースによって強制されるアクティビティ台帳に表れます。本人確認自体が記録するエントリーは、検証済みまたは失敗の2種類のみです。単独の ShieldID API アカウント向けのより広範な台帳エントリーは近日公開予定です。エントリーは追加できますが、編集や削除はできません。そのため、プライバシー責任者や判断に異議を唱える方は、ベンダーの言葉ではなく具体的な記録を拠り所にできます。

ShieldID が主張しないことを正確に述べておくことも重要です。当社は PIPEDA 認証を保有していません。そのような認証はどのベンダーにも存在しないためです。PIPEDA は法律であり、バッジを発行する標準化団体ではありません。正直な表現は、ShieldID は PIPEDA に沿うよう設計されている、というものです。カナダ国内でのホスティング、最小限の収集、自動削除タイマー、監査可能な記録は統制であり、コンプライアンスの保証ではありません。御社による製品の利用全体が PIPEDA に準拠しているかどうかは、御社自身が、必要に応じてご自身の弁護士とともに判断すべき事項であり、ツールが代わりに判断することはできません。

ケベック州の Law 25

ケベック州で事業を行う場合、適用される法律は PIPEDA だけではありません。ケベック州の Law 25(個人情報の保護に関する法規定を現代化するための法律)は、民間組織に対して独自の、一般にはより厳格な要件を定めています。これには、同意、漏えい通知、一部のプロジェクトにおけるプライバシー影響評価、そして特に生体データに関する規則が含まれます。顔照合とライブネス検出は生体情報を処理しますが、これはまさに Law 25 が最も注意を払うカテゴリーです。申請者がケベック州にいる場合は、PIPEDA を上限ではなく最低ラインと捉え、連邦の規則だけに頼る前にケベック州固有の助言を受けてください。

PIPEDA が求めていないこと

法律が何を定めていないかを知っておくことも役に立ちます。PIPEDA は保持期間を日数で固定していません。「必要な間」とだけ定め、具体的な期間は組織とその目的に委ねています。特定の暗号化アルゴリズムやホスティング先の国を義務づけてもいません。データの所在地は複数ある妥当な保護措置のひとつであり、ほとんどの組織にとってそれ自体が法的要件というわけではありません。また、ベンダーに特定のセキュリティ認証の保有を求めることもありません。だからといってこれらの選択が重要でないわけではありません。組織が原則を満たすために採用する管理策であり、PIPEDA 自体があなたに代わって確認する項目ではない、ということです。

要点は次のとおりです。何をなぜ収集するのかを把握し、収集は最小限にとどめ、保護し、必要な期間だけ保持し、その取り組みを示せるようにしておくことです。本人確認プラットフォームは、短い保持タイマー、デフォルトでの暗号化、検索できる記録など、これらをそれぞれ行いやすくできますが、責任は使用するツールではなく、収集を行う組織にあります。