Wat PIPEDA betekent voor identiteitsverificatie

Als uw bedrijf een foto van iemands rijbewijs of paspoort verzamelt, verzamelt u een deel van de meest gevoelige persoonsgegevens die er bestaan: een volledige wettelijke naam, een geboortedatum, een documentnummer, een foto, soms een adres. In Canada regelt de federale Personal Information Protection and Electronic Documents Act (PIPEDA) hoe organisaties in de particuliere sector met die gegevens omgaan. Dit artikel loopt door wat de tien principes van eerlijke informatieverwerking van PIPEDA in de praktijk betekenen voor een bedrijf dat identiteitsverificatie uitvoert, en waar ze terugkomen in een product als ShieldID.

Dit is geen juridisch advies. PIPEDA is anders van toepassing afhankelijk van uw sector, uw provincie en wat u met de gegevens doet; Quebec heeft een eigen, strengere regeling die daar bovenop komt. Bespreek uw specifieke verplichtingen met uw eigen juridisch adviseur. Wat volgt, is een overzicht in gewone taal van de principes zelf.

De tien principes in de praktijk

PIPEDA is opgebouwd rond tien principes, ontleend aan de modelprivacycode van de Canadian Standards Association en opgenomen in Schedule 1 van de wet. Het zijn geen tien afzonderlijke vakjes om af te vinken; ze beschrijven één enkele levenscyclus van persoonsgegevens, vanaf het moment dat u besluit ze nodig te hebben tot het moment dat u ze verwijdert.

• Verantwoordelijkheid: één persoon of functie binnen uw organisatie is verantwoordelijk voor naleving van de privacyregels, en die verantwoordelijkheid verdwijnt niet wanneer u ID-afbeeldingen doorgeeft aan een externe verificatieleverancier. U blijft verantwoordelijk voor wat er met de gegevens gebeurt, en daarom is uw contract met die leverancier belangrijk.
• Doeleinden vaststellen: u zegt vóór het verzamelen waarom u de ID nodig hebt. “Wij verifiëren identiteit om fraude bij huuraanvragen te verminderen” is een doel. “Misschien hebben we het later nodig” is dat niet.
• Toestemming: de persoon begrijpt wat er wordt verzameld en waarom, en stemt daarmee in voordat de verificatie plaatsvindt. Toestemming voor een specifiek doel dekt geen ander, later doel.
• Beperking van het verzamelen: verzamel alleen wat het vermelde doel vereist. Als u alleen hoeft te bevestigen dat iemand ouder is dan 18 en in Ontario woont, hoeft u het volledige documentnummer niet voor onbepaalde tijd te bewaren.
• Beperking van gebruik, openbaarmaking en bewaring: gebruik de gegevens alleen voor het doel dat u hebt genoemd, geef ze niet zonder toestemming of wettelijke bevoegdheid aan anderen door en bewaar ze alleen zolang het doel dat vereist — verwijder ze daarna.
• Nauwkeurigheid: persoonsgegevens moeten zo nauwkeurig, volledig en actueel zijn als het doel vereist. Dit is een van de redenen waarom oordelen per veld zwaarder wegen dan één enkele score voor geslaagd/mislukt: u ziet precies over welk gegeven het systeem wel en niet zeker is.
• Beveiligingsmaatregelen: bescherm de gegevens met beveiliging die past bij hun gevoeligheid — versleuteling, toegangscontroles en beperkingen op wie ze wanneer mag inzien.
• Openheid: maak uw privacypraktijken in gewone taal beschikbaar, niet verstopt in een EULA die niemand leest.
• Toegang voor betrokkenen: deel op verzoek mee welke persoonsgegevens u over iemand bewaart en hoe ze zijn gebruikt, en corrigeer ze als ze onjuist zijn.
• Naleving betwisten: bied mensen een manier om een klacht in te dienen en zorg voor een procedure om die klacht te onderzoeken en te beantwoorden.

Hoe dit er binnen ShieldID uitziet

Een aantal van deze principes sluit rechtstreeks aan op concrete zaken waarop een verificatieplatform moet kunnen wijzen, in plaats van ze alleen te beloven. Beperking van het verzamelen en bewaren is het duidelijkste voorbeeld: ShieldID haalt de velden op die een beslissing nodig heeft — naam, geboortedatum, documentnummer, adres, de foto voor gezichtsvergelijking — en verwijdert de ID-afbeeldingen automatisch na een korte termijn, standaard zeven dagen. Het verificatiedossier (dat er een controle heeft plaatsgevonden, en de uitkomst) blijft langer bestaan dan de afbeeldingen; de afbeeldingen zelf blijven niet onbeperkt bewaard.

Beveiligingsmaatregelen komen terug in de vorm van versleuteling: de geboortedatum wordt versleuteld opgeslagen, niet als platte tekst, en ID-afbeeldingen worden in rust versleuteld met AES-256-GCM. Verantwoordelijkheid en openheid komen terug in het Activity Ledger — het append-only register van Trust Ledger, afgedwongen door de database. Identiteitsverificatie zelf levert precies twee vermeldingen op, geverifieerd of mislukt; uitgebreidere ledgervermeldingen voor een zelfstandig ShieldID API-account volgen binnenkort. Vermeldingen kunnen worden toegevoegd, maar nooit worden bewerkt of verwijderd, waardoor een privacyfunctionaris of een persoon die een beslissing betwist iets concreets heeft om naar te verwijzen, in plaats van het woord van een leverancier.

Het is belangrijk om precies te zijn over wat ShieldID niet beweert. Wij beschikken niet over een PIPEDA-certificering, omdat zo’n certificering voor geen enkele leverancier bestaat — PIPEDA is een wet, geen normeringsinstantie met een keurmerk. De eerlijke formulering is dat ShieldID is ontworpen om aan te sluiten bij PIPEDA: Canadese hosting, minimale gegevensverzameling, een automatische verwijdertimer en een controleerbaar register zijn maatregelen, geen garantie voor naleving. Of het totale gebruik van het product door uw organisatie voldoet aan PIPEDA, is een oordeel voor uw organisatie en, indien nodig, uw eigen juridisch adviseur — de tool kan dat oordeel niet voor u vellen.

Law 25 van Quebec

Als u in Quebec actief bent, is PIPEDA niet de enige wet die van toepassing is. Law 25 van Quebec (An Act to modernize legislative provisions as regards the protection of personal information) stelt eigen, doorgaans strengere eisen aan organisaties in de private sector, waaronder regels over toestemming, melding van datalekken, privacyeffectbeoordelingen voor sommige projecten en specifiek biometrische gegevens. Gezichtsvergelijking en liveness-detectie verwerken biometrische informatie, precies de categorie waaraan Law 25 de meeste aandacht besteedt. Als uw aanvragers in Quebec wonen, beschouw PIPEDA dan als de ondergrens, niet als het plafond, en win Quebec-specifiek advies in voordat u alleen op federale regels vertrouwt.

Wat PIPEDA niet vereist

Het is ook nuttig om te weten wat de wet niet voorschrijft. PIPEDA stelt geen vaste bewaartermijn in dagen vast — de wet spreekt van “zolang als nodig is” en laat het aantal over aan u en uw doel. De wet schrijft geen specifiek versleutelingsalgoritme of specifiek hostingland voor; dataresidentie is één redelijke waarborg onder meerdere, en voor de meeste organisaties op zichzelf geen wettelijke eis. En de wet verplicht een leverancier niet om een bepaald beveiligingscertificaat te bezitten. Dat maakt die keuzes niet onbelangrijk — het zijn maatregelen die een organisatie neemt om aan de principes te voldoen, geen vinkjes die PIPEDA zelf voor u afvinkt.

Kort samengevat: weet wat u verzamelt en waarom, verzamel het minimum, beveilig het, bewaar het alleen zo lang als nodig en kunt u laten zien hoe u te werk bent gegaan. Een verificatieplatform kan elk van die punten eenvoudiger maken — een korte bewaartimer, standaard versleuteling, een doorzoekbaar dossier — maar de verplichting ligt bij de organisatie die de gegevens verzamelt, niet bij het hulpmiddel dat zij gebruikt.