Co PIPEDA oznacza dla weryfikacji tożsamości

Jeśli Państwa firma gromadzi zdjęcie czyjegoś prawa jazdy lub paszportu, zbiera Państwo jedne z najbardziej wrażliwych danych osobowych: pełne imię i nazwisko, datę urodzenia, numer dokumentu, zdjęcie, czasem adres. W Kanadzie federalna ustawa Personal Information Protection and Electronic Documents Act (PIPEDA) reguluje sposób postępowania z takimi informacjami przez organizacje sektora prywatnego. Ten wpis omawia, co dziesięć zasad rzetelnego przetwarzania informacji według PIPEDA faktycznie oznacza dla firmy prowadzącej weryfikację tożsamości i gdzie znajdują one odzwierciedlenie w produkcie takim jak ShieldID.

Nie stanowi to porady prawnej. PIPEDA stosuje się w różny sposób w zależności od Państwa sektora, prowincji i sposobu wykorzystywania danych; Quebec ma własny, bardziej rygorystyczny reżim nakładający się na te przepisy. W kwestii Państwa konkretnych obowiązków prosimy o konsultację z własnym doradcą prawnym. Poniżej znajduje się opisana prostym językiem mapa samych zasad.

Dziesięć zasad w praktyce

PIPEDA opiera się na dziesięciu zasadach, zaczerpniętych z wzorcowego kodeksu ochrony prywatności Canadian Standards Association i zapisanych w Załączniku 1 do ustawy. Nie są to dziesięć odrębnych pól do zaznaczenia; opisują one jeden cykl życia danych osobowych — od chwili, w której uznają Państwo, że są one potrzebne, do chwili, w której się ich pozbywają.

• Odpowiedzialność: jedna osoba lub rola w Państwa organizacji odpowiada za zgodność z przepisami o ochronie prywatności, a odpowiedzialność ta nie znika, gdy przekazują Państwo obrazy dokumentów zewnętrznemu dostawcy usług weryfikacji. Nadal odpowiadają Państwo za to, co dzieje się z danymi, i dlatego tak ważna jest Państwa umowa z tym dostawcą.
• Określenie celów: przed zebraniem danych określają Państwo, dlaczego potrzebny jest dokument tożsamości. „Weryfikujemy tożsamość, aby ograniczać oszustwa we wnioskach o wynajem” jest celem. „Być może będzie nam to potrzebne później” nim nie jest.
• Zgoda: osoba rozumie, co jest zbierane i dlaczego, oraz wyraża na to zgodę, zanim nastąpi weryfikacja. Zgoda udzielona na konkretny cel nie obejmuje innego, późniejszego celu.
• Ograniczenie zbierania: zbierają Państwo wyłącznie to, czego wymaga wskazany cel. Jeżeli potrzebują Państwo jedynie potwierdzić, że ktoś jest pełnoletni i mieszka w Ontario, nie muszą Państwo przechowywać bezterminowo pełnego numeru jego dokumentu.
• Ograniczenie wykorzystywania, ujawniania i przechowywania: wykorzystują Państwo dane wyłącznie do wskazanego celu, nie przekazują ich nikomu bez zgody lub podstawy prawnej i przechowują je tylko tak długo, jak wymaga tego cel — a następnie się ich pozbywają.
• Dokładność: dane osobowe powinny być tak dokładne, kompletne i aktualne, jak wymaga tego cel. To jeden z powodów, dla których oceny dla poszczególnych pól są ważniejsze niż pojedynczy wynik pozytywny/negatywny: widać dokładnie, co do których danych system jest, a co do których nie jest pewny.
• Zabezpieczenia: chronią Państwo dane środkami bezpieczeństwa odpowiednimi do ich wrażliwości — szyfrowaniem, kontrolą dostępu oraz ograniczeniami dotyczącymi tego, kto i kiedy może je przeglądać.
• Otwartość: udostępniają Państwo informacje o swoich praktykach w zakresie prywatności prostym językiem, a nie ukrywają ich w umowie licencyjnej, której nikt nie czyta.
• Dostęp osoby, której dane dotyczą: na żądanie informują Państwo, jakie dane osobowe o danej osobie Państwo posiadają i w jaki sposób zostały wykorzystane, oraz poprawiają je, jeśli są nieprawidłowe.
• Możliwość zakwestionowania zgodności: dają Państwo ludziom możliwość złożenia skargi i dysponują procedurą jej zbadania oraz udzielenia odpowiedzi.

Jak wygląda to wewnątrz ShieldID

Kilka z tych zasad przekłada się bezpośrednio na konkretne rzeczy, na które platforma weryfikacyjna powinna być w stanie wskazać, a nie tylko je obiecywać. Najlepszym przykładem jest ograniczenie zbierania i przechowywania: ShieldID wyodrębnia pola potrzebne do podjęcia decyzji — imię i nazwisko, datę urodzenia, numer dokumentu, adres, zdjęcie do porównania twarzy — i automatycznie usuwa obrazy dokumentów po krótkim czasie, domyślnie po siedmiu dniach. Zapis weryfikacji (że kontrola się odbyła, oraz jej wynik) przetrwa obrazy; same obrazy nie są przechowywane bezterminowo.

Zabezpieczenia przejawiają się jako szyfrowanie: data urodzenia jest przechowywana w postaci zaszyfrowanej, a nie jawnym tekstem, a obrazy dokumentów są szyfrowane w spoczynku za pomocą AES-256-GCM. Odpowiedzialność i otwartość przejawiają się w Rejestrze aktywności (Activity Ledger) — rejestrze Trust Ledger dostępnym wyłącznie do dopisywania, egzekwowanym przez bazę danych. Sama weryfikacja tożsamości wnosi dokładnie dwa rodzaje wpisów: zweryfikowano lub niepowodzenie; szersze wpisy rejestru dla samodzielnego konta ShieldID API będą dostępne wkrótce. Wpisy można dodawać, ale nigdy edytować ani usuwać, co daje inspektorowi ochrony prywatności lub osobie kwestionującej decyzję coś konkretnego, na co można wskazać, zamiast słowa dostawcy.

Warto precyzyjnie wskazać, czego ShieldID nie deklaruje. Nie posiadamy certyfikacji PIPEDA, ponieważ żadna taka certyfikacja nie istnieje i żaden dostawca nie może jej posiadać — PIPEDA jest ustawą, a nie organizacją normalizacyjną wydającą odznaki. Uczciwe sformułowanie brzmi: ShieldID został zaprojektowany tak, aby być zgodny z założeniami PIPEDA: hosting w Kanadzie, minimalne zbieranie danych, automatyczny licznik usuwania oraz podlegający audytowi zapis to mechanizmy kontrolne, a nie gwarancja zgodności. To, czy ogólne korzystanie z produktu przez Państwa organizację jest zgodne z PIPEDA, jest oceną, którą musi przeprowadzić Państwa organizacja oraz, w razie potrzeby, Państwa doradca prawny — narzędzie nie może dokonać tej oceny za Państwa.

Quebecka Law 25

Jeżeli prowadzą Państwo działalność w Quebecu, PIPEDA nie jest jedynym obowiązującym aktem prawnym. Quebecka Law 25 (An Act to modernize legislative provisions as regards the protection of personal information) ustanawia własne, na ogół bardziej rygorystyczne wymogi dla organizacji sektora prywatnego, w tym zasady dotyczące zgody, zawiadamiania o naruszeniach, ocen skutków dla prywatności w przypadku niektórych projektów oraz w szczególności danych biometrycznych. Porównywanie twarzy i wykrywanie żywotności przetwarzają informacje biometryczne, czyli dokładnie tę kategorię, której Law 25 poświęca największą uwagę. Jeżeli Państwa wnioskodawcy znajdują się w Quebecu, prosimy traktować PIPEDA jako dolną granicę, a nie górną, i uzyskać poradę dotyczącą specyfiki Quebecu, zanim zaczną Państwo polegać wyłącznie na przepisach federalnych.

Czego PIPEDA nie wymaga

Warto też wiedzieć, czego prawo nie precyzuje. PIPEDA nie określa stałego okresu przechowywania w dniach — mówi o „czasie niezbędnym” i pozostawia konkretną liczbę Państwu oraz celowi przetwarzania. Nie nakazuje stosowania konkretnego algorytmu szyfrowania ani konkretnego kraju hostingu; rezydencja danych jest jednym z kilku rozsądnych zabezpieczeń, a nie samodzielnym wymogiem prawnym dla większości organizacji. Nie wymaga też, aby dostawca posiadał określoną certyfikację bezpieczeństwa. Nic z tego nie oznacza, że te wybory są nieistotne — są to po prostu mechanizmy kontrolne, które organizacja wdraża, aby spełnić zasady, a nie pozycje, które PIPEDA sama za Państwa odhacza.

Krótko mówiąc: należy wiedzieć, co i po co Państwo zbierają, zbierać minimum danych, chronić je, przechowywać tylko tak długo, jak to potrzebne, i umieć wykazać swoje działania. Platforma weryfikacji może ułatwić każdy z tych elementów — krótki czas przechowywania, domyślne szyfrowanie, rejestr z możliwością wyszukiwania — ale obowiązek spoczywa na organizacji, która zbiera dane, a nie na narzędziu, z którego korzysta.