O que a PIPEDA significa para a verificação de identidade

Se sua empresa coleta a foto da carteira de motorista ou do passaporte de alguém, você está coletando algumas das informações pessoais mais sensíveis que existem: nome legal completo, data de nascimento, número do documento, foto e, às vezes, endereço. No Canadá, a lei federal Personal Information Protection and Electronic Documents Act (PIPEDA) rege como organizações do setor privado tratam essas informações. Este post explica o que os dez princípios de práticas justas de informação da PIPEDA realmente significam para uma empresa que faz verificação de identidade e onde eles aparecem em um produto como o ShieldID.

Isto não é aconselhamento jurídico. A PIPEDA se aplica de maneira diferente conforme o seu setor, a sua província e o que você faz com os dados; Quebec tem um regime próprio, mais rigoroso, aplicado em paralelo. Converse com o seu próprio advogado sobre as suas obrigações específicas. O que segue é um mapa em linguagem simples dos princípios em si.

Os dez princípios, na prática

A PIPEDA se baseia em dez princípios, extraídos do código modelo de privacidade da Canadian Standards Association e incluídos no Anexo 1 da lei. Não são dez caixas separadas para marcar; eles descrevem um único ciclo de vida das informações pessoais, desde o momento em que você decide que precisa delas até o momento em que se desfaz delas.

• Responsabilização: uma pessoa ou função na sua organização é responsável pela conformidade com a privacidade, e essa responsabilidade não desaparece quando você entrega imagens de documentos a um fornecedor terceirizado de verificação. Você continua responsável pelo que acontece com os dados, e é por isso que o seu contrato com esse fornecedor importa.
• Identificação das finalidades: você diz, antes de coletar, por que precisa do documento de identidade. “Verificamos a identidade para reduzir fraudes em solicitações de aluguel” é uma finalidade. “Talvez precisemos disso mais tarde” não é.
• Consentimento: a pessoa entende o que está sendo coletado e por quê, e concorda, antes de a verificação acontecer. O consentimento para uma finalidade específica não cobre uma finalidade diferente, posterior.
• Limitação da coleta: colete apenas o que a finalidade declarada exige. Se você só precisa confirmar que alguém tem mais de 18 anos e mora em Ontário, não precisa manter o número completo do documento arquivado indefinidamente.
• Limitação do uso, da divulgação e da retenção: use os dados apenas para a finalidade informada, não os repasse a terceiros sem consentimento ou autorização legal e mantenha-os apenas pelo tempo que a finalidade exigir — depois, descarte-os.
• Exatidão: as informações pessoais devem ser tão exatas, completas e atualizadas quanto a finalidade exigir. Esse é um dos motivos pelos quais os veredictos por campo importam mais do que uma única pontuação de aprovado/reprovado: você vê exatamente de qual dado o sistema tem ou não confiança.
• Salvaguardas: proteja os dados com uma segurança compatível com a sua sensibilidade — criptografia, controles de acesso e limites sobre quem pode vê-los e quando.
• Transparência: disponibilize suas práticas de privacidade em linguagem simples, e não escondidas em um contrato de licença que ninguém lê.
• Acesso individual: mediante solicitação, informe a uma pessoa quais informações pessoais você mantém sobre ela e como foram usadas, e corrija-as se estiverem erradas.
• Contestação da conformidade: ofereça às pessoas uma forma de reclamar e tenha um processo para investigar e responder a essa reclamação.

Como isso funciona dentro do ShieldID

Alguns desses princípios correspondem diretamente a coisas específicas que uma plataforma de verificação deve poder demonstrar, e não apenas prometer. A limitação da coleta e da retenção é o exemplo mais claro: o ShieldID extrai os campos de que uma decisão precisa — nome, data de nascimento, número do documento, endereço, a foto para a comparação facial — e elimina automaticamente as imagens do documento em um prazo curto, de sete dias por padrão. O registro da verificação (que uma checagem aconteceu e qual foi o resultado) dura mais que as imagens; as imagens em si não ficam guardadas indefinidamente.

As salvaguardas aparecem na forma de criptografia: a data de nascimento é armazenada criptografada, e não em texto simples, e as imagens do documento são criptografadas em repouso com AES-256-GCM. A responsabilização e a transparência aparecem no Activity Ledger — o registro somente de acréscimo do Trust Ledger, garantido pelo banco de dados. A verificação de identidade em si gera exatamente duas entradas, verificada ou falha; entradas mais amplas do ledger para uma conta avulsa da API do ShieldID estão chegando em breve. Entradas podem ser adicionadas, nunca editadas ou excluídas, o que dá a um encarregado de privacidade ou a uma pessoa que contesta uma decisão algo concreto a que recorrer, em vez da palavra de um fornecedor.

Vale ser preciso sobre o que o ShieldID não afirma. Não temos uma certificação PIPEDA, porque não existe tal certificação para qualquer fornecedor obter — a PIPEDA é uma lei, não um órgão de padronização com um selo. A formulação honesta é que o ShieldID foi projetado para estar alinhado à PIPEDA: hospedagem no Canadá, coleta mínima, um temporizador automático de eliminação e um registro auditável são controles, e não uma garantia de conformidade. Se o uso geral do produto pela sua organização está em conformidade com a PIPEDA é uma determinação que cabe à sua organização e, quando necessário, ao seu próprio advogado — a ferramenta não pode fazer essa determinação por você.

A Law 25 de Quebec

Se você atua em Quebec, a PIPEDA não é a única lei em jogo. A Law 25 de Quebec (Lei de modernização das disposições legislativas relativas à proteção das informações pessoais) estabelece requisitos próprios, em geral mais rigorosos, para organizações do setor privado, incluindo regras sobre consentimento, notificação de violações, avaliações de impacto à privacidade para alguns projetos e, especificamente, dados biométricos. A comparação facial e a prova de vida processam informações biométricas, exatamente a categoria que a Law 25 observa mais de perto. Se os seus solicitantes estão em Quebec, trate a PIPEDA como o piso, não como o teto, e busque aconselhamento específico de Quebec antes de confiar apenas nas regras federais.

O que a PIPEDA não exige

Também é útil saber o que a lei não especifica. A PIPEDA não define um prazo fixo de retenção em dias — ela diz “pelo tempo necessário” e deixa o número a cargo de você e da sua finalidade. Ela não impõe um algoritmo de criptografia específico nem um país de hospedagem específico; a residência dos dados é uma salvaguarda razoável entre várias, e não uma exigência legal em si para a maioria das organizações. E ela não exige que um fornecedor possua uma certificação de segurança em particular. Nada disso torna essas escolhas sem importância — elas são apenas controles que uma organização adota para cumprir os princípios, e não itens que a própria PIPEDA verifica por você.

Resumindo: saiba o que você está coletando e por quê, colete o mínimo, proteja os dados, mantenha-os apenas pelo tempo necessário e seja capaz de demonstrar o seu trabalho. Uma plataforma de verificação pode facilitar cada um desses pontos — um temporizador de retenção curto, criptografia por padrão, um registro que permite busca —, mas a obrigação é da organização que faz a coleta, não da ferramenta que ela usa.