Vad PIPEDA innebär för ID-verifiering

Om ett företag samlar in ett foto av någons körkort eller pass samlas några av de känsligaste personuppgifter som finns in: fullständigt juridiskt namn, födelsedatum, dokumentnummer, foto och ibland adress. I Kanada styr den federala lagen Personal Information Protection and Electronic Documents Act (PIPEDA) hur privata organisationer hanterar den informationen. Det här inlägget går igenom vad PIPEDA:s tio principer för rättvis informationshantering egentligen innebär för ett företag som bedriver identitetsverifiering, och var de visar sig i en produkt som ShieldID.

Detta är inte juridisk rådgivning. PIPEDA gäller olika beroende på din bransch, din provins och vad du gör med uppgifterna; Quebec har dessutom sin egen, strängare reglering ovanpå. Tala med ditt eget juridiska ombud om dina specifika skyldigheter. Det som följer är en översikt i klartext över själva principerna.

De tio principerna i praktiken

PIPEDA bygger på tio principer, hämtade från Canadian Standards Associations modell för integritetskod och inskrivna i bilaga 1 till lagen. De är inte tio separata rutor att bocka av; de beskriver en enda livscykel för personuppgifter, från det ögonblick du bestämmer att du behöver dem till det ögonblick du gör dig av med dem.

• Ansvarsskyldighet: en person eller roll i din organisation ansvarar för efterlevnaden av integritetsreglerna, och det ansvaret försvinner inte när du lämnar över ID-bilder till en extern verifieringsleverantör. Du förblir ansvarig för vad som händer med uppgifterna, vilket är anledningen till att ditt avtal med leverantören spelar roll.
• Angivna ändamål: du anger, innan du samlar in uppgifterna, varför du behöver ID-handlingen. ”Vi verifierar identitet för att minska bedrägerier i hyresansökningar” är ett ändamål. ”Vi kanske behöver den senare” är det inte.
• Samtycke: personen förstår vad som samlas in och varför, och godkänner det, innan verifieringen sker. Samtycke för ett visst ändamål omfattar inte ett annat, senare ändamål.
• Begränsad insamling: samla bara in det som det angivna ändamålet kräver. Om du bara behöver bekräfta att någon är över 18 och bor i Ontario behöver du inte spara hela dokumentnumret på obestämd tid.
• Begränsad användning, utlämning och lagring: använd uppgifterna bara för det ändamål du angett, lämna dem inte vidare utan samtycke eller laglig grund, och behåll dem bara så länge ändamålet kräver – gör dig sedan av med dem.
• Korrekthet: personuppgifter ska vara så korrekta, fullständiga och aktuella som ändamålet kräver. Det är en anledning till att utlåtanden per fält är viktigare än ett enda godkänt/underkänt-resultat: du kan se exakt vilken uppgift systemet är säkert respektive osäkert på.
• Skyddsåtgärder: skydda uppgifterna med säkerhet som motsvarar deras känslighet – kryptering, åtkomstkontroller och begränsningar för vem som får se dem och när.
• Öppenhet: gör dina integritetsrutiner tillgängliga på lättbegripligt språk, inte gömda i ett användaravtal som ingen läser.
• Individens tillgång: på begäran, berätta för någon vilka personuppgifter du har om dem och hur de har använts, och rätta dem om de är fel.
• Möjlighet att ifrågasätta efterlevnad: ge människor ett sätt att klaga, och ha en process för att utreda och besvara klagomålet.

Så ser det ut inuti ShieldID

Några av dessa principer motsvaras direkt av konkreta saker som en verifieringsplattform bör kunna peka på, inte bara lova. Begränsad insamling och lagring är det tydligaste exemplet: ShieldID extraherar de fält som ett beslut kräver – namn, födelsedatum, dokumentnummer, adress och fotot för ansiktsmatchning – och raderar ID-bilderna automatiskt efter en kort tid, som standard sju dagar. Verifieringsposten (att en kontroll gjordes, och dess utfall) överlever bilderna; bilderna i sig ligger inte kvar på obestämd tid.

Skyddsåtgärder visar sig som kryptering: födelsedatum lagras krypterat, inte i klartext, och ID-bilder krypteras i vila med AES-256-GCM. Ansvarsskyldighet och öppenhet visar sig i Activity Ledger – Trust Ledgers append-only-register, som upprätthålls av databasen. Själva identitetsverifieringen bidrar med exakt två poster, verifierad eller misslyckad; fler registerposter för ett fristående ShieldID API-konto kommer snart. Poster kan läggas till, aldrig ändras eller raderas, vilket ger en integritetsansvarig eller en person som bestrider ett beslut något konkret att peka på, i stället för en leverantörs ord.

Det är värt att vara exakt med vad ShieldID inte påstår. Vi har ingen PIPEDA-certifiering, eftersom ingen sådan certifiering finns för någon leverantör att inneha – PIPEDA är en lag, inte ett standardiseringsorgan med en bricka. Den ärliga formuleringen är att ShieldID är utformat för att ligga i linje med PIPEDA: kanadensisk hosting, minimal insamling, en automatisk raderingstimer och ett granskningsbart register är kontroller, inte en garanti för efterlevnad. Om din organisations samlade användning av produkten följer PIPEDA är något din organisation och, vid behov, ditt eget juridiska ombud avgör – verktyget kan inte avgöra det åt dig.

Quebecs Law 25

Om du verkar i Quebec är PIPEDA inte den enda lagen som gäller. Quebecs Law 25 (An Act to modernize legislative provisions as regards the protection of personal information) ställer egna, generellt strängare krav på organisationer i den privata sektorn, bland annat regler om samtycke, anmälan av incidenter, konsekvensbedömningar av integritetsskydd för vissa projekt och specifikt biometriska uppgifter. Ansiktsmatchning och liveness-detektering behandlar biometrisk information, vilket är precis den kategori som Law 25 ägnar mest uppmärksamhet. Om dina sökande finns i Quebec bör du se PIPEDA som golvet, inte taket, och inhämta Quebec-specifik rådgivning innan du litar enbart på federala regler.

Vad PIPEDA inte kräver

Det är också bra att veta vad lagen inte anger. PIPEDA fastställer ingen bestämd lagringstid i dagar – där står det ”så länge som nödvändigt”, och själva siffran överlåts åt organisationen och dess ändamål. Den föreskriver ingen särskild krypteringsalgoritm eller något särskilt värdland; dataresidens är ett rimligt skydd bland flera, inte i sig ett lagkrav för de flesta organisationer. Och den kräver inte att en leverantör har någon viss säkerhetscertifiering. Inget av detta gör dessa val oviktiga – det är bara kontroller som en organisation inför för att uppfylla principerna, inte rutor som PIPEDA självt bockar av åt dig.

Kortversionen: ha koll på vad som samlas in och varför, samla in så lite som möjligt, skydda uppgifterna, spara dem bara så länge det behövs och kunna visa hur du har arbetat. En verifieringsplattform kan göra vart och ett av dessa steg enklare – en kort lagringstimer, kryptering som standard, ett register som går att söka i – men ansvaret ligger hos organisationen som samlar in uppgifterna, inte hos verktyget den använder.