PIPEDA, kimlik doğrulama için ne anlama geliyor?

İşletmeniz birinin ehliyetinin veya pasaportunun fotoğrafını topluyorsa, var olan en hassas kişisel bilgilerin bir kısmını topluyorsunuz demektir: yasal tam ad, doğum tarihi, belge numarası, fotoğraf ve bazen adres. Kanada'da federal Personal Information Protection and Electronic Documents Act (PIPEDA), özel sektör kuruluşlarının bu bilgileri nasıl ele alacağını düzenler. Bu yazı, PIPEDA'nın on adil bilgi ilkesinin kimlik doğrulaması yürüten bir işletme için gerçekte ne anlama geldiğini ve ShieldID gibi bir üründe nerede karşınıza çıktığını anlatıyor.

Bu bir hukuki tavsiye değildir. PIPEDA, sektörünüze, eyaletinize ve veriyle ne yaptığınıza bağlı olarak farklı şekilde uygulanır; Quebec'in bunun üzerine eklenen kendi, daha sıkı bir rejimi vardır. Size özgü yükümlülükler için kendi hukuk danışmanınıza başvurun. Aşağıdakiler, ilkelerin kendisine dair sade bir dille hazırlanmış bir haritadır.

On ilke, uygulamada

PIPEDA, Kanada Standartlar Birliği'nin örnek gizlilik kodundan alınan ve Kanun'un 1. Çizelgesi'ne yazılan on ilke etrafında kurulmuştur. Bunlar işaretlenecek on ayrı kutu değildir; kişisel bilgiler için, ona ihtiyaç duyduğunuza karar verdiğiniz andan onu ortadan kaldırdığınız ana kadar uzanan tek bir yaşam döngüsünü tanımlarlar.

• Hesap verebilirlik: kuruluşunuzdaki bir kişi veya rol gizlilik uyumundan sorumludur ve kimlik görüntülerini üçüncü taraf bir doğrulama sağlayıcısına devrettiğinizde bu sorumluluk ortadan kalkmaz. Verinin başına gelenlerden hâlâ siz sorumlusunuz; bu nedenle söz konusu sağlayıcıyla yaptığınız sözleşme önemlidir.
• Amaçların belirlenmesi: kimliğe neden ihtiyaç duyduğunuzu, onu toplamadan önce belirtirsiniz. “Kiralama başvurularındaki sahtekârlığı azaltmak için kimlik doğruluyoruz” bir amaçtır. “Daha sonra gerekebilir” bir amaç değildir.
• Rıza: kişi, doğrulama gerçekleşmeden önce neyin neden toplandığını anlar ve buna onay verir. Belirli bir amaç için verilen rıza, farklı ve sonraki bir amacı kapsamaz.
• Toplamanın sınırlandırılması: yalnızca belirtilen amacın gerektirdiği kadarını toplayın. Yalnızca birinin 18 yaşından büyük olduğunu ve Ontario'da yaşadığını doğrulamanız gerekiyorsa, belge numarasının tamamını süresiz olarak kayıtta tutmanız gerekmez.
• Kullanımın, ifşanın ve saklamanın sınırlandırılması: veriyi yalnızca belirttiğiniz amaç için kullanın, rıza veya yasal yetki olmadan başkasına vermeyin ve yalnızca amacın gerektirdiği süre boyunca saklayın; ardından ortadan kaldırın.
• Doğruluk: kişisel bilgiler, amacın gerektirdiği ölçüde doğru, eksiksiz ve güncel olmalıdır. Alan bazlı kararların tek bir geçti/kaldı puanından daha önemli olmasının nedenlerinden biri budur: sistemin hangi veriden emin olduğunu ve hangisinden emin olmadığını tam olarak görebilirsiniz.
• Güvenlik önlemleri: veriyi hassasiyetine uygun güvenlikle koruyun; şifreleme, erişim kontrolleri ve ona kimin, ne zaman bakabileceğine dair sınırlamalar.
• Açıklık: gizlilik uygulamalarınızı kimsenin okumadığı bir EULA'nın içine gömmeden, sade bir dille erişilebilir kılın.
• Bireysel erişim: talep üzerine, birine onun hakkında hangi kişisel bilgileri tuttuğunuzu ve bunların nasıl kullanıldığını söyleyin; yanlışsa düzeltin.
• Uyuma itiraz: insanlara şikâyette bulunma yolu sunun ve bu şikâyeti inceleyip yanıtlamak için bir sürece sahip olun.

ShieldID içinde bu nasıl görünür?

Bu ilkelerden birkaçı, bir doğrulama platformunun yalnızca vaat etmekle kalmayıp gösterebilmesi gereken somut şeylerle doğrudan örtüşür. Toplamanın ve saklamanın sınırlandırılması bunların en açık örneğidir: ShieldID, bir kararın ihtiyaç duyduğu alanları (ad, doğum tarihi, belge numarası, adres, yüz eşleştirme için fotoğraf) çıkarır ve kimlik görüntülerini kısa bir zamanlayıcıyla, varsayılan olarak yedi gün sonra otomatik olarak siler. Doğrulama kaydı (bir kontrolün yapıldığı ve sonucu) görüntülerden daha uzun yaşar; görüntülerin kendisi süresiz olarak bekletilmez.

Güvenlik önlemleri şifreleme olarak karşımıza çıkar: doğum tarihi düz metin olarak değil şifreli saklanır ve kimlik görüntüleri AES-256-GCM ile bekleme halinde şifrelenir. Hesap verebilirlik ve açıklık ise Etkinlik Defteri'nde, yani Trust Ledger'ın veritabanı tarafından zorunlu kılınan, yalnızca eklemeli kaydında görünür. Kimlik doğrulamanın kendisi tam olarak iki kayıt ekler: doğrulandı veya başarısız oldu; bağımsız bir ShieldID API hesabı için daha kapsamlı defter kayıtları yakında geliyor. Kayıtlar eklenebilir ancak asla düzenlenemez veya silinemez; bu da bir gizlilik görevlisine ya da bir karara itiraz eden bir kişiye, sağlayıcının sözü yerine işaret edebileceği somut bir şey sunar.

ShieldID'nin neyi iddia etmediği konusunda net olmakta fayda var. Bir PIPEDA sertifikamız yok, çünkü hiçbir sağlayıcının sahip olabileceği böyle bir sertifika mevcut değil; PIPEDA bir kanundur, rozet veren bir standart kuruluşu değildir. Dürüst ifade şudur: ShieldID, PIPEDA ile uyumlu olacak şekilde tasarlanmıştır. Kanada'da barındırma, asgari veri toplama, otomatik silme zamanlayıcısı ve denetlenebilir bir kayıt birer kontroldür, bir uyum garantisi değildir. Kuruluşunuzun ürünü genel kullanımının PIPEDA'ya uygun olup olmadığı, kuruluşunuzun ve gerektiğinde kendi hukuk danışmanınızın belirleyeceği bir husustur; araç bu tespiti sizin yerinize yapamaz.

Quebec'in Law 25'i

Quebec'te faaliyet gösteriyorsanız, devrede olan tek yasa PIPEDA değildir. Quebec'in Law 25'i (Kişisel Bilgilerin Korunmasına İlişkin Yasal Hükümlerin Modernize Edilmesi Hakkında Kanun), özel sektör kuruluşları için kendine özgü ve genellikle daha sıkı gereklilikler getirir; bunlar arasında rıza, ihlal bildirimi, bazı projeler için gizlilik etki değerlendirmeleri ve özellikle biyometrik veriye ilişkin kurallar yer alır. Yüz eşleştirme ve canlılık tespiti biyometrik bilgileri işler; bu da Law 25'in en yakından ilgilendiği kategoridir. Başvuru sahipleriniz Quebec'teyse, PIPEDA'yı tavan değil taban olarak görün ve yalnızca federal kurallara güvenmeden önce Quebec'e özgü bir hukuki görüş alın.

PIPEDA'nın gerektirmedikleri

Yasanın neyi belirtmediğini bilmek de faydalıdır. PIPEDA, gün cinsinden sabit bir saklama süresi belirlemez; “gerektiği kadar” der ve sayıyı sizin takdirinize ve amacınıza bırakır. Belirli bir şifreleme algoritmasını ya da belirli bir barındırma ülkesini zorunlu kılmaz. Veri yerleşimi, çoğu kuruluş için başlı başına yasal bir gereklilik değil, birçok makul güvenceden yalnızca biridir. Ayrıca bir tedarikçinin belirli bir güvenlik sertifikasına sahip olmasını da şart koşmaz. Bunların hiçbiri söz konusu tercihleri önemsiz kılmaz. Bunlar, bir kuruluşun ilkelere uymak için benimsediği kontrollerdir; PIPEDA'nın sizin yerinize işaretlediği kutular değildir.

Kısacası: Neyi ve neden topladığınızı bilin, mümkün olan en azını toplayın, koruyun, yalnızca ihtiyacınız olduğu sürece saklayın ve yaptıklarınızı gösterebilin. Bir doğrulama platformu bunların her birini kolaylaştırabilir: kısa bir saklama süresi, varsayılan olarak şifreleme, aranabilir bir kayıt. Ancak yükümlülük, kullanılan araçta değil, veriyi toplayan kuruluştadır.