PIPEDA 對身份驗證意味住咩

如果你嘅業務會收集別人駕駛執照或護照嘅相片，你收集嘅就係最敏感嘅個人資料之一：法定全名、出生日期、證件號碼、相片，有時仲有地址。喺加拿大，聯邦嘅 Personal Information Protection and Electronic Documents Act (PIPEDA) 規管私營機構如何處理呢啲資料。本文會逐一講解 PIPEDA 十項公平資訊原則對進行身份驗證嘅企業實際意味住乜嘢，以及喺 ShieldID 呢類產品入面體現喺邊度。

本文並非法律意見。PIPEDA 的適用情況視乎你的行業、所在省份,以及你如何處理有關資料而有所不同;魁北克另有一套更嚴格的制度疊加其上。有關你的具體責任,請諮詢你自己的法律顧問。以下是對這些原則本身的淺白說明。

十項原則的實際應用

PIPEDA 圍繞十項原則而建,這些原則源自加拿大標準協會(Canadian Standards Association)的示範私隱守則,並寫入該法令的附表 1。它們不是十個各自獨立、逐一剔選的格子,而是描述個人資料由你決定需要它的一刻,到你將它處理掉的一刻為止的完整生命週期。

• 問責:你機構內有一位人員或一個職位負責私隱合規,而當你將身分證件影像交給第三方驗證供應商時,這項責任並不會消失。你仍須對資料的下場負責,這就是你與該供應商之間的合約為何重要。
• 確定目的:在收集之前,你要說明為何需要該身分證件。「我們核實身分以減少租賃申請中的欺詐」是一個目的;「我們日後可能用得著」則不是。
• 同意:當事人在驗證進行之前,明白正在收集甚麼資料及原因,並表示同意。為特定目的而給予的同意,並不涵蓋日後另一個不同的目的。
• 限制收集:只收集所述目的所需的資料。如果你只需確認某人已年滿 18 歲並居於安大略省,你就不需要無限期保存對方完整的證件號碼。
• 限制使用、披露及保存:只將資料用於你所述明的目的,未經同意或法律授權不得交予他人,並且只在目的所需的期間內保存——然後將之處理掉。
• 準確性:個人資料應按目的所需,保持準確、完整及最新。這是逐欄位判定比單一的通過/不通過分數更重要的原因之一:你可以清楚看到系統對哪些資料有把握、對哪些沒有把握。
• 保障措施:以與資料敏感程度相稱的安全措施保護資料——包括加密、存取控制,以及限制誰可以在何時查看。
• 公開:以淺白語言公開你的私隱做法,而不是埋沒在沒有人會讀的使用者授權協議(EULA)之中。
• 個人查閱:應要求告知當事人你持有其哪些個人資料及如何使用,若資料有誤則予以更正。
• 質疑合規:讓人們有途徑提出投訴,並設有調查及回應該投訴的程序。

這在 ShieldID 內部是怎樣的

當中有幾項原則,直接對應驗證平台應該能夠具體指出的做法,而不只是口頭承諾。限制收集及保存是最清晰的一項:ShieldID 只提取決策所需的欄位——姓名、出生日期、證件號碼、地址,以及用於面部比對的相片——並會在一個短時限後自動清除身分證件影像,預設為七天。驗證紀錄(即曾經進行檢查及其結果)比影像保存得更久;影像本身則不會無限期留存。

保障措施體現於加密:出生日期以加密形式儲存,而非純文字,而身分證件影像則以 AES-256-GCM 靜態加密。問責與公開則體現於 Activity Ledger——Trust Ledger 的只增不改紀錄,由資料庫強制執行。身分驗證本身只會產生兩種條目,即已驗證或失敗;獨立 ShieldID API 帳戶的更廣泛帳本條目即將推出。條目只可新增,不可編輯或刪除,令私隱主任或對決定有異議的人有具體憑據可依,而不是只靠供應商的一面之詞。

有必要準確說明 ShieldID 並不聲稱甚麼。我們並未持有 PIPEDA 認證,因為根本不存在任何供應商可以持有的此類認證——PIPEDA 是法律,而不是一個會頒發徽章的標準機構。誠實的說法是:ShieldID 的設計旨在與 PIPEDA 看齊:加拿大境內託管、最少收集、自動清除時限,以及可供審核的紀錄,都是控制措施,而非合規保證。貴機構整體使用本產品是否符合 PIPEDA,須由貴機構自行判斷,必要時並交由你自己的法律顧問判斷——工具無法替你作出這項判斷。

魁北克的 Law 25

如果你在魁北克營運,PIPEDA 並非唯一適用的法律。魁北克的 Law 25(《為現代化有關保護個人資料的法例條文的法令》)為私營機構訂立自己的、一般更嚴格的要求,包括有關同意、洩露通報、部分項目的私隱影響評估,以及專門針對生物特徵資料的規則。面部比對及活體偵測會處理生物特徵資訊,而這正是 Law 25 最為關注的類別。如果你的申請人身在魁北克,請將 PIPEDA 視為底線而非上限,並在單靠聯邦規則行事之前,先取得魁北克方面的專門意見。

PIPEDA 並不要求的事項

同樣值得了解嘅，係法律冇訂明啲乜。PIPEDA 冇規定固定嘅保存日數——佢只話「以有需要為限」，具體數目由你根據自己嘅目的決定。佢亦冇強制要求採用某種加密演算法或指定託管國家；對大多數機構而言，資料存放地只係多項合理保障措施之一，本身並非法律要求。而且佢亦唔要求供應商持有特定嘅保安認證。以上種種並非不重要——只不過係機構為符合各項原則而採用嘅控制措施，而唔係 PIPEDA 本身會替你逐項檢查嘅清單。

簡單講：清楚知道自己收集咩資料同原因、只收集最少所需、保護好資料、只在有需要時保存，並且能夠證明自己做咗以上各點。驗證平台可以令每一項都更容易做到——例如較短嘅保存計時器、預設加密、可搜尋嘅紀錄——但責任始終在於負責收集資料嘅機構，而唔係佢所用嘅工具。