PIPEDA 对身份验证意味着什么

如果您的企业会收集某人驾驶证或护照的照片，那么您收集的就是最敏感的个人信息之一：法定全名、出生日期、证件号码、照片，有时还有地址。在加拿大，联邦《个人信息保护和电子文件法》（PIPEDA）规范私营机构如何处理此类信息。本文将逐一说明 PIPEDA 的十项公平信息原则对开展身份验证的企业究竟意味着什么，以及它们在 ShieldID 这样的产品中如何体现。

本文不构成法律意见。PIPEDA 的适用方式因您所在的行业、省份以及您对数据的处理方式而异；魁北克还在此基础上另有更严格的自有制度。请就您的具体义务咨询您自己的法律顾问。以下是对这些原则本身的通俗梳理。

十项原则的实际运用

PIPEDA 围绕十项原则构建，这些原则源自加拿大标准协会的隐私示范守则，并写入该法案的附表 1。它们不是十个需要逐一打钩的独立事项，而是描述了个人信息从您决定需要它的那一刻，到您将其销毁的那一刻的完整生命周期。

• 问责制：贵组织中必须有一个人或一个岗位负责隐私合规，而且当您把身份证件图像交给第三方验证供应商时，这一责任并不会消失。您仍须对数据的处理结果负责，这正是您与该供应商之间的合同如此重要的原因。
• 明确目的：在收集身份证件之前，您要说明为什么需要它。“我们验证身份以减少租房申请中的欺诈”是一个目的，“我们以后可能会用到”则不是。
• 同意：在验证发生之前，当事人了解正在收集什么以及为什么收集，并表示同意。针对特定目的的同意，并不涵盖另一个不同的、之后才出现的目的。
• 限制收集：只收集所述目的所需的信息。如果您只需要确认某人已年满 18 岁且居住在安大略省，就不需要无限期保存其完整的证件号码。
• 限制使用、披露和保留：只将数据用于您所声明的目的，未经同意或法律授权不得交给他人，并且只在目的所需的期限内保留——之后就要销毁。
• 准确性：个人信息应当达到目的所要求的准确、完整和最新程度。这也是逐字段结论比单一的通过/失败分数更重要的原因之一：您可以清楚地看到系统对哪项数据有把握、对哪项没有把握。
• 安全保障：采取与数据敏感程度相适应的安全措施——加密、访问控制，以及对谁可以在何时查看数据的限制。
• 公开性：以通俗易懂的语言公开您的隐私做法，而不是埋没在没人会读的最终用户许可协议中。
• 个人查阅：应请求告知当事人您持有其哪些个人信息以及这些信息如何被使用，并在信息有误时予以更正。
• 质疑合规：为人们提供投诉渠道，并建立调查和回应投诉的流程。

这在 ShieldID 内部是什么样子

这些原则中有几项直接对应验证平台应当能够拿出来证明、而不仅仅是承诺的具体事项。限制收集和保留是最明显的一项：ShieldID 提取决策所需的字段——姓名、出生日期、证件号码、地址以及用于人脸比对的照片——并在较短的定时器到期后自动清除身份证件图像，默认为七天。验证记录(即曾进行过检查及其结果)的保存时间比图像更长；图像本身不会无限期地留存。

安全保障体现为加密：出生日期以加密形式而非明文存储，身份证件图像在静态存储时使用 AES-256-GCM 加密。问责制和公开性体现在 Activity Ledger 中——这是 Trust Ledger 的仅追加记录，由数据库强制执行。身份验证本身只会产生两种条目：已验证或失败；面向独立 ShieldID API 账户的更广泛的账本条目即将推出。条目只能添加，不能编辑或删除，这让隐私官或对决定提出异议的人有了具体的依据，而不是只能听供应商的一面之词。

有必要准确说明 ShieldID 不声称什么。我们没有 PIPEDA 认证，因为不存在任何供应商可以持有的此类认证——PIPEDA 是一部法律，而不是一个颁发徽章的标准机构。诚实的说法是：ShieldID 的设计旨在与 PIPEDA 保持一致：加拿大本地托管、最少收集、自动清除定时器以及可审计的记录，都属于控制措施，而不是合规保证。贵组织对本产品的整体使用是否符合 PIPEDA,应由贵组织自行判断，必要时请咨询您自己的法律顾问——工具无法替您作出这一判断。

魁北克的 Law 25

如果您在魁北克开展业务，PIPEDA 并不是唯一适用的法律。魁北克的 Law 25(《关于个人信息保护的立法条款现代化法》)对私营部门组织设定了自己的、总体上更严格的要求，包括关于同意、数据泄露通知、部分项目的隐私影响评估，以及专门针对生物识别数据的规则。人脸比对和活体检测处理的是生物识别信息，恰恰是 Law 25 最为关注的类别。如果您的申请人在魁北克，请将 PIPEDA 视为底线而非上限，并在仅依赖联邦规则之前先获取针对魁北克的专业意见。

PIPEDA 不要求什么

同样值得了解的是，法律没有明确规定哪些内容。PIPEDA 没有设定以天数计的固定保留期限——它只说“在必要期间内”，具体期限由您和您的使用目的来决定。它也没有强制要求使用特定的加密算法或特定的托管国家；对大多数组织而言，数据驻留只是众多合理保障措施之一，本身并不是法律要求。它同样不要求供应商持有某项特定的安全认证。这并不意味着这些选择不重要——它们只是组织为落实各项原则而采用的控制措施，而不是 PIPEDA 本身会替您逐项核查的条目。

简而言之：清楚自己在收集什么、为什么收集，只收集最少必要的信息，加以保护，只在需要的时间内保留，并且能够证明自己的做法。验证平台可以让这些事情更容易做到——较短的保留计时器、默认加密、可搜索的记录——但责任仍在于负责收集的组织，而不是它所使用的工具。