Privacy by Design in der Identitätsprüfung

Weniger erheben

Eine Identitätsprüfung sollte den Entscheid liefern, den ein Unternehmen braucht, und keine dauerhafte Kopie jeder biometrischen Aufnahme (so geht secuveri mit Daten um).

Die Identitätsprüfung berührt einige der sensibelsten Daten, die ein Mensch hat: sein Gesicht, ein amtliches Dokument, das Geburtsdatum und die Adresse. Sowohl nach dem Schweizer nDSG als auch nach der DSGVO stehen biometrische Daten, die eine Person identifizieren, unter besonderem Schutz. Jedes zusätzliche Feld, das Sie erheben, und jede zusätzliche Kopie, die Sie speichern, müssen Sie begründen, absichern und irgendwann löschen.

Datenminimierung ist die einfachste Kontrolle, die es gibt. Halten Sie vor der Gestaltung eines Prozesses genau fest, welche Frage Sie beantwortet haben müssen. «Ist diese Person über 18?» braucht weit weniger Daten als «Wer ist diese Person, und können wir ein Konto für sie eröffnen?» Erheben Sie dann nur, was diese Frage verlangt.

Zweckbindung

Daten, die für einen Zweck erhoben wurden, dürfen nicht stillschweigend für einen anderen verwendet werden. Ein Selfie, das die Inhaberin oder den Inhaber eines Dokuments bestätigen soll, darf nicht im Training eines internen Modells oder in einem Marketingprofil landen.

In der Praxis heisst das:

• Den Zweck jedes Prozesses festlegen, bevor er live geht.
• Prüfdaten in einem separaten Speicher mit eigenen Zugriffsregeln halten.
• Neue interne Anfragen zur Nutzung der Daten am ursprünglichen Zweck messen.

Die Zweckbindung macht es auch leichter, die Compliance zu belegen. Wenn Sie genau zeigen können, warum jede einzelne Angabe erhoben wurde, werden die meisten anderen Fragen einfacher.

Aufbewahrung

Bewahren Sie Daten nur so lange auf, wie es für einen klaren Zweck nötig ist. Kürzere Aufbewahrungsfristen senken das Risiko für alle Beteiligten.

Die Aufbewahrung lässt sich leichter steuern, wenn sie pro Datentyp festgelegt wird und nicht pro Fall:

Automatisieren Sie die Löschung. Manuelles Aufräumen bleibt gern liegen, und Daten, die nur vorübergehend gedacht waren, werden so stillschweigend zu dauerhaften Daten.

Ergebnisse statt Rohdaten zurückgeben

Der wirksamste Entscheid für den Datenschutz ist oft ein architektonischer. Liefert Ihr Anbieter für Identitätsprüfungen ein Ergebnis statt der zugrunde liegenden Daten, gelangen die sensiblen Daten gar nicht erst in Ihre eigenen Systeme.

Ein Ergebnis wie «geprüft, Dokument kontrolliert, Gesicht abgeglichen, Liveness bestanden, zu diesem Zeitpunkt» reicht für die meisten Produktentscheide. Ihr Backend speichert dieses Ergebnis. Die Bilder des Dokuments und die biometrischen Aufnahmen bleiben beim Prüfdienst, unter dessen Aufbewahrungsregeln, oder werden nach Abschluss der Prüfung gelöscht.

Die Altersprüfung zeigt das deutlich. Ein Onlineshop, der Alkohol verkauft, muss wissen, ob die Käuferin oder der Käufer die Altersgrenze erreicht, nicht Name, Adresse oder Dokumentnummer. Eine Altersprüfung, die nur «berechtigt» oder «nicht berechtigt» zurückgibt, zusammen mit der verwendeten Methode und einem Zeitstempel, liefert dem Shop genau das, was er braucht, und nicht mehr. Wie das in der Praxis funktioniert, sehen Sie auf unserer Seite zur Altersprüfung.

Hosting, Datenresidenz und Zugriff

Wo die Daten liegen und wer darauf zugreifen kann, gehört zur Datenschutzgestaltung und ist keine Nebensache für das Infrastrukturteam.

• Hosting-Standort. Wissen Sie, in welchem Land die Prüfdaten bearbeitet und gespeichert werden. Manche Kunden und Aufsichtsbehörden verlangen, dass sie in einer bestimmten Rechtsordnung bleiben. Mehr zur Datenresidenz finden Sie in unserem Glossar.
• Unterauftragsbearbeiter. Jeder Anbieter in der Kette ist ein weiterer Ort, an den Daten gelangen können. Verlangen Sie die Liste und halten Sie sie aktuell.
• Zugriffskontrolle. Beschränken Sie, wer Bilder von Dokumenten und Selfies einsehen kann, protokollieren Sie jeden Zugriff und prüfen Sie die Protokolle. Die meisten Mitarbeitenden müssen nur das Ergebnis sehen.
• Betriebsmodell. Für Organisationen mit strengen Anforderungen bleibt der Datenbestand innerhalb des eigenen Perimeters, wenn die Identitätsprüfung auf der eigenen Infrastruktur läuft.

Auf Vertrauen ausgelegt

Datenschutz ist Teil des Produkts und kein nachträglicher Gedanke. Klare Prozesse und wenig Daten machen die Identitätsprüfung sicherer und leichter zu erklären.

Ein nützlicher Test: Können Sie den Prozess einer Nutzerin oder einem Nutzer in drei Sätzen erklären? Was Sie erheben, warum und wie lange Sie es aufbewahren. Braucht die Antwort eine Seite voller Vorbehalte, erhebt der Prozess wahrscheinlich zu viel.

Gute Prozesse machen das sichtbar. Sagen Sie vor der Erfassung, was geprüft wird. Zeigen Sie, dass die Sitzung sicher ist. Erklären Sie, was als Nächstes passiert und an wen man sich bei Fragen zu den eigenen Daten wenden kann. Menschen schliessen eine Prüfung, die sie verstehen, viel eher ab.

Eine kurze Checkliste:

• Ein dokumentierter Zweck pro Prozess.
• Nur die Daten, die dieser Zweck verlangt.
• Ergebnisse an Ihre Systeme, keine Rohbilder.
• Aufbewahrungsfristen pro Datentyp, mit automatischer Löschung.
• Bekannter Hosting-Standort und Liste der Unterauftragsbearbeiter.
• Beschränkter und protokollierter Zugriff auf sensible Daten.

secuveri bearbeitet und speichert Daten in der Schweiz, bietet einen On-Premise-Betrieb an und lässt Sie wählen, welche Prüfungen in jedem Prozess laufen, sodass ein Prozess nur erhebt, was er braucht. Die Unterauftragsbearbeiter der Plattform sind in unseren Kundenverträgen aufgeführt, jene unserer Website auf unserer Seite zu den Unterauftragsbearbeitern.