Проверка личности с сохранением конфиденциальности: баланс между соответствием требованиям и данными пользователя

Проверка личности с сохранением конфиденциальности включает в себя внедрение технических и организационных мер для подтверждения личности пользователя при минимизации сбора, хранения и обмена его персональными данными. Этот подход имеет решающее значение для компаний, работающих в условиях строгих правил защиты данных, таких как GDPR и CCPA, которые требуют как подтверждения личности, так и конфиденциальности пользователя.

Двойная задача: соответствие требованиям и конфиденциальность

Организации сталкиваются с деликатным балансом. С одной стороны, регулирующие органы требуют надежной проверки личности для борьбы с финансовыми преступлениями, отмыванием денег и финансированием терроризма. Это часто требует сбора и обработки конфиденциальной личной информации. С другой стороны, пользователи, защитники конфиденциальности и законы о защите данных требуют, чтобы эти данные обрабатывались с максимальной осторожностью, минимизируя раскрытие и предотвращая несанкционированный доступ.

Традиционные методы проверки личности часто включают сбор и хранение полных копий документов, удостоверяющих личность, что представляет значительные риски для конфиденциальности. Утечка данных может привести к раскрытию огромного количества личной информации, что приведет к краже личных данных и серьезному ущербу репутации. Более того, сам факт сбора большего количества данных, чем это строго необходимо, может подорвать доверие пользователей и привести к более высоким показателям отказа на этапе регистрации.

Нормативно-правовая база и ее влияние

Нормативно-правовая база для проверки личности сложна и постоянно развивается. Директивы, такие как 5-я и 6-я Директивы ЕС по борьбе с отмыванием денег (AML), предписывают усиленную проверку клиентов (CDD) и прозрачность бенефициарного владения. Эти правила требуют от компаний проведения тщательных проверок «Знай своего клиента» (KYC) и «Знай свой бизнес» (KYB), включая проверку личности физических лиц и конечных бенефициарных владельцев (UBO).

Одновременно законы о конфиденциальности данных, такие как Общий регламент по защите данных (GDPR) в Европе и Закон о конфиденциальности потребителей Калифорнии (CCPA) в США, устанавливают строгие правила в отношении того, как собираются, обрабатываются и хранятся персональные данные. Эти законы наделяют физических лиц правами на свои данные, включая право на удаление и право на доступ. Для компаний это означает не только соблюдение требований по проверке личности, но и демонстрацию того, что обработка данных является законной, справедливой и прозрачной, а также что принципы минимизации данных соблюдаются.

Ключевые стратегии проверки личности с сохранением конфиденциальности

Несколько стратегий и технологий могут помочь организациям достичь проверки личности с сохранением конфиденциальности без ущерба для соответствия требованиям:

1. Минимизация данных и ограничение цели

Основной принцип конфиденциальности по умолчанию, минимизация данных, диктует, что для конкретной цели должны собираться только абсолютно необходимые данные. Для проверки личности это означает вопрос о том, всегда ли требуется полная копия документа, или достаточно ли проверяемых атрибутов (например, «старше 18 лет», «резидент Испании»). Ограничение цели гарантирует, что собранные данные используются только для заявленной цели, а не для вторичных целей без явного согласия.

2. Доказательства с нулевым разглашением (ZKPs)

Доказательства с нулевым разглашением — это криптографические методы, которые позволяют одной стороне (доказывающей) доказать другой стороне (проверяющей), что утверждение истинно, не раскрывая никакой информации, кроме самой достоверности утверждения. В контексте проверки личности пользователь мог бы доказать, что ему больше 18 лет, не раскрывая свою дату рождения, или доказать, что он проживает в определенной стране, не раскрывая свой полный адрес. Хотя ZKP все еще являются новой технологией для широкого распространения, они обладают огромным потенциалом для действительно конфиденциальной проверки личности.

3. Федеративная идентификация и децентрализованные идентификаторы (DIDs)

Федеративные системы идентификации позволяют пользователям использовать один набор учетных данных для доступа к нескольким службам. Хотя это может улучшить пользовательский опыт, это централизует данные идентификации. Децентрализованные идентификаторы (DIDs) предлагают более ориентированную на конфиденциальность альтернативу. DIDs — это глобально уникальные, криптографически проверяемые идентификаторы, которые не требуют централизованного реестра. Пользователи контролируют свои DIDs и могут выборочно обмениваться проверяемыми учетными данными (например, государственным удостоверением личности) без раскрытия базовых персональных данных каждому поставщику услуг.

4. Безопасные многосторонние вычисления (SMC)

Безопасные многосторонние вычисления позволяют нескольким сторонам совместно вычислять функцию над своими частными входными данными, не раскрывая свои входные данные друг другу. Для проверки личности это может означать, что различные организации могут проверять аспекты личности человека (например, одна проверяет возраст, другая проверяет адрес) без того, чтобы какая-либо одна сторона имела доступ ко всем необработанным данным. Результатом является проверенная личность, но с распределенными данными и повышенной конфиденциальностью.

5. Проверка на устройстве и биометрические шаблоны

Выполнение шагов по проверке личности непосредственно на устройстве пользователя (например, сканирование документа и извлечение данных локально) уменьшает необходимость передачи конфиденциальной информации на центральный сервер. Аналогично, при использовании биометрии хранение биометрических шаблонов (математических представлений) вместо необработанных биометрических данных значительно повышает конфиденциальность. Эти шаблоны, как правило, необратимы и не могут быть использованы для восстановления исходной биометрии.

6. Гомоморфное шифрование

Гомоморфное шифрование позволяет выполнять вычисления над зашифрованными данными без их предварительного расшифрования. Это означает, что проверки личности могут выполняться над зашифрованными пользовательскими данными, при этом результаты также зашифрованы. Будет раскрыт только окончательный, проверенный результат, сохраняя конфиденциальность базовых данных на протяжении всего процесса.

Внедрение проверки личности с сохранением конфиденциальности с Didit

Didit предоставляет инфраструктуру для идентификации и борьбы с мошенничеством, разработанную с учетом конфиденциальности, помогая предприятиям сбалансировать требования соответствия с защитой данных. Наша платформа предлагает гибкую структуру, которая поддерживает различные подходы к сохранению конфиденциальности:

• Минимизация данных: модульная архитектура Didit позволяет точно настраивать, какие точки данных собираются и проверяются в соответствии с вашими конкретными потребностями в соответствии и допустимым уровнем риска. Вы можете выбрать проверку только основных атрибутов, уменьшая общий объем данных.
• Безопасная обработка: все данные, обрабатываемые Didit, обрабатываются и хранятся с использованием надежных мер безопасности, включая шифрование при передаче и хранении, в соответствии с сертификатами, такими как SOC 2 Type 1 и ISO/IEC 27001. Наше подтверждение правительством государства-члена ЕС о том, что мы безопаснее, чем личная проверка, подчеркивает нашу приверженность безопасному обращению с данными.
• Модульный дизайн: благодаря открытому рынку модулей вы можете интегрировать специализированные инструменты, которые могут включать технологии повышения конфиденциальности по мере их развития, такие как будущие поставщики доказательств с нулевым разглашением, гарантируя, что ваши процессы проверки личности остаются современными и ориентированными на конфиденциальность.
• Глобальное покрытие с местным соответствием: работая в более чем 220 странах и территориях, Didit помогает вам ориентироваться в разнообразных нормативно-правовых базах, обеспечивая соответствие ваших процессов проверки личности местным законам о защите данных при соблюдении лучших практик конфиденциальности.

{
  "endpoint": "/verify/identity",
  "method": "POST",
  "body": {
    "module_configs": [
      {
        "module_id": "document_verification",
        "fields_to_extract": ["age_over_18", "country_of_residence"],
        "data_retention_days": 7
      },
      {
        "module_id": "liveness_detection",
        "biometric_template_only": true
      }
    ]
  }
}

Приведенный выше пример JSON иллюстрирует, как вы можете настроить запрос Didit для выполнения проверки личности с сохранением конфиденциальности. Здесь мы явно запрашиваем только age_over_18 и country_of_residence из документа, а не все детали документа, и указываем biometric_template_only для обнаружения живости, чтобы избежать хранения необработанных биометрических данных. Это демонстрирует практическое применение минимизации данных и безопасной обработки биометрических данных в рамках Didit.

Основные выводы

• Проверка личности с сохранением конфиденциальности необходима для баланса между соблюдением нормативных требований и защитой пользовательских данных.
• Минимизация данных является основополагающим принципом, обеспечивающим сбор только необходимых данных.
• Новые технологии, такие как Доказательства с нулевым разглашением (ZKPs) и Децентрализованные идентификаторы (DIDs), предлагают передовые решения для конфиденциальности.
• Безопасная обработка и хранение являются обязательными для конфиденциальных идентификационных данных.
• Гибкая инфраструктура Didit поддерживает модульные, ориентированные на конфиденциальность решения для проверки личности, адаптированные к глобальным нормам.

Часто задаваемые вопросы

Какова основная цель проверки личности с сохранением конфиденциальности?

Основная цель состоит в том, чтобы проверить личность пользователя для выполнения юридических и нормативных обязательств (таких как KYC и AML) при одновременной минимизации сбора, хранения и обмена персональными данными, тем самым защищая конфиденциальность пользователя.

Как Доказательства с нулевым разглашением (ZKPs) способствуют конфиденциальности данных?

ZKPs позволяют пользователю доказать определенный атрибут о себе (например, что ему больше 18 лет), не раскрывая базовую конфиденциальную информацию (например, точную дату рождения) проверяющей стороне, что значительно повышает конфиденциальность.

Можно ли полностью соблюдать правила, сохраняя при этом конфиденциальность?

Да, это возможно. Применяя такие стратегии, как минимизация данных, проверка на устройстве и используя такие технологии, как ZKPs, организации могут соответствовать нормативным требованиям без ущерба для конфиденциальности пользователей. Инфраструктура Didit создана для обеспечения этого баланса.

Каковы риски несоблюдения проверки личности с сохранением конфиденциальности?

Несоблюдение методов сохранения конфиденциальности может привести к увеличению риска утечки данных, несоблюдению правил защиты данных (что приведет к крупным штрафам), подрыву доверия пользователей и потенциальным судебным искам.

Интеграция проверки личности и мошенничества в ваше приложение требует продуманного подхода к конфиденциальности данных. Didit предлагает надежное, гибкое и соответствующее требованиям решение для проверки личности с сохранением конфиденциальности. Наша платформа позволяет проверять личности в более чем 220 странах и территориях с более чем 14 000 типов документов, поддерживая более 48 языков. Вы можете интегрироваться за 5 минут, воспользоваться публичными ценами с оплатой по мере использования без минимальных требований и проводить до 500 бесплатных проверок каждый месяц. Полная проверка личности начинается от 0,30 доллара США, предоставляя эффективный и конфиденциальный способ регистрации и проверки ваших пользователей.

Начните работу с Didit

Didit — это инфраструктура для идентификации и борьбы с мошенничеством — один API, публичные цены с оплатой по мере использования и 500 бесплатных проверок каждый месяц. Добавьте проверку пользователя в свой рабочий процесс и интегрируйтесь за 5 минут.

• Проверка пользователя — узнайте, как это работает и сколько стоит.
• Прочитайте документацию — справочник по API и руководство по интеграции.
• Начните бесплатно — 500 проверок каждый месяц, кредитная карта не требуется.