La plupart des questions sur la vérification d’identité sont en réalité des questions de conservation. Non pas si le contrôle fonctionne, mais où finit la photo du passeport et qui peut encore l’atteindre l’année prochaine.
La minimisation des données, appliquée à un passeport
Le RGPD demande deux choses qui semblent abstraites tant qu’on ne les applique pas à un document d’identité : ne collecter que ce que la finalité exige, et ne le garder que le temps qu’elle l’exige. Contrôler un passeport demande l’image pendant quelques secondes. Prouver ensuite que le contrôle a eu lieu demande une trace du résultat, pas l’image. L’architecture ci-dessous suit cette ligne à la lettre.
Une seule vérification passe par trois endroits. Chacun a un rôle différent, et chacun rend le document.
L’appareil
La capture a lieu là où se trouve la personne : un téléphone, une borne, un thin client au guichet. L’appareil lit le document, contrôle les éléments de sécurité qu’il peut contrôler seul, et ne garde l’image que pendant le contrôle.
Rien n’est écrit dans le stockage de l’appareil. Quand la session se ferme, l’image part avec elle.
Le cloud
Ce que l’appareil ne peut pas trancher seul voyage chiffré vers la couche de traitement, qui compare le document à la référence de son type et de son pays, et le visage au document.
Cette couche est un passage, pas une armoire. Elle détient les données le temps de la requête et les libère dès que la réponse est produite.
L’image est une preuve pendant le contrôle et un risque après. Seul le résultat mérite d’être conservé.
La trace d’audit
Ce qui subsiste, c’est la trace : quels contrôles ont tourné, ce que chacun a renvoyé, quand, et face à quelle référence. C’est ce que lit votre équipe conformité et ce qu’un régulateur demande.
Elle ne contient aucune image de document. Une trace qui devrait porter la photo du passeport pour être utile remettrait le risque exactement là où tout le reste de cette architecture l’a retiré.
Pourquoi cette séparation
Parce que les trois endroits échouent différemment. Un appareil perdu, un serveur compromis et une archive divulguée sont trois incidents distincts, et une architecture qui garde le document dans les trois transforme n’importe lequel en même titre de presse.
Ne garder le document dans aucun des trois, c’est laisser chaque incident rester ce qu’il est. Un appareil perdu est un problème de matériel. Un serveur compromis détient des requêtes en cours, chiffrées, et rien de l’an dernier. Une archive divulguée contient des résultats et des horodatages, pas des passeports.
Comment il circule entre eux
Toutes les données personnelles et biométriques sont chiffrées au repos et en transit. La capture quitte l’appareil déjà chiffrée, rejoint la couche de traitement dans un environnement AWS durci, et la réponse revient de la même façon. À aucun moment l’image ne traverse un réseau en clair.
Les questions auxquelles votre équipe peut répondre
- Où est l’image du passeport du client ? Nulle part, une fois le contrôle revenu.
- Qu’avons-nous contrôlé, et quand ? La trace d’audit, avec la référence utilisée par chaque contrôle.
- Que se passe-t-il si un appareil de guichet est volé ? Il ne détient rien à perdre.
- Qui peut atteindre les vérifications de l’an dernier ? Seulement les traces, jamais les documents.
Les questions sur le devenir des données
247IQ garde-t-il une copie de l’image du passeport ?
Non. L’image existe sur l’appareil pendant la capture et dans la couche de traitement pendant la requête. Une fois le verdict renvoyé, seule la trace d’audit subsiste, et elle ne contient aucune image de document.
Les données sont-elles chiffrées ?
Toutes les données personnelles et biométriques sont chiffrées au repos et en transit, du moment de la capture à celui où la réponse revient.
Où le traitement a-t-il lieu ?
Côté serveur, dans un environnement AWS durci. Les appareils au guichet, en borne et dans la main du client ne font que capturer et chiffrer.
Que peut voir un auditeur ensuite ?
Quels contrôles ont tourné, ce que chacun a renvoyé, quand, et face à quelle référence. C’est la preuve qu’une revue de conformité demande, sans les données personnelles qu’une fuite exposerait.