Leitfaden
So gründen Sie ein Unternehmen für digitale Identität, Biometrie oder Authentifizierung in den VAE
Veröffentlicht
Die kurze Antwort
Ein digitales Identitäts-, Biometrie- oder Authentifizierungsunternehmen in den VAE überschreitet mehr als eine Grenze, und kein einzelnes Organ beseitigt all das. Nationale Identität und das biometrische Register der Bevölkerung liegen bei der Federal Authority for Identity, Citizenship, Customs and Port Security (ICP), die die Emirates ID ausstellt; digitale Regierungs- und telekommunikationsnahe Identitätsinfrastruktur, einschließlich Verbindungen zu diesem föderalen Identitätssystem, liegt bei der Telecommunications and Digital Government Regulatory Authority (TDRA); jede Verarbeitung eines Gesichts, Fingerabdrucks oder anderer biometrischer Daten ist ebenfalls eine Verarbeitung personenbezogener Daten, die durch das Datenschutzgesetz der VAE geregelt wird, unabhängig davon, welche andere Grenze gilt. Eine Handelslizenz autorisiert die kommerzielle Tätigkeit, nicht eine dieser drei Fragen. Der Punkt, der am häufigsten den Weg entscheidet, ist, ob das Unternehmen die biometrische Vorlage selbst speichert und abgleicht oder nur ein Übereinstimmungsergebnis ohne Speicherung zurückgibt.
Wo die Regulierungsgrenze liegt
Ein Passfoto zu verifizieren, ein Live-Gesicht abzugleichen, eine wiederverwendbare Berechtigung auszustellen und eine kontinuierliche Authentifizierung durchzuführen, sind unterschiedliche Funktionen, und eine kommerzielle Tätigkeitsbeschreibung auf einer Handelslizenz unterscheidet nicht zwischen ihnen. Die ICP ist die föderale Behörde, die die Emirates ID ausgibt und das biometrische Register der Bevölkerung führt; ein Unternehmen, das die Identität eines Benutzers gegen dieses System prüft oder gegen eine darauf aufgebaute Berechtigung, berührt die föderale Identitätsinfrastruktur, selbst wenn seine eigenen Server niemals eine Vorlage speichern. Die TDRA reguliert Telekommunikations- und digitale Regierungsinfrastruktur, und ein Unternehmen, das sich mit einem digitalen Identitätsschema der Regierung verbindet oder es unterstützt oder darauf angewiesen ist, steht näher an diesem Aufgabenumfang als eines, das ein eigenständiges Verifikationsprodukt an private Kunden verkauft.
Biometrische Daten sind personenbezogene Daten in dem Moment, in dem sie eine Person identifizieren, sodass das Datenschutzgesetz der VAE darauf anwendbar ist, zusammen mit welcher anderen Grenze das Geschäftsmodell auch immer aufwirft, ob das Unternehmen sich selbst als Technologiedienstleister, Plattform oder Service bezeichnet. Der Datenschutz-, Einwilligungs- und Datenverwaltung-Leitfaden behandelt die Datenhandelsseite ausführlicher; dieser Leitfaden bleibt beim Identitäts- und Authentifizierungsmodell selbst.
Das Bundesdekretgesetz Nr. 45 von 2021 über personenbezogene Daten ist am 2. Januar 2022 in Kraft getreten und untersagt die Verarbeitung ohne Einwilligung des Dateninhabers, außer in begrenzten Fällen wie dem Schutz eines öffentlichen Interesses. Das UAE Data Office fungiert als föderale Datenschutzbehörde. Lizenzkategorien und Aktivitätscodes seitens ICP und TDRA sollten vor der Einreichung dem jeweils aktuellen amtlichen Text entnommen werden.
Die Entscheidung, die die Route festlegt: Anbieter, Aussteller oder vertrauende Partei
Vier Modelle sind verbreitet, und jedes setzt die Verantwortlichkeit an einen anderen Ort.
- Eine Dokumenten- und Lebendüberprüfungs-API, die an andere Unternehmen verkauft wird.
- Eine biometrische Authentifizierungsplattform, die Gesichter, Fingerabdrücke oder Stimmen abgleicht.
- Eine wiederverwendbare digitale Berechtigungs-Geldbörse, die ein Kunde woanders vorstellt.
- Ein Identitätsprüfungs- und Betrugspräventionsdienst für Unternehmen, der auf mehreren Quellen basiert.
Bei den ersten beiden ist das Unternehmen in den VAE in der Regel die Partei, die den Abgleich vornimmt, sodass die datenschutzrechtliche Frage am schärfsten ist und die Frage der TDRA nur dann aufkommt, wenn ein staatliches Programm beteiligt ist. Beim dritten und vierten kann das Unternehmen eine vertrauende Partei (Relying Party) auf den Berechtigungsnachweis eines Dritten sein, doch die Verträge müssen dennoch erkennen lassen, wer das Template speichert, wer den Schaden bei einem falschen Treffer trägt und wer gegenüber der betroffenen Person Auskunft gibt. Eine Plattform, die sich als Technologieschicht bezeichnet, während eine Konzerngesellschaft den biometrischen Datenspeicher hält, beantwortet dennoch dieselbe Frage, ähnlich wie ein Unternehmen für synthetische Daten oder Modelltraining angeben muss, welche Partei mit welchen Daten trainiert.
Schreiben Sie die Antwort als Transaktion, nicht als Diagramm: Folgen Sie einer Verifikation vom Moment an, in dem ein Benutzer ein Dokument oder ein Gesicht präsentiert, bis zum Ergebnis, das dem Kunden erreicht, und nennen Sie, wer die Vorlage speichert, wer das Ergebnis ausstellt und wer haftet, wenn es falsch ist.
Bankwesen und Unternehmenskunden-Bereitschaft
Banken, Geschäftskunden und Investoren blicken über die Tätigkeitsbeschreibung hinaus auf die Technologie: wem das Abgleichmodell gehört, woher die Trainingsdaten stammen und ob Genauigkeitsansprüche bewiesen werden können, anstatt nur behauptet zu werden.
Erwarten Sie Fragen zu:
- den Datenfluss und die biometrische Vorlagenarchitektur, von Anfang bis Ende;
- Quellen- und Partnergenehmigungen hinter jeder Identitätsüberprüfung durch Dritte;
- Genauigkeits-, Bias- und Live-Testnachweise für das Abgleichmodell;
- das Sicherheits-, Aufbewahrungs- und Benutzerentschädigungsrahmen, wenn ein Abgleich bestritten wird.
Ein kohärentes Beweispaket wird aus Quelldokumenten aufgebaut, nicht aus einem Pitchdeck, und Geschäftspläne und Dokumentation ist der Ort, an dem dieses Paket in der Reihenfolge zusammengestellt wird, in der ein Due-Diligence-Team es liest. Wo das Konto selbst der Blocker ist, gleicht die Bereitschaft für ein Firmenbankkonto die Datei, die die Bank erhält, mit dem ab, was das Unternehmen tatsächlich tut.
Eigentümerstruktur, Substanz und die Rollen, die das Modell braucht
Ein Unternehmen, das biometrische Daten speichert und abgleicht, benötigt Personen, die Sicherheitstests durchführen können, Aufbewahrungsgrenzen festlegen und die Verantwortung übernehmen, wenn ein Abgleich angefochten wird, nicht nur eine Technologie-Demonstration.
Jeder wertvolle Vermögenswert sollte einem benannten Inhaber zugeordnet sein: das Abgleichsmodell, das Format des Berechtigungsnachweises, der Kundenvertrag und der Datensatz. Hält eine ausländische Muttergesellschaft das Kernmodell oder den biometrischen Datenspeicher außerhalb der VAE, sollte die konzerninterne Vereinbarung Umfang, Zugriff, Haftung und Beendigung regeln. Ist die Eigentümerstruktur selbst mehrstufig, mit Investorengeldern, einer ausländischen Muttergesellschaft oder mehreren Beteiligungsebenen, ist der Weg der regulierten und komplexen Eigentümerstruktur genau für diese Struktur gedacht, und viele Identitätsanbieter beliefern Fintech-Kunden, deren eigenes Onboarding dieselben Fragen zurückstellt.
Was häufig schiefgeht
- Aufbewahrung von Rohidentitätsdokumenten oder biometrischen Vorlagen ohne definiertes Aufbewahrungslimit.
- Darstellung einer Abgleichswertung als Nachweis der rechtlichen Identität anstelle eines Signals in einer Entscheidung, die ein Mensch weiterhin besitzt.
- Fehler beim Design für einen falschen Abgleich, ein Liveness-Versagen oder die Anfechtung und den Einspruch eines Benutzers.
- Unterdokumentieren der Beziehung zwischen Identitätsquelle und Schema-Eigentümer, sodass niemand sagen kann, wer verantwortlich ist, wenn etwas schief geht.
- Vergleichen von Gründungspreisen, bevor die biometrische Daten-Grenze überhaupt getestet wurde.
