Cara Mendirikan Perusahaan Identitas Digital, Biometrik atau Otentikasi di UAE

Memverifikasi foto paspor, mencocokkan wajah secara langsung, mengeluarkan kredensial yang dapat digunakan kembali dan menjalankan otentikasi berkelanjutan adalah fungsi yang berbeda, dan satu deskripsi aktivitas komersial pada lisensi dagang tidak membedakan di antara mereka. ICP adalah otoritas federal yang mengeluarkan Emirates ID dan memegang daftar biometrik penduduk; perusahaan yang memeriksa identitas pengguna terhadap sistem tersebut, atau terhadap kredensial yang dibangun di atasnya, menyentuh infrastruktur identitas federal meskipun servernya sendiri tidak pernah menyimpan templat. TDRA mengatur infrastruktur telekomunikasi dan pemerintahan digital, dan perusahaan yang terhubung, mendukung atau bergantung pada skema identitas digital pemerintah lebih dekat dengan mandat tersebut daripada yang menjual produk verifikasi mandiri kepada pelanggan pribadi.

Data biometrik adalah data pribadi saat itu mengidentifikasi satu orang, jadi undang-undang perlindungan data UAE berlaku untuk itu di samping perimeter lain apa pun yang diangkat oleh model bisnis, baik perusahaan menyebut dirinya sebagai vendor teknologi, platform atau layanan. Panduan privasi, persetujuan dan tata kelola data menjelaskan aspek penanganan data lebih dalam; panduan ini tetap pada model identitas dan otentikasi itu sendiri.

Dekrit-Undang-Undang Federal No. 45 Tahun 2021 tentang data pribadi mulai berlaku pada 2 Januari 2022 dan melarang pemrosesan tanpa persetujuan pemilik, kecuali dalam kasus terbatas seperti perlindungan kepentingan publik. UAE Data Office berperan sebagai regulator data federal. Kategori lisensi dan kode kegiatan dari sisi ICP dan TDRA perlu dibaca dari teks resmi terbaru mereka sebelum pengajuan.

Empat model umum, dan masing-masing menempatkan tanggung jawab di tempat yang berbeda.

Pada dua yang pertama, perusahaan UEA biasanya adalah pihak yang melakukan pencocokan, sehingga pertanyaan pelindungan data paling tajam dan pertanyaan TDRA hanya muncul jika ada skema pemerintah yang terlibat. Pada yang ketiga dan keempat, perusahaan dapat menjadi pihak pengandal (relying party) atas kredensial milik pihak lain, tetapi kontrak tetap harus menunjukkan siapa yang menyimpan templat, siapa yang menanggung kerugian atas pencocokan palsu, dan siapa yang bertanggung jawab kepada subjek data. Platform yang menyebut dirinya lapisan teknologi sementara entitas grup memegang penyimpanan biometrik tetap menjawab pertanyaan yang sama, sebagaimana perusahaan data sintetis atau pelatihan model harus menyatakan pihak mana yang melatih dengan data mana.

Tulislah jawaban sebagai transaksi, bukan diagram: ikuti satu verifikasi mulai dari saat pengguna menyajikan dokumen atau wajah hingga hasil mencapai pelanggan, dan sebutkan siapa penyimpan templat, siapa penerbit hasil dan siapa yang bertanggung jawab jika salah.

Bank, pelanggan perusahaan, dan investor melihat melampaui deskripsi aktivitas ke teknologi: siapa yang memiliki model pencocokan, dari mana data pelatihan berasal, dan apakah klaim akurasi dapat dibuktikan daripada hanya dinyatakan.

Perkirakan pertanyaan mengenai:

Paket bukti yang koheren dibangun dari dokumen sumber, bukan dari pitch deck, dan rencana bisnis dan dokumentasi adalah tempat paket itu disusun dalam urutan yang dibaca oleh tim due diligence. Ketika akun itu sendiri adalah penghalang, kesiapan rekening bank perusahaan menyesuaikan berkas yang diterima oleh bank dengan apa yang sebenarnya dilakukan oleh bisnis.

Perusahaan yang menyimpan dan mencocokkan data biometrik membutuhkan orang-orang yang dapat menjalankan pengujian keamanan, menetapkan batas penyimpanan, dan menangani tanggapan ketika ada tantangan terhadap pencocokan, bukan hanya demo teknologi.

Setiap aset berharga sebaiknya berada pada pemilik yang disebutkan namanya: model pencocokan, format kredensial, kontrak pelanggan, dan kumpulan data. Jika induk perusahaan di luar negeri menyimpan model inti atau penyimpanan biometrik di luar UEA, perjanjian antarperusahaan sebaiknya mencakup ruang lingkup, akses, tanggung jawab, dan pengakhiran. Jika kepemilikan itu sendiri berlapis, dengan dana investor, induk asing, atau beberapa tingkat kepemilikan saham, jalur struktur kepemilikan teregulasi dan kompleks dibangun untuk struktur tersebut, dan banyak penyedia identitas menjual kepada pelanggan fintech yang proses onboarding-nya sendiri mengajukan pertanyaan yang sama kembali.