Come costituire un'azienda di identità digitale, biometria o autenticazione negli Emirati Arabi Uniti

Verificare una foto del passaporto, confrontare un volto dal vivo, emettere un documento riutilizzabile e gestire l'autenticazione continua sono funzioni diverse, e una descrizione di attività commerciale su una licenza commerciale non distingue tra esse. L'ICP è l'autorità federale che emette l'Emirates ID e detiene il registro biometrico della popolazione; una società che verifica l'identità di un utente contro quel sistema, o contro un documento costruito su di esso, tocca l'infrastruttura federale di identità anche se i suoi server non memorizzano mai un modello. La TDRA regola l'infrastruttura delle telecomunicazioni e del governo digitale, e una società che si connette, supporta o si basa su un programma di identità digitale governativa si avvicina a quel compito più di una che vende un prodotto di verifica autonomo a clienti privati.

I dati biometrici sono dati personali nel momento in cui identificano una persona, quindi la legge sulla protezione dei dati degli Emirati Arabi Uniti si applica a essa insieme a qualunque altro perimetro sollevato dal modello di business, sia che la società si definisca un fornitore di tecnologia, una piattaforma o un servizio. La guida alla privacy, consenso e gestione dei dati spiega in maggiore dettaglio la gestione dei dati; questa guida si concentra sul modello di identità e autenticazione stesso.

Il Decreto-legge federale n. 45 del 2021 sui dati personali è entrato in vigore il 2 gennaio 2022 e vieta il trattamento senza il consenso del titolare, salvo in casi limitati come la tutela di un interesse pubblico. L'UAE Data Office opera come autorità federale per i dati. Le categorie di licenza e i codici di attività lato ICP e TDRA vanno letti dal loro testo ufficiale vigente prima della presentazione.

Quattro modelli sono comuni, e ciascuno colloca la responsabilità in un luogo diverso.

Nei primi due casi la società degli EAU è di solito la parte che effettua il confronto, quindi la questione della protezione dei dati è la più delicata e la questione della TDRA si pone solo se è coinvolto un programma governativo. Nel terzo e nel quarto la società può essere una parte che si affida (relying party) alle credenziali di un altro, ma i contratti devono comunque indicare chi conserva il template, chi sopporta la perdita in caso di falso riscontro e chi risponde all'interessato. Una piattaforma che si definisce livello tecnologico mentre un'entità del gruppo detiene l'archivio biometrico risponde comunque alla stessa domanda, così come una società di dati sintetici o di addestramento di modelli deve dire quale parte addestra su quali dati.

Scrivi la risposta come una transazione, non come un diagramma: segui una verifica dal momento in cui un utente presenta un documento o un volto fino a quando il risultato raggiunge il cliente, e indica chi memorizza il modello, chi rilascia il risultato e chi è responsabile se è sbagliato.

Banche, clienti aziendali e investitori guardano oltre la descrizione dell'attività alla tecnologia: chi possiede il modello di corrispondenza, da dove provengono i dati di formazione e se le affermazioni di accuratezza possono essere dimostrate piuttosto che affermate.

Aspettarsi domande su:

Un pacchetto di prove coerente è costruito a partire da documenti sorgente, non da una presentazione, e piani aziendali e documentazione è dove si assembla quel pacchetto nell'ordine in cui un team di due diligence lo legge. Quando è il conto stesso a bloccare, preparazione del conto bancario societario riconcilia il dossier che la banca riceve con ciò che l'attività effettivamente fa.

Un'azienda che memorizza e confronta dati biometrici ha bisogno di persone in grado di eseguire test di sicurezza, stabilire limiti di conservazione e gestire la risposta quando un confronto viene contestato, non solo una dimostrazione tecnologica.

Ogni bene di valore dovrebbe fare capo a un titolare indicato: il modello di confronto, il formato delle credenziali, il contratto con il cliente e il set di dati. Quando una capogruppo estera mantiene il modello centrale o l'archivio biometrico fuori dagli EAU, l'accordo infragruppo dovrebbe coprire ambito, accesso, responsabilità e cessazione. Quando la titolarità è a sua volta stratificata, con fondi di investitori, una capogruppo estera o più livelli di partecipazione, il percorso della struttura proprietaria regolamentata e complessa è pensato per quella struttura, e molti fornitori di identità vendono a clienti fintech il cui onboarding pone a sua volta le stesse domande.