Mögliche rechtliche Probleme bei der Speicherung von Sozialversicherungsnummern (SSNs/SINs)?

Question

Ein Kunde, der unser System nutzt, hat darum gebeten, dass wir die Sozialversicherungsnummern (SSNs/SINs) der Endnutzer in unserer Datenbank speichern. Derzeit speichern wir nur minimale Informationen über die Benutzer (Name, E-Mail-Adresse und optional das Land), so dass ich mir keine allzu großen Sorgen über einen Sicherheitsverstoß mache. Ich habe jedoch den Verdacht, dass es rechtliche Probleme geben könnte, wenn wir die SSN speichern und keine "angemessenen" Maßnahmen zu ihrer Sicherung ergreifen (da ich aus Australien komme, ist dies meine erste Begegnung mit diesen Themen). Ist diese Sorge berechtigt?

Auf der Wikipedia-Seite über SINs (Kanadas Äquivalent zu SSNs) habe ich auch gelesen, dass sie NUR verwendet werden sollten, wenn es absolut notwendig ist, und auf keinen Fall als allgemeine Identifikationsnummer oder ähnliches verwendet werden sollten.

Gibt es in diesem Zusammenhang möglicherweise rechtliche Probleme? Haben Sie irgendwelche Empfehlungen?

Answer 1

Die grundlegende Empfehlung wäre folgende:

• Informieren Sie die Nutzer darüber, dass Sie ihre SSN speichern, bevor sie Ihre Website/Anwendung nutzen. Da das Ersuchen offenbar darauf abzielt, die Informationen zu sammeln im Nachhinein Die Benutzer sollten die Möglichkeit haben, Ihr System zu verlassen, bevor sie sich anmelden oder ihre SSN eingeben.
• Geben Sie eine rechtliche Garantie ab, dass Sie die oben genannten Informationen nicht weitergeben, verkaufen oder anderweitig verbreiten werden (natürlich zusammen mit anderen persönlichen Informationen)
• Lassen Sie sie ein Kästchen ankreuzen, in dem sie bestätigen, dass sie wissen, dass Sie ihre SSN wirklich speichern.

aber der wichtigste Teil wäre wohl der:

• Beauftragen Sie einen Anwalt, der sich mit Rechtsfragen im Internet auskennt

Answer 2

Das Lustige an SSNs ist, dass in dem Gesetz, mit dem sie eingeführt wurden, auch klar festgelegt wurde, wofür sie verwendet werden dürfen (im Wesentlichen für Steuerunterlagen, Rentenleistungen usw.) und wofür sie nicht verwendet werden dürfen - für alles andere.

Die Tatsache, dass die Bank Ihre SSN verlangt, um ein Girokonto zu eröffnen, dass Ihr Internetanbieter sie für einen Hochgeschwindigkeits-Internetzugang verlangt, dass Fluggesellschaften sie verlangen, bevor sie Sie ins Flugzeug lassen, dass Ihr örtliches Lebensmittelgeschäft oder Ihre Kneipe eine Kartei mit Ihrer SSN führt - das ist alles illegal . Schockierend, nicht wahr...
Die ganze Aufregung um den Identitätsdiebstahl und die Leichtigkeit, mit der er dank eines einzigen, ungeschützten "Geheimnisses", das Sie "eindeutig" identifiziert, begangen werden kann (ganz zu schweigen davon, dass es manchmal als Authentifizierung ) - hätte niemals ermöglicht werden dürfen.

Answer 3

Einige gute Warnungen wurden hier bereits ausgesprochen.

Ich möchte nur hinzufügen, dass es bei den SIN-Codes (Kanadas Sozialversicherungsnummer) meines Erachtens möglich ist, dass es zu Kollisionen zwischen einer SIN und einer SSN kommt (mit anderen Worten: dieselbe Nummer, aber zwei verschiedene Personen/Länder). Das sollte nicht überraschen, da es sich um getrennte Kodierungssysteme handelt, aber ich kann mir vorstellen, dass einige Personen bei der Dateneingabe dazu neigen, eine SIN in ein SSN-Feld einzutragen und umgekehrt (z. B. internationale Studenten an der Universität - ein befreundeter DBA hat mir erzählt, dass er das schon erlebt hat).

Ein bestimmtes Informationssystem kann so konzipiert sein, dass es keine Duplikate zulässt, und so oder so können Sie verstehen, warum es zu Verwirrung und Problemen mit der Datenintegrität kommen kann (Verwendung einer SSN-Spalte als eindeutiger Schlüssel? Hmm).

Answer 4

Viel zu viele Organisationen in den USA verwenden SSNs als eindeutige Identifikatoren für Personen, obwohl die Probleme mit ihnen gut dokumentiert sind. Sofern Ihre Anwendung nicht tatsächlich etwas mit staatlichen Leistungen zu tun hat, gibt es keinen guten Grund für Sie, SSNs zu speichern.

Angesichts der Tatsache, dass so viele Organisationen sie (fälschlicherweise) zur Identifizierung von Personen für Dinge wie Kreditprüfungen verwenden, müssen Sie wirklich vorsichtig damit sein. Mit nichts weiter als dem Namen, der Adresse und der Sozialversicherungsnummer einer Person ist es ziemlich einfach, unter deren Namen einen Kredit zu bekommen und ihre Identität zu stehlen .

Die rechtlichen Probleme liegen in der Gefahr, bei jeder Weitergabe von personenbezogenen Daten, die SSNs enthalten, bis zur Unkenntlichkeit verklagt zu werden.

Answer 5

An meiner Stelle würde ich sie meiden wie die Pest oder mir eine sehr sichere Methode zur Aufbewahrung überlegen. Außerdem (ich bin zwar kein Rechtsexperte, aber ) sollten Sie irgendwo schriftlich festhalten, dass Sie in keiner Weise verantwortlich sind, wenn etwas davon nach außen dringt.