الشرطة، مكاتب التأجير، أصحاب العمل، شركات التأمين: لماذا يجب ألا يطّلعوا على نفس البيانات

أكبر خطأ في تصميم تصريح القيادة الدولي (IDP) المستقبلي هو معاملة كل جهة تحقق كأنها نفس الجهة. ضابط الشرطة، ومكتب تأجير السيارات، وصاحب العمل، وشركة التأمين — لا يطرح أيٌّ منهم السؤال ذاته، لذا يجب ألا يحصلوا على الإجابة ذاتها.

سائق واحد. حق قيادة واحد. محفظة بيانات واحدة. لكن أربع جهات تحقق مختلفة تمامًا:

• ضابط شرطة على قارعة الطريق
• مكتب تأجير سيارات عند الاستلام
• صاحب عمل يتحقق من أهلية استخدام المركبات
• شركة تأمين تراجع مطالبة

إذا عرض تصريح القيادة الدولي المستقبلي البيانات ذاتها على هؤلاء الأربعة، فقد فشل النظام مسبقًا. ليس لأن الوثيقة غير آمنة، بل لأن نموذج الإفصاح أبسط من اللازم.

يتجه مجتمع المعايير بالفعل بعيدًا عن هذا النموذج المبسّط. يصف عمل W3C حول الوثائق القابلة للتحقق المنظومةَ البيئية للمُصدِرين والحاملين والمُتحقِّقين، مستخدمًا أصحاب العمل والمواقع الإلكترونية أمثلةً على المتحققين. ويعامل عمل الاتحاد الأوروبي على رخصة القيادة للهاتف المحمول فحوصات الطريق وتأجير السيارات بالفعل بوصفها سيناريوهات تحقق منفصلة، تشمل المشاركة المسبقة عن بُعد للإيجار والفحوصات الشخصية للشرطة. فالبنية التحتية مصممة أصلًا لأنواع متعددة من المتحققين. الخطأ الذي يجب تجنبه هو تصميم تجربة المستخدم كأن نوعًا واحدًا فحسب هو الموجود.

لماذا دربتنا البطاقة المادية على التفكير الخاطئ

علّمتنا رخصة القيادة المادية نهجَ “اعرض كل شيء”. تُسلِّم البطاقة، فيرى الطرف الآخر ما عليها. هذا هو التفاعل بأكمله.

هذا النهج مقبول في عالم ورقي لأنه لا بديل له. لكنه يصبح غير مقبول في العالم الرقمي.

تنص وثيقة W3C VC Data Model 2.0 صراحةً: قد تحتوي رخصة القيادة على رقم الهوية والطول والوزن وتاريخ الميلاد وعنوان المنزل — لكن ذلك لا يزال أكثر بكثير مما تستلزمه معاملة بعينها. أبرز ما تقوله المعايير الحالية:

• أفضل ممارسات W3C: دعم الإفصاح الانتقائي، وطلب ما هو ضروري حصرًا
• توجيهات حماية البيانات في الاتحاد الأوروبي: يجب تقييد المعالجة بأغراض محددة، وأن تكون البيانات المُعالَجة ضرورية ومتناسبة
• المبدأ الأول لتصريح القيادة الدولي المستقبلي: الوثيقة الموحدة لا تعني حق الاطلاع الموحد

النموذج الصحيح هو الإفصاح القائم على السياسات

إذا أردت بنية تحتية جادة، فالنموذج الصحيح أقرب إلى التحكم في الوصول القائم على السمات منه إلى تقديم بطاقة رقمية.

تُعرِّف NIST SP 800-205 قرارات التحكم في الوصول بأنها تقييمات للسمات المرتبطة بالموضوع والكائن والعملية المطلوبة وشروط البيئة، وفق السياسة. وهذا هو الهيكل الصحيح تمامًا لتصريح القيادة الدولي المستقبلي:

• الموضوع: السائق
• الكائن: حقول البيانات المطلوبة
• الإجراء: ليس “الاطلاع على الرخصة” بشكل مجرد، بل شيء محدد كـ “التحقق من حق قيادة الفئة B على الطريق” أو “التحقق من أهلية الإيجار لحجز معين”
• البيئة: الطريق، ومكتب الإيجار، والفحص المسبق عن بُعد، وتسجيل الأسطول، ومراجعة المطالبة بعد الخسارة — بيئات مختلفة ينبغي أن تفضي إلى قرارات مختلفة

تشير NIST أيضًا إلى أن أنظمة السمات تحتاج إلى دقة تفصيلية وحوكمة وآليات لتقليص السمات وتجميعها وتقليلها.

لذا يجب ألا يسأل تصريح القيادة الدولي المستقبلي: هل يمكن لهذا المتحقق قراءة الرخصة؟ بل يجب أن يسأل: أي ادعاءات يجوز لهذا المتحقق الحصول عليها، ولأي غرض مقصود، وفي أي بيئة، وبأي قواعد احتفاظ؟

يجب على المتحقق إثبات هويته قبل طلب أي شيء

لا ينبغي أن يبدأ تصريح القيادة الدولي المستقبلي بعرض المحفظة للبيانات. يجب أن يبدأ بإثبات المتحقق لهويته.

بنية EUDI واضحة في هذا الشأن. يجب على الأطراف المعتمدة أن:

• تسجّل السمات التي تعتزم طلبها والغرض منها
• تحصل على شهادات وصول
• تُثبت هويتها للمحفظة قبل أي إفصاح
• يُتحقق منها وفق النطاق المسجل، حيث تتوفر معلومات التسجيل

يستطيع المستخدم عندئذٍ أن يرى من يطلب، وماذا يطلب، وما إذا كان الطلب ضمن النطاق المسجل.

يجعل عمل ETSI الحالي على شهادات الأطراف المعتمدة للمحافظ ذلك أكثر وضوحًا. يمكن لشهادة تسجيل الطرف المعتمد في المحفظة أن تصف الغرض المقصود للطرف المعتمد والسمات التي سجّلها للطلب. وتوجد شهادة الوصول المرتبطة لضمان أن الطلب يأتي من جهة مشروعة ومخوّلة. تتضمن ETSI أيضًا بيانات وصفية للطرف المعتمد مثل:

• الاسم التجاري
• عنوان URI للدعم
• الغرض المقصود
• الصلاحيات
• عنوان URI للسجل
• معلومات الجهة الرقابية

المبدأ الثاني لتصريح القيادة الدولي المستقبلي: لا هوية للمتحقق، لا إفصاح.

لماذا شاشات الموافقة غير كافية

ثمة خطأ آخر هنا: معاملة موافقة المستخدم كأنها مكافئة للشرعية القانونية.

تنص بنية EUDI صراحةً على أن موافقة المستخدم على تقديم السمات لا يجوز اعتبارها أساسًا قانونيًا لمعالجة البيانات الشخصية من قِبَل الطرف المعتمد. يجب أن يمتلك الطرف المعتمد أساسه القانوني المشروع الخاص به. كما تشترط EUDI موافقة المستخدم في جميع حالات الاستخدام، بما فيها الحالات التي قد يكون فيها الطرف المعتمد جهة إنفاذ قانون أو وكالة حكومية أخرى.

يمكن لواجهة محفظة جيدة أن تساعد، لكنها لا تستطيع وحدها حل مشكلة تجاوز المتحقق. يجب أن توجد القاعدة قبل الواجهة.

لذا يحتاج تصريح القيادة الدولي المستقبلي إلى كليهما:

• مصادقة تشفيرية للمتحقق لتأكيد هوية الطالب
• قيود سياسية على ما يجوز لفئة المتحقق طلبه

بدون كليهما، يصبح “خيار المستخدم” وسيلةً لتحميل الفرد عواقب إخفاق السياسات.

1. الشرطة: التحقق من حق القيادة، لا من الشخص بأكمله

سيناريو الشرطة على الطريق هو الأكثر تركيزًا.

يصفه دليل رخصة القيادة للهاتف المحمول في الاتحاد الأوروبي مباشرةً: تتحقق الشرطة أو المسؤولون الآخرون من الرخصة عند الاقتضاء، بما في ذلك صلاحية الرخصة وتصاريح المركبات. في مسار المستخدم، يتحقق الضابط من الرخصة عبر تدفق مُشغَّل بكود QR، أو البلوتوث، أو Wi-Fi Aware، أو NFC. وهذه مهمة تحقق محددة:

• هل هذا الشخص هو حامل الوثيقة؟
• هل الوثيقة سارية؟
• ما تصاريح المركبات والقيود المطبّقة؟

مسموح به افتراضيًا:

• الاسم
• الصورة الشخصية
• حالة الرخصة
• تواريخ الإصدار والانتهاء
• الفئات
• القيود المتعلقة بالقيادة
• الجهة المُصدِرة والولاية القضائية
• نتيجة الحداثة/الحالة

غير مسموح به افتراضيًا:

• عنوان المنزل
• المعرّفات الداخلية غير المطلوبة للاستخدام على الطريق
• السمات غير ذات الصلة من تصديقات أخرى
• سجلات التقديم التاريخية
• البيانات الوصفية التجارية

يؤكد إرشاد التنفيذ الصادر عن AAMVA نقطة الصورة الشخصية: إذا طُلبت الصورة الشخصية وأُفصح عن أي عنصر آخر، ينبغي مشاركة الصورة حتى يتمكن المتحقق من ربط البيانات بالشخص المُقدِّم لها. يقول الإرشاد ذاته أيضًا إنه لا يجوز لأصحاب المصلحة تتبع حاملي رخصة القيادة للهاتف المحمول أو استخدامها إلا حيثما تقتضيه القوانين.

حالة الشرطة لا تتعلق بحصول الدولة على كل شيء. بل تتعلق بحصولها على البيانات الخاصة بالقيادة اللازمة لإنفاذ قواعد الطريق. وهذا فرق جوهري.

2. مكاتب التأجير: الأهلية وتطابق الهوية ولا شيء زائدًا

حالة الإيجار أكثر تفصيلًا لأن ثمة لحظتين فعليًا: الفحص المسبق عن بُعد قبل الوصول، والاستلام عندما يُسلِّم شخص أو كشك المفاتيح.

يُنمذِج دليل رخصة القيادة للهاتف المحمول في الاتحاد الأوروبي كلتيهما بالفعل. قد تطلب خدمة تأجير السيارات رخصة القيادة للهاتف المحمول إلى جانب إثبات الهوية أثناء الحجز، وتتحقق من التصديقات، ثم تتحقق من العميل شخصيًا عند الاستلام قبل تسليم المركبة. يمكن للمستخدمين مشاركة رخصة القيادة للهاتف المحمول مع شركات تأجير السيارات إما شخصيًا أو عن بُعد مسبقًا.

لا تحتاج شركة الإيجار في المقام الأول إلى التحقيق في حادثة. تحتاج إلى اتخاذ قرار: هل يمكنني تأجير هذه المركبة لهذا العميل بموجب هذا الحجز وهذه السياسة؟

ينبغي أن يتضمن الفحص المسبق عن بُعد:

• ربط الهوية
• الصورة الشخصية أو عنصر ربط هوية مكافئ
• فئة المركبة ذات الصلة
• تواريخ الإصدار والانتهاء
• الصلاحية الحالية
• ربما عتبة العمر أو نطاق العمر

ينبغي أن يؤكد الاستلام:

• أن الحامل هو الشخص ذاته الذي أتم الفحص المسبق
• الصلاحية الحالية
• التصاريح ذات الصلة

غير مطلوب افتراضيًا:

• العنوان الكامل للمنزل حين يحتوي ملف الحجز بالفعل على بيانات الاتصال
• تاريخ الميلاد الكامل حيث يكفي التحقق من تجاوز العمر أو نطاقه
• سمات الهوية غير ذات الصلة
• إعادة تقديم الوثيقة الكاملة مرارًا إذا كانت تصديقة الحجز موجودة بالفعل

تُظهر بنية رخصة القيادة للهاتف المحمول الحالية الصادرة عن NIST أن الطرف المعتمد يستخدم DCQL لطلب السمات المطلوبة فحسب، وتنص صراحةً على أن ذلك يدعم تقليل البيانات وموافقة الحامل عبر هيكلة الطلب بدلًا من معاملة الوثيقة وحدةً واحدة. تضيف AAMVA أن التطبيق ينبغي أن يُظهر بوضوح البيانات التي طُلبت وما إذا كان المتحقق يعتزم الاحتفاظ بها.

3. أصحاب العمل: فئة متحققين، لا بوابة نحو الهوية الكاملة

يستخدم نظرة عامة على W3C نظامًا رقميًا لصاحب عمل يتحقق من شهادة جامعية مثالًا على المتحقق. يذكّرنا ذلك بأن التحقق من صاحب العمل هو نمط معترف به بالفعل في منظومات الوثائق الرقمية.

قد يحتاج صاحب العمل أو مشغّل الأسطول بشكل مشروع إلى معرفة:

• ما إذا كان العامل مؤهلًا حاليًا لقيادة فئات معينة من المركبات
• ما إذا كانت ثمة قيود رئيسية
• ما إذا كان التأهيل لا يزال ساريًا

هذه حاجة تجارية حقيقية. لكنها لا تبرر تلقائيًا الوصول الدائم إلى وثيقة القيادة بالكامل، أو بيانات الهوية الكاملة، أو تيارًا متواصلًا من التقديمات المتكررة.

تحذر NIST من أن الإرسال المتكرر لمعرّف قابل لإعادة الاستخدام وتعويد المستخدمين على تقديم وثيقة تحمل الهوية بصفة منتظمة أمر غير مرغوب فيه، وتقول إن المصادقة اليومية ينبغي أن تعتمد على تقنيات مُصمَّمة للمصادقة كمفاتيح المرور. تفضّل NIST المصادقة المحلية على الجهاز على المطابقة البيومترية من جانب الخادم لأنها تصون الخصوصية بصورة أفضل.

يجب ألا يتحول تصريح القيادة الدولي المستقبلي إلى بطاقة دخول لمكان العمل.

للاستخدام من قِبَل أصحاب العمل والأساطيل، النمط الصحيح عادةً هو:

• التحقق من أهلية ذات الصلة بالوظيفة
• ربما تصديق امتثال دوري
• ربما مطالبة بأن الحامل لا يزال مؤهلًا للفئات المحددة
• لكن ليس نقلًا افتراضيًا لجميع بيانات الرخصة في كل مرة يسجّل فيها الموظف دخوله لنظام ما أو يبدأ وردية عمله

امتثال الأسطول فئة منفصلة من الأطراف المعتمدة، بغرض مقصود منفصل، وملف إفصاح منفصل.

4. شركات التأمين: المطالبات ليست إذنًا برؤية مستمرة

حالة التأمين غالبًا ما تكون حقيقية. في مواد حالات استخدام رخصة القيادة للهاتف المحمول في الاتحاد الأوروبي، تظهر شركات التأمين بصورة غير مباشرة في سيناريو الإيجار: تشترط شركات التأمين على شركات تأجير السيارات التحقق مما إذا كان الشخص المستأجر للسيارة يحق له القيادة. يؤثر التأمين بالفعل على تدفق التحقق من القيادة.

لكن ذلك لا يعني أن شركة التأمين ينبغي أن تحصل على البيانات ذاتها التي تحصل عليها الشرطة، أو حقًا دائمًا للوصول إلى الوثيقة.

ينبغي لتصريح القيادة الدولي المستقبلي أن يعامل شركات التأمين كفئة منفصلة من المتحققين بأغراض مقصودة منفصلة:

• الاكتتاب
• التحقق من مخاطر الإيجار
• معالجة مطالبات ما بعد الخسارة
• مراجعة الاحتيال

هذه ليست الغرض ذاته. بموجب مبادئ حماية البيانات في الاتحاد الأوروبي، يجب جمع البيانات الشخصية لأغراض محددة ومحدودة بما هو ضروري ومتناسب مع تلك الأغراض. يصل توجيه W3C للوثائق القابلة للتحقق إلى الاستنتاج ذاته تقنيًا: ينبغي للمتحققين طلب ما هو ضروري حصرًا.

أمثلة مشروعة خاصة بالحدث:

• إثبات صلاحية الرخصة في اللحظة ذات الصلة
• إثبات التأهيل للمركبة ذات الصلة
• إثبات ربط الهوية حيثما يكون ضروريًا لمطالبة
• الإفصاح الخاص بالمطالبة

غير مسموح به افتراضيًا:

• الوصول المستمر إلى الوثيقة الأساسية
• التحقق العام المتكرر في كل مرة يتفاعل فيها العميل مع شركة التأمين
• استخدام وثيقة القيادة كرمز تسجيل دخول
• جمع سمات غير ذات صلة

وثيقة القيادة ليست اشتراكًا في المراقبة. ويجب ألا تتحول إلى ذلك بصمت.

لماذا يجب أن تكون الوسطاء مرئيين

تنطوي الأسواق الحقيقية على وسطاء. كثيرًا ما تعمل منصات الإيجار وموردو الأساطيل وأنظمة الموارد البشرية لدى أصحاب العمل ومعالجو مطالبات التأمين عبر أطراف ثالثة.

تعالج بنية EUDI ذلك من خلال:

• معاملة الوسطاء كأطراف معتمدة
• إلزامهم بالتسجيل
• إلزام السمات المطلوبة للطرف المعتمد المُوسَّط بأن تكون مسجّلة
• إظهار الوسيط والطرف المعتمد النهائي كليهما للمستخدم
• منع الوسطاء من تخزين بيانات تتعلق بمحتوى المعاملة

لا ينبغي أبدًا لتصريح القيادة الدولي المستقبلي أن يتيح نمطًا يعتقد فيه المستخدم أنه يُفصح للشركة المؤجِّرة، بينما في الواقع يُفصح لسلسلة غير مرئية مكونة من وسيط تحقق وجهة معالجة بيانات تحليلية وبائع مطالبات.

تُسهم ETSI في هذا الشأن. يتضمن نموذج شهادة الطرف المعتمد في المحفظة لديها عناوين URI للدعم والغرض المقصود وعناوين URI للسجل وبيانات وصفية للجهة الرقابية. هذا هو نوع البنية التحتية القابلة للقراءة آليًا الذي يحتاجه المستخدمون لفهم هوية الجهة الفعلية في الطرف الآخر من الطلب وكيفية التواصل معها عند الرغبة في الحذف أو التصحيح.

الاحتفاظ جزء من التحكم في الوصول

معظم النقاشات حول الإفصاح الانتقائي تنتهي مبكرًا جدًا. تركّز على ما يُفصح عنه. ولا تركّز بما يكفي على المدة التي يبقى فيها الإفصاح بعد ذلك.

التوجيهات الحالية تتقارب بالفعل:

• AAMVA: يجب على المحفظة أن تُخبر الحامل بوضوح بالبيانات التي طُلبت وما إذا كان المتحقق يعتزم الاحتفاظ بها؛ ولا يجوز لأصحاب المصلحة تتبع الحاملين أو استخدام رخصة القيادة للهاتف المحمول إلا حيثما تقتضيه القوانين
• W3C: ينبغي لبرامج الحامل توفير سجلات بالمعلومات المشاركة مع المتحققين، حتى يمكن تحديد الطلبات المفرطة
• EUDI: يجب أن يتمكن المستخدمون من الوصول إلى سجلات المعاملات، والإبلاغ عن الطلبات المشبوهة، وطلب الحذف

ينبغي أن تكون فئة الاحتفاظ جزءًا من سياسة الإفصاح ذاتها:

• الشرطة على الطريق: لا احتفاظ افتراضيًا إلا ضمن السجلات التشغيلية القانونية
• الفحص المسبق للإيجار: سجل المعاملة مرتبط بالحجز، وليس نسخة هوية قابلة لإعادة الاستخدام
• امتثال أسطول صاحب العمل: سجل امتثال أو نتيجة تصديق، لا بيانات الوثيقة الخام
• مطالبة التأمين: سجل المطالبة مقيّد بالمطالبة، ولا وصول دائم

تصريح القيادة الدولي المستقبلي الذي يتجاهل الاحتفاظ يحمي الخصوصية بصورة جزئية فحسب.

ما الذي ينبغي للمحفظة أن تقرره فعلًا

لو كان عليّ اختزال هذا المقال بأكمله في قاعدة تنفيذ واحدة، لكانت هي:

لا ينبغي للمحفظة أن تجيب على “هل يمكنني تقديم هذه الوثيقة؟” بل يجب أن تجيب على “هل يمكنني تقديم هذه المجموعة من المطالبات لهذا المتحقق الموثّق، لهذا الغرض المقصود، في هذا السياق، تحت فئة الاحتفاظ هذه؟”

ينبغي أن يُدار ذلك القرار بناءً على هذه المدخلات على الأقل:

• هوية المتحقق
• فئة المتحقق
• الغرض المقصود
• نطاق السمات المسجّل
• سياسة الإفصاح من المُصدِر إن وُجدت
• البيئة (الطريق، الاستلام، عن بُعد، الأسطول، المطالبة)
• موافقة الحامل
• سياسة الاحتفاظ المعمول بها

تحتوي المعايير بالفعل على كثير من الآليات اللازمة لذلك: الإفصاح الانتقائي، ومصادقة الطرف المعتمد، والغرض المقصود المسجّل، وشهادات الوصول، وتقييم سياسة الإفصاح، والطلبات المرتبطة بالغرض. ما ينقص حتى الآن هو الانضباط في التعامل مع هذه العناصر بوصفها بنية إفصاح متكاملة واحدة.

الحجة الجوهرية

لا ينبغي لتصريح القيادة الدولي المستقبلي أن يسأل ما إذا كان يمكن الإفصاح عن البيانات. بل يجب أن يسأل:

• من يطلب؟
• لأي غرض؟
• بموجب أي صلاحية؟
• في أي سياق؟
• مع ما من تبعات الاحتفاظ؟

الشرطة ومكاتب التأجير وأصحاب العمل وشركات التأمين ليسوا أربعة شعارات في الطرف الآخر من الطلب. إنهم أربعة نماذج مخاطر مختلفة، وأربعة سياقات قانونية مختلفة، وأربعة أسباب مختلفة للطلب — وينبغي أن تُفضي إلى أربع مجموعات إفصاح مختلفة.

هذا ليس تعقيدًا غير ضروري. هذا ما تبدو عليه وثيقة القيادة الحديثة حين تتوقف عن معاملة كل متحقق كأنه المتحقق ذاته.