Les numéros NRIC ne doivent pas être utilisés comme mots de passe, déclare PDPC

L'organisme national de surveillance de la confidentialité des données a également mis en garde contre les organisations qui utilisent des numéros NRIC pour authentifier l'identité d'un individu ou définir des mots de passe par défaut.

The Personal Data Protection Commission (PDPC) has stated that National Registration Identity Card (NRIC) numbers should not be used as passwords.

La Commission de protection des données personnelles (PDPC) a déclaré que les numéros de carte d'identité nationale d'enregistrement (NRIC) ne doivent pas être utilisés comme mots de passe.

The data privacy watchdog also warned against organisations using NRIC numbers to authenticate an individual’s identity or set default passwords.

L'organisme de surveillance de la confidentialité des données a également mis en garde contre les organisations qui utilisent des numéros NRIC pour authentifier l'identité d'un individu ou définir des mots de passe par défaut.

PDPC's statement on Dec. 14 comes after public attention was drawn to the disclosure of NRIC numbers on the Accounting and Corporate Regulatory Authority's (ACRA) new Bizfile portal.

La déclaration du PDPC du 14 décembre intervient après que l'attention du public a été attirée sur la divulgation des numéros NRIC sur le nouveau portail Bizfile de l'Autorité de réglementation des entreprises et de la comptabilité (ACRA).

Earlier, the Ministry of Digital Development and Information (MDDI) had said in a statement on Dec. 13 that it intends to move away from the practice of masking NRIC numbers.

Auparavant, le ministère du Développement numérique et de l'Information (MDDI) avait déclaré dans un communiqué du 13 décembre qu'il avait l'intention de s'éloigner de la pratique consistant à masquer les numéros NRIC.

"As a unique identifier, the NRIC number is assumed to be known, just as our real names are known. As such, there should "not be any sensitivity in having one's full NRIC number made public," MDDI had stated.

« En tant qu'identifiant unique, le numéro NRIC est supposé être connu, tout comme nos vrais noms sont connus. En tant que tel, il ne devrait « y avoir aucune sensibilité à ce que le numéro NRIC complet soit rendu public », avait déclaré le MDDI.

However, PDPC reiterated that like any personal identifier, the NRIC number will still be subjected to the data protection obligations in the Personal Data Protection Act (PDPA).

Cependant, PDPC a réitéré que, comme tout identifiant personnel, le numéro NRIC sera toujours soumis aux obligations de protection des données de la loi sur la protection des données personnelles (PDPA).

Use of NRIC numbers by individuals as passwords

Utilisation de numéros NRIC par des particuliers comme mots de passe

According to PDPC, the NRIC number should not be used as a password, just as personal names are not used as passwords.

Selon PDPC, le numéro NRIC ne doit pas être utilisé comme mot de passe, tout comme les noms personnels ne sont pas utilisés comme mots de passe.

"Anyone who has done so should immediately change their password," the commission emphasised.

"Quiconque l'a fait doit immédiatement changer son mot de passe", a souligné la commission.

“If the change function cannot be found on the service portal, it is best to contact the service provider immediately for advice to change the password," it added.

"Si la fonction de modification est introuvable sur le portail de services, il est préférable de contacter immédiatement le fournisseur de services pour obtenir des conseils sur la manière de modifier le mot de passe", ajoute-t-il.

Use of NRIC numbers by organisations for authentication

Utilisation des numéros NRIC par les organisations pour l'authentification

PDPC stated that as the NRIC number is not a secret, it should not be used by an organisation for authentication purposes.

PDPC a déclaré que, comme le numéro NRIC n'est pas un secret, il ne devrait pas être utilisé par une organisation à des fins d'authentification.

"A person’s name and NRIC number identifies who the person is. Authentication is about proving you are who you claim to be. This requires proof of identity, for example, through a password, a security token or biometric data," it explained.

"Le nom d'une personne et son numéro NRIC identifient cette personne. L'authentification consiste à prouver que vous êtes celui que vous prétendez être. Cela nécessite une preuve d'identité, par exemple via un mot de passe, un jeton de sécurité ou des données biométriques", précise-t-il. expliqué.

The watchdog added that action will be taken against organisations who have used NRIC numbers for authentication.

L'organisme de surveillance a ajouté que des mesures seront prises contre les organisations qui ont utilisé des numéros NRIC pour l'authentification.

PDPC also advised that the NRIC number should not be used as the default password for services provided to an individual and organisations that have such practices are advised to phase them out as soon as possible.

PDPC a également indiqué que le numéro NRIC ne devrait pas être utilisé comme mot de passe par défaut pour les services fournis à un individu et qu'il est conseillé aux organisations qui ont de telles pratiques de les éliminer progressivement dès que possible.

While the government is moving away from masking the NRIC number, the number is still subject to the data protection obligations in the Personal Data Protection Act (PDPA), PDPC said.

Bien que le gouvernement s'éloigne du masquage du numéro NRIC, ce numéro reste soumis aux obligations de protection des données prévues par la loi sur la protection des données personnelles (PDPA), a déclaré PDPC.

Therefore, organisations collecting NRIC data must still obtain valid consent and comply with reasonable use and ensure protection, it added.

Par conséquent, les organisations collectant des données NRIC doivent toujours obtenir un consentement valide, se conformer à une utilisation raisonnable et assurer leur protection, ajoute-t-il.

PDPC's advisory guidelines

Lignes directrices consultatives du PDPC

Following MDDI's statement on the appropriate use and mis-use of NRIC numbers, PDPC has received questions and feedback from the public, it said.

Suite à la déclaration du MDDI sur l'utilisation appropriée et abusive des numéros NRIC, le PDPC a reçu des questions et des commentaires du public, a-t-il indiqué.

"We recognise that the PDPC advisory guidelines for NRIC and National Identification Numbers needs to be updated to be aligned with the statement," it said.

"Nous reconnaissons que les lignes directrices consultatives du PDPC pour le NRIC et les numéros d'identification nationaux doivent être mises à jour pour être alignées sur la déclaration", a-t-il déclaré.

"We are sorry for the confusion caused to the public and will fully address the public’s concerns and questions as soon as possible."

"Nous sommes désolés pour la confusion causée au public et répondrons pleinement aux préoccupations et aux questions du public dès que possible."

The commission said it will not be making any further changes until they have completed consultations with industry and members of the public.

La commission a déclaré qu'elle n'apporterait aucun autre changement tant qu'elle n'aurait pas terminé les consultations avec l'industrie et les membres du public.

The guidelines will then be updated to align with the new policy intent, PDPC added.

Les lignes directrices seront ensuite mises à jour pour s'aligner sur la nouvelle intention politique, a ajouté PDPC.

NRIC numbers publicly listed on new ACRA website

Numéros NRIC répertoriés publiquement sur le nouveau site Web de l'ACRA

A recently-launched digital portal by the Accounting and Corporate Regulatory Authority (ACRA) was found to have a somewhat alarming new feature: the ability to search for citizens' NRIC numbers.

Un portail numérique récemment lancé par l'Autorité de régulation de la comptabilité et des entreprises (ACRA) s'est révélé doté d'une nouvelle fonctionnalité quelque peu alarmante : la possibilité de rechercher les numéros NRIC des citoyens.

Through the platform's new "People Profile" feature, Singaporeans' full NRIC numbers can be searched, simply by keying in the citizen's name.

Grâce à la nouvelle fonctionnalité « Profil des personnes » de la plateforme, les numéros NRIC complets des Singapouriens peuvent être recherchés, simplement en saisissant le nom du citoyen.

This included politicians and people who were deceased.

Cela incluait des politiciens et des personnes décédées.

The feature was described as a means to help users "search for business information" and "[track] the business entities a person is/was involved in", according to the website.

La fonctionnalité a été décrite comme un moyen d'aider les utilisateurs à « rechercher des informations commerciales » et à « [suivre] les entités commerciales dans lesquelles une personne est/était impliquée », selon le site Web.

In a Frequently Asked Questions segment about the platform, ACRA explained that the NRIC numbers are not masked to allow for "clear and unambiguous identification of individuals associated with businesses".

Dans une foire aux questions sur la plateforme, l'ACRA a expliqué que les numéros NRIC ne sont pas masqués pour permettre « une identification claire et sans ambiguïté des individus associés aux entreprises ».

In 2019, the Personal Data Protection Commission (PDPC) announced that organisations would be legally barred from collecting, using, or disclosing NRIC numbers.

En 2019, la Commission de protection des données personnelles (PDPC) a annoncé qu'il serait légalement interdit aux organisations de collecter, d'utiliser ou de divulguer les numéros NRIC.

Top photo from ICA

Photo du haut de l'ICA