¿Qué datos no deben escribirse nunca en una acreditación?
Cualquier cosa que no imprimirías en la cara visible. Una acreditación se lleva en público todo el día, la puede leer quien se acerque con un teléfono, y sale del recinto en un bolsillo. El chip no es un compartimento privado.
La suposición que hay que abandonar
La gente trata el chip como un compartimento oculto porque su contenido no se ve. No está oculto, está sin etiquetar.
Cualquiera con un teléfono puede leer una acreditación desde unos centímetros, que en un pabellón lleno, en un ascensor o en una cola es una distancia normal entre dos personas.
La lectura no deja rastro y no requiere interacción, así que quien la lleva no tiene forma de saber que ha ocurrido.
El modelo mental correcto es que el chip es una segunda cara impresa, legible por cualquiera que esté lo bastante cerca, sin pedir permiso.
Lo que no se pone nunca
Datos de contacto personales en claro: móvil, correo personal, domicilio.
Cualquier cosa sobre la persona que no esté ya en la cara impresa: sensibilidad del cargo, información dietética o médica, necesidades de accesibilidad.
Cualquier cosa que funcione como credencial en otro sitio: un número de empleado usado para el acceso a un edificio, una referencia de cuenta, un localizador de reserva que identifica una habitación de hotel.
Y cualquier cosa sobre otras personas, como los datos de un compañero incluidos en una acreditación de empresa.
Usa un identificador
Escribe un identificador opaco que no signifique nada fuera del sistema de tu evento. Quien lea la acreditación aprende un número.
Todo lo relativo a la persona vive entonces en el sistema, tras el control de acceso que apliques, y se puede corregir, restringir y borrar.
Que el identificador sea opaco y no secuencial. Un número que se incrementa le dice a quien lo lee cuántos asistentes hay y permite adivinar las acreditaciones vecinas.
Y explica a los asistentes qué lleva la acreditación y qué se registra cuando se lee. Es a la vez buena práctica y aquello para lo que existe un aviso de privacidad.
Sobrevive al evento
Las acreditaciones se van a casa en bolsas y se quedan años en un cajón. Una acreditación con datos personales es una pequeña fuga de datos con vida indefinida, fuera de tu control y fuera de la cabeza de quien la llevaba.
Un identificador es inerte en cuanto se anula, que es el argumento práctico más fuerte a favor de este diseño.
Si las acreditaciones se escribieron con contenido personal y están desbloqueadas, bórralas al recogerlas. Si estaban bloqueadas, no se pueden borrar, que es una razón más para no bloquear las acreditaciones de un evento.
Y anula todos los identificadores al cierre del evento en cualquier caso, porque una acreditación que sigue resolviendo sigue siendo una credencial.
Preguntas frecuentes
¿Alguien puede leer mi acreditación sin que yo lo sepa?
Sí, desde unos centímetros y sin dejar rastro. Es la suposición con la que diseñar, no un ataque improbable.
¿Es un problema poner el nombre en el chip?
Menos que los datos de contacto, y ya está en la cara impresa. La prueba es si lo imprimirías ahí.
¿Por qué debe ser opaco el identificador?
Un número secuencial revela el tamaño del evento y permite adivinar otras acreditaciones. Un valor opaco no revela nada.
¿Y las acreditaciones que se guardan después del evento?
Conservan indefinidamente lo que se les escribió. Un identificador deja de significar nada en cuanto se anula, y unos datos personales no.