Защо Yoti беше изтеглено от испанските магазини за приложения
Yoti, едно от най-използваните приложения за удостоверяване на възраст и проверка на самоличност в Европа, изчезва от испанските магазини за приложения. Зад това решение не стои изтичане на данни, нито провал в самата технология. Вместо това тълкуването на един-единствен член от GDPR от страна на испански регулатор направи продукта юридически невъзможен за предлагане в тази държава. За услуга, на която много уебсайтове и приложения разчитаха, за да потвърдят възрастта на потребителя, преди да предоставят достъп до ограничено съдържание, този регулаторен прочит беше достатъчен, за да принуди почти за една нощ изтегляне от пазара.
Това не е история за хакери или изтекли бази данни. Това е история за това колко крехка може да бъде правната основа на услугите за проверка на възраст и колко бързо един съответстващ на изискванията, работещ продукт може да стане неизползваем просто защото една юрисдикция промени мнението си как се прилага даден закон за поверителност. Именно тази крехкост прави случая заслужаващ внимание, дори ако никога досега не сте чували за Yoti.
Какво се случва с данните за самоличност, когато доставчик на проверка на възраст се изтегли от даден пазар
Ето и неудобната част. Всеки човек, който е потвърдил възрастта си чрез Yoti, за да получи достъп до уебсайт, приложение или онлайн услуга, е направил това, като е предоставил някаква форма на данни за самоличност, често сканиран документ за самоличност, селфи или и двете. Тези данни не са останали при уебсайта, който потребителят се е опитвал да достъпи. Те са били прекарани през системите на Yoti и съхранени там, защото така работи удостоверяването на възраст от трета страна: доставчикът става притежател на записа за проверка, а не платформата, която го изисква.
Когато доставчик като Yoti бъде принуден да напусне дадена държава, правният аргумент за премахване на приложението от магазините е сравнително прост. По-трудният въпрос е какво се случва със записите за самоличност, вече събрани от потребителите на този пазар. Изтриват ли се данните? Прехвърлят ли се към друг субект? Остават ли в хранилище, докато компанията уреди регулаторния си статут другаде? За хората, чиито документи за самоличност стоят в тази база данни, често няма ясен, незабавен отговор и много малка видимост кой от тези изходи всъщност се осъществява. Потвърдената потребителска база на практика остава осиротяла, в инфраструктурата на доставчик, който вече не оперира в държавата, където първоначално са събрани данните.
Правата за преносимост на данни по GDPR и техните ограничения на практика
GDPR дава на лицата право на преносимост на данните и в много случаи право да поискат изтриване на личните си данни. На хартия това звучи като предпазна мрежа именно за такава ситуация. На практика правата на преносимост и изтриване зависят от това субектът на данни да знае къде се намират данните му, да разбира коя компания законно ги контролира след изтегляне от пазара и успешно да подаде искане, което да бъде изпълнено в разумен срок.
Повечето потребители, които са потвърдили възрастта си чрез приложение на трета страна, никога не са очаквали, че ще им се наложи всичко това. В момента на проверката не им е било казано, че способността на доставчика да оперира в държавата им може да се промени с едно-единствено регулаторно решение. Когато това се случи, теоретичното право да поискате данните си обратно или да бъдат изтрити се сблъсква с практическата реалност, че повечето хора не следят кои доставчици държат документите им за самоличност или как да се свържат с тях, след като приложението на доставчика дори вече не е достъпно за изтегляне в региона им.
Как изискванията за проверка на възраст тласкат потребителите към VPN
Епизоди като този са част от причината изискванията за проверка на възраст да продължават да създават напрежение между регулатори, платформи и потребители. Законите, изискващи проверка на самоличността преди достъп до определено съдържание, вече предизвикаха съпротива в множество юрисдикции, включително усилия в Съединените щати, където някои законодатели искат да забранят VPN специално, за да попречат на хората да ги използват, за да заобикалят изискванията за проверка на възраст. Самата тази законодателна реакция е сигнал, че значителен брой потребители предпочитат да заобиколят изцяло проверките на самоличност, вместо да предоставят документи на доставчик за проверка от трета страна, особено на такъв, чиито дългосрочни практики за обработка на данни и пазарна стабилност е невъзможно да бъдат гарантирани предварително.
По-широкият модел е познат на всеки, който е наблюдавал как правителствата затягат контрола върху това до какво гражданите имат достъп онлайн. Точно както разширяващите се интернет ограничения направиха VPN по-наложителни за хората, опитващи се да запазят нормален достъп до мрежата, изискванията за проверка на възраст тласкат загрижените за поверителността си потребители към инструменти, които избягват централизираните контролни точки за самоличност още от самото начало.
Какво означава това за вас
Ако някога сте преминавали проверка на възраст, която изискваше качване на държавен документ за самоличност или селфи за лицево сравнение, тези данни живеят в базата данни на доставчика, а не на уебсайта, който сте се опитвали да посетите. Случаят с Yoti в Испания показва, че тези доставчици могат да загубят правния си статут в дадена държава по причини, които нямат нищо общо със сигурностни провали, а въпреки това вече предоставените ви данни за самоличност не изчезват автоматично, когато това се случи. Основният риск за данните при доставчик за проверка на възраст не е, че компанията ще бъде хакната. А че договореността между вас, платформата и доставчика никога не е била изградена с ясен, гарантиран процес за това какво се случва с данните ви, когато тази договореност приключи.
Изводи за защита на данните ви за самоличност
Преди да предоставите документи за самоличност на която и да е услуга за проверка на възраст, проверете дали доставчикът публикува ясна политика за съхранение и изтриване на данни и потвърдете колко дълго се съхраняват данните ви след приключване на проверката. Където е възможно, предпочитайте услуги, които използват методи за оценка на възрастта, запазващи поверителността, и не изискват съхраняване на копие на държавния ви документ за самоличност. Ако вече сте потвърдили възрастта си чрез услуга, срещу която впоследствие са предприети регулаторни действия в държавата ви, обмислете подаването на официално искане за изтриване на данни съгласно приложимото законодателство за поверителност, вместо да предполагате, че данните са били автоматично изтрити. И ако избягването на централизирано събиране на самоличност е важно за вас, разберете, че същият регулаторен натиск, който движи подобни изисквания, също подхранва съпротива срещу инструментите за поверителност, позволяващи на потребителите да заобикалят такива проверки изцяло, затова се запознайте с местните правила, преди да разчитате на каквото и да е заобикаляне.
