Proč bylo Yoti staženo ze španělských obchodů s aplikacemi
Yoti, jedna z nejrozšířenějších aplikací pro ověřování věku a identity v Evropě, mizí ze španělských obchodů s aplikacemi. Za tímto krokem nestojí žádné narušení dat ani selhání samotné technologie. Místo toho výklad jediného článku GDPR ze strany španělského regulátora učinil produkt v této zemi právně neuvádějícím na trh. Pro službu, na kterou se mnohé weby a aplikace spoléhaly při ověřování věku uživatele před udělením přístupu k omezenému obsahu, stačil tento regulační výklad k tomu, aby byl odchod z trhu vynucen téměř přes noc.
Toto není příběh o hackerech nebo uniklých databázích. Je to příběh o tom, jak křehké může být právní ukotvení služeb ověřování věku a jak rychle se z funkčního, souladného produktu může stát nepoužitelný jen proto, že jedna jurisdikce změní názor na to, jak se má zákon o ochraně soukromí uplatňovat. Právě tato křehkost činí tento případ pozornosti hodným, i když jste o Yoti nikdy předtím neslyšeli.
Co se stane s údaji o identitě, když dodavatel ověřování věku opustí trh
Zde přichází nepříjemná část. Každý, kdo si ověřil věk prostřednictvím Yoti pro přístup na web, do aplikace nebo k online službě, tak učinil tím, že odevzdal nějakou formu údajů o identitě, často naskenovaný doklad totožnosti, selfie, nebo obojí. Tato data nezůstala u webu, ke kterému se uživatel snažil získat přístup. Byla směrována přes systémy Yoti a tam uložena, protože tak funguje ověřování věku třetí stranou: dodavatel se stává držitelem záznamu o ověření, nikoli platforma, která o něj žádá.
Když je dodavatel, jako je Yoti, nucen opustit zemi, právní argument pro odstranění aplikace z obchodů je poměrně jednoduchý. Složitější otázkou je, co se stane s identifikačními záznamy již shromážděnými od uživatelů na tomto trhu. Budou data smazána? Přenesena na jiný subjekt? Ponechána v úložišti, dokud společnost nevyřeší svůj regulační status jinde? Pro lidi, jejichž doklady totožnosti leží v této databázi, často neexistuje jasná, okamžitá odpověď a jen velmi malá viditelnost toho, který výsledek skutečně nastane. Ověřená uživatelská základna se fakticky stává osiřelou, přebývající v infrastruktuře dodavatele, který již nepůsobí v zemi, kde byla data původně shromážděna.
Práva na přenositelnost dat podle GDPR a jejich limity v praxi
GDPR dává jednotlivcům právo na přenositelnost dat a v mnoha případech také právo požadovat výmaz svých osobních údajů. Na papíře to zní jako záchranná síť přesně pro tuto situaci. V praxi však práva na přenositelnost a výmaz závisí na tom, zda subjekt údajů ví, kde se jeho data nacházejí, chápe, která společnost po odchodu z trhu data právně kontroluje, a úspěšně podá žádost, která bude vyřízena v přiměřené lhůtě.
Většina uživatelů, kteří si ověřili věk prostřednictvím aplikace třetí strany, nikdy neočekávala, že něco z toho bude potřebovat. V okamžiku ověření jim nebylo řečeno, že schopnost dodavatele působit v jejich zemi se může změnit jediným regulačním rozhodnutím. Když k tomu dojde, teoretické právo požádat o vrácení nebo výmaz dat se střetává s praktickou realitou, že většina lidí nesleduje, kteří dodavatelé drží jejich doklady totožnosti, ani jak je kontaktovat, jakmile aplikace dodavatele již není v jejich regionu ani ke stažení.
Jak mandáty ověřování věku tlačí uživatele k VPN
Epizody, jako je tato, jsou součástí toho, proč mandáty ověřování věku neustále vytvářejí tření mezi regulátory, platformami a uživateli. Zákony vyžadující kontrolu dokladů totožnosti před přístupem k určitému obsahu již vyvolaly odpor v několika jurisdikcích, včetně snah ve Spojených státech, kde někteří zákonodárci chtějí zakázat VPN speciálně proto, aby lidem zabránili je používat k obcházení požadavků na ověření věku. Tato legislativní reakce je sama o sobě signálem, že značný počet uživatelů by raději obešel kontroly identity úplně, než aby odevzdal doklady dodavateli ověřování třetí stranou, zejména takovému, jehož dlouhodobé postupy nakládání s daty a stabilita na trhu nelze předem zaručit.
Širší vzorec je známý každému, kdo sledoval, jak vlády zpřísňují kontrolu nad tím, k čemu mají občané online přístup. Stejně jako rozšiřující se internetová omezení učinila VPN nezbytnějšími pro lidi snažící se zachovat normální přístup k webu, mandáty ověřování věku postrkují uživatele dbající na soukromí k nástrojům, které se centralizovaným kontrolním bodům identity vyhýbají již od počátku.
Co to znamená pro vás
Pokud jste někdy absolvovali kontrolu věku, která vyžadovala nahrání vládního dokladu totožnosti nebo pořízení selfie pro porovnání obličeje, tato data žijí v databázi dodavatele, nikoli na webu, který jste se snažili navštívit. Případ Yoti ve Španělsku ukazuje, že tito dodavatelé mohou ztratit své právní postavení v dané zemi z důvodů, které nemají nic společného s bezpečnostními selháními, a přesto vaše dříve odevzdaná data o identitě automaticky nezmizí, když k tomu dojde. Hlavní riziko dat u dodavatele ověřování věku nespočívá v tom, že společnost bude hacknuta. Spočívá v tom, že uspořádání mezi vámi, platformou a dodavatelem nebylo nikdy postaveno na jasném, zaručeném procesu pro to, co se stane s vašimi daty, když toto uspořádání skončí.
Klíčové poznatky pro ochranu vašich údajů o identitě
Před odevzdáním dokladů totožnosti jakékoli službě ověřování věku si ověřte, zda dodavatel zveřejňuje jasnou zásadu uchovávání a výmazu dat, a zjistěte, jak dlouho jsou vaše data po dokončení ověření uchovávána. Kde je to možné, upřednostněte služby, které používají metody odhadu věku chránící soukromí a nevyžadují vůbec ukládání kopie vašeho vládního dokladu totožnosti. Pokud jste již svůj věk ověřili prostřednictvím služby, která od té doby čelila regulačnímu opatření ve vaší zemi, zvažte podání formální žádosti o výmaz dat podle platných zákonů o ochraně soukromí, místo abyste předpokládali, že data byla automaticky vymazána. A pokud je pro vás důležité vyhnout se centralizovanému shromažďování dokladů totožnosti, pochopte, že stejný regulační tlak, který pohání mandáty, jako jsou tyto, také podněcuje odpor proti nástrojům na ochranu soukromí, které uživatelům umožňují takové kontroly úplně obejít, proto znáte místní pravidla, než se spolehnete na jakékoli obcházení.
