Hvorfor Yoti blev trukket fra spanske app-butikker
Yoti, en af de mest udbredte apps til aldersbekræftelse og identitetsverifikation i Europa, forsvinder fra spanske app-butikker. Der lå ingen datalækage bag beslutningen, og teknologien fejlede ikke i sig selv. I stedet gjorde en spansk tilsynsmyndigheds fortolkning af én enkelt GDPR-artikel produktet juridisk umuligt at udrulle i det pågældende land. For en tjeneste, som mange websites og apps var afhængige af for at bekræfte en brugers alder, før der blev givet adgang til begrænset indhold, var den regulatoriske læsning nok til at fremtvinge en markedsudtræden nærmest fra den ene dag til den anden.
Det her er ikke en historie om hackere eller lækkede databaser. Det er en historie om, hvor skrøbeligt det juridiske fundament under aldersverifikationstjenester kan være, og hvor hurtigt et compliant, fungerende produkt kan blive ubrugeligt, blot fordi én jurisdiktion ændrer holdning til, hvordan en privatlivslov skal anvendes. Den skrøbelighed er netop, hvad der gør denne sag værd at lægge mærke til, selv hvis du aldrig har hørt om Yoti før i dag.
Hvad sker der med identitetsdata, når en udbyder af alderskontrol forlader et marked
Her kommer den ubehagelige del. Enhver, der verificerede sin alder gennem Yoti for at få adgang til et website, en app eller en onlinetjeneste, gjorde det ved at aflevere en eller anden form for identitetsdata, ofte et scannet ID-dokument, en selfie eller begge dele. De data blev ikke hos det website, brugeren forsøgte at få adgang til. De blev dirigeret gennem Yotis systemer og opbevaret der, fordi det er sådan tredjeparts aldersbekræftelse fungerer: udbyderen bliver indehaver af verifikationsregistreringen, ikke den platform, der anmoder om den.
Når en udbyder som Yoti tvinges ud af et land, er det juridiske argument for at fjerne appen fra butikkerne forholdsvis enkelt. Det sværere spørgsmål er, hvad der sker med de identitetsregistreringer, der allerede er indsamlet fra brugere på det marked. Bliver dataene slettet? Flyttet til en anden enhed? Efterladt i lageret, mens virksomheden ordner sin regulatoriske status andre steder? For de mennesker, hvis ID-dokumenter ligger i den database, er der ofte ikke noget klart, umiddelbart svar, og meget lidt indsigt i, hvilket udfald der faktisk indtræffer. Den verificerede brugerbase bliver reelt forældreløs og ligger i en udbyders infrastruktur, som ikke længere opererer i det land, hvor dataene oprindeligt blev indsamlet.
GDPR's ret til dataportabilitet og dens grænser i praksis
GDPR giver enkeltpersoner ret til dataportabilitet og i mange tilfælde ret til at anmode om sletning af deres personoplysninger. På papiret lyder det som et sikkerhedsnet netop for denne situation. I praksis afhænger portabilitets- og sletningsrettigheder af, at den registrerede ved, hvor deres data er, forstår hvilken virksomhed der juridisk kontrollerer dem efter en markedsudtræden, og med succes indsender en anmodning, som bliver efterkommet inden for en rimelig tidsramme.
De fleste brugere, der verificerede deres alder gennem en tredjepartsapp, havde aldrig forventet at få brug for noget af det. De fik ikke at vide i verifikationsøjeblikket, at udbyderens evne til at operere i deres land kunne ændre sig med en enkelt regulatorisk beslutning. Når det sker, kolliderer den teoretiske ret til at anmode om at få sine data tilbage eller slettet med den praktiske virkelighed, at de fleste ikke holder styr på, hvilke udbydere der har deres ID-dokumenter, eller hvordan de kommer i kontakt med dem, når udbyderens app ikke længere engang kan downloades i deres region.
Hvordan krav om aldersverifikation presser brugere mod VPN'er
Episoder som denne er en del af grunden til, at krav om aldersverifikation fortsat skaber friktion mellem tilsynsmyndigheder, platforme og brugere. Love, der kræver ID-tjek før adgang til bestemt indhold, har allerede udløst modstand i flere jurisdiktioner, herunder bestræbelser i USA, hvor nogle lovgivere ønsker at forbyde VPN'er specifikt for at forhindre folk i at bruge dem til at omgå krav om aldersverifikation. Den lovgivningsmæssige reaktion er i sig selv et signal om, at et betydeligt antal brugere hellere vil rute uden om identitetstjek helt end at aflevere dokumenter til en tredjepartsudbyder af verifikation, især en hvis langsigtede datahåndtering og markedsstabilitet er umulig at garantere på forhånd.
Det bredere mønster er velkendt for enhver, der har fulgt med i, hvordan regeringer strammer grebet om, hvad borgere kan tilgå online. Ligesom udvidede internetrestriktioner har gjort VPN'er mere essentielle for folk, der forsøger at bevare normal adgang til nettet, skubber krav om aldersverifikation privatlivsbevidste brugere mod værktøjer, der undgår centraliserede identitetstjek i første omgang.
Hvad det betyder for dig
Hvis du nogensinde har gennemført et alderstjek, der krævede upload af et offentligt ID eller en selfie til ansigtsgenkendelse, lever de data i en udbyders database, ikke på det website, du forsøgte at besøge. Yoti-sagen i Spanien viser, at sådanne udbydere kan miste deres juridiske status i et givet land af grunde, der intet har at gøre med sikkerhedsfejl, og alligevel forsvinder dine tidligere indsendte identitetsdata ikke automatisk, når det sker. Den centrale datarisiko ved udbydere af aldersverifikation er ikke, at virksomheden bliver hacket. Det er, at ordningen mellem dig, platformen og udbyderen aldrig blev bygget med en klar, garanteret proces for, hvad der sker med dine data, når den ordning ophører.
Pointer til at beskytte dine identitetsdata
Før du indsender ID-dokumenter til en aldersverifikationstjeneste, så tjek, om udbyderen offentliggør en klar politik for dataopbevaring og sletning, og bekræft, hvor længe dine data opbevares, efter verifikationen er gennemført. Foretræk om muligt tjenester, der bruger privatlivsbevarende metoder til aldersestimering, som slet ikke kræver, at der gemmes en kopi af dit offentlige ID. Hvis du allerede har verificeret din alder gennem en tjeneste, som siden er blevet mødt med regulatoriske tiltag i dit land, så overvej at indsende en formel anmodning om sletning af data i henhold til gældende privatlivslovgivning i stedet for at antage, at dataene automatisk blev purget. Og hvis det betyder noget for dig at undgå centraliseret ID-indsamling, så forstå, at det samme regulatoriske pres, der driver krav som disse, også ansporer modstand mod privatlivsværktøjer, der lader brugere omgå sådanne tjek helt, så kend dine lokale regler, før du stoler på nogen form for omgåelse.
