Γιατί η Yoti Αποσύρθηκε από τα Ισπανικά App Stores
Η Yoti, μία από τις πιο ευρέως χρησιμοποιούμενες εφαρμογές διασφάλισης ηλικίας και επαλήθευσης ταυτότητας στην Ευρώπη, εξαφανίζεται από τα ισπανικά app stores. Δεν υπήρξε παραβίαση δεδομένων πίσω από αυτή την κίνηση, ούτε αποτυχία της ίδιας της τεχνολογίας. Αντ' αυτού, η ερμηνεία ενός μόνο άρθρου του GDPR από μια ισπανική ρυθμιστική αρχή κατέστησε το προϊόν νομικά μη διαθέσιμο σε αυτή τη χώρα. Για μια υπηρεσία στην οποία πολλοί ιστότοποι και εφαρμογές βασίζονταν για να επιβεβαιώσουν την ηλικία ενός χρήστη πριν του επιτρέψουν πρόσβαση σε περιορισμένο περιεχόμενο, αυτή η ρυθμιστική ανάγνωση ήταν αρκετή για να εξαναγκάσει μια αποχώρηση από την αγορά σχεδόν εν μια νυκτί.
Αυτή δεν είναι μια ιστορία για χάκερ ή διαρρεύσαντες βάσεις δεδομένων. Είναι μια ιστορία για το πόσο εύθραυστη μπορεί να είναι η νομική βάση των υπηρεσιών επαλήθευσης ηλικίας, και πόσο γρήγορα ένα συμμορφούμενο, λειτουργικό προϊόν μπορεί να καταστεί άχρηστο απλώς και μόνο επειδή μια δικαιοδοσία αλλάζει γνώμη σχετικά με το πώς εφαρμόζεται ένας νόμος περί απορρήτου. Αυτή η ευθραυστότητα είναι ακριβώς αυτό που κάνει αυτή την υπόθεση άξια προσοχής, ακόμη κι αν δεν έχετε ακούσει ποτέ ξανά για τη Yoti μέχρι σήμερα.
Τι Συμβαίνει στα Δεδομένα Ταυτότητας Όταν ένας Πάροχος Επαλήθευσης Ηλικίας Αποχωρεί από μια Αγορά
Εδώ είναι το άβολο κομμάτι. Κάθε άτομο που επαλήθευσε την ηλικία του μέσω της Yoti για να αποκτήσει πρόσβαση σε έναν ιστότοπο, εφαρμογή ή διαδικτυακή υπηρεσία το έκανε παραδίνοντας κάποια μορφή δεδομένων ταυτότητας, συχνά ένα σκαναρισμένο έγγραφο ταυτοποίησης, μια selfie, ή και τα δύο. Αυτά τα δεδομένα δεν παρέμειναν στον ιστότοπο στον οποίο ο χρήστης προσπαθούσε να αποκτήσει πρόσβαση. Διοχετεύτηκαν μέσω των συστημάτων της Yoti και αποθηκεύτηκαν εκεί, διότι έτσι λειτουργεί η διασφάλιση ηλικίας από τρίτους: ο πάροχος γίνεται ο κάτοχος του αρχείου επαλήθευσης, όχι η πλατφόρμα που το ζητά.
Όταν ένας πάροχος όπως η Yoti εξαναγκάζεται να αποχωρήσει από μια χώρα, το νομικό επιχείρημα για την αφαίρεση της εφαρμογής από τα καταστήματα είναι σχετικά απλό. Το δυσκολότερο ερώτημα είναι τι συμβαίνει με τα αρχεία ταυτότητας που έχουν ήδη συλλεχθεί από χρήστες σε αυτή την αγορά. Διαγράφονται τα δεδομένα; Μεταφέρονται σε άλλη οντότητα; Παραμένουν σε αποθήκευση όσο η εταιρεία τακτοποιεί το ρυθμιστικό της καθεστώς αλλού; Για τα άτομα των οποίων τα έγγραφα ταυτοποίησης βρίσκονται σε αυτή τη βάση δεδομένων, συχνά δεν υπάρχει σαφής, άμεση απάντηση, και ελάχιστη ορατότητα ως προς το ποια έκβαση πραγματικά συμβαίνει. Η επαληθευμένη βάση χρηστών ουσιαστικά εγκαταλείπεται, καθώς βρίσκεται στην υποδομή ενός παρόχου που δεν δραστηριοποιείται πλέον στη χώρα όπου τα δεδομένα συλλέχθηκαν αρχικά.
Τα Δικαιώματα Φορητότητας Δεδομένων του GDPR και τα Όριά τους στην Πράξη
Ο GDPR παρέχει στα άτομα δικαίωμα φορητότητας δεδομένων και, σε πολλές περιπτώσεις, δικαίωμα να ζητήσουν τη διαγραφή των προσωπικών τους δεδομένων. Στα χαρτιά, αυτό ακούγεται σαν δίχτυ ασφαλείας για ακριβώς αυτή την κατάσταση. Στην πράξη, τα δικαιώματα φορητότητας και διαγραφής εξαρτώνται από το να γνωρίζει το υποκείμενο των δεδομένων πού βρίσκονται τα δεδομένα του, να κατανοεί ποια εταιρεία τα ελέγχει νομικά μετά από μια αποχώρηση από την αγορά, και να υποβάλει επιτυχώς ένα αίτημα που θα ικανοποιηθεί σε εύλογο χρονικό διάστημα.
Οι περισσότεροι χρήστες που επαλήθευσαν την ηλικία τους μέσω μιας εφαρμογής τρίτου μέρους δεν περίμεναν ποτέ ότι θα χρειαστούν κάτι από αυτά. Δεν τους ειπώθηκε, τη στιγμή της επαλήθευσης, ότι η ικανότητα του παρόχου να δραστηριοποιείται στη χώρα τους θα μπορούσε να αλλάξει με μία μόνο ρυθμιστική απόφαση. Όταν αυτό συμβαίνει, το θεωρητικό δικαίωμα να ζητήσετε πίσω τα δεδομένα σας ή να διαγραφούν συγκρούεται με την πρακτική πραγματικότητα ότι οι περισσότεροι άνθρωποι δεν παρακολουθούν ποιοι πάροχοι κατέχουν τα έγγραφα ταυτοποίησής τους, ούτε πώς να τους προσεγγίσουν όταν η εφαρμογή του παρόχου δεν είναι πλέον καν διαθέσιμη για λήψη στην περιοχή τους.
Πώς οι Εντολές Επαλήθευσης Ηλικίας Σπρώχνουν τους Χρήστες προς VPN
Περιστατικά όπως αυτό είναι μέρος του λόγου για τον οποίο οι εντολές επαλήθευσης ηλικίας συνεχίζουν να δημιουργούν τριβές μεταξύ ρυθμιστικών αρχών, πλατφορμών και χρηστών. Νόμοι που απαιτούν ελέγχους ταυτότητας πριν από την πρόσβαση σε συγκεκριμένο περιεχόμενο έχουν ήδη προκαλέσει αντιδράσεις σε πολλές δικαιοδοσίες, συμπεριλαμβανομένων προσπαθειών στις Ηνωμένες Πολιτείες όπου ορισμένοι νομοθέτες θέλουν να απαγορεύσουν τα VPN ειδικά για να εμποδίσουν τους ανθρώπους να τα χρησιμοποιούν για να παρακάμπτουν τις απαιτήσεις επαλήθευσης ηλικίας. Αυτή η νομοθετική αντίδραση είναι από μόνη της ένα σήμα ότι ένας σημαντικός αριθμός χρηστών θα προτιμούσε να παρακάμψει εντελώς τους ελέγχους ταυτότητας παρά να παραδώσει έγγραφα σε έναν πάροχο επαλήθευσης τρίτου μέρους, ειδικά σε έναν του οποίου οι μακροπρόθεσμες πρακτικές διαχείρισης δεδομένων και η σταθερότητα στην αγορά είναι αδύνατο να εγγυηθούν εκ των προτέρων.
Το ευρύτερο μοτίβο είναι οικείο σε όποιον έχει παρακολουθήσει κυβερνήσεις να σφίγγουν τον έλεγχο over το τι μπορούν να προσπελάσουν οι πολίτες online. Ακριβώς όπως η επέκταση των περιορισμών του διαδικτύου έχει κάνει τα VPN πιο απαραίτητα για ανθρώπους που προσπαθούν να διατηρήσουν κανονική πρόσβαση στον ιστό, οι εντολές επαλήθευσης ηλικίας ωθούν τους χρήστες που νοιάζονται για το απόρρητο προς εργαλεία που αποφεύγουν εξαρχής τα συγκεντρωτικά σημεία ελέγχου ταυτότητας.
Τι Σημαίνει Αυτό για Εσάς
Αν έχετε ποτέ ολοκληρώσει έναν έλεγχο ηλικίας που απαιτούσε την ανάρτηση κρατικής ταυτότητας ή τη λήψη selfie για αντιστοίχιση προσώπου, αυτά τα δεδομένα ζουν στη βάση δεδομένων ενός παρόχου, όχι στον ιστότοπο που προσπαθούσατε να επισκεφθείτε. Η υπόθεση της Yoti στην Ισπανία καταδεικνύει ότι αυτοί οι πάροχοι μπορούν να χάσουν τη νομική τους υπόσταση σε μια δεδομένη χώρα για λόγους που δεν έχουν καμία σχέση με αποτυχίες ασφαλείας, ωστόσο τα προηγουμένως υποβληθέντα δεδομένα ταυτότητάς σας δεν εξαφανίζονται αυτόματα όταν αυτό συμβαίνει. Ο βασικός κίνδυνος δεδομένων των παρόχων επαλήθευσης ηλικίας δεν είναι ότι η εταιρεία θα χακαριστεί. Είναι ότι η συμφωνία μεταξύ εσάς, της πλατφόρμας και του παρόχου δεν χτίστηκε ποτέ με μια σαφή, εγγυημένη διαδικασία για το τι συμβαίνει με τα δεδομένα σας όταν αυτή η συμφωνία λήγει.
Βασικά Σημεία για την Προστασία των Δεδομένων Ταυτότητάς Σας
Πριν υποβάλετε έγγραφα ταυτοποίησης σε οποιαδήποτε υπηρεσία επαλήθευσης ηλικίας, ελέγξτε αν ο πάροχος δημοσιεύει σαφή πολιτική διατήρησης και διαγραφής δεδομένων, και επιβεβαιώστε πόσο καιρό αποθηκεύονται τα δεδομένα σας μετά την ολοκλήρωση της επαλήθευσης. Όπου είναι δυνατόν, προτιμήστε υπηρεσίες που χρησιμοποιούν μεθόδους εκτίμησης ηλικίας που προστατεύουν το απόρρητο και δεν απαιτούν την αποθήκευση αντιγράφου της κρατικής σας ταυτότητας καθόλου. Αν έχετε ήδη επαληθεύσει την ηλικία σας μέσω μιας υπηρεσίας που έχει έκτοτε αντιμετωπίσει ρυθμιστική δράση στη χώρα σας, σκεφτείτε να υποβάλετε επίσημο αίτημα διαγραφής δεδομένων βάσει της ισχύουσας νομοθεσίας περί απορρήτου αντί να υποθέσετε ότι τα δεδομένα διαγράφηκαν αυτόματα. Και αν η αποφυγή συγκεντρωτικής συλλογής ταυτοτήτων έχει σημασία για εσάς, κατανοήστε ότι η ίδια ρυθμιστική πίεση που οδηγεί σε εντολές όπως αυτές τροφοδοτεί επίσης αντιδράσεις κατά εργαλείων απορρήτου που επιτρέπουν στους χρήστες να παρακάμπτουν τέτοιους ελέγχους εντελώς, οπότε μάθετε τους τοπικούς κανόνες σας πριν βασιστείτε σε οποιαδήποτε παράκαμψη.
