Pourquoi Yoti a été retiré des magasins d'applications espagnols
Yoti, l'une des applications de vérification de l'âge et d'identité les plus utilisées en Europe, disparaît des magasins d'applications espagnols. Aucune fuite de données n'est à l'origine de ce retrait, et aucune défaillance de la technologie elle-même. C'est plutôt l'interprétation par un régulateur espagnol d'un seul article du RGPD qui a rendu le produit juridiquement indéployable dans ce pays. Pour un service sur lequel de nombreux sites web et applications comptaient pour confirmer l'âge d'un utilisateur avant d'accorder l'accès à du contenu restreint, cette lecture réglementaire a suffi à forcer une sortie du marché presque du jour au lendemain.
Il ne s'agit pas d'une histoire de pirates informatiques ou de bases de données fuitées. Il s'agit d'une histoire sur la fragilité de l'assise juridique des services de vérification de l'âge, et sur la rapidité avec laquelle un produit conforme et fonctionnel peut devenir inutilisable simplement parce qu'une juridiction change d'avis sur la manière dont une loi sur la vie privée s'applique. C'est précisément cette fragilité qui rend ce cas digne d'attention, même si vous n'avez jamais entendu parler de Yoti avant aujourd'hui.
Ce qu'il advient des données d'identité lorsqu'un fournisseur de vérification de l'âge quitte un marché
Voici la partie inconfortable. Chaque personne qui a vérifié son âge via Yoti pour accéder à un site web, une application ou un service en ligne l'a fait en confiant une forme de données d'identité, souvent un document d'identité scanné, un selfie, ou les deux. Ces données ne sont pas restées sur le site web que l'utilisateur cherchait à consulter. Elles ont transité par les systèmes de Yoti et y ont été stockées, car c'est ainsi que fonctionne la vérification de l'âge par un tiers : le fournisseur devient le détenteur du dossier de vérification, et non la plateforme qui le demande.
Lorsqu'un fournisseur comme Yoti est contraint de quitter un pays, l'argument juridique justifiant le retrait de l'application des magasins est relativement simple. La question plus difficile est de savoir ce qu'il advient des dossiers d'identité déjà collectés auprès des utilisateurs de ce marché. Les données sont-elles supprimées ? Migrées vers une autre entité ? Laissées en stockage pendant que l'entreprise règle son statut réglementaire ailleurs ? Pour les personnes dont les documents d'identité se trouvent dans cette base de données, il n'existe souvent aucune réponse claire et immédiate, et très peu de visibilité sur l'issue qui se produit réellement. La base d'utilisateurs vérifiés se retrouve effectivement orpheline, stockée dans l'infrastructure d'un fournisseur qui n'opère plus dans le pays où les données ont été initialement collectées.
Les droits à la portabilité des données du RGPD et leurs limites en pratique
Le RGPD confère aux individus un droit à la portabilité des données et, dans de nombreux cas, un droit de demander la suppression de leurs données personnelles. Sur le papier, cela ressemble à un filet de sécurité pour exactement ce genre de situation. En pratique, les droits à la portabilité et à la suppression dépendent de la capacité de la personne concernée à savoir où se trouvent ses données, à comprendre quelle entreprise les contrôle légalement après une sortie du marché, et à soumettre avec succès une demande qui sera honorée dans un délai raisonnable.
La plupart des utilisateurs qui ont vérifié leur âge via une application tierce ne s'attendaient jamais à avoir besoin de tout cela. On ne leur a pas dit, au moment de la vérification, que la capacité du fournisseur à opérer dans leur pays pouvait changer sur simple décision réglementaire. Lorsque cela se produit, le droit théorique de demander la restitution de ses données ou leur suppression se heurte à la réalité pratique que la plupart des gens ne savent pas quels fournisseurs détiennent leurs documents d'identité, ni comment les contacter une fois que l'application du fournisseur n'est même plus téléchargeable dans leur région.
Comment les obligations de vérification de l'âge poussent les utilisateurs vers les VPN
Des épisodes comme celui-ci expliquent en partie pourquoi les obligations de vérification de l'âge continuent de générer des frictions entre régulateurs, plateformes et utilisateurs. Les lois exigeant des contrôles d'identité avant d'accéder à certains contenus ont déjà suscité des résistances dans plusieurs juridictions, notamment aux États-Unis où certains législateurs veulent interdire les VPN spécifiquement pour empêcher les gens de les utiliser afin de contourner les exigences de vérification de l'âge. Cette réaction législative est en soi le signe qu'un nombre significatif d'utilisateurs préfèrent contourner entièrement les contrôles d'identité plutôt que de remettre des documents à un fournisseur tiers de vérification, surtout lorsque ses pratiques de gestion des données à long terme et sa stabilité sur le marché sont impossibles à garantir à l'avance.
Le schéma plus large est familier à quiconque a observé les gouvernements resserrer leur contrôle sur ce que les citoyens peuvent accéder en ligne. Tout comme l'expansion des restrictions internet a rendu les VPN plus essentiels pour les personnes tentant de préserver un accès normal au web, les obligations de vérification de l'âge poussent les utilisateurs soucieux de leur vie privée vers des outils qui évitent d'emblée les points de contrôle d'identité centralisés.
Ce que cela signifie pour vous
Si vous avez déjà effectué une vérification d'âge nécessitant le téléversement d'une pièce d'identité officielle ou la prise d'un selfie pour la reconnaissance faciale, ces données résident dans la base de données d'un fournisseur, et non sur le site web que vous cherchiez à visiter. Le cas de Yoti en Espagne démontre que ces fournisseurs peuvent perdre leur légitimité juridique dans un pays donné pour des raisons n'ayant rien à voir avec des défaillances de sécurité, et pourtant vos données d'identité précédemment soumises ne disparaissent pas automatiquement lorsque cela se produit. Le risque fondamental lié aux données des fournisseurs de vérification de l'âge n'est pas que l'entreprise soit piratée. C'est que l'arrangement entre vous, la plateforme et le fournisseur n'a jamais été conçu avec un processus clair et garanti pour ce qu'il advient de vos données lorsque cet arrangement prend fin.
Points clés pour protéger vos données d'identité
Avant de soumettre des documents d'identité à un service de vérification de l'âge, vérifiez si le fournisseur publie une politique claire de conservation et de suppression des données, et confirmez combien de temps vos données sont conservées après la fin de la vérification. Dans la mesure du possible, privilégiez les services qui utilisent des méthodes d'estimation de l'âge préservant la vie privée et qui ne nécessitent pas du tout le stockage d'une copie de votre pièce d'identité officielle. Si vous avez déjà vérifié votre âge via un service ayant depuis fait l'objet d'une action réglementaire dans votre pays, envisagez de soumettre une demande formelle de suppression de données en vertu de la loi applicable sur la vie privée plutôt que de supposer que les données ont été automatiquement purgées. Et si éviter la collecte centralisée d'identité vous importe, comprenez que la même pression réglementaire qui motive ces obligations alimente aussi la résistance contre les outils de confidentialité permettant aux utilisateurs de contourner ces contrôles, alors renseignez-vous sur les règles locales avant de vous fier à un quelconque contournement.
