Zašto je Yoti povučen iz španjolskih trgovina aplikacija
Yoti, jedna od najkorištenijih aplikacija za provjeru dobi i identiteta u Europi, nestaje iz španjolskih trgovina aplikacija. Iza tog poteza ne stoji curenje podataka, niti kvar u samoj tehnologiji. Umjesto toga, tumačenje jednog članka GDPR-a od strane španjolskog regulatora učinilo je proizvod pravno neisporučivim u toj zemlji. Za uslugu na koju su se mnoge web stranice i aplikacije oslanjale kako bi potvrdile korisnikovu dob prije odobravanja pristupa ograničenom sadržaju, to regulatorno čitanje bilo je dovoljno da prisili izlazak s tržišta gotovo preko noći.
Ovo nije priča o hakerima ili procurjelim bazama podataka. Ovo je priča o tome kako krhko pravno uporište usluga za provjeru dobi može biti i kako brzo usklađen, funkcionalan proizvod može postati neupotrebljiv samo zato što jedna jurisdikcija promijeni mišljenje o tome kako se zakon o privatnosti primjenjuje. Upravo ta krhkost čini ovaj slučaj vrijednim pažnje, čak i ako nikada prije danas niste čuli za Yoti.
Što se događa s podacima o identitetu kada dobavljač provjere dobi napusti tržište
Evo neugodnog dijela. Svaka osoba koja je provjerila svoju dob putem Yotija kako bi pristupila web stranici, aplikaciji ili online usluzi učinila je to predajući neki oblik podataka o identitetu, često skeniranu identifikacijsku ispravu, selfie ili oboje. Ti podaci nisu ostali kod web stranice kojoj je korisnik pokušavao pristupiti. Prošli su kroz Yotijeve sustave i tamo pohranjeni, jer tako funkcionira provjera dobi treće strane: dobavljač postaje nositelj zapisa o provjeri, a ne platforma koja ga je zatražila.
Kada je dobavljač poput Yotija prisiljen napustiti neku zemlju, pravni argument za uklanjanje aplikacije iz trgovina relativno je jednostavan. Teže pitanje je što se događa sa zapisima o identitetu koji su već prikupljeni od korisnika na tom tržištu. Brišu li se podaci? Migriraju li se drugom subjektu? Ostaju li u pohrani dok tvrtka rješava svoj regulatorni status negdje drugdje? Za ljude čije identifikacijske isprave sjede u toj bazi podataka često ne postoji jasan, trenutačan odgovor, i vrlo malo uvida u to koji se ishod zapravo događa. Provjerena korisnička baza efektivno postaje osiroteña, smještena u infrastrukturi dobavljača koji više ne posluje u zemlji u kojoj su podaci izvorno prikupljeni.
Prava na prenosivost podataka prema GDPR-u i njihova ograničenja u praksi
GDPR daje pojedincima pravo na prenosivost podataka i, u mnogim slučajevima, pravo zatražiti brisanje svojih osobnih podataka. Na papiru to zvuči kao sigurnosna mreža upravo za ovakvu situaciju. U praksi, prava na prenosivost i brisanje ovise o tome da ispitanik zna gdje se njegovi podaci nalaze, razumije koja tvrtka ih pravno kontrolira nakon izlaska s tržišta i uspješno podnese zahtjev koji bude uvažen u razumnom roku.
Većina korisnika koji su provjerili svoju dob putem aplikacije treće strane nikada nije očekivala da će im to trebati. Nije im rečeno, u trenutku provjere, da se sposobnost dobavljača da posluje u njihovoj zemlji može promijeniti jednom regulatornom odlukom. Kada se to dogodi, teorijsko pravo da zatražite svoje podatke natrag ili da budu izbrisani sudara se s praktičnom stvarnošću da većina ljudi ne prati koji dobavljači drže njihove identifikacijske isprave, niti kako ih kontaktirati kada aplikacija dobavljača više nije čak ni dostupna za preuzimanje u njihovoj regiji.
Kako mandati za provjeru dobi guraju korisnike prema VPN-ovima
Ovakve epizode dio su razloga zašto mandati za provjeru dobi neprestano stvaraju trenje između regulatora, platformi i korisnika. Zakoni koji zahtijevaju provjeru identiteta prije pristupa određenom sadržaju već su izazvali otpor u više jurisdikcija, uključujući napore u Sjedinjenim Državama gdje neki zakonodavci žele zabraniti VPN-ove upravo kako bi spriječili ljude da ih koriste za zaobilaženje zahtjeva za provjeru dobi. Ta zakonodavna reakcija sama po sebi signal je da bi značajan broj korisnika radije potpuno zaobišao provjere identiteta nego predao dokumente dobavljaču za provjeru treće strane, pogotovo onom čije se dugoročne prakse rukovanja podacima i stabilnost na tržištu ne mogu unaprijed jamčiti.
Širi obrazac poznat je svakome tko je promatrao kako vlade pojačavaju kontrolu nad onim čemu građani mogu pristupiti online. Baš kao što su širenje internetskih ograničenja učinilo VPN-ove nužnijima za ljude koji pokušavaju očuvati normalan pristup webu, mandati za provjeru dobi guraju korisnike zabrinute za privatnost prema alatima koji već na prvu izbjegavaju centralizirane kontrolne točke identiteta.
Što to znači za vas
Ako ste ikada prošli provjeru dobi koja je zahtijevala učitavanje državne identifikacijske isprave ili snimanje selfieja za prepoznavanje lica, ti podaci žive u bazi podataka dobavljača, a ne na web stranici koju ste pokušavali posjetiti. Slučaj Yotija u Španjolskoj pokazuje da ti dobavljači mogu izgubiti pravni status u određenoj zemlji iz razloga koji nemaju nikakve veze sa sigurnosnim propustima, a vaši prethodno predani podaci o identitetu ne nestaju automatski kada se to dogodi. Temeljni rizik podataka dobavljača za provjeru dobi nije to da će tvrtka biti hakirana. To je to da aranžman između vas, platforme i dobavljača nikada nije bio izgrađen s jasnim, zajamčenim procesom za ono što se događa s vašim podacima kada taj aranžman završi.
Ključne poruke za zaštitu vaših podataka o identitetu
Prije predaje identifikacijskih isprava bilo kojoj usluzi za provjeru dobi, provjerite objavljuje li dobavljač jasnu politiku zadržavanja i brisanja podataka te potvrdite koliko dugo se vaši podaci čuvaju nakon završetka provjere. Gdje je moguće, dajte prednost uslugama koje koriste metode procjene dobi koje čuvaju privatnost i uopće ne zahtijevaju pohranu kopije vaše državne identifikacijske isprave. Ako ste već provjerili svoju dob putem usluge koja je od tada suočena s regulatornim mjerama u vašoj zemlji, razmislite o podnošenju formalnog zahtjeva za brisanje podataka prema primjenjivom zakonu o privatnosti umjesto da pretpostavite da su podaci automatski izbrisani. A ako vam je važno izbjeći centralizirano prikupljanje identiteta, shvatite da isti regulatorni pritisak koji pokreće ovakve mandate također potiče otpor prema alatima za privatnost koji korisnicima omogućuju zaobilaženje takvih provjera, stoga provjerite lokalna pravila prije nego se oslonite na bilo kakvo zaobilazno rješenje.
