Miért távolították el a Yotit a spanyol alkalmazásboltokból

A Yoti, Európa egyik legszélesebb körben használt életkor-ellenőrző és személyazonosság-igazoló alkalmazása eltűnik a spanyol alkalmazásboltokból. A lépés mögött nem áll adatvédelmi incidens, és nem a technológia hibája. Ehelyett a spanyol szabályozó hatóság a GDPR egyetlen cikkelyének értelmezése révén jogilag forgalmazhatatlanná tette a terméket abban az országban. Egy olyan szolgáltatás esetében, amelyre számos weboldal és alkalmazás támaszkodott a felhasználó életkorának ellenőrzéséhez a korlátozott tartalmakhoz való hozzáférés engedélyezése előtt, ez a szabályozói értelmezés elegendő volt ahhoz, hogy szinte egyik napról a másikra piaci kivonulásra kényszerítse a vállalatot.

Ez nem hackerekről vagy kiszivárgott adatbázisokról szóló történet. Ez arról szól, mennyire törékeny lehet az életkor-ellenőrző szolgáltatások jogi alapja, és milyen gyorsan válhat egy megfelelő, működő termék használhatatlanná pusztán azért, mert egy joghatóság meggondolja magát egy adatvédelmi jog alkalmazásáról. Ez a törékenység az, ami miatt érdemes figyelmet fordítani erre az esetre, még akkor is, ha ma előtt soha nem hallottál a Yotiról.

Mi történik a személyazonossági adatokkal, amikor egy életkor-ellenőrző szolgáltató kivonul egy piacról

Itt jön a kényelmetlen rész. Mindenki, aki a Yotin keresztül igazolta az életkorát egy weboldal, alkalmazás vagy online szolgáltatás eléréséhez, valamilyen formában átadta személyazonossági adatait, gyakran beszkennelt személyazonosító okmányát, szelfijét, vagy mindkettőt. Ezek az adatok nem maradtak annál a weboldalnál, amelyet a felhasználó el kívánt érni. A Yoti rendszerein keresztül haladtak át és ott tárolódtak, mert a harmadik féltől származó életkor-ellenőrzés így működik: a szolgáltató válik az ellenőrzési nyilvántartás birtokosává, nem pedig a kérelmező platform.

Amikor egy olyan szolgáltatót, mint a Yoti, kiszorítanak egy országból, az alkalmazás áruházakból való eltávolításának jogi érvelése viszonylag egyszerű. A nehezebb kérdés az, hogy mi történik a piacon már összegyűjtött személyazonossági nyilvántartásokkal. Törlik az adatokat? Áthelyezik egy másik szervezethez? Tárolva maradnak, amíg a vállalat máshol rendezi szabályozási státuszát? Azoknak az embereknek, akiknek személyazonosító okmányai abban az adatbázisban vannak, gyakran nincs világos, azonnali válasz, és nagyon kevés rálátásuk van arra, hogy melyik kimenetel valósul meg ténylegesen. Az ellenőrzött felhasználói bázis gyakorlatilag árván marad, egy olyan szolgáltató infrastruktúrájában, amely már nem működik abban az országban, ahol az adatokat eredetileg gyűjtötték.

A GDPR adathordozhatósági jogai és azok gyakorlati korlátai

A GDPR jogot biztosít az egyéneknek az adathordozhatósághoz, és sok esetben a személyes adataik törlésének kéréséhez. Papíron ez pontosan erre a helyzetre nyújt biztonsági hálót. A gyakorlatban azonban a hordozhatósági és törlési jogok attól függnek, hogy az érintett tudja-e, hol vannak az adatai, megértse-e, melyik vállalat gyakorol jogi ellenőrzést felettük egy piaci kivonulás után, és sikeresen benyújtson-e egy kérelmet, amelyet ésszerű határidőn belül teljesítenek.

A legtöbb felhasználó, aki harmadik féltől származó alkalmazáson keresztül igazolta az életkorát, soha nem számított arra, hogy minderre szüksége lesz. Az ellenőrzés pillanatában nem tájékoztatták arról, hogy a szolgáltató adott országban való működési képessége egyetlen szabályozói döntéssel megváltozhat. Amikor ez megtörténik, az adatok visszakérésének vagy törlésének elméleti joga ütközik azzal a gyakorlati valósággal, hogy a legtöbb ember nem követi nyomon, mely szolgáltatók tárolják személyazonosító okmányaikat, vagy hogyan érheti el őket, miután a szolgáltató alkalmazása már le sem tölthető a régiójában.

Hogyan terelik az életkor-ellenőrzési kötelezettségek a felhasználókat a VPN-ek felé

Az ehhez hasonló esetek is hozzájárulnak ahhoz, hogy az életkor-ellenőrzési kötelezettségek folyamatos súrlódást generálnak a szabályozók, a platformok és a felhasználók között. A bizonyos tartalmak elérése előtti személyazonosság-ellenőrzést előíró törvények már több joghatóságban is ellenállást váltottak ki, beleértve az Egyesült Államokban tett erőfeszítéseket is, ahol egyes jogalkotók kifejezetten be akarják tiltani a VPN-eket, hogy megakadályozzák az embereket abban, hogy azokkal megkerüljék az életkor-ellenőrzési követelményeket. Ez a jogalkotói reakció önmagában is jelzi, hogy a felhasználók jelentős része inkább teljesen megkerülné a személyazonosság-ellenőrzést, mintsem hogy okmányokat adjon át egy harmadik féltől származó ellenőrző szolgáltatónak, különösen olyannak, amelynek hosszú távú adatkezelési gyakorlata és piaci stabilitása előre nem garantálható.

A tágabb minta ismerős mindazok számára, akik figyelték, ahogy a kormányok szigorítják az állampolgárok online hozzáférésének ellenőrzését. Ahogy a bővülő internetes korlátozások egyre nélkülözhetetlenebbé tették a VPN-eket azok számára, akik meg akarják őrizni a web normális elérését, az életkor-ellenőrzési kötelezettségek az adatvédelemre érzékeny felhasználókat olyan eszközök felé terelik, amelyek eleve elkerülik a központosított személyazonosság-ellenőrzési pontokat.

Mit jelent ez a te számodra

Ha valaha is végigmentél olyan életkor-ellenőrzésen, amely kormányzati személyazonosító okmány feltöltését vagy arcfelismeréshez szelfi készítését igényelte, azok az adatok egy szolgáltató adatbázisában élnek, nem pedig azon a weboldalon, amelyet meg akartál látogatni. A spanyolországi Yoti-eset azt mutatja, hogy ezek a szolgáltatók elveszíthetik jogi jogállásukat egy adott országban olyan okokból, amelyeknek semmi közük a biztonsági hiányosságokhoz, a korábban benyújtott személyazonossági adataid pedig nem tűnnek el automatikusan, amikor ez megtörténik. Az életkor-ellenőrző szolgáltatók adatkezelésének fő kockázata nem az, hogy a vállalatot feltörik. Hanem az, hogy a közted, a platform és a szolgáltató közötti megállapodást soha nem úgy alakították ki, hogy világos, garantált folyamat legyen arra nézve, mi történik az adataiddal, amikor ez a megállapodás véget ér.

Tanulságok a személyazonossági adataid védelméhez

Mielőtt személyazonosító okmányokat nyújtanál be bármely életkor-ellenőrző szolgáltatáshoz, ellenőrizd, hogy a szolgáltató közzétesz-e világos adatmegőrzési és törlési szabályzatot, és győződj meg arról, mennyi ideig tárolják az adataidat az ellenőrzés befejezése után. Ahol lehetséges, részesítsd előnyben azokat a szolgáltatásokat, amelyek adatvédelmet megőrző életkor-becslési módszereket alkalmaznak, amelyek egyáltalán nem igénylik a kormányzati személyazonosító okmányod másolatának tárolását. Ha már igazoltad az életkorodat egy olyan szolgáltatáson keresztül, amely ellen azóta szabályozói intézkedést hoztak az országodban, fontold meg hivatalos adattörlési kérelem benyújtását a vonatkozó adatvédelmi jogszabályok alapján, ahelyett hogy feltételeznéd, hogy az adatokat automatikusan törölték. És ha fontos számodra a központosított személyazonosság-gyűjtés elkerülése, értsd meg, hogy ugyanaz a szabályozói nyomás, amely az ehhez hasonló kötelezettségeket hajtja, azoknak az adatvédelmi eszközöknek az elleni ellenállást is táplálja, amelyek lehetővé teszik a felhasználók számára az ilyen ellenőrzések teljes megkerülését, ezért ismerd a helyi szabályokat, mielőtt bármely megkerülő megoldásra támaszkodnál.