Mengapa Yoti Ditarik dari Toko Aplikasi Spanyol
Yoti, salah satu aplikasi jaminan usia dan verifikasi identitas yang paling banyak digunakan di Eropa, menghilang dari toko aplikasi Spanyol. Tidak ada pelanggaran data di balik langkah ini, dan tidak ada kegagalan pada teknologi itu sendiri. Sebaliknya, interpretasi seorang regulator Spanyol terhadap satu pasal GDPR membuat produk tersebut secara hukum tidak dapat diluncurkan di negara itu. Bagi sebuah layanan yang diandalkan banyak situs web dan aplikasi untuk mengonfirmasi usia pengguna sebelum memberikan akses ke konten yang dibatasi, pembacaan regulasi tersebut sudah cukup untuk memaksa keluarnya dari pasar hampir dalam semalam.
Ini bukan kisah tentang peretas atau basis data yang bocor. Ini adalah kisah tentang betapa rapuhnya landasan hukum di bawah layanan verifikasi usia, dan betapa cepatnya produk yang patuh dan berfungsi menjadi tidak dapat digunakan hanya karena satu yurisdiksi mengubah pandangannya tentang bagaimana hukum privasi diterapkan. Kerapuhan itulah yang justru membuat kasus ini layak diperhatikan, bahkan jika Anda belum pernah mendengar tentang Yoti sebelum hari ini.
Apa yang Terjadi pada Data Identitas Ketika Vendor Pemeriksaan Usia Keluar dari Suatu Pasar
Inilah bagian yang tidak nyaman. Setiap orang yang memverifikasi usia mereka melalui Yoti untuk mengakses situs web, aplikasi, atau layanan online melakukannya dengan menyerahkan semacam data identitas, sering kali berupa dokumen identitas yang dipindai, swafoto, atau keduanya. Data tersebut tidak tetap berada di situs web yang ingin diakses pengguna. Data itu dialirkan melalui sistem Yoti dan disimpan di sana, karena begitulah cara kerja jaminan usia pihak ketiga: vendor menjadi pemegang catatan verifikasi, bukan platform yang memintanya.
Ketika vendor seperti Yoti dipaksa keluar dari suatu negara, argumen hukum untuk menghapus aplikasi dari toko relatif sederhana. Pertanyaan yang lebih sulit adalah apa yang terjadi pada catatan identitas yang sudah dikumpulkan dari pengguna di pasar tersebut. Apakah data itu dihapus? Dipindahkan ke entitas lain? Dibiarkan tersimpan sementara perusahaan menyelesaikan status regulasinya di tempat lain? Bagi orang-orang yang dokumen identitasnya berada di basis data itu, sering kali tidak ada jawaban yang jelas dan langsung, dan sangat sedikit visibilitas mengenai hasil mana yang sebenarnya terjadi. Basis pengguna terverifikasi itu pada dasarnya menjadi yatim piatu, berada di infrastruktur vendor yang tidak lagi beroperasi di negara tempat data itu awalnya dikumpulkan.
Hak Portabilitas Data GDPR dan Batasannya dalam Praktik
GDPR memberikan individu hak atas portabilitas data dan, dalam banyak kasus, hak untuk meminta penghapusan data pribadi mereka. Di atas kertas, itu terdengar seperti jaring pengaman untuk situasi seperti ini. Dalam praktiknya, hak portabilitas dan penghapusan bergantung pada subjek data yang mengetahui di mana datanya berada, memahami perusahaan mana yang secara hukum mengendalikannya setelah keluar dari pasar, dan berhasil mengajukan permintaan yang dipenuhi dalam jangka waktu yang wajar.
Sebagian besar pengguna yang memverifikasi usia mereka melalui aplikasi pihak ketiga tidak pernah mengharapkan perlu melakukan semua itu. Mereka tidak diberitahu, pada saat verifikasi, bahwa kemampuan vendor untuk beroperasi di negara mereka dapat berubah dengan satu keputusan regulasi. Ketika itu terjadi, hak teoretis untuk meminta data Anda kembali atau menghapusnya berbenturan dengan kenyataan praktis bahwa sebagian besar orang tidak melacak vendor mana yang menyimpan dokumen identitas mereka, atau bagaimana menghubungi mereka setelah aplikasi vendor tersebut bahkan tidak lagi tersedia untuk diunduh di wilayah mereka.
Bagaimana Mandat Verifikasi Usia Mendorong Pengguna ke VPN
Episode seperti ini adalah salah satu alasan mengapa mandat verifikasi usia terus menimbulkan gesekan antara regulator, platform, dan pengguna. Undang-undang yang mewajibkan pemeriksaan ID sebelum mengakses konten tertentu telah memicu perlawanan di berbagai yurisdiksi, termasuk upaya di Amerika Serikat di mana beberapa legislator ingin melarang VPN secara khusus untuk mencegah orang menggunakannya guna menghindari persyaratan verifikasi usia. Reaksi legislatif itu sendiri merupakan sinyal bahwa sejumlah besar pengguna lebih memilih untuk menyingkir dari pemeriksaan identitas sepenuhnya daripada menyerahkan dokumen kepada vendor verifikasi pihak ketiga, terutama vendor yang praktik penanganan data jangka panjang dan stabilitas pasarnya mustahil dijamin sebelumnya.
Pola yang lebih luas ini sudah tidak asing bagi siapa pun yang telah mengamati pemerintah memperketat kontrol atas apa yang dapat diakses warga secara online. Sama seperti pembatasan internet yang meluas telah membuat VPN semakin penting bagi orang-orang yang berusaha mempertahankan akses normal ke web, mandat verifikasi usia mendorong pengguna yang peduli privasi menuju alat-alat yang menghindari pos pemeriksaan identitas terpusat sejak awal.
Apa Artinya Ini Bagi Anda
Jika Anda pernah menyelesaikan pemeriksaan usia yang mengharuskan mengunggah ID pemerintah atau mengambil swafoto untuk pencocokan wajah, data itu tersimpan di basis data vendor, bukan di situs web yang ingin Anda kunjungi. Kasus Yoti di Spanyol menunjukkan bahwa vendor-vendor ini dapat kehilangan kedudukan hukum mereka di suatu negara karena alasan yang tidak ada hubungannya dengan kegagalan keamanan, namun data identitas Anda yang sebelumnya diserahkan tidak otomatis hilang ketika itu terjadi. Risiko inti data vendor verifikasi usia bukanlah bahwa perusahaan akan diretas. Melainkan bahwa pengaturan antara Anda, platform, dan vendor tidak pernah dibangun dengan proses yang jelas dan terjamin untuk apa yang terjadi pada data Anda ketika pengaturan itu berakhir.
Poin Penting untuk Melindungi Data Identitas Anda
Sebelum menyerahkan dokumen identitas ke layanan verifikasi usia mana pun, periksa apakah vendor menerbitkan kebijakan penyimpanan dan penghapusan data yang jelas, dan konfirmasi berapa lama data Anda disimpan setelah verifikasi selesai. Jika memungkinkan, utamakan layanan yang menggunakan metode estimasi usia yang menjaga privasi yang tidak memerlukan penyimpanan salinan ID pemerintah Anda sama sekali. Jika Anda sudah memverifikasi usia melalui layanan yang sejak itu menghadapi tindakan regulasi di negara Anda, pertimbangkan untuk mengajukan permintaan penghapusan data formal berdasarkan hukum privasi yang berlaku daripada mengasumsikan data tersebut otomatis dihapus. Dan jika menghindari pengumpulan ID terpusat penting bagi Anda, pahami bahwa tekanan regulasi yang sama yang mendorong mandat seperti ini juga memicu perlawanan terhadap alat privasi yang memungkinkan pengguna melewati pemeriksaan tersebut sepenuhnya, jadi ketahui aturan lokal Anda sebelum mengandalkan solusi apa pun.
