Waarom Yoti uit de Spaanse appstores werd gehaald
Yoti, een van de meest gebruikte apps voor leeftijdsverificatie en identiteitsverificatie in Europa, verdwijnt uit de Spaanse appstores. Er lag geen datalek achter deze stap, en geen technische fout. In plaats daarvan maakte de interpretatie van één GDPR-artikel door een Spaanse toezichthouder het product juridisch onverkoopbaar in dat land. Voor een dienst waarop veel websites en apps vertrouwden om de leeftijd van een gebruiker te bevestigen voordat toegang tot beperkte inhoud werd verleend, was die regelgevende lezing voldoende om een marktexit vrijwel van de ene op de andere dag te forceren.
Dit is geen verhaal over hackers of gelekt databases. Het is een verhaal over hoe fragiel de juridische basis onder leeftijdsverificatiediensten kan zijn, en hoe snel een conforme, functionerende product onbruikbaar kan worden simpelweg omdat één rechtsgebied van mening verandert over hoe een privacywet van toepassing is. Die fragiliteit is precies wat deze zaak de moeite waard maakt om op te letten, zelfs als je nog nooit van Yoti hebt gehoord.
Wat gebeurt er met identiteitsgegevens wanneer een leverancier van leeftijdscontrole een markt verlaat
Hier is het ongemakkelijke deel. Iedereen die zijn leeftijd via Yoti verifieerde om toegang te krijgen tot een website, app of online dienst, deed dat door een of andere vorm van identiteitsgegevens te overhandigen, vaak een gescand identiteitsbewijs, een selfie, of beide. Die gegevens bleven niet bij de website die de gebruiker probeerde te bezoeken. Ze werden via de systemen van Yoti geleid en daar opgeslagen, want zo werkt verificatie van leeftijd door derden: de leverancier wordt de houder van het verificatierecord, niet het platform dat erom vraagt.
Wanneer een leverancier zoals Yoti uit een land wordt gedwongen, is het juridische argument om de app uit de stores te verwijderen betrekkelijk eenvoudig. De moeilijkere vraag is wat er gebeurt met de identiteitsrecords die al van gebruikers in die markt zijn verzameld. Worden de gegevens verwijderd? Gemigreerd naar een andere entiteit? Achtergelaten in opslag terwijl het bedrijf zijn regelgevende status elders regelt? Voor de mensen wier identiteitsbewijzen in die database zitten, is er vaak geen duidelijk, onmiddellijk antwoord, en heel weinig zichtbaarheid in welke uitkomst daadwerkelijk optreedt. De geverifieerde gebruikersbasis wordt effectief verweesd, achtergelaten in de infrastructuur van een leverancier die niet langer actief is in het land waar de gegevens oorspronkelijk werden verzameld.
GDPR-rechten op gegevensoverdraagbaarheid en hun grenzen in de praktijk
De GDPR geeft individuen een recht op gegevensoverdraagbaarheid en, in veel gevallen, een recht om verwijdering van hun persoonsgegevens te verzoeken. Op papier klinkt dat als een vangnet voor precies deze situatie. In de praktijk hangen overdraagbaarheids- en verwijderingsrechten af van de vraag of de betrokkene weet waar zijn gegevens zich bevinden, begrijpt welk bedrijf er na een marktexit juridisch controle over heeft, en met succes een verzoek indient dat binnen een redelijke termijn wordt ingewilligd.
De meeste gebruikers die hun leeftijd via een app van een derde verifieerden, verwachtten niets van dat alles ooit nodig te hebben. Hun werd op het moment van verificatie niet verteld dat het vermogen van de leverancier om in hun land te opereren kon veranderen met één enkele regelgevende beslissing. Wanneer dat gebeurt, botst het theoretische recht om je gegevens terug te vragen of te laten verwijderen met de praktische realiteit dat de meeste mensen niet bijhouden welke leveranciers hun identiteitsbewijzen bezitten, of hoe ze hen kunnen bereiken zodra de app van de leverancier niet eens meer beschikbaar is om te downloaden in hun regio.
Hoe leeftijdsverificatieverplichtingen gebruikers richting VPN's duwen
Dit soort episodes is een van de redenen waarom leeftijdsverificatieverplichtingen steeds wrijving blijven veroorzaken tussen toezichthouders, platforms en gebruikers. Wetten die identiteitscontroles vereisen voordat toegang wordt verleend tot bepaalde inhoud, hebben al weerstand opgeroepen in meerdere rechtsgebieden, waaronder pogingen in de Verenigde Staten waar sommige wetgevers VPN's specifiek willen verbieden om te voorkomen dat mensen ze gebruiken om leeftijdsverificatievereisten te omzeilen. Die wetgevende reactie is op zichzelf een signaal dat een aanzienlijk aantal gebruikers identiteitscontroles liever volledig omzeilt dan documenten te overhandigen aan een verificatieleverancier van derden, vooral een waarvan de langetermijnpraktijken op het gebied van gegevensverwerking en marktstabiliteit vooraf onmogelijk te garanderen zijn.
Het bredere patroon is bekend voor iedereen die heeft gezien hoe overheden de controle verscherpen over wat burgers online kunnen benaderen. Net zoals uitbreidende internetbeperkingen VPN's essentiëler hebben gemaakt voor mensen die normale toegang tot het web proberen te behouden, duwen leeftijdsverificatieverplichtingen privacybewuste gebruikers richting tools die gecentraliseerde identiteitscontroles in de eerste plaats vermijden.
Wat dit voor jou betekent
Als je ooit een leeftijdscontrole hebt doorlopen waarbij je een overheidsidentiteitsbewijs moest uploaden of een selfie moest maken voor gezichtsherkenning, dan leven die gegevens in de database van een leverancier, niet op de website die je probeerde te bezoeken. De Yoti-zaak in Spanje toont aan dat deze leveranciers hun juridische status in een bepaald land kunnen verliezen om redenen die niets te maken hebben met beveiligingsfouten, en toch verdwijnen je eerder ingediende identiteitsgegevens niet automatisch wanneer dat gebeurt. Het kernrisico van gegevens bij leveranciers van leeftijdsverificatie is niet dat het bedrijf gehackt wordt. Het is dat de regeling tussen jou, het platform en de leverancier nooit is opgebouwd met een duidelijk, gegarandeerd proces voor wat er met je gegevens gebeurt wanneer die regeling eindigt.
Belangrijkste punten voor het beschermen van je identiteitsgegevens
Voordat je identiteitsbewijzen indient bij een leeftijdsverificatiedienst, controleer of de leverancier een duidelijk beleid voor gegevensbewaring en -verwijdering publiceert, en bevestig hoe lang je gegevens worden opgeslagen nadat de verificatie is voltooid. Geef waar mogelijk de voorkeur aan diensten die privacyvriendelijke methoden voor leeftijdsschatting gebruiken waarbij helemaal geen kopie van je overheidsidentiteitsbewijs hoeft te worden opgeslagen. Als je je leeftijd al hebt geverifieerd via een dienst die sindsdien te maken heeft gekregen met regelgevende maatregelen in jouw land, overweeg dan een formeel verzoek tot gegevensverwijdering in te dienen op grond van de toepasselijke privacywetgeving in plaats van aan te nemen dat de gegevens automatisch zijn gewist. En als het vermijden van gecentraliseerde identiteitsverzameling voor jou belangrijk is, begrijp dan dat dezelfde regelgevende druk die dit soort verplichtingen aandrijft ook de weerstand aanwakkert tegen privacytools waarmee gebruikers zulke controles volledig kunnen omzeilen, dus ken je lokale regels voordat je op welke workaround dan ook vertrouwt.
