Hvorfor Yoti ble trukket fra spanske appbutikker
Yoti, en av de mest brukte appene for aldersbekreftelse og identitetsverifisering i Europa, forsvinner fra spanske appbutikker. Det lå ingen datainnbrudd bak avgjørelsen, og ingen feil ved teknologien selv. I stedet gjorde en spansk tilsynsmyndighets tolkning av én enkelt GDPR-artikkel produktet rettslig umulig å distribuere i landet. For en tjeneste som mange nettsteder og apper var avhengige av for å bekrefte en brukers alder før de ga tilgang til begrenset innhold, var denne regulatoriske lesningen nok til å tvinge frem en markedsutgang nesten over natten.
Dette er ikke en historie om hackere eller lekke databaser. Det er en historie om hvor skjør det juridiske grunnlaget under tjenester for aldersverifisering kan være, og hvor raskt et compliant, fungerende produkt kan bli ubrukelig bare fordi én jurisdiksjon endrer syn på hvordan en personvernlov skal anvendes. Denne skjørheten er nettopp det som gjør denne saken verdt å følge med på, selv om du aldri har hørt om Yoti før i dag.
Hva skjer med identitetsdata når en leverandør av alderssjekk forlater et marked
Her kommer den ubehagelige delen. Hver person som verifiserte alderen sin gjennom Yoti for å få tilgang til et nettsted, en app eller en nettjeneste, gjorde det ved å overlevere en eller annen form for identitetsdata, ofte et skannet ID-dokument, en selfie, eller begge deler. Disse dataene ble ikke liggende hos nettstedet brukeren prøvde å få tilgang til. De ble rutet gjennom Yotis systemer og lagret der, fordi det er slik tredjeparts aldersbekreftelse fungerer: leverandøren blir innehaver av verifiseringsposten, ikke plattformen som ber om den.
Når en leverandør som Yoti tvinges ut av et land, er det juridiske argumentet for å fjerne appen fra butikkene forholdsvis enkelt. Det vanskeligere spørsmålet er hva som skjer med identitetsoppføringene som allerede er samlet inn fra brukere i dette markedet. Blir dataene slettet? Overført til en annen enhet? Latt ligge i lagring mens selskapet ordner opp i sin regulatoriske status andre steder? For personene hvis ID-dokumenter ligger i den databasen, finnes det ofte ikke noe klart, umiddelbart svar, og svært lite innsyn i hvilket utfall som faktisk inntreffer. Den verifiserte brukerbasen blir i praksis foreldreløs, og ligger i en leverandørs infrastruktur som ikke lenger opererer i landet der dataene opprinnelig ble samlet inn.
GDPRs rett til dataportabilitet og dens grenser i praksis
GDPR gir enkeltpersoner rett til dataportabilitet og, i mange tilfeller, rett til å kreve sletting av sine personopplysninger. På papiret høres det ut som et sikkerhetsnett for nettopp denne situasjonen. I praksis avhenger rettighetene til portabilitet og sletting av at den registrerte vet hvor dataene deres befinner seg, forstår hvilket selskap som juridisk kontrollerer dem etter en markedsutgang, og lykkes med å sende inn en forespørsel som blir etterkommet innen rimelig tid.
De fleste brukere som verifiserte alderen sin gjennom en tredjepartsapp, forventet aldri å trenge noe av dette. De fikk ikke beskjed, i verifiseringsøyeblikket, om at leverandørens evne til å operere i landet deres kunne endre seg med en enkelt regulatorisk beslutning. Når det skjer, kolliderer den teoretiske retten til å be om dataene sine tilbake eller få dem slettet, med den praktiske virkeligheten at de fleste ikke holder oversikt over hvilke leverandører som har ID-dokumentene deres, eller hvordan de kan nå dem når leverandørens app ikke lenger engang er tilgjengelig for nedlasting i regionen deres.
Hvordan påbud om aldersverifisering presser brukere mot VPN
Episoder som denne er en del av grunnen til at påbud om aldersverifisering stadig skaper friksjon mellom regulatorer, plattformer og brukere. Lover som krever ID-sjekk før tilgang til visst innhold har allerede utløst motstand i flere jurisdiksjoner, inkludert initiativer i USA der noen lovgivere vil forby VPN spesifikt for å hindre folk i å bruke dem til å omgå krav om aldersverifisering. Denne lovgivningsreaksjonen er i seg selv et signal om at en betydelig andel brukere heller vil rute seg rundt identitetssjekker helt enn å overlevere dokumenter til en tredjeparts verifiseringsleverandør, særlig en hvis langsiktige databehandlingspraksis og markedsstabilitet er umulig å garantere på forhånd.
Det bredere mønsteret er kjent for alle som har fulgt med på hvordan myndigheter strammer grepet om hva innbyggerne kan få tilgang til på nett. Akkurat som økende internettrestriksjoner har gjort VPN mer essensielt for folk som prøver å bevare normal tilgang til nettet, dytter påbud om aldersverifisering personvernbevisste brukere mot verktøy som unngår sentraliserte identitetssjekkpunkter i utgangspunktet.
Hva dette betyr for deg
Hvis du noen gang har fullført en alderssjekk som krevde opplasting av en offentlig ID eller å ta en selfie for ansiktsgjenkjenning, lever disse dataene i en leverandørs database, ikke på nettstedet du prøvde å besøke. Yoti-saken i Spania viser at slike leverandører kan miste sin juridiske status i et gitt land av grunner som ikke har noe med sikkerhetssvikt å gjøre, og likevel forsvinner ikke dine tidligere innsendte identitetsdata automatisk når det skjer. Kjernejrisikoen ved databehandling hos leverandører av aldersverifisering er ikke at selskapet blir hacket. Det er at ordningen mellom deg, plattformen og leverandøren aldri ble bygget med en klar, garantert prosess for hva som skjer med dataene dine når den ordningen tar slutt.
Viktige punkter for å beskytte identitetsdataene dine
Før du sender inn ID-dokumenter til en hvilken som helst tjeneste for aldersverifisering, sjekk om leverandøren publiserer en klar policy for datalagring og sletting, og bekreft hvor lenge dataene dine lagres etter at verifiseringen er fullført. Der det er mulig, foretrekk tjenester som bruker personvernbevarende metoder for aldersestimering som ikke krever å lagre en kopi av din offentlige ID i det hele tatt. Hvis du allerede har verifisert alderen din gjennom en tjeneste som siden har møtt regulatoriske tiltak i landet ditt, bør du vurdere å sende inn en formell forespørsel om sletting av data i henhold til gjeldende personvernlovgivning, i stedet for å anta at dataene ble automatisk slettet. Og hvis det å unngå sentralisert ID-innsamling er viktig for deg, bør du forstå at det samme regulatoriske presset som driver påbud som disse, også driver motstand mot personvernverktøy som lar brukere omgå slike sjekker helt, så sett deg inn i lokale regler før du stoler på noen omvei.
