Varför Yoti drogs tillbaka från spanska appbutiker

Yoti, en av de mest använda apparna för ålderskontroll och identitetsverifiering i Europa, försvinner från spanska appbutiker. Bakom beslutet ligger inget dataintrång och inget tekniskt misslyckande. I stället gjorde en spansk tillsynsmyndighets tolkning av en enda GDPR-artikel produkten juridiskt omöjlig att distribuera i landet. För en tjänst som många webbplatser och appar förlitade sig på för att bekräfta en användares ålder innan åtkomst till begränsat innehåll beviljades, räckte den regulatoriska tolkningen för att tvinga fram en utträde från marknaden nästan över en natt.

Det här är inte en historia om hackare eller läckta databaser. Det är en historia om hur bräckligt det juridiska fundamentet under åldersverifieringstjänster kan vara, och hur snabbt en regelefterlevande, fungerande produkt kan bli oanvändbar bara för att en jurisdiktion ändrar sin syn på hur en integritetslag ska tillämpas. Den bräckligheten är precis vad som gör detta fall värt att uppmärksamma, även om du aldrig har hört talas om Yoti förrän idag.

Vad händer med identitetsdata när en leverantör av ålderskontroll lämnar en marknad

Här kommer det obehagliga. Varje person som verifierade sin ålder via Yoti för att få åtkomst till en webbplats, app eller onlinetjänst gjorde det genom att lämna över någon form av identitetsdata, ofta ett skannat ID-dokument, en selfie, eller båda. Dessa data stannade inte hos webbplatsen som användaren försökte få åtkomst till. De dirigerades genom Yotis system och lagrades där, eftersom det är så tredjepartsbaserad ålderskontroll fungerar: leverantören blir innehavare av verifieringsposten, inte plattformen som begär den.

När en leverantör som Yoti tvingas ut ur ett land är det juridiska argumentet för att ta bort appen från butikerna förhållandevis enkelt. Den svårare frågan är vad som händer med de identitetsposter som redan samlats in från användare på den marknaden. Radas data upp? Migreras de till en annan enhet? Lämnas de kvar i lagring medan företaget reder ut sin regulatoriska status någon annanstans? För de personer vars ID-dokument ligger i den databasen finns det ofta inget tydligt, omedelbart svar, och mycket liten insyn i vilket utfall som faktiskt inträffar. Den verifierade användarbasen blir i praktiken föräldralös, kvar i en leverantörs infrastruktur som inte längre verkar i landet där data ursprungligen samlades in.

GDPR:s rätt till dataportabilitet och dess begränsningar i praktiken

GDPR ger individer en rätt till dataportabilitet och, i många fall, en rätt att begära radering av sina personuppgifter. På papper låter det som ett skyddsnät för precis den här situationen. I praktiken är rätten till portabilitet och radering beroende av att den registrerade vet var dennes data finns, förstår vilket företag som juridiskt kontrollerar den efter en marknadsutträde, och framgångsrikt skickar in en begäran som efterlevs inom rimlig tid.

De flesta användare som verifierade sin ålder via en tredjepartsapp förväntade sig aldrig att behöva något av detta. De fick inte veta, i verifieringsögonblicket, att leverantörens förmåga att verka i deras land kunde förändras med ett enda regulatoriskt beslut. När det händer kolliderar den teoretiska rätten att begära tillbaka sina data eller få dem raderade med den praktiska verkligheten att de flesta inte håller reda på vilka leverantörer som innehar deras identitetsdokument, eller hur de når dem när leverantörens app inte ens längre går att ladda ner i deras region.

Hur krav på åldersverifiering driver användare mot VPN

Episoder som denna är en del av varför krav på åldersverifiering fortsätter att skapa friktion mellan tillsynsmyndigheter, plattformar och användare. Lagar som kräver ID-kontroller innan åtkomst till visst innehåll har redan väckt motstånd i flera jurisdiktioner, inklusive ansträngningar i USA där vissa lagstiftare vill förbjuda VPN specifikt för att hindra människor från att använda dem för att kringgå krav på åldersverifiering. Den legislativa reaktionen är i sig en signal om att en betydande del av användarna hellre kringgår identitetskontroller helt än lämnar dokument till en tredjepartsleverantör för verifiering, särskilt en vars långsiktiga datahanteringspraxis och marknadsstabilitet är omöjliga att garantera i förväg.

Det bredare mönstret är bekant för alla som har följt hur regeringar stramar åt kontrollen över vad medborgare kan komma åt online. Precis som expanderande internetrestriktioner har gjort VPN mer nödvändiga för människor som försöker bevara normal åtkomst till webben, knuffar krav på åldersverifiering integritetsmedvetna användare mot verktyg som undviker centraliserade identitetskontrollpunkter från början.

Vad detta betyder för dig

Om du någonsin har genomfört en ålderskontroll som krävde att du laddade upp en statlig legitimation eller tog en selfie för ansiktsmatchning, lever dessa data i en leverantörs databas, inte på webbplatsen du försökte besöka. Yoti-fallet i Spanien visar att dessa leverantörer kan förlora sin juridiska ställning i ett givet land av skäl som inte har något att göra med säkerhetsbrister, och ändå försvinner inte dina tidigare inlämnade identitetsdata automatiskt när det händer. Kärnrisken med leverantörers data vid åldersverifiering är inte att företaget ska hackas. Det är att arrangemanget mellan dig, plattformen och leverantören aldrig byggdes med en tydlig, garanterad process för vad som händer med dina data när arrangemanget upphör.

Slutsatser för att skydda dina identitetsdata

Innan du lämnar ID-dokument till någon tjänst för åldersverifiering, kontrollera om leverantören publicerar en tydlig policy för datalagring och radering, och bekräfta hur länge dina data lagras efter att verifieringen är klar. Där det är möjligt, föredra tjänster som använder integritetsbevarande metoder för åldersuppskattning som inte kräver att en kopia av din statliga legitimation lagras alls. Om du redan har verifierat din ålder via en tjänst som sedan dess har mött regulatoriska åtgärder i ditt land, överväg att lämna in en formell begäran om radering av data enligt tillämplig integritetslagstiftning i stället för att anta att data automatiskt rensades. Och om det är viktigt för dig att undvika centraliserad ID-insamling, förstå att samma regulatoriska press som driver krav som dessa också eldar på motståndet mot integritetsverktyg som låter användare kringgå sådana kontroller helt, så känn till dina lokala regler innan du förlitar dig på någon kringgång.