ทำไม Yoti จึงถูกถอดออกจากร้านแอปในสเปน

Yoti หนึ่งในแอปตรวจสอบอายุและยืนยันตัวตนที่ใช้กันอย่างแพร่หลายที่สุดในยุโรป กำลังหายไปจากร้านแอปในสเปน ไม่มีการรั่วไหลของข้อมูลเบื้องหลังการเคลื่อนไหวนี้ และไม่มีความล้มเหลวในตัวเทคโนโลยีเอง แต่การตีความมาตราเดียวของ GDPR โดยหน่วยงานกำกับดูแลของสเปนทำให้ผลิตภัณฑ์นี้ไม่สามารถเผยแพร่ได้อย่างถูกกฎหมายในประเทศนั้น สำหรับบริการที่เว็บไซต์และแอปจำนวนมากพึ่งพาเพื่อยืนยันอายุของผู้ใช้ก่อนอนุญาตให้เข้าถึงเนื้อหาที่จำกัด การตีความทางกฎระเบียบดังกล่าวก็เพียงพอที่จะบังคับให้ออกจากตลาดเกือบจะในชั่วข้ามคืน

นี่ไม่ใช่เรื่องราวเกี่ยวกับแฮกเกอร์หรือฐานข้อมูลที่รั่วไหล เป็นเรื่องราวเกี่ยวกับความเปราะบางของพื้นฐานทางกฎหมายที่รองรับบริการตรวจสอบอายุ และผลิตภัณฑ์ที่ปฏิบัติตามกฎและทำงานได้สามารถกลายเป็นใช้งานไม่ได้อย่างรวดเร็วเพียงเพราะเขตอำนาจศาลหนึ่งเปลี่ยนใจเกี่ยวกับวิธีการบังคับใช้กฎหมายความเป็นส่วนตัว ความเปราะบางนั้นเองที่ทำให้กรณีนี้ควรค่าแก่การใส่ใจ แม้ว่าคุณจะไม่เคยได้ยินชื่อ Yoti มาก่อนจนถึงวันนี้

เกิดอะไรขึ้นกับข้อมูลระบุตัวตนเมื่อผู้ให้บริการตรวจสอบอายุออกจากตลาด

นี่คือส่วนที่ไม่สบายใจ ทุกคนที่ยืนยันอายุผ่าน Yoti เพื่อเข้าถึงเว็บไซต์ แอป หรือบริการออนไลน์ ล้วนทำโดยการมอบข้อมูลระบุตัวตนบางรูปแบบ ซึ่งมักเป็นเอกสารประจำตัวที่สแกน เซลฟี่ หรือทั้งสองอย่าง ข้อมูลนั้นไม่ได้อยู่กับเว็บไซต์ที่ผู้ใช้พยายามเข้าถึง แต่ถูกส่งผ่านระบบของ Yoti และจัดเก็บไว้ที่นั่น เพราะนั่นคือวิธีการทำงานของการตรวจสอบอายุโดยบุคคลที่สาม: ผู้ให้บริการกลายเป็นผู้ถือบันทึกการยืนยัน ไม่ใช่แพลตฟอร์มที่ร้องขอ

เมื่อผู้ให้บริการอย่าง Yoti ถูกบังคับให้ออกจากประเทศ ข้อโต้แย้งทางกฎหมายในการถอดแอปออกจากร้านนั้นค่อนข้างง่าย คำถามที่ยากกว่าคือเกิดอะไรขึ้นกับบันทึกระบุตัวตนที่เก็บรวบรวมจากผู้ใช้ในตลาดนั้นแล้ว ข้อมูลจะถูกลบหรือไม่? ย้ายไปยังนิติบุคคลอื่น? ถูกทิ้งไว้ในที่จัดเก็บขณะที่บริษัทจัดการสถานะทางกฎระเบียบในที่อื่น? สำหรับผู้ที่เอกสารประจำตัวอยู่ในฐานข้อมูลนั้น มักไม่มีคำตอบที่ชัดเจนและทันที และมีการมองเห็นเพียงเล็กน้อยว่าผลลัพธ์ใดเกิดขึ้นจริง ฐานผู้ใช้ที่ยืนยันแล้วกลายเป็นเสมือนเด็กกำพร้า อยู่ในโครงสร้างพื้นฐานของผู้ให้บริการที่ไม่ได้ดำเนินการในประเทศซึ่งข้อมูลถูกเก็บรวบรวมแต่แรกอีกต่อไป

สิทธิในการพกพาข้อมูลภายใต้ GDPR และข้อจำกัดในทางปฏิบัติ

GDPR ให้สิทธิแก่บุคคลในการพกพาข้อมูล และในหลายกรณี สิทธิในการขอให้ลบข้อมูลส่วนบุคคล ในทางทฤษฎีนั้นฟังดูเหมือนเป็นตาข่ายนิรภัยสำหรับสถานการณ์เช่นนี้ ในทางปฏิบัติ สิทธิในการพกพาและการลบข้อมูลขึ้นอยู่กับว่าเจ้าของข้อมูลรู้ว่าข้อมูลของตนอยู่ที่ไหน เข้าใจว่าบริษัทใดควบคุมข้อมูลนั้นตามกฎหมายหลังการออกจากตลาด และยื่นคำขอได้สำเร็จซึ่งได้รับการปฏิบัติตามภายในกรอบเวลาที่สมเหตุสมผล

ผู้ใช้ส่วนใหญ่ที่ยืนยันอายุผ่านแอปของบุคคลที่สามไม่เคยคาดหวังว่าจะต้องใช้สิ่งเหล่านั้น พวกเขาไม่ได้รับการบอกกล่าวในขณะที่ยืนยันว่าความสามารถของผู้ให้บริการในการดำเนินงานในประเทศของพวกเขาอาจเปลี่ยนแปลงได้ด้วยการตัดสินใจทางกฎระเบียบเพียงครั้งเดียว เมื่อสิ่งนั้นเกิดขึ้น สิทธิทางทฤษฎีในการขอข้อมูลคืนหรือให้ลบข้อมูลจะปะทะกับความเป็นจริงในทางปฏิบัติที่คนส่วนใหญ่ไม่ได้ติดตามว่าผู้ให้บริการรายใดถือเอกสารระบุตัวตนของตน หรือจะติดต่อพวกเขาได้อย่างไรเมื่อแอปของผู้ให้บริการไม่สามารถดาวน์โหลดได้ในภูมิภาคของตนอีกต่อไป

ข้อบังคับการตรวจสอบอายุกำลังผลักดันผู้ใช้ไปสู่ VPN อย่างไร

เหตุการณ์เช่นนี้เป็นส่วนหนึ่งของสาเหตุที่ข้อบังคับการตรวจสอบอายุยังคงสร้างความขัดแย้งระหว่างหน่วยงานกำกับดูแล แพลตฟอร์ม และผู้ใช้ กฎหมายที่กำหนดให้ตรวจสอบบัตรประจำตัวก่อนเข้าถึงเนื้อหาบางประเภทได้จุดกระแสต่อต้านในหลายเขตอำนาจศาลแล้ว รวมถึงความพยายามในสหรัฐอเมริกาที่สมาชิกสภานิติบัญญัติบางคนต้องการแบน VPN โดยเฉพาะเพื่อป้องกันไม่ให้ผู้ใช้ใช้เพื่อหลีกเลี่ยงข้อกำหนดการตรวจสอบอายุ ปฏิกิริยาทางนิติบัญญัตินั้นเองเป็นสัญญาณว่าผู้ใช้จำนวนมากยินดีที่จะหลบเลี่ยงการตรวจสอบตัวตนทั้งหมดมากกว่าจะมอบเอกสารให้กับผู้ให้บริการตรวจสอบบุคคลที่สาม โดยเฉพาะรายที่แนวปฏิบัติด้านการจัดการข้อมูลในระยะยาวและความมั่นคงในตลาดไม่สามารถรับประกันล่วงหน้าได้

รูปแบบที่กว้างขึ้นนี้เป็นที่คุ้นเคยสำหรับใครก็ตามที่เฝ้าดูรัฐบาลกระชับการควบคุมสิ่งที่พลเมืองสามารถเข้าถึงทางออนไลน์ เช่นเดียวกับที่ข้อจำกัดอินเทอร์เน็ตที่ขยายตัวทำให้ VPN จำเป็นมากขึ้นสำหรับผู้ที่พยายามรักษาการเข้าถึงเว็บตามปกติ ข้อบังคับการตรวจสอบอายุก็กำลังผลักดันผู้ใช้ที่ใส่ใจความเป็นส่วนตัวไปสู่เครื่องมือที่หลีกเลี่ยงจุดตรวจสอบตัวตนแบบรวมศูนย์ตั้งแต่แรก

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

หากคุณเคยผ่านการตรวจสอบอายุที่ต้องอัปโหลดบัตรประจำตัวราชการหรือถ่ายเซลฟี่เพื่อจับคู่ใบหน้า ข้อมูลนั้นอยู่ในฐานข้อมูลของผู้ให้บริการ ไม่ใช่บนเว็บไซต์ที่คุณพยายามเข้าชม กรณี Yoti ในสเปนแสดงให้เห็นว่าผู้ให้บริการเหล่านี้อาจสูญเสียสถานะทางกฎหมายในประเทศหนึ่งด้วยเหตุผลที่ไม่มีส่วนเกี่ยวข้องกับความล้มเหลวด้านความปลอดภัย แต่ข้อมูลระบุตัวตนที่คุณเคยส่งไปก่อนหน้านี้จะไม่หายไปโดยอัตโนมัติเมื่อสิ่งนั้นเกิดขึ้น ความเสี่ยงหลักด้านข้อมูลของผู้ให้บริการตรวจสอบอายุไม่ใช่การที่บริษัทจะถูกแฮก แต่เป็นการที่ข้อตกลงระหว่างคุณ แพลตฟอร์ม และผู้ให้บริการนั้นไม่เคยถูกสร้างขึ้นโดยมีกระบวนการที่ชัดเจนและรับประกันได้ว่าข้อมูลของคุณจะเกิดอะไรขึ้นเมื่อข้อตกลงนั้นสิ้นสุดลง

ข้อควรปฏิบัติในการปกป้องข้อมูลระบุตัวตนของคุณ

ก่อนส่งเอกสารประจำตัวให้บริการตรวจสอบอายุใดๆ ตรวจสอบว่าผู้ให้บริการเผยแพร่นโยบายการเก็บรักษาและการลบข้อมูลที่ชัดเจนหรือไม่ และยืนยันว่าระยะเวลาจัดเก็บข้อมูลของคุณหลังการตรวจสอบเสร็จสิ้นเป็นเท่าใด เมื่อเป็นไปได้ ให้เลือกใช้บริการที่ใช้วิธีการประมาณอายุที่รักษาความเป็นส่วนตัวซึ่งไม่จำเป็นต้องจัดเก็บสำเนาบัตรประจำตัวราชการของคุณเลย หากคุณเคยยืนยันอายุผ่านบริการที่เผชิญกับการดำเนินการทางกฎระเบียบในประเทศของคุณแล้ว พิจารณายื่นคำขอให้ลบข้อมูลอย่างเป็นทางการภายใต้กฎหมายความเป็นส่วนตัวที่เกี่ยวข้อง แทนที่จะสันนิษฐานว่าข้อมูลถูกล้างโดยอัตโนมัติ และหากการหลีกเลี่ยงการเก็บรวบรวมบัตรประจำตัวแบบรวมศูนย์เป็นเรื่องสำคัญสำหรับคุณ ควรเข้าใจว่าแรงกดดันทางกฎระเบียบเดียวกันที่ขับเคลื่อนข้อบังคับเช่นนี้ก็กำลังกระตุ้นกระแสต่อต้านเครื่องมือความเป็นส่วนตัวที่ให้ผู้ใช้ข้ามการตรวจสอบดังกล่าวเช่นกัน ดังนั้นควรศึกษากฎท้องถิ่นของคุณก่อนพึ่งพาวิธีหลบเลี่ยงใดๆ