Чому Yoti було вилучено з іспанських магазинів додатків
Yoti, один із найпоширеніших додатків для перевірки віку та верифікації особи в Європі, зникає з іспанських магазинів додатків. За цим кроком не стояло жодного витоку даних і жодного збою в самій технології. Натомість тлумачення іспанським регулятором однієї статті GDPR зробило продукт юридично непридатним для розповсюдження в цій країні. Для сервісу, на який багато вебсайтів і додатків покладалися, щоб підтвердити вік користувача перед наданням доступу до обмеженого контенту, такого регуляторного прочитання було достатньо, щоб майже за одну ніч змусити компанію піти з ринку.
Це не історія про хакерів чи злиті бази даних. Це історія про те, наскільки крихким може бути правове підґрунтя під сервісами вікової верифікації, і як швидко відповідний вимогам, працюючий продукт може стати непридатним для використання просто тому, що одна юрисдикція змінює свою думку щодо застосування закону про приватність. Саме ця крихкість і робить цей випадок вартим уваги, навіть якщо ви ніколи раніше не чули про Yoti.
Що відбувається з даними ідентифікації, коли постачальник вікової перевірки йде з ринку
Ось неприємна частина. Кожна людина, яка підтвердила свій вік через Yoti, щоб отримати доступ до вебсайту, додатка чи онлайн-сервісу, зробила це, передавши певну форму даних ідентифікації, часто сканований документ, що посвідчує особу, селфі або й те, й інше. Ці дані не залишалися на вебсайті, до якого користувач намагався отримати доступ. Вони проходили через системи Yoti й зберігалися там, бо саме так працює стороння вікова верифікація: постачальник стає власником запису про верифікацію, а не платформа, яка його запросила.
Коли такого постачальника, як Yoti, змушують піти з країни, юридична аргументація щодо вилучення додатка з магазинів є порівняно простою. Складніше питання — що відбувається з записами ідентифікації, вже зібраними від користувачів на цьому ринку. Чи дані видаляються? Чи передаються іншій особі? Чи залишаються у сховищі, поки компанія врегульовує свій регуляторний статус деінде? Для людей, чиї документи, що посвідчують особу, лежать у цій базі даних, часто немає чіткої, негайної відповіді й дуже мало прозорості щодо того, який результат насправді має місце. Верифікована база користувачів фактично стає осиротілою, залишаючись в інфраструктурі постачальника, який більше не працює в країні, де ці дані були первісно зібрані.
Права на перенесення даних за GDPR та їхні межі на практиці
GDPR надає особам право на перенесення даних і, у багатьох випадках, право вимагати видалення своїх персональних даних. На папері це звучить як страхувальна сітка саме для такої ситуації. На практиці права на перенесення та видалення залежать від того, чи знає суб'єкт даних, де знаходяться його дані, чи розуміє, яка компанія юридично контролює їх після виходу з ринку, і чи зможе успішно подати запит, який буде виконано в розумні строки.
Більшість користувачів, які підтверджували свій вік через сторонній додаток, ніколи не очікували, що їм усе це знадобиться. Їм не повідомили в момент верифікації, що здатність постачальника працювати в їхній країні може змінитися через одне регуляторне рішення. Коли це стається, теоретичне право вимагати свої дані назад або їх видалення стикається з практичною реальністю: більшість людей не відстежують, які постачальники зберігають їхні документи, що посвідчують особу, або як до них звернутися, коли додаток постачальника навіть більше недоступний для завантаження в їхньому регіоні.
Як мандати вікової верифікації штовхають користувачів до VPN
Такі епізоди — частина того, чому мандати вікової верифікації постійно породжують тертя між регуляторами, платформами та користувачами. Закони, що вимагають перевірки документів перед доступом до певного контенту, вже викликали опір у багатьох юрисдикціях, зокрема спроби в США, де деякі законодавці хочуть заборонити VPN спеціально, щоб не дати людям використовувати їх для обходу вимог вікової верифікації. Ця законодавча реакція сама по собі є сигналом, що значна кількість користувачів воліла б взагалі обійти перевірки особи, аніж передавати документи сторонньому постачальнику верифікації, особливо такому, чиї довгострокові практики поводження з даними та ринкову стабільність неможливо гарантувати заздалегідь.
Ширша закономірність знайома кожному, хто спостерігав, як уряди посилюють контроль над тим, до чого громадяни можуть отримати доступ онлайн. Так само, як розширення інтернет-обмежень зробило VPN більш необхідними для людей, які намагаються зберегти нормальний доступ до мережі, мандати вікової верифікації підштовхують користувачів, стурбованих приватністю, до інструментів, які взагалі уникають централізованих контрольних пунктів ідентифікації.
Що це означає для вас
Якщо ви коли-небудь проходили перевірку віку, яка вимагала завантаження державного документа, що посвідчує особу, або селфі для розпізнавання обличчя, ці дані зберігаються в базі даних постачальника, а не на вебсайті, який ви намагалися відвідати. Випадок Yoti в Іспанії демонструє, що такі постачальники можуть втратити своє правове становище в певній країні з причин, які не мають нічого спільного з порушеннями безпеки, і все ж ваші раніше подані дані ідентифікації автоматично не зникають, коли це стається. Основний ризик даних постачальника вікової верифікації полягає не в тому, що компанію зламають. Він у тому, що домовленість між вами, платформою та постачальником ніколи не була побудована з чітким, гарантованим процесом для того, що відбувається з вашими даними, коли ця домовленість припиняється.
Ключові висновки для захисту ваших даних ідентифікації
Перш ніж подавати документи, що посвідчують особу, будь-якому сервісу вікової верифікації, перевірте, чи публікує постачальник чітку політику зберігання та видалення даних, і з'ясуйте, як довго ваші дані зберігаються після завершення верифікації. Де можливо, віддавайте перевагу сервісам, які використовують методи оцінки віку зі збереженням приватності, що взагалі не вимагають зберігання копії вашого державного документа, що посвідчує особу. Якщо ви вже підтверджували свій вік через сервіс, який згодом зазнав регуляторних заходів у вашій країні, розгляньте можливість подання офіційного запиту на видалення даних згідно з чинним законодавством про приватність, а не припускайте, що дані були автоматично вилучені. І якщо для вас важливо уникати централізованого збору документів, що посвідчують особу, розумійте, що той самий регуляторний тиск, який спричиняє такі мандати, також підживлює опір інструментам приватності, які дозволяють користувачам повністю обходити такі перевірки, тож знайте свої місцеві правила, перш ніж покладатися на будь-який обхідний шлях.
