Чому Yoti було вилучено з іспанських магазинів додатків
Yoti, один із найпоширеніших додатків для перевірки віку та верифікації особи в Європі, зникає з іспанських магазинів додатків. За цим кроком не стояло жодного витоку даних і жодної відмови самої технології. Натомість тлумачення іспанським регулятором однієї-єдиної статті GDPR зробило продукт юридично непридатним для розповсюдження в цій країні. Для сервісу, на який багато вебсайтів і додатків покладалися, щоб підтвердити вік користувача перед наданням доступу до обмеженого контенту, такого регуляторного прочитання було достатньо, щоб майже за одну ніч змусити його піти з ринку.
Це не історія про хакерів чи витоки баз даних. Це історія про те, наскільки тендітною може бути правова основа під сервісами перевірки віку, і як швидко відповідний вимогам, працюючий продукт може стати непридатним для використання просто тому, що одна юрисдикція змінила думку щодо застосування закону про приватність. Саме ця тендітність робить цей випадок вартим уваги, навіть якщо ви ніколи раніше не чули про Yoti.
Що відбувається з даними ідентифікації, коли постачальник послуг перевірки віку йде з ринку
Ось неприємна частина. Кожна людина, яка підтвердила свій вік через Yoti для доступу до вебсайту, додатка чи онлайн-сервісу, зробила це, передавши певну форму даних ідентифікації — часто відсканований документ, що посвідчує особу, селфі або й те, й інше. Ці дані не залишалися на вебсайті, до якого користувач намагався отримати доступ. Вони проходили через системи Yoti і зберігалися там, бо саме так працює стороння перевірка віку: постачальник стає володільцем запису про верифікацію, а не платформа, що його запитує.
Коли такого постачальника, як Yoti, змушують піти з країни, правовий аргумент щодо вилучення додатка з магазинів є порівняно простим. Складніше питання — що відбувається з записами ідентифікації, уже зібраними від користувачів на цьому ринку. Чи дані видаляються? Чи переносяться до іншої структури? Чи залишаються у сховищі, поки компанія врегульовує свій регуляторний статус деінде? Для людей, чиї документи, що посвідчують особу, лежать у цій базі даних, часто немає чіткої, негайної відповіді й дуже мало видимості щодо того, який результат насправді настане. Верифікована база користувачів фактично стає осиротілою, залишаючись в інфраструктурі постачальника, який більше не працює в країні, де ці дані були спочатку зібрані.
Права на перенесення даних за GDPR та їхні межі на практиці
GDPR надає особам право на перенесення даних і, у багатьох випадках, право вимагати видалення своїх персональних даних. На папері це звучить як запобіжна сітка саме для такої ситуації. На практиці права на перенесення й видалення залежать від того, чи суб'єкт даних знає, де перебувають його дані, чи розуміє, яка компанія юридично контролює їх після виходу з ринку, і чи зуміє успішно подати запит, який буде виконано в розумні строки.
Більшість користувачів, які підтверджували вік через сторонній додаток, ніколи не очікували, що їм усе це знадобиться. У момент верифікації їм не повідомляли, що здатність постачальника працювати в їхній країні може змінитися через одне регуляторне рішення. Коли це відбувається, теоретичне право вимагати свої дані назад або їх видалення стикається з практичною реальністю: більшість людей не відстежують, які постачальники зберігають їхні документи, що посвідчують особу, або як до них звернутися, коли додаток постачальника вже навіть недоступний для завантаження в їхньому регіоні.
Як вимоги щодо перевірки віку штовхають користувачів до VPN
Такі епізоди — частина того, чому вимоги щодо перевірки віку постійно породжують тертя між регуляторами, платформами й користувачами. Закони, що вимагають перевірки документів перед доступом до певного контенту, уже викликали опір у кількох юрисдикціях, зокрема спроби в Сполучених Штатах, де деякі законодавці хочуть заборонити VPN спеціально для того, щоб люди не могли використовувати їх для обходу вимог перевірки віку. Ця законодавча реакція сама по собі є сигналом, що значна кількість користувачів воліла б взагалі обходити перевірку особи, аніж передавати документи сторонньому постачальнику послуг верифікації, особливо такому, чиї довгострокові практики поводження з даними й ринкову стабільність неможливо гарантувати заздалегідь.
Ширша закономірність знайома кожному, хто спостерігав, як уряди посилюють контроль над тим, до чого громадяни можуть мати доступ онлайн. Так само, як розширення інтернет-обмежень зробило VPN більш необхідними для людей, які намагаються зберегти звичайний доступ до мережі, вимоги щодо перевірки віку підштовхують користувачів, які дбають про приватність, до інструментів, що взагалі уникають централізованих контрольних пунктів ідентифікації.
Що це означає для вас
Якщо ви колись проходили перевірку віку, що вимагала завантаження державного документа, що посвідчує особу, або селфі для розпізнавання обличчя, ці дані зберігаються в базі даних постачальника, а не на вебсайті, який ви намагалися відвідати. Випадок Yoti в Іспанії демонструє, що такі постачальники можуть втратити свою правову основу в певній країні з причин, які не мають нічого спільного з проблемами безпеки, і все ж ваші раніше подані дані ідентифікації не зникають автоматично, коли це відбувається. Основний ризик даних у постачальників послуг перевірки віку полягає не в тому, що компанію зламають. Він у тому, що домовленість між вами, платформою й постачальником ніколи не була побудована з чітким, гарантованим процесом щодо того, що станеться з вашими даними, коли ця домовленість припиниться.
Висновки для захисту ваших даних ідентифікації
Перш ніж подавати документи, що посвідчують особу, будь-якому сервісу перевірки віку, перевірте, чи постачальник публікує чітку політику зберігання й видалення даних, і з'ясуйте, як довго зберігаються ваші дані після завершення верифікації. Де можливо, віддавайте перевагу сервісам, які використовують методи оцінки віку, що зберігають приватність і взагалі не вимагають зберігання копії вашого державного документа, що посвідчує особу. Якщо ви вже підтверджували вік через сервіс, щодо якого згодом було вжито регуляторних заходів у вашій країні, розгляньте можливість подати офіційний запит на видалення даних відповідно до застосовного законодавства про приватність, а не припускайте, що дані було автоматично видалено. І якщо для вас важливо уникати централізованого збору документів, що посвідчують особу, розумійте, що той самий регуляторний тиск, який породжує такі вимоги, також підживлює опір інструментам приватності, які дозволяють користувачам повністю обходити такі перевірки, тож знайте свої місцеві правила, перш ніж покладатися на будь-який обхідний шлях.
