Tại sao Yoti bị gỡ khỏi các cửa hàng ứng dụng Tây Ban Nha
Yoti, một trong những ứng dụng xác minh độ tuổi và danh tính được sử dụng rộng rãi nhất châu Âu, đang biến mất khỏi các cửa hàng ứng dụng Tây Ban Nha. Không có vụ rò rỉ dữ liệu nào đằng sau động thái này, và cũng không có thất bại nào trong chính công nghệ đó. Thay vào đó, cách diễn giải của một cơ quan quản lý Tây Ban Nha về một điều khoản duy nhất của GDPR đã khiến sản phẩm này không thể được phát hành hợp pháp tại quốc gia đó. Đối với một dịch vụ mà nhiều trang web và ứng dụng dựa vào để xác nhận độ tuổi của người dùng trước khi cấp quyền truy cập vào nội dung bị hạn chế, cách diễn giải quy định đó đủ để buộc phải rút khỏi thị trường gần như chỉ sau một đêm.
Đây không phải là câu chuyện về tin tặc hay cơ sở dữ liệu bị rò rỉ. Đây là câu chuyện về việc nền tảng pháp lý của các dịch vụ xác minh độ tuổi có thể mong manh đến mức nào, và một sản phẩm đang hoạt động, tuân thủ có thể trở nên vô dụng nhanh đến mức nào chỉ vì một khu vực tài phán thay đổi quan điểm về cách áp dụng luật bảo mật. Chính sự mong manh đó là lý do khiến trường hợp này đáng được chú ý, ngay cả khi bạn chưa từng nghe đến Yoti trước hôm nay.
Điều gì xảy ra với dữ liệu danh tính khi một nhà cung cấp dịch vụ kiểm tra độ tuổi rời khỏi một thị trường
Đây là phần khó chịu. Mỗi người đã xác minh độ tuổi của mình thông qua Yoti để truy cập một trang web, ứng dụng hoặc dịch vụ trực tuyến đều làm như vậy bằng cách giao nộp một số dạng dữ liệu danh tính, thường là giấy tờ tùy thân được quét, ảnh selfie, hoặc cả hai. Dữ liệu đó không ở lại với trang web mà người dùng đang cố truy cập. Nó được định tuyến qua hệ thống của Yoti và được lưu trữ tại đó, bởi vì đó là cách dịch vụ xác minh độ tuổi của bên thứ ba hoạt động: nhà cung cấp trở thành đơn vị nắm giữ hồ sơ xác minh, chứ không phải nền tảng yêu cầu xác minh.
Khi một nhà cung cấp như Yoti bị buộc phải rời khỏi một quốc gia, lập luận pháp lý để gỡ ứng dụng khỏi các cửa hàng tương đối đơn giản. Câu hỏi khó hơn là điều gì xảy ra với các hồ sơ danh tính đã được thu thập từ người dùng tại thị trường đó. Dữ liệu có bị xóa không? Được chuyển sang một thực thể khác? Bị để lại trong kho lưu trữ trong khi công ty giải quyết tình trạng pháp lý của mình ở nơi khác? Đối với những người có giấy tờ tùy thân đang nằm trong cơ sở dữ liệu đó, thường không có câu trả lời rõ ràng, tức thời, và rất ít khả năng thấy được kết quả nào thực sự xảy ra. Cơ sở người dùng đã được xác minh thực chất trở thành mồ côi, nằm trong hạ tầng của một nhà cung cấp không còn hoạt động tại quốc gia nơi dữ liệu ban đầu được thu thập.
Quyền di chuyển dữ liệu theo GDPR và những giới hạn của nó trong thực tế
GDPR trao cho cá nhân quyền di chuyển dữ liệu và, trong nhiều trường hợp, quyền yêu cầu xóa dữ liệu cá nhân của mình. Trên giấy tờ, điều đó nghe như một tấm lưới an toàn cho đúng tình huống này. Trong thực tế, quyền di chuyển và quyền xóa phụ thuộc vào việc chủ thể dữ liệu biết dữ liệu của mình ở đâu, hiểu công ty nào kiểm soát nó về mặt pháp lý sau khi rời thị trường, và gửi thành công một yêu cầu được chấp thuận trong một khung thời gian hợp lý.
Hầu hết người dùng đã xác minh độ tuổi qua một ứng dụng của bên thứ ba chưa bao giờ nghĩ rằng mình sẽ cần đến những điều đó. Họ không được thông báo, vào thời điểm xác minh, rằng khả năng hoạt động của nhà cung cấp tại quốc gia của họ có thể thay đổi chỉ bằng một quyết định quản lý duy nhất. Khi điều đó xảy ra, quyền lý thuyết được yêu cầu trả lại dữ liệu hoặc xóa dữ liệu của bạn va chạm với thực tế rằng hầu hết mọi người không theo dõi nhà cung cấp nào đang giữ giấy tờ tùy thân của họ, hoặc cách liên hệ với họ khi ứng dụng của nhà cung cấp thậm chí không còn có thể tải xuống được trong khu vực của họ.
Các quy định bắt buộc xác minh độ tuổi đang đẩy người dùng về phía VPN như thế nào
Những tình huống như thế này là một phần lý do khiến các quy định bắt buộc xác minh độ tuổi liên tục tạo ra ma sát giữa các cơ quan quản lý, nền tảng và người dùng. Các luật yêu cầu kiểm tra giấy tờ tùy thân trước khi truy cập một số nội dung nhất định đã gây ra phản đối ở nhiều khu vực tài phán, bao gồm cả những nỗ lực tại Hoa Kỳ nơi một số nhà lập pháp muốn cấm VPN cụ thể để ngăn người dân sử dụng chúng nhằm lách các yêu cầu xác minh độ tuổi. Phản ứng lập pháp đó tự nó là một dấu hiệu cho thấy một số lượng đáng kể người dùng thà đi vòng qua các bước kiểm tra danh tính hoàn toàn hơn là giao giấy tờ cho một nhà cung cấp dịch vụ xác minh của bên thứ ba, đặc biệt là một nhà cung cấp mà các thực tiễn xử lý dữ liệu lâu dài và sự ổn định thị trường không thể được đảm bảo trước.
Mô thức rộng hơn này quen thuộc với bất kỳ ai đã theo dõi việc các chính phủ thắt chặt kiểm soát những gì công dân có thể truy cập trực tuyến. Cũng giống như việc mở rộng các hạn chế internet đã khiến VPN trở nên thiết yếu hơn đối với những người cố gắng duy trì quyền truy cập web bình thường, các quy định bắt buộc xác minh độ tuổi đang đẩy những người dùng quan tâm đến quyền riêng tư về phía các công cụ vốn tránh các trạm kiểm soát danh tính tập trung ngay từ đầu.
Điều này có ý nghĩa gì với bạn
Nếu bạn đã từng hoàn thành một bước kiểm tra độ tuổi yêu cầu tải lên giấy tờ tùy thân do chính phủ cấp hoặc chụp ảnh selfie để khớp khuôn mặt, dữ liệu đó nằm trong cơ sở dữ liệu của nhà cung cấp, chứ không nằm trên trang web mà bạn đang cố truy cập. Trường hợp Yoti tại Tây Ban Nha cho thấy những nhà cung cấp này có thể mất tư cách pháp lý tại một quốc gia nhất định vì những lý do không liên quan gì đến các thất bại về bảo mật, vậy mà dữ liệu danh tính bạn đã gửi trước đó không tự động biến mất khi điều đó xảy ra. Rủi ro cốt lõi về dữ liệu của nhà cung cấp dịch vụ xác minh độ tuổi không phải là việc công ty sẽ bị hack. Mà là thỏa thuận giữa bạn, nền tảng và nhà cung cấp chưa bao giờ được xây dựng với một quy trình rõ ràng, được đảm bảo cho việc điều gì sẽ xảy ra với dữ liệu của bạn khi thỏa thuận đó kết thúc.
Những điểm cần ghi nhớ để bảo vệ dữ liệu danh tính của bạn
Trước khi gửi giấy tờ tùy thân cho bất kỳ dịch vụ xác minh độ tuổi nào, hãy kiểm tra xem nhà cung cấp có công bố chính sách lưu trữ và xóa dữ liệu rõ ràng hay không, và xác nhận dữ liệu của bạn được lưu trữ bao lâu sau khi hoàn tất xác minh. Khi có thể, hãy ưu tiên các dịch vụ sử dụng phương pháp ước lượng độ tuổi bảo vệ quyền riêng tư mà hoàn toàn không yêu cầu lưu trữ bản sao giấy tờ tùy thân do chính phủ cấp của bạn. Nếu bạn đã xác minh độ tuổi qua một dịch vụ sau đó phải đối mặt với hành động quản lý tại quốc gia của bạn, hãy cân nhắc gửi yêu cầu xóa dữ liệu chính thức theo luật bảo mật hiện hành thay vì cho rằng dữ liệu đã được xóa tự động. Và nếu việc tránh thu thập giấy tờ tùy thân tập trung quan trọng với bạn, hãy hiểu rằng cùng áp lực quản lý thúc đẩy các quy định bắt buộc như thế này cũng đang thúc đẩy phản đối đối với các công cụ bảo mật cho phép người dùng bỏ qua hoàn toàn các bước kiểm tra đó, vì vậy hãy biết rõ quy định địa phương của bạn trước khi dựa vào bất kỳ cách lách nào.
