Δοκιμάστε να δημιουργήσετε έναν λογαριασμό Google σήμερα και ίσως πέσετε σε τοίχο πριν προλάβετε να πληκτρολογήσετε έστω έναν χαρακτήρα του ονόματός σας. Η οθόνη λέει "Verify some info before creating an account", δείχνει έναν κωδικό QR και σας ζητά να τον σαρώσετε με την κάμερα του τηλεφώνου σας. Δεν υπάρχει σύνδεσμος να πατήσετε, ούτε εναλλακτική μέσω email, ούτε διαδρομή "skip". Χωρίς smartphone με λειτουργική κάμερα δεν υπάρχει λογαριασμός. Αυτή είναι ολόκληρη η αλληλεπίδραση, και αξίζει να σταθούμε να την δούμε, γιατί αθόρυβα μετατρέπει το τηλέφωνο σε προϋπόθεση για τη χρήση του web.

Ζω στην Ολλανδία, εντός της ΕΕ, και η διατύπωση σε εκείνη την οθόνη ("Google needs to verify some info about your device or phone number") διαβάζεται λιγότερο σαν χαρακτηριστικό ασφάλειας και περισσότερο σαν υποχρεωτική συλλογή ταυτότητας ντυμένη ως μέτρο κατά της κατάχρησης. Αυτό το άρθρο αφορά το γιατί έχει σημασία αυτή η διάκριση, και πού συγκρούεται με τον GDPR.

Τι ακριβώς απαιτεί η οθόνη

Διαβάστε το μήνυμα κυριολεκτικά. Για να δημιουργήσετε λογαριασμό σας ζητείται να:

  • Διαθέτετε smartphone με κάμερα ικανή να σαρώσει έναν κωδικό QR.
  • Μεταφέρετε τη ροή σε εκείνο το τηλέφωνο, να αφήσετε τη συσκευή από την οποία ξεκινήσατε και να ολοκληρώσετε βήματα που η Google δεν σας δείχνει εκ των προτέρων.
  • Συνδέσετε τον νέο λογαριασμό με έναν αριθμό τηλεφώνου, ο οποίος στο μεγαλύτερο μέρος της ΕΕ είναι ο ίδιος συνδεδεμένος με επαληθευμένη κρατική ταυτότητα στο επίπεδο της SIM.
  • Αργότερα στην ίδια διαδικασία, να δηλώσετε ημερομηνία γέννησης και άλλα προσωπικά στοιχεία.

Τίποτα από αυτά δεν αποτελεί τεχνική απαίτηση για να λειτουργήσει ένας λογαριασμός email. Ένα γραμματοκιβώτιο δεν χρειάζεται να γνωρίζει τα γενέθλιά σας, το μοντέλο της συσκευής σας ή τον πάροχό σας. Πρόκειται για αποφάσεις συλλογής, όχι για περιορισμούς μηχανικής, και αξίζει να κριθούν ως αποφάσεις συλλογής.

Το "μέτρο κατά της κατάχρησης" σηκώνει πολύ βάρος εδώ

Η αιτιολόγηση είναι η αποτροπή bots: "preventing abuse from computer programs or bots." Αυτό είναι πραγματικό πρόβλημα, και ο περιορισμός του ρυθμού δημιουργίας λογαριασμών είναι θεμιτός. Παρατηρήστε όμως τη μορφή του ελέγχου. Δεν σας ζητά να λύσετε έναν γρίφο που ένας άνθρωπος μπορεί να λύσει και ένα script όχι. Σας ζητά να παρουσιάσετε ένα τηλέφωνο. Αυτό που επαληθεύεται δεν είναι "είσαι άνθρωπος", είναι "μπορείς να παράγεις μια συσκευή και έναν αριθμό που μπορούμε να αποτυπώσουμε και να συσχετίσουμε."

Πρόκειται για διαφορετικούς στόχους. Ο πρώτος είναι αναλογικός προς την καταπολέμηση της κατάχρησης. Ο δεύτερος είναι σύνδεση ταυτότητας, και μόλις ένας αριθμός τηλεφώνου προσαρτηθεί κατά την εγγραφή σπάνια παραμένει περιορισμένος στον σκοπό για τον οποίο συλλέχθηκε. Αριθμοί που προστέθηκαν "για ασφάλεια" έχουν μακρά ιστορία ολίσθησης προς τη στόχευση διαφημίσεων, τα κοινωνικά γραφήματα ανάκτησης λογαριασμού και τη διασταυρούμενη συσχέτιση μεταξύ υπηρεσιών. Οι ομάδες ασφάλειας το αποκαλούν function creep. Ο GDPR το αποκαλεί πρόβλημα περιορισμού του σκοπού.

Πού συγκρούεται με τον GDPR

Δεν ισχυρίζομαι ότι κάποιο δικαστήριο έχει κρίνει αυτή τη συγκεκριμένη ροή παράνομη. Δείχνω τις αρχές που μια Αρχή Προστασίας Δεδομένων θα ζύγιζε στην πράξη, γιατί ευθυγραμμίζονται άσχημα με το "σάρωσέ το ή φύγε."

Ελαχιστοποίηση δεδομένων, Άρθρο 5(1)(γ)

Τα προσωπικά δεδομένα πρέπει να είναι "κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο" για τον σκοπό. Ο σκοπός εδώ είναι η δημιουργία λογαριασμού email. Ένας αριθμός τηλεφώνου και μια ημερομηνία γέννησης δεν είναι αναγκαία για τη λειτουργία ενός γραμματοκιβωτίου, πράγμα που σημαίνει ότι το βάρος πέφτει στον υπεύθυνο επεξεργασίας να αποδείξει γιατί συλλέγονται καθόλου, όχι στον χρήστη να δικαιολογήσει την άρνηση.

Ελεύθερα δοθείσα συγκατάθεση, Άρθρα 4(11) και 7(4)

Η συγκατάθεση είναι έγκυρη μόνο αν δίδεται ελεύθερα, και ο κανονισμός λέει ρητά ότι πρέπει να εξετάζεται κατά πόσον μια υπηρεσία καθίσταται εξαρτώμενη από τη συγκατάθεση σε επεξεργασία που δεν είναι αναγκαία για τη συγκεκριμένη υπηρεσία. Το "χωρίς αριθμό τηλεφώνου, χωρίς λογαριασμό" είναι ο σχολικός ορισμός της εξάρτησης. Όταν η μόνη εναλλακτική στην κοινοποίηση δεδομένων είναι ο πλήρης αποκλεισμός από την υπηρεσία, η "επιλογή" σηκώνει ελάχιστο βάρος.

Αναλογικότητα και αναγκαιότητα

Ακόμη και υπό νομική βάση έννομου συμφέροντος αντί συγκατάθεσης, η επεξεργασία πρέπει να περάσει έλεγχο αναγκαιότητας και στάθμισης. Το να αναγκάζεται κάθε υποψήφιος χρήστης να περάσει από υλικό που ίσως δεν διαθέτει, για να νικηθούν bots που αποτελούν κλάσμα των εγγραφών, δύσκολα μπορεί να χαρακτηριστεί η λιγότερο παρεμβατική επιλογή όταν το CAPTCHA, η επιβεβαίωση email και τα σήματα συμπεριφοράς υπάρχουν ήδη και δεν απαιτούν κάμερα.

Ο αποκλεισμός που κανείς δεν σχεδιάζει

Κάτω από το πρόβλημα ιδιωτικότητας υπάρχει ένα πιο αθόρυβο πρόβλημα. Μια πύλη QR-και-κάμερας προϋποθέτει έναν συγκεκριμένο χρήστη: κάποιον που διαθέτει πρόσφατο smartphone, μπορεί φυσικά να δει και να σαρώσει έναν κωδικό, και νιώθει άνετα να μεταφέρει μια ροή δημιουργίας λογαριασμού σε μια συσκευή χειρός. Αυτή η παραδοχή αποκλείει ανθρώπους που χρησιμοποιούν μόνο desktop, ανθρώπους με προβλήματα όρασης, ανθρώπους με feature phones, ανθρώπους που κρατούν σκόπιμα ελάχιστο αποτύπωμα συσκευών, και οποιονδήποτε απλώς δεν θέλει ένα προσωπικό τηλέφωνο συνδεδεμένο σε κάθε σύνδεση.

Το "απλώς χρησιμοποίησε ένα τηλέφωνο" δεν είναι ουδέτερη προεπιλογή. Είναι μια σχεδιαστική απόφαση που μεταθέτει το κόστος του προβλήματος κατάχρησης της Google στους χρήστες, συμπεριλαμβανομένων χρηστών για τους οποίους ένα smartphone δεν είναι δεδομένο. Η προσβασιμότητα και η προστασία δεδομένων δείχνουν την ίδια κατεύθυνση εδώ: μια υπηρεσία τόσο κεντρική θα έπρεπε να έχει μια διαδρομή που δεν απαιτεί την κατοχή συγκεκριμένου υλικού.

Τι θα μπορούσε πραγματικά να κάνει η ΕΕ γι' αυτό

Ο μηχανισμός του GDPR για να αμφισβητηθεί αυτό υπάρχει ήδη. Δεν χρειάζεται νέος νόμος, χρειάζεται επιβολή των παραπάνω αρχών:

  • Να αντιμετωπίζονται ο αριθμός τηλεφώνου και η ημερομηνία γέννησης κατά την εγγραφή ως μη αναγκαία εξ ορισμού, και να απαιτείται από τον υπεύθυνο επεξεργασίας να αποδεικνύει την αναγκαιότητα αντί να την ισχυρίζεται.
  • Να επιβληθεί μια γνήσια εναλλακτική διαδρομή προς τη δημιουργία λογαριασμού που δεν απαιτεί smartphone ή αριθμό, με βάση τη λογική της εξάρτησης του Άρθρου 7(4).
  • Να εξετάζεται ο σκοπός: αν ένας αριθμός που συλλέχθηκε για την αποτροπή κατάχρησης χρησιμοποιηθεί αργότερα για διαφήμιση ή συσχέτιση, αυτό αποτελεί παραβίαση του περιορισμού του σκοπού, ανεξάρτητα από το πώς ήταν διατυπωμένη η οθόνη εγγραφής.

Μια συντονισμένη θέση από το EDPB, ή μία αποφασισμένη DPA, αρκεί για να επιβάλει επανασχεδιασμό. Έχουμε δει ακριβώς αυτό το μοτίβο με τα cookie walls, όπου οι ρυθμιστικές αρχές τελικά έκριναν ότι το "συγκατάθεση ή φύγε" δεν είναι πραγματική συγκατάθεση. Ένα τείχος υλικού είναι το ίδιο επιχείρημα με μια κάμερα προσαρτημένη.

Τι μπορείτε να κάνετε σήμερα

Τίποτα από τα παραπάνω δεν σας βοηθά στα πέντε λεπτά που πραγματικά χρειάζεστε έναν λογαριασμό, οπότε πρακτικά:

  • Χρησιμοποιήστε έναν πάροχο που δεν απαιτεί τηλέφωνο για τους λογαριασμούς που ελέγχετε. Αρκετοί πάροχοι email με έδρα στην ΕΕ αντιμετωπίζουν τον αριθμό ως προαιρετικό αντί υποχρεωτικό.
  • Κρατήστε χωριστά την ταυτότητα και την ευκολία. Αν πρέπει να συνδέσετε έναν αριθμό κάπου, μην επαναχρησιμοποιήσετε αυτόν που αγκυρώνει την τραπεζική και κρατική σας ταυτότητα.
  • Ασκήστε τα δικαιώματά σας. Ένα Subject Access Request, και όπου ενδείκνυται μια καταγγελία στην εθνική σας DPA, δεν είναι συμβολικά. Είναι ο μηχανισμός που μετατρέπει τις παραπάνω αρχές σε πίεση.

Το συμπέρασμα

Ένα τείχος QR-και-τηλεφώνου στη δημιουργία λογαριασμού πωλείται ως ασφάλεια, αλλά τα δεδομένα που στην πραγματικότητα ασφαλίζει είναι δικά σας, παραδομένα ως το τίμημα της εισόδου. Στην ΕΕ αυτό το τίμημα έχει νομικό πλαίσιο: τα δεδομένα πρέπει να ελαχιστοποιούνται, η συγκατάθεση πρέπει να είναι ελεύθερη, και μια υπηρεσία δεν μπορεί αθόρυβα να καθιστά τον εαυτό της εξαρτώμενο από την παραχώρηση πληροφοριών που δεν χρειάζεται για να λειτουργήσει. Το "σάρωσε αυτό ή δεν μπορείς να έχεις λογαριασμό" αποτυγχάνει και στα τρία εκ πρώτης όψεως. Το αν μια ρυθμιστική αρχή θα το πει ανοιχτά είναι, σε αυτό το σημείο, ζήτημα βούλησης παρά νόμου.

Διαβάστε στη συνέχεια

  • AWS Multi-party Approval for Organizations, για το πώς δείχνουν οι έλεγχοι ταυτότητας και έγκρισης όταν σχεδιάζονται για να περιορίζουν την εξουσία αντί να τη συλλέγουν.
  • Why Your SSH Is Yelling About Quantum Computers, σχετικά με το να παίρνετε τις προειδοποιήσεις ασφάλειας στην ονομαστική τους αξία έναντι του να διαβάζετε τι πραγματικά προστατεύουν.

Σκέφτεστε πώς οι βοηθοί AI χειρίζονται τα δεδομένα ταυτότητας και συγκατάθεσης που τους παραδίδονται; Οι σημειώσεις πεδίου στο ercan.ai το καλύπτουν. Για συμβουλευτική σε cloud, ασφάλεια και εργασίες πλατφόρμας με συμμόρφωση, ξεκινήστε από το ercanermis.com.