Zaczęło się od prozaicznej sprawy: Amazon anulował mi zwykłe zamówienie na słuchawki. Powód? Ogólnikowe „nietypowa aktywność”. Myślę sobie - ok, zdarza się.
Potem dostałem długiego maila, w którym Amazon napisał, że jeżeli nadal chcę zamówić ten produkt, to muszę zweryfikować swoją tożsamość. Dla jasności: ja chciałem kupić zwykłe słuchawki, a nie technologie wojskowe albo e-papierosa.
Zaczęli niewinnie:
> Udostępnij w czasie rzeczywistym obraz ważnego dokumentu tożsamości oraz pasujące zdjęcie selfie firmie Persona Identities, Inc., która pomoże nam potwierdzić Twoją tożsamość.
Potem pasywno-agresywnie poinformowali, że:
> Jeśli nie będziemy w stanie potwierdzić Twojej tożsamości, stracisz możliwość ponownego zamówienia tych produktów. Nadal będziesz mieć możliwość dokonywania zakupów w serwisie Amazon, ale na Twoim koncie mogą się zdarzyć kolejne anulowania zamówień i mogą zostać wprowadzone inne ograniczenia.
W dalszej części napisano co należy zrobić, jak to zrobić, itp.:
> Firma Persona potwierdzi Twoją tożsamość na podstawie przekazanego obrazu dokumentu tożsamości oraz odpowiadającego mu zdjęcia selfie, a następnie powiadomi Amazon o wyniku tej weryfikacji.
Dali też link do informacji o tym, jak firma Persona przetwarza (nic ciekawego, bo prawdziwe złoto jest w zakładce "Processor Privacy Policy", ale o tym za chwilę). Potem obiecali, że z tymi danymi będą postępować zgodnie ze swoim regulaminem, że nie będą przekazywać ich poza Europejski Obszar Gospodarczy oraz że będą je chronić. Standardowe formułki, nic specjalnego.
Prawdziwy b---a jest w kolejnym akapicie, gdzie pada następująca deklaracja:
> Czy Amazon przeprowadza rozpoznawanie biometryczne?
> Nie. Firmy Amazon i Persona nie przetwarzają danych biometrycznych w ramach tego procesu.
No i tu zaczyna się cyrk, bo Persona na swojej stronie wprost pisze, że może przetwarzać dane biometryczne i że robi to w ramach identity verification i że potrzebuje do tego zgody samego zainteresowanego:
> Identity Verification
> Personal Data We Collect and How We Collect
> You provide personal data to us at the direction of our customers so that our customers may verify your identity and prevent fraud (“identity verification services”).
> The information we collect depends on the identity verification method used. We do not require all of the information listed below for every identity verification method. Depending on the method selected, you may be asked to provide only a subset of the following information:
(...)
> Government documents, barcodes, and identifiers, such as a passport or driver's license;
> Audio, Video, and Photos of you, namely from the selfie or video you provide and from your government identification document; and
> Biometric Data, only with your express consent, including a scan of your facial geometry based on the photos or video you provide. For more information about Biometric Data, see the Facial Scan and Biometrics Information section below.
I dalej, czytamy, że
> Facial Scan and Biometrics Information
> This section describes how Persona treats scans of facial geometry extracted from the uploaded images of your identity documents and your selfie. Biometric information is generally understood to be unique physical characteristics such as your face geometry through which you can be identified or recognized.
> Persona, acting as a processor or service provider on behalf of the customer, may, depending on the identity verification method selected and only as necessary to provide the service, do the following:
> If your government ID is compared against your selfie, we analyze the facial geometry extracted from your ID document to compare it against the facial geometry extracted from your selfie (collectively “Identity Scan Data”), and confirm that the document belongs to you;
Czyli sprawa, wygląda tak: Amazon twierdzi, że w ramach procesu weryfikacji tożsamości dane biometryczne nie są przetwarzane, natomiast firma z usług której korzystają, czyli Persona Identities, Inc., wprost opisuje przetwarzanie danych biometrycznych, jako element procesu weryfikacji tożsamości. Niezły mindfuck.
II teraz ktoś zapyta: co w tym złego? Ano bardzo dużo, bo w zależności od tego, jak na to spojrzeć, mamy do czynienia z działaniem na granicy prawa albo z działaniem bezprawnym o charakterze kryminalnym.
Moim zdaniem Amazon nie tylko wprowadza konsumenta w błąd, ale także wykorzystuje nieprawdziwe informacje, aby skłonić go do przekazania wrażliwych danych osobowych i następnie przetwarzać je bez wymaganej, świadomej zgody. Do tego cały proces jest ustawiony pod presją: albo godzisz się na taką formę weryfikacji, albo twoje konto zostanie ograniczone.
Fajne mają standardy: zmusić klienta do uległości, wymusić jego dane osobowe za wszelką cenę, a potem robić z nimi co im się podoba, bo przecież kto im zabroni?
Takie postępowanie dużej korporacji jest nie tylko wątpliwe etycznie, ale przede wszystkim może być niezgodne z prawem obowiązującym w UE i Polsce.
W świetle RODO informacje pozyskiwane przez Amazon i jego partnera do ustalenia tożsamości konsumenta mogą stanowić dane biometryczne zgodnie z art. 4 pkt 14 RODO:
> 14) „dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;
Ponieważ w celu weryfikacji tożsamości analizowana jest geometria twarzy z dokumentu i selfie po to, żeby potwierdzić, że dokument należy do konkretnej osoby, mamy do czynienia z procesem, który wypełnia definicję przetwarzania danych osobowych z art. 4 pkt 2 RODO:
> 2) „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
Informacje pozyskiwane i przetwarzane w tym procesie wyglądają więc na dane biometryczne. A ponieważ są używane do jednoznacznej identyfikacji osoby, należą do kategorii danych szczególnie chronionych w myśl art. 9 ust. 1 RODO:
> 1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Co do zasady ich przetwarzanie jest zakazane, chyba że zachodzi jeden z wyjątków z art. 9 ust. 2 RODO, na przykład wyraźna zgoda osoby, której dane dotyczą, czyli art. 9 ust. 2 lit. a RODO:
> 2. Ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
> a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;
No i teraz najważniejsze: aby przetwarzać takie dane, trzeba mieć podstawę prawną. Jeżeli podstawą ma być zgoda, to RODO wymaga, aby zgoda była dobrowolna, konkretna, świadoma i jednoznaczna, art. 4 pkt 11 RODO, a warunki zgody reguluje art. 7 RODO.
Siłą rzeczy, skoro Amazon przed weryfikacją pisze mi, że Amazon i Persona nie przetwarzają danych biometrycznych, to nie jestem w stanie udzielić świadomej zgody na taki proces. Jeżeli decyzję podjąłem w oparciu o komunikat „to nie biometria”, a proces faktycznie obejmuje analizę geometrii twarzy, to dla mnie taka zgoda nie jest świadoma.
Do tego dochodzi art. 5 ust. 1 lit. a RODO, czyli zasada zgodności z prawem, rzetelności i przejrzystości. Administrator danych ma przetwarzać dane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Art. 12 i 13 RODO wymagają jasnej, przejrzystej i zrozumiałej informacji o przetwarzaniu danych. Komunikat „nie przetwarzamy danych biometrycznych” przy procesie opartym o dokument, selfie, geometrię twarzy i Identity Scan Data nie spełnia według mnie tego standardu.
Jeżeli Amazon twierdzi, że podstawą przetwarzania nie była zgoda, to tym bardziej powinien jasno wskazać podstawę z art. 6 RODO oraz, przy danych biometrycznych, wyjątek z art. 9 ust. 2 RODO. Nie ogólnikowo w polityce prywatności, tylko konkretnie: dla mojego dokumentu, mojego selfie/nagrania, danych pochodnych, geometrii twarzy i wyniku weryfikacji.
I zanim ktoś napisze „sam wysłałeś”, właśnie o to chodzi. To prawda, wysłałem te dane, bo zostałem wprowadzony w błąd przez informacje podane przez Amazona. Z drugiej strony, właśnie dzięki temu miałem okazję przyjrzeć się tematowi bliżej i zgłosić sprawę do UODO.
Dodatkowy bonus jest taki, że postanowiłem podzielić się z Wami tematem szemranych praktyk i nieuczciwych metod wyłudzania danych stosowanych przez wielkie korporacje. Może dzięki temu ktoś z Was nie wpadnie w podobną pułapkę.
Dzięki, że chciało się Wam to czytać. Uważajcie na siebie i swoje dane!
A tutaj wspomniany na początku email od Amazona:
Komentarze (29)
najlepsze
Palantir jest zwiazany z wywiadem(ami) i działa juz dość długo. A ze mozna dobic dane z Persony do Palantira? czemu nie XD
U mnie wyskoczylo nagle ze jak chcę użyć zgromadzonych środków na amazon to muszę się zweryfikować dowodem wtf.
Also, Palantir wspiera Izrael, dając narzędzia do popełniania ludobójstwa w Gazie i nie tylko. To tak jakby kogoś zastanawiało, do kogo
Można poinformować, że albo się ogarną, albo wysilisz się i doniesiesz do inspekcji handlowej, uokiku, etc.
Miałem przez jakiś moment podobny problem z innym dużym sklepem. Powoływali się na jakieś śmieszne przepisy unijne, ale drugi mail rozpoczynający się od "Ostatecznie wzywam..." sprawił, że w sumie wszystko jest ok i żadnych zdjęć do zewnętrznego dostawcy z izraela nie trzeba jednak wysyłać.
https://wykop.pl/link/7889451/weryfikacja-wieku-przez-discord-ma-powiazania-ze-wspolzalozycielem-palantira
Weryfikacja wieku przez Discord ma powiązania ze współzałożycielem Palantira
Ale jak to napisałem na mirkoblogu to jakiś lewacki naziolek się spłakał że reddit dobrze robi
źródło: image
Pobierz