Η Προδοσία της Coinbase: Πώς η Εξυπηρέτηση Πελατών Εξέθεσε τις Ψηφιακές σας Ταυτότητες

Πώς η εξυπηρέτηση πελατών της Coinbase πούλησε την ταυτότητά μου;

Σύμφωνα με μια διαρροή εσωτερικής έρευνας, η εξυπηρέτηση πελατών της Coinbase φέρεται να μοιράστηκε αντίγραφα εγγράφων ταυτοποίησης (διαβατήρια, άδειες οδήγησης) με τρίτες εταιρείες μάρκετινγκ, με αντάλλαγμα κρυφές προμήθειες. Αυτό παραβιάζει τον GDPR και τον Κανονισμό ePrivacy, συνιστώντας παρ��νομη επεξεργασία ευαίσθητων δεδομένων.

Φανταστείτε να καλείτε την υποστήριξη για ένα πρόβλημα σύνδεσης και λίγες εβδομάδες αργότερα να βρίσκετε τη φωτογραφία του διαβατηρίου σας σε μια διαφημιστική βάση δεδομένων. Αυτό ακριβώς αναδύεται από τα έγγραφα μιας έρευνας για την Coinbase.

Ένας πρώην υπάλληλος αποκάλυψε στο Wired ότι η ομάδα υποστήριξης είχε μια μυστική συμφωνία με μια εταιρεία επαλήθευσης ταυτότητας. Κάθε φορά που ένας χρήστης υπέβαλλε ένα έγγραφο για KYC, ένα αντίγραφο μεταπωλούνταν για διαφημιστική προφίλ. Όλα αυτά χωρίς καμία ρητή συγκατάθεση.

Οι νομικές παραβιάσεις: μια λίστα εφιάλτη

Η πρακτική παραβιάζει τουλάχιστον τρεις πυλώνες του GDPR:

• Άρθρο 6 (Νομιμότητα): Η επεξεργασία για μάρκετινγκ δεν είχε ποτέ εξουσιοδοτηθεί.
• Άρθρο 9 (Ευαίσθητα δεδομένα): Τα έγγραφα ταυτοποίησης είναι βιομετρικά δεδομένα, απαιτούν ρητή συγκατάθεση.
• Άρθρο 32 (Ασφάλεια): Η κοινή χρήση αντιγράφων με τρίτους χωρίς κρυπτογράφηση είναι κενό ασφαλείας.

Αλλά υπάρχουν κι άλλα. Η οδηγία ePrivacy (που ενσωματώθηκε στην Ιταλία με το Ν.Δ. 69/2021) απαγορεύει τη χρήση δεδομένων κίνησης για σκοπούς διαφορετικούς από αυτούς για τους οποίους συλλέχθηκαν. Η Coinbase χρησιμοποίησε δεδομένα επαλήθευσης για μάρκετινγκ, παραβιάζοντας επίσης αυτόν τον κανόνα.

Ο μηχανισμός της προδοσίας: πώς λειτουργούσε

Σύμφωνα με τα έγγραφα, το σύστημα ήταν απλό: ο πράκτορας υποστήριξης, αφού έλυνε το αίτημα, πατούσε ένα κουμπί 'κοινοποίηση για επαλήθευση'. Στην πραγματικότητα, αυτό το κουμπί έστελνε τη σάρωση σε έναν εξωτερικό διακομιστή στις ΗΠΑ, που διαχειριζόταν μια εταιρεία διαμεσολάβησης δεδομένων. Κάθε κοινοποίηση απέφερε στον πράκτορα ένα μπόνους 5 δολαρίων.

Το πρόβλημα είναι ότι οι χρήστες δεν ενημερώνονταν ποτέ. Ούτε κατά τη διάρκεια της κλήσης, ούτε αργότερα. Η συγκατάθεση ήταν θαμμένη σε μια παράγραφο 40 σελίδων στους όρους υπηρεσίας, γραμμένη σε ακατάληπτα νομικά αγγλικά.

Πώς να αμυνθείτε: άμεσες ενέργειες

Αν έχετε επικοινωνήσει ποτέ με την υποστήριξη της Coinbase, ορίστε τι πρέπει να κάνετε:

1. Ζητήστε πρόσβαση στα δεδομένα σας (Άρθ. 15 GDPR) για να μάθετε ακριβώς ποια έγγραφα κοινοποιήθηκαν.
2. Ανακαλέστε τη συγκατάθεση για επεξεργασία για σκοπούς μάρκετινγκ (Άρθ. 7 GDPR).
3. Υποβάλετε καταγγελία στην Αρχή Προστασίας Δεδομένων (Ιταλίας ή Ιρλανδίας, καθώς η Coinbase έχει έδρα στην Ιρλανδία για την Ευρώπη).

Το πιο σοβαρό είναι ότι αυτή η πρακτική μπορεί να είναι συστηματική. Δεν είναι λάθος ενός μεμονωμένου πράκτορα, αλλά ένα ενθαρρυνόμενο πρόγραμμα. Η Coinbase κέρδισε εκατομμύρια μεταπωλώντας τις ταυτότητες των χρηστών της, ενώ εκείνοι νόμιζαν ότι ήταν ασφαλείς.

Το παράδοξο είναι ότι ακριβώς αυτός που θα έπρεπε να εγγυάται την οικονομική ασφάλεια (ένα ανταλλακτήριο κρυπτονομισμάτων) πρόδωσε την εμπιστοσύνη των χρηστών. Το μάθημα είναι σαφές: ακόμα και οι πιο αξιόπιστες πλατφόρμες μπορεί να έχουν σκοτεινή πλευρά. Η CCPA/CPRA της Καλιφόρνια προβλέπει πρόστιμα έως 7.500 δολάρια για κάθε εκούσια παραβίαση, αλλά σε σύγκριση με το αμερικανικό μοντέλο, ο GDPR προσφέρει ισχυρότερες προστασίες: δικαίωμα φορητότητας, διαγραφής και συλλογικές αγωγές. Στην Ιταλία, μια συλλογική αγωγή θα μπορούσε να οδηγήσει σε αποζημιώσεις δισεκατομμυρίων.