Yoti ilmiantoi GrapheneOS-käyttäjän viranomaisille – tässä koko tarina

Väite oli merkittävä kahdesta syystä. Ensinnäkin GrapheneOS on täysin laillinen, avoimen lähdekoodin Android-haara, joka on suunniteltu nimenomaan yksityisyyttä ja tietoturvaa varten – se ei ole haittaohjelma eikä sen käyttö ole laitonta. Toiseksi sähköposti vaikutti vahvistavan, että kolmannen osapuolen ikävarmistuspalvelu ei ainoastaan tunnistanut käyttäjän käyttöjärjestelmää, vaan myös ilmiantoi valintansa ulkopuolisille tahoille. Vastaisku oli välitön ja nousi esiin Redditissä, Hacker Newsissa, GrapheneOS-foorumilla ja yksityisyyttä käsittelevillä uutissivustoilla.

Todellisuus on kuitenkin monisyisempi kuin otsikko antoi ymmärtää – mutta taustalla oleva teknologia, joka mahdollistaa käyttöjärjestelmän tunnistamisen, on aito, jo käytössä ja laajenemassa. Tässä on mitä lähteet kertovat.

Kiistanalainen sähköposti ja katoava ilmianto

Käyttäjä jakoi kuvakaappauksen sähköpostista, joka näytti tulleen Yotin tuesta:

”Aikaisempien tietoturvahuolien vuoksi Yoti liputtaa automaattisesti useita varmennusyrityksiä ja kaikki GrapheneOS-laitteet. Nämä tapaukset raportoidaan automaattisesti viranomaisille ja turvatiimillemme.”

Useat tarkkailijat huomauttivat viestissä ristiriitaisuudesta. Sähköpostissa sanottiin myös, että käyttäjän tili oli liputettu, ”koska tältä laitteelta tehtiin useita varmennusyrityksiä”. Tämä viittaa siihen, että järjestelmä saattaa liputtaa vain toistuvat varmistusyritykset GrapheneOS-laitteelta – ei yhtä käyttökertaa – ja että ”ja”-sana saattaa olla huonosti muotoiltu konjunktio eikä itsenäinen ilmoitus siitä, että jokaista GrapheneOS-käyttäjää ilmiantetaan.

Ratkaisevaa on, ettei julkista näyttöä ole siitä, että Yoti olisi tehnyt ilmoituksen lainvalvontaviranomaiselle. GrapheneOS-projektin virallinen kanta oli, että ”viranomaisille raportointi” oli ”lähes varmasti… pelottelua tukiagentilta”, joka halusi sulkea lippunsa eikä kuvannut todellista ulkoista ilmiantoa. Tätä mieltä ovat olleet myös useat yksityisyyteen keskittyneet analyytikot.

Yoti ei ole antanut julkista yrityslausuntoa siitä, mitä ”viranomaisille raportointi” sähköpostissa tarkoitti, viittasiko se sisäiseen turvalippuun vai tuottaako yrityksen normaali työnkulku lainkaan automaattisia ulkoisia ilmoituksia. Saatavilla olevissa lähteissä on sähköposti ja sen aiheuttama keskustelu, mutta ei Yotin johdon virallista tarkennusta tai peruutusta.

Miten havaitseminen toimii – ja miksi sillä on väliä

Vaikka ”viranomaisille raportointi” olisikin tukiagentin liioittelua, tekniikka, joka tunnisti käyttäjän käyttöjärjestelmän, on kiistaton. Sovellukset voivat havaita GrapheneOS:n Androidin Hardware Attestation API -rajapinnan avulla. Sovellus pyytää todistusta ja vertaa verifiedBootKey-arvoa tunnettuihin GrapheneOS:n käynnistysavaimiin.

Tämä mekanismi tarkoittaa, että ikävarmennusprosessi voi hiljaisesti toimia käyttöjärjestelmätarkistuksena. Käyttäjä, joka valitsee GrapheneOS:n paremman yksityisyyden vuoksi, voidaan leimata epäilyttäväksi – tai jopa estää – ilman näkyvää ilmoitusta siitä, mikä lipun laukaisi. Playstation-tapaus osoittaa, että putkisto käyttöjärjestelmätason syrjintään on jo olemassa ainakin yhdessä suuressa ikävarmennusjärjestelmässä.

Laajempi kuva: Yotin 950 000 euron GDPR-sakko

GrapheneOS-tapaus sattui jännitteiseen sääntely-ympäristöön Yotin kannalta. Marraskuussa 2025 Espanjan tietosuojaviranomainen AEPD määräsi Yoti Ltd:lle yhteensä 950 000 euron sakot kolmesta GDPR-rikkomuksesta, jotka liittyivät sen Digital ID -sovellukseen ja ikäestimointitekniikkaan :

• 500 000 euroa biometristen tietojen lainvastaisesta käsittelystä GDPR:n artiklan 9 nojalla – erityisesti biometristen mallien luomisesta selfieistä ja niiden vertaamisesta henkilötodistuksiin.
• 200 000 euroa suostumuksen hankkimisesta esivalituilla valintaruuduilla, jotka AEPD:n mukaan eivät olleet vapaaehtoisesti annettua suostumusta artiklan 7 mukaisesti.
• 250 000 euroa liiallisesta tietojen säilytyksestä artiklan 5 nojalla. Paikkatietoja, joita käytettiin määrittämään, mitkä ikärajoitukset koskivat käyttäjää, säilytettiin viisi vuotta – paljon pidempään kuin oli tarpeen.

Yoti on kiistänyt jyrkästi AEPD:n päätöksen, todennut ettei henkilötietoja ole vuodettu, ja valittanut Espanjan korkeimpaan oikeuteen. Yrityksen toimitusjohtaja korosti, että päätös koskee vain Yoti Digital ID -sovellusta Espanjassa eikä liity palveluihin, joita Yoti tarjoaa prosessorina asiakkailleen.

Euroopan parlamentille huhtikuussa 2026 jätetty kirjallinen kysymys E-001251/2026 viittaa nimenomaisesti Espanjan GDPR-toimiin ja kysyy komissiolta, aikooko se toimia estääkseen ikävarmennustyökaluja vaarantamasta käyttäjien tietoja. Kysymyksessä todetaan, että Yotin palveluita käyttävät Meta, TikTok ja pornosivustot kuten Pornhub – mikä korostaa, miten laajalle biometrisen käsittelyn kysymykset ulottuvat.

Mahdoton kompromissi ikävarmennuspolitiikassa

Hallitukset ja sääntelyviranomaiset laajentavat nopeasti verkkoikävarmennusvaatimuksia aina Yhdistyneen kuningaskunnan Online Safety Actista Yhdysvaltain osavaltiotason lakeihin ja EU:n kehyksiin. Nämä lait luovat kasvavia markkinoita Yotin kaltaisille yrityksille, mutta ne myös asettavat vastakkain kaksi tavoitetta: lasten suojelemisen ikärajatulle sisällölle ja aikuisten käyttäjien yksityisyyden ja anonymiteetin säilyttämisen.

GrapheneOS-tapaus on oire tästä törmäyksestä. Ikävarmennusvirtaus, joka on suunniteltu varmistamaan, että käyttäjä on yli 18-vuotias, päätyi sormenjäljentämään käyttäjän käyttöjärjestelmän, kohtelemaan yksityisyysvalintaa luottamus- ja turvallisuussignaalina ja väitetysti uhkaamaan lainvalvontaviranomaisten osallistumista.

Ratkaisematta on se, oliko tämä kertaluonteinen tukiagentin virhe vai esimakua siitä, miten ikävarmennusputket kohtelevat laitteita, jotka vastustavat sormenjäljentämistä. Havaitsemisen infrastruktuuri on varmistettu olevan olemassa. Julkisen politiikan keskustelu koskee nyt sitä, vaativatko sääntelyviranomaiset läpinäkyvyyttä siitä, mitä nämä järjestelmät todella tarkistavat – ja mitä tapahtuu, kun käyttäjän käyttöjärjestelmästä tulee ”epäilyttävän toiminnan” perusta.