La risposta di Yoti

• Comunicazione diretta con l'utente: Secondo quanto riportato, il team di supporto di Yoti avrebbe confermato per iscritto che i dispositivi GrapheneOS venivano automaticamente segnalati e che tali casi venivano "riferiti alle autorità" e al team di sicurezza interno di Yoti.
• La reazione del progetto GrapheneOS: Nella discussione comunitaria sull'incidente, è stato fatto notare che un'app può effettivamente rilevare GrapheneOS utilizzando l'API Hardware Attestation di Android.
• Nessuna chiara smentita pubblica nei report disponibili: Le fonti disponibili si concentrano sull'email di supporto incriminata e sulle reazioni che ha suscitato, ma non includono una precisazione pubblica ufficiale da parte di Yoti che chiarisca se "segnalati alle autorità" significasse un effettivo rapporto alle forze dell'ordine o un semplice alert di sicurezza interno.

Il contesto più ampio e le tensioni sulla privacy

Questo incidente si inserisce in un dibattito molto più ampio sulle procedure di verifica dell'età, il fingerprinting dei dispositivi e la privacy degli utenti.

Fingerprinting del dispositivo e discriminazione del sistema operativo

• La community di GrapheneOS ha evidenziato che, a livello tecnico, un'app può identificare GrapheneOS grazie all'API Hardware Attestation di Android, che consente di verificare l'integrità del software del dispositivo.
• Ciò solleva il timore concreto che gli utenti che scelgono sistemi operativi privacy-hardened come GrapheneOS possano essere ingiustamente penalizzati o trattati come sospetti dai sistemi automatici di verifica dell'età, trasformando di fatto uno strumento di controllo anagrafico in un meccanismo di sorveglianza.

Le recenti violazioni del GDPR commesse da Yoti in Europa

• Nel novembre 2025, l'Agenzia Spagnola per la Protezione dei Dati (AEPD) ha inflitto a Yoti Ltd una multa totale di 950.000 euro per violazioni del GDPR legate al trattamento di dati biometrici attraverso la sua app Digital ID e la tecnologia di stima dell'età.
• Un'interrogazione parlamentare europea (E-001251/2026) cita esplicitamente la sanzione spagnola contro Yoti e chiede se la Commissione Europea intenda agire per impedire che gli strumenti di verifica dell'età mettano a rischio i dati degli utenti.
• La stessa interrogazione sottolinea che Yoti è utilizzata da Meta, TikTok e siti per adulti come Pornhub, aspetto che rende le sue pratiche sulla privacy rilevanti ben oltre il singolo caso GrapheneOS.

La tensione normativa

• Governi e autorità di regolamentazione, anche in Europa, stanno spingendo sempre più per l'implementazione di sistemi di verifica dell'età per i servizi online, alimentando la domanda di fornitori come Yoti.
• Questi sistemi spesso richiedono controlli sensibili su identità, dati biometrici o caratteristiche del dispositivo, creando una tensione inevitabile tra gli obiettivi di protezione dei minori e il diritto alla privacy e all'anonimato degli utenti.
• L'incidente GrapheneOS è un esempio calzante di come un normale flusso di verifica dell'età possa intrecciarsi pericolosamente con meccanismi di attestazione del dispositivo e rilevamento del sistema operativo, andando ben oltre il semplice controllo anagrafico.

Domande ancora senza risposta

• Da quanto emerso finora, non è chiaro se Yoti abbia effettivamente trasmesso segnalazioni alle forze dell'ordine o se l'email del servizio clienti abbia usato una formula imprecisa per un allarme di sicurezza interno.
• Le cronache disponibili si concentrano sulla presunta email, sul problema della rilevazione di GrapheneOS e sulla conseguente reazione pubblica, lasciando irrisolte le domande sulle reali conseguenze pratiche della segnalazione "alle autorità".

La risposta di Yoti

• Comunicazione diretta con l'utente: Secondo quanto riportato, il team di supporto di Yoti avrebbe confermato per iscritto che i dispositivi GrapheneOS venivano automaticamente segnalati e che tali casi venivano "riferiti alle autorità" e al team di sicurezza interno di Yoti.
• La reazione del progetto GrapheneOS: Nella discussione comunitaria sull'incidente, è stato fatto notare che un'app può effettivamente rilevare GrapheneOS utilizzando l'API Hardware Attestation di Android.
• Nessuna chiara smentita pubblica nei report disponibili: Le fonti disponibili si concentrano sull'email di supporto incriminata e sulle reazioni che ha suscitato, ma non includono una precisazione pubblica ufficiale da parte di Yoti che chiarisca se "segnalati alle autorità" significasse un effettivo rapporto alle forze dell'ordine o un semplice alert di sicurezza interno.

Il contesto più ampio e le tensioni sulla privacy

Questo incidente si inserisce in un dibattito molto più ampio sulle procedure di verifica dell'età, il fingerprinting dei dispositivi e la privacy degli utenti.

Fingerprinting del dispositivo e discriminazione del sistema operativo

• La community di GrapheneOS ha evidenziato che, a livello tecnico, un'app può identificare GrapheneOS grazie all'API Hardware Attestation di Android, che consente di verificare l'integrità del software del dispositivo.
• Ciò solleva il timore concreto che gli utenti che scelgono sistemi operativi privacy-hardened come GrapheneOS possano essere ingiustamente penalizzati o trattati come sospetti dai sistemi automatici di verifica dell'età, trasformando di fatto uno strumento di controllo anagrafico in un meccanismo di sorveglianza.

Le recenti violazioni del GDPR commesse da Yoti in Europa

• Nel novembre 2025, l'Agenzia Spagnola per la Protezione dei Dati (AEPD) ha inflitto a Yoti Ltd una multa totale di 950.000 euro per violazioni del GDPR legate al trattamento di dati biometrici attraverso la sua app Digital ID e la tecnologia di stima dell'età.
• Un'interrogazione parlamentare europea (E-001251/2026) cita esplicitamente la sanzione spagnola contro Yoti e chiede se la Commissione Europea intenda agire per impedire che gli strumenti di verifica dell'età mettano a rischio i dati degli utenti.
• La stessa interrogazione sottolinea che Yoti è utilizzata da Meta, TikTok e siti per adulti come Pornhub, aspetto che rende le sue pratiche sulla privacy rilevanti ben oltre il singolo caso GrapheneOS.

La tensione normativa

• Governi e autorità di regolamentazione, anche in Europa, stanno spingendo sempre più per l'implementazione di sistemi di verifica dell'età per i servizi online, alimentando la domanda di fornitori come Yoti.
• Questi sistemi spesso richiedono controlli sensibili su identità, dati biometrici o caratteristiche del dispositivo, creando una tensione inevitabile tra gli obiettivi di protezione dei minori e il diritto alla privacy e all'anonimato degli utenti.
• L'incidente GrapheneOS è un esempio calzante di come un normale flusso di verifica dell'età possa intrecciarsi pericolosamente con meccanismi di attestazione del dispositivo e rilevamento del sistema operativo, andando ben oltre il semplice controllo anagrafico.

Domande ancora senza risposta

• Da quanto emerso finora, non è chiaro se Yoti abbia effettivamente trasmesso segnalazioni alle forze dell'ordine o se l'email del servizio clienti abbia usato una formula imprecisa per un allarme di sicurezza interno.
• Le cronache disponibili si concentrano sulla presunta email, sul problema della rilevazione di GrapheneOS e sulla conseguente reazione pubblica, lasciando irrisolte le domande sulle reali conseguenze pratiche della segnalazione "alle autorità".