用私隱系統就係犯法？GrapheneOS 用家玩 PS 驗年齡被 Yoti 舉報，私隱與保安大對決

點解系統會知你用緊 GrapheneOS？

好多人都奇怪，一個驗年齡嘅 App，點解會知道你手機 Run 緊咩系統？答案在於 Hardware Attestation API。呢個係 Android 系統內置嘅一個機制，用嚟證明裝置嘅安全性同完整性。當 App 請求驗證時，佢可以匹配你嘅 verifiedBootKey，從而確認你係咪用緊非官方嘅 ROM，例如 GrapheneOS 。

呢件事引起咗好大憂慮：政府同年齡驗證公司不斷鼓勵（甚至強制）人網上驗明正身，但同一時間，只要你採用更安全、更保護私隱嘅工具，就會俾系統標籤為「高危」，甚至惹上官非。咁究竟係保障緊用戶，定係製造白色恐怖？

Yoti 點回應？官方說法極度模糊

面對網上猛烈嘅抨擊，Yoti 嘅回應非常有限。根據現有嘅資訊：

• 客服確認機制：Yoti 嘅支援團隊書面承認咗「自動標記 GrapheneOS 裝置」呢個做法，並聲稱呢啲個案會通報畀「當局」同安全團隊 。
• 外界質疑：GrapheneOS 社群內部普遍認為，呢個客服嘅講法似係「靠嚇」居多，目的係想打發個客走，唔想跟進個 Ticket。佢哋認為實際上未必真係報咗警 。
• 未有公開澄清：截至消息爆出，Yoti 冇發出官方企業聲明，解釋「報官」究竟係指「內部保安標記」，定係真係「交咗檔案畀警察」。呢種曖昧嘅態度令私隱界更加不滿 。

更大嘅背景：年齡驗證、GDPR 罰款同私隱角力

呢單嘢只係冰山一角，背後反映緊更大嘅社會矛盾。

1. Yoti 本身有前科，西班牙罰咗近 800 萬港幣

正正就喺事件爆出前幾個月，Yoti 喺歐洲已經好唔得閒。2025 年 11 月，西班牙數據保護局（AEPD）根據歐盟通用數據保障條例（GDPR），重罰咗 Yoti 總共 95 萬歐元（約 800 萬港幣）。點解被罰？

• 非法處理生物數據：Yoti 要求用戶影自拍照（Selfie），然後製作成生物認證模板去對比身份證件，呢種做法被裁定為違規處理敏感數據（罰 50 萬歐元）。
• 無效同意書：用預先勾選嘅選項去呃用家同意，唔符合自由意志嘅原則（罰 20 萬歐元）。
• 保留數據太耐：將生物認證模板同地理位置數據保留長達五年，遠超必要用途（罰 25 萬歐元）。

Yoti 嘅 CEO 曾經發聲明話「強烈反對裁決」並且會上訴，亦強調冇數據洩漏 。但事實係，一間俾 Meta、TikTok 甚至 Pornhub 網站採用嘅年齡驗證公司，喺數據保護上甩漏多多，呢個背景令今次「封鎖 GrapheneOS」事件更顯諷刺 。

2. 政策嘅兩難局面

而家全球政府都想透過年齡驗證嚟「保護細路」，網上平台嘅壓力越嚟越大。呢啲系統好多時要求收集極度敏感嘅身份、生物特徵甚至裝置訊息，直接踩入「監控」同「私隱」嘅紅線 。

今次事件反映出，一個純粹嘅「年齡驗證流程」，已經演變成「裝置完整性偵測」同「系統歧視」。你用 iPhone 或普通 Android 機冇事，但用更安全嘅開源私隱系統就即時被當成犯法。咁將來仲邊有人敢保護自己嘅數據私隱？

3. 未解決嘅謎團

直到而家，以下核心問題依然懸而未決：

• Yoti 究竟係咪真係將用家資料傳送咗畀警方？定係純粹客服用詞不當，虛張聲勢？
• 如果真係有「報警機制」，係按照邊條法例去舉報？因為單純使用 GrapheneOS 喺現行法律下絕對唔係犯法 。
• 呢類自動化嘅歧視機制，會唔會成為未來所有年齡驗證系統嘅「標準配置」？

今次 GrapheneOS 用戶嘅遭遇，完美展示咗當「保安」同「私隱」被擺上枱面博弈時，一般用家可以有幾無助。