隱私的代價？GrapheneOS 用戶因使用注重隱私的作業系統，遭年齡驗證公司 Yoti 標記並通報當局

Yoti 如何回應？

這起事件中，Yoti 的立場顯得格外矛盾。

• 對使用者的直接聲明：根據使用者公開的截圖，Yoti 的客服支援團隊明確以書面形式證實，他們會自動標記運行 GrapheneOS 的裝置，且這些事件會回報給「當局」及安全團隊。
• 來自社群的技術背書：GrapheneOS 社群在相關討論中指出，一款應用程式確實可以透過 Android 內建的「硬體認證 API」（Hardware Attestation API）來偵測裝置是否正在運行 GrapheneOS。 這意味著 Yoti 所稱的「自動標記」在技術上完全可行，並非空穴來風。
• 缺乏明確的公開澄清：截至目前，Yoti 官方並未針對此事發布公開的企業聲明，來釐清所謂「通報給當局」究竟是向外部執法機關舉報，還是客服人員用詞不當，實際上僅是內部安全機制的標記。 這種沉默，反而加劇了隱私社群的疑慮。

冰山一角：事件背後更廣泛的隱私衝突

這個單一事件，其實是數位時代下，幾個重大趨勢相互碰撞的縮影。

1. 裝置指紋辨識與作業系統歧視

Yoti 能夠辨識出 GrapheneOS，證明了「裝置指紋辨識」技術的強大與潛在濫用風險。當企業可以透過 API 輕易區分用戶所使用的作業系統時，一個危險的先例便隨之誕生：選擇使用隱私強化工具（如 GrapheneOS）的守法公民，很可能在不知不覺中被歸類為「高風險用戶」，從而在使用各種線上服務時遭到區別對待或懲罰。

2. Yoti 在歐洲的 GDPR 違規紀錄

就在這起事件發生的半年前，Yoti 才剛因其隱私保護不力，遭到監管機構的重罰。

• 2025 年 11 月，西班牙資料保護局（AEPD）對 Yoti 開出了總額高達 95 萬歐元（約新台幣 3,200 萬元）的罰單。
• 罰款理由包括：非法處理用於身份比對的生物辨識資料（罰 50 萬歐元）、透過預先勾選的核取方塊取得無效的用戶同意（罰 20 萬歐元），以及過度保留用戶的生物辨識與地理位置資訊（罰 25 萬歐元）。
• 一份提交至歐洲議會的質詢文件更特別點名，Yoti 的服務被 Meta、TikTok 以及 Pornhub 等成人網站 所採用，這使得其隱私實踐的影響範圍遠超單一事件。

3. 政策目標與個人隱私的拔河

• 世界各國政府為了保護兒少，正加速推動強制性的線上年齡驗證系統，這為 Yoti 等服務商創造了龐大的市場需求。
• 然而，這些系統的運作，往往需要收集極為敏感的個人身份、生物辨識或裝置資訊，這與使用者對隱私和匿名性的基本權利產生了直接衝突。
• 這起 GrapheneOS 事件，正好提供了一個血淋淋的案例：一個單純的年齡驗證流程，最終卻演變成了一場針對使用者裝置與作業系統的偵測與標記行動。

留下的未解之謎

儘管輿論譁然，這起事件仍有幾個關鍵問題懸而未決：

• 「通報當局」的真實意涵：現有的報導與 Yoti 的回應，都無法證實該公司是否真的將使用者的資訊提交給了警察或其他執法單位。GrapheneOS 社群則傾向認為，這可能是客服人員為了草率結案所使用的誇大之詞。
• 實際的法律後果：除了在網路上分享經歷，該名使用者是否真的面對了來自公權力的調查或行動，目前仍不得而知。

這起事件為所有網路使用者敲響了警鐘：當我們在「安全」與「便利」之間做出選擇時，我們所使用的工具本身，可能已經成為被監控和篩選的對象。