Я хотел синюю галочку в LinkedIn. Ту, что говорит: «это живой человек». В море фейковых рекрутеров, бот-аккаунтов и сгенерированных ИИ фотографий это казалось разумным решением.
Поэтому я нажал «проверить». Я отсканировал свой паспорт. Я сделал селфи. Через три минуты — готово, галочка получена. Я почувствовал небольшой прилив дофамина от реальности своей личности.
Потом я сделал то, что, видимо, никто не делает. Я прочитал политику конфиденциальности и условия использования.
Не в LinkedIn. Другой компании.
Погоди-ка, какая ещё компания?
Когда вы нажимаете «проверить» в LinkedIn, вы передаёте свой паспорт не в LinkedIn. Вас перенаправляют в компанию под названием Persona. Полное имя: Persona Identityentities, Inc. Базируется в Сан-Франциско, Калифорния.
LinkedIn — их клиент. Вы — лицо, которое сканируется.
Раньше я никогда не слышал о Persona. И большинство людей слышали. В этом и суть — они невидимо стоят между вами и платформами, которым вы доверяете.
Поэтому я скачал их политику конфиденциальности (18 страниц) и условия использования (16 страниц). И вот что я обнаружил.
Всё, что я им дал
Всего за три минуты проверки личности Persona собрала:
- Моё полное имя — имя, отчество, фамилия
- Моя фотография из паспорта — полный документ, обе стороны, все данные на его лице
- Моё селфи — фото моего лица, сделанное в реальном времени
- Моя геометрия лица — биометрические данные, извлеченные из обоих изображений, использованные для сопоставления селфи с паспортом
- Данные моего NFC-чипа — цифровая информация, хранящаяся на чипе внутри моего паспорта
- Мой национальный идентификационный номер
- Мои национальность, пол, дата рождения, возраст
- Мои электронная почта, номер телефона, почтовый адрес
- Мои IP-адрес, тип устройства, MAC-адрес, браузер, версия ОС, язык
- Моя геолокация — выведена по моему IP
А ещё есть странные моменты:
- Отслеживание колебаний, неуверенности — они отслеживали, сделал ли я паузу во время процесса.
- Отслеживание копирования и вставки — они отслеживали, вставляю ли я информацию, или печатаю её.
Поведенческая биометрия. Помимо физических биометрических данных. Для бейджа LinkedIn.
Они также связались со своими коллегами
Persona использовала не только то, что я им дал. Они сопоставили меня с так называемой «глобальной сетью надёжных сторонних источников данных»:
- Государственные базы данных
- Национальные реестры удостоверений личности
- Потребительские кредитные агентства
- Коммунальные компании
- Операторы мобильной связи
- Базы данных почтовых адресов
Я отсканировал паспорт для получения галочки. Они провели проверку биографии.
Моё лицо — это обучающие данные
И вот что ещё я чуть не упустил. Это спрятано в таблице на странице 6 политики конфиденциальности, в разделе «законные интересы»:
Они используют загруженные изображения документов — то есть мой паспорт — чтобы обучать свой ИИ. Они учат свою систему распознавать, как выглядят паспорта в разных странах. Они также используют ваше селфи, чтобы «выявлять улучшения в Сервисе».
Правовая основа? Не важно. Законный интерес. То есть они сами решили, что это нормально. Согласно GDPR, они должны балансировать между своими «интересами» и вашими фундаментальными правами. Соответствует ли этому подача европейских паспортов в модели машинного обучения — хороший вопрос, который стоит задать.
Я пришёл за бэджиком. И остался в системе в качестве обучающих данных.
Куда ещё уходит моё лицо?
Кроме Persona копию ваших данных также получат:
LinkedIn:
- Ваше полное имя
- Год рождения
- Тип удостоверения личности и название органа, который его выдал
- Результат верификации
- Размытая версия вашего удостоверения личности (всё скрыто, кроме имени и фото)
А также к вашим данным имеют доступ:
- Подрядчики и партнёры Persona — подрядчики, работающие от их имени
- Их «глобальная сеть партнёров по данным» — эти сторонние базы данных работают в обе стороны
- Аффилированные и дочерние компании — связанные с Persona компании, которые используют «общие системы данных»
- Любой покупатель Persona — при слиянии, поглощении или банкротстве — ваши данные включаются в сделку
- Правоохранительные и силовые структуры — и вот тут всё становится по-настоящему интересным
А ещё есть список субподрядчиков. Persona публикует список тех, кто ещё имеет доступ к вашим данным. Жаль, что я не посмотрел.
17 компаний, которые прикасаются к вашему лицу
Компания Persona ведет публичный список субподрядчиков — сторонних компаний, которые обрабатывают ваши персональные данные от их имени. Вот полный список:
Anthropic, Сан-Франциско, США
OpenAI, Сан-Франциско, США
Groqcloud, Сан-Хосе, США
Инфраструктура AWS, Хьюстон, США
Google Cloud Platform, Маунтин-Вью, США
Resistance AI Document Analysis, Нью-Йорк, США
FingerprintJS, Чикаго, США
MongoDB Database Services, Нью-Йорк, США
Snowflake Services, Бозман, США
Поисковая и аналитическая система Elasticsearch, Маунтин-Вью, США
ETL Services, Маунтин-Вью, США
DBT ETL Services, Филадельфия, США
Sigma Computing Data Analytics, Сан-Франциско, США
Tableau Data Analytics, Сиэтл, США
Обработка кредитных карт Stripe, Южный Сан-Франциско, США
API Twilio (телефон, SMS), Денвер, США
Persona Identities Канада, служба поддержки и развития клиентов, Торонто, Канада
Посчитай их. 17 компаний. Из которых 16 в Соединённых Штатах. 1 в Канаде. В ЕС — ноль.
Пусть это отпечатается в вашем сознании. Вы отсканировали свой европейский паспорт в поисках европейской профессиональной сети, и ваши данные поступили исключительно североамериканским компаниям. Ни одного субпроцессора в ЕС в цепочке.
И посмотрите, кто занимается «извлечением и анализом данных» — Anthropic, OpenAI и Groqcloud. Три компании-разработчика ИИ обрабатывают ваши паспортные и селфи данные. Ваш государственный документ проходит через те же компании, что создают крупные языковые модели и системы искусственного интеллекта.
AWS занимается «обработкой изображений». Это твоё лицо, проходящее через инфраструктуру Amazon. FingerprintJS — компания, буквально названная в честь того, что она делает — занимается «анализом устройств». Они снимают отпечатки пальцев с вашего устройства, пока Persona берёт отпечатки вашего лица.
Помните, когда в политике конфиденциальности говорилось, что данные хранятся в «Соединённых Штатах и Германии»? Часть с Германией технически верна — возможно, там есть какие-то данные. Но каждая компания, которая обрабатывает ваши данные, — американская. Закон CLOUD распространяется не только на Persona. Это применимо и ко всем 16 этим американским субпроцессорам.
The CLOUD Act: почему Франкфурт вас не защищает
У Persona есть дата-центры в США и Германии. Если вы в Европе, то можете подумать: отлично, мои данные, вероятно, находятся на немецком сервере, защищённом GDPR, не доступном из Америки
Это не так.
Persona — американская компания. Зарегистрирована в Калифорнии. Это означает, что они подчиняются US CLOUD Act — положению о законном использовании данных за рубежом, подписанного в 2018 году.
Вот что делает CLOUD Act простым языком: он позволяет правоохранительным органам США заставлять любую американскую компанию передавать данные, даже если эти данные хранятся на сервере за пределами США.
Ваш скан паспорта может лежать в дата-центре во Франкфурте. Суд США выдаёт ордер. Persona должна подчиниться. Физическое расположение сервера не имеет значения. Главное — юридическое местоположение компании.
И политика конфиденциальности Persona это подтверждает. Их точные слова:
Мы будем получать доступ к персональным данным, раскрывать их и сохранять, когда сочтем это необходимым для соблюдения применимого законодательства или в ответ на законные юридические запросы, в том числе от правоохранительных органов, органов национальной безопасности или других государственных учреждений.
“Национальная безопасность.” Эти два слова делают большую тяжёлую работу. Согласно законодательству США, запросы на национальную безопасность — такие как судебные решения FISA или письма по национальной безопасности — могут сопровождаться запретом на разглашение. Persona не сможет сказать вам, что они передали ваши данные, даже если бы хотели.
«Но ведь существует Data Privacy Framework!»
Да, Persona заявляет, что соответствует Рамочному соглашению защиты данных между ЕС и США (Data Privacy Framework, DPF). Она прошла сертификацию в Министерстве торговли США. Она следует принципам. Всё очень официально.
Но с DPF имеется нюанс: это замена Privacy Shield, которую Европейский суд ООН отменил в 2020 году. Почему? Потому что Data Privacy Framework законы США о слежке сделали невозможным гарантировать безопасность европейских данных.
DPF существует потому, что США подписали Executive Order (14086), обещащая вести себя лучше. Но исполнительный указ — это не закон. Это президентское решение. Его может изменить или отменить любой будущий президент одним почерком пера.
Активисты за защиту конфиденциальности — включая noyb, организацию, стоящую за первоначальными решениями Schrems — уже оспорили DPF. Правовая основа, которой ваши данные «защищены», в лучшем случае временная.
Итак, реальность выглядит так:
- Вы сканируете паспорт в Мадриде, Берлине или Дублине
- Persona хранит его — возможно, в Германии, возможно, в США
- The CLOUD Act предоставляет американским властям доступ независимо от того, где он находится
- DPF должен защищать вас, но он построен на песке
- Запрос c грифом “национальная безопасность” поможет получить ваши биометрические данные, и вы даже не узнаете об этом
Ваш европейский паспорт находится в одной тайной повестке от системы спецслужб правительства США.
Биометрическая мина замедленного действия
Позвольте мне прояснить, что здесь означает «биометрические данные».
Persona извлекает математическую геометрию вашего лица из селфи и из вашего паспортного фото. Это не просто фотография — это числовая карта расстояний между глазами, формы линии челюсти, геометрии черт лица. Это уникальные данные, которые вас однозначно идентифицируют. И, в отличие от пароля, вы не сможете изменить лицо, если его скомпрометуют.
В их политике указано, что эти данные сканирования уничтожаются «после завершения проверки или в течение шести месяцев после последнего взаимодействия». Хорошо.
Но есть исключение: «если только Persona не обязана по закону или юридическим процессам хранить данные».
Это исключение, в сочетании с законом CLOUD Act, означает, что в США судебный процесс может заставить Persona хранить ваши биометрические данные неопределённый срок. Шестимесячный срок ничего не значит, если суд скажет: «Храните это».
Страховка за $50
Теперь давайте поговорим о том, что происходит, если что-то пойдёт не так. Мы говорим, что есть нарушение, допустим, ваш скан паспорта, геометрия лица и национальный номер попали не в те руки.
Условия использования Persona ограничивают их ответственность до 50 долларов США.
Твой паспорт. Твоё лицо. Твои биометрические данные. Твой национальный идентификационный номер. Пятьдесят долларов за всё, оптом.
Они также включают обязательный арбитражный процесс — без суда, без присяжных, без коллективных исков. Вы можете подавать претензии только индивидуально. Через Американскую арбитражную ассоциацию. Даже если вы в Европе и спор касается европейских данных.
Для жителей ЕU/EEA в условиях указано, что отношения регулирует ирландское законодательство. Что звучит лучше, пока не вспомните: ирландское законодательство регулирует отношения, а американское законодательство — работу компании. The CLOUD Act не заботит, что написано в вашем контракте.
Что вам следует сделать
Если вы уже проверили — как и я — то вот что я бы порекомендовал:
-
Запросите свои данные. Пишите idv-privacy@withpersona.com или privacy@withpersona.com. Согласно GDPR, у них есть 30 дней на ответ.
-
Запросить удаление данных. Проверка завершена. В LinkedIn уже есть результат. Нет причин для Persona хранить скан паспорта и геометрию лица на своих серверах. Попросите их удалить это.
-
Свяжитесь с их DPO. dpo@withpersona.com — это их специалист по защите данных. Если вы хотите возразить против того, чтобы они использовали ваши документы как обучающие данные ИИ по причине «законных интересов», то обращаетесь сюда.
-
Подумайте дважды, прежде чем проходить проверки. Эта синяя галочка, возможно, не стоит того, что вы на него обмениваете. Галочка — это косметика. Биометрические данные — это навсегда.
Три минуты
Всё заняло три минуты. Сканирование, селфи — готово.
Понимание того, на что я в самом деле согласился, чтение 34 страниц юридических документов, заняло у меня целые выходные.
Я передал американской компании свой паспорт, своё лицо и математическую модель геометрии моего черепа. Они сравнили меня с данными кредитных агентств и государственных баз данных. Они будут использовать мои документы для обучения своего ИИ. И если правительство США потребует, они отдадут всё — даже если это хранится в Европе, даже если я европеец, и, возможно, никогда не сообщая мне об этом.
И всё это ради маленькой голубой галочки на профессиональном сайте для знакомств.
Я не уговариваю тебя отказываться от проверки. Но я рассказываю тебе это, чтобы ты знал, чем ты торгуешь. Потому что Persona это делает. LinkedIn это делает. А единственный неосведомлённый человек — тот, кто держит паспорт перед камерой.
Источники:
Persona IDV Privacy Policy (последнее обновление: 8 мая 2025 года)
Persona IDV Terms of Service (последнее обновление: 12 сентября 2023 года)
Persona Subprocessors (последнее обновление: 8 сентября 2025 года)
Комментарий переводчика
Кроме того, что ваши данные могут быть переданы по упомянутым в статье причинам, они могут появиться в выдаче ChatGPT и других ИИ. Могут проданы в дакнете “плохим Сноуденом”. Могут быть украдены и проданы неизвестно кому и для чего хакерами. Могут быть переданы другим спецслужбам в рамках сотрудничества. Примеров тому множество. И если вы после прочтения этой статьи всё ещё готовы соглашаться на такие проверки, то вы либо умственно слаборазвитый человек, либо сумасшедший фаталист. И вы просто обязаны жить в цифровом концлагере со стеклянными спальнями и туалетами, под постоянным наблюдением, без права на личное пространство и приватность.
Я не отговариваю вас отказываться от права быть открытым нараспашку. Я всего лишь прошу вас делать это способами, не затрагивающими право других людей на приватность. Убрать, например, из входной двери замок, или оставлять ключи на вбитом в дверь гвоздике. Рассказать в Фейсбуке, Инстаграме, где у вас спрятаны деньги и драгоценности. Написать на куртке номер кредитки и пин-код. Или любым другим способом, который касается только вас. Это ваше право, и я никоим образом не собираюсь на него посягать.
Я знаю, что это прозвучало резко. Что ж, можете обижаться — если вы настолько трудолюбивы, что вам не трудно воду повозить. 😉️
Оригинал (en): https://thelocalstack.eu/posts/linkedin-identity-verification-privacy/ , Feb 16, 2026
Перевод: Wandering Thinker
Comments
No comments yet. Be the first to react!