Какво всъщност изисква законът в Обединеното кралство платформите да записват по време на проверки на възрастта

Често срещано погрешно схващане за правилата за потвърждаване на възрастта в Обединеното кралство е, че всяка отделна проверка на възрастта се записва, съхранява и предоставя на регулаторите при поискване. Новите насоки в индустрията директно опровергават това предположение: нито един регулатор не изисква запис на всяка проверка на възрастта. Това разграничение има значение, защото разделя това, което законът за протоколите за данни от проверка на възрастта в Обединеното кралство наистина изисква, от това, което платформите просто избират да запазят като бизнес практика.

Съгласно рамката на Закона за онлайн безопасност, платформите, които използват инструменти за потвърждаване на възрастта (независимо дали става въпрос за оценка по лице, проверка на документи за самоличност или услуги за проверка от трети страни), са задължени да докажат, че техните системи работят както е предвидено и отговарят на стандарта за „висока ефективност“, определен от Ofcom. Това означава, че доставчиците се нуждаят от известни доказателства, че техният процес функционира: одитни пътеки, показващи използвания метод, дали проверката е преминала или не, и достатъчно документация, за да докажат съответствие при оспорване. Това, което не означава, според насоките, е законово изискване за постоянно съхранение на подробни записи, свързващи конкретно лице с конкретна проверка, включително основния документ или изображение, за неопределен период от време.

Това е важен нюанс за всеки, който се опитва да разбере какво се случва с данните му, след като качи снимка на паспорт или се подложи на лицево сканиране. Законът поставя летвата за съответствие. Той не поставя минимално изискване за съхранение на данни.

Какво може да наложи Ofcom срещу това, което е незадължително водене на записи

Правомощията на Ofcom за принудително изпълнение са реални и регулаторът вече показа, че е готов да ги използва. Продължаващото разследване на Ofcom относно проверката на възрастта в TikTok е ясен пример: когато Ofcom подозира, че платформа не е изпълнила задълженията си за безопасност на децата, той може да открие официално разследване и да изиска доказателства за това как всъщност са извършени проверките на възрастта, а не само политически документи, описващи как се предполага, че работят.

Но има разлика между това, което Ofcom може да наложи по време на разследване, и това, което дадена компания решава да запази проактивно, за всеки случай. Ofcom може да изисква записи, които доказват, че процесът за потвърждаване на възрастта на платформата отговаря на необходимия стандарт, като например регистри на методите, нива на грешки и одитна документация. Това, което не може да направи, е да принуди компаниите да съхраняват лични документи за самоличност или биометрични сканирания повече от необходимото, за да докажат съответствие. Всяко допълнително съхранение, като например запазване на сканирана лична карта за месеци след приключване на проверката, е бизнес решение, а не законово задължение. Някои платформи може да съхраняват данни повече от необходимото от предпазливост, поради опасения за отговорност или просто поради лоша хигиена на данните, и именно в тази разлика между това, което се изисква, и това, което се съхранява, обикновено се концентрира рискът за поверителността.

Рискове за поверителността при съхранение на данни от потвърждаване на възрастта за потребителите

Това разграничение има реални последици за обикновените потребители. Ако законът изисква само доказателство, че проверката е извършена, но платформата избере да съхранява основния документ или биометричното изображение въпреки това, тези данни се превръщат в отговорност, стояща на сървър някъде, за неопределено време, без регулаторна причина. Това е вид прекомерно съхранение, което превръща рутинна проверка на възрастта в дългосрочно излагане на поверителността.

Потребителите, които преминават през тези системи, обикновено нямат видимост в коя категория попадат данните им. Сканирането на паспорта изхвърлено ли е след проверката или е архивирано? Изображението от лицевата оценка изтрито ли е незабавно или е запазено като пример за обучение? Насоките предполагат, че потребителите трябва директно да питат доставчиците каква е тяхната политика за съхранение, тъй като самият закон в Обединеното кралство не определя единен национален стандарт извън общите задължения за защита на данните. Тази несигурност е част от причината парламентарният дебат за въздействието на Закона за онлайн безопасност върху поверителността да привлече вниманието на депутати, загрижени, че изискванията за проверка на възрастта създават нови рискове за събиране на данни без съответстващи изисквания за прозрачност.

Къде VPN и криптираните DNS могат и не могат да помогнат

VPN може да маскира вашия IP адрес и общо местоположение, а криптираният DNS може да попречи на вашия интернет доставчик да вижда кои сайтове посещавате. Нито един от тези инструменти не засяга самия процес на потвърждаване на възрастта. Ако платформа изисква лицево сканиране, качване на документ за самоличност или проверка на банкови записи, за да докаже възрастта ви, VPN не прави нищо, за да предотврати събирането, предаването или съхраняването на тези данни от доставчика на проверката. VPN защитава метаданните на мрежово ниво, а не съдържанието на формуляр, който подавате директно на даден уебсайт.

Това, което VPN може да направи, е да намали количеството допълнителни данни, събрани около самото събитие за проверка, като приблизителното ви местоположение или идентификатори, зададени от интернет доставчика, които някои платформи може да записват заедно с проверката на възрастта като част от предотвратяването на измами. Това е скромна полза за поверителността, а не начин да избегнете изцяло изискванията за проверка на възрастта, и потребителите трябва да бъдат предпазливи към всеки инструмент, рекламиран като начин за заобикаляне на законово задължителни проверки на възрастта.

Какво означава това за вас

Ако бъдете помолени да извършите проверка на възрастта на платформа в Обединеното кралство, най-безопасното предположение е, че съдбата на данните ви зависи изцяло от политиката за съхранение на конкретния доставчик, а не от единно законово изискване. Преди да изпратите чувствителни документи, потърсете ясно изявление за това колко дълго се съхраняват данните и дали се изтриват след проверката. Предпочитайте услуги, които използват методи за оценка пред качване на документи, когато е възможно, тъй като оценката обикновено изисква по-малко постоянно идентифицируем материал. И ако платформа в момента е под регулаторен контрол, като продължаващото разследване на Ofcom за практиките на TikTok, третирайте това като сигнал да бъдете особено внимателни с това, което споделяте, докато не стане известен резултатът.

Основни изводи

  • Законът за протоколите за данни от проверка на възрастта в Обединеното кралство не изисква доставчиците да записват всяка проверка за неопределен период от време; той изисква доказателство, че процесът отговаря на стандартите за съответствие.
  • Ofcom може да наложи предоставянето на одитни доказателства по време на разследване, но не може да принуди съхранението на лични документи повече от това, което изисква съответствието.
  • Всяко дългосрочно съхранение на сканирани документи за самоличност или биометрични изображения извън самата проверка е бизнес избор, а не законово изискване.
  • VPN и криптираните DNS защитават поверителността на мрежово ниво, но не предотвратяват събирането от доставчиците на проверка на възрастта на данните, които подавате директно.
  • Питайте доставчиците директно за тяхната политика за съхранение, преди да извършите каквато и да е проверка на възрастта, особено на платформи, които в момента са под регулаторен контрол.