Kalifornští zákonodárci ustoupili od jednoho z nejrozsáhlejších návrhů na ověřování věku v zemi, ale zastánci soukromí by neměli slavit příliš brzy. AB 1856, který by donutil webové prohlížeče ověřovat věk uživatelů před umožněním obecného přístupu na internet, o toto ustanovení zcela přišel. Mezitím jeho doprovodný zákon, AB 1043 (Digital Age Assurance Act), zůstává plně nedotčen a pokračuje podle harmonogramu. Od 1. ledna 2027 bude ověřování věku na úrovni operačního systému v Kalifornii vyžadovat, aby Apple a Google shromažďovaly data narození během nastavování zařízení a předávaly signály o věkové kategorii vývojářům aplikací. Požadavek na prohlížeče je pryč. Požadavek na operační systémy nikoli.
Co AB 1043 skutečně vyžaduje od Applu a Googlu
Podle AB 1043 se ověřování věku přesouvá z jednotlivých webových stránek a aplikací přímo na samotné zařízení. Když si Kaliforňan nastavuje nový telefon, tablet nebo počítač se systémy iOS, Android nebo jiným zahrnutým operačním systémem, platforma si při vytváření účtu vyžádá datum narození. Toto datum narození se nesdílí přímo s každou aplikací, kterou si uživatel stáhne. Místo toho ho operační systém převede do věkové kategorie, obecné kategorie jako "do 13 let" nebo "13 až 17 let" namísto přesného data narození, a předá tento signál vývojářům aplikací, aby mohli odpovídajícím způsobem upravit obsah nebo funkce.
Toto je významně odlišná architektura od přístupu založeného na prohlížečích, od něhož zákonodárci upustili. Namísto ověřování věku v okamžiku, kdy někdo navštíví webovou stránku, systém zabudovává věkové údaje do zařízení od prvního dne a tyto údaje provázejí uživatele napříč každou následně nainstalovanou aplikací. Působnost zákona přesahuje i mainstreamové platformy – zprávy naznačují, že se vztahuje široce na operační systémy prodávané nebo používané v Kalifornii, což vyvolává složité otázky pro menší a open-source projekty, které nemají infrastrukturu pro zajištění souladu s předpisy jako Apple nebo Google.
Proč je ověřování na úrovni OS těžší obejít než požadavky na prohlížeče
Věková brána založená na prohlížeči, ať už měla jakékoli nedostatky, byla alespoň omezena na prohlížeč. Uživatelé, kteří s ní nesouhlasili, mohli přepnout prohlížeč, použít jiný profil zařízení nebo kontrolu obejít různými způsoby. Ověřování na úrovni OS nenabízí stejnou flexibilitu. Jakmile jsou věkové údaje stanoveny při nastavování zařízení, stávají se základní vrstvou, na které staví každá následná interakce s aplikací. Neexistuje snadná možnost odhlášení ekvivalentní prosté volbě jiného softwaru, protože samotný operační systém je strážcem brány.
Tento rozdíl je důležitý pro každého, kdo přemýšlí o strategii digitálního soukromí. Jediné rozšíření prohlížeče nebo volba alternativního prohlížeče dříve mohly požadavek na ověření věku obejít. Podle AB 1043 k ověření dochází ještě předtím, než uživatel vůbec otevře aplikaci, ve fázi vytváření účtu v životním cyklu zařízení. To je strukturální posun, nejen technický, a je součástí širšího vzorce obav z vládního hromadného sledování, kde se státem nařízený sběr dat zabudovává do infrastruktury, s níž běžní uživatelé denně interagují, ať už si to uvědomují, nebo ne.
Minimalizace dat a rizika sdílení věkových kategorií
Zastánci AB 1043 poukazují na to, že zákon je navržen na principech minimalizace dat. Aplikace dostávají věkovou kategorii, nikoli datum narození, a teoreticky to omezuje množství osobních údajů proudících k vývojářům třetích stran. Sdílení věkové kategorie však stále vytváří trvalý signál spojený s identitou uživatele napříč potenciálně stovkami aplikací během životnosti zařízení. Jakmile tento signál existuje, vyvstávají otázky, jak dlouho ho vývojáři uchovávají, zda se kombinuje s jinými sledovacími údaji a co se stane, pokud implementace platformy nedosáhne záměru zákona.
Kalifornie má zde pozoruhodnou historii. Nedávný audit zjistil, že dodržování CCPA je ve velkém měřítku ignorováno na tisících webových stránek, přestože stát má na papíře jeden z nejsilnějších zákonů na ochranu soukromí spotřebitelů v zemi. Tato historie je rozumným základem pro skepsi ohledně toho, jak důsledně budou ochrany věkových kategorií podle AB 1043 skutečně vymáhány, až zákon vstoupí v platnost. Datum narození shromážděné při nastavení je také funkčně malým souborem identifikačních údajů, který přetrvává po celou dobu životnosti zařízení, podobně jako cookies prohlížeče v tichosti sledují chování v průběhu času, jen s tím rozdílem, že je to zabudováno do hardwarové vrstvy namísto webové stránky.
Co to znamená pro vás
Pokud žijete v Kalifornii, počítejte s tím, že jakékoli nové zařízení od Applu nebo Googlu, které nastavíte po 1. lednu 2027, bude vyžadovat datum narození, než ho budete moci používat. Není to volitelné tak, jak by mohla být věková brána na webu, a není to něco, co VPN nebo nastavení prohlížeče obejde, protože kontrola probíhá na úrovni operačního systému, nikoli na síťové nebo aplikační vrstvě. Praktickým důsledkem je, že věkové údaje se stávají součástí základní konfigurace vašeho zařízení a promítají se do každé následně nainstalované aplikace.
Pro rodiče by to mohlo znamenat konzistentnější kontrolu obsahu napříč aplikacemi bez nutnosti konfigurovat každou zvlášť. Pro dospělé dbající na soukromí to znamená další kus osobních údajů trvale spojený se zařízením, přičemž kvalita vymáhání zůstává otevřenou otázkou vzhledem k nerovnoměrným výsledkům kalifornských zákonů na ochranu soukromí.
Co si odnést před rokem 2027
Začněte sledovat, jak Apple a Google komunikují své plány na dodržování AB 1043 v příštím roce, protože podrobnosti implementace určí, jakou kontrolu uživatelé skutečně udrží nad svými vlastními věkovými údaji. Důkladně zkontrolujte nastavení soukromí na jakémkoli novém zařízení při nastavování, namísto rychlého proklikávání výzev. A sledujte, jak je tento rámec ověřování věku na úrovni OS v Kalifornii vymáhán v praxi, protože zákon, který na papíře chrání soukromí, je jen tak dobrý, jak dobrý je dohled za ním.
