Záznamy o ověření věku ve Spojeném království: Co může Ofcom vyžadovat

Co britský zákon skutečně vyžaduje, aby platformy logovaly při kontrolách věku

Častou mylnou představou o britských pravidlech pro ověřování věku je, že každá jednotlivá kontrola věku je logována, ukládána a na vyžádání zpřístupněna regulačním orgánům. Nové pokyny pro odvětví tuto domněnku přímo zpochybňují: žádný regulační orgán nevyžaduje logování každé kontroly věku. Tento rozdíl je důležitý, protože odděluje to, co britský zákon o záznamech z ověřování věku skutečně nařizuje, od toho, co platformy jednoduše volí uchovávat jako obchodní praxi.

V rámci rámce zákona o online bezpečnosti (Online Safety Act) jsou platformy, které používají nástroje pro ověřování věku (ať už jde o odhad obličeje, kontroly dokladů totožnosti nebo služby třetích stran pro ověřování), povinny prokázat, že jejich systémy fungují podle očekávání a splňují standard „vysoce efektivní“, který stanovil Ofcom. To znamená, že poskytovatelé potřebují určité důkazy, že jejich proces funguje: audity ukazující použitou metodu, zda byla úspěšná či nikoli, a dostatek dokumentace k prokázání souladu v případě výzev. Co to podle pokynů neznamená, je zákonná povinnost trvale ukládat podrobné záznamy spojující konkrétní osobu s konkrétní kontrolou, včetně podkladového dokumentu nebo obrázku, po neomezenou dobu.

To je důležitý detail pro každého, kdo se snaží pochopit, co se stane s jeho údaji poté, co nahraje fotografii pasu nebo se podrobí skenování obličeje. Zákon stanovuje laťku souladu. Nestanovuje minimální dobu uchovávání dat.

Co může Ofcom vynutit vs. co je dobrovolné vedení záznamů

Donucovací pravomoci Ofcomu jsou reálné a regulační orgán již ukázal, že je ochoten je využívat. Probíhající vyšetřování Ofcomu ohledně ověřování věku na TikToku je jasným příkladem: když Ofcom podezřívá platformu z nesplnění povinností týkajících se bezpečnosti dětí, může zahájit formální vyšetřování a požadovat důkazy o tom, jak byly kontroly věku skutečně prováděny, nejen politické dokumenty popisující, jak mají fungovat.

Ale je rozdíl mezi tím, co může Ofcom vynutit během vyšetřování, a tím, co se společnost rozhodne proaktivně uchovávat, jen pro případ. Ofcom může vyžadovat záznamy prokazující, že proces ověřování věku na platformě splňuje požadovaný standard, tedy věci jako logy metod, míry chyb a auditorskou dokumentaci. Co nemůže udělat, je donutit společnosti uchovávat osobní doklady totožnosti nebo biometrická skenování nad rámec toho, co je nutné k prokázání souladu. Jakékoli další uchovávání, například ponechání naskenovaného dokladu totožnosti v evidenci měsíce po dokončení kontroly, je obchodním rozhodnutím, nikoli zákonnou povinností. Některé platformy mohou data nadměrně uchovávat z opatrnosti, kvůli obavám z odpovědnosti nebo prostě kvůli špatné datové hygieně, a právě v této mezeře mezi tím, co je vyžadováno a co je uchováváno, se koncentruje riziko pro soukromí.

Rizika pro soukromí při uchovávání dat z ověřování věku pro uživatele

Tento rozdíl má reálné důsledky pro běžné uživatele. Pokud zákon vyžaduje pouze důkaz, že kontrola proběhla, ale platforma se rozhodne přesto ukládat podkladový dokument nebo biometrický obrázek, stávají se tato data závazkem ležícím na serveru kdesi, po neomezenou dobu, bez regulačního důvodu. Je to druh nadměrného uchovávání, který mění běžnou kontrolu věku v dlouhodobé ohrožení soukromí.

Uživatelé, kteří procházejí těmito systémy, obvykle nemají žádnou viditelnost do toho, do které kategorie jejich data spadají. Byl sken pasu po ověření zahozen, nebo archivován? Byl obrázek z odhadu obličeje okamžitě smazán, nebo ponechán jako tréninkový vzorek? Pokyny naznačují, že by se uživatelé měli poskytovatelů přímo ptát na jejich zásady uchovávání, protože britský zákon sám o sobě nestanovuje jednotný národní standard nad rámec obecných povinností ochrany údajů. Tato nejistota je také důvodem, proč parlamentní debata o dopadu zákona o online bezpečnosti na soukromí přitáhla pozornost poslanců, kteří se obávají, že požadavky na ověřování věku vytvářejí nová rizika sběru dat bez odpovídajících požadavků na transparentnost.

Kde VPN a šifrované DNS mohou a nemohou pomoci

VPN může maskovat vaši IP adresu a obecnou polohu a šifrované DNS může zabránit vašemu poskytovateli internetového připojení, aby viděl, které stránky navštěvujete. Žádný z těchto nástrojů se nedotýká samotného procesu ověřování věku. Pokud platforma vyžaduje skenování obličeje, nahrání dokladu nebo kontrolu bankovních záznamů pro prokázání věku, VPN neudělá nic, aby zabránila shromažďování, přenosu nebo ukládání těchto dat poskytovatelem ověřování. VPN chrání metadata na úrovni sítě, nikoli obsah formuláře, který přímo odešlete na webovou stránku.

Co VPN může udělat, je snížit množství doprovodných dat shromažďovaných kolem samotné události ověření, jako je vaše přibližná poloha nebo identifikátory přidělené poskytovatelem internetu, které některé platformy mohou logovat spolu s kontrolou věku jako součást prevence podvodů. To je mírný přínos pro soukromí, nikoli způsob, jak se zcela vyhnout požadavkům na ověřování věku, a uživatelé by měli být obezřetní vůči jakémukoli nástroji propagovanému jako obcházení zákonem nařízených kontrol věku.

Co to znamená pro vás

Pokud jste požádáni o provedení kontroly věku na britské platformě, nejbezpečnějším předpokladem je, že osud vašich dat závisí zcela na zásadách uchovávání konkrétního poskytovatele, nikoli na jednotném zákonném příkazu. Před odesláním citlivých dokumentů hledejte jasné prohlášení o tom, jak dlouho jsou data uchovávána a zda jsou po ověření smazána. Tam, kde je to možné, upřednostňujte služby používající metody odhadu před nahráváním dokumentů, protože odhad obvykle vyžaduje méně trvale identifikovatelného materiálu. A pokud je platforma v současnosti pod regulačním dohledem, jako je probíhající vyšetřování Ofcomu ohledně praktik TikToku, považujte to za signál být mimořádně opatrní s tím, co sdílíte, dokud nebude znám výsledek.

Klíčové poznatky

• Britský zákon o záznamech z ověřování věku nevyžaduje, aby poskytelé logovali každou kontrolu po neomezenou dobu; vyžaduje důkaz, že proces splňuje standardy souladu.
• Ofcom může během vyšetřování vynutit důkazní audity, ale nemůže vynutit uchovávání osobních dokumentů nad rámec toho, co vyžaduje soulad.
• Jakékoli dlouhodobé uchovávání skenů dokladů nebo biometrických obrázků nad rámec samotné kontroly je obchodním rozhodnutím, nikoli zákonnou povinností.
• VPN a šifrované DNS chrání soukromí na úrovni sítě, ale nezabrání poskytovatelům ověřování věku ve shromažďování dat, která přímo odešlete.
• Ptejte se poskytovatelů přímo na jejich zásady uchovávání před provedením jakékoli kontroly věku, zejména na platformách, které jsou v současnosti pod regulačním dohledem.