En arbejdsgruppe ved Institute of Electrical and Electronics Engineers (IEEE) er i gang med at udvikle en ny ramme for verifikation af forældres samtykke online, ifølge en rapport fra Biometric Update. Indsatsen afspejler en bredere ændring, der finder sted på tværs af tech- og reguleringsverdenen: de regler, der har styret børns data online i næsten tre årtier, hovedsageligt bygget op omkring Children's Online Privacy Protection Act (COPPA), bliver nu genovervejet til et meget anderledes internet end det, de blev skrevet til.

Hvorfor COPPA har brug for en moderne standard for forældres samtykke

COPPA blev skrevet for at kræve, at virksomheder indhenter verificerbart forældresamtykke, før de indsamler personoplysninger fra børn. Men loven er ældre end smartphones, sociale medier, app-butikker og det vidtstrakte økosystem af platforme, der nu beder brugere i alle aldre om at bevise, hvem de er, og hvor gamle de er. Håndhævelse har ofte været baseret på enkle checkbox-samtykker eller selvrapporterede fødselsdatoer – metoder, der giver ringe reel sikkerhed for, at det er en forælder, og ikke et barn, der sidder i den anden ende af transaktionen.

Det hul er blevet mere synligt, efterhånden som regeringer presser på for nye aldersbekræftelseslove, der går ud over COPPA's oprindelige omfang. Aldersverifikationskrav spreder sig nu på tværs af stater og lande, ofte med ringe koordinering om, hvad der tæller som tilstrækkeligt bevis på alder eller samtykke. Som vi har dækket i vores gennemgang af det globale patchwork af privatlivsrisici ved aldersverifikation, har fraværet af en fælles teknisk standard efterladt virksomheder, der bygger deres egne inkonsistente systemer – nogle af dem indsamler flere personoplysninger, end loven kræver, blot for at bevise overholdelse.

En branchestandard for forældres samtykke kunne hjælpe med at lukke det hul ved at give virksomheder, tilsynsmyndigheder og platforme et fælles referencepunkt for, hvad "verificeret" samtykke faktisk indebærer, i stedet for at overlade det til hver jurisdiktion og hver virksomhed at definere det uafhængigt.

Hvad IEEE-arbejdsgruppen forsøger at opbygge

Ifølge rapporteringen er arbejdsgruppens mål at skabe en ramme, der specifikt fokuserer på at verificere, at en forælder eller værge reelt har godkendt et barns brug af en onlinetjeneste – adskilt fra det bredere spørgsmål om at verificere en brugers egen alder. Det er en væsentlig skelnen. Aldersverifikation spørger: "Hvor gammel er denne person?" Forældresamtykkesverifikation stiller et andet spørgsmål: "Tilhører denne konto en mindreårig, hvis forælder faktisk har accepteret vilkårene?"

At opbygge en standard omkring det andet spørgsmål er på nogle måder sværere, fordi det kræver at etablere et verificeret forhold mellem to personer, ikke blot at bekræfte en enkelt persons alder. Det betyder også, at standarden skal tage højde for forskellige niveauer af sikkerhed. En let e-mailbekræftelse giver svagere bevis end en verifikation knyttet til et offentligt ID, og forskellige tjenester kan have behov for forskellige niveauer afhængigt af følsomheden i de data, der indsamles.

Privatlivsmæssige konsekvenser af at verificere forældres samtykke

Ethvert system bygget til at verificere, hvem nogen er, eller hvem de er i familie med, rejser uundgåeligt privatlivsspørgsmål. En ramme for forældresamtykke, der er afhængig af stærkere identitetsbekræftelse – såsom dokumentupload eller biometriske kontroller – kan betyde, at forældre bliver bedt om at afgive flere personoplysninger, end en simpel checkbox nogensinde krævede. Det kompromis – mere sikkerhed mod mere dataindsamling – er den centrale spænding, der løber gennem næsten alle aldersbekræftelsesdebatter lige nu.

Det afspejler bekymringer rejst i New York, hvor SAFE for Kids Act opstiller målbare nøjagtighedskrav for alderskontrolteknologi, hvilket tvinger virksomheder til at dokumentere, at deres systemer rent faktisk virker, frem for blot at hævde overholdelse. En veldesignet IEEE-standard kunne presse branchen i retning af lignende ansvarlighed for værktøjer til forældresamtykke – ved ikke blot at specificere, at samtykke indsamles, men også hvor pålideligt og hvor minimalt.

Indsatsen ved at få dette galt er reel. Australiens erfaring med sine restriktioner for sociale medier for under 16-årige viste, at håndhævelseshuller kan underminere hensigten med en lov fuldstændigt, hvor kontotal faldt, selvom verifikationskontroller stort set forblev utestede. En standard for forældresamtykke, der er for svag, risikerer samme udfald: regler på papiret, der ikke holder i praksis. En, der er for indgribende, risikerer at forvandle børnebeskyttelsesindsatser til en ny kilde til eksponering af familiedata.

Hvad dette betyder for dig

Hvis du er forælder, så forvent at se flere tjenester bede dig om at verificere din identitet – ikke kun dit barns – før der gives adgang til en konto. Det kan involvere dokumentchecks, kreditkortverifikation eller andre identitetsbekræftelsestrin, der går ud over den nuværende "klik for at bekræfte, at du er voksen"-model. At forstå, hvorfor en tjeneste spørger, og hvilke data den opbevarer bagefter, vil blive vigtigere, efterhånden som disse systemer rulles ud.

Hvis du blot er bruger af platforme, der er berørt af aldersbekræftelsesregler, er det værd at være opmærksom på, hvor mange personoplysninger ethvert verifikationstrin rent faktisk kræver. En standard for forældresamtykke, der er veludført, bør reducere unødvendig dataindsamling ved at give virksomheder en klar, minimal barre at opfylde – frem for at opmuntre dem til at overindsamle ud fra juridisk forsigtighed.

Vigtigste pointer

IEEE's arbejde med en standard for forældresamtykke er stadig under udvikling, og dens endelige form vil afgøre, om den forbedrer privatlivsbeskyttelsen eller blot formaliserer ny dataindsamling. Efterhånden som COPPA-tidens regler viger pladsen for mere stringente aldersbekræftelsesordninger, vil både familier og platforme have gavn af klare, konsistente standarder frem for et patchwork af konkurrerende overholdelsestilgange. Læsere bør holde øje med, hvordan enhver resulterende standard balancerer verifikationsstyrke mod dataminimering, og bør føle sig bemyndiget til direkte at spørge platforme, hvilke forældresamtykkedata de indsamler, og hvor længe de opbevarer dem.