Hvad Lankfords brev påstår, og hvorfor det er vigtigt
Sen. James Lankford (R-Okla.) har sendt et skarpt brev, der beskylder Pornhub for at "udnytte børn" og forsvarer delstatslove om aldersbekræftelse, der kræver, at voksensider bekræfter en besøgendes alder, før der gives adgang. Ifølge Fox News argumenterer Lankfords brev for, at Pornhubs modstand mod disse love ikke skyldes privatlivsbekymringer, som virksomheden offentligt har hævdet, men frygt for at miste mindreårige som kunder.
Brevet lander midt i en bredere bølge af aldersbekræftelseskrav på delstatsniveau, der har skyllet hen over landet de seneste to år, og som kræver, at voksensinholdssider bekræfter, at brugerne er 18 år eller ældre, typisk via upload af offentligt id, tredjepartsbekræftelsestjenester eller ansigtsalderestimering. Pornhub har reageret på flere af disse love ved at blokere adgangen helt i stater, hvor kravene træder i kraft, og argumenterer for, at lovene sender trafik til mindre kompatible sider i stedet for reelt at beskytte mindreårige.
Lankfords brev fremstiller denne reaktion som et udtryk for ond tro snarere end en legitim indvending. Men den underliggende debat er mere kompliceret end en kamp mellem én senator og én platform for voksenindhold. Den berører et spørgsmål, som fortalere for privatliv, sikkerhedsforskere og lovgivere har kæmpet med i årevis: Hvordan bekræfter man en persons alder online uden at skabe en ny honningkrukke af følsomme personoplysninger?
Hvordan aldersbekræftelseslove faktisk fungerer under overfladen
De fleste delstatslove om aldersbekræftelse specificerer ikke præcist, hvordan en side skal bekræfte en brugers alder; de kræver blot, at en eller anden form for bekræftelse finder sted, før adgang gives. I praksis efterlader det virksomheder med et valg mellem en håndfuld ufuldkomne metoder.
Den mest almindelige tilgang indebærer upload af et offentligt udstedt id, såsom et kørekort, som derefter kontrolleres mod ansigtsgenkendelse eller matches med offentlige registre via en tredjepartsleverandør. Nogle platforme bruger aldersestimeringssoftware, der analyserer en live-selfie eller video for at gætte en brugers aldersinterval uden at indsamle et fuldt id. Andre benytter kreditkortkontrol eller kontobaseret bekræftelse knyttet til en mobiloperatør eller bank.
Hver af disse metoder skaber et dataspor. Selv når virksomheder lover ikke at gemme selve id-billedet, kan selve bekræftelseshændelsen, tidsstemplet og ofte metadata om den tilgåede side stadig blive logget et sted i processen, enten af siden, af tredjepartsleverandøren eller begge. Som SFLC.in-rundbordssamtalen om alderskontrol har påpeget, varierer den tekniske implementering af disse systemer enormt, og netop denne uensartethed er, hvor privatlivsrisici ofte sniger sig ind.
Privatlivsafvejningen: Beskyttelse af mindreårige kontra eksponering af voksne brugeres data
Det er her, Lankfords brev, uanset styrken i dets specifikke anklager mod Pornhub, undgår en reel og separat bekymring. At forsvare aldersbekræftelseslove som et spørgsmål om børnebeskyttelse besvarer ikke spørgsmålet om, hvad der sker med data fra de voksne, der bruger disse sider lovligt.
Til forskel fra en detailhandelshjemmeside, der tjekker din alder for at sælge dig alkohol, knytter aldersbekræftelse af voksenindhold en persons virkelige identitet til en specifik, følsom kategori af browseradfærd. Hvis en bekræftelsesleverandør bliver hacket, fejlforvaltet eller blot opbevarer data længere end den burde, er eksponeringen ikke en lækket e-mailadresse; det er en lækket registrering af en persons private visningsvaner knyttet til deres juridiske navn og muligvis deres foto eller id-nummer. Det er en fundamentalt anderledes risikoprofil end de fleste andre online aldersgates, og det er en stor del af grunden til, at sider som Pornhub har anført privatliv, ikke blot forretningsinteresser, som en årsag til at modsætte sig disse mandater.
Lovgivere er klar over dette dilemma. Kongressen har brugt måneder på at arbejde med relateret lovgivning, herunder Kids Online Safety Act, som for nylig blev godkendt i et senatsudvalg, mens en ledsagende lov om aldersbekræftelse, SCREEN Act, gik i stå på grund af beslutningsdygtighed. Parallelt hermed afspejler Senator Andy Kims forslag om at flytte alderskontrol til app-butikker et forsøg på at flytte bekræftelsen væk fra individuelle voksenindholdssider og over til en enkelt betroet mellemmand – en tilgang, der skal reducere antallet af steder, hvor følsom identitetsdata indsamles.
Hvad VPN'er og privatlivsværktøjer kan (og ikke kan) gøre
Mange voksne brugere, der støder på aldersbekræftelsesmure, har vendt sig mod VPN'er for at omgå delstatsspecifikke blokeringer ved at fremstå, som om de browser fra et andet sted. En VPN kan maskere din IP-adresse og generelle placering, hvilket ofte er nok til at omgå et geoafgrænset bekræftelseskrav.
Hvad en VPN ikke kan gøre, er at beskytte dig, når du allerede har indsendt et id eller en biometrisk scanning til en bekræftelsesleverandør. Kryptering af forbindelsen ændrer ikke, hvad der sker med dine data, efter de når frem til den virksomhed, der indsamlede dem. VPN'er er et værktøj til at anonymisere din netværkstrafik, ikke et skjold mod et tredjeparts-databrud eller en leverandørs praksis for dataopbevaring.
Hvad dette betyder for dig
Hvis du er en voksen bruger, der er berørt af disse love, er den praktiske virkelighed, at aldersbekræftelsens privatlivsrisici eksisterer uafhængigt af, hvilken side der vinder den politiske strid mellem lovgivere og voksenindholdsplatforme. Før du indsender et id til nogen bekræftelsestjeneste, så kig efter klar sprogbrug om dataopbevaring, om id'et gemmes eller straks slettes efter bekræftelse, og om leverandøren har en historik med databrud. Hvis en side eller en stat kræver et specifikt bekræftelsesværktøj, så undersøg, om denne leverandør opererer på tværs af flere platforme, da et enkelt databrud dér kan eksponere data knyttet til flere sider på én gang.
Vigtigste pointer
Lankfords brev sætter politisk fokus tilbage på aldersbekræftelse, men det løser ikke det dybere problem, at disse systemer, uanset hvor velmente de er, stadig kræver indsamling og opbevaring af følsomme personoplysninger fra millioner af voksne brugere. Læsere bør behandle enhver anmodning om aldersbekræftelse med samme skepsis, som de ville anvende på en finanskonto, for med hensyn til de potentielle konsekvenser af et databrud, kan browserhistorik knyttet til en reel identitet have mere varige følger end et lækket kreditkortnummer. At holde sig orienteret om, hvordan forslag som KOSA og Digital Age Assurance Act udvikler sig, er en af de få måder, brugere kan følge med i, om fremtidige alderskontrolsystemer vil minimere denne eksponering eller blot udvide den.
