Euroopan komissio on edennyt ehdotetun EU Kids Act -säädöksen kanssa. Kyseessä on lainsäädäntö, joka ottaisi käyttöön pakollisen ikävarmennuksen sosiaalisen median alustoille, rajoittaisi niin sanottuja koukuttavia suunnitteluominaisuuksia ja asettaisi uusia turvallisuusvelvoitteita alueella toimiville teknologiayrityksille. Ehdotusten mukaan kaikilla alle 15-vuotiailla olisi rajoituksia sosiaalisen median tilin hallussapitoon, mikä merkitsee yhtä merkittävimmistä yrityksistä, joita suuri sääntelyelin on tähän mennessä tehnyt muokatakseen sitä, miten nuoret pääsevät verkkoulustoille.

Vaikka EU Kids Act -säädöksen taustalla oleva tarkoitus on suojella alaikäisiä haitalliselta sisällöltä, koukuttavalta sovellussuunnittelulta ja ei-toivotulta yhteydenotolta, sen täytäntöönpanomekanismi, ikävarmennus, herättää omat yksityisyyskysymyksensä. Käyttäjän iän varmistaminen laajassa mittakaavassa tarkoittaa tyypillisesti jonkinlaisen tunnistetiedon keräämistä, ja tämä luo uusia näkökohtia siihen, miten alustat käsittelevät, tallentavat ja mahdollisesti jakavat kyseisiä tietoja.

Mitä EU Kids Act itse asiassa ehdottaa

Ehdotusta koskevan uutisoinnin mukaan EU Kids Act velvoittaisi alustat varmistamaan käyttäjiensä iän ennen tavanomaisten sosiaalisen median tilien myöntämistä. Alle 15-vuotiaille asetettaisiin rajoituksia, ja lainsäädäntö kohdistuisi myös koukuttavina pidettyihin suunnitteluominaisuuksiin, kuten äärettömään vieritykseen, automaattiseen toistoon ja sitoutumiseen perustuviin ilmoitusjärjestelmiin. Alustoihin sovellettaisiin myös uusia turvallisuusvaatimuksia, joiden tavoitteena on vähentää altistumista haitalliselle sisällölle ja ei-toivotuille vuorovaikutuksille.

Tämä ei ole ensimmäinen kerta, kun suunnitelman yksityiskohdat ovat nousseet esiin. Aiemmin vuodetut asiakirjat antoivat yleisölle esikatselun komission ajattelusta, ja aiempi uutisointimme EU Kids Act -vuodosta kuvaa, miten ehdotus kehittyi sisäisestä luonnoksesta viralliseksi lainsäädäntöaloitteeksi. Kyseinen vuoto osoitti, että komissio oli jo punninnut ikärajoja ja alustavelvoitteita kauan ennen kuin nykyinen ehdotus julkistettiin.

Pakollisen ikävarmennuksen yksityisyyskompromissit

Ikävarmennus kuulostaa periaatteessa suoraviivaiselta: vahvistetaan, että käyttäjä on tarpeeksi vanha käyttääkseen alustaa, ja sitten myönnetään tai rajoitetaan pääsyä sen mukaisesti. Käytännössä se edellyttää alustojen keräävän jonkinlaisen todisteen, olipa se sitten henkilöllisyystodistus, biometrinen tieto tai kolmannen osapuolen varmennustodiste. Jokaisella näistä vaihtoehdoista on omat tietojenkäsittelyvaikutuksensa.

Ydinkysymys on tämä: mitä tiukempi varmennusmenetelmä, sitä enemmän henkilötietoja vaihtuu, ainakin teoriassa. Järjestelmä, joka tarkistaa henkilöllisyystodistukset suoraan alustan palvelimilta, luo erilaisen riskiprofiilin kuin sellainen, joka nojautuu riippumattomaan, yksityisyyttä säilyttävään varmennuskerrokseen, joka vahvistaa vain kyllä-tai-ei-ikätuloksen jakamatta taustalla olevaa asiakirjaa. Se, miten EU Kids Act lopulta toteuttaa varmennuksen ja mitkä tahot valtuutetaan suorittamaan se, ratkaisee, suojeleeko laki merkityksellisesti alaikäisiä laajentamatta arkaluonteisten tietojen määrää, jota alustat tai kolmannet osapuolet pitävät hallussaan sekä lapsista että heidän vanhemmistaan.

Näitä kompromisseja punnitsevien perheiden tulisi kiinnittää tarkkaa huomiota siihen, miten varmennusjärjestelmä on rakennettu, ei vain siihen, onko sellaista olemassa. Laki, joka määrää ikätarkistukset ilman selkeitä tietojen minimoinnin suojatoimia, voisi päätyä vaihtamaan yhden riskin (valvomaton pääsy) toiseen (liiallinen tietojen keruu).

Voivatko VPN:t ohittaa uudet ikätarkistukset, ja pitäisikö niiden?

Kuten muidenkin alueellisten rajoitusten kohdalla, jotkut käyttäjät saattavat etsiä VPN:istä keinoa kiertää EU Kids Act -säädöksen ikävarmennusvaatimukset saamalla sen näyttämään siltä, että he käyttävät alustoja lainkäyttöalueelta, jolla ei ole vastaavia sääntöjä. Teknisesti VPN voi peittää käyttäjän sijainnin, minkä vuoksi siitä keskustellaan usein yhdessä maantieteellisesti rajoitetun sisällön tai alueellisesti lukittujen palveluiden kanssa.

VPN:n käyttäminen alaikäisten suojelemiseksi suunnitellun ikävarmennuksen ohittamiseen on kuitenkin eri asia kuin sen käyttäminen yleiseen yksityisyyteen tai pääsyyn. Useimmat alustat sitovat ikävarmennuksen tilikohtaisiin tarkistuksiin pelkän IP-pohjaisen maantieteellisen sijainnin sijaan, mikä tarkoittaa, että pelkkä VPN ei todennäköisesti ole luotettava tai täydellinen kiertotie. Tärkeämpää on, että EU Kids Act -säädöksen tarkoitus on lasten turvallisuus, ja tämän tarkoituksen kiertäminen heikentää suojatoimia, joita laki yrittää luoda. Vanhempia ja huoltajia palvellaan paremmin ymmärtämällä alustan todelliset varmennusvaatimukset sen sijaan, että VPN:tä pidettäisiin porsaanreikänä.

Miten tämä vertautuu muiden maiden ikävarmennuslakeihin

EU ei ole yksin tällaisen lainsäädännön tavoittelussa. Uusi-Seelanti on esittänyt oman lakiesityksensä, joka kieltäisi kaikilta alle 16-vuotiailta sosiaalisen median tilin hallussapidon, minkä taustalla ovat myös tiukat ikävarmennusvaatimukset ja seuraamukset alustoille. Uutisointimme Uuden-Seelannin alle 16-vuotiaiden sosiaalisen median lakiesityksestä kertoo yksityiskohtaisesti, miten vastaavia huolia täytäntöönpanosta, yksityisyydestä ja varmennusmenetelmistä on jo noussut esiin siellä. Näiden kahden pyrkimyksen vertailu osoittaa laajemman maailmanlaajuisen mallin: sääntelyviranomaiset lähestyvät ikävarmennusta ensisijaisena työkaluna alaikäisten pääsyn rajoittamiseen, vaikka kysymykset täytäntöönpanosta ja tietosuojasta ovat edelleen suurelta osin ratkaisematta kullakin lainkäyttöalueella.

Mitä tämä tarkoittaa sinulle

Jos olet vanhempi, huoltaja tai nuori käyttäjä EU:ssa, EU Kids Act -säädöksen ikävarmennusehdotus on edelleen lainsäädäntöprosessissa, mikä tarkoittaa, että yksityiskohdat voivat muuttua ennen kuin mikään tulee voimaan. Kannattaa seurata, miten varmennusmenetelmä määritellään, sillä tämä yksityiskohta ratkaisee, kuinka paljon henkilötietoja alustat todella keräävät. Toistaiseksi perheiden tulisi pysyä tietoisina siitä, mitkä alustat ovat vaikutuksen alaisia ja miten mahdollinen varmennusjärjestelmä käsittelee tietoja, sen sijaan että olettaisivat yhden teknisen kiertotien, kuten VPN:n, ratkaisevan vaatimustenmukaisuuteen liittyvät huolet.

Keskeiset huomiot

  • EU Kids Act ehdottaa pakollista ikävarmennusta ja rajoituksia koukuttaville suunnitteluominaisuuksille sosiaalisen median alustoilla, ja erityiset rajoitukset kohdistuvat alle 15-vuotiaiden tileihin.
  • Varmennusmenetelmällä on enemmän merkitystä kuin itse vaatimuksella. Yksityisyyttä säilyttävät lähestymistavat rajoittavat tietojen paljastumista, kun taas henkilöllisyystodistukseen perustuvat järjestelmät voivat lisätä sitä.
  • VPN:t eivät ole luotettava tai suositeltava tapa kiertää lasten turvallisuustoimenpiteisiin sidottua ikävarmennusta.
  • Vastaavia lakeja on syntymässä maailmanlaajuisesti, myös Uudessa-Seelannissa, mikä viittaa siihen, että ikävarmennuksesta tulee yhä yleisempi verkkoulustojen ominaisuus eikä erillinen EU-politiikka.
  • Lukijoiden tulisi seurata, miten EU Kids Act kehittyy, erityisesti sen varmennusjärjestelmän teknisiä yksityiskohtia, ennen kuin he tekevät johtopäätöksiä sen yksityisyysvaikutuksista.