Kongressissa nousee esiin uusi lähestymistapa iänvarmistukseen

Kaksipuolueinen senaattoriryhmä, johon kuuluvat Andy Kim, Adam Schiff, Cynthia Lummis ja John Barrasso, on esitellyt lakiehdotuksen nimeltä Digital Age Assurance Act. Laki ehdottaa perustavanlaatuisesti erilaista tapaa, jolla sovellukset ja verkkosivustot vahvistavat käyttäjän iän: sen sijaan, että jokainen alusta keräisi itsenäisesti henkilöllisyystodistuksia, selfieitä tai muita arkaluonteisia tietoja, käyttöjärjestelmät itse keräisivät käyttäjän iän kerran ja välittäisivät yksinkertaisen ikäsignaalin sovelluksille API:n kautta aina tarvittaessa.

Tämä poikkeaa osavaltiotason iänvarmistuslakien tilkkutäkkimallista, jotka ovat yleistyneet viime vuosina ja joista monet vaativat yksittäisiä sovelluksia tai verkkosivustoja vahvistamaan henkilöllisyyden suoraan, usein asiakirjojen lataamisen tai kasvoskannausten avulla. Liittovaltion ehdotus sen sijaan keskittää tämän vastuun laite- tai tilitasolle, jolloin Apple, Google, Microsoft ja muut käyttöjärjestelmätoimittajat ryhtyvät iän tiedon ensisijaisiksi kerääjiksi.

Kuinka käyttöjärjestelmätason iänvarmennus käytännössä toimisi

Lainsäädännössä kuvatun kehyksen mukaan iän kerääminen tapahtuisi käyttöjärjestelmätilin asennuksen yhteydessä – samassa prosessissa, jonka käyttäjät jo käyvät läpi, kun he asettavat uuden puhelimen, tabletin tai tietokoneen. Kun ikä on vahvistettu, käyttöjärjestelmä tuottaisi ikäsignaalin, ei välttämättä tarkkaa syntymäaikaa tai valtion henkilöllisyystodistusta, vaan kategorisen merkinnän (kuten ”yli 18” tai ”alle 13”), joka välitetään sitä pyytäville sovelluksille ja verkkosivustoille.

Kannattajat väittävät, että tämä vähentää arkaluonteisten henkilöllisyysasiakirjojen siirtymistä kädestä toiseen. Sen sijaan, että käyttäjä lataisi ajokorttinsa kymmeniin eri sovelluksiin – jokaisella omat tietojensäilytyskäytäntönsä ja tietoturvatasonsa – hän vahvistaisi ikänsä kerran käyttöjärjestelmätasolla. Sovellukset vain kyselisivät tätä signaalia API:n kautta sen sijaan, että ne rakentaisivat tai ostaisivat oman iänvarmistusinfrastruktuurinsa.

Kompromissina on keskittäminen. Sen sijaan, että iän tiedot olisivat hajallaan (ja monistettuna) monilla alustoilla, ne keskittyisivät pienelle joukolle käyttöjärjestelmätoimittajia, joilla on jo valtavasti tietoa käyttäjistään. Vastaavien osavaltiotason ehdotusten arvostelijat – kuten Kaliforniassa vireillä oleva ehdotus, josta on keskusteltu julkisesti lakitekstin pohjalta – ovat herättäneet huolta siitä, että pakolliset käyttöjärjestelmätason iäntarkistukset voisivat toimia koko internetin tosiasiallisena henkilöllisyyskerroksena, koska käyttöjärjestelmät tietäisivät paitsi käyttäjän iän myös mahdollisesti sen, mitkä sovellukset pyytävät signaalia ja milloin.

Vertailu nykyisiin sovelluspohjaisiin varmennuksiin

Nykypäivän iänvarmistuskenttä on pirstaleinen. Jotkin osavaltiot vaativat alustoilta iän varmentamista henkilöllisyystodistusten lataamisen, luottokorttitarkistusten tai kasvojen iänarviointiohjelmistojen avulla. Jokaisella menetelmällä on omat tietosuojariskinsä: ladatut asiakirjat voidaan vuotaa, kasvoskannaukset vaativat biometristä käsittelyä, ja luottokorttitarkistukset sulkevat pois käyttäjät, joilla ei ole pankkitiliä. Koska varmennus tapahtuu erikseen kullakin alustalla, samoja arkaluonteisia tietoja kerätään ja säilytetään usein päällekkäin monissa palveluissa.

Käyttöjärjestelmäpohjainen malli pyrkii vähentämään tätä päällekkäisyyttä tarjoamalla yhden standardoidun ikäsignaalin, joka kulkee käyttäjän mukana. Teoriassa tämä rajoittaa raakojen henkilöllisyysasiakirjojen käsittelijöiden määrää. Käytännössä se siirtää huomattavaa valtaa ja vastuuta harvoille käyttöjärjestelmien valmistajille, mikä herättää kysymyksiä siitä, kuinka kauan ikätietoja säilytetään, kuka niitä voi pyytää ja voitaisiinko ne myöhemmin linkittää muihin tietoihin, joita nämä yhtiöt jo keräävät, kuten sijaintiin, sovellusten käyttöön tai tilitoimintaan.

Nämä kysymykset kaikuvat laajempia keskusteluja valvonnasta ja tietojen keräämisestä, joita on käyty muilla liittovaltion politiikan osa-alueilla. Huolet siitä, miten hallitusten ja kaupallisten toimijoiden tiedonkeruuohjelmat todella toteutetaan ja pysyykö valvonta ilmoitettujen tietosuojalupausten tahdissa, ovat nousseet esiin toistuvasti, muun muassa senaattori Wydenin paljastuksista FISA:n 702 §:n noudattamisen puutteista, jotka osoittivat, miten lainsäädännön hyvät aikomukset eivät aina johda johdonmukaiseen valvontaan.

Mitä tämä tarkoittaa sinulle

Jos tämä lakiehdotus tai sen kaltainen ehdotus hyväksytään, tapa, jolla todistat ikäsi verkossa, voi muuttua merkittävästi. Sen sijaan, että lataisit henkilöllisyystodistuksia toistuvasti yksittäisille sovelluksille ja verkkosivustoille, laitteesi tai käyttöjärjestelmätilisi hoitaisi varmennuksen kerran ja jakaisi tarpeen mukaan vain rajoitetun ikäsignaalin. Monille käyttäjille tämä voisi tarkoittaa vähemmän arkaluonteisten asiakirjojen tallentamista kolmansien osapuolten palvelimille.

Mutta se tarkoittaa myös, että käyttöjärjestelmätoimittajat ottaisivat uuden, keskitetymmän roolin henkilöllisyyden varmentamisessa ja niistä tulisi käytännössä portinvartijoita ikärajoitetulle sisällölle koko internetissä. Miten nämä tiedot turvataan, minimoidaan ja miten niitä hallinnoidaan, tulee olemaan valtavan tärkeää. Laki on vielä alkuvaiheessa, ja lopullisen version mukana tulevat tekniset ja tietosuojatakuiset ratkaisevat, parantaako tämä lähestymistapa aidosti yksityisyyttä vai ainoastaan siirtää riskin toisaalle.

Keskeiset huomiot

  • Digital Age Assurance Act -laki vaatisi käyttöjärjestelmiä, ei yksittäisiä sovelluksia, varmentamaan käyttäjän iän ja välittämään yksityisyyttä säilyttävän signaalin API:n kautta.
  • Tämä voisi vähentää henkilöllisyysasiakirjojen päällekkäistä keräämistä useilla alustoilla, mutta keskittää ikätiedot suurille käyttöjärjestelmätoimittajille.
  • Seuraa tietoja tietojen säilytyksestä, valvonnasta ja siitä, voitaisiinko ikäsignaalit linkittää muihin tietoihin, joita nämä yhtiöt jo hallussaan.
  • Kun tämä lainsäädäntö etenee kongressissa, vertaa sitä osavaltiotason iänvarmistuslakeihin ymmärtääksesi, miten henkilötietojasi saatetaan käsitellä eri tavalla asuinpaikastasi riippuen.
  • Pysy ajan tasalla: tämänkaltaiset politiikat voivat muokata mobiiliyksityisyyttä paljon laajemmin kuin iänvarmistus ja vaikuttaa siihen, kuinka paljon luottamusta käyttäjät tuntevat käyttöjärjestelmien tarjoajia kohtaan tulevaisuudessa.