Senaattori Andy Kim on esitellyt luonnoksen Digital Age Assurance Act -laiksi, liittovaltion esitykseksi, joka muuttaisi iän todentamisen tapaa internetissä siirtämällä vastuun pois yksittäisiltä sovelluksilta sovelluskauppa- tai laitetasolle. Politicon raportoinnin mukaan luonnos muistuttaa läheisesti kalifornialaista lakia, joka on jo saanut suurten teknologiayritysten tuen – merkki siitä, että tämä lähestymistapa voisi saada kannatusta Washingtonissa, vaikka samankaltaiset käytännöt herättävät yksityisyyskeskusteluja muualla.

Esitys tulee hetkellä, jolloin lainsäätäjät ympäri maata kamppailevat sen kanssa, miten alaikäiset pidettäisiin poissa aikuisviihteen ja sosiaalisten alustojen parista muuttamatta jokaista verkkosivustoa digitaaliseksi tarkistuspisteeksi, joka vaatii ajokorttia tai kasvoskannausta. Kimin ehdotus edustaa huomattavaa käännettä: sen sijaan, että vaadittaisiin tuhansia yksittäisiä sovelluksia todentamaan käyttäjien ikä itse, usein tunkeilevien asiakirjojen latausten tai biometristen skannausten kautta, vastuu olisi sovelluskaupoilla, kuten Applen App Storella tai Google Playlla, jotka vahvistaisivat käyttäjän ikäluokan kerran ja välittäisivät signaalin kehittäjille.

Miksi sovelluskauppatason ikätarkistukset yleistyvät

Sovelluskauppamalli on tullut suosituksi teknologiateollisuudessa yksinkertaisesta syystä: se kokoaa sotkuisen, hajanaisen vaatimustenmukaisuusongelman yhteen varmennuspisteeseen. Sen sijaan, että jokainen sovelluskehittäjä keräisi arkaluonteisia henkilöllisyystodistuksia, sovelluskauppa hoitaa sen kerran, ja kehittäjät saavat vain perustason ikäsignaalin, kuten tiedon siitä, onko käyttäjä yli vai alle 18-vuotias. Apple ja Google ovat molemmat julkisesti kannattaneet tätä lähestymistapaa useissa osavaltiokeskusteluissa, ja se, että Kimin liittovaltion luonnos muistuttaa kalifornialaista lakia, jolla on jo alan tuki, viittaa siihen, että lainsäätäjät näkevät tämän harvinaisena yhteisymmärryksen kohtana sääntelyviranomaisten ja teknologiayritysten välillä.

Pienemmille kehittäjille tämä voisi vähentää vaatimustenmukaisuustaakkaa merkittävästi. Heidän ei enää tarvitsisi rakentaa tai ylläpitää omia iänvarmistusjärjestelmiään, mikä on kallista ja oikeudellisesti riskialtista, kun otetaan huomioon jo voimassa olevien osavaltiolakien tilkkutäkki. Käyttäjille luvataan, että harvemmat sovellukset käsittelevät suoraan arkaluonteisia henkilötietoja, mikä teoriassa vähentää paikkoja, joissa syntymäaika, henkilötodistuksen skannaus tai kasvokuva voisi paljastua tietomurrossa.

Yksityisyyden kompromissi, josta kukaan ei puhu tarpeeksi

Mutta iän todentamisen keskittäminen sovelluskauppa- tai käyttöjärjestelmätasolle ei poista yksityisyysriskiä – se siirtää sen. Jos Applesta, Googlesta tai vastaavasta portinvartijasta tulee ainoa totuuden lähde käyttäjän iälle jokaisessa laitteen sovelluksessa, se luo keskitetyn pisteen tietojen keräämiselle ja mahdolliselle epäonnistumiselle. Tietomurto tai väärinkäyttö tällä tasolla ei vaikuttaisi yhden sovelluksen käyttäjäkuntaan, vaan se voisi koskea lähes jokaista älypuhelimen omistajaa.

Tämä ei ole hypoteettinen huolenaihe. Keskitetyt iänvarmistusjärjestelmät ovat jo kohdanneet vakavia ongelmia muualla. EU:n standardoitu iänvarmistussovellus murrettiin minuuteissa sen julkaisun jälkeen, mikä on karu muistutus siitä, että yhden luotetun varmennuskerroksen rakentaminen ei tarkoita automaattisesti turvallisen kerroksen rakentamista. Tietoturvatutkijat löysivät tien EU-työkalun läpi lähes välittömästi sen käynnistyttyä, mikä heikentää juuri sitä lähtökohtaa, että todentamisen keskittäminen yhteen järjestelmään tekee internetistä turvallisemman alaikäisille tai yksityisemmän aikuisille.

On myös laajempi, tarkkailun arvoinen kaava: kun hallitus tai alusta rakentaa infrastruktuurin, joka kykenee tunnistamaan kuka käyttää mitäkin, millä laitteella, tuo infrastruktuuri voidaan valjastaa muuhun käyttöön. Keskitetyillä digitaalisilla portinvartijajärjestelmillä on tapana laajentua reilusti alkuperäisen tarkoituksensa ulkopuolelle – dynamiikka, joka on nähtävissä siinä, miten Kiina on siirtynyt kohti laajempien ulkomaisten internet-yhteyksien estämistä keskitettyjen verkkohallintakeinojen kautta, jotka alun perin perusteltiin suppeammin. Iänvarmistusjärjestelmät eivät ole sama asia kuin kansalliset palomuurit, mutta taustalla oleva opetus pätee: yhtä tarkoitusta varten rakennettua infrastruktuuria käytetään yleensä muihinkin.

Mitä tämä tarkoittaa sinulle

Jos Digital Age Assurance Act tai vastaavat osavaltiotason lait etenevät, useimpien käyttäjien ei tarvitse ladata henkilöllisyystodistusta jokaiseen lataamaansa sovellukseen. Sen sijaan laitteesi tai sovelluskauppatilisi pitää todennäköisesti hallussaan vahvistetun ikästatustiedon, joka jaetaan valikoivasti sitä vaativille sovelluksille. Tämä on merkittävä muutos nykytilanteeseen, jossa jotkin alustat vaativat jo suoraan asiakirjaskannauksia tai kasvojentunnistusta.

Tämä ei silti tarkoita, että yksityisyyshuolet katoaisivat. Se, joka hallitsee tuota keskitettyä ikäsignaalia – oli se sitten Apple, Google tai valtion ylläpitämä varmennuspalvelu – muuttuu arvokkaaksi kohteeksi hakkereille ja mahdolliseksi vipuvarreksi tulevia tietopyyntöjä varten. Käyttäjien tulisi kiinnittää huomiota siihen, mitä tietoja todella kerätään iän toteamiseksi (syntymäaika, valtion henkilöllisyystodistus, biometriset tiedot) ja kuinka kauan näitä tietoja säilytetään – ei vain siihen, missä todentaminen tapahtuu.

Keskeiset huomiot

Kimin lakiehdotus on edelleen luonnosmuodossa, ja sen tie kongressin läpi on kaikkea muuta kuin varma. Mutta se heijastaa todellista muutosta siinä, miten lainsäätäjät ja teknologiayritykset lähestyvät iän todentamista: harvemmat sovellukset käsittelevät arkaluonteisia tietoja suoraan, mutta enemmän vastuuta keskitetään pienemmälle joukolle portinvartijoita. Lukijoiden kannattaa seurata, miten nämä ehdotukset määrittelevät tietojen säilytyssäännöt, mitä tapahtuu, jos keskitetty varmennusjärjestelmä murretaan, ja saavatko käyttäjät aidon tavan kieltäytyä tai kiistää virheelliset ikämääritykset. Kuten minkä tahansa iänvarmistusjärjestelmän kohdalla, toteutuksen yksityiskohdat merkitsevät paljon enemmän kuin otsikkolupaus yksinkertaisemmasta, yksityisemmästä internetistä.