Az életkor-ellenőrzés új megközelítése jelenik meg a Kongresszusban

Kétpárti szenátorcsoport – köztük Andy Kim, Adam Schiff, Cynthia Lummis és John Barrasso – törvényjavaslatot terjesztett be Digitális Korhitelesítési Törvény néven. A javaslat alapvetően más megközelítést kínál arra, hogyan igazolják az alkalmazások és weboldalak a felhasználó életkorát: ahelyett, hogy minden platform külön-külön gyűjtene be személyazonosító okmányokat, szelfiket vagy más érzékeny adatokat, maguk az operációs rendszerek egyszer rögzítenék a felhasználó életkorát, majd egy egyszerű életkor-jelzést továbbítanának az alkalmazásoknak egy API-n keresztül, amikor csak szükséges.

Ez eltávolodást jelent az utóbbi években elszaporodott, állami szintű életkor-ellenőrzési törvények mozaikjától, amelyek közül sok előírja, hogy az egyes alkalmazások vagy weboldak közvetlenül, gyakran dokumentumfeltöltéssel vagy arcfelismeréssel igazolják a személyazonosságot. A szövetségi javaslat ehelyett központosítja ezt a felelősséget az eszköz vagy a fiók szintjén, és az Apple, a Google, a Microsoft és más operációsrendszer-szolgáltatók válnak az életkori adatok elsődleges gyűjtőivé.

Hogyan működne a gyakorlatban az operációs rendszer szintű életkor-hitelesítés?

A törvényjavaslatban leírt keretrendszer szerint az életkor gyűjtése az operációs rendszer fiókjának létrehozásakor történne – ugyanabban a folyamatban, amelyen a felhasználók már most is átesnek egy új telefon, táblagép vagy számítógép beállításakor. Miután az életkor megállapításra került, az operációs rendszer egy életkor-jelzést generálna – nem feltétlenül pontos születési dátumot vagy kormányzati igazolványadatot, hanem egy kategorikus jelölést (például „18 év feletti” vagy „13 év alatti”), amelyet továbbítana az azt kérő alkalmazásoknak és weboldalaknak.

A támogatók szerint ez csökkenti az érzékeny személyazonosító okmányok gazdát cserélésének számát. Ahelyett, hogy egy tucat különböző alkalmazásba töltenék fel a jogosítványt – mindegyik saját adatmegőrzési gyakorlattal és biztonsági helyzettel –, a felhasználók egyszer igazolnák életkorukat az operációs rendszer szintjén. Az alkalmazások egyszerűen lekérdeznék ezt a jelzést egy API-n keresztül, ahelyett hogy saját életkor-ellenőrzési infrastruktúrát építenének vagy vásárolnának.

A kompromisszum a központosítás. Az életkori adatok nem sok platformon szétszóródva (és másoltan) léteznének, hanem néhány operációsrendszer-szolgáltatónál összpontosulnának, akik már most is hatalmas mennyiségű információval rendelkeznek a felhasználóikról. Hasonló állami szintű javaslatok kritikusai – például egy Kaliforniában függőben lévő tervezet nyilvános vitája során – aggodalmukat fejezték ki, hogy a kötelező operációs rendszer szintű életkor-ellenőrzés az egész internet de facto személyazonossági rétegévé válhat, mivel az operációs rendszerek nemcsak a felhasználó életkorát ismernék, hanem potenciálisan azt is, hogy mely alkalmazások kérik ezt a jelzést és mikor.

Összehasonlítás a jelenlegi alkalmazásalapú ellenőrzéssel

Az életkor-ellenőrzés mai helyzete széttagolt. Egyes államok előírják a platformok számára az életkor igazolását okmányfeltöltéssel, bankkártyás ellenőrzéssel vagy arcfelismerő életkorbecslő szoftverrel. Mindegyik módszernek megvannak a maga adatvédelmi kockázatai: a feltöltött okmányok adatvédelmi incidens áldozatául eshetnek, az arcfelismerés biometrikus feldolgozást igényel, a bankkártyás ellenőrzés pedig kizárja a pénzügyi számlával nem rendelkező felhasználókat. Mivel az ellenőrzés minden platformon külön-külön történik, ugyanazok az érzékeny adatok gyakran redundánsan kerülnek begyűjtésre és tárolásra számos szolgáltatásnál.

Az operációs rendszer alapú modell célja ennek a redundanciának a csökkentése egyetlen, szabványosított életkor-jelzéssel, amely a felhasználóval együtt „utazik”. Elméletileg ez korlátozza a nyers személyazonosító okmányokat kezelő felek számát. A gyakorlatban azonban jelentős hatalmat és felelősséget ruház át néhány operációsrendszer-gyártóra, ami kérdéseket vet fel az életkori adatok megőrzési idejéről, arról, hogy ki kérheti azokat, valamint arról, hogy később összekapcsolhatók-e más, a cégek által már gyűjtött adatokkal, például tartózkodási hellyel, alkalmazáshasználattal vagy fióktevékenységgel.

Ezek a kérdések a megfigyelésről és az adatgyűjtésről szóló szélesebb körű vitákat idézik fel, amelyek a szövetségi szabályozás más területein is lezajlottak. A kormányzati és kereskedelmi adatgyűjtési keretek gyakorlati megvalósításával, valamint azzal kapcsolatos aggályok, hogy a felügyelet lépést tart-e a hangoztatott adatvédelmi garanciákkal, többször is felszínre kerültek, többek között Wyden szenátor FISA 702-es szakasz megfelelési hibáiról szóló nyilvánosságra hozatalai kapcsán, amelyek megmutatták, hogy a törvénykezés jó szándéka nem mindig vezet következetes érvényesítéshez.

Mit jelent ez Önnek?

Ha ez a törvényjavaslat – vagy egy hasonló – törvényerőre emelkedik, az online életkor igazolásának módja jelentősen megváltozhat. Ahelyett, hogy ismételten töltene fel személyazonosító okmányokat egyes alkalmazásokba és weboldalakra, az eszköze vagy operációsrendszer-fiókja egyszer elvégzi ezt az ellenőrzést, és szükség esetén csak egy korlátozott életkor-jelzést oszt meg. Sok felhasználó számára ez kevesebb olyan esetet jelenthet, amikor érzékeny dokumentumokat tárolnak harmadik fél szerverein.

Ugyanakkor azt is jelenti, hogy az operációsrendszer-szolgáltatók új, központosítottabb szerepet vállalnak a személyazonosság ellenőrzésében, és gyakorlatilag az egész internet korhatáros tartalmainak kapuőreivé válnak. Rendkívül fontos lesz, hogy ezeket az adatokat hogyan védik, minimalizálják és szabályozzák. A törvényjavaslat még korai szakaszban van, és a végső verziót kísérő technikai és adatvédelmi biztosítékok fogják eldönteni, hogy ez a megközelítés valóban javítja-e az adatvédelmet, vagy csupán áthelyezi a kockázatot.

Főbb tanulságok

  • A Digitális Korhitelesítési Törvény előírná, hogy az operációs rendszerek – és ne az egyes alkalmazások – ellenőrizzék a felhasználó életkorát, és egy adatvédelmet megőrző jelzést továbbítsanak API-n keresztül.
  • Ez csökkentheti a személyazonosító okmányok többszörös begyűjtését a különböző platformokon, de az életkori adatokat a nagy operációsrendszer-szolgáltatóknál összpontosítja.
  • Figyelni kell az adatmegőrzésre, a felügyeletre vonatkozó részleteket, valamint arra, hogy az életkor-jelzések összekapcsolhatók-e más, a cégek által már birtokolt adatokkal.
  • Ahogy a törvényhozás halad a Kongresszusban, hasonlítsa össze az állami szintű életkor-ellenőrzési törvényekkel, hogy megértse, hogyan kezelhetik eltérően a személyes adatait attól függően, hogy hol él.
  • Maradjon tájékozott: az ilyen irányelvek az életkor-ellenőrzésen túl is átalakíthatják a mobil adatvédelmet, befolyásolva, hogy a felhasználók mennyi bizalmat szavaznak az operációsrendszer-szolgáltatóknak a jövőben.