Andy Kim szenátor benyújtotta a digitális korhatár-biztosítási törvény (Digital Age Assurance Act) tervezetét, egy szövetségi javaslatot, amely megváltoztatná az életkor-ellenőrzés működését az interneten azáltal, hogy a felelősséget az egyes alkalmazásoktól az alkalmazásbolt vagy az eszköz szintjére helyezi át. A Politico beszámolója szerint a tervezet szorosan követ egy kaliforniai törvényt, amely már elnyerte a nagy techcégek támogatását, ami azt jelzi, hogy ez a megközelítés teret nyerhet Washingtonban, még akkor is, ha hasonló politikák máshol adatvédelmi vitákat váltanak ki.

A törvényjavaslat egy olyan pillanatban érkezik, amikor a törvényhozók országszerte azon küzdenek, hogyan tartsák távol a kiskorúakat a felnőtt tartalmaktól és a közösségi platformoktól anélkül, hogy minden weboldalt digitális ellenőrzőponttá alakítanának, ahol jogosítványt vagy arcszkennelést kérnek. Kim javaslata jelentős fordulatot képvisel: ahelyett, hogy több ezer egyedi alkalmazásnak kellene önállóan, gyakran tolakodó dokumentumfeltöltések vagy biometrikus szkennelések révén ellenőriznie a felhasználók életkorát, a felelősség az olyan alkalmazásboltokat terhelné, mint az Apple App Store vagy a Google Play, amelyek egyszer megerősítenék a felhasználó korcsoportját, és továbbítanának egy jelzést a fejlesztőknek.

Miért hódítanak teret az alkalmazásbolt-szintű életkor-ellenőrzések

Az alkalmazásbolt-modell egyszerű okból vált népszerűvé a techiparban: egyetlen ellenőrzési pontba sűríti a zavaros, széttöredezett megfelelési problémát. Ahelyett, hogy minden alkalmazásfejlesztő érzékeny személyazonosító okmányokat gyűjtene, az alkalmazásbolt egyszer elintézi, és a fejlesztők csak egy alapvető életkorjelzést kapnak, például hogy a felhasználó 18 év alatti vagy feletti. Mind az Apple, mind a Google nyilvánosan támogatta ezt a megközelítést különböző állami vitákban, és az a tény, hogy Kim szövetségi tervezete egy olyan kaliforniai törvényt tükröz, amely már iparági támogatást élvez, azt sugallja, hogy a törvényhozók ritka konszenzusos pontot látnak ebben a szabályozók és a techcégek között.

A kisebb fejlesztők számára ez jelentősen csökkentheti a megfelelési terheket. Nem kellene többé saját életkor-ellenőrző rendszereket kiépíteniük vagy karbantartaniuk, ami költséges és jogilag kockázatos vállalkozás, tekintettel a már hatályban lévő állami törvények szövevényére. A felhasználók számára az ígéret az, hogy kevesebb alkalmazás kezel közvetlenül érzékeny személyazonosító adatokat, elméletileg csökkentve azon helyek számát, ahol egy születési dátum, személyi igazolvány szkennelése vagy arcfotó adatszivárgás áldozatává válhat.

Az adatvédelmi kompromisszum, amiről senki sem beszél eleget

Az életkor-ellenőrzés központosítása az alkalmazásbolt vagy az operációs rendszer szintjén azonban nem szünteti meg az adatvédelmi kockázatot, csupán áthelyezi azt. Ha az Apple, a Google vagy egy hasonló kapuőr válik a felhasználó életkorának egyetlen igaz forrásává az eszköz minden alkalmazására nézve, az az adatgyűjtés és a potenciális hiba koncentrált pontját hozza létre. Egy ilyen szintű jogsértés vagy visszaélés nem csupán egy alkalmazás felhasználói bázisát érintené, hanem szinte mindenkit, aki okostelefonnal rendelkezik.

Ez nem pusztán elméleti aggodalom. A központosított életkor-ellenőrző rendszerek máshol már komoly bajba kerültek. Az EU szabványosított életkor-ellenőrző alkalmazását az indulás után percekkel feltörték, ami éles emlékeztető arra, hogy egyetlen megbízható ellenőrzési réteg kiépítése nem jelenti automatikusan azt, hogy biztonságosat is építünk. A biztonsági kutatók szinte azonnal találtak egy kiskaput az EU eszközében, miután az elindult, aláásva azt az alapfeltevést, hogy az ellenőrzés egy rendszerbe történő konszolidálása biztonságosabbá teszi az internetet a kiskorúak számára, vagy privátabbá a felnőttek számára.

Van egy tágabb mintázat is, amit érdemes figyelni: ha egyszer egy kormány vagy platform kiépít egy olyan infrastruktúrát, amely képes azonosítani, hogy ki, mit és melyik eszközön használ, azt az infrastruktúrát új célokra is fel lehet használni. A központosított digitális kapuőr-rendszerek hajlamosak jóval túlterjeszkedni eredeti céljukon, ezt a dinamikát jól mutatja, ahogy Kína a tengerentúli internet-hozzáférés szélesebb kategóriáinak blokkolása felé mozdult el olyan központosított hálózati ellenőrzések révén, amelyeket eredetileg szűkebb indokokkal igazoltak. Az életkor-biztosítási rendszerek nem azonosak a nemzeti tűzfalakkal, de a mögöttes tanulság érvényes: az egy célra épített infrastruktúrát hajlamosak más célokra is felhasználni.

Mit jelent ez Önnek

Ha a digitális korhatár-biztosítási törvény (Digital Age Assurance Act) vagy hasonló állami szintű törvények életbe lépnek, a legtöbb felhasználónak nem kell minden letöltött alkalmazáshoz személyi igazolványt feltöltenie. Ehelyett az eszközén vagy az alkalmazásbolt-fiókjában valószínűleg egy ellenőrzött életkori státusz lesz tárolva, amelyet szelektíven megosztanak az azt igénylő alkalmazásokkal. Ez jelentős elmozdulás a jelenlegi helyzethez képest, ahol egyes platformok már most is közvetlenül kérnek dokumentumszkennelést vagy arcfelismerést.

Ennek ellenére ez nem jelenti azt, hogy az adatvédelmi aggályok megszűnnek. Bárki is irányítja ezt a központosított életkorjelzést, legyen az Apple, a Google vagy egy állami ellenőrző szolgálat, kiemelt célponttá válik a hackerek számára, és potenciális nyomásgyakorlási ponttá a jövőbeli adatkérésekhez. A felhasználóknak figyelniük kell arra, hogy milyen adatokat gyűjtenek ténylegesen az életkor megállapításához (születési dátum, kormányzati igazolvány, biometrikus adatok), és mennyi ideig tárolják ezeket az adatokat, nem csak arra, hogy hol történik az ellenőrzés.

Főbb tanulságok

Kim törvényjavaslata még mindig tervezet formájában van, és útja a Kongresszuson keresztül korántsem biztos. De tükrözi azt a valós elmozdulást, ahogyan a törvényhozók és a techcégek az életkor-ellenőrzéshez közelítenek: kevesebb alkalmazás kezel közvetlenül érzékeny adatokat, de több felelősség összpontosul egy kisebb számú kapuőrre. Az olvasóknak figyelniük kell arra, hogy ezek a javaslatok hogyan határozzák meg az adatmegőrzési szabályokat, mi történik, ha a központi ellenőrző rendszert feltörik, és kapnak-e a felhasználók értelmes lehetőséget a kimenekülésre (opt out) vagy a helytelen életkor-meghatározások megtámadására. Mint minden életkor-ellenőrző rendszer esetében, a megvalósítás részletei sokkal fontosabbak lesznek, mint az egyszerűbb, privátabb internet főcímes ígérete.