Mit ír elő valójában az Egyesült Királyság törvénye a platformoknak a korhatár-ellenőrzések naplózásával kapcsolatban

Gyakori tévhit az Egyesült Királyság korhatár-megerősítési szabályaival kapcsolatban, hogy minden egyes korhatár-ellenőrzést naplóznak, tárolnak, és kérésre a szabályozók rendelkezésére bocsátanak. Az új iparági iránymutatás közvetlenül cáfolja ezt a feltételezést: egyetlen szabályozó sem írja elő minden korhatár-ellenőrzés naplózását. Ez a különbségtétel azért számít, mert elválasztja egymástól azt, amit az Egyesült Királyság korhatár-ellenőrzési adatnyilvántartási törvénye valóban előír, attól, amit a platformok pusztán üzleti gyakorlatként döntenek megtartani.

Az Online Safety Act keretrendszere szerint azoknak a platformoknak, amelyek korhatár-megerősítési eszközöket használnak (legyen az arcfelismerésen alapuló életkorbecslés, személyazonosító okmányok ellenőrzése vagy harmadik féltől származó hitelesítési szolgáltatások), bizonyítaniuk kell, hogy rendszereik a rendeltetésüknek megfelelően működnek, és megfelelnek az Ofcom által meghatározott „kifejezetten hatékony" szabványnak. Ez azt jelenti, hogy a szolgáltatóknak szükségük van némi bizonyítékra arról, hogy folyamataik működnek: naplózási nyomvonalakra, amelyek mutatják az alkalmazott módszert, hogy az sikeres vagy sikertelen volt-e, valamint elegendő dokumentációra a megfelelőség bizonyításához, ha azt megkérdőjelezik. Ami viszont az iránymutatás szerint nem követelmény, az az, hogy jogszabályi kötelezettség legyen arra, hogy az egyes személyeket konkrét ellenőrzésekhez kötő részletes nyilvántartásokat – az alapul szolgáló dokumentumokkal vagy képekkel együtt – határozatlan ideig tároljanak.

Ez fontos árnyalat azoknak, akik meg akarják érteni, mi történik az adataikkal, miután feltöltenek egy útlevélfotót vagy alávetik magukat egy arcfelismeréses vizsgálatnak. A törvény egy megfelelési mércét állít fel. Nem határoz meg minimális adatmegőrzési időtartamot.

Mit követelhet az Ofcom, szemben azzal, ami opcionális nyilvántartás-vezetés

Az Ofcom végrehajtási jogkörei valósak, és a szabályozó már megmutatta, hogy hajlandó is élni velük. A folyamatban lévő Ofcom TikTok korhatár-ellenőrzési vizsgálat világos példa erre: amikor az Ofcom gyanúja szerint egy platform elmulasztotta gyermekvédelmi kötelezettségeit, hivatalos vizsgálatot indíthat, és bizonyítékot követelhet arra vonatkozóan, hogyan végezték el ténylegesen a korhatár-ellenőrzéseket – nem csak szakpolitikai dokumentumokat, amelyek leírják, hogyan kellene azoknak működniük.

De különbség van aközött, amit az Ofcom egy vizsgálat során előírhat, és aközött, amit egy vállalat proaktívan, „minden esetre" úgy dönt, hogy megtart. Az Ofcom előírhat olyan nyilvántartásokat, amelyek bizonyítják, hogy egy platform korhatár-megerősítési folyamata megfelel az előírt szabványnak – ilyenek a módszernaplók, hibaarányok és auditdokumentációk. Amit viszont nem tehet meg, az az, hogy a vállalatokat arra kötelezze, hogy személyazonosító okmányokat vagy biometrikus vizsgálatokat őrizzenek meg azon túl, ami a megfelelőség bizonyításához szükséges. Bármilyen további adatmegőrzés – például egy beszkennelt személyazonosító okmány hónapokig tartó tárolása az ellenőrzés befejezése után – üzleti döntés, nem jogi kötelezettség. Egyes platformok túlzottan sok adatot őrizhetnek meg óvatosságból, felelősségi aggályok miatt, vagy egyszerűen rossz adathigiénia okán, és ez a rés – az előírt és a ténylegesen megtartott adatok között – az, ahol az adatvédelmi kockázatok általában koncentrálódnak.

A korhatár-megerősítési adatmegőrzés adatvédelmi kockázatai a felhasználók számára

Ennek a megkülönböztetésnek valós következményei vannak az átlagos felhasználók számára. Ha a törvény csak annak bizonyítását írja elő, hogy az ellenőrzés megtörtént, de a platform úgy dönt, hogy az alapul szolgáló dokumentumot vagy biometrikus képet ennek ellenére tárolja, ez az adat – szabályozási ok nélkül – meghatározatlan ideig felelősséget jelent egy szerveren. Ez az a fajta túlzott adatmegőrzés, amely egy rutinszerű korhatár-ellenőrzést hosszú távú adatvédelmi kitettséggé változtat.

Azok a felhasználók, akik ezekben a rendszerekben navigálnak, általában nem látnak rá, hogy az adataik melyik kategóriába esnek. Kidobásra került az útlevél-szkennelés a hitelesítés után, vagy archiválták? Azonnal törölték az arcfelismeréses becslési képet, vagy tanítási mintaként megtartották? Az iránymutatás azt sugallja, hogy a felhasználóknak közvetlenül a szolgáltatóknál kell érdeklődniük adatmegőrzési szabályzatukról, mivel az Egyesült Királyság törvényei nem határoznak meg egységes nemzeti szabványt az általános adatvédelmi kötelezettségeken túl. Ez a bizonytalanság az oka annak is, hogy az Online Safety Act adatvédelmi hatásáról szóló parlamenti vita miért keltette fel azon képviselők figyelmét, akik attól tartanak, hogy a korhatár-ellenőrzési követelmények új adatgyűjtési kockázatokat teremtenek a megfelelő átláthatósági követelmények biztosítása nélkül.

Hol segíthetnek – és hol nem – a VPN-ek és a titkosított DNS

Egy VPN elrejtheti az IP-címét és a hozzávetőleges tartózkodási helyét, a titkosított DNS pedig megakadályozhatja, hogy az internetszolgáltatója lássa, mely oldalakat látogatja. Egyik eszköz sem érinti magát a korhatár-megerősítési folyamatot. Ha egy platform arcfelismeréses vizsgálatot, személyazonosító okmány feltöltését vagy bankszámla-ellenőrzést ír elő életkora igazolásához, egy VPN nem akadályozza meg, hogy ezeket az adatokat a hitelesítési szolgáltató összegyűjtse, továbbítsa vagy tárolja. A VPN-ek a hálózati szintű metaadatokat védik, nem pedig egy űrlap tartalmát, amelyet közvetlenül egy weboldalra küld.

Amit egy VPN megtehet, az az, hogy csökkenti az ellenőrzési esemény körül gyűjtött járulékos adatok mennyiségét, például a hozzávetőleges tartózkodási helyét vagy az internetszolgáltató által hozzárendelt azonosítókat, amelyeket egyes platformok a korhatár-ellenőrzés mellett csalásmegelőzés céljából naplózhatnak. Ez szerény adatvédelmi előny, nem pedig mód arra, hogy teljesen elkerülje a korhatár-ellenőrzési követelményeket, és a felhasználóknak óvakodniuk kell minden olyan eszköztől, amelyet a jogszabályban előírt korhatár-ellenőrzések megkerülésére hirdetnek.

Mit jelent ez Önnek

Ha arra kérik, hogy töltsön ki egy korhatár-ellenőrzést egy Egyesült Királyságbeli platformon, a legbiztonságosabb feltételezés az, hogy adatai sorsa teljes mértékben attól a konkrét szolgáltatótól függ, nem pedig egységes jogszabályi előírástól. Mielőtt érzékeny dokumentumokat küldene be, keressen egyértelmű nyilatkozatot arról, hogy mennyi ideig tárolják az adatokat, és hogy törlik-e azokat a hitelesítés után. Lehetőség szerint részesítse előnyben azokat a szolgáltatásokat, amelyek becslési módszereket használnak a dokumentumfeltöltés helyett, mivel a becslés általában kevesebb tartósan személyazonosításra alkalmas anyagot igényel. És ha egy platform jelenleg szabályozói vizsgálat alatt áll, például a TikTok gyakorlataival kapcsolatos folyamatban lévő Ofcom-vizsgálat, kezelje ezt jelzésként, hogy legyen extra óvatos azzal kapcsolatban, amit megoszt, amíg az eredmény nem ismert.

Főbb tanulságok

  • Az Egyesült Királyság korhatár-ellenőrzési adatnyilvántartási törvénye nem írja elő a szolgáltatóknak, hogy minden ellenőrzést határozatlan ideig naplózzanak; azt írja elő, hogy bizonyítsák a folyamat megfelel a megfelelőségi szabványoknak.
  • Az Ofcom vizsgálat során auditbizonyítékot követelhet, de nem kényszerítheti ki a személyes dokumentumok olyan mértékű megőrzését, amely meghaladja a megfelelőséghez szükséges mértéket.
  • A személyazonosító okmányok szkenneléseinek vagy biometrikus képeknek az ellenőrzésen túli hosszú távú tárolása üzleti döntés, nem jogi követelmény.
  • A VPN-ek és a titkosított DNS a hálózati szintű adatvédelmet védik, de nem akadályozzák meg, hogy a korhatár-megerősítési szolgáltatók összegyűjtsék az Ön által közvetlenül megadott adatokat.
  • Kérdezze meg közvetlenül a szolgáltatókat az adatmegőrzési szabályzatukról, mielőtt bármilyen korhatár-ellenőrzést elvégez, különösen azokon a platformokon, amelyek jelenleg szabályozói vizsgálat alatt állnak.