I legislatori della California hanno fatto marcia indietro su una delle proposte di verifica dell'età più ampie del paese, ma i difensori della privacy non dovrebbero festeggiare troppo in fretta. AB 1856, che avrebbe costretto i browser web a verificare l'età degli utenti prima di consentire l'accesso generale a Internet, ha perso del tutto quella disposizione. Nel frattempo, la sua legge complementare, AB 1043 (il Digital Age Assurance Act), rimane pienamente intatta e nei tempi previsti. A partire dal 1° gennaio 2027, la verifica dell'età a livello di sistema operativo in California richiederà ad Apple e Google di raccogliere le date di nascita durante la configurazione del dispositivo e di trasmettere segnali sulla fascia d'età agli sviluppatori di app. L'obbligo per i browser è scomparso. L'obbligo per il sistema operativo no.
Cosa richiede effettivamente AB 1043 ad Apple e Google
Con AB 1043, la verifica dell'età si sposta a monte, dai singoli siti web e app al dispositivo stesso. Quando un californiano configura un nuovo telefono, tablet o computer con iOS, Android o un altro sistema operativo coperto, la piattaforma chiederà una data di nascita durante la creazione dell'account. Tale data di nascita non verrà condivisa direttamente con ogni app scaricata dall'utente. Invece, il sistema operativo la traduce in una fascia d'età, una categoria generica come "sotto i 13 anni" o "dai 13 ai 17 anni" anziché una data di nascita esatta, e trasmette quel segnale agli sviluppatori di app affinché possano adattare contenuti o funzionalità di conseguenza.
Si tratta di un'architettura significativamente diversa dall'approccio basato sul browser che i legislatori hanno abbandonato. Invece di verificare l'età nel momento in cui qualcuno visita un sito web, il sistema incorpora i dati anagrafici nel dispositivo fin dal primo giorno, e tali dati seguono l'utente in ogni app installata successivamente. La portata della legge si estende anche oltre le piattaforme tradizionali, con segnalazioni che indicano come essa si applichi in generale ai sistemi operativi venduti o utilizzati in California, sollevando questioni complesse per i progetti più piccoli e open source che non dispongono dell'infrastruttura di conformità di Apple o Google.
Perché i controlli a livello di sistema operativo sono più difficili da evitare rispetto agli obblighi sui browser
Un blocco dell'età basato sul browser, con tutti i suoi difetti, era almeno confinato al browser. Gli utenti che non lo gradivano potevano cambiare browser, usare un profilo dispositivo diverso o aggirare il controllo in vari modi. La verifica a livello di sistema operativo non offre la stessa flessibilità. Una volta che i dati anagrafici vengono stabiliti alla configurazione del dispositivo, diventano uno strato fondamentale su cui si basa ogni successiva interazione con le app. Non esiste un'equivalente facile possibilità di opt-out come la semplice scelta di un software diverso, perché il sistema operativo stesso è il guardiano.
Questa distinzione è importante per chiunque rifletta sulla strategia per la privacy digitale. In precedenza, una singola estensione del browser o la scelta di un browser alternativo potevano eludere un requisito di verifica dell'età. Con AB 1043, la verifica avviene prima ancora che l'utente apra un'app, nella fase di creazione dell'account del ciclo di vita del dispositivo. Si tratta di un cambiamento strutturale, non solo tecnico, e fa parte di un modello più ampio di preoccupazioni sulla sorveglianza di massa governativa, in cui la raccolta di dati imposta dallo Stato viene incorporata nell'infrastruttura con cui gli utenti comuni interagiscono quotidianamente, che ne siano consapevoli o meno.
Minimizzazione dei dati e rischi della condivisione delle fasce d'età
I sostenitori di AB 1043 sottolineano che la legge è progettata secondo i principi di minimizzazione dei dati. Le app ricevono una fascia d'età, non una data di nascita, e in teoria questo limita la quantità di informazioni personali che fluiscono verso sviluppatori terzi. Ma la condivisione della fascia d'età crea comunque un segnale persistente legato all'identità dell'utente attraverso centinaia di app potenzialmente nel corso della vita di un dispositivo. Una volta che tale segnale esiste, sorgono domande su quanto a lungo gli sviluppatori lo conservino, se venga combinato con altri dati di tracciamento e cosa succeda se l'implementazione di una piattaforma non è all'altezza delle intenzioni della legge.
La California ha un curriculum che vale la pena notare qui. Un recente audit ha rilevato che la conformità al CCPA viene ignorata su larga scala in migliaia di siti web, nonostante lo stato abbia una delle leggi sulla privacy dei consumatori più severe del paese. Questa storia è una base ragionevole per lo scetticismo su quanto coerentemente le protezioni delle fasce d'età di AB 1043 verranno effettivamente applicate una volta che la legge entrerà in vigore. Una data di nascita raccolta alla configurazione è anche, funzionalmente, un piccolo cookie di informazioni identitarie che persiste per tutta la vita del dispositivo, simile nello spirito a come i cookie del browser tracciano silenziosamente il comportamento nel tempo, tranne per il fatto che qui è integrato a livello hardware anziché in un sito web.
Cosa significa per te
Se vivi in California, aspettati che qualsiasi nuovo dispositivo Apple o Google configurato dopo il 1° gennaio 2027 chieda una data di nascita prima di poterlo utilizzare. Non è facoltativo come potrebbe esserlo un blocco dell'età su un sito web, e non è qualcosa che una VPN o un'impostazione del browser potranno aggirare, perché il controllo avviene a livello di sistema operativo anziché a livello di rete o applicativo. Il risultato pratico è che i dati anagrafici diventano parte della configurazione di base del dispositivo, alimentando ogni app installata successivamente.
Per i genitori, questo potrebbe significare controlli dei contenuti più coerenti tra le app senza dover configurare ciascuna separatamente. Per gli adulti attenti alla privacy, significa un ulteriore dato personale legato in modo permanente a un dispositivo, con una qualità dell'applicazione che rimane una questione aperta, dato il curriculum disomogeneo della California in materia di leggi sulla privacy.
Punti chiave prima del 2027
Inizia a prestare attenzione a come Apple e Google comunicheranno i loro piani di conformità ad AB 1043 nel prossimo anno, poiché i dettagli dell'implementazione determineranno quanto controllo gli utenti manterranno effettivamente sui propri dati anagrafici. Esamina attentamente le impostazioni sulla privacy su qualsiasi nuovo dispositivo durante la configurazione, anziché cliccare rapidamente sui prompt. E tieni d'occhio come questo quadro di verifica dell'età a livello di sistema operativo in California verrà applicato nella pratica, perché una legge che sembra protettiva della privacy sulla carta vale tanto quanto la supervisione che c'è dietro.
