Un recente episodio dell'American Enterprise Institute (AEI) mette sul tavolo una domanda precisa: possiamo verificare l'età senza rinunciare alla nostra privacy? Il conduttore Shane è affiancato da Scott Vien, Harry Oppenheimer e Paul Lekas per discutere delle leggi internazionali sulla verifica dell'età, delle sfide della cybersicurezza e di temi correlati. Il riassunto pubblicato è breve, quindi questo post non tenta di riportare ciò che ha detto ciascun ospite. Usa invece la domanda dell'episodio come punto di partenza per spiegare i principali approcci alla verifica dell'età e alla privacy, e cosa possono fare i lettori al riguardo.

Perché la verifica dell'età è un problema di privacy

Le leggi sul controllo dell'età pongono una domanda semplice: questo visitatore è abbastanza grande? Rispondere in modo affidabile, tuttavia, di solito significa raccogliere qualcosa di sensibile. Una casella di controllo che dice "Ho più di 18 anni" è facile da aggirare, perciò i legislatori in molti luoghi vogliono prove più solide. Tali prove possono assumere la forma di un documento d'identità governativo, di una scansione del volto o di dati provenienti da un'altra fonte attendibile.

Ogni opzione crea un compromesso. Più un servizio è certo della tua età, più tende a sapere di te. E una volta che i documenti d'identità o i dati biometrici vengono raccolti, diventano qualcosa che può essere conservato, divulgato o usato impropriamente. Questa è la sfida della cybersicurezza al centro di questo dibattito.

Tre approcci a confronto

Non esiste un unico standard per verificare l'età online. I metodi più comunemente discussi differiscono per quanto rivelano.

Caricamento dei documenti d'identità. L'utente invia una foto di una patente o di un passaporto, talvolta con un selfie. È semplice da implementare per un sito, ma concentra documenti altamente sensibili presso chiunque li elabori. Gli utenti devono fidarsi sia del sito sia di qualsiasi fornitore che utilizza per gestire ed eliminare tali dati.

Token di terze parti. Un fornitore separato conferma la tua età una volta e poi emette un token o una credenziale che i siti possono accettare. Il sito apprende solo che hai superato il controllo. Il rischio si sposta sull'emittente del token, che potrebbe sapere molto di te, e su quanto bene il sistema impedisce il tracciamento tra i vari siti.

Prove a conoscenza zero. Questa tecnica crittografica ti consente di dimostrare un'affermazione (come "Ho più di 18 anni") senza rivelare i dati sottostanti, come la tua data di nascita o il tuo nome. In teoria offre la privacy più forte. In pratica, dipende dall'emissione di credenziali attendibili in primo luogo e dall'ampia adozione da parte di siti e dispositivi.

Nessuna di queste è perfetta. I design rispettosi della privacy tendono a essere più difficili da implementare, mentre i design facili da implementare tendono a raccogliere più dati.

Le leggi si moltiplicano e la responsabilità è contestata

Il quadro normativo si muove rapidamente. Negli Stati Uniti, la diffusione delle leggi statali è stata significativa: la nostra copertura dei 27 stati che hanno approvato leggi sulla verifica dell'età mostra quanto ampiamente si sia diffusa la tendenza, e come alcuni creatori stiano facendo resistenza. In Florida, i siti per adulti devono verificare i visitatori ai sensi dell'HB 3, e abbiamo spiegato come la legge sulla verifica dell'età della Florida tratta l'uso della VPN.

A livello internazionale, anche l'UE sta esaminando la questione. La Commissione europea starebbe preparando un EU Kids Act che potrebbe imporre la verifica dell'età sui giochi online. Nel frattempo, chi porta la responsabilità di questi controlli è esso stesso oggetto di disputa: Apple e Google avrebbero fatto lobbying per rimuovere la responsabilità dai disegni di legge sui controlli dell'età. Dove ricadrà la responsabilità determinerà quale approccio tecnico sceglieranno le aziende.

L'attenzione dell'episodio AEI alle leggi internazionali si inserisce in questo quadro. Giurisdizioni diverse stanno ricorrendo a strumenti diversi, e i risultati in termini di privacy dipendono fortemente dai dettagli.

Cosa significa per te

Per la maggior parte delle persone, l'effetto pratico è un maggior numero di richieste di prova dell'età e maggiore incertezza su cosa accade ai dati che fornisci. Vale la pena tenere a mente alcuni punti:

  • Chiedi cosa viene raccolto e conservato. Cerca dichiarazioni su se le immagini dei documenti o le scansioni del volto vengono eliminate dopo il controllo.
  • Preferisci metodi che rivelano meno. Se un servizio offre una scelta, un'opzione che conferma solo "più di 18" è generalmente preferibile a una che conserva un documento completo.
  • Aspettati che le VPN facciano parte della conversazione. Le leggi sul controllo dell'età sono legate alla posizione, quindi l'uso della VPN può interagire con esse. Una VPN cambia la tua posizione apparente, ma non cambia gli obblighi legali di un sito, e le regole variano per giurisdizione. Verifica la legge specifica che si applica a te invece di dare per scontato.
  • Diffida dei controlli contraffatti. Le pagine di verifica false possono imitare quelle reali per raccogliere documenti. Assicurati di aver raggiunto il sito tramite un link di cui ti fidi.

Conclusioni

La discussione dell'AEI pone la domanda giusta, e la risposta onesta è che dipende dal design. La verifica dell'età e la privacy possono coesistere solo se i sistemi minimizzano i dati che raccolgono, limitano la conservazione ed evitano di tracciare gli utenti tra i vari siti. Finché tali design non saranno comuni, tratta ogni richiesta di documento d'identità o dati biometrici come una decisione su cui vale la pena soffermarsi.

Per proteggerti: condividi il minimo necessario, usa password robuste e uniche per qualsiasi account creato durante la verifica e segui l'evoluzione delle leggi nella tua regione. Restare informati è la migliore difesa mentre le regole e la tecnologia continuano ad assestarsi.