L'IEEE redige uno standard per il consenso parentale mentre il COPPA invecchia

Un gruppo di lavoro presso l'Institute of Electrical and Electronics Engineers (IEEE) sta sviluppando un nuovo quadro di riferimento per la verifica del consenso parentale online, secondo un rapporto di Biometric Update. Lo sforzo riflette un cambiamento più ampio in atto nel mondo tecnologico e normativo: le regole che hanno governato i dati dei minori online per circa tre decenni, in gran parte costruite attorno al Children's Online Privacy Protection Act (COPPA), vengono riconsiderate per un internet molto diverso da quello per cui erano state scritte.

Perché il COPPA necessita di uno standard moderno per il consenso parentale

Il COPPA è stato scritto per richiedere alle aziende di ottenere un consenso parentale verificabile prima di raccogliere dati personali dai minori. Ma la legge precede smartphone, social media, app store e il vasto ecosistema di piattaforme che ora chiedono a utenti di tutte le età di dimostrare chi sono e quanti anni hanno. L'applicazione della norma si è spesso affidata a semplici caselle di spunta per il consenso o a date di nascita auto-dichiarate, metodi che offrono poche garanzie reali che dall'altra parte della transazione ci sia un genitore e non un minore.

Questa lacuna è diventata più visibile man mano che i governi promuovono nuove leggi sull'accertamento dell'età che vanno oltre l'ambito originale del COPPA. Gli obblighi di verifica dell'età si stanno ora diffondendo in Stati e Paesi, spesso con poca coordinazione su ciò che conta come prova adeguata di età o consenso. Come abbiamo trattato nel nostro approfondimento sul patchwork globale dei rischi per la privacy nella verifica dell'età, l'assenza di uno standard tecnico condiviso ha lasciato le aziende a costruire sistemi incoerenti e personalizzati, alcuni dei quali raccolgono più dati personali di quanto richiesto dalla legge solo per dimostrare la conformità.

Uno standard di settore per il consenso parentale potrebbe aiutare a colmare questa lacuna offrendo ad aziende, autorità di regolamentazione e piattaforme un punto di riferimento comune su cosa significhi realmente consenso "verificato", invece di lasciare che ogni giurisdizione e ogni azienda lo definisca in modo indipendente.

Cosa sta cercando di costruire il gruppo di lavoro IEEE

Secondo il rapporto, l'obiettivo del gruppo di lavoro è creare un quadro specificamente incentrato sulla verifica che un genitore o tutore abbia genuinamente autorizzato l'uso di un servizio online da parte di un minore, distinto dalla questione più ampia della verifica dell'età dell'utente stesso. Questa è una distinzione significativa. La verifica dell'età chiede "quanti anni ha questa persona?" La verifica del consenso parentale pone una domanda diversa: "questo account appartiene a un minore il cui genitore ha effettivamente accettato i termini?"

Costruire uno standard attorno a questa seconda domanda è in alcuni modi più difficile, perché richiede di stabilire una relazione verificata tra due persone, non solo di confermare l'età di un singolo individuo. Significa anche che lo standard deve tenere conto di diversi livelli di garanzia. Una semplice conferma via email offre una prova più debole rispetto a una verifica collegata a un documento d'identità governativo, e servizi diversi possono richiedere livelli diversi a seconda della sensibilità dei dati raccolti.

Implicazioni per la privacy della verifica del consenso parentale

Qualsiasi sistema costruito per verificare chi sia una persona, o a chi sia legata, solleva inevitabilmente questioni di privacy. Un quadro per il consenso parentale che si affidi a una verifica dell'identità più robusta, come il caricamento di documenti o controlli biometrici, potrebbe significare che ai genitori viene chiesto di fornire più dati personali di quanto una semplice casella di spunta abbia mai richiesto. Questo compromesso — più garanzie in cambio di più raccolta dati — è la tensione centrale che attraversa quasi ogni dibattito sulla verifica dell'età in questo momento.

Ciò riecheggia le preoccupazioni sollevate a New York, dove il SAFE for Kids Act stabilisce requisiti misurabili di accuratezza per le tecnologie di controllo dell'età, obbligando le aziende a dimostrare che i loro sistemi funzionano davvero, piuttosto che limitarsi a dichiarare la conformità. Uno standard IEEE ben progettato potrebbe spingere il settore verso una responsabilità simile per gli strumenti di consenso parentale, specificando non solo che il consenso viene raccolto, ma con quanta affidabilità e con quanta minimizzazione dei dati.

Le conseguenze di un errore in questo ambito sono reali. L'esperienza dell'Australia con le restrizioni sui social media per gli under-16 ha mostrato che le lacune nell'applicazione possono minare completamente l'intento di una legge, con i numeri degli account in calo anche mentre i controlli di verifica rimanevano in gran parte non testati. Uno standard per il consenso parentale troppo debole rischia lo stesso esito: regole sulla carta che non reggono nella pratica. Uno troppo invasivo rischia di trasformare gli sforzi di protezione dei minori in una nuova fonte di esposizione dei dati familiari.

Cosa significa per te

Se sei un genitore, aspettati che più servizi ti chiedano di verificare la tua identità, non solo quella di tuo figlio, prima di concedere l'accesso all'account. Ciò potrebbe comportare controlli sui documenti, verifica tramite carta di credito o altri passaggi di verifica dell'identità che vanno oltre l'attuale modello "clicca per confermare che sei adulto". Capire perché un servizio fa una richiesta del genere e quali dati conserva successivamente diventerà più importante man mano che questi sistemi verranno implementati.

Se sei semplicemente un utente di piattaforme soggette alle norme sulla verifica dell'età, vale la pena prestare attenzione a quanta informazione personale richieda effettivamente qualsiasi fase di verifica. Uno standard per il consenso parentale, se fatto bene, dovrebbe ridurre la raccolta non necessaria di dati offrendo alle aziende un livello minimo chiaro da raggiungere, piuttosto che incoraggiarle a raccogliere in eccesso per cautela legale.

Punti chiave

Il lavoro dell'IEEE su uno standard per il consenso parentale è ancora in fase di sviluppo, e la sua forma finale determinerà se migliorerà le protezioni della privacy o semplicemente formalizzerà nuove raccolte di dati. Mentre le regole dell'era COPPA lasciano il posto a regimi più rigorosi di verifica dell'età, famiglie e piattaforme trarranno beneficio da standard chiari e coerenti piuttosto che da un patchwork di approcci concorrenti alla conformità. I lettori dovrebbero osservare come qualsiasi standard risultante bilanci la forza della verifica con la minimizzazione dei dati, e dovrebbero sentirsi autorizzati a chiedere direttamente alle piattaforme quali dati sul consenso parentale raccolgono e per quanto tempo li conservano.