アメリカン・エンタープライズ・インスティテュート（AEI）の最近のエピソードは、鋭い問いを提示している。プライバシーを犠牲にすることなく年齢を確認できるのか、という問いだ。ホストのシェーンに、スコット・ヴィエン、ハリー・オッペンハイマー、ポール・レカスが加わり、各国の年齢確認法、サイバーセキュリティの課題、および関連するトピックについて議論する。公開されている概要は簡潔であるため、本記事では各ゲストが何を述べたかを報告しようとはしない。代わりに、エピソードの問いを出発点として、年齢確認とプライバシーに関する主なアプローチと、読者がそれに対して何ができるかを説明する。

年齢確認がプライバシーの問題である理由

年齢制限法はシンプルな問いを課す。この訪問者は十分な年齢か？　しかし、それに確実に答えるには、通常は何かしらの機微な情報を収集する必要がある。「私は18歳以上です」というチェックボックスは簡単に回避できるため、多くの地域の立法者はより強力な証明を求めている。その証明は、政府発行のID、顔スキャン、または別の信頼できる情報源からのデータという形をとり得る。

どの選択肢にもトレードオフが生じる。サービスがあなたの年齢について確信を持つほど、あなたについてより多くを知る傾向がある。そして、身分証明書や生体認証データが一度収集されると、それらは保存されたり、漏洩したり、悪用されたりし得るものになる。これがこの議論の核心にあるサイバーセキュリティの課題である。

3つのアプローチの比較

オンラインで年齢を確認する方法に単一の標準はない。最も一般的に議論される方法は、どれだけの情報を明かすかという点で異なる。

IDのアップロード。 ユーザーは運転免許証やパスポートの写真を、場合によっては自撮り写真とともに提出する。これはサイトにとって実装が容易だが、非常に機微な書類を、それを処理する者に集中させることになる。ユーザーは、サイトと、そのデータの取り扱いおよび削除を行うベンダーの両方を信頼しなければならない。

サードパーティ製トークン。 別個のプロバイダーが一度あなたの年齢を確認し、サイトが受け入れ可能なトークンや資格情報を発行する。サイトはあなたがチェックを通過したことだけを知る。リスクは、あなたについて多くのことを知り得るトークン発行元と、システムがサイト間のトラッキングをどれだけ防げるかに移る。

ゼロ知識証明。 この暗号技術により、生年月日や名前といった基礎となるデータを明かすことなく、ある命題（「私は18歳以上です」など）を証明できる。理論上は最も強力なプライバシーを提供する。実際には、信頼できる資格情報がそもそも発行されることと、サイトやデバイスによる広範な採用にかかっている。

これらのいずれも完璧ではない。プライバシーに配慮した設計は展開が難しくなる傾向があり、展開が容易な設計はより多くのデータを収集する傾向がある。

法律は増え続け、責任の所在は争われている

政策の状況は急速に動いている。アメリカ合衆国では、州法の広がりが顕著である。年齢確認法を可決した27州に関する我々の報道は、このトレンドがどれほど広く到達しているか、そして一部のクリエイターが反発していることを示している。フロリダでは、成人向けサイトはHB 3に基づき訪問者を確認しなければならず、我々はフロリダの年齢確認法がVPN利用をどう扱うかを説明してきた。

国際的には、EUもこの問題を検討している。欧州委員会は、オンラインゲームに年齢確認を義務付ける可能性のあるEUキッズ法を準備していると報じられている。一方で、これらのチェックに対する責任を誰が負うか自体が争われている。アップルとグーグルは、年齢確認法案から責任を剥奪するようロビー活動を行ったと報じられている。責任がどこに落ちるかが、企業がどの技術的アプローチを選ぶかを形作るだろう。

AEIのエピソードが国際法に焦点を当てていることは、このパターンに合致する。異なる法域が異なるツールに手を伸ばしており、プライバシーに関する結果は詳細に大きく依存する。

これがあなたにとって意味すること

ほとんどの人にとって、実際の影響は、年齢の証明を求めるプロンプトが増えること、そして提供したデータがどうなるかについての不確実性が増すことである。いくつかの点を心に留めておく価値がある。

  • 何が収集され、保持されるかを尋ねる。 ID画像や顔スキャンがチェック後に削除されるかどうかについての説明を探す。
  • より少ない情報しか明かさない方法を好む。 サービスが選択肢を提供する場合、「18歳以上」ということだけを確認するオプションは、通常、完全な書類を保存するものよりも望ましい。
  • VPNが会話の一部となることを予期する。 年齢制限法は所在地に紐づいているため、VPNの利用はそれらと相互作用し得る。VPNはあなたの見かけ上の所在地を変えるが、サイトの法的義務を変えるものではなく、規則は法域によって異なる。当然と決めつけず、あなたに適用される具体的な法律を確認すること。
  • 似せられたチェックに注意する。 偽の確認ページは、書類を収集するために本物を模倣し得る。信頼できるリンクを通じてそのサイトに到達したことを確認すること。

要点

AEIの議論は正しい問いを投げかけており、正直な答えは、それは設計次第だということである。年齢確認とプライバシーは、システムが収集するデータを最小化し、保持を制限し、サイト間でのユーザーのトラッキングを避ける場合にのみ共存できる。そのような設計が一般的になるまでは、IDや生体認証のあらゆる要求を、立ち止まって考える価値のある決定として扱うべきである。

身を守るために：必要最小限の情報のみを共有し、確認中に作成されたアカウントには強力で固有のパスワードを使用し、あなたの地域の法律がどう進展するかを追うこと。規則と技術が落ち着き続ける間、情報を得続けることが最善の防御である。