Waarom leeftijdscontroles niet werken zoals gepland

Nieuw Brits onderzoek heeft uitgewezen dat 39% van de kinderen tussen 11 en 17 jaar online leeftijdscontroles succesvol heeft omzeild, ondanks de Online Safety Act die platforms verplicht om de leeftijd van gebruikers te verifiëren voordat ze toegang geven tot bepaalde inhoud. De bevinding roept ongemakkelijke vragen op over de vraag of de huidige golf van leeftijdsverificatietechnologie minderjarigen daadwerkelijk beschermt, of simpelweg een vals gevoel van veiligheid creëert bij toezichthouders, ouders en platforms.

Wat dit onderzoek bijzonder opmerkelijk maakt, is niet alleen het grote getal. Het is de methode. Volgens de studie hadden de meeste kinderen geen geavanceerde tools of technische kennis nodig om leeftijdscontroles te omzeilen. Ze logen simpelweg. Een valse geboortedatum invoeren, waardoor ze 18 jaar of ouder lijken, was veruit de meest voorkomende omzeiling. Geen hacken, geen uitgebreide spoofing, gewoon een paar toetsaanslagen.

VPN's spelen een kleinere rol dan je misschien denkt

Gezien de voortdurende discussie over VPN's en wetgeving rond leeftijdsverificatie, met name sinds verschillende Amerikaanse staten en nu ook het VK platforms ertoe hebben aangezet om de leeftijd van gebruikers te verifiëren voordat ze toegang geven tot inhoud voor volwassenen of bepaalde functies op sociale media, zou je gemakkelijk kunnen aannemen dat VPN's het belangrijkste hulpmiddel zijn dat kinderen gebruiken om deze barrières te omzeilen. Het onderzoek suggereert iets anders.

VPN's speelden wel een rol voor sommige kinderen in het onderzoek, maar die werd als beperkt omschreven in plaats van dominant. Dit is van belang omdat een groot deel van het publieke debat over wetten voor leeftijdsverificatie sterk gericht is op VPN-gebruik, waarbij wetgevers en platforms VPN-verkeer als een alarmbel beschouwen voor mogelijke ontduiking. De werkelijkheid op de grond lijkt veel eenvoudiger: de meeste kinderen sturen hun verkeer niet via een server in een ander land. Ze typen gewoon een ander geboortejaar in.

Dit onderscheid is van belang voor beleidsmakers. Als de primaire omzeilingsmethode het zelf opgeven van valse informatie is in plaats van technische ontduiking, dan pakt het inzetten van meer middelen voor het detecteren van VPN-gebruik slechts een klein deel van het daadwerkelijke probleem aan. De grotere uitdaging is dat leeftijdsverificatiesystemen die gebaseerd zijn op zelfverklaring – simpelweg iemand vragen zijn of haar leeftijd op te geven – inherent eenvoudig te verslaan zijn voor iedereen die gemotiveerd is om te liegen, ongeacht de leeftijd.

De privacyafweging achter leeftijdsverificatie

De drang om leeftijdsverificatie te versterken is niet beperkt gebleven tot simpele geboortedatumvelden. Als reactie op wetten zoals de Online Safety Act zijn veel platforms intensievere verificatiemethoden gaan verkennen, waaronder het uploaden van documenten, gezichtsleeftijdsschatting en identiteitscontroles door derden. Deze methoden zijn moeilijker te misleiden dan een keuzemenu, maar ze vereisen ook het verzamelen en verwerken van gevoelige persoonsgegevens op grote schaal.

Die afweging verdient meer aandacht dan ze doorgaans krijgt. Telkens wanneer een platform een gebruiker, kind of volwassene, vraagt om een identiteitsbewijs met foto te uploaden of een biometrische leeftijdsschatting te ondergaan, ontstaat er een nieuwe verzameling gevoelige gegevens die moet worden opgeslagen, beveiligd en uiteindelijk verwijderd. De geschiedenis heeft aangetoond dat geconcentreerde verzamelingen persoonsgegevens aantrekkelijke doelwitten zijn voor aanvallers. Het recente ShinyHunters-datalek dat gevolgen heeft voor Amazon One Medical herinnert ons eraan dat zelfs goed gefinancierde organisaties die met gevoelige persoonsgegevens omgaan, het doelwit kunnen worden van grootschalige gegevensdiefstal. Leeftijdsverificatiesystemen lopen het risico de volgende categorie honeypots voor precies dit soort inbreuken te worden, als ze niet zorgvuldig worden opgebouwd en beveiligd.

Wat dit voor jou betekent

Als je ouder bent, is dit onderzoek een nuttige realiteitscheck. De Online Safety Act en soortgelijke regelgeving zijn bedoeld om wrijving toe te voegen aan de manier waarop minderjarigen toegang krijgen tot leeftijdsgebonden inhoud, maar wrijving is niet hetzelfde als een muur. Een omzeilingspercentage van 39% suggereert dat wettelijke verplichtingen alleen geen vervanging zijn voor voortdurende gesprekken met kinderen over wat ze online doen en waarom bepaalde platforms überhaupt leeftijdsgrenzen hanteren.

Als je een platformgebruiker bent, van welke leeftijd dan ook, is het de moeite waard te begrijpen dat sterkere leeftijdsverificatie vaak betekent dat je meer persoonlijke informatie afstaat, niet minder. Voordat je een identiteitsbewijs uploadt of een gezichtsscan ondergaat voor een website, kijk dan of het platform een duidelijk, gepubliceerd beleid heeft voor het bewaren en verwijderen van gegevens. Zo niet, beschouw dat dan als een waarschuwingssignaal, niet als een formaliteit.

En als je je zorgen maakt over hoe je eigen surfgedrag tijdens deze processen wordt verzameld, blijft het gebruik van privacygerichte tools zoals gerenommeerde VPN's een legitieme manier om tracking en blootstelling van gegevens te beperken voor rechtmatig, volwassen gebruik, geheel losstaand van vragen over het omzeilen van leeftijdsverificatie. Dit onderzoek maakt onderscheid tussen liegen over leeftijd (een beleids- en handhavingsprobleem) en technische ontduiking (een veel kleiner deel van het plaatje), en dat onderscheid is het waard om te onthouden de volgende keer dat een kop de twee op één hoop gooit.

Belangrijkste punten

  • 39% van de ondervraagde Britse kinderen tussen 11 en 17 jaar geeft aan online leeftijdscontroles te omzeilen, voornamelijk door valse geboortedata in te voeren in plaats van technische omzeilingen te gebruiken.
  • VPN's werden door sommige kinderen gebruikt, maar speelden een beperkte rol in vergelijking met simpele, zelf opgegeven valse informatie.
  • Sterkere methoden voor leeftijdsverificatie, zoals het uploaden van identiteitsbewijzen of biometrische controles, verschuiven het risico van toegangscontrole naar gegevensbeveiliging, omdat ze het verzamelen van gevoelige persoonlijke informatie vereisen.
  • Ouders moeten de Online Safety Act zien als één beschermingslaag, niet als vervanging voor directe gesprekken met kinderen over online inhoud.
  • Iedereen die identiteits- of biometrische gegevens indient voor leeftijdsverificatie, moet vooraf het beleid van het platform voor het bewaren van gegevens controleren.