Een nieuw paper van het Cato Institute geeft extra gewicht aan een debat dat in veel landen van theorie naar wetgeving verschuift. In "Online Age Verification Has Guaranteed Costs and Uncertain Benefits" identificeren de auteurs zes belangrijke kosten of schade die beleidsmakers moeten meewegen bij het beoordelen van regels voor online veiligheid van jongeren. Voor lezers van een privacysite springen de privacyrisico's van leeftijdsverificatie eruit, omdat ze raken aan de gegevens die je overdraagt, de kans dat gegevens uitlekken en de druk op tools zoals VPN's.

Een opmerking over de reikwijdte: het blogbericht dat het paper aankondigt, vat het alleen samen en vermeldt niet alle zes kosten. Dit artikel richt zich op de kosten die het meest relevant zijn voor privacy en put voor context uit andere berichtgeving van vpn.social.

Wat leeftijdsverificatie van je vraagt om over te dragen

Het kernargument in de titel van het paper is een asymmetrie. De kosten van leeftijdsverificatie worden beschreven als gegarandeerd, terwijl de voordelen worden beschreven als onzeker. Iedereen die gebruikmaakt van een dienst waarop de regel van toepassing is, betaalt de kosten, ongeacht of het beleid uiteindelijk ook maar één kind beschermt.

In de praktijk begint de kost bij gegevens. Je leeftijd online bewijzen betekent meestal dat je een dienst, of een externe verificateur die voor die dienst werkt, iets gevoeligers geeft dan een geboortejaar. Dat kan een identiteitsdocument of een biometrische scan zijn. Jarenlang waren leeftijdscontroles op plekken zoals Ierland weinig meer dan een formulierveld, zoals we bespraken in ons stuk over Ierlands Online Safety Code-leeftijdscontroles en de privacyafweging. Dat vervangen door echte verificatie is het doel van de nieuwe regels, maar het verandert ook wat een gewone login inhoudt.

Waar de privacyrisico's van leeftijdsverificatie vandaan komen

Het risico is niet alleen dat een bedrijf je ID verzamelt. Het is dat er nu een nieuwe pool van gevoelige gegevens bestaat, en gegevens kunnen worden gelekt, misbruikt of langer worden bewaard dan iemand bedoelde. Hoe meer diensten controles vereisen, hoe meer plekken er kunnen zijn waar een kopie van je identiteitsgegevens ligt.

Drie dingen maken dit het serieus nemen waard:

  • Gevoeligheid: identiteitsdocumenten en biometrische gegevens zijn moeilijk te wijzigen als ze eenmaal zijn blootgesteld. Je kunt een gezicht niet resetten zoals je een wachtwoord reset.
  • Schaal: een verplichting geldt voor iedereen, dus de groep mensen die erdoor wordt geraakt is veel groter dan de groep die het beleid beoogt te beschermen.
  • Koppeling: verificatie koppelt een echte identiteit aan activiteit die voorheen misschien anoniem of pseudoniem was.

Biometrie verdient bijzondere aandacht. Onze berichtgeving over burgerrechtengroepen die Nottinghamshire Police oproepen om gezichtsherkenning te staken laat zien hoe bezorgd belangenorganisaties in het algemeen zijn over op gezicht gebaseerde systemen, zelfs buiten de context van leeftijdscontroles.

Waarom VPN's onderdeel worden van de beleidsstrijd

Wanneer een regel moeilijk na te leven is, zoeken mensen naar workarounds, en VPN's zijn de voor de hand liggende. Dat zet ze in het centrum van handhavingsdebatten.

Het Verenigd Koninkrijk biedt een vroeg voorbeeld. Regeringsonderzoek wees uit dat een aanzienlijk deel van de kinderen VPN's gebruikt om controles onder de Online Safety Act te omzeilen, wat we gedetailleerd beschreven in ons rapport dat 1 op de 4 kinderen VPN's gebruikt om leeftijdscontroles te ontwijken. Die bevinding raakt direct aan het punt van het paper over onzekere voordelen: als een verplichting op deze manier kan worden omzeild, is de bescherming die het biedt minder zeker dan het lijkt.

Toezichthouders merken dit ook op. Documenten verkregen via Freedom of Information-wetten toonden aan dat Australië's eSafety Commissioner verwacht dat aanbieders VPN's en andere workarounds actief blokkeren, zoals we meldden in de eSafety FOI-documenten. Voor privacybewuste gebruikers is dit de zorg: een tool die veel mensen voor gewone beveiliging gebruiken, kan onder druk komen te staan door een beleid dat gericht is op een ander probleem.

Wat dit voor jou betekent: de afwegingen voor je eigen gegevens wegen

Je hebt geen controle over of een wet wordt aangenomen, maar je hebt wel controle over hoeveel je deelt wanneer er een controle verschijnt. Een paar praktische gewoonten helpen:

  • Vraag wat er wordt verzameld en bewaard. Voordat je een ID of gezichtsscan uploadt, zoek je naar een duidelijke verklaring over of de gegevens worden opgeslagen, wie ze verwerkt en hoe lang ze worden bewaard.
  • Geef de voorkeur aan de minst invasieve optie die wordt aangeboden. Als een dienst meerdere manieren biedt om leeftijd te bevestigen, kies dan de optie die het minste onthult.
  • Behandel verificatiegegevens als hoogwaardig. Gebruik unieke wachtwoorden en sterke accountbeveiliging op elke dienst die je identiteitsgegevens bevat, en let op lekmeldingen.
  • Wees voorzichtig met workarounds. Een VPN kan je verbinding beschermen, maar het is geen gegarandeerde manier om leeftijdscontroles te omzeilen, en sommige toezichthouders richten zich expliciet op zulke workarounds. Controleer de voorwaarden van een dienst voordat je erop vertrouwt.
  • Volg hoe je platforms controles implementeren. Gaming- en entertainmentservices rollen hun eigen processen uit, zoals die in Blizzard's Battle.net UK-leeftijdsverificatiegids.

De onderste regel

Het Cato-paper betoogt niet dat het beschermen van jongeren online onbelangrijk is. De claim is dat beleidsmakers de gegarandeerde kosten eerlijk moeten meetellen, inclusief de privacyrisico's van leeftijdsverificatie die op elke gebruiker vallen, voordat ze aannemen dat de voordelen ze rechtvaardigen. Welke kant je ook kiest, de afwegingen zijn reëel en het waard om te begrijpen voordat je een ID of een gezichtsscan overdraagt.

Om te zien hoe deze afwegingen in de praktijk uitpakken in echte regimes, lees ons stuk over Ierlands privacyafweging bij leeftijdscontroles en ons rapport over Britse kinderen die VPN's gebruiken om leeftijdscontroles te ontwijken.