Een nieuw EU-voorstel met oude privacyproblemen

De Europese Commissie heeft een wetsvoorstel ingediend dat gericht is op het beperken van de internettoegang van jongeren, en privacyvoorvechters slaan al alarm. Het voorstel, bekend als de EU Kids Act, werd vorige week gepresenteerd met als verklaard doel minderjarigen online te beschermen. Maar volgens critici kan de prijs van die bescherming hoog zijn: verplichte leeftijdsverificatiesystemen die voor iedereen gelden, niet alleen voor kinderen.

In de kern zou het wetsvoorstel internettoegang afhankelijk maken van leeftijd. Dat klinkt eenvoudig in theorie, maar in de praktijk betekent het dat platforms en diensten een betrouwbare manier nodig hebben om te bepalen hoe oud elke gebruiker is voordat toegang wordt verleend. Die vereiste blijft niet beperkt tot minderjarigen. Het treft onvermijdelijk ook volwassenen, aangezien er geen manier is om de leeftijd van een kind te verifiëren zonder ook die van alle anderen te verifiëren.

Waarom leeftijdsverificatie een privéafweging is

Leeftijdsverificatiesystemen vereisen doorgaans dat gebruikers een of andere vorm van identificatie indienen, of dat nu een door de overheid uitgegeven identiteitsbewijs is, een creditcard, biometrische gegevens zoals een gezichtsscan, of een dienst voor verificatie door derden. Elk van deze methoden creëert een nieuw record dat een echte identiteit koppelt aan online activiteit. Dat is een aanzienlijke verschuiving ten opzichte van hoe de meeste mensen momenteel het internet gebruiken, vaak met een redelijke mate van anonimiteit.

De EU Kids Act zou het gebruik van deze intrusieve verificatiemiddelen uitbreiden naar een veel breder scala aan onlinediensten dan momenteel vereist is. Critici stellen dat dit de privacy van alle internetgebruikers ondermijnt, niet alleen van de jongeren die de wet beoogt te beschermen. Zodra de infrastructuur voor leeftijdsverificatie standaard wordt, ontstaat er een permanente laag van identiteitscontroles die voorheen niet bestond, en die infrastructuur kan moeilijk ongedaan worden gemaakt zodra deze is ingebouwd in de manier waarop platforms werken.

Dit is niet de eerste keer dat een voorstel voor leeftijdsverificatie onder vuur ligt omdat het verder reikt dan bedoeld. Een gerelateerd voorstel binnen hetzelfde EU Kids Act-kader zou leeftijdscontroles op Steam-games kunnen afdwingen, waarmee verificatievereisten worden uitgebreid naar singleplayer-game-ervaringen waarvan velen niet zouden verwachten dat ze worden beïnvloed door kinderbeschermingswetgeving. Dat voorbeeld illustreert hoe verplichtingen voor leeftijdsverificatie de neiging hebben om ver buiten hun oorspronkelijke scope uit te breiden, en diensten en use cases raken die weinig directe verbinding hebben met het beschermen van minderjarigen tegen online schade.

Hoe andere regio's vergelijkbare debatten hebben aangepakt

De EU staat niet alleen in de worsteling om de balans te vinden tussen kindveiligheid en online privacy. In het Verenigd Koninkrijk hebben ambtenaren onlangs een gerelateerde vraag behandeld onder de Online Safety Act: of het gebruik van VPN's beperkt moest worden als manier om te voorkomen dat minderjarigen leeftijdsverificatiecontroles omzeilen. Het VK heeft uiteindelijk VPN-beperkingen onder de Online Safety Act afgewezen, een beslissing die erkende dat VPN's legitieme privacy- en beveiligingsdoeleinden dienen voor miljoenen gebruikers, en dat het volledig blokkeren ervan een onevenredige reactie zou zijn.

Die uitkomst biedt een nuttig vergelijkingspunt voor het huidige EU-voorstel. Het toont aan dat wetgevers kunnen kiezen voor nauwere, gerichtere benaderingen van kindveiligheid zonder brede identiteitscontroles op te leggen aan de hele gebruikersbasis. Of de Europese Commissie een vergelijkbare weg zal inslaan terwijl de Kids Act verdere onderhandelingen doormaakt, valt nog te bezien.

Wat dit voor jou betekent

Als de EU Kids Act in zijn huidige vorm doorgaat, kunnen gebruikers in de hele EU, en mogelijk daarbuiten, te maken krijgen met nieuwe identiteitscontroles louter om toegang te krijgen tot websites, apps of games die ze al gebruiken. Dat kan betekenen dat ze identiteitsdocumenten moeten indienen, gezichtsherkenningsscans moeten ondergaan, of moeten vertrouwen op diensten voor leeftijdsverificatie door derden om alleen maar te bewijzen dat je oud genoeg bent om normaal te browsen.

Zelfs als je geen minderjarige bent, kun je nog steeds getroffen worden. Leeftijdspoorten maken doorgaans pas na verificatie onderscheid tussen gebruikers, wat betekent dat volwassenen hetzelfde proces moeten doorlopen als alle anderen. Dit roept legitieme vragen op over gegevensverzameling, opslag en het risico dat die gevoelige identiteitsinformatie verkeerd wordt behandeld of later wordt blootgesteld.

Geïnformeerd en voorbereid blijven

De EU Kids Act is nog een voorstel, en de definitieve vorm zal waarschijnlijk veranderen naarmate het het wetgevingsproces doorloopt. Dat maakt dit een belangrijk moment voor internetgebruikers om op te letten in plaats van aan te nemen dat de huidige versie vaststaat.

Een paar praktische stappen die het overwegen waard zijn: blijf op de hoogte van hoe de wetgeving zich ontwikkelt, bekijk het privacybeleid van elke dienst die nieuwe leeftijdsverificatievereisten introduceert, en wees voorzichtig met welke identiteitsdocumenten of biometrische gegevens je bereid bent te delen met externe verificatieproviders. Het steunen van organisaties die deze ontwikkelingen volgen kan ook helpen waarborgen dat kindveiligheidsdoelen niet ten koste gaan van de privacy van alle anderen. Het debat over de EU Kids Act is nog lang niet voorbij, en hoe het wordt opgelost zal de balans tussen veiligheid en privacy online voor de komende jaren vormgeven.