EU KIDS Act Leeftijdscontroles Voldoen Niet aan Britse Ofcom-Regels

Twee Toezichthouders, Twee Verschillende Ideeën over 'Veilig'

Wie hoopt dat één enkel leeftijdsverificatiemiddel zowel de Europese Unie als de Britse toezichthouders tevreden zou stellen, komt bedrogen uit. Volgens een juridische analyse van het ontwerp van de EU KIDS Act van de Europese Commissie beweegt Brussel richting een prescriptief model dat gecertificeerde zero-knowledge leeftijdsverificatietechnologie zou vereisen. Ondertussen heeft de Britse communicatietoezichthouder Ofcom een heel ander pad gekozen, met een op resultaten gebaseerde norm die zich richt op uitkomsten in plaats van een specifieke technische methode voor te schrijven.

Het onderscheid is enorm belangrijk voor platforms, app-ontwikkelaars en privacyvoorvechters. Het is ook belangrijk voor gewone gebruikers die hun leeftijd zullen moeten bewijzen om toegang te krijgen tot online diensten, of dat nu sociale media, gamingplatforms of andere digitale content is die gericht is op de bescherming van minderjarigen.

De Gecertificeerde Zero-Knowledge Aanpak van de EU

Het voorstel van de Europese Commissie, onderdeel van een bredere wetgevende inspanning die al aandacht heeft getrokken door uitgelekte plannen om de toegang tot sociale media voor minderjarigen onder de 15 te beperken, lijkt een specifieke technische architectuur te verkiezen: gecertificeerde zero-knowledge leeftijdsverificatie. In de praktijk zijn zero-knowledge proofs cryptografische methoden waarmee een systeem een feit kan bevestigen, zoals of iemand boven een bepaalde leeftijd is, zonder de onderliggende persoonsgegevens te onthullen die worden gebruikt om dat feit vast te stellen.

Dit is in theorie een privacyvriendelijk concept. In plaats van een paspoortscan of gezichtsafbeelding te uploaden naar een externe verificateur, zou een zero-knowledge systeem een gebruiker idealiter laten bewijzen dat hij aan een leeftijdsdrempel voldoet, terwijl zijn werkelijke geboortedatum, identiteitsdocumenten en biometrische gegevens privé blijven. Maar het vereisen dat deze methode 'gecertificeerd' is, introduceert een laag bureaucratie en standaardisatie waarvoor nog geen duidelijk, universeel aangenomen technisch kader bestaat binnen de EU. Platforms die in Europa actief zijn, zouden niet zomaar een privacybeschermende verificatie moeten aannemen, maar een die voldoet aan een specifieke certificeringsnorm die door toezichthouders is vastgesteld.

Deze prescriptieve aanpak heeft al tot debat geleid. Eerdere berichtgeving over de wetgeving, waaronder zorgen dat deze leeftijdsverificatieverplichtingen zou kunnen opleggen aan online games, suggereert dat de reikwijdte van de betrokken diensten breed is en niet alleen sociale media raakt, maar ook interactief entertainment en andere platforms die populair zijn bij jongere gebruikers.

De Op Resultaten Gebaseerde Norm van Ofcom

Aan de andere kant van het Kanaal ziet de Britse aanpak onder Ofcom er heel anders uit. In plaats van een specifieke cryptografische methode verplicht te stellen, heeft Ofcom wat een resultaatsnorm wordt genoemd vastgesteld. Dit betekent dat platforms vrijheid hebben in hoe ze leeftijd verifiëren, zolang het verificatieproces daadwerkelijk het beoogde resultaat bereikt: minderjarige gebruikers weghouden van leeftijdsgebonden content of functies.

Deze flexibiliteit klinkt op het eerste gezicht aantrekkelijk, maar creëert ook onzekerheid. Zonder een enkel technisch mandaat kunnen bedrijven die in het VK actief zijn een lappendeken van verificatiemethoden aannemen, variërend van documentcontroles tot gezichtsleeftijdsschatting tot externe verificatiediensten, elk met verschillende privacy-afwegingen. Een op resultaten gebaseerde norm verschuift meer verantwoordelijkheid naar platforms om te bewijzen dat hun gekozen methode werkt, in plaats van hen een duidelijk technisch blauwdruk te geven om te volgen.

Privacy-Implicaties van een Gefragmenteerd Systeem

Het kernprobleem dat door deze regelgevende divergentie wordt benadrukt, is dat een enkel leeftijdsverificatiesysteem dat is gebouwd om te voldoen aan de EU-certificeringseisen mogelijk niet automatisch voldoet aan de resultaattest van Ofcom, en vice versa. Bedrijven die in beide markten actief zijn, waaronder de meeste grote platforms, zullen waarschijnlijk aparte of aangepaste verificatiesystemen moeten runnen voor EU- en VK-gebruikers.

Deze fragmentatie heeft echte privacygevolgen. Meer verificatiesystemen betekenen meer punten waar persoonsgegevens, of deze nu biometrisch, op documenten gebaseerd of gedragsmatig zijn, kunnen worden verzameld, verwerkt of mogelijk blootgesteld. Het betekent ook dat gebruikers inconsistente privacybescherming kunnen ervaren, afhankelijk van waar ze toevallig inloggen. Een zero-knowledge systeem in de EU zou de gegevensblootstelling echt kunnen minimaliseren, terwijl een methode met documentupload die wordt gebruikt om te voldoen aan de resultaatsnorm van Ofcom in het VK aanzienlijk meer persoonlijke informatie kan vereisen.

Voor kleinere platforms en ontwikkelaars zonder de middelen om gecertificeerde, jurisdictiespecifieke verificatietools te bouwen of te licentiëren, kan de compliance-last aanzienlijk zijn. Dat zou op zijn beurt sommige diensten richting externe verificatieleveranciers kunnen duwen, waardoor gevoelige leeftijds- en identiteitsgegevens verder worden geconcentreerd in de handen van een kleiner aantal bedrijven.

Wat Dit Voor Jou Betekent

Als je sociale media, gamingplatforms of andere onlinediensten gebruikt die onder de EU KIDS Act of de Britse onlineveiligheidsregels vallen, verwacht dan de komende maanden en jaren meer leeftijdsverificatieprompts tegen te komen, en verwacht dat het type controle varieert afhankelijk van het platform en je locatie. Een prompt die vraagt om een selfie, een documentscan of een cryptografisch leeftijdsbewijs is op zichzelf niet noodzakelijk een waarschuwingssignaal, maar het is de moeite waard om te begrijpen wat elke methode daadwerkelijk met je gegevens doet.

Op zero-knowledge gebaseerde controles zijn over het algemeen de meer privacybeschermende optie, omdat ze zijn ontworpen om leeftijd te bevestigen zonder je volledige identiteit bloot te leggen. Document- of biometrische uploads brengen meer risico met zich mee, omdat die gegevens door iemand moeten worden opgeslagen, verwerkt of geverifieerd, zelfs tijdelijk. Het lezen van het privacybeleid van een platform voordat je een leeftijdscontrole voltooit, blijft indien mogelijk een van de beste manieren om te begrijpen waarmee je instemt.

Belangrijkste Punten

De EU KIDS Act en het Britse kader van Ofcom bewegen richting verschillende technische vereisten voor leeftijdsverificatie, wat betekent dat geen enkele oplossing beide regimes tevreden zal stellen. Gebruikers moeten opletten welke verificatiemethode een platform gebruikt, de voorkeur geven aan diensten die hun gegevensverwerkingspraktijken duidelijk bekendmaken, en voorzichtig zijn met het uploaden van identiteitsdocumenten wanneer een minder invasief alternatief bestaat. Naarmate deze wetgeving zich verder ontwikkelt, verwacht dan aanhoudende kritische aandacht voor hoe deze uiteenlopende regels zowel de resultaten voor kinderveiligheid als de dagelijkse privacy van gebruikers beïnvloeden.