De Europese Commissie heeft een stap voorwaarts gezet met de voorgestelde EU Kids Act, een wetgeving die verplichte leeftijdsverificatie voor sociale-mediaplatforms zou invoeren, zogenaamde verslavende ontwerpkenmerken zou beperken en nieuwe veiligheidsverplichtingen zou opleggen aan techbedrijven die in de Unie actief zijn. Volgens de voorstellen zou iedereen onder de 15 beperkingen krijgen op het hebben van een socialmedia-account, wat een van de meest ingrijpende pogingen tot nu toe is van een grote toezichthouder om te hervormen hoe jongeren toegang krijgen tot onlineplatforms.

Hoewel de bedoeling achter de EU Kids Act is om minderjarigen te beschermen tegen schadelijke inhoud, verslavend app-ontwerp en ongewenst contact, roept het handhavingsmechanisme, leeftijdsverificatie, zijn eigen reeks privacyvragen op. Het verifiëren van de leeftijd van een gebruiker op grote schaal betekent doorgaans dat er een of andere vorm van identificerende informatie wordt verzameld, en dat creëert nieuwe overwegingen voor hoe platforms die gegevens verwerken, opslaan en mogelijk delen.

Wat de EU Kids Act daadwerkelijk voorstelt

Volgens berichtgeving over het voorstel zou de EU Kids Act platforms verplichten de leeftijd van hun gebruikers te verifiëren voordat toegang tot standaard socialmedia-accounts wordt verleend. Gebruikers onder de 15 zouden beperkingen krijgen, en de wetgeving zou zich ook richten op ontwerpkenmerken die als verslavend worden beschouwd, zoals infinite scroll, autoplay en op betrokkenheid gerichte notificatiesystemen. Platforms zouden ook onderworpen worden aan nieuwe veiligheidsvereisten die gericht zijn op het verminderen van blootstelling aan schadelijke inhoud en ongewenste interacties.

Dit is niet de eerste keer dat details van het plan naar buiten komen. Eerder uitgelekte documenten gaven het publiek een voorproefje van de denkwijze van de Commissie, en onze eerdere berichtgeving over het uitgelekte EU Kids Act-voorstel schetst hoe het voorstel zich van een intern ontwerp tot een formele wetgevende push heeft ontwikkeld. Dat lek gaf aan dat de Commissie al lang voordat het huidige voorstel openbaar werd, leeftijdsdrempels en platformverplichtingen aan het afwegen was.

De privacyafwegingen van verplichte leeftijdsverificatie

Leeftijdsverificatie klinkt in principe eenvoudig: bevestig dat een gebruiker oud genoeg is om een platform te gebruiken en verleen of beperk vervolgens dienovereenkomstig de toegang. In de praktijk vereist het dat platforms een of ander bewijs verzamelen, of dat nu een overheidspaspoort, biometrische gegevens of een verificatiebewijs van een derde partij is. Elk van deze opties brengt zijn eigen implicaties voor gegevensverwerking met zich mee.

De kern van de spanning is dit: hoe strenger de verificatiemethode, hoe meer persoonlijke gegevens er in theorie van eigenaar wisselen. Een systeem dat identiteitsbewijzen rechtstreeks tegen platformservers controleert, creëert een ander risicoprofiel dan een systeem dat vertrouwt op een onafhankelijke, privacyvriendelijke verificatielaag die alleen een ja-of-nee-leeftijdsresultaat bevestigt zonder het onderliggende document te delen. Hoe de EU Kids Act verificatie uiteindelijk implementeert, en welke entiteiten worden vertrouwd om deze uit te voeren, zal bepalen of de wet minderjarigen daadwerkelijk beschermt zonder de hoeveelheid gevoelige gegevens die platforms of derden over zowel kinderen als hun ouders bewaren, uit te breiden.

Gezinnen die deze afwegingen maken, moeten goed letten op hoe een verificatiesysteem wordt opgebouwd, niet alleen of er een bestaat. Een wet die leeftijdscontroles verplicht stelt zonder duidelijke waarborgen voor gegevensminimalisatie zou uiteindelijk het ene risico (toegang zonder toezicht) kunnen inruilen voor het andere (overmatige gegevensverzameling).

Kunnen VPN's de nieuwe leeftijdscontroles omzeilen, en zou dat moeten?

Net als bij andere regionale beperkingen kunnen sommige gebruikers VPN's overwegen als een manier om de leeftijdsverificatievereisten van de EU Kids Act te omzeilen door het te laten lijken alsof ze platforms bezoeken vanuit een rechtsgebied zonder vergelijkbare regels. Technisch gezien kan een VPN de locatie van een gebruiker maskeren, wat een van de redenen is waarom het vaak wordt besproken in samenhang met geografisch beperkte inhoud of regiogebonden diensten.

Het gebruik van een VPN om leeftijdsverificatie te omzeilen die is ontworpen om minderjarigen te beschermen, is echter iets anders dan het gebruik ervan voor algemene privacy- of toegangsdoeleinden. De meeste platforms koppelen leeftijdsverificatie aan controles op accountniveau in plaats van louter op IP-gebaseerde geolocatie, wat betekent dat een VPN alleen waarschijnlijk geen betrouwbare of volledige oplossing is. Belangrijker is dat het doel van de EU Kids Act kinderveiligheid is, en het omzeilen van die intentie ondermijnt de bescherming die de wet probeert te vestigen. Ouders en voogden zijn beter gediend met het begrijpen van de daadwerkelijke verificatievereisten die een platform hanteert, dan met het behandelen van een VPN als een achterdeur.

Hoe dit zich verhoudt tot leeftijdsverificatiewetten in andere landen

De EU is niet de enige die dit soort wetgeving nastreeft. Nieuw-Zeeland heeft zijn eigen wetsvoorstel ingediend dat iedereen onder de 16 zou verbieden een socialmedia-account te hebben, ook ondersteund door strikte leeftijdsverificatievereisten en sancties voor platforms. Onze berichtgeving over het Nieuw-Zeelandse wetsvoorstel voor sociale media onder de 16 beschrijft hoe vergelijkbare zorgen over handhaving, privacy en verificatiemethoden daar al naar voren zijn gekomen. Een vergelijking van de twee inspanningen toont een breder mondiaal patroon: toezichthouders convergeren naar leeftijdsverificatie als het primaire instrument om de toegang van minderjarigen te beperken, zelfs terwijl vragen over implementatie en gegevensbescherming in elk rechtsgebied grotendeels onopgelost blijven.

Wat dit voor jou betekent

Als je een ouder, voogd of jonge gebruiker in de EU bent, bevindt het leeftijdsverificatievoorstel van de EU Kids Act zich nog in het wetgevingsproces, wat betekent dat de details kunnen veranderen voordat er iets van kracht wordt. Het is de moeite waard om te volgen hoe de verificatiemethode wordt gedefinieerd, want dat detail zal bepalen hoeveel persoonlijke informatie platforms daadwerkelijk verzamelen. Voor nu moeten gezinnen op de hoogte blijven van welke platforms worden getroffen en hoe een verificatiesysteem omgaat met gegevens, in plaats van aan te nemen dat een enkele technische oplossing zoals een VPN nalevingsproblemen zal oplossen.

Belangrijkste punten

  • De EU Kids Act stelt verplichte leeftijdsverificatie en beperkingen op verslavende ontwerpkenmerken voor sociale-mediaplatforms voor, met specifieke limieten gericht op accounts van jongeren onder de 15.
  • De verificatiemethode is belangrijker dan de vereiste zelf. Privacyvriendelijke benaderingen beperken de blootstelling van gegevens, terwijl op identiteitsbewijs gebaseerde systemen deze kunnen vergroten.
  • VPN's zijn geen betrouwbare of aan te raden manier om leeftijdsverificatie te omzeilen die aan kinderveiligheidsmaatregelen is gekoppeld.
  • Vergelijkbare wetten ontstaan wereldwijd, waaronder in Nieuw-Zeeland, wat suggereert dat leeftijdsverificatie een steeds gewoner kenmerk van onlineplatforms zal worden in plaats van een geïsoleerd EU-beleid.
  • Lezers moeten volgen hoe de EU Kids Act zich ontwikkelt, met name de technische details van het verificatiesysteem, voordat ze conclusies trekken over de privacimpact.