Een nieuwe wereldwijde maatstaf voor leeftijdsverificatie

De organisaties achter internationale technologiestandaarden hebben een openbaar concept gepubliceerd van ISO/IEC 27566-3, het derde deel van een raamwerk dat is ontworpen om te helpen evalueren hoe goed leeftijdsbevestigingssystemen daadwerkelijk werken. Volgens Biometric Update richt dit deel zich op analyse en biedt het richtlijnen voor het met elkaar vergelijken van methoden voor leeftijdsverificatie, leeftijdsschatting en leeftijdsafleiding.

Als je hebt gemerkt dat steeds meer websites, apps en platforms je vragen je leeftijd te bewijzen voordat ze je toegang geven, dan verbeeld je het je niet. Vereisten voor leeftijdsverificatie zijn snel uitgebreid op sociale media, sites met volwassenencontent en zelfs algemene onlinediensten als reactie op wetgeving voor kinderveiligheid. ISO/IEC 27566-3 is een poging om enige orde in dat landschap te brengen door bedrijven, toezichthouders en auditors een gedeelde manier te geven om te meten of deze systemen nauwkeurig, eerlijk en effectief zijn.

Verificatie, schatting en afleiding: drie verschillende privacy-afwegingen

Het concept van de norm behandelt drie verschillende benaderingen om te achterhalen hoe oud iemand is, en elk daarvan heeft andere gevolgen voor je persoonlijke gegevens.

Leeftijdsverificatie betekent doorgaans dat je je exacte leeftijd bevestigt met een officieel document, zoals een door de overheid uitgegeven identiteitsbewijs of een creditcard. Dit is de meest precieze methode, maar het vereist ook dat je gevoelige identiteitsdocumenten overhandigt aan een derde partij, soms een bedrijf waarvan je nog nooit hebt gehoord dat gespecialiseerd is in identiteitscontroles.

Leeftijdsschatting vertrouwt op het analyseren van biometrische signalen, meestal een foto van je gezicht, om je leeftijdsbereik te raden zonder een formeel identiteitsbewijs te vereisen. Dit vermijdt sommige zorgen over het delen van documenten, maar het betekent dat een bedrijf een gezichtsafbeelding verwerkt en door een algoritme haalt, wat weer zijn eigen reeks vragen over biometrische privacy oproept.

Leeftijdsafleiding gebruikt indirecte signalen, zoals accountactiviteit, aankoopgeschiedenis of gedragspatronen, om te schatten of iemand waarschijnlijk minderjarig of volwassen is zonder direct om bewijs te vragen.

Het feit dat ISO nu formele richtlijnen ontwikkelt voor het vergelijken van deze methoden, signaleert iets belangrijks: toezichthouders en industriële groepen erkennen dat niet alle leeftijdscontroles gelijk zijn, en de methode die een platform kiest heeft echte gevolgen voor hoeveel van je gegevens wordt verzameld, opgeslagen en mogelijk blootgesteld.

Waarom dit verder reikt dan de technische norm

Normdocumenten halen zelden de krantenkoppen, maar dit document verschijnt op een moment dat leeftijdsverificatie een twistpunt wordt voor privacyvoorvechters. Wetgevers in de Verenigde Staten hebben wetsvoorstellen zoals de Kids Online Safety Act gestimuleerd, waarvan de zorgplichtbepalingen onlangs een Senaatscommissie hebben gehaald, deels op basis van vereisten voor leeftijdsgeschikt ontwerp. Ondertussen is in het Verenigd Koninkrijk publieke onrust over identiteitssystemen al zichtbaar: een recent onderzoek wees uit dat veel Britten bang zijn om gevolgd te worden onder een voorgesteld nationaal digitaal ID-systeem, een zorg die direct overlapt met zorgen over databases voor leeftijdsverificatie.

De onderliggende spanning is in beide gevallen dezelfde. Het verifiëren van leeftijd vereist vaak het verzamelen van gevoelige informatie, of dat nu een gescande ID, een gezichtsafbeelding of gedragsgegevens is, en die informatie moet ergens naartoe. Als deze onveilig wordt opgeslagen of gedeeld buiten het oorspronkelijke doel, wordt het een doelwit. Gevallen van misbruik van persoonlijke afbeeldingen en gegevens, zoals de veroordeling van een lid van een online afpersingsnetwerk in een recente sextortion-zaak, zijn een schrijnende herinnering aan wat er mis kan gaan wanneer gevoelige persoonlijke content in verkeerde handen valt.

Een goed ontworpen vergelijkingsnorm zoals ISO/IEC 27566-3 zal deze risico's niet wegnemen, maar zou de sector kunnen stimuleren richting methoden die minder gegevens verzamelen of deze verantwoordelijker verwerken, omdat bedrijven en auditors een gemeenschappelijk ijkpunt krijgen om privacy-inbreuk te meten naast nauwkeurigheid.

Wat dit voor jou betekent

Naarmate leeftijdsverificatie online gebruikelijker wordt, zul je waarschijnlijk meer verzoeken tegenkomen om je leeftijd te bewijzen via het uploaden van een ID, op selfies gebaseerde controles of minder zichtbare gedragsanalyse. Normen zoals deze zijn bedoeld om de kwaliteit en consistentie van die systemen te verbeteren, maar ze vervangen je eigen zorgvuldigheid niet.

Voordat je een ID of een gezichtsscan indient voor een leeftijdscontrole, zoek naar informatie over wie het verzoek verwerkt. Veel platforms besteden leeftijdsverificatie uit aan externe leveranciers, en de gegevensbewaring en beveiligingspraktijken van die leverancier zijn net zo belangrijk als het eigen beleid van het platform. Schattingsmethoden die een live foto gebruiken, kunnen minder invasief aanvoelen dan het uploaden van een paspoort, maar ze omvatten nog steeds biometrische verwerking, dus controleer of de afbeelding na de controle wordt verwijderd of bewaard.

Belangrijkste punten

  • ISO/IEC 27566-3 is een conceptnorm voor het vergelijken van methoden voor leeftijdsverificatie, -schatting en -afleiding, geen wet of mandaat.
  • Elke methode voor leeftijdscontrole brengt verschillende privacy-afwegingen met zich mee, van het delen van documenten tot biometrische scanning en gedragsmatige tracking.
  • Vraag platforms wie je gegevens voor leeftijdsverificatie verwerkt en hoe lang deze worden bewaard voordat je gevoelige informatie indient.
  • Blijf op de hoogte van wetgeving over leeftijdsverificatie in jouw regio, aangezien vereisten en consumentenbescherming sterk verschillen en blijven evolueren.