Een tweepartijdige groep senatoren heeft wetgeving geïntroduceerd die de manier waarop leeftijdsverificatie online werkt in de Verenigde Staten fundamenteel zou veranderen. Senatoren Andy Kim (D-NJ), Adam Schiff (D-CA), Cynthia Lummis (R-WY) en John Barrasso (R-WY) onthulden de Digital Age Assurance Act, een wetsvoorstel dat aanbieders van besturingssystemen, zoals Apple en Google, verplicht om de leeftijden van gebruikers te verzamelen en die informatie op verzoek met individuele apps te delen.

Het verklaarde doel is eenvoudig: kinderen beschermen tegen schadelijke inhoud en roofzuchtige ontwerpelementen die in veel apps en platforms zijn ingebakken. Maar het mechanisme waarop het wetsvoorstel steunt – waarbij apparaatfabrikanten fungeren als gecentraliseerde leeftijdsverificateurs voor het hele app-ecosysteem – roept het soort privacyvragen op dat soortgelijke inspanningen in andere landen heeft achtervolgd.

Wat de Digital Age Assurance Act doet

Volgens het voorstel zouden besturingssystemen van smartphones en tablets verantwoordelijk zijn voor het bepalen van de leeftijdscategorie van een gebruiker en dat signaal doorgeven aan apps wanneer daarom wordt verzocht. In plaats van dat elke individuele app zijn eigen leeftijdsverificatiesysteem bouwt (vaak via invasieve methoden zoals het uploaden van identiteitsbewijzen of gezichtsscans), verschuift de last naar de handvol bedrijven die mobiele besturingssystemen beheren.

De indieners van het wetsvoorstel hebben de nadruk gelegd op privacywaarborgen als onderdeel van het pakket, waaronder bepalingen die verhinderen dat gegevens van kinderen worden verkocht of overgedragen aan derden en beperkingen op gerichte reclame voor minderjarigen. Die framing is belangrijk: de wetgeving wordt gepresenteerd niet alleen als een maatregel voor kindveiligheid, maar als een privacyvriendelijk alternatief voor de lappendeken van app-voor-app verificatieregelingen die momenteel in gebruik zijn. Een eerdere concepttekst van senator Kim, die leeftijdscontroles naar appwinkels verplaatst, legde de basis voor deze aanpak door de verificatieverantwoordelijkheid weg te halen bij individuele apps en naar de platformlaag te brengen.

De privacy-afweging: centralisering van leeftijdsgegevens op OS-niveau

Hier schuilt de spanning die het overdenken waard is. Vandaag de dag, als het leeftijdsverificatiesysteem van één app wordt geschonden of misbruikt, blijft de schade grotendeels beperkt tot die app. Onder een model waarbij Apple of Google de leeftijd verifieert voor elke app op een apparaat, wordt dat ene punt een veel aantrekkelijker doelwit en een veel ingrijpender faalpunt.

Zelfs met sterke wettelijke taal die gegevensverkoop verbiedt, betekent het centraliseren van leeftijdsverificatie op OS-niveau dat aanbieders van besturingssystemen mechanismen nodig hebben om überhaupt de leeftijd vast te stellen, hetzij via accountgeschiedenis, betalingsinformatie, identiteitsbewijzen of biometrische schattingen. Elk van die methoden heeft zijn eigen privacyvoetafdruk, en het succes van het wetsvoorstel zal sterk afhangen van hoe nauwkeurig het 'delen van leeftijdssignalen' wordt gedefinieerd en gehandhaafd in de praktijk, niet alleen in de tekst van een persbericht.

Dan is er nog de vraag naar functie-uitbreiding. Systemen die zijn gebouwd om leeftijd te verifiëren voor kindveiligheid zijn historisch gezien ver uitgebreid voorbij hun oorspronkelijke mandaat zodra de infrastructuur eenmaal bestaat. Een raamwerk dat een app kan vertellen "deze gebruiker is jonger dan 18", is technisch in staat die app veel meer te vertellen, afhankelijk van welke waarborgen daadwerkelijk worden opgenomen in de uitvoeringsregels in plaats van in de samenvatting van het wetsvoorstel.

Lessen uit de Britse en EU-experimenten met leeftijdsverificatie

De Verenigde Staten zijn niet de eerste die dit proberen. De Britse Online Safety Act en de Europese Digital Services Act hebben platforms allebei richting leeftijdsbarrières en leeftijdsverificatie-eisen geduwd, en beide zijn op weerstand gestuit. Leeftijdsverificatietools in die rechtsgebieden zijn bekritiseerd omdat ze gebruikers naar externe ID-controlediensten duwen met hun eigen gegevensverwerkingspraktijken, omdat ze valse positieven produceren die legitieme volwassen gebruikers buitensluiten, en omdat ze nieuwe aanvalsoppervlakken creëren die vóór de uitrol niet goed onder de loep zijn genomen.

Die ervaringen betekenen niet noodzakelijkerwijs de ondergang van de Digital Age Assurance Act, maar ze zijn een nuttig referentiepunt. Een federale aanpak op OS-niveau zou een deel van de fragmentatie kunnen vermijden die in Europa te zien is, aangezien het de functie centraliseert bij een klein aantal bedrijven in plaats van duizenden individuele sites. Of die centralisering het algehele privacyrisico vermindert of het simpelweg concentreert in minder, waardevollere doelwitten is de open vraag die het Congres zal moeten beantwoorden naarmate het wetsvoorstel door de commissie gaat.

Wat dit voor jou betekent

Als je een smartphone, tablet of een app gebruikt die je momenteel vraagt om je geboortedatum zelf op te geven, kan dit wetsvoorstel uiteindelijk veranderen hoe dat proces werkt. Ouders kunnen een meer consistente handhaving van ouderlijk toezicht zien in apps, in plaats van te moeten vertrouwen op de instellingen van elk platform. Tieners en jongvolwassenen kunnen eerder in het registratieproces te maken krijgen met leeftijdscontroles, zelfs voor apps die voorheen helemaal geen verificatie vereisten.

Voor privacybewuste gebruikers is de praktische les om in de gaten te houden hoe "leeftijdsgarantie" wordt geïmplementeerd als dit wetsvoorstel vordert, niet alleen of het wordt aangenomen. Het verschil tussen een privacyrespecterend leeftijdssignaal en een pijplijn voor gegevensverzameling komt vaak neer op technische implementatiedetails die pas lang na de indiening van een wetsvoorstel worden uitgewerkt.

Kernpunten

De Digital Age Assurance Act bevindt zich nog in een vroeg stadium van het wetgevingsproces, maar het geeft aan waar het federale beleid voor kindveiligheid naartoe gaat: naar verificatie op apparaatniveau in plaats van app-voor-app naleving. Lezers die de curve voor willen blijven, moeten een paar dingen in gedachten houden. Controleer de privacy-instellingen en ouderlijk toezicht die al beschikbaar zijn op je apparaten, aangezien die tools centraler kunnen worden voor naleving onder dit raamwerk. Let op hoe uitvoeringsregels definiëren wat "delen van leeftijdssignalen" daadwerkelijk inhoudt, want dat detail zal bepalen hoeveel gegevens er daadwerkelijk bewegen tussen je apparaat en de apps die je gebruikt. En blijf betrokken naarmate het wetsvoorstel door de commissie gaat, aangezien openbare commentaarperiodes en hoorzittingen in het Congres meestal de plekken zijn waar de technische waarborgen, of het gebrek eraan, worden bepaald.