Senator Marsha Blackburn publiceerde deze week een opiniestuk waarin ze betoogt dat de Kids Online Safety Act (KOSA) succesvol is waar het Australische verbod op sociale media faalt. Haar argument is helder: in plaats van jongeren volledig van platforms te weren, dwingt KOSA techbedrijven om vanaf de basis veiligere producten te bouwen. Op het eerste gezicht een overtuigende pitch. Maar de manier waarop platforms die belofte in de praktijk zouden waarmaken, verdient meer aandacht dan de kop van een opiniestuk toelaat – zeker voor iedereen die geeft om hoeveel data er verzameld, opgeslagen en gedeeld wordt in naam van kinderveiligheid.

Het opiniestuk dat het debat opnieuw aanwakkerde

Blackburns stuk schetst de Australische aanpak als een bot instrument: verban jonge gebruikers volledig van sociale media en klaar. Haar tegenargument is dat KOSA een genuanceerder pad biedt, een dat platforms toegankelijk houdt terwijl het bedrijven een wettelijke zorgplicht oplegt om hun producten te ontwerpen met het welzijn van jonge gebruikers in gedachten. Die invalshoek heeft KOSA de afgelopen wetgevingssessies brede, partijoverstijgende steun opgeleverd.

Maar taal over een ‘zorgplicht’, hoe goed bedoeld ook, vertaalt zich doorgaans in heel concrete technische vereisten zodra het de platforms bereikt die ermee aan de slag moeten. Iemand moet bepalen wie minderjarig is, iemand moet systemen bouwen die bepaalde content voor die gebruikers markeren of beperken, en iemand moet documenteren en rapporteren of die systemen werken. Al die stappen vereisen data. En daar begint het privacygesprek pas echt, ver voorbij het punt waar de meeste opiniestukken ophouden.

Wat leeftijdsverificatie en monitoring in de praktijk vragen

Elke wet die van platforms vraagt om minderjarigen anders te behandelen dan volwassenen, vereist allereerst een betrouwbare manier om te weten wie minderjarig is. Dat is een technisch lastiger probleem dan het klinkt, en het speelt nu al in concrete regelgevingsconflicten. In het Verenigd Koninkrijk onderzoekt Ofcom TikTok’s biometrische leeftijdsschattingstool uit zorg dat het systeem niet betrouwbaar genoeg voldoet aan de normen van de Britse Online Safety Act. Die zaak is leerzaam: zelfs een goed gefinancierd platform dat gericht leeftijdsschattingstechnologie bouwt, krijgt te maken met toezicht op nauwkeurigheid en privacy.

KOSA staat niet los van die bredere trend. Elk Amerikaans raamwerk dat van platforms verwacht dat ze minderjarigen identificeren en hun ervaring daarop aanpassen, komt vroeg of laat uit bij hetzelfde dilemma waar Britse toezichthouders nu mee worstelen: óf je verzamelt meer identificerende gegevens (ID’s, biometrische scans, apparaatvingerafdrukken) om leeftijd met zekerheid vast te stellen, óf je vertrouwt op inferentietools die foutgevoelig en makkelijk te omzeilen zijn. Geen van beide opties is privacyneutraal, en geen van beide is vrij van onbedoelde gevolgen voor volwassenen die in dezelfde verificatiesystemen terechtkomen.

Het encryptie- en monitoringsprobleem

Het deel van dit debat dat in politieke opiniestukken de minste aandacht krijgt, is wat de ontwerpeisen van een ‘zorgplicht’ betekenen voor versleutelde en privécommunicatie. Als een platform wettelijk verplicht is om schadelijke content richting minderjarigen te detecteren en te beperken, ontstaat enorme druk om inhoud nauwer te monitoren – iets wat haaks staat op end-to-end encryptie. Versleutelde berichtenuitwisseling werkt juist omdat het platform zelf de inhoud niet kan zien. Een wettelijke plicht om schadelijk materiaal te identificeren en erop te reageren, duwt bedrijven richting het scannen van content voor of na versleuteling, en ondermijnt daarmee de privacygarantie die encryptie in eerste instantie moet bieden.

Dit is dezelfde spanning die opduikt telkens wanneer overheden contentmoderatieverplichtingen, dataretentieregels of beperkingen voor anonimiserende tools zoals vpn’s voorstellen. Het verklaarde doel is bijna altijd veiligheid. Maar de technische realiteit is dat veiligheidsverplichtingen en privacybescherming vaak tegengestelde krachten uitoefenen, en het compromis valt doorgaans uit in de richting van meer monitoring, niet minder. Consumenten die op versleutelde berichten, privé browsen of vpn-diensten vertrouwen om gevoelige communicatie te beschermen, moeten goed opletten hoe een ‘kinderveiligheids’-wet de platformverplichtingen definieert, want die verplichtingen blijven in de praktijk zelden beperkt tot minderjarigen.

Wat dit voor jou betekent

Als je ouder bent, hebben de voorstanders van KOSA gelijk dat hedendaagse platforms vaak tekortschieten op het gebied van veiligheidsontwerp, en dat wetgevende druk bedrijven kan aanzetten tot betere standaardbescherming voor jonge gebruikers. Dat is een legitiem doel dat je in principe kunt steunen. Maar als je een privacybewuste volwassene bent, of simpelweg waarde hecht aan versleutelde communicatie, is het de moeite waard om verder te lezen dan de framing in de kop. Systemen voor leeftijdsverificatie en contentmonitoring die voor minderjarigen zijn gebouwd, blijken hun bereik geregeld uit te breiden, nieuwe gegevensverzamelingspunten op te leveren en wrijving te creëren voor volwassen gebruikers die in hetzelfde net verstrikt raken.

Het eerlijke antwoord is dat KOSA niet simpelweg een veiligheidsupgrade zonder compromis is, zoals het Australische verbod niet slechts een veiligheidsmislukking zonder positieve kanten was. Beide benaderingen brengen reële kosten met zich mee. Het debat over de Kids Online Safety Act verdient een eerlijke afweging van die kosten, geen framing die het alleen maar gunstig afzet tegen het ene alternatief waar het toevallig beter naast staat.

Belangrijkste punten

  • Lees de daadwerkelijke tekst van KOSA en eventuele amendementen, in plaats van te vertrouwen op opiniestukken van welke kant dan ook.
  • Let op hoe leeftijdsverificatie wordt geïmplementeerd in de platforms die jij of je gezin gebruikt, en of die afhankelijk is van identiteitsdocumenten of biometrische inferentie.
  • Besef dat monitoringsverplichtingen voor content die bedoeld zijn om minderjarigen te beschermen, de encryptiegaranties voor iedereen op een platform kunnen verzwakken.
  • Houd in de gaten hoe toezichthouders elders omgaan met geschillen over leeftijdsverificatie, want die uitkomsten bepalen vaak hoe Amerikaanse platforms reageren op vergelijkbare wettelijke druk.
  • Steun waar mogelijk privacyvriendelijke veiligheidsmaatregelen, zoals ouderlijk toezicht op het apparaat zelf, in plaats van gecentraliseerde gegevensverzameling wanneer platforms een keuze bieden.