Wat Lankfords brief beweert en waarom dit ertoe doet
Senator James Lankford (R-Okla.) heeft een scherpe brief gestuurd waarin hij Pornhub ervan beschuldigt "op kinderen te azen" en de leeftijdsverificatiewetten van staten verdedigt die vereisen dat volwassenensites de leeftijd van een bezoeker controleren voordat ze toegang verlenen. Volgens Fox News stelt Lankfords brief dat Pornhubs verzet tegen deze wetten niet voortkomt uit privacyzorgen, zoals het bedrijf publiekelijk heeft beweerd, maar uit de angst om minderjarigen als klant te verliezen.
De brief komt te midden van een bredere golf van leeftijdsverificatieverplichtingen op staatsniveau die de afgelopen twee jaar door het land zijn getrokken en die van sites met inhoud voor volwassenen eisen dat ze controleren of gebruikers 18 jaar of ouder zijn, meestal via het uploaden van een overheidsidentificatie, externe verificatiediensten of gezichtsleeftijdsschatting. Pornhub heeft op verschillende van deze wetten gereageerd door de toegang volledig te blokkeren in staten waar de vereisten van kracht worden, met het argument dat de wetten het verkeer naar minder conforme sites duwen in plaats van minderjarigen daadwerkelijk te beschermen.
Lankfords brief bestempelt deze reactie als bewijs van kwade trouw in plaats van een legitiem bezwaar. Maar het onderliggende debat is ingewikkelder dan een gevecht tussen één senator en één platform voor inhoud voor volwassenen. Het raakt aan een vraag waar privacyvoorvechters, beveiligingsonderzoekers en wetgevers al jaren mee worstelen: hoe controleer je iemands leeftijd online zonder een nieuwe honeypot van gevoelige persoonsgegevens te creëren?
Hoe leeftijdsverificatiewetten onder de motorkap echt werken
De meeste statuten voor leeftijdsverificatie specificeren niet precies hoe een site de leeftijd van een gebruiker moet bevestigen; ze vereisen alleen dat er een vorm van verificatie plaatsvindt voordat toegang wordt verleend. In de praktijk betekent dit dat bedrijven kunnen kiezen uit een handvol imperfecte methoden.
De meest gebruikelijke aanpak omvat het uploaden van een door de overheid uitgegeven identiteitsbewijs, zoals een rijbewijs, dat vervolgens wordt gecontroleerd aan de hand van gezichtsherkenning of wordt gekoppeld aan openbare registers via een externe verificatieleverancier. Sommige platforms gebruiken software voor leeftijdsschatting die een live selfie of video analyseert om de leeftijdscategorie van een gebruiker te schatten zonder een volledig identiteitsbewijs te verzamelen. Andere vertrouwen op creditcardcontroles of accountgebonden verificatie gekoppeld aan een mobiele provider of bank.
Elk van deze methoden creëert een dataspoor. Zelfs wanneer bedrijven beloven het identiteitsbeeld zelf niet op te slaan, kunnen de verificatiegebeurtenis, de tijdstempel en vaak metadata over de bezochte site nog steeds ergens in het proces worden gelogd, hetzij door de site, de externe leverancier of beide. Zoals de SFLC.in-rondetafel over leeftijdscontroles heeft aangegeven, verschilt de technische implementatie van deze systemen sterk, en juist die inconsistentie is waar privacyrisico's de neiging hebben om binnen te sluipen.
De privacyafweging: minderjarigen beschermen versus gegevens van volwassen gebruikers blootstellen
Dit is waar Lankfords brief, ongeacht de verdiensten van zijn specifieke beschuldigingen tegen Pornhub, een reële en afzonderlijke zorg omzeilt. Het verdedigen van leeftijdsverificatiewetten als kwestie van kinderbescherming beantwoordt niet de vraag wat er gebeurt met de gegevens van de volwassenen die deze sites legaal gebruiken.
In tegenstelling tot een winkelwebsite die je leeftijd controleert om je alcohol te verkopen, koppelt verificatie van inhoud voor volwassenen iemands echte identiteit aan een specifieke, gevoelige categorie surfgedrag. Als een verificatieleverancier wordt gehackt, slecht beheerd of simpelweg gegevens langer bewaart dan zou moeten, is de blootstelling niet een gelekt e-mailadres; het is een gelekte registratie van iemands privékijkgedrag gekoppeld aan hun wettelijke naam en mogelijk hun foto of identiteitsnummer. Dat is een fundamenteel ander risicoprofiel dan de meeste andere online leeftijdspoorten, en het is een groot deel van de reden waarom sites als Pornhub privacy, niet alleen zakelijke belangen, hebben aangevoerd als reden om zich tegen deze verplichtingen te verzetten.
Wetgevers zijn zich bewust van deze spanning. Het Congres heeft maandenlang gewerkt aan gerelateerde wetgeving, waaronder de Kids Online Safety Act, die onlangs een senaatscommissiestemming heeft doorstaan terwijl een bijbehorend wetsvoorstel voor leeftijdsverificatie, de SCREEN Act, vastliep vanwege quorumproblemen. Afzonderlijk weerspiegelt het voorstel van senator Andy Kim om leeftijdscontroles naar appstores te verplaatsen een poging om verificatie weg te halen bij individuele sites voor inhoud voor volwassenen en naar één vertrouwde tussenpersoon te brengen, een aanpak die bedoeld is om het aantal plaatsen waar gevoelige identiteitsgegevens worden verzameld te verminderen.
Wat VPN's en privacyhulpmiddelen wel (en niet) kunnen
Veel volwassen gebruikers die geconfronteerd worden met muren voor leeftijdsverificatie hebben hun toevlucht genomen tot VPN's om staatspecifieke blokkades te omzeilen door te doen alsof ze vanaf een andere locatie browsen. Een VPN kan je IP-adres en algemene locatie maskeren, wat vaak voldoende is om een geogeblokkeerde verificatievereiste te omzeilen.
Wat een VPN niet kan, is je beschermen zodra je al een identiteitsbewijs of biometrische scan hebt ingediend bij een verificatieleverancier. Versleuteling van de verbinding verandert niets aan wat er met je gegevens gebeurt nadat ze het bedrijf hebben bereikt dat ze heeft verzameld. VPN's zijn een hulpmiddel om je netwerkverkeer te anonimiseren, geen schild tegen een inbreuk op een externe database of de bewaarpraktijken van een leverancier.
Wat dit voor jou betekent
Als je een volwassen gebruiker bent die door deze wetten wordt getroffen, is de praktische realiteit dat de privacyrisico's van leeftijdsverificatie onafhankelijk bestaan van welke partij het politieke argument tussen wetgevers en platforms voor inhoud voor volwassenen ook wint. Voordat je een identiteitsbewijs indient bij een verificatiedienst, let dan op duidelijke taal over gegevensbewaring, of het identiteitsbewijs na verificatie wordt opgeslagen of onmiddellijk wordt verwijderd, en of de leverancier een geschiedenis van datalekken heeft. Als een site of staat een specifiek verificatiemiddel vereist, controleer dan of die leverancier actief is op meerdere platforms, aangezien een enkel lek daar gegevens kan blootleggen die aan meerdere sites tegelijk zijn gekoppeld.
Belangrijkste punten
Lankfords brief plaatst leeftijdsverificatie opnieuw in de politieke schijnwerpers, maar lost het diepere probleem niet op dat deze systemen, hoe goedbedoeld ook, nog steeds vereisen dat gevoelige persoonsgegevens van miljoenen volwassen gebruikers worden verzameld en opgeslagen. Lezers moeten elke prompt voor leeftijdsverificatie met dezelfde nauwgezetheid behandelen als die ze zouden toepassen op een financiële rekening, omdat surfgeschiedenis die aan een echte identiteit is gekoppeld, in termen van mogelijke gevolgen van een datalek, blijvender gevolgen kan hebben dan een gelekt creditcardnummer. Op de hoogte blijven van hoe voorstellen zoals KOSA en de Digital Age Assurance Act zich ontwikkelen, is een van de weinige manieren waarop gebruikers kunnen volgen of toekomstige leeftijdscontrolesystemen deze blootstelling zullen minimaliseren of juist uitbreiden.
