Ofcom, de Britse communicatietoezichthouder, is een formeel onderzoek gestart naar TikTok vanwege zorgen dat het systeem voor leeftijdsschatting niet voldoet aan de normen die de Online Safety Act (OSA) stelt. Centraal in het onderzoek staat de biometrische leeftijdsverificatietechnologie van TikTok, en dan met name de vraag of de methoden waarmee het platform de leeftijd van een gebruiker schat op basis van gezichtsscans en andere signalen, effectief genoeg zijn om kinderen weg te houden bij inhoud en functies die alleen voor volwassenen bedoeld zijn.

Het onderzoek bevindt zich nog in een vroeg stadium, maar het is een van de eerste keren dat een Britse toezichthouder rechtstreeks de betrouwbaarheid van biometrische leeftijdsschatting software bij een groot platform ter discussie stelt. Voor lezers die de regulering van online veiligheid volgen, bouwt dit voort op Ofcoms eerdere controle van de nalevingspraktijken van TikTok, uitgebreid beschreven in onze berichtgeving over het Ofcom TikTok leeftijdsverificatieonderzoek, waarin voor het eerst zorgen werden geuit over hoe het platform in het Verenigd Koninkrijk omgaat met accounts van minderjarigen.

Wat het onderzoek van Ofcom naar TikTok inhoudt

Ofcoms onderzoek richt zich specifiek op de vraag of TikTok 'effectieve' biometrische hulpmiddelen voor leeftijdsborging heeft geïmplementeerd, een vereiste onder de OSA voor platforms die inhoud hosten die mogelijk schadelijk is voor minderjarigen. De toezichthouder bekijkt of de Britse activiteiten van TikTok aan hun wettelijke plichten voldoen, dan wel of het gebruikte leeftijdsschatting systeem minderjarige gebruikers door de mazen laat glippen of volwassenen verkeerd classificeert.

Dit is niet simpelweg de vraag of TikTok een systeem voor leeftijdscontrole heeft. Dat is er. De vraag is of dat systeem daadwerkelijk werkt zoals bedoeld en of TikTok kan aantonen dat het dat doet. Ofcom heeft de bevoegdheid om interne data, testregistraties en technische documentatie van TikTok op te vragen om dit te beoordelen, en het onderzoek kan uitmonden in handhavingsmaatregelen als de toezichthouder tekortkomingen vaststelt.

Hoe leeftijdsschatting systemen biometrische gegevens verzamelen en verwerken

Leeftijdsschatting tools zoals die nu onder de loep liggen, werken doorgaans door een selfie of kort videoclip te analyseren en op basis van gelaatstrekken een schatting van de leeftijd te maken, met behulp van een machine learning-model dat is getraind op grote datasets van gezichten met bekende leeftijden. Het systeem geeft meestal een waarschijnlijkheidsscore in plaats van een exacte leeftijd, en platforms gebruiken die score om accounts te markeren die mogelijk aan minderjarigen toebehoren, voor verdere beoordeling of beperking.

Bij dit proces worden biometrische gegevens verwerkt, een van de gevoeligste categorieën van persoonsgegevens onder de Britse en Europese wetgeving inzake gegevensbescherming. Zelfs wanneer een platform aangeeft dat beelden onmiddellijk na het genereren van de schatting worden verwijderd, vereist de onderliggende scan nog steeds het vastleggen van een live gezichtsopname en het door propriëtaire software laten lopen. Gebruikers hebben over het algemeen beperkt inzicht in hoe lang die data wordt bewaard, hoe het model is getraind of hoe accuraat het werkelijk is voor verschillende leeftijden, huidtinten en lichtomstandigheden.

De privacy-afwegingen van leeftijdsverificatie onder de Online Safety Act

De OSA is ontworpen om kinderen online te beschermen, en weinigen zullen tegen dat doel argumenteren. Maar de uitvoering van de wet dwingt platforms in de richting van biometrische verificatiemethoden die hun eigen privacykosten met zich meebrengen. Gezichtsscans, uploads van identiteitsbewijzen en andere borgingsmethoden betekenen dat zowel minderjarigen als volwassenen mogelijk gevoelige persoonsgegevens moeten afgeven, alleen al om toegang te krijgen tot een social media-app.

Dit creëert een reële afweging. Effectieve leeftijdsborging kan de blootstelling van kinderen aan ongepaste inhoud verminderen, maar het vergroot ook de hoeveelheid biometrische en identiteitsgegevens die platforms, en mogelijk externe verificatieleveranciers, verzamelen en opslaan. Als die gegevens verkeerd worden behandeld, door een datalek uitlekken of langer worden bewaard dan noodzakelijk, kunnen de gevolgen veel verder reiken dan het oorspronkelijke veiligheidsdoel. Ofcoms onderzoek naar TikTok is deels een test of toezichthouders platforms verantwoordelijk kunnen houden, niet alleen voor het hebben van een leeftijdscontrolesysteem, maar voor het bouwen van een systeem dat de principes van dataminimalisatie respecteert en tegelijkertijd betrouwbaar functioneert.

Wat dit voor jou betekent

Als je TikTok in het Verenigd Koninkrijk gebruikt, ben je mogelijk al een leeftijdscontrole-prompt tegengekomen, of je kunt er binnenkort een zien, afhankelijk van hoe dit onderzoek zich ontwikkelt. Het is goed om te begrijpen dat een VPN je niet kan helpen biometrische leeftijdsverificatie te vermijden of te omzeilen. Deze controles zijn ingebouwd in TikTok's accountsystemen en gekoppeld aan je account en apparaat, niet aan je netwerklocatie, dus het omleiden van je verkeer via een andere server verandert niets aan wat de app van je vraagt.

Wat een VPN wel kan doen, is andere vormen van tracking beperken terwijl je het platform gebruikt, zoals het maskeren van je IP-adres voor adverteerders of het verminderen van blootstelling op openbare wifi. Het is een aparte laag privacybescherming, geen omzeiling van de eisen voor leeftijdsborging.

Actiepunten

Voordat je biometrische gegevens aan een app verstrekt, check je wat het privacybeleid van het platform zegt over bewaartermijnen en de termijnen voor het wissen. Kijk of de leeftijdsverificatie intern of door een externe leverancier wordt afgehandeld, want dat bepaalt wie toegang tot je gegevens heeft. Als je ouder bent, bekijk dan de accountinstellingen van je kind en ga na welke verificatiemethode TikTok vraagt. En houd in de gaten hoe Ofcoms onderzoek naar TikTok vordert, want de bevindingen kunnen bepalen hoe elk groot platform in het VK in de toekomst met biometrische leeftijdscontroles omgaat.