De Europese Unie beweegt richting een wettelijk verplichte 'socialemedia-startleeftijd', een beleid dat Commissievoorzitter Ursula von der Leyen nastreeft en dat platforms zou dwingen te controleren hoe oud hun gebruikers echt zijn voordat ze toegang krijgen. Naast de leeftijdsgrens ontwikkelt de EU een speciale app voor leeftijdsverificatie en een reeks 'safety by design'-regels onder de Digital Services Act, gericht op het aan banden leggen van verslavende functies en zogeheten dark patterns die jonge gebruikers gekluisterd houden. De doelen rond kinderveiligheid zijn makkelijk te begrijpen. De uitvoering ervan, en de betrokken privacy-afwegingen rond leeftijdsverificatie binnen de EU, liggen een stuk ingewikkelder.

Wat het EU-voorstel voor een socialemedia-startleeftijd daadwerkelijk vereist

In de kern zou het voorstel een minimumleeftijd vaststellen waaronder minderjarigen geen socialemedia-accounts kunnen openen zonder een vorm van geverifieerd leeftijdsbewijs. Dat klinkt simpel in een persbericht, maar het vereist een echt handhavingsmechanisme. Zelf opgegeven geboortedata, de huidige standaard op de meeste platforms, hebben minderjarige gebruikers nog nooit op betrouwbare wijze buiten de deur gehouden. Het plan van Von der Leyen koppelt de startleeftijd aan bindende verplichtingen voor platforms zelf: strengere verantwoording voor hoe algoritmes worden ontworpen, beperkingen op manipulatieve interface-trucs en nieuwe 'safety by design'-vereisten die voortbouwen op het bestaande Digital Services Act-kader. In de praktijk betekent dit dat platforms die in de EU actief zijn zullen moeten aantonen dat ze leeftijden actief controleren, en niet alleen ernaar vragen.

Hoe de app voor leeftijdsverificatie kan werken en welke gegevens hij verzamelt

Het belangrijkste handhavingsinstrument is naar verwachting een door de EU gesteunde app voor leeftijdsverificatie, een tool die gebruikers kunnen downloaden om aan te tonen dat ze aan een leeftijdsdrempel voldoen, zonder per se hun geboortedatum op elke website die ze bezoeken in te hoeven typen. Het algemene concept, althans zoals het publiekelijk is omschreven, bestaat erin iemand een ja-of-nee-antwoord te laten bevestigen, zoals 'is deze gebruiker ouder dan 16 of 18', in plaats van een paspoortscan of officieel identiteitsbewijs rechtstreeks aan een socialemediabedrijf te overhandigen. Die voorstelling klinkt privacyvriendelijk op papier, en EU-functionarissen hebben die boodschap sterk benadrukt.

Maar een app die voor iemands leeftijd kan instaan op veel verschillende platforms, moet in eerste instantie gebouwd zijn op een of andere vorm van geverifieerde identiteit of referentie, of het nu gaat om een nationale digitale identiteit, een bankrecord of een biometrische controle die eenmalig wordt uitgevoerd en herhaaldelijk kan worden hergebruikt. Zodra die infrastructuur bestaat, wordt de vraag wie haar beheert, wie er bewijs uit kan opvragen en wat er elke keer gelogd wordt als er een controle plaatsvindt. Dat zijn precies de vragen die rijzen bij onafhankelijke analyses van soortgelijke systemen: zoals de adviseur van EDRi heeft betoogd, houden beweringen dat leeftijdsverificatie privacyneutraal kan zijn vaak geen stand als je kijkt naar hoe de systemen in de praktijk worden ingevoerd en wie er toegang heeft tot de onderliggende gegevens.

Privacyrisico's: surveillance-uitbreiding en het debat over leeftijdsverificatie

De centrale spanning is er een die in vrijwel elk debat over leeftijdsverificatie wereldwijd opduikt: een systeem dat is ontworpen om een beperkte vraag te beantwoorden – is deze gebruiker oud genoeg? – kan stilletjes uitgroeien tot een bredere identiteits- en trackinglaag. Als een app wordt gebruikt om leeftijd te bevestigen op sociale media, is er technisch gezien weinig reden waarom die later niet ook voor andere diensten opgevraagd zou kunnen worden, waardoor een patroon van gelogde verificatiegebeurtenissen gekoppeld aan één enkele referentie ontstaat. Zelfs met sterke cryptografische waarborgen verandert het bestaan van een verplicht verificatiecontrolepunt de verhouding tussen gebruikers en platforms, en tussen gebruikers en de staat.

Dit gebeurt ook niet in een vacuüm. De EU heeft al laten zien bereid te zijn verstrekkende, surveillance-achtige instrumenten na te streven in naam van de bescherming van minderjarigen. De recente poging om Chat Control 1.0 nieuw leven in te blazen via een verrassende stemming in juli volgt een vergelijkbaar stramien: een rechtvaardiging op basis van kinderveiligheid die gekoppeld is aan een mechanisme met veel bredere monitoringsimplicaties. Privacyvoorvechters vragen zich terecht af of de startleeftijd voor sociale media en de bijbehorende verificatie-app nauw afgebakend zullen blijven, of dat ze een nieuwe uitbreiding vormen van de EU-honger naar identiteitsgebonden toezicht op alledaagse online activiteiten.

Wat dit voor jou betekent

Als je een ouder in de EU bent, zou het voorstel de blootstelling van je kind aan verslavend ontwerp en ongepaste inhoud daadwerkelijk kunnen verminderen – aangenomen dat platforms de regels zinvol naleven in plaats van met een vinkjescultuur te werken. Als je een tiener of jongvolwassene bent, hou dan rekening met belemmeringen: meer identiteitscontroles, meer stappen om je account te verifiëren en minder anonieme toegang tot mainstream platforms. Als je simpelweg een privacybewuste gebruiker bent van welke leeftijd ook, is de uitrol van een aan de overheid gelinkte app voor leeftijdsverificatie het nauwgezet volgen waard, omdat de referenties en infrastructuur die voor kinderveiligheid gebouwd worden zelden tot dat ene doel beperkt blijven zodra ze er eenmaal zijn.

Belangrijkste punten

  • Het EU-plan voor een socialemedia-startleeftijd koppelt een minimumleeftijd aan nieuwe verantwoordingsregels voor platforms onder de Digital Services Act.
  • Een EU-app voor leeftijdsverificatie staat centraal in de handhaving, maar de privacywaarborgen hangen volledig af van uitvoeringsdetails die nog niet definitief zijn vastgesteld.
  • Onafhankelijke privacyonderzoekers hebben al vraagtekens gezet bij beweringen dat leeftijdsverificatiesystemen volledig privacybehoudend kunnen zijn.
  • Dit voorstel past in een bredere EU-trend waarbij beleid voor kinderveiligheid aanzienlijke surveillance-implicaties met zich meebrengt. Daarom is het essentieel om te volgen hoe de regels voor gegevensverwerking van de app worden ontwikkeld voordat deze verplicht wordt.