WhatsApps nieuwe test voor zelfverklaring van leeftijd

WhatsApp is begonnen met het testen van een functie voor zelfverklaring van leeftijd voor geselecteerde gebruikers met Indiase telefoonnummers, waarbij sommige accounts wordt gevraagd een geboortedatum in te voeren. De uitrol is voorlopig optioneel en beperkt tot een deel van de gebruikers, maar het geeft aan dat Meta het compliancekader van WhatsApp voorbereidt voordat de regels van de Indiase Digital Personal Data Protection (DPDP)-wet van kracht worden.

De functie zelf is eenvoudig: gebruikers wordt gevraagd hun geboortedatum in de app te bevestigen. Op het eerste gezicht is er niets ingrijpends aan – geen documentupload, geen biometrische controle, alleen een zelf gerapporteerd getal. Maar de timing en context zijn van belang. De Indiase DPDP-wet beschouwt iedereen onder de 18 als juridisch "kind", een strengere drempel dan de 13-tot-16-jaar range van de Europese Unie of de onder-13-standaard die in de Verenigde Staten onder COPPA wordt gebruikt. Dat onderscheid verandert hoeveel van de compliancelast op platforms als WhatsApp terechtkomt zodra de regels formeel worden gehandhaafd.

Wat de Indiase DPDP-wet werkelijk vereist

Hier is het deel dat vaak verloren gaat in koppen: niets in de DPDP-wet of de bijbehorende regels dwingt WhatsApp, of welke andere data fiduciary dan ook, expliciet om de leeftijd van een gebruiker te verifiëren via harde identiteitscontroles. Wat de wet wel vereist, is dat platforms die persoonsgegevens van een kind verwerken, verifieerbare toestemming van een ouder of voogd verkrijgen voordat die verwerking plaatsvindt. Voor een bedrijf ter grootte van WhatsApp betekent dat het bouwen van een systeem dat op zijn minst kan bevestigen dat de volwassene die beweert ouder of voogd te zijn ook daadwerkelijk volwassen is, en die toestemming redelijkerwijs kan koppelen aan het account van het juiste kind.

Zelfverklaring van leeftijd is de eerste, lichtst mogelijke stap naar dat systeem. Het stelt WhatsApp in staat gebruikers in leeftijdsgroepen in te delen zonder direct de meer ingrijpende verificatiemethoden (ID-uploads, gezichtsleeftijdsschatting of externe verificatiediensten) toe te passen waar andere rechtsgebieden op hebben vertrouwd. Of zelfverklaarde geboortedata op lange termijn volstaan voor toezichthouders, is een open vraag, aangezien een zelf gerapporteerde geboortedatum uiterst eenvoudig te vervalsen is. Verwacht dat deze testfase zal evolueren naarmate de Indiase regels worden vastgesteld en handhavingsrichtlijnen worden gepubliceerd.

Waarom leeftijdsverificatie privacyvragen oproept

Elk systeem voor leeftijdscontrole creëert een spanning waar toezichthouders en platforms wereldwijd mee worstelen: om kindergegevens te beschermen, moet je vaak méér gegevens verzamelen, niet minder. Verifiëren dat iemand volwassen is, of een legitieme ouder-kindrelatie bevestigen, kan extra persoonlijke informatie, extra datastromen en extra bewaartermijnen vereisen. Voor een berichtenplatform dat deels is gebouwd op end-to-end encryptie als vertrouwenssignaal, roept het toevoegen van leeftijdsverificatie legitieme vragen op over welke gegevens worden verzameld, waar ze worden opgeslagen en hoe lang ze blijven hangen.

Dit is niet uniek voor India. Overheden wereldwijd oefenen steeds meer controle uit over berichtenplatforms, hoewel de methoden sterk variëren. In Rusland bijvoorbeeld werd Telegram tot aan de rand van een bijna totale black-out gebracht te midden van een bredere aanpak van VPN's en versleutelde communicatiemiddelen, een veel bottere vorm van staatsdruk dan compliancegedreven functietesten. Wanneer platforms regelrecht worden beperkt, grijpen gebruikers vaak naar omwegen; een VPN voor China is een bekend voorbeeld van hoe mensen door de overheid opgelegde toegangsbeperkingen omzeilen wanneer directe regulering escaleert tot regelrechte blokkering. De aanpak van India lijkt, althans tot nu toe, meer op gekalibreerde compliance dan op botte restrictie, maar de onderliggende trend, dat overheden strenger kijken naar hoe berichtenapps omgaan met gebruikersdata en leeftijd, is dezelfde.

Wat dit voor jou betekent

Als je WhatsApp gebruikt met een Indiaas telefoonnummer, kun je binnenkort een melding zien om je geboortedatum te bevestigen. Het is momenteel optioneel en onderdeel van een beperkte test, dus raak niet in paniek als je het nog niet hebt gezien, en ga er niet van uit dat het verplicht is als je het wel hebt gezien. Het grotere plaatje is dat WhatsApp de basis legt voor DPDP-compliance ruim voordat handhavingsdeadlines dwingend worden, wat over het algemeen een goed teken is: het suggereert dat het bedrijf een werkbaar systeem probeert te bouwen in plaats van op het laatste moment te haasten.

Voor ouders is dit goed om in de gaten te houden. Zodra de vereisten voor verifieerbare ouderlijke toestemming volledig van kracht zijn, kan je worden gevraagd om je relatie tot het account van een minderjarige te bevestigen, en het is verstandig te weten welke gegevens dat proces vereist voordat het verplicht wordt.

Belangrijkste punten

  • De prompt voor zelfverklaring van leeftijd van WhatsApp is momenteel optioneel en beperkt tot geselecteerde Indiase accounts; het is nog geen verplichte DPDP-vereiste.
  • De DPDP-wet zelf verplicht niet tot strikte leeftijdsverificatie, maar vereist wel verifieerbare ouderlijke toestemming voor iedereen onder de 18 – een strengere drempel dan de meeste andere landen hanteren.
  • Zelfverklaarde geboortedata zijn gemakkelijk te vervalsen, dus verwacht dat de aanpak van WhatsApp zal evolueren naarmate India de handhavingsregels vaststelt.
  • Houd officiële communicatie van WhatsApp en Indiase toezichthouders in de gaten in plaats van uitsluitend te vertrouwen op in-app meldingen om te begrijpen wat verplicht is en wat experimenteel.
  • Ben je ouder in India, begin dan nu na te denken over hoe je omgaat met toestemmingsverzoeken gekoppeld aan het account van een minderjarige, omdat dergelijke systemen doorgaans uitbreiden zodra compliancedeadlines naderen.