En ny rapport fra Cato Institute gir nytt tyngde til en debatt som i mange land beveger seg fra teori til lov. I «Online Age Verification Has Guaranteed Costs and Uncertain Benefits» identifiserer forfatterne seks sentrale kostnader eller skadevirkninger som beslutningstakere bør regne med når de veier regler for unges nettsikkerhet. For lesere av et personvernnettsted skiller personvernrisikoene ved aldersverifisering seg ut, fordi de berører dataene du overlater, sjansen for at data lekker, og presset på verktøy som VPN.

En merknad om omfang: blogginnlegget som kunngjør rapporten, oppsummerer den bare og lister ikke opp alle seks kostnadene. Denne artikkelen fokuserer på de som er mest relevante for personvern, og trekker på annen rapportering fra vpn.social for kontekst.

Hva aldersverifisering ber deg overlate

Kjerneargumentet i rapportens tittel er en asymmetri. Kostnadene ved aldersverifisering beskrives som garanterte, mens fordelene beskrives som usikre. Alle som bruker en tjeneste som omfattes, betaler kostnaden, uansett om politikken ender med å beskytte et eneste barn.

I praksis starter kostnaden med data. Å bevise alderen din på nettet betyr vanligvis å gi en tjeneste, eller en tredjeparts verifiserer som jobber for den, noe mer sensitivt enn et fødselsår. Det kan bety et ID-dokument eller en biometrisk skanning. I årevis var alderskontroller på steder som Irland lite mer enn et skjemafelt, slik vi dekket i vår gjennomgang av Irelands Online Safety Code-alderskontroller og personvernavveiningen. Å erstatte det med reell verifisering er poenget med de nye reglene, men det endrer også hva en vanlig innlogging innebærer.

Hvor personvernrisikoene ved aldersverifisering kommer fra

Risikoen er ikke bare at et selskap samler inn ID-en din. Det er at det nå finnes en ny samling sensitive registre, og registre kan lekkes, misbrukes eller oppbevares lenger enn noen hadde tenkt. Jo flere tjenester som krever kontroller, jo flere steder kan en kopi av identitetsdataene dine ligge.

Tre ting gjør dette verdt å ta på alvor:

  • Sensitivitet: ID-dokumenter og biometriske data er vanskelige å endre hvis de eksponeres. Du kan ikke tilbakestille et ansikt slik du tilbakestiller et passord.
  • Skala: Et påbud gjelder alle, så gruppen av berørte personer er langt større enn gruppen politikken har som mål å beskytte.
  • Kobling: Verifisering knytter en reell identitet til aktivitet som tidligere kan ha vært anonym eller pseudonym.

Biometri fortjener spesiell oppmerksomhet. Vår dekning av borgerrettighetsgrupper som presser Nottinghamshire Police til å stanse ansiktsgjenkjenning viser hvor bekymret påvirkningsgrupper er for ansiktsbaserte systemer mer generelt, selv utenfor alderskontrollkonteksten.

Hvorfor VPN blir en del av politikkampen

Når en regel er vanskelig å leve med, ser folk etter omveier, og VPN er den åpenbare. Det setter dem i sentrum av håndhevelsesdebattene.

Storbritannia gir et tidlig eksempel. Regjeringens forskning fant at en betydelig andel av barn bruker VPN for å smyge seg forbi kontroller under Online Safety Act, noe vi detaljerte i rapporten vår om at 1 av 4 barn bruker VPN for å unngå alderskontroller. Det funnet treffer direkte rapportens poeng om usikre fordeler: hvis et påbud kan omgås på denne måten, er beskyttelsen det gir, mindre sikker enn den ser ut.

Regulatorer legger også merke til det. Dokumenter innhentet under offentlighetslover viste at Australias eSafety Commissioner forventer at tilbydere aktivt blokkerer VPN og andre omveier, slik vi rapporterte i eSafety-FOI-dokumentene. For personvernbevisste brukere er dette bekymringen: et verktøy mange bruker til vanlig sikkerhet, kan komme under press på grunn av en politikk rettet mot et annet problem.

Hva dette betyr for deg: Å veie avveiningene for dine egne data

Du kontrollerer ikke om en lov vedtas, men du kontrollerer hvor mye du deler når en kontroll dukker opp. Noen få praktiske vaner hjelper:

  • Spør hva som samles inn og oppbevares. Før du laster opp en ID eller en ansiktsskanning, se etter en klar erklæring om hvorvidt dataene lagres, hvem som behandler dem, og hvor lenge de oppbevares.
  • Foretrekk det minst inngripende alternativet som tilbys. Hvis en tjeneste gir flere måter å bekrefte alder på, velg den som avslører minst.
  • Behandle verifiseringsdata som høyverdi. Bruk unike passord og sterk kontosikkerhet på enhver tjeneste som har identitetsopplysningene dine, og følg med på varsler om datainnbrudd.
  • Vær forsiktig med omveier. Et VPN kan beskytte tilkoblingen din, men det er ikke en garantert vei rundt alderskontroller, og noen regulatorer retter seg eksplisitt mot slike omveier. Sjekk en tjenestes vilkår før du stoler på en.
  • Følg med på hvordan plattformene dine implementerer kontroller. Spill- og underholdningstjenester ruller ut egne prosesser, som den i Blizzards Battle.net-veiledning for aldersverifisering i Storbritannia.

Konklusjonen

Cato-rapporten hevder ikke at det er uviktig å beskytte unge på nettet. Påstanden er at beslutningstakere bør regne de garanterte kostnadene ærlig med, inkludert personvernrisikoene ved aldersverifisering som rammer hver bruker, før de antar at fordelene rettferdiggjør dem. Uansett hvilken side du tar, er avveiningene reelle og verdt å forstå før du overlater en ID eller en ansiktsskanning.

For å se hvordan disse avveiningene spiller seg ut i reelle ordninger, les vår artikkel om Irelands personvernavveining ved alderskontroller og vår rapport om britiske barn som bruker VPN for å unngå alderskontroller.