En innebygd selvmotsigelse i systemet

Aldersverifisering har blitt et av de mest omstridte politiske virkemidlene på det moderne internett. Regjeringer over hele verden presser plattformer til å bekrefte brukernes alder før de får tilgang til bestemt innhold, og leverandørene har svart med en bølge av verktøy som markedsføres som «personvernbevarende». Ifølge en rådgiver i European Digital Rights (EDRi) kan det uttrykket være en selvmotsigelse.

Hovedargumentet, slik Medianama gjengir det, er enkelt: Ethvert system som skal verifisere en brukers alder, krever i bunn og grunn innsamling, behandling eller slutning av identitetsknyttede data. Uansett om dataene kommer fra et offentlig ID-dokument, en ansiktsskanning eller et atferdsestimat, skaper selve verifiseringen en registrering, og den registreringen undergraver den anonymiteten internett historisk sett har tilbudt. Eksperter som siteres i artikkelen, hevder at aldersverifisering, uansett hvordan den konstrueres, truer personvernet og digitale rettigheter samtidig som den gjør relativt lite for faktisk å beskytte barn.

Dette er ingen marginal posisjon. Den gjenspeiler bekymringer som forskere og sivile rettighetsgrupper har reist på tvers av flere jurisdiksjoner, og alle peker på den samme spenningen: Pålitelig aldersverifisering krever som regel identifiserende informasjon, og identifiserende informasjon er nettopp det personvernforkjempere har brukt flere tiår på å prøve å holde unna plattformer, annonsører og myndigheter.

Hvorfor «personvernbevarende» gjør mye av jobben

Leverandører som lanserer aldersverifiseringsverktøy, beskriver ofte produktene sine med begreper som «nullkunnskapsbevis» eller «behandling på enheten» for å antyde at sensitive data aldri forlater brukerens kontroll. I teorien kan slike metoder redusere mengden rå persondata som overføres eller lagres. I praksis antyder kritikken fra EDRi-rådgiveren at disse sikkerhetsmekanismene ikke fjerner det underliggende problemet.

Selv et system som bare gir et ja/nei-svar på om en person er over 18 år, måtte likevel hente den vurderingen fra et eller annet sted – vanligvis et dokument, en biometrisk skanning eller en datamegler fra en tredjepart. Den prosessen skaper nye angrepsflater, nye feilpunkter og nye muligheter for funksjonsutvidelse, der et verktøy laget for ett formål (å hindre mindreårige i å se vokseninnhold) blir gjenbrukt til et annet (å spore brukeridentitet på tvers av plattformer). Lesere som er nysgjerrige på de tekniske mekanismene bak slike systemer, kan finne en oversikt i denne guiden om hvordan aldersverifisering på nettet fungerer, som gjennomgår rekken av metoder som for tiden er i bruk, fra opplasting av dokumenter til KI-basert aldersestimering.

Det dypere problemet er at «begrenset beskyttelse» og «reell personvernrisiko» ikke utelukker hverandre. Et system kan mislykkes i å hindre motiverte mindreårige fra å få tilgang til begrenset innhold, samtidig som det eksponerer persondataene til millioner av voksne brukere som aldri var det opprinnelige målet.

Det globale politiske bakteppet

Denne debatten foregår ikke i et vakuum. Påbud om aldersverifisering har spredd seg raskt i USA, Storbritannia, EU og Australia, hver med ulike tekniske krav og ulike personvernsikringer – eller mangel på sådanne. Lesere kan sammenligne hvordan disse rammeverkene skiller seg, i denne oversikten over aldersverifiseringslover i hele verden, som viser hvor lite konsistente reglene er fra ett land til et annet.

At lovene er så fragmenterte, er en del av det som gjør EDRi-rådgiverens kritikk så relevant. Når etterlevelseskravene varierer fra rettskrets til rettskrets, bygger plattformene ofte den mest inngripende versjonen av et system for å tilfredsstille den strengeste regulatoren, og anvender det så overalt. En slik tilnærming har en tendens til å maksimere datainnsamlingen i stedet for å minimere den – det motsatte av hva «personvernbevarende» innebærer. Enkelte forslag, som Karnatakas plan om å knytte Aadhaar-identitetsdata til kontooppretting på sosiale medier, illustrerer hvordan aldersverifisering stille kan utvikle seg til en bredere infrastruktur for identitetsovervåking.

Samtidig dukker det stadig opp omgåelser som avslører avstanden mellom politisk intensjon og teknisk virkelighet. Apples tilnærming til foreldrekontroll på enheten har for eksempel vist seg å undergrave formelle aldersverifiseringslover i USA og Storbritannia, noe som tyder på at selv velfinansierte, godt konstruerte systemer sliter med å levere pålitelige resultater.

Hva dette betyr for deg

Hvis du bruker plattformer som har innført aldersverifisering, enten for sosiale medier, vokseninnhold eller appnedlastinger, lønner det seg å forstå hvilke data du blir bedt om å gi fra deg, og hvor de havner. Ikke alle verifiseringsmetoder innebærer samme risiko. Opplasting av dokumenter og ansiktsskanninger medfører som regel større eksponering enn estimeringsmetoder som skjer på enheten, men ingen er helt uten risiko.

Før du sender inn et ID-dokument eller en biometrisk skanning for å bekrefte alderen din, bør du sjekke om plattformen oppgir hvor lenge dataene oppbevares, om de deles med tredjeparter, og om det finnes en måte å slette dem i etterkant. Hvis disse svarene ikke er tydelige, er det et signal om å være forsiktig. En nærmere titt på personvernrisikoen knyttet til digitale alderskontroller kan bidra til å klargjøre hva du bør se etter før du svarer på en verifiseringsforespørsel.

Dette bør du vite for å holde deg informert

Aldersverifisering vil trolig forbli et fast innslag i reguleringen av internett, men det betyr ikke at brukerne er maktesløse. Følg med på hvilken verifiseringsmetode en plattform bruker, foretrekk tjenester som begrenser datalagring, og vær skeptisk til markedsføringsuttrykk som «personvernbevarende» inntil de underbygges av gjennomsiktig teknisk dokumentasjon. Spenningen EDRi-rådgiveren peker på – mellom å beskytte mindreårige og å beskytte personvernet til alle – vil ikke forsvinne med det første, og å forstå den er det første skrittet mot å ta informerte valg om hvilke data du er villig til å dele på nettet.