Europakommisjonen har gått videre med det foreslåtte EU Kids Act, et lovforslag som vil innføre obligatorisk aldersverifisering for sosiale medieplattformer, begrense såkalte avhengighetsskapende designfunksjoner og pålegge teknologiselskaper som opererer i unionen, nye sikkerhetsforpliktelser. Under forslagene vil alle under 15 år møte restriksjoner på å ha en konto i sosiale medier, noe som markerer et av de mest betydningsfulle forsøkene hittil fra et stort reguleringsorgans side på å endre hvordan unge får tilgang til nettplattformer.

Mens intensjonen bak EU Kids Act er å beskytte mindreårige mot skadelig innhold, avhengighetsskapende appdesign og uønsket kontakt, reiser håndhevingsmekanismen, aldersverifisering, sitt eget sett med personvernspørsmål. Å verifisere en brukers alder i stor skala innebærer vanligvis å samle inn en eller annen form for identifiserende informasjon, og det skaper nye vurderinger for hvordan plattformer håndterer, lagrer og potensielt deler disse dataene.

Hva EU Kids Act faktisk foreslår

Ifølge rapportering om forslaget vil EU Kids Act kreve at plattformer verifiserer alderen til brukerne sine før de gir tilgang til vanlige kontoer i sosiale medier. Brukere under 15 år vil møte restriksjoner, og lovgivningen retter seg også mot designfunksjoner som anses som avhengighetsskapende, som uendelig rulling, autospilling og engasjementsdrevne varslingssystemer. Plattformer vil også være underlagt nye sikkerhetskrav som tar sikte på å redusere eksponering for skadelig innhold og uønskede interaksjoner.

Dette er ikke første gang detaljer om planen har kommet frem. Tidligere lekkede dokumenter ga publikum en forhåndsvisning av Kommisjonens tenkning, og vår tidligere dekning av EU Kids Act-lekkasjen beskriver hvordan forslaget utviklet seg fra et internt utkast til et formelt lovgivningsinitiativ. Den lekkasjen indikerte at Kommisjonen allerede vurderte aldersgrenser og plattformforpliktelser lenge før det nåværende forslaget ble offentliggjort.

Personvernavveiningene ved obligatorisk aldersverifisering

Aldersverifisering høres enkelt ut i prinsippet: bekreft at en bruker er gammel nok til å bruke en plattform, og gi eller begrens tilgang deretter. I praksis krever det at plattformer samler inn en eller annen form for bevis, enten det er en statlig ID, biometriske data eller en tredjeparts verifiseringslegitimasjon. Hvert av disse alternativene har sine egne implikasjoner for datahåndtering.

Kjernespenningen er denne: jo mer rigorøs verifiseringsmetoden er, jo mer personlige data skifter hender, i det minste i teorien. Et system som sjekker ID-er direkte mot plattformservere, skaper en annen risikoprofil enn et som er avhengig av et uavhengig, personvernbevarende verifiseringslag som bare bekrefter et ja-eller-nei aldersresultat uten å dele det underliggende dokumentet. Hvordan EU Kids Act til slutt implementerer verifisering, og hvilke enheter som er betrodd å utføre den, vil avgjøre om loven meningsfullt beskytter mindreårige uten å utvide mengden sensitive data som plattformer eller tredjeparter besitter om både barn og deres foreldre.

Familier som veier disse avveiningene, bør følge nøye med på hvordan ethvert verifiseringssystem er bygget, ikke bare om det eksisterer. En lov som pålegger alderskontroller uten klare sikkerhetstiltak for dataminimering, kan ende opp med å bytte én risiko (utilsiktet tilgang) mot en annen (overdreven datainnsamling).

Kan VPN-er omgå de nye alderskontrollene, og bør de det?

Som med andre regionale restriksjoner, kan noen brukere se til VPN-er som en måte å omgå EU Kids Acts krav til aldersverifisering ved å få det til å se ut som om de får tilgang til plattformer fra en jurisdiksjon uten lignende regler. Teknisk sett kan en VPN maskere en brukers posisjon, noe som er en grunn til at det ofte diskuteres sammen med geobegrenset innhold eller regionslåste tjenester.

Imidlertid er bruk av en VPN for å omgå aldersverifisering designet for å beskytte mindreårige, en annen sak enn å bruke en for generelt personvern eller tilgangsformål. De fleste plattformer knytter aldersverifisering til kontonivåkontroller snarere enn rent IP-basert geolokalisering, noe som betyr at en VPN alene neppe vil være en pålitelig eller fullstendig omgåelse. Enda viktigere er at formålet med EU Kids Act er barnesikkerhet, og å omgå den intensjonen undergraver beskyttelsen loven prøver å etablere. Foreldre og foresatte er bedre tjent med å forstå de faktiske verifiseringskravene en plattform innfører, i stedet for å behandle en VPN som en smutthull.

Hvordan dette sammenlignes med andre lands lover om aldersverifisering

EU er ikke alene om å forfølge denne typen lovgivning. New Zealand har introdusert sitt eget lovforslag som vil forby alle under 16 år å ha en konto i sosiale medier, også støttet av strenge krav til aldersverifisering og straffer for plattformer. Vår dekning av New Zealands lovforslag om sosiale medier for under 16 år beskriver hvordan lignende bekymringer om håndheving, personvern og verifiseringsmetoder allerede har dukket opp der. Å sammenligne de to innsatsene viser et bredere globalt mønster: regulatorer konvergerer mot aldersverifisering som det primære verktøyet for å begrense mindreåriges tilgang, selv om spørsmål om implementering og databeskyttelse fortsatt stort sett er uavklarte i hver jurisdiksjon.

Hva dette betyr for deg

Hvis du er forelder, foresatt eller ung bruker i EU, er EU Kids Act-forslaget om aldersverifisering fortsatt i lovgivningsprosessen, noe som betyr at detaljene kan endre seg før noe trer i kraft. Det er verdt å følge med på hvordan verifiseringsmetoden defineres, siden den detaljen vil avgjøre hvor mye personlig informasjon plattformer faktisk samler inn. Foreløpig bør familier holde seg informert om hvilke plattformer som er berørt og hvordan ethvert verifiseringssystem håndterer data, i stedet for å anta at en enkelt teknisk omgåelse som en VPN vil løse samsvarsbekymringer.

Viktige punkter

  • EU Kids Act foreslår obligatorisk aldersverifisering og restriksjoner på avhengighetsskapende designfunksjoner for sosiale medieplattformer, med spesifikke begrensninger rettet mot kontoer for personer under 15.
  • Verifiseringsmetoden betyr mer enn kravet i seg selv. Personvernbevarende tilnærminger begrenser dataeksponering, mens ID-baserte systemer kan øke den.
  • VPN-er er ikke en pålitelig eller tilrådelig måte å omgå aldersverifisering knyttet til barnesikkerhetstiltak.
  • Lignende lover dukker opp globalt, inkludert i New Zealand, noe som tyder på at aldersverifisering vil bli et mer vanlig trekk ved nettplattformer snarere enn en isolert EU-policy.
  • Lesere bør følge med på hvordan EU Kids Act utvikler seg, spesielt de tekniske detaljene i verifiseringssystemet, før de trekker konklusjoner om personvernpåvirkningen.