En tverrpolitisk gruppe senatorer har lagt frem lovgivning som fundamentalt vil endre hvordan aldersverifisering fungerer på nett i USA. Senatorene Andy Kim (D-NJ), Adam Schiff (D-CA), Cynthia Lummis (R-WY) og John Barrasso (R-WY) presenterte Digital Age Assurance Act, et lovforslag som krever at operativsystemleverandører – tenk Apple og Google – samler inn brukernes alder og deler denne informasjonen med enkeltapper på forespørsel.
Det uttalte målet er enkelt: å beskytte barn mot skadelig innhold og rovdesignfunksjoner innebygd i mange apper og plattformer. Men mekanismen lovforslaget baserer seg på – å la enhetsprodusentene fungere som sentraliserte aldersverifikatører for hele appøkosystemet – reiser den typen personvernspørsmål som har forfulgt lignende initiativ i andre land.
Hva Digital Age Assurance Act gjør
Under forslaget vil operativsystemer for smarttelefoner og nettbrett være ansvarlige for å fastslå en brukers alderskategori og sende dette signalet videre til apper ved forespørsel. I stedet for at hver enkelt app bygger sitt eget aldersverifiseringssystem (ofte gjennom invasive metoder som ID-opplasting eller ansiktsskanning), skyves byrden oppstrøms til de få selskapene som kontrollerer mobile operativsystemer.
Lovforslagets sponsorer har understreket personverntiltak som en del av pakken, inkludert bestemmelser som forhindrer at barns data selges eller overføres til tredjeparter, samt begrensninger på målrettet reklame mot mindreårige. Den innrammingen betyr noe: lovgivningen fremmes ikke bare som et barnesikkerhetstiltak, men som et personvernvennlig alternativ til det lappeteppet av app-for-app-verifiseringsordninger som brukes i dag. Senator Kims tidligere utkast til lovtekst, som flytter alderskontroller til appbutikker, la grunnlaget for denne tilnærmingen ved å flytte verifikasjonsansvaret bort fra enkeltapper og mot plattformnivået.
Personvernavveiningen: Å sentralisere aldersdata på OS-nivå
Her er spenningen det er verdt å dvele ved. I dag, hvis én apps aldersverifiseringssystem blir kompromittert eller misbrukt, er skaden stort sett begrenset til den appen. Under en modell der Apple eller Google verifiserer alder for hver app på en enhet, blir det enkeltpunktet et langt mer attraktivt mål og et langt mer betydningsfullt feilpunkt.
Selv med et sterkt lovspråk som forbyr datasalg, betyr sentralisering av aldersverifisering på OS-nivå at operativsystemleverandørene vil trenge mekanismer for å fastslå alder i utgangspunktet, enten det er gjennom kontohistorikk, betalingsinformasjon, offentlig ID eller biometrisk estimering. Hver av disse metodene har sitt eget personvernavtrykk, og lovforslagets suksess vil i stor grad avhenge av hvor snevert «alderssignaldeling» defineres og håndheves i praksis, ikke bare i teksten til en pressemelding.
Det er også spørsmålet om funksjonsutvidelse. Systemer bygget for å verifisere alder for barnesikkerhetsformål har historisk utvidet seg langt utover sitt opprinnelige mandat når infrastrukturen først er på plass. Et rammeverk som kan fortelle en app at «denne brukeren er under 18», er teknisk i stand til å fortelle den appen langt mer, avhengig av hvilke sikkerhetstiltak som faktisk skrives inn i implementeringsforskriftene snarere enn i lovforslagets sammendrag.
Lærdommer fra Storbritannias og EUs eksperimenter med aldersverifisering
USA er ikke de første som prøver dette. Storbritannias Online Safety Act og EUs Digital Services Act har begge presset plattformer mot aldersgrenser og aldersverifiseringskrav, og begge har støtt på friksjon. Aldersverifiseringsverktøy i disse jurisdiksjonene har blitt kritisert for å dytte brukere mot tredjeparts ID-sjekketjenester med egne datahåndteringspraksiser, for å produsere falske positiver som stenger ute legitime voksne brukere, og for å skape nye angrepsflater som ikke ble grundig gransket før lansering.
Disse erfaringene dømmer ikke nødvendigvis Digital Age Assurance Act til å mislykkes, men de er et nyttig referansepunkt. En føderal tilnærming på OS-nivå kan unngå noe av fragmenteringen man har sett i Europa, siden den sentraliserer funksjonen i et lite antall selskaper snarere enn tusenvis av enkeltsider. Hvorvidt den sentraliseringen reduserer den samlede personvernrisikoen eller bare konsentrerer den i færre, mer verdifulle mål, er det åpne spørsmålet Kongressen må svare på mens lovforslaget går gjennom komiteen.
Hva dette betyr for deg
Hvis du bruker en smarttelefon, et nettbrett eller en app som for øyeblikket ber deg om å oppgi fødselsdatoen din selv, kan dette lovforslaget etter hvert endre hvordan den prosessen fungerer. Foreldre kan se mer konsekvent håndhevelse av foreldrekontroll på tvers av apper, i stedet for å være avhengige av hver plattforms egne innstillinger. Tenåringer og unge voksne kan oppleve alderskontroller tidligere i registreringsprosessen, selv for apper som tidligere ikke krevde noen verifisering i det hele tatt.
For personvernbevisste brukere er den praktiske lærdommen å følge med på hvordan «aldersgaranti» implementeres hvis dette lovforslaget går videre, ikke bare om det blir vedtatt. Forskjellen mellom et personvernrespekterende alderssignal og en datainnsamlingskanal kommer ofte ned til tekniske implementeringsdetaljer som utarbeides lenge etter at et lovforslag er lagt frem.
Hovedpunkter
Digital Age Assurance Act er fortsatt tidlig i lovgivningsprosessen, men den signaliserer hvor føderal barnesikkerhetspolitikk er på vei: mot verifisering på enhetsnivå snarere enn app-for-app-etterlevelse. Lesere som ønsker å ligge i forkant, bør ha et par ting i bakhodet. Gå gjennom personverninnstillingene og foreldrekontrollene som allerede er tilgjengelige på enhetene dine, siden disse verktøyene kan bli mer sentrale for etterlevelse under dette rammeverket. Følg med på hvordan implementeringsregler definerer hva «alderssignaldeling» faktisk inkluderer, siden den detaljen vil avgjøre hvor mye data som faktisk flyttes mellom enheten din og appene du bruker. Og hold deg engasjert mens lovforslaget går gjennom komiteen, siden offentlige høringsperioder og kongreshøringer typisk er der de tekniske sikkerhetstiltakene – eller mangelen på dem – blir avgjort.
