Hva Lankfords brev påstår og hvorfor det betyr noe
Senator James Lankford (R-Okla.) har sendt et skarpt brev der han anklager Pornhub for å «utnytte barn» og forsvarer delstatlige aldersverifiseringslover som krever at voksennettsider bekrefter en besøkendes alder før de gis tilgang. Ifølge Fox News hevder Lankfords brev at Pornhubs motstand mot disse lovene ikke skyldes personvernhensyn, slik selskapet offentlig har sagt, men frykt for å miste mindreårige som kunder.
Brevet kommer midt i en bredere bølge av delstatlige aldersverifiseringskrav som har feid over landet de siste to årene, og som krever at nettsteder med vokseninnhold bekrefter at brukere er 18 år eller eldre, vanligvis gjennom opplasting av offentlig legitimasjon, tredjeparts verifiseringstjenester eller ansiktsaldersestimering. Pornhub har svart på flere av disse lovene ved å blokkere tilgangen fullstendig i delstater der kravene trer i kraft, og argumenterer med at lovene skyver trafikk til mindre lovlydige nettsteder i stedet for faktisk å beskytte mindreårige.
Lankfords brev fremstiller dette svaret som bevis på ond tro snarere enn en legitim innvending. Men den underliggende debatten er mer komplisert enn en kamp mellom én senator og én plattform for vokseninnhold. Den berører et spørsmål som personvernforkjempere, sikkerhetsforskere og lovgivere har brynt seg på i årevis: Hvordan bekrefter man noens alder på nettet uten å skape en ny honningfelle av sensitive personopplysninger?
Hvordan aldersverifiseringslover faktisk fungerer under panseret
De fleste delstatlige aldersverifiseringsvedtekter spesifiserer ikke nøyaktig hvordan et nettsted må bekrefte en brukers alder; de krever bare at en eller annen form for verifisering skjer før tilgang gis. I praksis etterlater det selskaper med et valg mellom en håndfull ufullkomne metoder.
Den vanligste tilnærmingen innebærer å laste opp en offentlig utstedt legitimasjon, for eksempel et førerkort, som deretter sjekkes mot ansiktsgjenkjenning eller matches mot offentlige registre via en tredjeparts verifiseringsleverandør. Noen plattformer bruker aldersestimeringsprogramvare som analyserer en live-selfie eller video for å anslå en brukers aldersgruppe uten å samle inn fullstendig legitimasjon. Andre støtter seg på kredittkortsjekker eller kontotilknyttet verifisering knyttet til mobiloperatør eller bank.
Hver av disse metodene skaper et dataspor. Selv når selskaper lover å ikke lagre selve ID-bildet, kan selve verifiseringshendelsen, tidsstempelet og ofte metadata om nettstedet som besøkes fortsatt logges et sted i prosessen, enten av nettstedet, tredjepartsleverandøren eller begge. Som SFLC.in-rundebordet om alderssjekker har påpekt, varierer den tekniske implementeringen av disse systemene sterkt, og det er nettopp i denne inkonsekvensen at personvernrisikoen har en tendens til å snike seg inn.
Personvernavveiningen: Beskytte mindreårige vs. eksponere voksne brukerdata
Det er her Lankfords brev, uansett berettigelsen av de spesifikke anklagene mot Pornhub, hopper over en reell og separat bekymring. Å forsvare aldersverifiseringslover som et spørsmål om barnevern besvarer ikke spørsmålet om hva som skjer med dataene til de voksne som bruker disse nettstedene lovlig.
I motsetning til en netthandel som sjekker alderen din for å selge deg alkohol, knytter aldersverifisering av vokseninnhold en persons reelle identitet til en spesifikk, sensitiv kategori av nettleseratferd. Hvis en verifiseringsleverandør blir hacket, mishandler dataene eller rett og slett lagrer dem lenger enn den burde, er eksponeringen ikke en lekket e-postadresse; det er en lekket oversikt over noens private seervaner knyttet til deres juridiske navn og muligens bilde eller ID-nummer. Det er en fundamentalt annen risikoprofil enn de fleste andre aldersporter på nettet, og det er en stor del av grunnen til at nettsteder som Pornhub har oppgitt personvern – ikke bare forretningsinteresser – som en årsak til å motsette seg disse påbudene.
Lovgivere er klar over denne spenningen. Kongressen har brukt måneder på å jobbe gjennom relatert lovgivning, inkludert Kids Online Safety Act, som nylig ble godkjent av en senatskomité mens en ledsagende aldersverifiseringslov, SCREEN Act, stoppet opp på grunn av quorumproblemer. Separat reflekterer senator Andy Kims forslag om å flytte alderssjekker til appbutikker et forsøk på å flytte verifiseringen bort fra individuelle voksennettsider og til én enkelt pålitelig mellommann, en tilnærming ment å redusere antall steder der sensitiv identitetsdata samles inn.
Hva VPN-er og personvernverktøy kan (og ikke kan) gjøre
Mange voksne brukere som møter aldersverifiseringsvegger, har tatt i bruk VPN-er for å omgå delstatsspesifikke blokkeringer ved å se ut til å surfe fra et annet sted. En VPN kan maskere IP-adressen din og generelle plassering, noe som ofte er nok til å omgå et geofenset verifiseringskrav.
Det en VPN ikke kan gjøre, er å beskytte deg når du allerede har sendt inn en ID eller biometrisk skanning til en verifiseringsleverandør. Kryptering på forbindelsen endrer ikke hva som skjer med dataene dine etter at de når selskapet som samlet dem inn. VPN-er er et verktøy for å anonymisere nettverkstrafikken din, ikke et skjold mot et tredjeparts datainnbrudd eller en leverandørs praksis for datalagring.
Hva dette betyr for deg
Hvis du er en voksen bruker som påvirkes av disse lovene, er den praktiske virkeligheten at personvernrisikoen ved aldersverifisering eksisterer uavhengig av hvem som vinner den politiske krangelen mellom lovgivere og plattformer for vokseninnhold. Før du sender inn legitimasjon til en verifiseringstjeneste, se etter tydelig språk om datalagring, om legitimasjonen lagres eller umiddelbart slettes etter verifisering, og om leverandøren har en historikk med datainnbrudd. Hvis et nettsted eller en delstat krever et spesifikt verifiseringsverktøy, sjekk om den leverandøren opererer på tvers av flere plattformer, siden et enkelt innbrudd der kan eksponere data knyttet til flere nettsteder samtidig.
Viktige punkter
Lankfords brev setter det politiske søkelyset tilbake på aldersverifisering, men det løser ikke det dypere problemet at disse systemene, uansett hvor velmente de er, fortsatt krever innsamling og lagring av sensitive personopplysninger fra millioner av voksne brukere. Lesere bør behandle enhver aldersverifiseringsforespørsel med samme grad av kritisk blikk som de ville brukt på en finansiell konto, for når det gjelder potensielle konsekvenser av et innbrudd, kan nettleserhistorikk knyttet til en reell identitet få mer varige følger enn et lekket kredittkortnummer. Å holde seg informert om hvordan forslag som KOSA og Digital Age Assurance Act utvikler seg, er en av de få måtene brukere kan følge med på om fremtidige alderskontrollsystemer vil minimere denne eksponeringen eller rett og slett utvide den.
