Ofcom, Storbritannias kommunikasjonsregulator, har åpnet en formell etterforskning av TikTok på grunn av bekymring for at plattformens aldersvurderingssystem kanskje ikke oppfyller kravene i Online Safety Act (OSA). I sentrum av undersøkelsen står TikToks biometriske aldersverifiseringsteknologi, og da spesielt om plattformens metoder for å anslå en brukers alder basert på ansiktsskanning og andre signaler er effektive nok til å holde barn unna innhold og funksjoner som kun er ment for voksne.
Etterforskningen er fortsatt i en tidlig fase, men den er en av de første gangene en britisk regulator direkte har stilt spørsmål ved påliteligheten til biometrisk aldersestimeringsprogramvare hos en stor plattform. For lesere som følger regulering av nettsikkerhet, bygger dette videre på Ofcoms tidligere gransking av TikToks etterlevelsespraksis, omtalt i vår dekning av Ofcom TikToks aldersverifiseringsundersøkelse, som først satte søkelys på hvordan plattformen håndterer mindreåriges kontoer i Storbritannia.
Hva Ofcoms etterforskning av TikTok omfatter
Ofcoms undersøkelse er snevert rettet mot om TikTok har implementert «effektive» biometriske alderssikringsverktøy, et krav i OSA for plattformer som tilbyr innhold som kan være skadelig for mindreårige. Regulatoren undersøker om TikToks britiske virksomhet oppfyller sine juridiske forpliktelser, eller om det eksisterende aldersvurderingssystemet slipper gjennom mindreårige eller feilklassifiserer voksne.
Dette er ikke bare et spørsmål om TikTok har et system for alderskontroll. Det har de. Spørsmålet er om systemet faktisk fungerer som tiltenkt, og om TikTok kan dokumentere det. Ofcom har myndighet til å kreve interne data, testdokumentasjon og teknisk dokumentasjon fra TikTok for å vurdere dette, og etterforskningen kan munne ut i håndhevingstiltak dersom regulatoren finner mangler.
Hvordan aldersvurderingssystemer samler inn og behandler biometriske data
Aldersvurderingsverktøy som det som nå granskes, fungerer typisk ved å analysere en selfie eller en kort videosekvens og anslå en brukers alder basert på ansiktstrekk, ved hjelp av en maskinlæringsmodell trent på store datasett med ansikter og kjent alder. Systemet gir vanligvis en sannsynlighetsscore i stedet for en eksakt alder, og plattformer bruker denne poengsummen til å flagge kontoer som kan tilhøre mindreårige, for videre gjennomgang eller restriksjoner.
Denne prosessen innebærer behandling av biometriske data, en av de mest sensitive kategoriene av personopplysninger etter britisk og europeisk personvernlovgivning. Selv om en plattform oppgir at bilder slettes umiddelbart etter at estimatet er generert, krever den underliggende skanningen likevel at et direkte ansiktsbilde fanges opp og kjøres gjennom proprietær programvare. Brukere har generelt begrenset innsyn i hvor lenge disse dataene oppbevares, hvordan modellen ble trent, eller hvor nøyaktig den faktisk er på tvers av ulike aldre, hudtoner og lysforhold.
Personvernavveiningene ved aldersverifisering under Online Safety Act
OSA ble utformet for å beskytte barn på nett, og få vil argumentere mot dette målet. Men lovens gjennomføring presser plattformer mot biometriske verifiseringsmetoder som har sine egne personvernkostnader. Ansiktsskanning, opplasting av ID og andre sikringsmetoder betyr at både mindreårige og voksne kan måtte oppgi sensitive personopplysninger bare for å få tilgang til en sosial medie-app.
Dette skaper en reell avveining. Effektiv alderssikring kan redusere barns eksponering for upassende innhold, men den utvider også mengden biometriske data og identitetsdata som plattformer, og potensielt tredjepartsleverandører av verifiseringstjenester, samler inn og lagrer. Dersom disse dataene blir mishandlet, kommer på avveie eller oppbevares lenger enn nødvendig, kan konsekvensene strekke seg langt utover det opprinnelige sikkerhetsmålet. Ofcoms etterforskning av TikTok er til dels en test på om regulatorer kan holde plattformer ansvarlige – ikke bare for å ha et alderskontrollsystem, men for å bygge et som respekterer prinsippene om dataminimering samtidig som det fungerer pålitelig.
Hva dette betyr for deg
Hvis du bruker TikTok i Storbritannia, kan det hende du allerede har møtt en alderskontroll, eller at du snart vil se en, avhengig av hvordan denne etterforskningen utvikler seg. Det er verdt å forstå at en VPN ikke kan hjelpe deg med å unngå eller omgå biometrisk aldersverifisering. Disse kontrollene er innebygd i TikToks kontosystemer og knyttet til kontoen og enheten din, ikke nettverksplasseringen din, så å rute trafikken gjennom en annen server vil ikke endre hva appen ber deg om.
Det en VPN kan gjøre, er å begrense andre former for sporing mens du bruker plattformen, som å maskere IP-adressen din fra annonsører eller redusere eksponeringen på offentlige Wi-Fi-nett. Det er et separat lag med personvernbeskyttelse, ikke en omgåelse av kravene til alderssikring.
Praktiske råd
Før du sender inn biometriske data til en app, bør du sjekke hva plattformens personvernerklæring sier om oppbevaring og slettetidsfrister. Undersøk om aldersverifiseringen håndteres internt eller av en tredjepartsleverandør, ettersom det endrer hvem som har tilgang til dataene dine. Hvis du er forelder, bør du gå gjennom barnets kontoinnstillinger og forstå hvilken verifiseringsmetode TikTok ber om. Og følg med på hvordan Ofcoms etterforskning av TikTok utvikler seg, siden funnene kan forme hvordan alle store plattformer håndterer biometriske alderskontroller i Storbritannia fremover.
