Ottawas lov om nettsikkerhet møter kritikk for aldersverifisering

Et føderalt lovforslag introdusert under banneret om å beskytte barn på nett, møter en mur av motstand fra sivile rettighetsgrupper, juridiske forskere og personvernforkjempere. Bekymringen deres er ikke lovforslagets uttalte mål – få bestrider at barn fortjener tryggere nettopplevelser – men rekkevidden. Kritikere hevder at lovens krav om aldersverifisering og den omfattende myndigheten den gir et nytt reguleringsorgan, ville endre hvordan hver eneste canadier, ikke bare mindreårige, får tilgang til internett.

Hva lovforslaget faktisk foreslår

I kjernen ville lovgivningen kreve at plattformer verifiserer brukernes alder før de gir tilgang til visst innhold eller visse tjenester. I teorien høres det ut som en smal, målrettet løsning. I praksis krever aldersverifiseringssystemer typisk en form for identitetsbekreftelse fra alle brukere, ikke bare de mindreårige reglene er ment å beskytte. Det betyr at voksne som surfer på hverdagslige nettsteder kan bli bedt om å bevise hvem de er før de logger inn, laste opp et offentlig ID-dokument, underkaste seg ansiktsbasert aldersestimering, eller knytte identiteten sin til en tredjeparts verifiseringstjeneste.

Lovforslaget oppretter også et nytt reguleringsorgan med vide fullmakter til å håndheve etterlevelse. Juridiske eksperter som ble omtalt i tidlig rapportering om lovforslaget, sier at omfanget av regulatorens myndighet er uvanlig vidt, noe som gir den rom til å tolke og utvide sitt eget mandat over tid. Den typen åpen fullmakt er nettopp det som bekymrer personvernvoktere: reguleringsorganer opprettet for ett formål ser ofte at myndigheten strekkes langt utover den opprinnelige hensikten, spesielt når den muliggjørende lovgivningen er skrevet bredt snarere enn snevert.

Hvorfor personvernforkjempere slår alarm

Den sentrale spenningen i Ottawas lovforslag er en som dukker opp igjen og igjen i nettsikkerhetslovgivning over hele verden: å beskytte barn blir ofte brukt som begrunnelse for systemer som samler inn langt mer data fra langt flere mennesker enn det uttalte målet krever. Aldersverifisering krever per definisjon identitetsbevis. Når først den infrastrukturen finnes, det vil si når plattformer er pålagt å vite nøyaktig hvem som står bak hver konto, blir det teknisk og juridisk enkelt å utvide bruken til andre formål.

Forkjempere for sivile rettigheter påpeker at obligatoriske identitetssjekker skaper honeypots av sensitive data: skanninger av offentlige ID-dokumenter, biometriske ansiktsestimater og surfehistorikk knyttet til ekte navn. Et brudd eller misbruk av disse dataene ville ikke bare ramme en håndfull dårlige aktører, det ville eksponere personlig informasjon om vanlige canadiere som ikke gjorde noe mer enn å prøve å logge inn på et nettsted. Juridiske eksperter har også reist spørsmål om lovforslagets krav om aldersverifisering kan møte konstitusjonelle utfordringer, gitt Canadas eksisterende beskyttelser rundt ytringsfrihet og personvern.

Dette er ikke første gang et føderalt forslag i Canada har blitt gransket for å nå lenger enn den offentlige innrammingen antydet. RCMP bekrefter at Bill C-22 retter seg mot kryptert kommunikasjon viste et lignende mønster: et lovforslag presentert som smalt fokusert på lovlig tilgang endte opp, ifølge RCMPs egen vitneforklaring, med å rette seg mot kryptert kommunikasjon bredere enn regjeringen tidligere hadde erkjent. Kritikere av nettsikkerhetsloven ser ekko av den dynamikken her – lovgivning introdusert under en beskyttende etikett som, når du leser det som står med liten skrift, har mye bredere rekkevidde.

Regulatorproblemet

Utover aldersverifisering er mye av motreaksjonen sentrert rundt selve reguleringsorganet. Å gi et enkelt organ vid skjønnsmyndighet til å definere etterlevelse, utstede straff og potensielt utvide sine egne håndhevelsesprioriteringer reiser spørsmål om ansvarlighet. Hvem fører tilsyn med regulatoren? Hvilke kontroller finnes hvis tolkningen av loven avviker fra det parlamentet opprinnelig hadde til hensikt? Dette er ikke hypotetiske bekymringer – regulatorisk misjonsdrift er et veldokumentert mønster, og kritikere hevder at lovforslaget slik det er skrevet ikke inneholder nok sikkerhetsmekanismer til å forhindre det.

Hva dette betyr for deg

Hvis dette lovforslaget går videre i noe som ligner på sin nåværende form, bør canadiere forvente å se flere identitetssjekker dukke opp på tvers av hverdagslige nettjenester, ikke bare nettsteder som uttrykkelig er rettet mot mindreårige. Det kan bety å laste opp ID, underkaste seg aldersestimeringsprogramvare, eller få surfehistorikken din knyttet mer direkte til din ekte identitet. For alle som verdsetter online anonymitet eller er skeptiske til å sentralisere sensitive identitetsdata hos tredjeparts verifiseringsleverandører, er dette verdt å følge nøye med på.

Det er også verdt å huske at lovgivning som dette har en tendens til å utvikle seg betydelig mellom introduksjon og endelig vedtakelse. Offentlig press, komitéhøringer og juridiske utfordringer har alle omformet lignende lovforslag tidligere, både i Canada og i utlandet.

Hold deg informert og beskytt personvernet ditt

Debatten om Ottawas nettsikkerhetslov er egentlig en debatt om avveininger: hvor mye identitetsverifisering er Canada villig til å kreve av hver eneste internettbruker i navnet av å beskytte en undergruppe av dem. Det er et legitimt politisk spørsmål, men kritikere har rett i å insistere på at det må besvares bevisst, med klare begrensninger på regulatormakt og sterk beskyttelse for dataene disse systemene uunngåelig vil samle inn.

For nå bør canadiere som bryr seg om hvordan dette lovforslaget utvikler seg følge komitéprosedyrene, legge merke til hvilke endringsforslag som foreslås, og følge med på hvordan det nye reguleringsorganets fullmakter til slutt defineres i den endelige teksten. Lovforslag innrammet rundt barnesikkerhet vedtas ofte med bred offentlig støtte, men detaljene i gjennomføringen er der personvernbeskyttelser vinnes eller tapes. Å forbli engasjert i lovgivningsprosessen, og presse lovgivere for snevrere, bedre definerte regler, er den mest effektive måten å sikre at et lovforslag ment å beskytte barn ikke ender opp med å omforme personvernet for alle andre.