Does UK law require platforms to log every single age check?

No. No regulator requires a log of every age check; the law requires platforms to demonstrate their age assurance systems meet Ofcom's 'highly effective' standard.

What records can Ofcom actually demand during an investigation?

Ofcom can require records that prove the age assurance process meets the required standard, such as method logs, error rates, and audit documentation. It cannot force companies to retain personal identity documents or biometric scans beyond what is needed to demonstrate compliance.

Is keeping a scanned ID on file after an age check a legal requirement?

No. Any retention beyond what is needed to demonstrate compliance is a business decision, not a legal obligation.

What must platforms provide as evidence that their age assurance works?

They need audit trails showing the method used, whether the check passed or failed, and enough documentation to prove compliance if challenged.

What example does the article give of Ofcom using its enforcement powers?

The article cites the Ofcom TikTok age verification probe, where Ofcom opened a formal investigation and demanded evidence of how age checks were actually conducted.

En vanlig misforståelse om Storbritannias regler for aldersbekreftelse er at hver eneste alderssjekk logges, lagres og gjøres tilgjengelig for tilsynsmyndigheter på forespørsel. Ny bransjeveiledning tar direkte et oppgjør med denne antakelsen: ingen tilsynsmyndighet krever en logg over hver eneste alderssjekk. Det skillet betyr noe, fordi det skiller hva britisk lov om aldersverifiseringsdatalogg faktisk pålegger fra hva plattformer bare velger å oppbevare som en forretningspraksis.

Hva britisk lov faktisk krever at plattformer logger under alderssjekker

Innenfor rammeverket til Online Safety Act er plattformer som bruker aldersbekreftelsesverktøy (enten det er ansiktsestimering, ID-dokumentsjekker eller tredjeparts verifiseringstjenester) pålagt å vise at systemene deres fungerer som de skal og oppfyller standarden «høy effektivitet» som Ofcom har satt. Det betyr at leverandører trenger noe dokumentasjon på at prosessen deres fungerer: revisjonsspor som viser metoden som ble brukt, om den bestod eller ikke, og tilstrekkelig dokumentasjon til å bevise samsvar hvis de blir utfordret. Det veiledningen derimot ikke sier, er at det er et juridisk krav å permanent lagre detaljerte poster som knytter en bestemt person til en bestemt sjekk, komplett med underliggende dokument eller bilde, på ubestemt tid.

Det er en viktig nyanse for alle som prøver å forstå hva som skjer med dataene deres etter at de laster opp et passbilde eller gjennomgår en ansiktsskanning. Loven setter en samsvarsstandard. Den setter ikke et gulv for datalagring.

Hva Ofcom kan pålegge vs. hva som er valgfri journalføring

Ofcoms håndhevingsmyndighet er reell, og tilsynsmyndigheten har allerede vist at den er villig til å bruke den. Den pågående Ofcoms TikTok-aldersverifiseringsgransking er et tydelig eksempel: når Ofcom mistenker at en plattform har sviktet sine barnesikkerhetsforpliktelser, kan den åpne en formell undersøkelse og kreve dokumentasjon på hvordan alderssjekkene faktisk ble gjennomført, ikke bare policy-dokumenter som beskriver hvordan de skal fungere.

Men det er en forskjell mellom hva Ofcom kan pålegge under en undersøkelse og hva en virksomhet velger å oppbevare proaktivt, for sikkerhets skyld. Ofcom kan kreve poster som beviser at en plattforms aldersbekreftelsesprosess oppfyller den påkrevde standarden, som metode logger, feilrater og revisjonsdokumentasjon. Det Ofcom ikke kan gjøre, er å tvinge virksomheter til å oppbevare personlige identitetsdokumenter eller biometriske skanninger utover det som er nødvendig for å vise samsvar. Eventuell ekstra lagring, som å oppbevare en skannet ID i flere måneder etter at en sjekk er fullført, er en forretningsbeslutning, ikke en juridisk forpliktelse. Noen plattformer kan overlagre data av forsiktighet, bekymring for ansvar, eller rett og slett dårlig datahygiene, og det gapet mellom hva som kreves og hva som beholdes er hvor personvernrisikoen har en tendens til å konsentrere seg.

Personvernrisiko ved lagring av aldersbekreftelsesdata for brukere

Dette skillet har reelle konsekvenser for vanlige brukere. Hvis loven bare krever bevis på at en sjekk fant sted, men en plattform likevel velger å lagre det underliggende dokumentet eller det biometriske bildet, blir den datæn en forpliktelse som ligger på en server et sted, på ubestemt tid, uten regulatorisk grunn. Det er den typen overlagring som gjør en rutinemessig alderssjekk til en langsiktig personverneksponering.

Brukere som navigerer disse systemene har generelt ingen innsikt i hvilken kategori dataene deres faller inn under. Ble en passskanning forkastet etter verifisering, eller arkivert? Ble et ansiktsestimeringsbilde slettet umiddelbart, eller beholdt som et treningsutvalg? Veiledningen antyder at brukere bør spørre leverandører direkte om hva deres lagringspolicy er, siden britisk lov i seg selv ikke setter en ensartet nasjonal standard utover generelle databeskyttelsesforpliktelser. Denne usikkerheten er en del av hvorfor den parlamentariske debatten om Online Safety Acts personvernpåvirkning har trukket oppmerksomhet fra parlamentsmedlemmer som er bekymret for at aldersverifiseringskrav skaper nye datainnsamlingsrisikoer uten tilsvarende åpenhetskrav.

Hvor VPN-er og kryptert DNS kan og ikke kan hjelpe

En VPN kan skjule IP-adressen din og generell plassering, og kryptert DNS kan hindre internettleverandøren din i å se hvilke nettsteder du besøker. Ingen av verktøyene påvirker selve aldersbekreftelsesprosessen. Hvis en plattform krever en ansiktsskanning, ID-opplasting eller banksjekk for å bevise alderen din, gjør en VPN ingenting for å hindre at dataene blir samlet inn, overført eller lagret av verifiseringsleverandøren. VPN-er beskytter nettverksnivåmetadata, ikke innholdet i et skjema du sender direkte til et nettsted.

Det en VPN kan gjøre, er å redusere mengden tilleggsdata som samles inn rundt selve verifiseringshendelsen, som for eksempel din omtrentlige plassering eller ISP-tildelte identifikatorer, som noen plattformer kan logge sammen med alderssjekken som en del av svindelbeskyttelse. Det er en beskjeden personvernfordel, ikke en måte å unngå aldersverifiseringskrav helt, og brukere bør være skeptiske til ethvert verktøy som markedsføres som en omgåelse av lovpålagte alderssjekker.

Hva dette betyr for deg

Hvis du blir bedt om å gjennomføre en alderssjekk på en britisk plattform, er den sikreste antakelsen at datasjebnen din avhenger helt av den spesifikke leverandørens lagringspolicy, ikke et ensartet juridisk pålegg. Før du sender inn sensitive dokumenter, se etter en tydelig erklæring om hvor lenge dataene beholdes og om de slettes etter verifisering. Foretrekk tjenester som bruker estimeringsmetoder fremfor dokumentopplasting der det er mulig, siden estimering vanligvis krever mindre permanent identifiserbart materiale. Og hvis en plattform for tiden er under regulatorisk gransking, som den pågående Ofcom-undersøkelsen av TikToks praksis, behandler du det som et signal om å være ekstra forsiktig med hva du deler til utfallet er kjent.

Viktige punkter

Britisk lov om aldersverifiseringsdatalogg krever ikke at leverandører logger hver eneste sjekk på ubestemt tid; den krever bevis på at prosessen oppfyller samsvarsstandarder.
Ofcom kan kreve revisjonsdokumentasjon under en undersøkelse, men kan ikke tvinge frem lagring av personlige dokumenter utover det samsvar krever.
Enhver langsiktig lagring av ID-skanninger eller biometriske bilder utover selve sjekken er en forretningsbeslutning, ikke et juridisk krav.
VPN-er og kryptert DNS beskytter personvern på nettverksnivå, men hindrer ikke aldersverifiseringsleverandører i å samle inn dataene du sender direkte.
Spør leverandører direkte om lagringspolicyen deres før du gjennomfører en alderssjekk, spesielt på plattformer som for tiden er under regulatorisk gransking.

FAQ: Q1: Krever britisk lov at plattformer logger hver eneste alderssjekk? A1: Nei. Ingen tilsynsmyndighet krever en logg over hver eneste alderssjekk; loven krever at plattformer viser at aldersbekreftelsessystemene deres oppfyller Ofcoms standard for «høy effektivitet». Q2: Hvilke poster kan Ofcom faktisk kreve under en undersøkelse? A2: Ofcom kan kreve poster som beviser at aldersbekreftelsesprosessen oppfyller den påkrevde standarden, som metode logger, feilrater og revisjonsdokumentasjon. Det kan ikke tvinge virksomheter til å oppbevare personlige identitetsdokumenter eller biometriske skanninger utover det som er nødvendig for å vise samsvar. Q3: Er det et juridisk krav å oppbevare en skannet ID etter en alderssjekk? A3: Nei. Eventuell lagring utover det som er nødvendig for å vise samsvar er en forretningsbeslutning, ikke en juridisk forpliktelse. Q4: Hva må plattformer levere som dokumentasjon på at aldersbekreftelsen deres fungerer? A4: De trenger revisjonsspor som viser metoden som ble brukt, om sjekken bestod eller ikke, og tilstrekkelig dokumentasjon til å bevise samsvar hvis de blir utfordret. Q5: Hvilket eksempel gir artikkelen på at Ofcom bruker håndhevingsmyndigheten sin? A5: Artikkelen viser til Ofcoms TikTok-aldersverifiseringsgransking, hvor Ofcom åpnet en formell undersøkelse og krevde dokumentasjon på hvordan alderssjekkene faktisk ble gjennomført.

---END---