Overhuset krever ansvarlighet for svikt i aldersverifiseringen

Det britiske overhuset har åpnet en formell undersøkelse av Online Safety Act, som ble igangsatt 27. juli, etter økende bevis på at lovens krav om aldersverifisering forårsaker reell skade for nettopp de personene de skulle beskytte. Undersøkelsen skal se på hvorfor aldersverifiseringsleverandører, tredjepartsselskapene som har til oppgave å bekrefte brukernes alder før de gis tilgang til bestemt innhold på nettet, har opplevd datainnbrudd som eksponerte offentlige identitetsdokumenter.

Online Safety Act, et av Storbritannias mest ambisiøse forsøk på å regulere nettinnhold, krever at plattformer som er vert for voksenmateriale eller annet aldersbegrenset innhold bekrefter at brukerne oppfyller minstealderkrav. I praksis har dette betydd opplasting av pass, førerkort eller andre offisielle ID-er til tredjeparts verifiseringstjenester. Når disse tjenestene blir utsatt for datainnbrudd, er ikke resultatet et lekket passord. Det er et lekket offentlig identitetsdokument, permanent knyttet til en persons nettleserhistorikk og kontoaktivitet.

Når etterlevelse skaper ny risiko

Undersøkelsens omfang strekker seg lenger enn bare datainnbrudd. Overhuset undersøker også hvorfor loven ikke klarte å blokkere tilgangen til et forum som fremmer selvmord, en sak som reiser ubehagelige spørsmål om hvorvidt lovens håndhevingsmekanismer faktisk retter seg mot skadene lovgiverne hadde til hensikt å bekjempe. Dersom aldersporter kan omgås eller rett og slett ikke gjelder for plattformene som forårsaker den alvorligste skaden, blir personvernkostnaden som pålegges alle andre vanskeligere å rettferdiggjøre.

Kanskje den mest oppsiktsvekkende detaljen som har kommet frem, er at overgrepsutsatte som søker støttetjenester angivelig har blitt pålagt å sende inn identitetsdokumenter før de får tilgang til hjelp. For noen som kontakter en støtteorganisasjon i et sårbart øyeblikk, legger kravet om å overlevere pass eller førerkort til en tredjeparts verifiseringsleverandør – en som kanskje har eller ikke har tilstrekkelig sikkerhetspraksis – en barriere som ikke har noe med selve støtten å gjøre. Det skaper også en permanent registrering som knytter en persons identitet til bruken av den tjenesten, en registrering som ikke trengte å eksistere før lovens etterlevelseskrav trådte i kraft.

Dette er den grunnleggende spenningen Overhusets undersøkelse sliter med: en lov utformet for å beskytte mindreårige på nettet har i praksis tvunget voksne til å gi fra seg betydelig personvern, noen ganger uten en klar sikkerhetsgevinst. Aldersverifiseringsleverandører blir vanligvis ikke holdt til de samme sikkerhets- og ansvarlighetsstandardene som banker eller offentlige etater, likevel er de nå forvaltere av nøyaktig den typen sensitiv identitetsdata disse institusjonene er bygget for å beskytte.

Et velkjent mønster utenfor Storbritannia

Storbritannia er langt fra alene om å slite med kollisjonen mellom innholdsregulering og digitalt personvern. Regjeringer over hele verden har i økende grad vendt seg til tekniske pålegg, enten det er aldersporter, innholdsfiltre eller blokkeringsordre, som endrer hvordan vanlige brukere samhandler med internett. I Italia har tilsynsmyndigheter drevet aggressiv håndheving mot selskaper som motsetter seg registrering i landets Piracy Shield-blokkesystem, noe som har ført til motstand fra infrastrukturleverandører bekymret for overgrep. I India har foreslåtte endringer i IT-regelverket skremt ytringsfrihets- og personvernforkjempere som ser innstramming av statlig kontroll forkledd som rutinemessig etterlevelse.

Det som binder disse historiene sammen, er et mønster: velmente reguleringer, rettet mot reelle problemer som barns sikkerhet eller piratvirksomhet, kommer ofte med implementeringsdetaljer som skaper nye personvernrisikoer eller utilsiktede konsekvenser for den bredere befolkningen. Storbritannias aldersverifiseringsbrudd er et konkret, dokumentert eksempel på at dette mønsteret utspiller seg med sensitiv statlig ID-data på spill.

Hva dette betyr for deg

Hvis du er innbygger i Storbritannia og har bekreftet alderen din på en plattform siden kravene i Online Safety Act trådte i kraft, er det verdt å sjekke om denne leverandøren har offentliggjort et datainnbrudd, og i så fall hvilke data som ble eksponert. Lekkasje av identitetsdokumenter er vanskeligere å utbedre enn et lekket passord: du kan ikke bare tilbakestille passnummeret ditt. Vurder å overvåke kreditt og identitet for uvanlig aktivitet hvis du har sendt inn ID til en verifiseringstjeneste.

Mer generelt er denne undersøkelsen en påminnelse om at lover om aldersverifisering og innholdsmoderering, uansett hvor velmente de er, medfører reelle avveininger for personvernet. Lesere bør være oppmerksomme på hvilke tjenester som faktisk krever offentlig ID kontra de som bruker mindre inngripende verifiseringsmetoder, og bør være forsiktige med hvilke plattformer de stoler på med den informasjonen.

Viktige punkter

  • Sjekk om noen aldersverifiseringsleverandør du har brukt har offentliggjort et datainnbrudd, og se etter tegn på identitetsmisbruk.
  • Foretrekk plattformer og tjenester som bruker personvernbevarende aldersverifiseringsmetoder fremfor de som krever full opplasting av ID.
  • Følg med på fremdriften i Overhusets undersøkelse; funnene kan forme hvordan aldersverifisering blir implementert i Storbritannia fremover.
  • Erkjenn at problemene med aldersverifisering i Online Safety Act gjenspeiler en bredere global spenning mellom innholdsregulering og digitalt personvern, en spenning som sannsynligvis vil gjenta seg ettersom flere land vedtar lignende lover.

Overhusets undersøkelse vil ikke løse disse spenningene over natten, men den setter reell granskning på et system som så langt har krevd mye av vanlige brukere i bytte mot usikker beskyttelse.