Czym jest cyfrowa weryfikacja wieku?

Cyfrowa weryfikacja wieku (DAV) odnosi się do systemów technicznych, które potwierdzają, że użytkownik przekroczył minimalny próg wiekowy, zanim uzyska dostęp do treści lub usług online. Pierwotnie stosowane w odniesieniu do hazardu i sprzedaży alkoholu, wymogi te znacząco się rozszerzyły. Do 2026 roku przepisy w Wielkiej Brytanii, Australii, Stanach Zjednoczonych (na poziomie stanowym), Niemczech oraz kilku innych jurysdykcjach wymagają weryfikacji wieku na platformach z treściami dla dorosłych, niektórych sieciach społecznościowych oraz w serwisach gier online.

Podstawowym celem prawnym jest ochrona dzieci. Kwestią budzącą obawy dotyczące prywatności jest metoda stosowana do osiągnięcia tego celu.

Jak faktycznie działają te systemy?

Większość systemów weryfikacji wieku należy do jednej z kilku kategorii:

  • Weryfikacja za pomocą karty kredytowej lub danych płatniczych – Wykorzystanie istniejącej karty jako pośredniego potwierdzenia pełnoletności. Metoda ta wiąże nawyki przeglądania z tożsamością finansową użytkownika.
  • Przesyłanie dokumentów tożsamości wydanych przez organy rządowe – Użytkownicy przesyłają skan paszportu lub prawa jazdy. Platforma lub zewnętrzny podmiot przetwarzający sprawdza i przechowuje ten dokument.
  • Szacowanie wieku na podstawie wizerunku twarzy – System AI analizuje zdjęcie selfie lub obraz z kamery na żywo, aby ocenić, czy dana osoba wygląda na wystarczająco dorosłą. Technicznie nie jest wymagany żaden dokument, jednak dane biometryczne są przechwytywane.
  • Weryfikacja przez operatora sieci komórkowej (MNO) – Operator sieci komórkowej użytkownika potwierdza jego wiek na podstawie danych rejestracyjnych konta, przekazywanych do platformy za pomocą tokenu API.
  • Cyfrowe portfele tożsamości – Rozwijające się systemy, w których cyfrowe poświadczenie wydane przez organy rządowe potwierdza wiek bez ujawniania dodatkowych danych osobowych.

Każda metoda zajmuje inne miejsce na skali prywatności. Przesyłanie dokumentów tożsamości niesie ze sobą największe ryzyko. Szacowanie wieku na podstawie wizerunku wiąże się z przetwarzaniem danych biometrycznych. Weryfikacja przez MNO udostępnia dane komercyjnym podmiotom trzecim. Cyfrowe portfele, jeśli są właściwie wdrożone, oferują najsilniejszą ochronę prywatności, jednak ich adopcja pozostaje niejednolita.

Gdzie trafiają dane?

Kluczowe pytanie dotyczy nie tego, czy Twój wiek zostanie zweryfikowany, ale tego, kto przetwarza dane wykorzystywane do tej weryfikacji. Większość platform zleca weryfikację wieku wyspecjalizowanym zewnętrznym dostawcom. Gdy przesyłasz dokument tożsamości lub zdjęcie selfie, dane te trafiają zazwyczaj do osobnej firmy, która dysponuje własną polityką przechowywania danych, historią incydentów bezpieczeństwa i interesami komercyjnymi.

W 2025 roku dwóch głównych dostawców usług weryfikacji wieku ujawniło incydenty związane z danymi, które dotknęły miliony użytkowników. Ujawnione rekordy obejmowały skany dokumentów tożsamości, adresy IP oraz metadane dotyczące przeglądania. Ilustruje to strukturalny problem: centralizacja wrażliwych danych tożsamości tworzy cele o wysokiej wartości dla złośliwych podmiotów.

Ponadto niektórzy dostawcy otwarcie przyznają, że przechowują zapisy weryfikacyjne do celów zgodności z przepisami. W różnych serwisach obserwowano okresy przechowywania danych wynoszące od 30 dni do kilku lat. Nawet jeśli platformy deklarują, że nie przechowują Twojego dokumentu tożsamości, ich zewnętrzny podmiot przetwarzający może to robić na podstawie własnych warunków.

Problem powiązań

Weryfikacja wieku tworzy tzw. ryzyko powiązań, o którym mówią badacze. Gdy system potwierdza Twoją tożsamość w celu uzyskania dostępu do określonej strony internetowej, powstaje zapis łączący Twoją prawdziwą tożsamość z tą wizytą na stronie. Jeśli zapis ten zostanie później objęty nakazem sądowym, ujawniony w wyniku naruszenia bezpieczeństwa lub udostępniony w celach komercyjnych, treść tego, do czego uzyskiwałeś dostęp, zostaje powiązana z tym, kim jesteś. W przypadku serwisów obejmujących treści dla dorosłych, informacje zdrowotne lub materiały polityczne, takie powiązanie może mieć realne konsekwencje.

Ramy regulacyjne i ich ograniczenia

Wymogi weryfikacji wieku w Wielkiej Brytanii wynikające z ustawy Online Safety Act są egzekwowane przez Ofcom, który opublikował standardy techniczne zalecające podejścia chroniące prywatność. Akt o usługach cyfrowych (DSA) Unii Europejskiej nakłada obowiązki w zakresie weryfikacji wieku na duże platformy, przy czym państwa członkowskie różnie interpretują jego egzekwowanie. Nowelizacje australijskiej ustawy Online Safety Act nakładają obowiązki na platformy, pozostawiając jednak wybór metody weryfikacji w dużej mierze otwarty.

Luka w większości ram regulacyjnych polega na tym, że nakazują one osiągnięcie określonego rezultatu (weryfikację wieku), nie nakazując jednocześnie stosowania metod bezpiecznych dla prywatności. Pozostawia to miejsce na to, by domyślnym standardem rynkowym stały się rozwiązania pochłaniające duże ilości danych.

Praktyczne kroki w celu ograniczenia Twojej ekspozycji

  • Tam gdzie to możliwe, korzystaj z platform obsługujących weryfikację przez MNO lub opartą na cyfrowym portfelu, ponieważ metody te mogą potwierdzić wiek bez ujawniania pełnych dokumentów tożsamości.
  • Przed przesłaniem dokumentów zapoznaj się z polityką prywatności każdego zewnętrznego dostawcy weryfikacji. Zwróć szczególną uwagę na okresy przechowywania danych oraz to, czy dane są udostępniane partnerom marketingowym.
  • VPN nie pozwala ominąć weryfikacji wieku, ale może ograniczyć metadane widoczne dla podmiotów trzecich w trakcie procesu weryfikacji, takie jak Twój adres IP i przybliżona lokalizacja geograficzna.
  • Tam gdzie przepisy na to pozwalają, niektóre serwisy oferują alternatywy wobec cyfrowego przesyłania dokumentów tożsamości, takie jak weryfikacja pocztowa lub tokenowa.
  • Monitoruj, czy kraje, z których uzyskujesz dostęp do treści, mają zawarte umowy o wzajemnej wymianie danych z Twoją jurysdykcją krajową.

Perspektywy na przyszłość

Weryfikacja wieku chroniąca prywatność, oparta na dowodach z wiedzą zerową (zero-knowledge proofs) i poświadczeniach z selektywnym ujawnianiem danych, jest technicznie wykonalna w 2026 roku i jest pilotowana w kilku państwach członkowskich UE. Systemy te mogą potwierdzić, że użytkownik spełnia próg wiekowy, bez ujawniania jakichkolwiek dodatkowych informacji. Szersze wdrożenie zależy od regulacyjnych nakazów i bodźców komercyjnych, a żaden z tych czynników nie ewoluował wystarczająco szybko, aby w najbliższym czasie skutecznie chronić użytkowników.