Nowe podejście do weryfikacji wieku wyłania się w Kongresie

Dwupartyjna grupa senatorów, w tym Andy Kim, Adam Schiff, Cynthia Lummis i John Barrasso, przedstawiła projekt ustawy znany jako Digital Age Assurance Act. Ustawa proponuje zasadniczo odmienne podejście do sposobu, w jaki aplikacje i strony internetowe potwierdzają wiek użytkownika: zamiast by każda platforma samodzielnie zbierała dokumenty tożsamości, selfie czy inne wrażliwe dane, same systemy operacyjne zbierałyby wiek użytkownika raz i przekazywałyby prosty sygnał wieku do aplikacji przez API, kiedy tylko będzie potrzebny.

Oznacza to odejście od mozaiki stanowych przepisów o weryfikacji wieku, które rozpowszechniły się w ostatnich latach, z których wiele wymaga od poszczególnych aplikacji lub witryn internetowych bezpośredniej weryfikacji tożsamości, często poprzez przesyłanie dokumentów lub skanowanie twarzy. Federalna propozycja zamiast tego centralizuje ten obowiązek na poziomie urządzenia lub konta, czyniąc Apple, Google, Microsoft i innych dostawców systemów operacyjnych głównymi podmiotami zbierającymi dane o wieku.

Jak faktycznie działałaby gwarancja wieku na poziomie systemu operacyjnego

W ramach opisanego w ustawie mechanizmu zbieranie wieku odbywałoby się podczas konfiguracji konta systemu operacyjnego, czyli w procesie, przez który użytkownicy przechodzą już przy uruchamianiu nowego telefonu, tabletu czy komputera. Po ustaleniu wieku system operacyjny generowałby sygnał wieku – niekoniecznie dokładną datę urodzenia czy identyfikator rządowy, lecz znacznik kategorii (np. „powyżej 18 lat” lub „poniżej 13 lat”), który byłby przekazywany do aplikacji i stron internetowych żądających tego sygnału.

Zwolennicy argumentują, że zmniejsza to liczbę przypadków, w których wrażliwe dokumenty tożsamości przechodzą z rąk do rąk. Zamiast przesyłać prawo jazdy do kilkunastu różnych aplikacji, z których każda ma własne zasady przechowywania danych i zabezpieczenia, użytkownicy weryfikowaliby swój wiek raz na poziomie systemu operacyjnego. Aplikacje po prostu odpytywałyby ten sygnał przez API, zamiast budować lub kupować własną infrastrukturę weryfikacji wieku.

Kompromisem jest centralizacja. Zamiast by dane o wieku były rozproszone (i powielane) na wielu platformach, zostają one skoncentrowane w rękach niewielkiej liczby dostawców systemów operacyjnych, którzy już posiadają ogromne ilości informacji o swoich użytkownikach. Krytycy podobnych propozycji stanowych, jak na przykład projekt oczekujący w Kalifornii (o czym dyskutuje się publicznie nad tekstem ustawy), wyrazili obawy, że obowiązkowe kontrole wieku na poziomie systemu operacyjnego mogłyby funkcjonować jako de facto warstwa tożsamości dla całego internetu, ponieważ systemy operacyjne znałyby nie tylko wiek użytkownika, ale potencjalnie także to, które aplikacje żądają tego sygnału i kiedy.

Porównanie z obecną weryfikacją w aplikacjach

Dzisiejszy krajobraz weryfikacji wieku jest rozdrobniony. Niektóre stany wymagają od platform weryfikacji wieku poprzez przesyłanie dokumentów tożsamości, sprawdzanie kart kredytowych lub oprogramowanie do szacowania wieku na podstawie twarzy. Każda z tych metod niesie własne ryzyko dla prywatności: przesłane dokumenty mogą zostać naruszone, skany twarzy wymagają przetwarzania biometrycznego, a sprawdzanie kart kredytowych wyklucza użytkowników bez kont finansowych. Ponieważ weryfikacja odbywa się oddzielnie na każdej platformie, te same wrażliwe dane są często zbierane i przechowywane w sposób nadmiarowy w wielu serwisach.

Model oparty na systemie operacyjnym ma na celu zmniejszenie tej nadmiarowości poprzez wprowadzenie jednego, ustandaryzowanego sygnału wieku, który podróżuje z użytkownikiem. W teorii ogranicza to liczbę podmiotów mających dostęp do surowych dokumentów tożsamości. W praktyce przenosi znaczną władzę i odpowiedzialność na garstkę producentów systemów operacyjnych, rodząc pytania o to, jak długo dane o wieku byłyby przechowywane, kto mógłby o nie wnioskować i czy mogłyby zostać później powiązane z innymi danymi, które te firmy już zbierają, takimi jak lokalizacja, korzystanie z aplikacji czy aktywność na koncie.

Te pytania przypominają szersze debaty na temat nadzoru i zbierania danych, które miały miejsce w innych obszarach polityki federalnej. Obawy dotyczące tego, jak faktycznie wdrażane są rządowe i komercyjne ramy zbierania danych, oraz czy nadzór nadąża za deklarowanymi zabezpieczeniami prywatności, pojawiały się wielokrotnie, w tym w ujawnieniach senatora Wydena dotyczących nieprzestrzegania przepisów sekcji 702 FISA, które pokazały, że dobre intencje w ustawodawstwie nie zawsze przekładają się na spójne egzekwowanie.

Co to oznacza dla Ciebie

Jeśli ta ustawa lub podobny projekt wejdą w życie, sposób, w jaki udowadniasz swój wiek w internecie, może się znacząco zmienić. Zamiast wielokrotnie przesyłać dokumenty tożsamości do poszczególnych aplikacji i stron internetowych, twoje urządzenie lub konto systemu operacyjnego przeprowadziłoby tę weryfikację raz i udostępniało tylko ograniczony sygnał wieku w razie potrzeby. Dla wielu użytkowników oznaczałoby to mniej przypadków przechowywania wrażliwych dokumentów na serwerach stron trzecich.

Oznacza to jednak także, że dostawcy systemów operacyjnych przejęliby nową, bardziej scentralizowaną rolę w weryfikacji tożsamości, stając się faktycznymi strażnikami dostępu do treści ograniczonych wiekowo w całym internecie. Sposób, w jaki dane te będą zabezpieczane, minimalizowane i zarządzane, będzie miał ogromne znaczenie. Projekt ustawy jest wciąż na wczesnym etapie, a techniczne i prywatnościowe zabezpieczenia towarzyszące ostatecznej wersji przesądzą o tym, czy to podejście rzeczywiście poprawi prywatność, czy tylko przeniesie ryzyko.

Kluczowe wnioski

  • Ustawa Digital Age Assurance Act wymagałaby od systemów operacyjnych, a nie pojedynczych aplikacji, weryfikacji wieku użytkownika i przekazywania sygnału chroniącego prywatność przez API.
  • Mogłoby to ograniczyć nadmiarowe zbieranie dokumentów tożsamości na wielu platformach, ale koncentruje dane o wieku u głównych dostawców systemów operacyjnych.
  • Zwróć uwagę na szczegóły dotyczące przechowywania danych, nadzoru i tego, czy sygnały wieku mogłyby być łączone z innymi danymi, które te firmy już posiadają.
  • W miarę postępu prac nad tą ustawą w Kongresie porównuj ją ze stanowymi przepisami o weryfikacji wieku, aby zrozumieć, jak twoje dane osobowe mogą być traktowane różnie w zależności od miejsca zamieszkania.
  • Bądź na bieżąco: takie polityki mogą przekształcić prywatność mobilną daleko poza weryfikację wieku, wpływając na to, jakim zaufaniem użytkownicy będą darzyć dostawców systemów operacyjnych w przyszłości.