Co Ofcom ustalił w sprawie XGroovy

Ofcom nałożył na witrynę dla dorosłych XGroovy karę w wysokości 730 000 GBP za brak wdrożenia skutecznej weryfikacji wieku dla użytkowników z Wielkiej Brytanii oraz za ignorowanie formalnych wniosków regulatora o udzielenie informacji. Kara została nałożona na podstawie ustawy o bezpieczeństwie w internecie (Online Safety Act), która wymaga, aby platformy pornograficzne i inne platformy wysokiego ryzyka działające w Wielkiej Brytanii wprowadziły „wysoce skuteczne" środki potwierdzania wieku, aby uniemożliwić dzieciom dostęp do treści dla dorosłych.

Zgodnie z doniesieniami na temat tej sprawy, XGroovy nie posiadała odpowiednich systemów umożliwiających weryfikację, czy jej odwiedzający z Wielkiej Brytanii są rzeczywiście dorosłymi. Co więcej, witryna nie współpracowała, gdy Ofcom zwrócił się o szczegóły dotyczące jej działań związanych z przestrzeganiem przepisów, co stanowiło dodatkowe naruszenie, które regulatorzy potraktowali tak samo poważnie jak samo nieprawidłowe przeprowadzenie weryfikacji wieku. Połączenie obu naruszeń podniosło karę do 730 000 GBP, co mieści się dokładnie w zakresie kar, jakie Ofcom nakładał w podobnych sprawach w ciągu ostatniego roku.

Wzorzec, a nie wyjątek

XGroovy nie jest pierwszą witryną dla dorosłych ukarana w ten sposób i prawie na pewno nie będzie ostatnią. Ofcom wydał już szereg porównywalnych kar wobec platform dla dorosłych od czasu wejścia w życie obowiązków związanych z ochroną dzieci wynikających z ustawy Online Safety Act. Każda z nich przebiega według podobnego schematu: witryna pomija lub nieprawidłowo przeprowadza weryfikację wieku, a następnie pogłębia problem, odmawiając odpowiedzi na pytania regulatora. Całkiem niedawno Ofcom nałożył na witrynę dla dorosłych Fapello karę w wysokości 630 000 GBP z niemal identycznych powodów, co pokazuje, że mechanizm egzekwowania przepisów przez Ofcom działa obecnie w stałym tempie, a nie sporadycznie w pojedynczych przypadkach.

To powtarzanie się ma znaczenie. Sugeruje, że Ofcom wszedł w przewidywalny rytm egzekwowania przepisów: identyfikacja witryn nieprzestrzegających przepisów, żądanie informacji, a gdy dostawcy zwlekają lub ignorują te żądania — eskalacja do kary, która często obejmuje odrębną sankcję za brak współpracy. Aby szczegółowo przyjrzeć się, jak ten system egzekwowania ewoluował od czasu wejścia w życie przepisów dotyczących ochrony dzieci, roczna retrospektywa dotycząca wpływu ustawy Online Safety Act na prywatność przedstawia szerszą trajektorię regulacyjną, której częścią są kary takie jak ta.

Kompromis prywatnościowy związany z weryfikacją wieku

Chociaż kary takie jak ta nałożona na XGroovy trafiają na pierwsze strony gazet, przesłaniają one bardziej doniosłe pytanie dla zwykłych użytkowników: co dzieje się z danymi osobowymi gromadzonymi podczas weryfikacji wieku. Skuteczne potwierdzanie wieku na podstawie ustawy Online Safety Act zazwyczaj oznacza przesłanie dowodu tożsamości wydanego przez władze, poddanie się skanowi twarzy lub powiązanie zweryfikowanego konta za pośrednictwem zewnętrznego dostawcy. Każda z tych metod tworzy rejestr łączący prawdziwą tożsamość z wizytami na stronie dla dorosłych — informację znacznie bardziej wrażliwą niż zwykłe potwierdzenie wieku.

W przeciwieństwie do kary, która jest jednorazowym kosztem, jaki firma pochłania i przechodzi dalej, system gromadzenia danych jest trwałym zobowiązaniem. Scentralizowane bazy danych weryfikacji wieku stają się atrakcyjnym celem dla hakerów, a nawet dobrze działający dostawcy weryfikacji mogą paść ofiarą naruszeń, sprzedawać dane stronom trzecim lub przechowywać rejestry dłużej niż to konieczne. Dla użytkowników ryzyko nie polega na tym, że witryna zostanie ukarana; chodzi o to, że ich dokumenty tożsamości lub nawyki przeglądania mogą zostać ujawnione, sprzedane lub wyciec bez łatwego sposobu na odwrócenie szkód. To jest kompromis, który regulatorzy rzadko podkreślają, chwaląc się liczbami dotyczącymi zgodności: silniejsze weryfikacje wieku często oznaczają szerszą powierzchnię ataku na dane osobowe.

Rola VPN w krajobrazie ograniczeń wiekowych

W miarę zaostrzania egzekwowania przepisów w Wielkiej Brytanii niektórzy użytkownicy korzystają z VPN, aby całkowicie uniknąć przesyłania dokumentów tożsamości, skutecznie obchodząc geograficzne wymogi dotyczące ograniczeń wiekowych zamiast je spełniać. To szara strefa prawna z realnymi konsekwencjami: może naruszać warunki korzystania z platformy i nie rozwiązuje podstawowego problemu, jakim jest sposób, w jaki witryny traktują dane użytkowników, którzy weryfikują swój wiek legalnymi kanałami. Nie zatrzymuje to również egzekwowania przepisów, ponieważ regulatorzy celują w systemy zgodności platform, a nie w indywidualne obejścia. Szersza debata na temat tego, jak należy weryfikować tożsamość w internecie i na jakiej warstwie stosu technologicznego, toczy się znacznie dalej niż tylko w Wielkiej Brytanii. Propozycje takie jak te opisane w analizie powrotu KOSA do Senatu i ustawy Illinois o weryfikacji wieku na poziomie urządzenia pokazują, że podobne napięcia między bezpieczeństwem dzieci a prywatnością danych mają miejsce również w Stanach Zjednoczonych.

Co to oznacza dla Ciebie

Jeśli jesteś użytkownikiem platform z treściami dla dorosłych w Wielkiej Brytanii, spodziewaj się, że wymogi weryfikacji wieku będą się rozszerzać, a nie znikać. Kara nałożona na XGroovy potwierdza, że Ofcom aktywnie monitoruje zgodność i jest gotowy karać zarówno za brak weryfikacji wieku, jak i za brak odpowiedzi na jego zapytania. Zanim prześlesz jakikolwiek dokument tożsamości lub skan biometryczny do usługi weryfikacyjnej, sprawdź, czy dostawca podaje, jak długo przechowuje dane, czy w ogóle przechowuje dokumenty po weryfikacji oraz czy korzysta z zewnętrznego podmiotu przetwarzającego. Renomowane systemy weryfikacji wieku powinny potwierdzać Twój wiek bez przechowywania trwałej kopii Twojego dokumentu tożsamości.

Najważniejsze wnioski

Kara w wysokości 730 000 GBP nałożona przez Ofcom na XGroovy to kolejna pozycja na rosnącej liście działań egzekucyjnych związanych z zasadami weryfikacji wieku wynikającymi z ustawy Online Safety Act — i nie będzie ostatnia. Dla użytkowników ważniejsze pytanie nie brzmi, czy witryna zostanie ukarana za nieprzestrzeganie przepisów, ale co dzieje się z Twoimi danymi osobowymi, gdy witryna je przestrzega. Przeczytaj politykę prywatności każdego narzędzia do weryfikacji wieku przed jego użyciem, wybieraj usługi, które potwierdzają wiek bez przechowywania Twojego dokumentu tożsamości, i bądź na bieżąco, ponieważ regulatorzy w Wielkiej Brytanii i USA wciąż kształtują sposób weryfikacji tożsamości i wieku w internecie.