Uma Nova Abordagem para Verificação de Idade Surge no Congresso

Um grupo bipartidário de senadores, incluindo Andy Kim, Adam Schiff, Cynthia Lummis e John Barrasso, apresentou uma legislação conhecida como Digital Age Assurance Act. O projeto de lei propõe uma abordagem fundamentalmente diferente para a forma como as aplicações e os sites confirmam a idade de um utilizador: em vez de cada plataforma recolher independentemente documentos de identificação, selfies ou outros dados sensíveis, os próprios sistemas operativos recolheriam a idade do utilizador uma única vez e transmitiriam um simples sinal de idade às aplicações através de uma API sempre que necessário.

Isto marca um afastamento do mosaico de leis estaduais de verificação de idade que proliferaram nos últimos anos, muitas das quais exigem que aplicações ou sites individuais verifiquem a identidade diretamente, frequentemente através do envio de documentos ou de digitalizações faciais. A proposta federal, em contrapartida, centraliza essa responsabilidade ao nível do dispositivo ou da conta, tornando a Apple, a Google, a Microsoft e outros fornecedores de sistemas operativos nos principais recolhedores de dados de idade.

Como Funcionaria na Prática a Garantia de Idade ao Nível do SO

No âmbito do quadro descrito na legislação, a recolha da idade ocorreria durante a configuração da conta do sistema operativo, o mesmo processo pelo qual os utilizadores já passam ao configurar um novo telemóvel, tablet ou computador. Uma vez estabelecida essa idade, o sistema operativo geraria um sinal de idade, não necessariamente uma data de nascimento exata ou um documento de identificação governamental, mas um marcador categórico (como «maior de 18 anos» ou «menor de 13 anos») que seria transmitido às aplicações e sites que o solicitassem.

Os defensores argumentam que isto reduz o número de vezes que documentos de identidade sensíveis mudam de mãos. Em vez de enviar uma carta de condução para uma dúzia de aplicações diferentes, cada uma com as suas próprias práticas de retenção de dados e postura de segurança, os utilizadores verificariam a sua idade uma única vez ao nível do SO. As aplicações simplesmente consultariam esse sinal através de uma API, em vez de construir ou comprar a sua própria infraestrutura de verificação de idade.

O compromisso é a centralização. Em vez de os dados de idade estarem dispersos (e duplicados) por muitas plataformas, ficam concentrados num pequeno número de fornecedores de sistemas operativos que já detêm enormes quantidades de informação sobre os seus utilizadores. Os críticos de propostas estaduais semelhantes, como uma pendente na Califórnia de acordo com a discussão pública do texto do projeto, levantaram preocupações de que as verificações obrigatórias de idade ao nível do SO poderiam funcionar como uma camada de identidade de facto para toda a Internet, uma vez que os sistemas operativos saberiam não apenas a idade do utilizador, mas potencialmente quais as aplicações que estão a solicitar esse sinal e quando.

Comparação com a Verificação Atual Baseada em Aplicações

O panorama atual da verificação de idade é fragmentado. Alguns estados exigem que as plataformas verifiquem a idade através do envio de documentos de identificação, verificações de cartão de crédito ou software de estimativa facial da idade. Cada método tem os seus próprios riscos de privacidade: os documentos de identificação enviados podem ser violados, as digitalizações faciais requerem processamento biométrico e as verificações de cartão de crédito excluem utilizadores sem contas financeiras. Como a verificação ocorre separadamente em cada plataforma, os mesmos dados sensíveis são frequentemente recolhidos e armazenados de forma redundante em muitos serviços.

O modelo baseado no SO visa reduzir essa redundância, dispondo de um único sinal de idade padronizado que acompanha o utilizador. Em teoria, isto limita o número de partes que manuseiam documentos de identidade brutos. Na prática, transfere poder e responsabilidade significativos para um punhado de fabricantes de sistemas operativos, levantando questões sobre quanto tempo os dados de idade seriam retidos, quem poderia solicitá-los e se poderiam mais tarde ser associados a outros dados que estas empresas já recolhem, como localização, utilização de aplicações ou atividade da conta.

Estas questões ecoam debates mais amplos sobre vigilância e recolha de dados que se têm desenrolado noutras vertentes da política federal. Preocupações sobre a forma como os quadros governamentais e comerciais de recolha de dados são realmente implementados e se a supervisão acompanha as proteções de privacidade declaradas têm surgido repetidamente, incluindo nas divulgações do Senador Wyden sobre falhas de conformidade da Secção 702 do FISA, que mostraram como as boas intenções na legislação nem sempre se traduzem numa aplicação consistente.

O Que Isto Significa Para Si

Se este projeto de lei ou algo semelhante se tornar lei, a forma como prova a sua idade online poderá mudar significativamente. Em vez de enviar repetidamente documentos de identificação para aplicações e sites individuais, o seu dispositivo ou conta do sistema operativo trataria dessa verificação uma vez e partilharia apenas um sinal de idade limitado, conforme necessário. Para muitos utilizadores, isto poderá significar menos instâncias de documentos sensíveis armazenados em servidores de terceiros.

Mas também significa que os fornecedores de sistemas operativos assumiriam um papel novo e mais centralizado na verificação de identidade, tornando-se efetivamente guardiões de conteúdos com restrição de idade em toda a Internet. A forma como esses dados são protegidos, minimizados e governados terá uma importância enorme. O projeto de lei ainda está nas fases iniciais, e as salvaguardas técnicas e de privacidade que acompanharem qualquer versão final determinarão se esta abordagem melhora genuinamente a privacidade ou simplesmente desloca o risco.

Pontos-Chave

  • A Digital Age Assurance Act exigiria que os sistemas operativos, e não as aplicações individuais, verificassem a idade do utilizador e transmitissem um sinal que preserva a privacidade através de uma API.
  • Isto poderia reduzir a recolha redundante de documentos de identificação em múltiplas plataformas, mas concentra os dados de idade nos principais fornecedores de SO.
  • Esteja atento aos detalhes sobre retenção de dados, supervisão e se os sinais de idade poderão ser associados a outros dados que estas empresas já detêm.
  • À medida que esta legislação avança no Congresso, compare-a com as leis estaduais de verificação de idade para compreender como os seus dados pessoais poderão ser tratados de forma diferente dependendo de onde vive.
  • Mantenha-se informado: políticas como esta poderão remodelar a privacidade móvel muito para além da verificação de idade, afetando o nível de confiança que os utilizadores depositam nos fornecedores de sistemas operativos no futuro.