Relatórios regulatórios recentes descrevem uma abordagem em várias camadas para a verificação de idade online no Reino Unido que se apoia cada vez mais nos sistemas operativos móveis e nas lojas de aplicações. Os relatórios suscitaram debate tanto sobre a privacidade como sobre a viabilidade técnica. Para quem usa um smartphone na Grã-Bretanha, a privacidade da verificação de idade por telefone no Reino Unido está rapidamente a tornar-se uma questão prática, e não apenas de política: quem acaba por guardar a prova da sua idade?

A reportagem de origem é escassa em detalhe técnico, pelo que este artigo se concentra no que está estabelecido, no que permanece em aberto e em como pensar nas contrapartidas.

Como funciona o modelo de verificação de idade em camadas do Reino Unido

A ideia central nos relatórios é que as verificações de idade não se baseariam num único guardião. Em vez disso, a verificação seria distribuída por várias camadas, com os sistemas operativos móveis e as lojas de aplicações a assumir uma parte maior da tarefa. Na prática, isso significa que uma verificação poderia ocorrer uma vez ao nível do dispositivo ou da conta, em vez de separadamente em cada site ou aplicação que abre.

Trata-se de uma mudança face à forma como as verificações de idade têm funcionado até agora. Ao abrigo da Lei de Segurança Online, esperava-se que cada serviço individual implementasse a sua própria garantia de idade, e o âmbito tem crescido ao longo do tempo, como abordámos em As verificações de idade no Reino Unido expandem-se para além dos sites pornográficos ao abrigo da Lei de Segurança. Pedir a cada serviço que execute as suas próprias verificações produziu resultados irregulares. O ICO afirmou que seis grandes plataformas ainda não têm verificações de idade viáveis, o que ajuda a explicar por que os reguladores estão a considerar camadas mais abaixo na pilha.

O artigo de origem não especifica exatamente como as camadas interagiriam, que fornecedores seriam responsáveis ou que normas técnicas se aplicariam. Essas lacunas são importantes, e os leitores devem encarar com cautela quaisquer alegações detalhadas sobre a implementação até que os reguladores publiquem mais informações.

O que a verificação ao nível do SO significa para os seus dados de identidade

A questão central de privacidade é se este modelo reduz o número de locais que guardam o seu documento de identidade ou simplesmente o concentra.

O argumento a favor de menos cópias. Se a sua idade for verificada uma vez ao nível do sistema operativo ou da loja de aplicações, os sites e aplicações individuais podem precisar apenas de receber uma resposta sim ou não. Isso podería significar menos empresas a recolher passaportes, cartas de condução ou digitalizações faciais, e menos bases de dados que podem ser violadas.

O argumento a favor da concentração. O mesmo desenho coloca uma grande quantidade de informação sensível nas mãos de um pequeno número de fornecedores de plataformas. Essas empresas já sabem muito sobre si, e associar uma identidade verificada ou um sinal de idade ao seu dispositivo ou conta acrescenta outra camada. Um único ponto de verificação é também um único ponto de falha, e um alvo tentador.

As questões em aberto. Os relatórios levantam, mas a fonte não responde completamente, a várias questões:

  • Que dados são recolhidos durante a verificação, e são retidos depois?
  • O resultado é partilhado com as aplicações como um simples indicador de idade, ou com mais detalhe?
  • A verificação pode ser realizada sem a associar a uma identidade do mundo real?
  • O que acontece às pessoas que usam dispositivos mais antigos, dispositivos partilhados, ou que não têm conta numa grande plataforma?

A viabilidade técnica também faz parte do debate. As verificações de idade já estão a ser contornadas de várias formas, como demonstrado pela burla da verificação de idade do Bluesky, que destacou lacunas mesmo num sistema construído para cumprir a regulamentação. Mover a verificação para o telefone não fecha automaticamente essas lacunas.

Alternativas a entregar o documento de identidade à Apple, à Google e às aplicações

O artigo de origem não detalha métodos alternativos, pelo que o seguinte é orientação geral sobre os tipos de opções que os utilizadores podem encontrar, e não uma descrição de qualquer esquema específico do Reino Unido.

A garantia de idade pode assumir diferentes formas, e recolhem quantidades muito diferentes de dados:

  • Verificações de documentos envolvem o carregamento de um documento de identidade oficial. São precisas mas recolhem os dados mais sensíveis.
  • Estimativa de idade facial analisa uma imagem do rosto para estimar a idade. Pode não exigir um documento de identidade, mas envolve processamento biométrico.
  • Sinais baseados na conta dependem de informação que a plataforma já detém sobre si.
  • Abordagens do tipo credencial visam provar que tem mais de uma determinada idade sem revelar quem é. Se alguma é oferecida depende do serviço e do fornecedor.

Quando lhe é dada uma escolha, o método menos ávido de dados é geralmente o melhor para a privacidade. Verifique se um fornecedor afirma que elimina imagens ou documentos após a verificação, e se é um terceiro ou a própria plataforma.

Onde os VPN se inserem, e onde não se inserem

Um VPN encripta a sua ligação e mascara o seu endereço IP dos sites que visita. Não altera o que o sistema operativo do seu telefone sabe sobre si, e não remove uma verificação de idade associada ao seu dispositivo ou conta.

Esse é o limite fundamental. Se a verificação passar para a camada do SO ou da loja de aplicações, o papel de mascaramento de localização de um VPN pode importar menos, porque a verificação deixa de depender de onde o seu tráfego parece vir. Um VPN ainda protege o seu tráfego do seu fornecedor de rede e de curiosos em Wi-Fi público, mas não é uma solução alternativa à verificação de idade num modelo ao nível do dispositivo, e não protege um documento de identidade que já entregou.

A política também avançou neste domínio. O governo abandonou o seu plano de restringir o uso de VPN depois de a sua própria investigação ter refutado o raciocínio por trás dele. Anteriormente, o comportamento dos utilizadores contou a sua própria história: as adesões a VPN aumentaram 1.800% um ano após o início do regime de verificação de idade.

O que isto significa para si

Nada nos relatórios sugere que deva agir hoje, mas a direção é clara. A verificação de idade pode tornar-se algo que o seu telefone trata, em vez de cada site que visita. Isso poderá ser um ganho de privacidade se limitar quantas empresas veem o seu documento de identidade, ou uma perda se associar a sua identidade mais estreitamente a alguns fornecedores.

A sua alavancagem prática está no momento do consentimento. Antes de concordar com qualquer verificação, descubra o que é recolhido, quem o processa e por quanto tempo é conservado.

Pontos-chave

  • Leia o ecrã de consentimento de qualquer verificação de idade e note se pede um documento, uma digitalização facial ou apenas um sinal de conta existente.
  • Prefira métodos que confirmem apenas que tem mais de uma determinada idade, e não quem é.
  • Reveja as definições de conta e privacidade do seu telefone para saber o que o seu SO e loja de aplicações já detêm.
  • Use um VPN para o que ele faz bem, proteger a sua ligação, e não como substituto do escrutínio dos dados de identidade.
  • Acompanhe como os reguladores definem o modelo final. A privacidade da verificação de idade por telefone no Reino Unido dependerá de detalhes ainda não públicos.

Para contexto sobre como as pessoas reagiram até agora, consulte a nossa cobertura da decisão do governo de abandonar o seu plano de restrição de VPN e o aumento das adesões a VPN após um ano de verificações de idade.