Проверки возраста по EU KIDS Act не будут соответствовать правилам британского Ofcom

Два регулятора, два разных представления о «безопасности»

Тех, кто надеется, что единый инструмент проверки возраста сможет удовлетворить требования как регуляторов Европейского союза, так и Великобритании, ждёт сюрприз. Согласно юридическому анализу проекта EU KIDS Act Европейской комиссии, Брюссель движется к предписывающей модели, которая потребует сертифицированной технологии проверки возраста с нулевым разглашением. Тем временем британский регулятор связи Ofcom выбрал совершенно иной путь, установив стандарт, ориентированный на результат, который фокусируется на итогах, а не предписывает конкретный технический метод.

Это различие имеет огромное значение для платформ, разработчиков приложений и защитников приватности. Оно также важно для обычных пользователей, которых попросят подтвердить свой возраст для доступа к онлайн-сервисам — будь то социальные сети, игровые платформы или другой цифровой контент, направленный на защиту несовершеннолетних.

Сертифицированный подход ЕС с нулевым разглашением

Предложение Европейской комиссии, являющееся частью более широкого законодательного наступления, которое уже привлекло внимание из-за утечки планов ограничить доступ к социальным сетям для лиц младше 15 лет, по-видимому, отдаёт предпочтение конкретной технической архитектуре: сертифицированной проверке возраста с нулевым разглашением. На практике доказательства с нулевым разглашением — это криптографические методы, позволяющие системе подтвердить факт, например, что человек старше определённого возраста, не раскрывая при этом исходные персональные данные, использованные для установления этого факта.

В теории это концепция, ориентированная на приватность. Вместо загрузки скана паспорта или изображения лица стороннему верификатору система с нулевым разглашением в идеале позволила бы пользователю доказать соответствие возрастному порогу, сохраняя в тайне свою фактическую дату рождения, удостоверяющие личность документы и биометрические данные. Но требование «сертификации» этого метода вводит слой бюрократии и стандартизации, для которого пока нет чёткой, повсеместно принятой технической базы на территории ЕС. Платформам, работающим в Европе, придётся внедрять не просто любую проверку с сохранением приватности, а ту, что соответствует конкретной планке сертификации, установленной регуляторами.

Такой предписывающий подход уже вызвал дискуссии. Более ранние публикации о законодательстве, включая опасения, что оно может навязать требования проверки возраста онлайн-играм, указывают на широкий охват затрагиваемых сервисов, касающийся не только социальных сетей, но и интерактивных развлечений и других платформ, популярных среди молодых пользователей.

Стандарт Ofcom, ориентированный на результат

По другую сторону Ла-Манша подход Великобритании в рамках Ofcom выглядит совершенно иначе. Вместо обязательного предписания конкретного криптографического метода Ofcom установил так называемый стандарт результата. Это означает, что платформы располагают свободой в выборе способа проверки возраста, если сам процесс проверки действительно достигает намеченного результата: недопущения несовершеннолетних пользователей к контенту или функциям с возрастными ограничениями.

Такая гибкость на первый взгляд звучит привлекательно, но она также создаёт неопределённость. Без единого технического мандата компании, работающие в Великобритании, могут применять лоскутную совокупность методов проверки — от проверки документов до оценки возраста по лицу и услуг сторонних верификаторов, — каждый из которых имеет свои компромиссы в плане приватности. Стандарт, ориентированный на результат, перекладывает больше ответственности на платформы за доказательство работоспособности выбранного метода, вместо того чтобы дать им чёткий технический план действий.

Последствия для приватности при фрагментированной системе

Основная проблема, высвечиваемая этим регуляторным расхождением, заключается в том, что единая система проверки возраста, построенная для соответствия требованиям сертификации ЕС, может не соответствовать автоматически критерию результата Ofcom, и наоборот. Компаниям, работающим на обоих рынках, а это большинство крупных платформ, вероятно, потребуется запускать отдельные или адаптированные системы проверки для пользователей из ЕС и Великобритании.

Такая фрагментация влечёт реальные последствия для приватности. Больше систем проверки означает больше точек, где персональные данные — биометрические, документальные или поведенческие — могут собираться, обрабатываться или потенциально оказываться под угрозой раскрытия. Это также означает, что пользователи могут столкнуться с непоследовательной защитой приватности в зависимости от того, откуда они входят в систему. Система с нулевым разглашением в ЕС может действительно минимизировать раскрытие данных, тогда как метод загрузки документов, используемый для соответствия стандарту результата Ofcom в Великобритании, может предполагать передачу значительно большего объёма личной информации.

Для небольших платформ и разработчиков, не располагающих ресурсами для создания или лицензирования сертифицированных инструментов проверки, специфичных для каждой юрисдикции, бремя соблюдения требований может оказаться значительным. Это, в свою очередь, может подтолкнуть некоторые сервисы к сторонним поставщикам услуг верификации, ещё больше концентрируя чувствительные данные о возрасте и личности в руках меньшего числа компаний.

Что это значит для вас

Если вы пользуетесь социальными сетями, игровыми платформами или другими онлайн-сервисами, подпадающими под EU KIDS Act или британские правила онлайн-безопасности, ожидайте, что в ближайшие месяцы и годы вы столкнётесь с большим количеством запросов на проверку возраста, и что тип проверки будет варьироваться в зависимости от платформы и вашего местоположения. Запрос селфи, сканирования документа или криптографического подтверждения возраста сам по себе не обязательно является тревожным сигналом, но стоит понимать, что каждый метод на самом деле делает с вашими данными.

Проверки на основе нулевого разглашения, как правило, являются более защищающим приватность вариантом, поскольку они разработаны для подтверждения возраста без раскрытия вашей полной личности. Загрузка документов или биометрических данных несёт больше рисков, поскольку эти данные должны кем-то храниться, обрабатываться или проверяться, пусть даже временно. Чтение политики конфиденциальности платформы перед прохождением проверки возраста, когда это возможно, остаётся одним из лучших способов понять, на что вы соглашаетесь.

Ключевые выводы

EU KIDS Act и британская система Ofcom движутся к разным техническим требованиям к проверке возраста, а значит, ни одно единое решение не удовлетворит оба режима. Пользователям следует обращать внимание на то, какой метод проверки использует платформа, отдавать предпочтение сервисам, которые чётко раскрывают свои практики обращения с данными, и быть осторожными с загрузкой удостоверяющих личность документов, когда существует менее инвазивная альтернатива. По мере дальнейшего развития этого законодательства следует ожидать продолжения scrutiny в отношении того, как эти расходящиеся правила влияют как на результаты в области безопасности детей, так и на повседневную приватность пользователей.