Записи данных о проверке возраста в Великобритании: что может потребовать Ofcom

Что британское законодательство на самом деле требует от платформ регистрировать при проверках возраста

Распространенное заблуждение о британских правилах подтверждения возраста заключается в том, что каждая отдельная проверка возраста регистрируется, хранится и предоставляется регуляторам по первому требованию. Новые отраслевые рекомендации напрямую опровергают это предположение: ни один регулятор не требует ведения журнала каждой проверки возраста. Это различие важно, поскольку оно отделяет то, что закон Великобритании о записях данных проверки возраста действительно предписывает, от того, что платформы просто решают хранить в качестве деловой практики.

В рамках структуры Закона об онлайн-безопасности платформы, использующие инструменты подтверждения возраста (будь то оценка по лицу, проверка документов, удостоверяющих личность, или сторонние сервисы верификации), обязаны продемонстрировать, что их системы работают должным образом и соответствуют стандарту «высокой эффективности», установленному Ofcom. Это означает, что провайдерам необходимы определенные доказательства того, что их процесс функционирует: журналы аудита, показывающие использованный метод, прошел ли он проверку или нет, а также достаточная документация для подтверждения соответствия требованиям в случае оспаривания. Что это не означает, согласно рекомендациям, — это юридического требования постоянно хранить детальные записи, связывающие конкретного человека с конкретной проверкой, включая базовый документ или изображение, бессрочно.

Это важный нюанс для всех, кто пытается понять, что происходит с их данными после того, как они загружают фотографию паспорта или проходят сканирование лица. Закон устанавливает планку соответствия. Он не устанавливает минимальный срок хранения данных.

Что Ofcom может обязать предоставить, а что является необязательным ведением записей

Полномочия Ofcom по принуждению реальны, и регулятор уже показал, что готов их применять. Текущее расследование Ofcom в отношении проверки возраста в TikTok — наглядный пример: когда Ofcom подозревает, что платформа не выполнила свои обязательства по защите детей, он может начать официальное расследование и потребовать доказательства того, как фактически проводились проверки возраста, а не только политики, описывающие, как они должны работать.

Но есть разница между тем, что Ofcom может обязать предоставить в ходе расследования, и тем, что компания решает хранить на упреждающей основе, на всякий случай. Ofcom может потребовать записи, подтверждающие, что процесс подтверждения возраста на платформе соответствует требуемому стандарту, например журналы методов, показатели ошибок и документацию аудита. Что он не может сделать — так это заставить компании хранить личные документы, удостоверяющие личность, или биометрические сканы дольше, чем это необходимо для демонстрации соответствия. Любое дополнительное хранение, например, хранение отсканированного удостоверения личности в течение месяцев после завершения проверки, является деловым решением, а не юридическим обязательством. Некоторые платформы могут избыточно хранить данные из осторожности, опасений ответственности или просто из-за плохой гигиены данных, и именно в этом разрыве между требуемым и хранимым обычно концентрируется риск для конфиденциальности.

Риски для конфиденциальности при хранении данных подтверждения возраста для пользователей

Это различие имеет реальные последствия для обычных пользователей. Если закон требует только доказательства того, что проверка состоялась, но платформа решает хранить базовый документ или биометрическое изображение в любом случае, эти данные становятся обязательством, лежащим на сервере где-то бессрочно, без какой-либо регуляторной причины. Это тот вид избыточного хранения, который превращает рутинную проверку возраста в долгосрочную угрозу конфиденциальности.

Пользователи, взаимодействующие с этими системами, обычно не имеют возможности увидеть, в какую категорию попадают их данные. Было ли сканирование паспорта удалено после верификации или архивировано? Было ли изображение для оценки по лицу удалено немедленно или сохранено в качестве обучающего образца? Рекомендации предполагают, что пользователи должны напрямую спрашивать провайдеров об их политике хранения, поскольку само британское законодательство не устанавливает единого национального стандарта, помимо общих обязательств по защите данных. Эта неопределенность отчасти объясняет, почему парламентские дебаты о влиянии Закона об онлайн-безопасности на конфиденциальность привлекли внимание парламентариев, обеспокоенных тем, что требования проверки возраста создают новые риски сбора данных без соответствующих требований прозрачности.

Где VPN и зашифрованный DNS могут помочь, а где нет

VPN может скрыть ваш IP-адрес и общее местоположение, а зашифрованный DNS может помешать вашему интернет-провайдеру видеть, какие сайты вы посещаете. Ни один из этих инструментов не затрагивает сам процесс подтверждения возраста. Если платформа требует сканирование лица, загрузку удостоверения личности или проверку банковских записей для подтверждения вашего возраста, VPN не помешает сбору, передаче или хранению этих данных провайдером верификации. VPN защищают метаданные сетевого уровня, а не содержимое формы, которую вы отправляете непосредственно на веб-сайт.

Что VPN может сделать — так это уменьшить объем вспомогательных данных, собираемых вокруг самого события проверки, таких как ваше приблизительное местоположение или идентификаторы, присвоенные интернет-провайдером, которые некоторые платформы могут регистрировать вместе с проверкой возраста в рамках предотвращения мошенничества. Это скромное преимущество для конфиденциальности, а не способ полностью избежать требований проверки возраста, и пользователям следует остерегаться любых инструментов, рекламируемых как обход legally обязательных проверок возраста.

Что это значит для вас

Если вас просят пройти проверку возраста на британской платформе, самое безопасное предположение — что судьба ваших данных полностью зависит от политики хранения конкретного провайдера, а не от единого юридического мандата. Перед отправкой конфиденциальных документов ищите четкое заявление о том, как долго хранятся данные и удаляются ли они после верификации. Отдавайте предпочтение сервисам, использующим методы оценки, а не загрузку документов, где это возможно, поскольку оценка обычно требует меньше постоянно идентифицируемого материала. И если платформа в настоящее время находится под регуляторным контролем, например, текущее расследование Ofcom в отношении практик TikTok, относитесь к этому как к сигналу быть особенно осторожными с тем, чем вы делитесь, до выяснения результата.

Основные выводы

• Закон Великобритании о записях данных проверки возраста не требует от провайдеров вести журнал каждой проверки бессрочно; он требует доказательств того, что процесс соответствует стандартам соответствия.
• Ofcom может обязать предоставить доказательства аудита в ходе расследования, но не может заставить хранить личные документы дольше, чем этого требует соответствие.
• Любое долгосрочное хранение сканов удостоверений личности или биометрических изображений после самой проверки — это деловое решение, а не юридическое требование.
• VPN и зашифрованный DNS защищают конфиденциальность на сетевом уровне, но не предотвращают сбор данных, которые вы отправляете напрямую провайдерам проверки возраста.
• Спрашивайте провайдеров напрямую об их политике хранения перед прохождением любой проверки возраста, особенно на платформах, находящихся в настоящее время под регуляторным контролем.