En ny rapport från Cato Institute ger nytt tyngd åt en debatt som i många länder rör sig från teori till lag. I "Online Age Verification Has Guaranteed Costs and Uncertain Benefits" identifierar författarna sex centrala kostnader eller skador som beslutsfattare bör räkna med när de väger regler för ungas onlinesäkerhet. För läsare av en integritetssajt sticker integritetsriskerna med åldersverifiering ut, eftersom de berör de uppgifter du lämnar över, risken för dataläckor och pressen på verktyg som VPN.

En notering om omfattningen: blogginlägget som tillkännager rapporten sammanfattar den bara och listar inte alla sex kostnader. Den här artikeln fokuserar på de som är mest relevanta för integritet och hämtar kontext från annan rapportering av vpn.social.

Vad åldersverifiering kräver att du lämnar över

Kärnargumentet i rapportens titel är en asymmetri. Kostnaderna för åldersverifiering beskrivs som garanterade, medan fördelarna beskrivs som osäkra. Alla som använder en tjänst som omfattas betalar kostnaden, oavsett om policyn till slut skyddar ett enda barn.

I praktiken börjar kostnaden med data. Att bevisa sin ålder online innebär vanligtvis att man ger en tjänst, eller en tredjepartsverifierare som arbetar för den, något mer känsligt än ett födelseår. Det kan innebära en ID-handling eller en biometrisk skanning. I åratal var ålderskontroller på platser som Irland inte mycket mer än ett formulärfält, vilket vi tog upp i vår genomgång av Irlands ålderskontroller enligt Online Safety Code och integritetsavvägningen. Att ersätta det med riktig verifiering är poängen med de nya reglerna, men det förändrar också vad en vanlig inloggning innebär.

Varifrån integritetsriskerna med åldersverifiering kommer

Risken är inte bara att ett företag samlar in din ID-handling. Det är att en ny pool av känsliga register nu existerar, och register kan läcka, missbrukas eller bevaras längre än någon avsett. Ju fler tjänster som kräver kontroller, desto fler platser kan en kopia av dina identitetsuppgifter finnas på.

Tre saker gör detta värt att ta på allvar:

  • Känslighet: ID-handlingar och biometriska data är svåra att ändra om de exponeras. Du kan inte återställa ett ansikte på samma sätt som du återställer ett lösenord.
  • Skala: Ett krav gäller alla, så poolen av drabbade är långt större än den grupp policyn syftar till att skydda.
  • Koppling: Verifiering knyter en verklig identitet till aktivitet som tidigare kan ha varit anonym eller pseudonym.

Biometri förtjänar särskild uppmärksamhet. Vår rapportering om medborgarrättsgrupper som pressar Nottinghamshire Police att stoppa ansiktsigenkänning visar hur oroade intresseorganisationer är över ansiktsbaserade system i allmänhet, även utanför ålderskontrollernas sammanhang.

Varför VPN blir en del av policykampen

När en regel är svår att leva med söker människor efter kringgångar, och VPN är den uppenbara. Det placerar dem i centrum för debatterna om efterlevnad.

Storbritannien är ett tidigt exempel. Regeringsforskning visade att en betydande andel av barn använder VPN för att slinka förbi kontroller enligt Online Safety Act, vilket vi beskrev i vår rapport om att 1 av 4 barn använder VPN för att kringgå ålderskontroller. Det fyndet går rakt på rapportens poäng om osäkra fördelar: om ett krav kan kringgås på det här sättet är skyddet det ger mindre säkert än det ser ut.

Tillsynsmyndigheter lägger också märke till det. Dokument som erhållits enligt regler om allmän handling visade att Australiens eSafety Commissioner förväntar sig att leverantörer aktivt blockerar VPN och andra kringgångar, vilket vi rapporterade i eSafety FOI-dokumenten. För integritetsmedvetna användare är detta oron: ett verktyg som många använder för vanlig säkerhet kan hamna under press på grund av en policy som riktar sig mot ett annat problem.

Vad detta innebär för dig: Väg avvägningarna för dina egna data

Du styr inte över om en lag antas, men du styr över hur mycket du delar när en kontroll dyker upp. Några praktiska vanor hjälper:

  • Fråga vad som samlas in och sparas. Innan du laddar upp en ID-handling eller en ansiktsskanning, leta efter ett tydligt uttalande om huruvida uppgifterna lagras, vem som behandlar dem och hur länge de bevaras.
  • Föredra det minst invasiva alternativet som erbjuds. Om en tjänst ger flera sätt att bekräfta ålder, välj det som avslöjar minst.
  • Behandla verifieringsdata som högt värdefulla. Använd unika lösenord och stark kontosäkerhet på alla tjänster som har dina identitetsuppgifter, och håll utkik efter meddelanden om dataintrång.
  • Var försiktig med kringgångar. Ett VPN kan skydda din anslutning, men det är inte ett garanterat sätt runt ålderskontroller, och vissa tillsynsmyndigheter riktar sig uttryckligen mot sådana kringgångar. Kontrollera en tjänsts villkor innan du förlitar dig på ett.
  • Följ hur dina plattformar genomför kontroller. Spel- och underhållningstjänster rullar ut egna processer, som den i Blizzards guide för åldersverifiering på Battle.net i Storbritannien.

Slutsatsen

Cato-rapporten hävdar inte att det är oviktigt att skydda unga online. Dess påstående är att beslutsfattare ärligt bör räkna de garanterade kostnaderna, inklusive de integritetsrisker med åldersverifiering som drabbar varje användare, innan de antar att fördelarna motiverar dem. Oavsett vilken sida du står på är avvägningarna verkliga och värda att förstå innan du lämnar över en ID-handling eller en ansiktsskanning.

För att se hur dessa avvägningar spelar ut i verkliga regelverk, läs vår artikel om Irlands integritetsavvägning vid ålderskontroller och vår rapport om brittiska barn som använder VPN för att kringgå ålderskontroller.