Does UK law require platforms to log every single age check?

No. No regulator requires a log of every age check; the law requires platforms to demonstrate their age assurance systems meet Ofcom's 'highly effective' standard.

What records can Ofcom actually demand during an investigation?

Ofcom can require records that prove the age assurance process meets the required standard, such as method logs, error rates, and audit documentation. It cannot force companies to retain personal identity documents or biometric scans beyond what is needed to demonstrate compliance.

Is keeping a scanned ID on file after an age check a legal requirement?

No. Any retention beyond what is needed to demonstrate compliance is a business decision, not a legal obligation.

What must platforms provide as evidence that their age assurance works?

They need audit trails showing the method used, whether the check passed or failed, and enough documentation to prove compliance if challenged.

What example does the article give of Ofcom using its enforcement powers?

The article cites the Ofcom TikTok age verification probe, where Ofcom opened a formal investigation and demanded evidence of how age checks were actually conducted.

UK:s Åldersverifierings Dataposter: Vad Ofcom Kan Kräva

Vad UK:s Lag Faktiskt Kräver att Plattformar Loggar Under Ålderskontroller

En vanlig missuppfattning om Storbritanniens regler för ålderssäkring är att varje enskild ålderskontroll loggas, lagras och görs tillgänglig för tillsynsmyndigheter på begäran. Ny branschvägledning bemöter det antagandet direkt: ingen tillsynsmyndighet kräver en logg över varje ålderskontroll. Den distinktionen spelar roll, eftersom den skiljer vad UK:s lag om dataposter för åldersverifiering verkligen kräver från vad plattformar helt enkelt väljer att behålla som affärspraxis.

Inom ramen för Online Safety Act förväntas plattformar som använder ålderssäkringsverktyg (oavsett om det är ansiktsuppskattning, ID-dokumentskontroller eller tredjepartsverifieringstjänster) visa att deras system fungerar som avsett och uppfyller den "högst effektiva" standard som Ofcom har satt. Det innebär att leverantörer behöver viss bevisning för att deras process fungerar: revisionsspår som visar vilken metod som användes, om den godkändes eller underkändes, och tillräcklig dokumentation för att bevisa efterlevnad om den ifrågasätts. Vad det inte innebär, enligt vägledningen, är ett juridiskt krav att permanent lagra detaljerade poster som knyter en specifik individ till en specifik kontroll, komplett med det underliggande dokumentet eller bilden, på obestämd tid.

Det är en viktig nyans för alla som försöker förstå vad som händer med deras data efter att de laddat upp ett passfoto eller genomgått en ansiktsskanning. Lagen sätter en efterlevnadsnivå. Den sätter inte ett golv för datalagring.

Vad Ofcom Kan Tvinga Fram vs. Vad Som Är Frivillig Journalföring

Ofcoms tillsynsbefogenheter är verkliga, och tillsynsmyndigheten har redan visat att den är villig att använda dem. Den pågående Ofcoms TikTok-åldersverifieringsutredning är ett tydligt exempel: när Ofcom misstänker att en plattform har misslyckats med sina skyldigheter för barnsäkerhet kan myndigheten inleda en formell utredning och kräva bevis på hur ålderskontroller faktiskt genomfördes, inte bara policy dokument som beskriver hur de är tänkta att fungera.

Men det finns en skillnad mellan vad Ofcom kan tvinga fram under en utredning och vad ett företag beslutar att proaktivt behålla, ifall att. Ofcom kan kräva poster som bevisar att en plattforms ålderssäkringsprocess uppfyller den krävda standarden, såsom metodloggar, felfrekvenser och revisionsdokumentation. Vad myndigheten inte kan göra är att tvinga företag att behålla personliga identitetshandlingar eller biometriska skanningar utöver vad som behövs för att visa efterlevnad. All ytterligare lagring, såsom att behålla ett skannat ID i månader efter att en kontroll är slutförd, är ett affärsbeslut, inte en juridisk skyldighet. Vissa plattformar kan överlagra data av försiktighet, ansvarshänsyn eller helt enkelt dålig datahygien, och det gapet mellan vad som krävs och vad som behålls är där integritetsrisker tenderar att koncentreras.

Integritetsrisker med Datalagring för Ålderssäkring för Användare

Denna distinktion har verkliga konsekvenser för vanliga användare. Om lagen bara kräver bevis på att en kontroll ägde rum, men en plattform väljer att lagra det underliggande dokumentet eller den biometriska bilden ändå, blir den datan en skuld som ligger på en server någonstans, på obestämd tid, utan regulatorisk anledning. Det är den typen av överlagring som förvandlar en rutinmässig ålderskontroll till en långsiktig integritetsexponering.

Användare som navigerar dessa system har i allmänhet ingen insyn i vilken kategori deras data hamnar i. Kastades en passskanning efter verifiering, eller arkiverades den? Raderades en ansiktsuppskattningsbild omedelbart, eller behölls som träningsprov? Vägledningen föreslår att användare direkt ska fråga leverantörer vad deras lagringspolicy är, eftersom UK:s lag i sig inte sätter en enhetlig nationell standard utöver allmänna dataskyddsskyldigheter. Denna osäkerhet är en del av varför den parlamentariska debatten om Online Safety Acts integritetspåverkan har uppmärksammats av parlamentsledamöter som är oroade över att åldersverifieringskrav skapar nya datainsamlingsrisker utan motsvarande transparenskrav.

Var VPN:er och Krypterad DNS Kan och Inte Kan Hjälpa

En VPN kan maskera din IP-adress och allmänna plats, och krypterad DNS kan förhindra din internetleverantör från att se vilka webbplatser du besöker. Inget av verktygen påverkar själva ålderssäkringsprocessen. Om en plattform kräver en ansiktsskanning, ID-uppladdning eller bankkontokontroll för att bevisa din ålder, gör en VPN ingenting för att förhindra att den datan samlas in, överförs eller lagras av verifieringsleverantören. VPN:er skyddar nätverksnivåmetadata, inte innehållet i ett formulär du skickar direkt till en webbplats.

Vad en VPN kan göra är att minska mängden sekundär data som samlas in kring själva verifieringshändelsen, såsom din ungefärliga plats eller ISP-tilldelade identifierare, som vissa plattformar kan logga tillsammans med ålderskontrollen som en del av bedrägeriförebyggande. Det är en blygsam integritetsfördel, inte ett sätt att helt kringgå åldersverifieringskrav, och användare bör vara varnade för alla verktyg som marknadsförs som en genväg förbi lagstadgade ålderskontroller.

Vad Detta Betyder För Dig

Om du ombeds genomföra en ålderskontroll på en UK-plattform är det säkraste antagandet att din datas öde helt beror på den specifika leverantörens lagringspolicy, inte ett enhetligt lagstadgat mandat. Innan du skickar känsliga dokument, leta efter ett tydligt uttalande om hur länge datan behålls och om den raderas efter verifiering. Föredra tjänster som använder uppskattningsmetoder framför dokumentuppladdning där det är möjligt, eftersom uppskattning vanligtvis kräver mindre permanent identifierbart material. Och om en plattform för närvarande är under regulatorisk granskning, såsom den pågående Ofcom-utredningen av TikToks praxis, behandla det som en signal att vara extra försiktig med vad du delar tills utgången är känd.

Viktiga Slutsatser

UK:s lag om dataposter för åldersverifiering kräver inte att leverantörer loggar varje kontroll på obestämd tid; den kräver bevis på att processen uppfyller efterlevnadsstandarder.
Ofcom kan tvinga fram revisionsbevis under en utredning, men kan inte tvinga fram lagring av personliga dokument utöver vad efterlevnad kräver.
All långsiktig lagring av ID-skanningar eller biometriska bilder utöver själva kontrollen är ett affärsval, inte ett juridiskt krav.
VPN:er och krypterad DNS skyddar integritet på nätverksnivå men förhindrar inte åldersverifieringsleverantörer från att samla in den data du skickar direkt.
Fråga leverantörer direkt om deras lagringspolicy innan du genomför någon ålderskontroll, särskilt på plattformar som för närvarande står inför regulatorisk granskning.