Överhuset kräver ansvar för misslyckanden med åldersverifiering

Det brittiska överhuset har inlett en formell utredning av Online Safety Act, som lanserades den 27 juli, efter allt fler bevis på att lagens åldersverifieringskrav orsakar verklig skada för just de personer de var avsedda att skydda. Utredningen kommer att granska varför leverantörer av åldersverifiering, de tredjepartsföretag som har i uppgift att bekräfta användares ålder innan de får tillgång till visst onlineinnehåll, har drabbats av dataintrång som exponerade statligt utfärdade identitetshandlingar.

Online Safety Act, ett av Storbritanniens mest ambitiösa försök att reglera onlineinnehåll, kräver att plattformar som tillhandahåller vuxenmaterial eller annat åldersbegränsat innehåll verifierar att användare uppfyller minimiåldersgränser. I praktiken har detta inneburit att man laddar upp pass, körkort eller andra officiella identitetshandlingar till tredjeparts verifieringstjänster. När dessa tjänster drabbas av intrång är följderna inte ett läckt lösenord. Det är en läckt statlig identitetshandling, permanent kopplad till en persons surfvanor och kontoaktivitet.

När regelefterlevnad skapar nya risker

Utredningens omfattning sträcker sig bortom dataintrång. Överhuset undersöker också varför lagen misslyckades med att blockera tillgången till ett forum som främjar självmord, ett fall som väcker obekväma frågor om huruvida lagens verkställighetsmekanismer faktiskt riktar in sig på de skador lagstiftarna avsåg att åtgärda. Om åldersgrindar kan kringgås eller helt enkelt inte gäller för de plattformar som orsakar den allvarligaste skadan, blir den integritetskostnad som åläggs alla andra svårare att rättfärdiga.

Det kanske mest slående som framkommit är att överlevare av övergrepp som söker stödtjänster enligt uppgift har tvingats lämna in identitetshandlingar innan de fått tillgång till hjälp. För någon som vänder sig till en stödorganisation i ett utsatt ögonblick innebär kravet på att lämna ifrån sig pass eller körkort till en tredjepartsleverantör av åldersverifiering – en leverantör som eventuellt saknar adekvata säkerhetsrutiner – en barriär som inte har något med själva stödet att göra. Det skapar också en permanent registrering som kopplar en persons identitet till deras användning av den tjänsten, en registrering som inte behövde existera innan lagens krav på regelefterlevnad trädde i kraft.

Detta är den grundläggande spänning som överhusets utredning brottas med: en lag som utformats för att skydda minderåriga på nätet har i praktiken tvingat vuxna att ge upp betydande mängder integritet, ibland utan en tydlig säkerhetsvinst. Leverantörer av åldersverifiering omfattas vanligtvis inte av samma säkerhets- och ansvarsskyldighetsstandarder som banker eller myndigheter, men de är nu förvaltare av precis den typ av känsliga identitetsuppgifter som dessa institutioner är byggda för att skydda.

Ett bekant mönster bortom Storbritannien

Storbritannien är långt ifrån ensamt om att brottas med kollisionen mellan innehållsreglering och digital integritet. Regeringar världen över har i allt högre grad vänt sig till tekniska mandat, oavsett om det är åldersgrindar, innehållsfilter eller blockeringsorder, som omformar hur vanliga användare interagerar med internet. I Italien har tillsynsmyndigheter drivit aggressiv verkställighet mot företag som motsätter sig registrering i landets Piracy Shield-blockeringssystem, vilket har lett till motstånd från infrastrukturleverantörer som oroas över övergrepp. I Indien har föreslagna ändringar av IT-regler skapat oro bland förespråkare för yttrandefrihet och integritet, som ser en skärpt statlig kontroll förklädd till rutinmässig regelefterlevnad.

Det som binder samman dessa berättelser är ett mönster: välmenande reglering, inriktad mot verkliga problem som barnsäkerhet eller piratkopiering, kommer ofta med genomförandedetaljer som skapar nya integritetsrisker eller oavsiktliga konsekvenser för den bredare befolkningen. Storbritanniens dataintrång inom åldersverifiering är ett konkret, dokumenterat exempel på detta mönster där känsliga statliga ID-uppgifter står på spel.

Vad detta innebär för dig

Om du är bosatt i Storbritannien och har verifierat din ålder på någon plattform sedan Online Safety Acts krav trädde i kraft, är det värt att kontrollera om den leverantören har rapporterat ett dataintrång och i så fall vilka uppgifter som exponerades. Läckta identitetshandlingar är svårare att åtgärda än ett läckt lösenord: du kan inte enkelt byta ditt passnummer. Överväg att övervaka din kreditvärdighet och identitet för ovanlig aktivitet om du har lämnat in ID-uppgifter till en verifieringstjänst.

Mer allmänt är denna utredning en påminnelse om att lagar om åldersverifiering och innehållsmoderering, hur välmenande de än är, medför verkliga avvägningar för integriteten. Läsare bör vara uppmärksamma på vilka tjänster som faktiskt kräver statlig legitimation jämfört med de som använder mindre integritetskränkande verifieringsmetoder, och vara försiktiga med vilka plattformar de anförtror den informationen till.

Viktiga slutsatser

  • Kontrollera om någon leverantör av åldersverifiering som du har använt har rapporterat ett dataintrång, och var uppmärksam på tecken på identitetsmissbruk.
  • Föredra plattformar och tjänster som använder integritetsbevarande metoder för åldersverifiering framför de som kräver fullständig uppladdning av ID-handlingar.
  • Följ överhusets utrednings framsteg, dess resultat kan forma hur åldersverifiering implementeras i Storbritannien framöver.
  • Inse att Online Safety Acts problem med åldersverifiering speglar en bredare global spänning mellan innehållsreglering och digital integritet, en spänning som sannolikt kommer att återkomma i takt med att fler länder inför liknande lagar.

Överhusets utredning kommer inte att lösa dessa spänningar över en natt, men den utsätter ett system för verklig granskning som hittills har krävt mycket av vanliga användare i utbyte mot osäkert skydd.