Каліфорнійські законодавці відступили від однієї з наймасштабніших пропозицій щодо перевірки віку в країні, але захисникам приватності не варто радіти передчасно. Із законопроєкту AB 1856, який мав би змусити веббраузери перевіряти вік користувачів перед наданням загального доступу до інтернету, це положення повністю вилучили. Водночас супутній закон AB 1043 (Digital Age Assurance Act) залишається повністю чинним і рухається за графіком. Починаючи з 1 січня 2027 року, перевірка віку на рівні операційної системи в Каліфорнії вимагатиме від Apple та Google збирати дати народження під час налаштування пристрою та передавати розробникам застосунків сигнали з віковою категорією. Вимога для браузерів зникла. Вимога для операційних систем — ні.

Що AB 1043 насправді вимагає від Apple і Google

Згідно з AB 1043, перевірка віку переміщується на вищий рівень — від окремих вебсайтів і застосунків до самого пристрою. Коли житель Каліфорнії налаштовує новий телефон, планшет або комп’ютер на iOS, Android чи іншій охопленій операційній системі, платформа запитуватиме дату народження як частину створення облікового запису. Ця дата не передається безпосередньо кожному застосунку, який встановлює користувач. Натомість ОС перетворює її на вікову категорію — загальну категорію на кшталт «до 13 років» або «13–17 років» замість точної дати народження — і передає цей сигнал розробникам, щоб вони могли відповідно скоригувати контент або функції.

Це суттєво відмінна архітектура від підходу на основі браузера, від якого законодавці відмовилися. Замість перевірки віку в момент відвідування вебсайту, система з першого дня вбудовує вікові дані в пристрій, і ці дані супроводжують користувача в усіх наступних застосунках. Сфера дії закону також виходить за межі основних платформ: згідно з повідомленнями, він широко застосовується до операційних систем, які продаються або використовуються в Каліфорнії, що породжує складні питання для менших і відкритих проєктів, які не мають інфраструктури комплаєнсу Apple чи Google.

Чому перевірку на рівні ОС складніше уникнути, ніж вимоги для браузерів

Ворота віку на основі браузера, хоч би які недоліки вони мали, принаймні обмежувалися браузером. Користувачі, які були проти, могли змінити браузер, використати інший профіль пристрою або різними способами обійти перевірку. Перевірка на рівні ОС не пропонує такої гнучкості. Щойно вікові дані зафіксовані під час налаштування пристрою, вони стають базовим шаром, на якому будується кожна наступна взаємодія із застосунком. Простої альтернативи на кшталт вибору іншого програмного забезпечення немає, тому що сама операційна система стає контролером доступу.

Ця відмінність важлива для всіх, хто обмірковує стратегію цифрової приватності. Одне розширення для браузера або вибір альтернативного браузера раніше могли дозволити уникнути вимоги перевірки віку. За AB 1043 перевірка відбувається ще до того, як користувач відкрив застосунок, на етапі створення облікового запису в життєвому циклі пристрою. Це структурний зсув, а не просто технічний, і він є частиною ширшого контексту занепокоєнь щодо урядового масового стеження, коли санкціонований державою збір даних вбудовується в інфраструктуру, з якою звичайні користувачі взаємодіють щодня, усвідомлюють вони це чи ні.

Мінімізація даних і ризики передачі вікової категорії

Прихильники AB 1043 наголошують, що закон розроблений на принципах мінімізації даних. Застосунки отримують лише вікову категорію, а не дату народження, і теоретично це обмежує обсяг особистої інформації, який потрапляє до сторонніх розробників. Але передача вікової категорії все одно створює стійкий сигнал, прив’язаний до особи користувача в потенційно сотнях застосунків протягом життя пристрою. Щойно цей сигнал існує, виникають питання про те, як довго розробники його зберігають, чи поєднують його з іншими даними стеження, і що станеться, якщо реалізація платформи не відповідатиме задуму закону.

Тут варто згадати попередній досвід Каліфорнії. Нещодавній аудит показав, що дотримання CCPA масово ігнорується на тисячах вебсайтів, попри те що штат має один із найсуворіших у країні законів про приватність споживачів. Ця історія є обґрунтованою підставою для скепсису щодо того, наскільки послідовно захист вікових категорій згідно з AB 1043 реально виконуватиметься після набрання законом чинності. Дата народження, зібрана під час налаштування, функціонально також є маленьким файлом cookie з ідентифікаційною інформацією, який зберігається протягом усього життя пристрою, за духом подібно до того, як браузерні cookie непомітно відстежують поведінку з часом, тільки тут це вбудовано на апаратному рівні, а не на вебсайті.

Що це означає для вас

Якщо ви живете в Каліфорнії, очікуйте, що будь-який новий пристрій Apple чи Google, який ви налаштовуватимете після 1 січня 2027 року, запитає дату народження, перш ніж ви зможете ним користуватися. Це не є опціональним на відміну від вікових воріт на вебсайті, і це не те, що можна обійти за допомогою VPN чи налаштувань браузера, оскільки перевірка відбувається на рівні операційної системи, а не на мережевому чи прикладному рівні. Практичний наслідок полягає в тому, що вікові дані стають частиною базової конфігурації вашого пристрою, надходячи в кожен наступний застосунок.

Для батьків це може означати більш послідовний контроль контенту в застосунках без потреби налаштовувати кожен з них окремо. Для дорослих, які піклуються про приватність, це означає ще один фрагмент особистих даних, назавжди прив’язаний до пристрою, при цьому якість правозастосування залишається відкритим питанням з огляду на нерівномірний досвід Каліфорнії у виконанні законів про приватність.

Висновки до 2027 року

Почніть стежити за тим, як Apple і Google повідомлятимуть про свої плани щодо виконання AB 1043 протягом наступного року, оскільки деталі реалізації визначать, скільки контролю користувачі реально збережуть над власними віковими даними. Ретельно перевіряйте налаштування приватності на будь-якому новому пристрої під час налаштування, замість швидкого натискання на підказки. І стежте за тим, як ця система перевірки віку на рівні ОС у Каліфорнії виконуватиметься на практиці, адже закон, який виглядає як такий, що захищає приватність на папері, вартий рівно стільки, скільки нагляд за ним.