Нещодавній епізод від Американського інституту підприємництва (AEI) ставить на порядок денний гостре питання: чи можемо ми підтвердити вік, не відмовляючись від своєї приватності? Ведучий Шейн разом із Скоттом Вієном, Гаррі Оппенгеймером і Полом Лекасом обговорюють міжнародні закони про перевірку віку, виклики кібербезпеки та суміжні теми. Опубліковане резюме коротке, тому цей пост не намагається передати, що саме сказав кожен гість. Натомість він використовує питання епізоду як відправну точку, щоб пояснити основні підходи до перевірки віку та приватності, а також що читачі можуть із цим робити.

Чому перевірка віку є проблемою приватності

Закони про вікові обмеження ставлять просте питання: чи достатньо дорослий цей відвідувач? Однак надійна відповідь на нього зазвичай означає збір чогось чутливого. Прапорець «Мені понад 18» легко обійти, тому законодавці в багатьох місцях хочуть сильнішого підтвердження. Таким підтвердженням може бути державне посвідчення особи, сканування обличчя або дані з іншого надійного джерела.

Кожен варіант створює компроміс. Чим більше сервіс упевнений у вашому віці, тим більше він, як правило, дізнається про вас. А щойно зібрано документи, що посвідчують особу, або біометричні дані, вони стають тим, що можна зберігати, злити або використати не за призначенням. Це і є виклик кібербезпеки, що лежить в основі цієї дискусії.

Порівняння трьох підходів

Не існує єдиного стандарту того, як перевіряти вік онлайн. Методи, які найчастіше обговорюються, різняться тим, скільки вони розкривають.

Завантаження ID. Користувач надсилає фото водійського посвідчення або паспорта, іноді разом із селфі. Це просто реалізувати для сайту, але це концентрує надзвичайно чутливі документи в того, хто їх обробляє. Користувачі повинні довіряти як сайту, так і будь-якому постачальнику послуг, якого він використовує для обробки та видалення цих даних.

Сторонні токени. Окремий постачальник один раз підтверджує ваш вік, а потім видає токен або облікові дані, які сайти можуть приймати. Сайт дізнається лише те, що ви пройшли перевірку. Ризик переходить до емітента токена, який може знати про вас багато, і до того, наскільки добре система запобігає відстеженню між сайтами.

Докази з нульовим розголошенням. Ця криптографічна техніка дозволяє довести твердження (наприклад, «мені понад 18») без розкриття основних даних, як-от дата народження чи ім'я. Теоретично це забезпечує найсильнішу приватність. На практиці це залежить від того, чи видаються надійні облікові дані взагалі, і від широкого впровадження сайтами та пристроями.

Жоден із цих підходів не є досконалим. Дизайни, дружні до приватності, як правило, складніше впроваджувати, тоді як дизайни, прості у впровадженні, як правило, збирають більше даних.

Закони множаться, а відповідальність є спірною

Політична картина швидко змінюється. У Сполучених Штатах поширення законів на рівні штатів було значним: наш матеріал про 27 штатів, які ухвалили закони про перевірку віку показує, наскільки широко поширилася ця тенденція і як деякі творці чинять опір. У Флориді сайти для дорослих повинні перевіряти відвідувачів згідно з HB 3, і ми пояснили, як закон Флориди про перевірку віку трактує використання VPN.

На міжнародному рівні ЄС також розглядає це питання. За повідомленнями, Європейська комісія готує EU Kids Act, який міг би змусити онлайн-ігри до перевірки віку. Водночас те, хто несе відповідальність за ці перевірки, саме по собі є спірним: за повідомленнями, Apple і Google лобіювали, щоб вилучити відповідальність із законопроєктів про перевірку віку. Те, на кого ляже відповідальність, визначить, який технічний підхід оберуть компанії.

Зосередженість епізоду AEI на міжнародних законах відповідає цій схемі. Різні юрисдикції тягнуться до різних інструментів, і результати для приватності значною мірою залежать від деталей.

Що це означає для вас

Для більшості людей практичний ефект полягає в більшій кількості запитів на підтвердження віку та більшій невизначеності щодо того, що відбувається з даними, які ви надаєте. Варто пам'ятати кілька моментів:

  • Запитуйте, що збирається і зберігається. Шукайте заяви про те, чи видаляються зображення ID або сканування обличчя після перевірки.
  • Надавайте перевагу методам, які розкривають менше. Якщо сервіс пропонує вибір, варіант, який підтверджує лише «понад 18», зазвичай кращий за той, що зберігає повний документ.
  • Очікуйте, що VPN будуть частиною розмови. Закони про вікові обмеження прив'язані до місцезнаходження, тому використання VPN може з ними взаємодіяти. VPN змінює ваше видиме місцезнаходження, але не змінює юридичних зобов'язань сайту, і правила різняться залежно від юрисдикції. Перевіряйте конкретний закон, що застосовується до вас, а не робіть припущень.
  • Остерігайтеся схожих на справжні перевірок. Фальшиві сторінки перевірки можуть імітувати справжні, щоб збирати документи. Переконайтеся, що ви потрапили на сайт за посиланням, якому довіряєте.

Ключові висновки

Дискусія в AEI ставить правильне питання, і чесна відповідь полягає в тому, що все залежить від дизайну. Перевірка віку та приватність можуть співіснувати лише за умови, що системи мінімізують зібрані дані, обмежують зберігання та уникають відстеження користувачів між сайтами. Доки такі дизайни не стануть поширеними, ставтеся до кожного запиту на ID або біометрію як до рішення, над яким варто зупинитися.

Щоб захистити себе: діліться мінімумом необхідного, використовуйте надійні та унікальні паролі для будь-яких облікових записів, створених під час перевірки, і стежте за тим, як розвиваються закони у вашому регіоні. Поінформованість — найкращий захист, поки правила й технології продовжують усталюватися.