Нове дослідження, замовлене ЄС, доходить висновку, що перевірка віку може захищати фундаментальні права за помірну ціну, і закликає до ширшого впровадження архітектури перевірки віку ЄС. Для читачів, яким небайдужа онлайн-анонімність, заголовок звучить заспокійливо. Складніше питання — що насправді охоплює фраза «керований ризик». Ця стаття розглядає приватність в архітектурі перевірки віку ЄС з практичного погляду: що каже дослідження, які дані задіюють ці перевірки та яке місце в цьому посідають користувачі VPN.

Примітка щодо джерел: доступний нам виклад дослідження є стислим. Там, де ми виходимо за його межі, ми описуємо, як перевірки віку зазвичай працюють, і чітко це позначаємо, а не приписуємо дослідженню деталі, яких у ньому може не бути.

Що насправді виявило дослідження ЄС

Згідно з матеріалом Biometric Update, дослідження було замовлене ЄС і доходить двох головних висновків. По-перше, перевірку віку можна здійснювати так, щоб захищати фундаментальні права. По-друге, витрати є відносно низькими. Поряд із цими висновками дослідження рекомендує ширше розгортання архітектури перевірки віку ЄС.

Архітектура — це запропонований ЄС технічний підхід до підтвердження віку користувача онлайн. Посил дослідження полягає в тому, що технологія й економіка не є головними перешкодами. Іншими словами, аргумент на користь розширення спирається на ідею, що ризики для приватності можна контролювати через дизайн, і що ціна цього не є непомірною.

Це значуща позиція, особливо з огляду на те, що політики зважують, чи слід юридично зобов'язати платформи перевіряти вік своїх користувачів. vpn.social висвітлював власне 150-сторінкове дослідження Комісії з цього питання в нашому попередньому репортажі про звіт ЄС щодо перевірки віку, який мав обережніший погляд на наслідки для приватності.

Які дані збирають перевірки віку від користувачів

Тип даних залежить від використовуваного методу. Перевірка віку — це широкий термін. Загалом методи можуть включати:

  • Перевірки на основі документів, коли користувач показує посвідчення особи або цифровий обліковий документ.
  • Оцінку віку за обличчям, коли зображення з камери аналізують, щоб визначити віковий діапазон.
  • Сигнали облікового запису або поведінки, коли сервіс виводить вік із того, як використовується обліковий запис.
  • Докази на основі облікових даних, коли користувач показує підтверджену ознаку (наприклад, що він старший за певний вік), не передаючи повної ідентичності.

Ці підходи мають дуже різні профілі приватності. Завантаження державного посвідчення особи третій стороні створює чутливий запис. Обліковий документ, що підтверджує лише віковий поріг, розкриває значно менше. Твердження дослідження про те, що права можна захистити, найправдоподібніше залежить від послідовного використання саме такого типу дизайну, а не від того, що найслабша реалізація стане нормою.

Для читачів корисне питання, яке варто ставити щодо будь-якої перевірки віку, є простим: що збирають, хто це отримує, як довго це зберігають і чи можна це пов'язати з моєю активністю?

Яке місце VPN у перевірці віку

Доступний нам виклад дослідження не розглядає VPN безпосередньо, тож ми не можемо сказати, яких висновків воно доходить щодо них. Що ми можемо сказати — це як зазвичай виникає це питання. VPN змінює видиме мережеве розташування з'єднання, що має значення, коли правила різняться за країнами. Вимоги щодо перевірки віку зазвичай прив'язані до юрисдикції, де працює сервіс або де розташовані його користувачі, тож люди часто питають, чи VPN змінює те, чи з'являється перевірка.

Якщо перевірка віку прив'язана до документа, що посвідчує особу, облікового документа чи облікового запису, а не до IP-адреси користувача, VPN її не усуває. Він просто не змінює те, що вимагає перевірка. І навпаки, VPN — це інструмент приватності, а не інструмент перевірки віку, і він не захищає інформацію, яку ви добровільно подаєте під час перевірки. Якщо ви передаєте посвідчення особи або скан обличчя, VPN не може «забрати назад» цю передачу.

Саме тому дизайн архітектури має значення для користувачів VPN. Систему, яка підтверджує вік, не розкриваючи ідентичності чи історії перегляду, легше узгодити з цілями користувачів, які дбають про приватність, ніж систему, що створює централізований запис.

Чому ризики для приватності в архітектурі перевірки віку ЄС залишаються спірними

«Керований» — не те саме, що «відсутній». Ризик може бути керованим на папері, але все одно залежати від умов, які важко гарантувати на практиці: послідовного впровадження на багатьох платформах, суворих обмежень на зберігання даних, незалежного нагляду та захисту від розповзання функцій, коли систему, створену для однієї мети, згодом використовують для іншої.

Вартість — окреме питання. Низька вартість для платформ і урядів не враховує витрат, які несуть користувачі, як-от виключення для людей без належних документів або дискомфорт від сканування обличчя. Висновок дослідження про помірну вартість варто взяти до уваги, але це не є повною відповіддю на занепокоєння щодо того, хто несе тягар.

Попередній звіт Комісії, який ми висвітлювали в звіті ЄС щодо перевірки віку, що порушує прапорці приватності, наголошував на занепокоєннях, які незручно сусідять із оптимістичнішим framing цього дослідження. Читання обох поряд — найкращий спосіб побачити, де насправді лежить справжня дискусія: не про те, чи технічно можливі перевірки віку, а про те, за яких гарантій вони мають існувати.

Що це означає для вас

Ніщо в дослідженні не змінює ваших зобов'язань сьогодні, але воно сигналізує про напрям руху. Ширше розгортання архітектури перевірки віку ЄС зробило б перевірки віку буденнішою частиною користування онлайн-сервісами в ЄС. Наскільки це вплине на вашу приватність, залежатиме від того, які методи оберуть платформи та наскільки суворо забезпечуватимуться обмеження на дані.

Практичні висновки

  • Надавайте перевагу перевіркам віку, які підтверджують лише те, що ви відповідаєте порогу, а не тим, що збирають повний документ, що посвідчує особу.
  • Перш ніж подавати посвідчення особи або скан обличчя, перевірте, хто його обробляє і як довго він зберігається.
  • Пам'ятайте, що VPN захищає ваше з'єднання, а не інформацію, яку ви вирішуєте надати під час перевірки.
  • Ставтеся до «керованого ризику» як до твердження, яке слід перевірити, а не як до гарантії.
  • Стежте за тим, як впроваджується архітектура, оскільки деталі матимуть більше значення, ніж заголовок.

Щоб побачити, як оптимізм дослідження співвідноситься з попередніми занепокоєннями, прочитайте висвітлення звіту Комісії від vpn.social: звіт ЄС щодо перевірки віку, що порушує прапорці приватності. Зважування обох — найясніший спосіб самостійно оцінити приватність в архітектурі перевірки віку ЄС.