Двопартійна група сенаторів представила законопроєкт, який докорінно змінить те, як онлайн у Сполучених Штатах працює верифікація віку. Сенатори Енді Кім (демократ, Нью-Джерсі), Адам Шифф (демократ, Каліфорнія), Синтія Ламміс (республіканка, Вайомінг) та Джон Баррассо (республіканець, Вайомінг) оприлюднили Акт про цифрове підтвердження віку — законопроєкт, який вимагає від постачальників операційних систем, як-от Apple і Google, збирати вік користувачів і передавати цю інформацію окремим додаткам на їхній запит.

Заявлена мета проста: захистити дітей від шкідливого контенту та хижацьких дизайнерських прийомів, закладених у багатьох додатках і платформах. Але механізм, на який спирається законопроєкт — зробити виробників пристроїв централізованими верифікаторами віку для всієї екосистеми додатків, — порушує саме ті питання приватності, які переслідували подібні зусилля в інших країнах.

Що передбачає Акт про цифрове підтвердження віку

Згідно з пропозицією, операційні системи смартфонів і планшетів повинні будуть визначати вікову категорію користувача та передавати цей сигнал додаткам, коли ті його запитають. Замість того, щоб кожен окремий додаток будував власну систему верифікації віку (часто інтрузивними методами, як-от завантаження документів чи сканування обличчя), тягар зміщується вгору — на кілька компаній, які контролюють мобільні операційні системи.

Співавтори законопроєкту підкреслили запобіжники щодо приватності як частину пакету, зокрема положення, що забороняють продаж або передачу даних дітей третім сторонам, а також обмеження таргетованої реклами для неповнолітніх. Таке подання має значення: законопроєкт позиціонується не лише як захід із безпеки дітей, а як безпечніша для приватності альтернатива клаптиковій системі перевірок на рівні окремих додатків, що використовується зараз. Попередній проєкт тексту закону сенатора Кіма, який переносить перевірки віку на рівень магазинів додатків, заклав основу для цього підходу, перемістивши відповідальність за верифікацію від окремих додатків на рівень платформи.

Компроміс із приватністю: централізація даних про вік на рівні ОС

Ось напруження, над яким варто замислитися. Сьогодні, якщо систему верифікації віку в одному додатку зламано або використано не за призначенням, шкода в основному обмежується цим додатком. У моделі, де Apple чи Google підтверджують вік для кожного додатку на пристрої, ця єдина точка стає значно привабливішою мішенню і значно більш критичною точкою відмови.

Навіть за наявності чіткого законодавчого формулювання, що забороняє продаж даних, централізація верифікації віку на рівні ОС означає, що постачальники операційних систем потребуватимуть механізмів для визначення віку з самого початку — чи то через історію облікового запису, платіжну інформацію, державні ID, чи біометричне оцінювання. Кожен із цих методів має власний слід у приватності, і успіх законопроєкту сильно залежатиме від того, наскільки вузько буде визначено та застосовано на практиці поняття «обмін сигналами про вік» — не лише в тексті прес-релізу.

Також постає питання розширення сфери застосування. Системи, побудовані для перевірки віку з метою безпеки дітей, історично виходили далеко за межі свого початкового мандату, щойно інфраструктура створювалася. Фреймворк, який може повідомити додатку «цей користувач молодше 18 років», технічно здатен повідомляти набагато більше, залежно від того, які саме запобіжники будуть вписані в імплементаційне регулювання, а не в резюме законопроєкту.

Уроки британського та європейського експериментів із верифікацією віку

Сполучені Штати не перші, хто це робить. Британський Акт про безпеку онлайн та європейський Акт про цифрові послуги вже штовхнули платформи до вікових обмежень і вимог з верифікації віку, і обидва наштовхнулися на труднощі. Інструменти верифікації віку в цих юрисдикціях критикували за те, що вони підштовхують користувачів до сторонніх сервісів перевірки ID із власними практиками обробки даних, за хибні спрацювання, які блокують повнолітніх добросовісних користувачів, та за створення нових поверхонь для атак, які не були належно перевірені перед впровадженням.

Цей досвід не обов’язково прирікає Акт про цифрове підтвердження віку на провал, але він є корисним орієнтиром. Федеральний підхід на рівні ОС міг би уникнути частини фрагментації, яку ми бачимо в Європі, оскільки він централізує цю функцію в невеликій кількості компаній, а не в тисячах окремих сайтів. Чи зменшить така централізація загальний ризик для приватності, чи просто сконцентрує його в меншій кількості більш цінних цілей — ось відкрите питання, на яке Конгресу доведеться відповісти, поки законопроєкт проходитиме через комітет.

Що це означає для вас

Якщо ви користуєтеся смартфоном, планшетом або будь-яким додатком, який зараз просить вас самостійно вказати дату народження, цей законопроєкт з часом може змінити процес. Батьки можуть побачити більш послідовне застосування батьківського контролю в різних додатках, замість того щоб покладатися на налаштування кожної платформи окремо. Підліткам і молодим дорослим, можливо, доведеться проходити перевірку віку раніше в процесі реєстрації — навіть у тих додатках, які раніше не вимагали жодної верифікації.

Для користувачів, які дбають про приватність, практичний висновок — звертати увагу не лише на те, чи буде ухвалено законопроєкт, а й на те, як саме буде реалізовано «підтвердження віку» в разі його просування. Різниця між сигналом про вік, що поважає приватність, та каналом збору даних часто залежить від технічних деталей реалізації, які опрацьовуються вже після внесення законопроєкту.

Ключові висновки

Акт про цифрове підтвердження віку все ще перебуває на ранньому етапі законодавчого процесу, але він сигналізує, куди рухається федеральна політика щодо безпеки дітей: до верифікації на рівні пристрою, а не до комплаєнсу на рівні окремих додатків. Читачам, які хочуть бути на крок попереду, варто пам’ятати кілька речей. Перегляньте налаштування приватності та батьківського контролю, вже доступні на ваших пристроях, оскільки ці інструменти можуть стати більш центральними для комплаєнсу в межах цього фреймворку. Слідкуйте за тим, як імплементаційні правила визначатимуть, що саме включає «обмін сигналами про вік», адже саме ця деталь визначить, скільки даних насправді передаватиметься між вашим пристроєм і додатками, які ви використовуєте. І залишайтесь залученими, поки законопроєкт проходитиме через комітет, адже періоди громадських обговорень і слухання в Конгресі — це зазвичай саме той момент, коли вирішуються технічні запобіжники або їхня відсутність.