Європейський Союз рухається до юридично обов’язкового «стартового віку для соціальних мереж» — політики, яку просуває президентка Комісії Урсула фон дер Ляєн і яка змусить платформи перевіряти справжній вік користувачів перед наданням доступу. Разом із віковим порогом ЄС розробляє спеціальний додаток для верифікації віку та набір правил «безпеки за задумом» відповідно до Закону про цифрові послуги, спрямованих на обмеження залежностеутворюючих функцій і так званих темних патернів, які тримають молодих користувачів на гачку. Цілі захисту дітей легко зрозуміти. Механізми їх реалізації та пов’язані з цим компроміси щодо конфіденційності верифікації віку в ЄС набагато складніші.

Що насправді вимагає пропозиція ЄС про стартовий вік для соціальних мереж

За своєю суттю пропозиція встановлює мінімальний вік, нижче якого неповнолітні не можуть відкривати акаунти в соціальних мережах без певної форми підтвердженого доказу віку. Це звучить просто в прес-релізі, але потребує справжнього механізму контролю. Самостійно вказані дати народження, поточний стандарт на більшості платформ, ніколи надійно не утримували неповнолітніх користувачів. План фон дер Ляєн поєднує стартовий вік із обов’язковими зобов’язаннями для самих платформ: суворіша підзвітність за те, як розробляються алгоритми, обмеження маніпулятивних інтерфейсних трюків і нові вимоги безпеки за задумом, накладені на чинну систему Закону про цифрові послуги. На практиці це означає, що платформи, які працюють у ЄС, мають довести, що вони активно перевіряють вік, а не просто запитують про нього.

Як може працювати додаток для верифікації віку та які дані він збирає

Очікується, що центральним елементом забезпечення виконання стане підтримуваний ЄС додаток для верифікації віку — інструмент, який користувачі зможуть завантажити, щоб підтвердити відповідність віковому порогу без необхідності щоразу вводити дату народження на кожному веб-сайті. Загальна концепція, принаймні як її описують публічно, полягає в тому, щоб дозволити людині підтвердити відповідь «так» або «ні», наприклад «чи є цей користувач старшим за 16 або 18 років», замість того, щоб передавати скан паспорта чи державне посвідчення особи безпосередньо компанії соціальних мереж. Це формулювання звучить як таке, що захищає приватність на папері, і посадовці ЄС активно на нього покладаються.

Але додаток, який може підтвердити чийсь вік на багатьох різних платформах, все одно має базуватися на певному виді верифікованої особи або посвідчення, чи то національний цифровий ID, банківський запис або біометрична перевірка, яка виконується один раз і використовується повторно. Щойно така інфраструктура з’являється, постає питання: хто її контролює, хто може запитувати з неї докази і що саме протоколюється під час кожної перевірки. Саме ці питання піднімаються в незалежному аналізі подібних систем: як стверджував радник EDRi, твердження, що верифікацію віку можна зробити нейтральною щодо приватності, часто не витримують перевірки, як тільки ви подивитеся, як системи насправді реалізовані та хто має доступ до основних даних.

Ризики для приватності: розповзання стеження та дебати про верифікацію віку

Основна напруга, яка проявляється майже в кожній дискусії про верифікацію віку у світі: система, розроблена для відповіді на вузьке запитання — чи достатньо дорослий цей користувач, — може непомітно перетворитися на ширший шар ідентифікації та стеження. Якщо додаток використовується для підтвердження віку в соціальних мережах, мало технічних причин, чому пізніше його не можна буде вимагати для інших сервісів, створюючи схему протокольованих подій верифікації, прив’язаних до єдиного посвідчення. Навіть із надійними криптографічними заходами безпеки існування обов’язкового контрольного пункту верифікації змінює стосунки між користувачами та платформами, а також між користувачами та державою.

Це також не відбувається у вакуумі. ЄС уже продемонстрував готовність впроваджувати масштабні, близькі до стеження інструменти в ім’я захисту неповнолітніх. Нещодавній крок із відродження Chat Control 1.0 під час несподіваного голосування в липні наслідує схожу схему: виправдання захистом дітей, прикріплене до механізму з набагато ширшими наслідками для моніторингу. Захисники приватності мають рацію, коли запитують, чи залишиться стартовий вік для соціальних мереж і його додаток для верифікації вузько спрямованими, чи являють вони собою ще одне розширення прагнення ЄС до контролю повсякденної онлайн-активності, пов’язаного з ідентифікацією.

Що це означає для вас

Якщо ви батьки в ЄС, ця пропозиція справді може зменшити схильність вашої дитини до залежностеутворюючого дизайну та невідповідного контенту, за умови, що платформи виконуватимуть вимоги осмислено, а не для галочки. Якщо ви підліток або молода доросла людина, очікуйте тертя: більше перевірок особи, більше кроків верифікації акаунтів і менше анонімного доступу до популярних платформ. Якщо ви просто користувач, який дбає про приватність, незалежно від віку, за розгортанням пов’язаного з урядом додатка для верифікації віку варто уважно стежити, оскільки посвідчення та інфраструктура, створені заради безпеки дітей, рідко залишаються обмеженими цією єдиною метою, щойно вони з’являються.

Ключові висновки

  • План ЄС щодо стартового віку для соціальних мереж поєднує мінімальний віковий поріг із новими правилами підзвітності платформ відповідно до Закону про цифрові послуги.
  • Додаток ЄС для верифікації віку є ключовим для забезпечення виконання, але його гарантії конфіденційності повністю залежать від деталей реалізації, які ще не повністю вирішені.
  • Незалежні дослідники приватності вже поставили під сумнів твердження, що системи верифікації віку можуть бути повністю такими, що зберігають приватність.
  • Ця пропозиція вписується в ширшу тенденцію ЄС, коли політика захисту дітей несе значні наслідки для стеження, тому стежити за тим, як розвиватимуться правила обробки даних у додатку, є вкрай важливим до того, як він стане обов’язковим.