美国企业研究所（AEI）近期的一期节目提出了一个尖锐的问题：我们能否在不放弃隐私的情况下验证年龄？主持人Shane与Scott Vien、Harry Oppenheimer和Paul Lekas一起讨论了国际年龄验证法律、网络安全挑战及相关话题。已发布的摘要很简短，因此本文并不试图报道每位嘉宾的具体发言。相反，本文以该节目提出的问题为起点，解释年龄验证与隐私的主要方法，以及读者可以如何应对。

为什么年龄验证是一个隐私问题

年龄限制法律问的是一个简单的问题：这位访客年龄够大吗？然而，要可靠地回答这个问题，通常意味着要收集一些敏感信息。一个写着“我已满18岁”的复选框很容易被绕过，因此许多地方的立法者希望获得更强的证明。这种证明可以采取政府身份证件、面部扫描或来自其他可信来源的数据等形式。

每种选择都会产生权衡。一项服务对你的年龄越确定，它往往就越了解你。而且一旦身份证件或生物识别数据被收集，它们就可能被存储、泄露或滥用。这就是这场辩论核心的网络安全挑战。

三种方法比较

对于如何在线验证年龄，并不存在单一标准。最常被讨论的方法在信息暴露程度上有所不同。

上传身份证件。 用户提交驾照或护照的照片，有时还需附上一张自拍。这对网站来说实施起来很直接，但它会将高度敏感的文件集中到处理这些文件的一方手中。用户必须同时信任网站及其用来处理和删除这些数据的任何供应商。

第三方令牌。 一个独立的提供商一次性确认你的年龄，然后签发一个网站可以接受的令牌或凭证。网站只知道你通过了检查。风险转移到令牌签发方身上，而它可能对你了解很多，风险还在于该系统在多大程度上防止跨网站追踪。

零知识证明。 这种密码学技术让你能够证明一个陈述（例如“我已满18岁”），而无需透露底层数据，比如你的出生日期或姓名。理论上，它提供了最强的隐私保护。在实践中，它取决于可信凭证能否首先被签发，以及网站和设备的广泛采用。

这些方法没有一种是完美的。隐私友好型设计往往更难部署，而易于部署的设计往往会收集更多数据。

法律正在增多，责任归属存在争议

政策形势正在快速变化。在美国，州法律的扩散非常显著：我们对27个已通过年龄验证法律的州的报道显示了这一趋势波及之广，以及一些创作者正在如何反击。在佛罗里达州，成人网站必须根据HB 3验证访客，我们已解释了佛罗里达州年龄验证法律如何对待VPN使用。

在国际上，欧盟也在关注这一问题。据报道，欧盟委员会正在准备一项《欧盟儿童法案》，该法案可能强制在线游戏进行年龄验证。与此同时，谁为这些检查承担责任本身也存在争议：据报道，苹果和谷歌已游说从年龄检查法案中移除责任。责任落在谁身上，将决定公司选择哪种技术方案。

AEI节目对国际法律的关注符合这一模式。不同司法管辖区正在采用不同的工具，而隐私结果在很大程度上取决于具体细节。

这对你意味着什么

对大多数人来说，实际影响是会有更多要求提供年龄证明的提示，以及对你所提供数据会如何处理有更多不确定性。有几点值得牢记：

  • 询问收集和保留了哪些信息。 留意关于身份证件图像或面部扫描在检查后是否被删除的声明。
  • 优先选择暴露信息较少的方法。 如果一项服务提供选择，仅确认“已满18岁”的选项通常比存储完整证件的选项更可取。
  • 预计VPN会成为讨论的一部分。 年龄限制法律与位置相关，因此VPN使用可能与其产生交互。VPN会改变你的表面位置，但不会改变网站的法律义务，而且规则因司法管辖区而异。请查看适用于你的具体法律，而不是想当然。
  • 警惕仿冒检查。 虚假验证页面可能模仿真实页面来收集证件。确保你是通过可信链接进入该网站的。

要点

AEI的讨论提出了正确的问题，而诚实的答案是这取决于设计。只有当系统最小化收集的数据、限制保留时间并避免跨网站追踪用户时，年龄验证与隐私才能共存。在此类设计普及之前，请把每一次身份证件或生物识别信息请求都视为一个值得停下来思考的决定。

为了保护自己：只分享最低限度的必要信息，为验证过程中创建的任何账户使用强而唯一的密码，并关注你所在地区法律的演变。在规则和技术仍在逐渐明朗的过程中，保持知情是最好的防御。