Weryfikacja wieku online – czy to w ogóle możliwe?

Czy istnieją technologie pozwalające na weryfikacje wieku użytkowników w Internecie? Jakie dane osobowe są wykorzystywane do takiej weryfikacji i jakie ryzyka są z tym związane? Co w tym temacie robi ostatnio Unia Europejska?

Ochrona dzieci w Internecie nabiera coraz większego znaczenia. Do tej pory dostępne były tylko ograniczone metody weryfikacji wieku online, które miały na celu zabezpieczenie dzieci przed dostępem do treści nieodpowiednich dla ich wieku. Wiele krajów wprowadza obecnie przepisy
lub kodeksy postępowania, aby zaradzić temu problemowi. Również na poziomie UE podejmowane
są coraz większe starania w tym zakresie. Wyzwaniami pozostają kwestie związane z prywatnością, ochroną danych osobowych, monitorowaniem oraz koniecznością poprawy kompetencji cyfrowych zarówno rodziców, jak i dzieci.

Dzieci są bardzo liczną grupą użytkowników Internetu, a pandemia koronawirusa tylko wzmocniła
ten trend, ponieważ przyzwyczaiły się do spędzania większej ilości czasu online podczas lockdownów. Ogromna część najmłodszych funkcjonuje w Internecie i zaczyna się to w coraz młodszym wieku. Najczęściej jednak środowiska internetowe, do których uzyskują dostęp, nie były pierwotnie dla nich zaprojektowane. Dzieci też z łatwością omijają wymogi wiekowe, czy to przy korzystaniu z mediów społecznościowych, czy przy wchodzeniu na strony przeznaczone dla dorosłych. Dostawcy usług cyfrowych często nie stosują odpowiednich metod weryfikacji wieku lub zgody rodziców.

Metody weryfikacji

Ze względu na duże poczucie anonimowości w Internecie może się wydawać, że sprawdzenie wieku użytkownika nie jest możliwe albo że może być łatwe do sfałszowania. Jeśli opieramy się na popularnych metodach, takich jak deklaracja użytkownika, czy to, że ma ukończony 18. rok życia, czy poprzez podanie daty urodzenia, może być to prawda. Jest to też metoda, która nie zapewnia w zasadzie żadnej gwarancji bezpieczeństwa, bo nawet młodsze dzieci bez problemu są w stanie podać potrzebną datę urodzenia, aby wejść na stronę internetową. Istnieją jednak inne, bardziej zaawansowane metody weryfikacji wieku: •  Biometria – oparcie się na technologii rozpoznawania biometrycznego, np. analiza rysów twarzy po zrobieniu selfie czy nagraniu krótkiego filmiku, aby upewnić się, że osoba wnioskująca o dostęp ma ukończone 18 lat, jednak ustalenie wieku użytkownika z taką dokładnością jest podatne na błędy

•  Karty kredytowe – weryfikacja za pomocą potwierdzenia ważności karty bankowej, na przykład dokonując płatności lub logując się do serwisu banku, najczęściej jest stosowana przez witryny handlu elektronicznego i aplikacje sprzedające produkty, takie jak alkohol, wyroby tytoniowe
lub treści pornograficzne.

•  Analiza wzorców korzystania z Internetu – wnioskowanie o „dojrzałości” użytkownika poprzez analizę historii przeglądania Internetu i jego zachowań.

•  Zgoda rodzica – niektóre aplikacje i usługi wymagają zgody rodziców na rejestrację dziecka
na platformie, władza rodzicielska rzadko jest jednak w pełni weryfikowana.

•  Tożsamość cyfrowa – oparcie się na narzędziach oferowanych przez państwo w celu weryfikacji tożsamości i wieku osób przed przyznaniem im dostępu do usługi cyfrowej.

•  Weryfikacja za pomocą specjalnej aplikacji – uzyskanie dostępu, np. do treści pornograficznych, po zainstalowaniu licencjonowanej aplikacji do certyfikacji cyfrowej^[1].

Ryzyka związane z ochroną danych

Istnieje więc sporo metod weryfikacji wieku, jednak łączy je to, że wszystkie opierają się na przetwarzaniu jakiegoś rodzaju danych osobowych. Największe ryzyko pojawia się podczas przetwarzania danych biometrycznych ze względu na to, że jest to szczególna kategoria danych osobowych i w sposób szczególny chroniona przez RODO^[2]. Korzystanie z aplikacji wykorzystujących technologie biometryczne grozi więc nadmiernym przetwarzaniem bardzo wrażliwych danych i profilowaniem użytkownika, zwłaszcza jeśli poszerzy się taką technologię o sztuczną inteligencję.

W przypadku weryfikacji za pomocą usług bankowych istnieje wysokie ryzyko phishingu, podania danych osobowych w miejscu, które może nie być oficjalną stroną dostawcy usług bankowych. Kolejnym problemem jest sytuacja, w której z karty bankowej korzysta osoba niebędąca jej prawowitym właścicielem. Ponadto wiek uprawniający do posiadania karty kredytowej różni się w zależności od kraju. Analiza wzorców korzystania z Internetu, po pierwsze, nie wydaje się mieć dużej skuteczności, a po drugie, polega na zbieraniu danych behawioralnych użytkowników. Stanowi to kolejne zagrożenie i łatwą okazję do nadużywania profilowania, np. w celu wyświetlania spersonalizowanych reklam.

^[1]AT A GLANCE Digital issues in focus – Online age verification methods for children, European Parliament EPRS_ATA(2023)739350_EN.pdf
^[2]Dz.U.UE.L.2016.119.1 z dnia 2016.05.04, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Po analizie poprzednich metod najbezpieczniejsza wydaje się być weryfikacja za pomocą tożsamości cyfrowej. Narzędzia w przypadku tej metody są oferowane przez państwo i właśnie też organ państwowy będzie wtedy administratorem danych przetwarzanych na potrzeby przyznania użytkownikowi tożsamości cyfrowej.

Co obecnie robi w tym temacie Unia Europejska?

Przed przyjęciem RODO, w Unii Europejskiej nie było konkretnych ograniczeń dotyczących przetwarzania danych dzieci w Internecie. RODO wymaga stosowania weryfikacji wieku i zgody rodziców. Nowa europejska strategia na rzecz lepszego Internetu dla dzieci przewiduje opracowanie kompleksowego kodeksu postępowania dotyczącego projektowania dostosowanego do wieku, opierającego się na nowych przepisach w akcie o usługach cyfrowych (DSA)^[3] i zgodnego z AVMSD^[4]  oraz RODO.

Komisja Europejska zamierza wzmocnić metody weryfikacji wieku poprzez solidne ramy certyfikacji i interoperacyjności. Dodatkowo, propozycja regulacji, mającej na celu zwalczanie wykorzystywania seksualnego dzieci w Internecie, przewiduje udoskonaloną weryfikację wieku online. Podobnie, lepsze metody weryfikacji wieku w celu ochrony dzieci online są częścią proponowanej przez Komisję Europejską Europejskiej deklaracji o prawach cyfrowych i zasadach na rzecz cyfrowej dekady oraz Deklaracji Organizacji Współpracy Gospodarczej i Rozwoju na rzecz zaufanej, zrównoważonej i inkluzywnej przyszłości cyfrowej^[5].

Również Europejska Rada Ochrony Danych (EROD) w swojej strategii na lata 2024-2027 podkreśla rolę tworzenia bezpiecznych i skutecznych metod weryfikacji wieku, ze szczególnym uwzględnieniem roli nowego rozporządzenia dotyczącego ustanowienia europejskich ram tożsamości cyfrowej. Częścią tej większej strategii są plany tworzenia europejskich portfeli cyfrowych, pozwalających
na weryfikację wieku użytkowników. EROD chce dostarczać wskazówki w wytycznych dotyczących kluczowych kwestii, takich jak stosowanie RODO wobec dzieci oraz stosowanie szczególnie istotnych przepisów, takich jak uzasadniony interes przetwarzania.

^[3] Dz.U.UE.L.2022.277.1 z dnia 2022.10.27, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 z dnia 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych oraz zmiany dyrektywy 2000/31/WE (akt o usługach cyfrowych)

^[4] Dz.U.UE.OJ L 95, 15.4.2010, Dyrektywa Parlamentu Europejskiego i Rady 2010/13/UE z dnia 10 marca 2010 r. w sprawie koordynacji niektórych przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich dotyczących świadczenia audiowizualnych usług medialnych (dyrektywa o audiowizualnych usługach medialnych)

 ^[5] AT A GLANCE Digital issues in focus – Online age verification methods for children, European Parliament

Podkreśla swój cel, aby takie wskazówki były praktyczne, w tym zawierały przykłady tam, gdzie jest to odpowiednie, oraz były opracowane w sposób dostępny dla odpowiedniej grupy odbiorców
i pomagały prawidłowo wdrażać przepisy^[6].

Można więc zastanawiać się, czy w pełni skuteczna weryfikacja wieku online będzie kiedykolwiek możliwa. Jednak strategia Unii Europejskiej wydaje się słuszna – dąży do stworzenia bezpiecznej przestrzeni w Internecie dla dzieci poprzez zapewnienie najwyższych standardów technicznych i legislacyjnych. Istotne jest także zwrócenie uwagi na edukację rodziców, aby potrafili zapewnić swoim dzieciom bezpieczeństwo w sieci. Warto również podnosić świadomość najmłodszych na temat potencjalnych zagrożeń, jakie mogą napotkać w Internecie, uwzględniając ich specyficzne podejście, które często traktuje to środowisko jako równoległą rzeczywistość.

Artykuł powstał w ramach cyklu, w którym zapraszamy pracowników Urzędu do dzielenia się swoimi przemyśleniami. Jego autorką jest Julia Rak, referentka w Departamencie Nowych Technologii.

 ^[6] Strategia Europejskiej Rady Ochrony Danych na lata 2024-2027 edpb_strategy_2024-2027_en.pdf