EDRi avertizează că instrumentul european de verificare a vârstei nu garantează anonimatul utilizatorilor

European Digital Rights, EDRi, contestă garanțiile de confidențialitate ale sistemului european de verificare a vârstei și avertizează că arhitectura tehnică propusă de Comisia Europeană nu asigură că folosirea unei acreditări de vârstă rămâne complet separată de identitatea reală a utilizatorului. Organizația pentru drepturi digitale susține că problema nu ține doar de datele afișate unui site, ci de întregul traseu tehnic prin care acreditarea este emisă, stocată și prezentată, inclusiv de informațiile care pot rămâne disponibile furnizorilor și de modul în care aplicațiile naționale vor fi construite.

Comisia Europeană dezvoltă un model tehnic pe care statele membre îl pot folosi pentru propriile sisteme de verificare a vârstei online. Soluția este construită în jurul infrastructurii European Digital Identity Wallet și este descrisă uneori drept un „mini-wallet”, destinat să permită demonstrarea unei condiții de vârstă fără transmiterea tuturor informațiilor dintr-un document de identitate.

EDRi consideră însă că diferența dintre a ascunde numele utilizatorului în fața unui site și a împiedica întregul sistem să îi reconstruiască identitatea este esențială. Organizația își concentrează critica asupra conceptului de „unlinkability”, capacitatea unui sistem de a împiedica legarea diferitelor utilizări ale unei acreditări între ele sau cu persoana căreia îi aparține.

Modelul european folosește o sursă de încredere pentru confirmarea vârstei, iar aceasta poate porni de la un document oficial de identitate asociat aplicației prin verificare biometrică. EDRi avertizează că acest punct de plecare creează deja o legătură tehnică între identitatea reală și instrumentul folosit ulterior pentru accesarea serviciilor cu restricții de vârstă.

Organizația atrage atenția și asupra accesibilității. O soluție dependentă de documente oficiale, de un telefon compatibil și de verificare facială poate exclude persoane care nu dispun de aceste instrumente sau care nu doresc să folosească biometrie.

Una dintre tehnologiile capabile să reducă divulgarea informațiilor este Zero-Knowledge Proof, ZKP. Aceasta poate permite unui utilizator să demonstreze, de exemplu, că are peste 18 ani fără să dezvăluie numele, data exactă a nașterii sau alte informații din actul de identitate.

EDRi subliniază însă că specificațiile tehnice ale Comisiei recomandă folosirea ZKP fără să o transforme într-o cerință obligatorie. În limbajul documentației tehnice, aplicațiile și serviciile care verifică acreditările „SHOULD” implementa mecanismul, nu „SHALL”.

Pentru organizație, această diferență lasă posibilitatea ca implementări conforme cu modelul european să utilizeze metode mai puțin protectoare pentru viața privată.

Sistemul prevede în schimb obligatoriu o tehnică numită „batch issuance”. Furnizorul emite mai multe acreditări individuale de vârstă, fiecare destinată unei singure utilizări, astfel încât site-urile diferite să nu primească exact același identificator și să nu poată determina direct că folosesc aceeași persoană.

EDRi recunoaște că metoda poate îngreuna urmărirea unui utilizator între servicii, dar contestă ideea că aceasta ar elimina posibilitatea urmăririi. Organizația arată că acreditările pot include elemente tehnice precum hash-uri, chei publice, semnături sau marcaje temporale care pot fi asociate cu procesul de emitere.

În scenariul descris de EDRi, dacă furnizorul acreditării și serviciile unde aceasta este folosită ar putea corela asemenea informații, activități aparent separate ar putea fi legate între ele sau de identitatea persoanei.

Critica merge însă dincolo de alegerea dintre batch issuance și Zero-Knowledge Proofs. EDRi avertizează că protecția reală depinde de arhitectura întregului sistem.

Una dintre prevederile analizate permite ca furnizorul care emite acreditarea de vârstă să fie și furnizorul aplicației în care aceasta este utilizată. Pentru EDRi, concentrarea celor două funcții în aceeași entitate reduce separarea dintre momentul în care identitatea este verificată și momentul în care utilizatorul demonstrează ulterior că îndeplinește o condiție de vârstă.

Organizația critică și formularea referitoare la păstrarea informațiilor. Specificațiile nu cer furnizorului să stocheze permanent date legate de acreditare, dar EDRi consideră că protecția ar trebui formulată invers și explicit: furnizorului să îi fie interzis să păstreze asemenea informații.

Chiar și utilizarea obligatorie a Zero-Knowledge Proofs nu ar rezolva singură problema, potrivit organizației. Datele ar putea fi corelate prin infrastructura din spatele aplicației, prin interacțiunile de rețea sau prin asocierea momentelor în care acreditarea este emisă și prezentată.

EDRi invocă și avertismente formulate de sute de cercetători în securitate și protecția vieții private privind sistemele centralizate. Argumentul lor este că, dacă o autoritate centrală deține tehnic capacitatea de a lega informații între ele, acea capacitate devine relevantă în cazul unui atac informatic, al unui acces legal la date sau al unei utilizări abuzive.

Din acest motiv, organizația cere o evaluare independentă a întregului sistem, nu numai a mecanismului criptografic folosit pentru acreditarea de vârstă. Printre condițiile pe care le consideră necesare se numără minimizarea datelor, separarea actorilor și funcțiilor, limitarea jurnalelor tehnice și a perioadelor de păstrare și folosirea unor tehnologii de rețea care reduc posibilitatea urmăririi.

O altă problemă apare în momentul în care modelul european este transformat în aplicații naționale. Comisia oferă un blueprint, nu o singură aplicație obligatorie pentru toate statele membre, iar guvernele pot construi propriile soluții.

EDRi avertizează că rezultatul ar putea fi un peisaj cu sisteme diferite de verificare a vârstei, fiecare folosind propriul design, propriile tehnologii și propriile garanții privind confidențialitatea.

Transparența codului devine astfel importantă. Regulile privind European Digital Identity Wallet prevăd publicarea codului sursă pentru anumite componente, dar permit excepții pentru biblioteci, canale de comunicație și alte componente care nu se află pe dispozitivul utilizatorului.

EDRi atrage atenția că aceste obligații nu se aplică în mod automat tuturor aplicațiilor naționale dedicate verificării vârstei. Organizația indică exemplul Danemarcei, unde soluția aflată în dezvoltare include componente proprietare, ceea ce, în evaluarea sa, limitează posibilitatea unei verificări publice independente.

Această fragmentare poate face dificilă stabilirea unui nivel comun de protecție. Dacă fiecare stat implementează arhitectura diferit, fiecare sistem ar trebui evaluat separat atât la lansare, cât și ulterior, pe durata utilizării sale.

EDRi leagă aceste preocupări și de discuția mai amplă privind accesul minorilor la platformele online. Organizația afirmă că președinta Comisiei Europene, Ursula von der Leyen, a anunțat în iulie intenția de a prezenta o inițiativă europeană privind accesul minorilor la rețelele sociale și că infrastructura de verificare a vârstei ar putea deveni instrumentul tehnic folosit pentru aplicarea unor asemenea restricții.

Din perspectiva EDRi, extinderea utilizării sistemului mărește importanța garanțiilor tehnice stabilite acum. O infrastructură creată inițial pentru demonstrarea unei limite de vârstă ar putea fi reutilizată ulterior pentru alte condiții de acces sau pentru cerințe suplimentare de identificare.

Organizația indică deja discuții naționale în care verificarea vârstei ar putea fi asociată cu furnizarea identității juridice pentru accesul la anumite platforme. Pentru EDRi, aceasta ar transforma o soluție concepută pentru divulgarea minimă de informații într-o infrastructură care poate fi folosită pentru identificarea utilizatorilor.

EDRi susține că siguranța minorilor online poate fi urmărită prin alte politici, fără introducerea unei verificări obligatorii și generalizate a vârstei. Dacă autoritățile aleg totuși asemenea sisteme, organizația cere ca acestea să respecte standarde ridicate de protecție a vieții private, securitate cibernetică, protecția datelor și acces nediscriminatoriu.

European Digital Rights este o asociație europeană de organizații pentru drepturi civile și drepturile omului specializată în mediul digital. Activitatea sa acoperă protecția datelor, supravegherea, libertatea de exprimare, securitatea tehnologiilor și efectele politicilor digitale asupra drepturilor fundamentale.

Verificarea vârstei a devenit o problemă importantă în politica digitală europeană pe măsură ce autoritățile încearcă să limiteze accesul copiilor la anumite servicii sau tipuri de conținut fără a crea sisteme care colectează inutil identitatea tuturor utilizatorilor.

Poziția EDRi este că simpla separare a informației „peste sau sub o anumită vârstă” de celelalte date din documentul de identitate nu este suficientă. Pentru organizație, o soluție poate fi considerată cu adevărat protectoare numai dacă arhitectura tehnică împiedică și actorii din spatele sistemului să reconstruiască legătura dintre identitate și activitatea online.