Французский подход к двойной анонимности показывает, как проверять возраст пользователя, ограничивая ненужное раскрытие его личности и онлайн-активности.
Проверка возраста ставит перед цифровыми платформами важный вопрос, связанный с конфиденциальностью.
Сайту может потребоваться убедиться, что пользователь достиг возраста, необходимого для доступа к контенту с возрастными ограничениями. Однако подтверждение возраста может потребовать передачи персональных данных, которые раскрывают гораздо больше информации, чем сайту действительно необходимо.
Если нужно лишь установить, что пользователю больше 18 лет, действительно ли сайту необходимо знать его полное имя? Точную дату рождения? Получать копию документа, удостоверяющего личность? И должна ли организация, выполняющая проверку возраста, знать, какой именно конфиденциальный сайт пользователь пытается посетить?
Во Франции применяется подход, призванный разделить эти данные: двойная анонимность.
Этот подход является частью французской системы проверки возраста для определённых сервисов, предоставляющих доступ к порнографическому контенту. В соответствии с требованиями французского регулятора аудиовизуальных и цифровых коммуникаций Arcom, сервисы, подпадающие под действие этой системы, должны соблюдать определённые требования к проверке возраста пользователей, включая меры защиты конфиденциальности при установлении и передаче информации о возрасте.
Для компаний, работающих в сфере цифровой проверки личности, французский подход показывает важный принцип: системе проверки не всегда нужно раскрывать полную личность человека, чтобы подтвердить соответствие определённому требованию.
Термин может звучать технически, но основная идея довольно проста.
Предположим, сайту необходимо убедиться, что посетитель является совершеннолетним.
Сайту нужен ответ на один вопрос: достиг ли этот человек возраста, необходимого для доступа к сервису?
При этом сайту не обязательно знать, кто именно этот человек.
Французский подход к двойной анонимности призван разделить эти два вида информации.
Согласно модели, описанной французским органом по защите данных CNIL, сайт получает подтверждение того, что пользователь является совершеннолетним, не узнавая его личность. В то же время сторона, участвующая в подтверждении возраста, не должна иметь возможности определить, к какому защищённому сайту обращается пользователь.
Таким образом, ни одна из сторон не получает полной картины.
Именно это разделение отличает данный подход от ситуации, когда пользователю приходится загружать документ, удостоверяющий личность, непосредственно на каждый сайт с возрастными ограничениями.
Загрузка документа, удостоверяющего личность, может показаться самым простым способом подтвердить возраст. Но такой документ обычно содержит гораздо больше информации, чем требуется для проверки возраста.
В зависимости от документа он может раскрывать полное имя человека, фотографию, точную дату рождения, номер документа, гражданство и другие персональные данные.
В то же время сайту может быть достаточно знать лишь то, достиг ли пользователь определённого возрастного порога.
Есть существенная разница между получением полного набора идентификационных данных и простым подтверждением того, что пользователю больше 18 лет.
Для решения о предоставлении доступа на основании возраста такого подтверждения может быть достаточно.
Именно здесь становится полезным подход, основанный на проверке отдельных атрибутов. Вместо передачи полной информации о личности система может подтверждать конкретный факт о человеке.
Возраст — один из таких примеров. В других случаях необходимым атрибутом может быть место проживания или иной критерий, связанный с правом на доступ.
В результате сервис получает информацию, необходимую для принятия решения, но не получает автоматически все данные, которые использовались для её подтверждения.
Принцип двойной анонимности легче понять, если рассматривать проверку как несколько отдельных функций, а не как единую процедуру полной идентификации.
Сначала пользователю нужен способ подтвердить, что он соответствует установленному возрастному порогу. В зависимости от используемой системы это может осуществляться через поставщика услуги подтверждения возраста или с помощью другого допустимого метода проверки.
После этого может быть сформировано подтверждение возраста.
Ключевой вопрос заключается в том, что происходит после проверки.
Сайту, принимающему решение о предоставлении доступа, не обязательно получать персональные данные, которые использовались для установления возраста пользователя. Ему необходимо надёжное подтверждение того, что требование по возрасту выполнено.
Одновременно система должна быть устроена так, чтобы сторона, подтверждающая возраст, не могла связать личность пользователя с конкретным защищённым сервисом, к которому он обращается.
Поэтому французская система уделяет внимание не только самому факту проверки возраста, но и тому, как информация передаётся между различными участниками процесса.
CNIL также рассматривала технические подходы, ориентированные на сохранение конфиденциальности и способные поддерживать такое разделение. Конкретная реализация может отличаться, но основной принцип остаётся тем же: каждый участник должен получать только ту информацию, которая необходима ему для выполнения своей функции.
Важно не сводить французскую систему к утверждению, что каждая проверка возраста должна работать совершенно одинаково.
Система устанавливает требования к защите конфиденциальности при проверке возраста и одновременно требует, чтобы охватываемые ею сервисы предоставляли как минимум один метод с более высоким уровнем защиты, связанным с принципом двойной анонимности.
Это различие важно, поскольку проверка возраста может выполняться с использованием разных технологий и поставщиков услуг.
Поэтому речь идёт не только о выборе конкретной технологии проверки. Не менее важно установить ограничения на то, какая информация может передаваться между пользователем, системой проверки и сайтом.
Для пользователя это означает возможность подтвердить соответствие возрастному требованию без автоматического раскрытия полной личности сайту, к которому он хочет получить доступ.
Представим, что человек загружает документ, удостоверяющий личность, непосредственно на сайт с возрастными ограничениями.
В таком случае сайт может одновременно обрабатывать два чувствительных вида информации: сведения о том, кто этот человек, и сведения о том, каким сервисом он пользуется.
Если пользователь повторяет эту процедуру на нескольких сайтах, его идентификационные данные или копии документов могут обрабатываться несколькими разными организациями.
Разделение процесса проверки и решения о предоставлении доступа может уменьшить объём такого раскрытия.
Этот подход также соответствует принципу минимизации данных, закреплённому в GDPR: персональные данные должны быть адекватными, релевантными и ограниченными тем, что необходимо для целей их обработки.
При этом двойную анонимность не следует воспринимать как общее требование GDPR. Французский подход скорее показывает, как принципы минимизации данных могут влиять на архитектуру системы проверки возраста.
Он также предлагает полезный принцип для построения платформы проверки личности с приоритетом конфиденциальности.
Проверка не означает, что каждый сервис, участвующий в процессе, должен получать одинаковый объём персональной информации. Данные, доступные конкретному сервису, могут зависеть от того, что ему действительно необходимо подтвердить.
Возраст и личность связаны между собой, но это не одно и то же.
Если сервису необходимо узнать только то, достиг ли человек определённого возраста, полная идентификация может раскрыть информацию, которая не нужна для принятия решения о доступе.
В таком случае меняется и вопрос, который должна задавать платформа.
Вместо вопроса «Кто вы?» достаточно спросить: «Можете ли вы подтвердить, что соответствуете установленному возрастному требованию?»
Это различие важно, поскольку каждый дополнительный элемент персональной информации становится данными, которые необходимо надлежащим образом обрабатывать, защищать и контролировать.
Если платформе не требуется полная личность человека для принятия решения, сбор меньшего объёма информации может снизить ненужное раскрытие данных, не отменяя саму проверку возраста.
Выражение безопасная проверка личности без раскрытия данных не означает, что персональная информация вообще никогда не обрабатывается.
Поставщику услуги проверки всё ещё может потребоваться определённая информация о пользователе, чтобы достоверно установить, что он соответствует требуемому возрастному порогу.
Разница заключается в том, что происходит с этой информацией дальше.
Персональные данные, использованные во время проверки, не обязательно должны автоматически передаваться сайту, который полагается на её результат. Вместо этого сайт может получить подтверждение необходимого атрибута без доступа к исходным идентификационным данным, использованным для его подтверждения.
Это важное различие.
Проверка с сохранением конфиденциальности не означает, что персональных данных не существует. Речь идёт о контроле над тем, куда они передаются, что может видеть каждая сторона и действительно ли передаваемая информация необходима.
Французская система двойной анонимности существует в конкретном нормативном контексте. Она применяется к сервисам, подпадающим под французские требования к проверке возраста в отношении порнографического контента, и её не следует представлять как универсальное правило для каждого сайта, маркетплейса или SaaS-платформы.
Однако лежащий в её основе принцип проектирования применим гораздо шире.
Перед созданием процесса проверки платформа может начать с простого вопроса: что именно нам необходимо подтвердить о пользователе?
В некоторых случаях действительно может потребоваться полная подтверждённая личность. В других ситуациях платформе достаточно доказательства одного конкретного атрибута.
После определения этой потребности возникает следующий вопрос: какая часть информации, использованной во время проверки, действительно должна передаваться сервису, принимающему окончательное решение?
Если сайту необходимо только подтверждение того, что пользователь соответствует возрастному порогу, ему может не потребоваться полный документ, удостоверяющий личность, для принятия решения о доступе.
Такой подход побуждает платформы рассматривать проверку как способ подтверждения конкретных фактов, а не как повод автоматически собирать максимально возможный объём информации.
На протяжении многих лет подтверждение какой-либо информации о себе в интернете часто означало передачу персональных данных.
Нужно подтвердить возраст? Укажите дату рождения. Требуется более убедительное доказательство? Загрузите документ, удостоверяющий личность.
Французский подход к двойной анонимности начинается с другого вопроса: какой минимальный объём информации необходим для принятия решения?
При проверке возраста ответом может быть подтверждение того, что человек соответствует установленному возрастному порогу, без передачи сайту его имени, точной даты рождения или реквизитов документа, удостоверяющего личность.
Такой подход не отменяет проверку. Он меняет объём информации, которую необходимо раскрыть в процессе проверки.
Для цифровых платформ, разрабатывающих системы проверки личности и возраста, в этом заключается более широкий урок французского подхода: подтверждать именно тот факт, который необходим, ограничивать ненужное раскрытие данных и не связывать личность человека с его онлайн-активностью, если в этом нет необходимости.