W Brazylii zapytanie o wiek i uwierzenie w odpowiedź kosztowało 153,7 miliona reali

Sedno: wiek deklaruje sam użytkownik

Organ ustalił, że platforma opierała się wyłącznie na samodzielnej deklaracji wieku — metodzie, którą użytkownik z łatwością manipuluje. To ta sama decyzja projektowa, którą znajdziemy w tysiącach europejskich serwisów: rozwijana lista z rokiem urodzenia, żadnej weryfikacji, problem uznany za rozwiązany. W Brazylii nie uchodzi to już za wystarczające.

Naruszenia dotyczą zarówno kanału dostępnego bez rejestracji — oglądania aplikacji bez zakładania konta — jak i tego dla zalogowanych. To istotne rozróżnienie: wiele firm traktuje niezarejestrowanego odwiedzającego jako nie-użytkownika, a więc poza zakresem swoich obowiązków. To nieprawda: jeśli serwis profiluje i śledzi, brak konta niczego nie odejmuje.

Co firma musi zrobić poza zapłatą

• Usunąć wszystkie dane zebrane nieprawidłowo
• Wdrożyć wiarygodne mechanizmy weryfikacji wieku, zgodnie ze Statutem cyfrowym dzieci i młodzieży (ECA Digital)
• Automatycznie ustawiać konta użytkowników poniżej szesnastu lat na najbardziej restrykcyjną konfigurację prywatności

Dlaczego brazylijska decyzja dotyczy Europy

LGPD zbudowano na architekturze RODO, a ANPD porusza się w dialogu z organami europejskimi. Temat wieku zresztą wszędzie zmierza w tę samą stronę: Wielka Brytania wymaga skutecznej weryfikacji, UE debatuje nad ochroną małoletnich w akcie o usługach cyfrowych, a włoski organ już wielokrotnie interweniował w sprawie dostępu małoletnich do platform. Decyzja uznająca samodeklarację za niewystarczającą będzie cytowana i poza Brazylią.

Uwaga realistyczna: poważna weryfikacja wieku oznacza zbieranie większej, nie mniejszej ilości danych — dokumentu, danych biometrycznych, pośrednika, który poświadczy. To nierozwiązane napięcie całej tej materii, a żaden z organów żądających weryfikacji nie wyjaśnił dotąd, jak pogodzić ją z zasadą minimalizacji. To problem, który najbliższe dwa lata będą musiały rozstrzygnąć.