Európa közösségimédia-korhatár-szabályozása egyben identitáskezelési probléma is

2026. szeptember 17-én az Európai Bizottság előterjesztette az EU KIDS Act javaslatát, amely a tervek szerint megtiltaná a közösségimédia-fiókok használatát a 13 év alatti gyermekek számára, a 13–14 éves korosztály esetében korlátozott vagy felügyelt hozzáférést tenne lehetővé, míg az önálló fiókhasználat alsó korhatárát 15 évben határozná meg. Fontos hangsúlyozni, hogy ez jelenleg még jogalkotási javaslat, nem pedig hatályos uniós jog.

Ezzel párhuzamosan az Európai Bizottság már kialakított egy olyan adatvédelmi szempontból megerősített életkor-ellenőrzési architektúrát, amelynek célja, hogy a felhasználó egy meghatározott életkori küszöb teljesülését igazolni tudja anélkül, hogy ehhez nevét, pontos életkorát, születési dátumát vagy más, a cél szempontjából szükségtelen személyes adatát fel kellene fednie. A megközelítés illeszkedik az európai digitális személyazonossági tárcákhoz, az EUDI Wallet ökoszisztémához.

Az itt használt ZKP (Zero-Knowledge Proof) az a kriptográfiai módszer, amely lehetővé teszi, hogy egy állítás igazságát bizonyítsuk anélkül, hogy az állítást alátámasztó titkos információt felfednénk, ahol az anonim hitelesítő adatok bizonyítani tudják egy attribútum teljesülését: „A felhasználó betöltötte a 15. életévét.”

Ez azonban csak a probléma egyik részét oldja meg.

A valódi kihívás az, hogy miként lehet a korhatár-szabályokat több platformon, következetesen és kijátszásbiztos módon érvényesíteni anélkül, hogy létrejönne egy központi adatbázis gyermekek személyazonosságáról.

Itt jöhet szóba kiegészítő megoldásként a privacy-preserving record linkage, azaz adatvédelmi szempontból védett rekord-összekapcsolási technológia, valamint a több szereplő közös adatelemzését lehetővé tevő Data Clean Room (DCR) infrastruktúra:

A ZKP szinten még nem szükséges DCR, viszont ott már indokolttá válik, ahol több, egymástól független adatkezelő vagy adatbirtokos adatait kell utólag összevetni vagy utólag közösen elemezni, miközben egyik fél sem adhatja át a másiknak a nyers személyes adatokat.

A PPRL (Privacy-Preserving Record Linkage) adatvédelmi módon képes megállapítani az entitásazonosságot:
„E két védett rekord ugyanahhoz a személyhez tartozik, anélkül, hogy az érintett személyazonossága ismertté válna.”
Természetesen a PPRL/DCR csak akkor tud rekordokat összekapcsolni, ha minden félnél ugyanaz az egyedi azonosító van meg, pl. kulcsolt hash-ként tárolt személyi igazolvány szám.

A PPRL-t alkalmazó DCR (Data Clean Room) adatkollaborációs platform lehetővé teszi az engedélyezett, több adatkezelő vagy adatbirtokos részvételével végzett számításokat úgy, hogy a feleknek nem kell összevonniuk vagy egymásnak átadniuk a mögöttes személyesadat-állományaikat. A DCR életkor-ellenőrzést és szülői hozzájárulás-validálást nem végez, ugyanis ez regisztrációkori, valós idejű feladat, ami az EU KIDS Act szerint az EUDI Wallet uniós életkor-ellenőrző app oldalán történik, ugyanakkor a DCR utólagos, batch jellegű összevetésre alkalmas. Tehát EUDI Wallet belépéskor ZKP anonim hitelesítés történik, majd azt követően a DCR mint utólagos, auditáló réteg, képes validálni.

A technológia alkalmas arra, hogy támogassa a több platformra kiterjedő életkor-ellenőrzést, a szülői vagy gondviselői hozzájárulás validálását, a korhatár-szabályok megkerülésére irányuló kísérletek felismerését, valamint a szabályozói megfelelés mérését, miközben az adatminimalizálás és a célhoz kötöttség elvei érvényesülnek. A DCR elvégzi a meglévő fiókok utólagos felülvizsgálatát, ugyanis az EU KIDS Act javaslat szerint a hatálybalépés után hat hónapon belül ellenőrizni kell, hogy a meglévő fiókok tulajdonosai 15 év alattiak-e, illetve elvégzi a hatósági megfelelés-mérést és a teljes mintavételes auditot.

A DCR minden esetben jogszerűen már rendelkezésre álló egyedi azonosítóra épül, mint például egy szigorú protokoll szerint ellenőrzött fiók (KYC), hatósági nyilvántartás, vagy kifejezett hozzájárulás), ugyanis ez az adatrekord kapcsolja össze a különböző szereplőknél nyilvántartott ügyféladatokat.

Javasolt konkrét megoldási modellek:

1. Cross-Platform Age Assurance & Circumvention
   Annak meghatározása, hogy különböző platformokon megjelenő, védett rekordok ugyanahhoz az érintetthez kapcsolódnak-e, illetve annak utólagos ellenőrzése, hogy történik-e ismételt vagy kijátszásra irányuló regisztráció, mindez közös identitás-adatbázis létrehozása nélkül. Egy gyermek például különböző telefonszámmal, e-mail-címmel vagy account-adatokkal regisztrálhat több platformon. Az egyes platformok önmagukban nem feltétlenül tudják megállapítani, hogy ugyanarról a természetes személyről van szó.
2. Regulatory Compliance Measurement
   Olyan statisztikai és megfelelőségi elemzések végrehajtása, amelyekben platformok, identitásszolgáltatók és hatóságok közösen vizsgálhatják a korhatár-ellenőrzés hatékonyságát anélkül, hogy az egyedi gyermekfelhasználók személyazonossága hozzáférhetővé válna. Olyan kérdésekre ad választ, mint például: „A platform által felnőttként kezelt felhasználók között milyen arányban találhatók olyan accountok, amelyek trusted age-verification forrás alapján nem érik el a releváns életkori küszöböt?”

A cél tehát nem egy újabb központosított személyazonossági infrastruktúra létrehozása.

A cél egy adatvédelmi szempontból védett interoperabilitási réteg, amely lehetővé teszi a korhatár-szabályok tényleges érvényesítését úgy, hogy a platformok a lehető legkevesebbet tudják meg az érintett gyermekek személyazonosságáról.

Identity without identification. Azonosíthatóság nélküli azonosság.

#Harveys #DataCleanRoom #DataCleanLab #PPRL #DCR #ZKP #PETs #AgeAssurance #AgeVerification #EUDIWallet #DigitalIdentity #GDPR #DataProtection #PrivacyByDesign #ChildSafety