YouTube vraagt gebruikers voor leeftijdscontrole om ID-kaart

De maatregel is een gevolg van nieuwe Europese wetgeving om minderjarigen beter te beschermen tegen schadelijke video’s. De verwachting is dat gebruikers om een ‘kopietje’ van het identiteitsbewijs gevraagd wordt of dat zij via hun webcam hun ID-kaart moeten laten zien. Dat leidt tot de volgende vragen: Mag dit zomaar? En zijn er geen andere oplossingen om een leeftijdscheck te doen?

Meerdere partijen worstelen met deze uitdaging

In de markt worstelen meer partijen met de verplichting om bepaalde zaken digitaal te verifiëren. Een ander voorbeeld is Bol.com, dat recent stopte met de verkoop van alcoholische dranken. Toen Bol.com in 2018 begon met verkoop van alcohol, zijn er met verkooppartners afspraken gemaakt over leeftijdscontroles bij afgifte aan de deur door bezorgers. Uit controles bleek dat dit in de praktijk onvoldoende werd nageleefd, waarna Bol.com besloot ermee te stoppen.

De ideale wereld

In principe hebben YouTube en Bol.com voldoende aan een bevestiging dat jij jij bent en dat je op basis van een betrouwbare en controleerbare bron kunt bewijzen dat je 18+ bent. Alle andere gegevens op je identiteitskaart hebben ze niet nodig, maar krijgen ze door hun huidige werkwijze onbewust toch in handen. Dat is natuurlijk niet privacyvriendelijk en het brengt inbreukrisico met zich mee. In de markt bestaan inmiddels een aantal privacyvriendelijke oplossingen, zoals IRMA. Hiermee deel je via een app alleen enkele relevante eigenschappen (attributen) van jezelf.

Attribuutgericht werken is de oplossing

‘Dataminimalisatie’ is een belangrijk item in de Algemene verordening gegevensbescherming (AVG). Je vraagt een gebruiker dus niet zijn hele doopceel te lichten of zijn volledige paspoort te delen, maar je checkt bijvoorbeeld alleen of iemand in het bezit is van een rijbewijs of je controleert of een zorgverlener wel een BIG-registratie heeft. Een belangrijke voorwaarde is dat het geen claim is van de gebruiker zelf, maar dat een partij die als betrouwbare autoriteit wordt gezien het kan aantonen.

Waarom zouden bedrijven meer attribuutgericht moeten werken?

Als jouw organisatie de privacy van je klant centraal stelt of als je klant dat van je eist, dan is dataminimalisatie en attribuutgericht werken waardevol voor je bedrijfsvoering. Het verkleint bijvoorbeeld ook het risico op datalekken. Immers, wat je niet hebt, kun je ook niet kwijtraken. Door gebruikers alleen het minimale te vragen, zie of ontvang je alleen wat écht noodzakelijk is voor je dienstverlening.

Innovatief toekomstperspectief

Gebruikers die zelf hun attribuut gebaseerde oplossingen beheren, waaronder ook de data-0pslag, zijn een innovatief toekomstperspectief. Als je jouw klanten de mogelijkheid geeft in te loggen met IRMA geef je hen de kans alleen datgene te delen wat nodig is. Je eigen bedrijfsvoering verbeter je met data-validatie en het op orde hebben van Know Your Customer (KYC). Dat kan omdat decentrale attribuuttechnologie, zoals IRMA, geen middel is, maar alleen drager is van middelen. Geen enkel centraal middel kan bijvoorbeeld vaststellen dat de gebruiker X is wie hij is, dat hij bekend is bij gemeente Y én dat hij de tekenbevoegde functionaris is van bedrijf Z. DigiD vertelt je niet of persoon X eigenaar is van bedrijf Z. De KVK kan niet vaststellen of persoon X is wie hij is. En een gemeente weet niet of persoon X tekenbevoegd is voor bedrijf Z. Met bijvoorbeeld de IRMA-app kan dat wel en dat biedt organisaties veel voordelen.

Regie over attributen is een gamechanger

Gebruikers regie geven over hun eigen attributen is een gamechanger. Privacy komt steeds centraler te staan en de interactie met de gebruiker is ‘eerlijker’. Het wordt makkelijker om benodigde zekerheden te verkrijgen, zeker als het gaat om zekerheden uit diverse bronnen. Een ander mooi voorbeeld verscheen recent op Emerce en laat zien hoe Amsterdammers eenvoudig zaken kunnen regelen bij de gemeente met behulp van de IRMA-app. De gemeente Amsterdam is een van de koplopers in de adoptie van IRMA. Zij ontwikkelden een aantal demonstratie-omgevingen waarbij in elke context alleen de noodzakelijke attributen gevraagd worden.