Uradniki so predlagano rešitev proglasili za "zlati standard" zasebnosti, ki uporabnikom omogoča dokazovanje starosti brez razkritja nepotrebnih osebnih podatkov. Države članice so bile pozvane, da jo prilagodijo in uvedejo do konca leta 2026. Nekatere (npr. Francija, Italija, Španija, Danska, Grčija) že napredujejo s pilotnimi projekti, pogosto z integracijo v nacionalne denarnice za digitalno identiteto EU (European Digital Identity Wallet – EUDI Wallet). Rešitev lahko deluje kot samostojna aplikacija ali kot del širše EUDI Wallet infrastrukture. Komisija bo vzpostavila tudi shemo zaupanja vrednih ponudnikov in sezname potrjenih rešitev.
Kako deluje tehnično?
Uporabnik prenese aplikacijo (ali jo uporablja prek EUDI Wallet) in enkrat izvede preverjanje identitete/starosti z uradnimi sredstvi: biometrični potni list ali osebna izkaznica (NFC + ujemanje obraza), nacionalni eID, tretjeosebna aplikacija (npr. bančna) ali osebno preverjanje (npr. na pošti).
Shrani se samo binarno potrdilo o starosti (npr. "starost nad 18 let: DA"). Nobenih drugih podatkov (ime, točen datum rojstva, slika dokumenta ipd.) aplikacija ne hrani za nadaljnjo uporabo. Komunikacija z izdajateljem po začetni nastavitvi preneha.
Ko platforma zahteva preverjanje, aplikacija generira kriptografski dokaz z ničelnim razkritjem znanja (zero-knowledge proof – ZKP). Ta dokaz (attestation) platforma kriptografsko preveri – preveri podpis zaupanja vrednega izdajatelja (državni organ ali akreditirani ponudnik) in veljavnost trditve "starost nad pragom".
ZKP zagotavlja:
- Da se razkrije samo potrebna informacija (da/ne).
- Da dokazov ni mogoče povezati med različnimi platformami ali obiski.
- Da ni sledenja uporabniku.
Evropska komisija v svojih uradnih objavah govori o dokazovanju starosti brez razkritja dodatnih podatkov, ne pa izrecno o dokončno izbranem ZKP mehanizmu. Referenčna rešitev je zgrajena na istih tehničnih specifikacijah kot EUDI Wallet in je odprtokodna, kar omogoča prilagoditev s strani držav članic (z izjemo zasebnostnih mehanizmov, ki jih ni mogoče spreminjati).
Ali se da preverjanje obiti z VPN?
Evropski uradniki so izrecno priznali, da je trenutno obvod možen (npr. z dostopom do platform, ki še ne uveljavljajo sistema ali določajo pristojnost z IP-naslovom), in poudarili, da "VPN ne sme omogočati obvoda sistema". Preprečevanje obvodov naj bi bilo del "naslednjih korakov". Poudarek je na dvigovanju praga ovir, podobno kot pri fizičnem preverjanju osebne izkaznice v trgovini.
Tehnično je mogoče doseči visoko stopnjo odpornosti proti VPN (ki spremeni samo navidezno lokacijo/IP) z naslednjimi elementi, ki so delno že vgrajeni v zasnovo:
1. Kriptografska neodvisnost od omrežne lokacije — Dokaz je kriptografski žeton, izdan na podlagi predhodno preverjene identitete. VPN ne more ustvariti veljavnega dokaza niti razveljaviti obstoječega. Platforma sprejme le kriptografsko preverjene dokaze iz zaupanja vrednega EU okvira (eIDAS-skladni).
2. Obvezna integracija in uveljavljanje pri platformah — Evropska komisija spodbuja uporabo visoko zanesljivih metod preverjanja starosti kot enega od načinov izpolnjevanja obveznosti po DSA. To velja ne glede na IP uporabnika (ekstrateritorialni učinek DSA). Platforme lahko dokaz kombinirajo z drugimi signali (jezik, plačilni podatki, zgodovina računa), da ne zanašajo izključno na IP. DSA ne vsebuje splošne in izrecne obveznosti, da morajo vse platforme uporabljati "visoko zanesljivo preverjanje starosti" niti ne določa, da morajo sprejemati izključno dokaze iz novega evropskega sistema. Člen 28 DSA zahteva visoko raven zasebnosti, varnosti in zaščite mladoletnikov, ne predpisuje pa konkretne tehnologije preverjanja starosti. Evropska komisija zaenkrat promovira aplikacijo kot priporočeno rešitev, ne kot edino zakonsko dopustno rešitev. A to se lahko spremeni.
3. Močno preverjanje identitete pri izdaji dokaza — Pridobitev potrdila zahteva močno identifikacijo z uradnimi dokumenti ali eID (pogosto z biometrijo ali NFC). Pridobitev dokazila bo praviloma zahtevala dostop do ustreznega identifikacijskega sredstva, ki ga priznava posamezna država članica. VPN tega koraka ne pomaga obiti.
4. Varnostni in zaupanja vreden okvir — Komisija vzpostavlja shemo akreditacije izdajateljev in sezname potrjenih aplikacij.
5. Dodatni možni ukrepi — Plaftorme bodo pravno obvezane, da uveljavljajo pravila EU ne glede na zaznano lokacijo (lahko bodo preverjale tudi uporabnike z neevropskimi IP-naslovi). Hipotetično je možna tudi regulacija VPN ponudnikov (npr. prepoved oglaševanja obvoda otroške zaščite), čeprav uradniki zanikajo načrte za prepoved VPN. Širši ukrepi, kot je preverjanje starosti na ravni VPN ali omrežja, niso predlagani in bi bili tehnično ter pravno zelo sporni.
Popolna tehnična nemožnost obvoda brez širših posegov v internetno arhitekturo (npr. obvezno preverjanje na ravni operacijskega sistema ali globokega pakiranja prometa) ni realna in bi imela resne posledice za zasebnost in odprtost interneta. Vseeno pa sedanja zasnova bistveno dviguje prag v primerjavi z dosedanjimi metodami (samoprijave, kreditne kartice).
Nezaželene posledice uvedbe takšne aplikacije
Implementiranje aplikacije za preverjanje starosti, kot je zamišljena sedaj, bo prineslo tudi tveganje in izzive:
- Zasebnost in potencialni nadzor — Začetna nastavitev zahteva deljenje občutljivih identifikacijskih podatkov z izdajateljem (državnim organom ali pooblaščenim preverjevalcem). Obstaja tveganje uhajanja podatkov, zlorabe ali "function creep" (postopna širitev uporabe podatkov). Kljub ZKP za predstavitev dokaza lahko platforme vedo, da je uporabnik dostopal do njihove omejene vsebine z uradnim dokazilom. To lahko vodi v zastraševalni učinek (chilling effect) in zmanjšanje anonimnosti pri dostopu do legitimnih, a občutljivih vsebin.
- Varnostne ranljivosti — Prototip je že pokazal resne lokalne ranljivosti. Če implementacija ni popolnoma varna (anti-tampering, secure boot, redni pregledi), obstaja tveganje ponarejanja dokazov ali kompromitacije. Centralizirano zaupanje v izdajatelje pomeni visoko tveganje ob morebitnem kompromisu podpisnih ključev.
- Izključenost in digitalna neenakost — Rešitev zahteva pametni telefon, tehnično pismenost, ustrezne dokumente in voljo do namestitve aplikacije, povezane z vladno infrastrukturo. Izključuje ali otežuje uporabo starejšim osebam, ljudem z invalidnostmi, nizko digitalno pismenostjo, tistim brez sodobnih biometričnih dokumentov ali zasebnostno občutljivim posameznikom. Težave imajo lahko tudi turisti, izseljenci in osebe brez stalnega prebivališča v EU.
- Omejena učinkovitost in lažni občutek varnosti — Ni 100-odstotna rešitev. Odločni uporabniki lahko še vedno obidejo prek ne-skladnih ali tujih platform, izposojenih naprav ali drugih metod. Lahko potisne mladoletne k bolj nevarnim, nereguliranim virom (temni splet ipd.). Preveliko zanašanje na tehnično rešitev lahko zanemari izobraževanje, starševski nadzor in zasnovo platform (age-appropriate design).
- Stroški, bremena in fragmentacija — Stroški za države članice (razvoj, varnostni pregledi, vzdrževanje) in platforme (integracija SDK, skladnost). Možna fragmentacija, če države močno prilagodijo rešitev. Manjše platforme in izvenevropski ponudniki (ki so dejansko v večini) nosijo dodatno breme.
- Širjenje obsega (mission creep) in normalizacija digitalne identitete — Infrastruktura za starostno preverjanje se lahko razširi na druga preverjanja (npr. alkohol, tobačni izdelki, strokovne kvalifikacije). To normalizira predstavljanje vladno izdanih digitalnih dokazil za vsakodnevne spletne aktivnosti in zmanjšuje prostor za anonimnost na spletu.
- Vpliv na orodja za zasebnost (VPN in podobno) — Pritisk na "zapiranje lukenj" lahko vodi v regulacijo VPN (npr. zahteve po preverjanju starosti pri ponudnikih VPN, kar bi ogrozilo model brez beleženja podatkov in namen zasebnosti). To bi lahko oslabilo legitimna orodja za zaščito pred sledenjem, cenzuro in v avtoritarnih okoljih.
- Pravni in družbeni izzivi — Možni konflikti s pravicami do zasebnosti (GDPR, Listina EU o temeljnih pravicah) in svobodi izražanja/dostopa do informacij. Tveganje za odpor javnosti in nekaterih držav članic ter zmanjšano zaupanje v digitalne pobude EU.
Viri in reference
- Commission urges fast rollout of age verification app, https://commission.europa.eu/news-and-media/news/commission-urges-fast-rollout-age-verification-app-2026-04-29_en
- Uredba (EU) 2022/2065 Evropskega parlamenta in Sveta z dne 19. oktobra 2022 o enotnem trgu digitalnih storitev in spremembi Direktive 2000/31/ES (Akt o digitalnih storitvah)
- Uredba (EU) 2024/1183 Evropskega parlamenta in Sveta z dne 11. aprila 2024 o spremembi Uredbe (EU) št. 910/2014 v zvezi z vzpostavitvijo evropskega okvira za digitalno identiteto
