Zjišťování věku na online platformách a ochrana nezletilých
Akt o digitálních službách (Nařízení (EU) 2022/2065 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách) (DSA) ukládá poskytovatelům online platforem dostupných dětem povinnost zajistit ochranu nezletilých. Tato povinnost je výslovně zakotvena v článku 28 DSA, který ukládá přijmout „vhodná a přiměřená“ opatření, a zároveň stanoví zákaz profilové reklamy vůči uživatelům, u nichž má poskytovatel s „přiměřenou jistotou“ za to, že jsou nezletilí. Zároveň však čl. 28 uvádí, že sám o sobě nezakládá povinnost zpracovávat další osobní údaje jen proto, aby poskytovatel určil věk příjemce služby.
Smyslem zjišťování věku je zmenšit pravděpodobnost vystavení dětí obsahu, kontaktům a praktikám, které ohrožují jejich soukromí či bezpečí (např. pornografie, gambling, rizikové kontakty a škodlivé algoritmické doporučování). V červenci letošního roku vydala Evropská komise vodítka k ochraně nezletilých (Guidelines on measures to ensure a high level of privacy, safety and security for minors online, pursuant to Article 28(4) of Regulation (EU) 2022/2065). Kromě zjišťování věku obsahují vodítka další aspekty služeb, které jsou dostupné dětem. V tomto článku se budeme však věnovat detailněji pouze zjišťování věku, neboť je z hlediska poskytovatelů online platforem podle našeho názoru nejdůležitější.
Kdo musí zjišťovat věk a co je služba přístupná dětem
Povinnost zjišťovat věk se vztahuje na poskytovatele online platforem, jejichž služby jsou přístupné nezletilým. DSA (recitál 71) uvádí, že platforma je přístupná nezletilým, pokud (i) její podmínky umožňují užití nezletilým, nebo (ii) je na ně zaměřena či je jimi převážně používána, nebo (iii) je poskytovatel jinak rozumně srozuměn, že část příjemců jsou nezletilí (např. už zpracovává údaje o věku, je zřejmá přitažlivost pro děti, proběhl vlastní či nezávislý průzkum apod.). Poskytovatel se nemůže odvolat na prohlášení v podmínkách „přístup pouze 18+“. Bez účinných opatření k zabránění přístupu dětí zůstává služba pro účely čl. 28 přístupná nezletilým. Nicméně, jedna výjimka existuje, a to výjimka pro mikro a malé podniky. Podstatou tedy je, že služba přístupná dětem je taková služba, u které může poskytovatel rozumně očekávat, že k ní budou přistupovat děti.
Soubor opatření k zjišťování věku uživatele má tři hlavní kategorie: self-declaration (vlastní prohlášení), age estimation (odhad věku) a age verification (ověření věku). Zásadní pro uplatnění jednoho z opatření je proporcionalita a vhodnost. Rozdílné služby přinášejí různé typy rizik vzhledem k obsahu, kontaktům, chování a skupinám uživatelů. Kategorizace rizik je obsažena v příloze vodítek. Poskytovatel musí vycházet z klasifikace rizika, nejlepší dostupné praxe (best-practice) a respektu k právům dětí.
Metody zjišťování věku
Vlastní prohlášení
Jde o nejjednodušší metodu – uživatel pouze zadá datum narození, věk či odklikne, že je „18+“. Komise výslovně uvádí, že vlastní prohlášení nenaplňuje požadavky na robustnost a přesnost a nepovažuje ji za vhodnou metodu k zajištění vysoké úrovně ochrany dětí dle čl. 28. Může přicházet v úvahu jen jako doprovodný krok (např. při registraci), nikoli však jako samostatná záruka zjišťování věku pro účely přístupu.
Odhad věku
Odhad věku odráží pravděpodobnost či věkové rozpětí, nikoli absolutní jistotu. Je vhodný tam, kde poskytovatel vyhodnotí riziko jako střední a kde méně invazivní opatření nepostačí, ale zároveň nejde o kategorie se vysokým rizikem. Komise doporučuje, aby takové metody byly poskytovány nezávislou třetí stranou či alespoň nezávisle auditovány z hlediska bezpečnosti a ochrany osobních údajů, aby byly provozně spolehlivé, dětem srozumitelně vysvětlené a doprovázené mechanismem nápravy (možnost napadnout chybnou klasifikaci). Odhad může dočasně doplnit ověření věku, pokud taková řešení dosud nejsou reálně dostupná. Tato přechodnost však nemá být dlouhodobá.
Ověření věku
Ověření věku poskytuje vysokou míru jistoty na základě fyzických identifikátorů nebo důvěryhodných, verifikovaných zdrojů a je považováno za vhodné a přiměřené zejména v situacích vysokého rizika: přístup k pornografii, hazardu, prodej alkoholu, tabáku či nikotinových výrobků, případně tam, kde právní předpisy stanoví minimální věk a identifikovaná rizika nelze jinak účinně omezit (např. živé chaty, sdílení obrázků/videí, anonymní zprávy). Ověřování má být samostatný, oddělený proces a poskytovatel nesmí zpracovávat více osobních údajů, než je nutné (ideálně jen „je/není 18+“). Komise podporuje tokenizované přístupy (anonymizované age tokens) a kryptografické postupy včetně zero-knowledge proofs či key rotation, nejlépe s využitím nezávislého třetího subjektu (double-blind architektura: platforma nepozná identitu uživatele, vydavatel tokenu neví, kde byl token použit).
Kdy a kterou metodu zjišťování věku zvolit
Základem je přezkum rizik, který zohlední pravděpodobnost přístupu dětí, povahu a dosah služby, funkce, uživatelskou základnu a dopad na práva dětí. Podle výsledku přezkumu rizik Komise doporučuje tuto metodu:
Nízké riziko: lze upřednostnit designová a organizační opatření (výchozí soukromé nastavení, omezení doporučovacích systémů, jasná transparentnost) bez plošného ověřování věku. Vlastní prohlášení může v tomto případě fungovat jako orientační signál.
Střední riziko: nezávislý a auditovaný odhad věku může být přiměřené řešení, pokud odhad prokazatelně dosahuje vhodného stupně přesnosti a nedá se snadno obejít. Současně má poskytovatel umožnit volbu metody, možnost nápravy chybného odhadu a další opatření.
Vysoké riziko: u tohoto rizika je nejhodnější ověření věku, zvláště pokud se jedná o pornografii, hazard a další oblasti s významnými dopady na děti. Ověření má být robustní, nemá poskytovat možnost ověření obejít a má být opakované, např. při každém přístupu do sekce 18+.
Aby metoda obstála jako „vhodná a přiměřená“, má být přesná, spolehlivá, robustní, neinvazivní (princip minimalizace dat, žádné profilování dětí, transparentnost, údaje o věku se neukládají ani nepoužijí k jinému účelu) a nediskriminační. Nesplní-li metoda tato kritéria, nelze je považovat za vhodnou a přiměřenou. Možností ověření věku dnes existuje celá řada, z nichž některé vodítka zmiňují.
Jak již bylo výše uvedeno, vodítka Komise, resp. čl. 28 se nezabývají pouze věkem nezletilých. Komise zdůrazňuje věku přiměřený design, výchozí restriktivní nastavení soukromí, omezení kontaktů neznámých účtů, kontrolu doporučovacích systémů, dětskému publiku srozumitelné informace apod.
Závěr
Zjišťování věku je v DSA prostředkem k naplnění čl. 28: chránit nezletilé před riziky plynoucími z obsahu, kontaktů, chování a komerčních praktik na online platformách přístupných dětem, tedy u služeb, u kterých lze rozumně očekávat, že se k nim děti dostanou. Zvolená metoda má být přiměřená riziku. Vlastní prohlášení o věku nestačí, odhad věku má místo u středních rizik, ověření věku je metoda přiměřená u vysokých rizik. Zjišťování věku by nemělo znamenat zpracování dalších osobních údajů, které poskytovatel nepotřebuje k poskytování služby. Metoda zjišťování věku by měla být v souladu s principem minimalizace osobních údajů. Zjišťování věku není samoúčelné, nýbrž má být zasazeno do bezpečného a věku přiměřeného designu služby, který skutečně snižuje rizika pro děti a respektuje jejich práva.
.jpg)
JUDr. Eva Fialová, LL.M., Ph.D.,
advokátka
© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz
