Et eksempel på indirekte alderskontroll

– Alderskontroller bør reguleres

Barnevakten ønsker lovpålagt alderskontroll på utvalgte digitale tjenester som kan være skadelige eller risikable for barn, for eksempel porno, KI-venner og sosiale medier. Lovpålagte alderskontroller på nettet finnes ikke i dag for norske brukere.

Barnevakten skriver mye om ulike former for alderskontroller for å hjelpe politikere til å ta balanserte beslutninger om hvordan eventuelle regler bør skrives. Inn i rekken av løsninger for alderskontroll finnes digitale lommebøker, les mer lenger ned.

Australia er et eksempel på et land som har innført aldersgrense på sosiale medier. Med lovpålagt aldersgrense må man nødvendigvis også ha alderskontroll. Meta har slettet en halv million brukere som var for unge for selskapets tjenester i Australia.

Det finnes også alderskontroller som gjelder norske nettbrukere, selv om Norge ikke har lovpålegg om dette. For eksempel Roblox har alderskontroll, det er frivillig innført av selskapet uten pålegg fra norske myndigheter.

– Både lovpålagte og frivillige alderskontroller bør reguleres. De lovpålagte bør ha regler som sikrer personvernet. De frivillige bør ha krav om informasjonsplikt om hva som samles inn av persondata i alderskontrollen og hva persondataene brukes til, slik at folk kan ta et opplyst valg om de vil opprette konto i tjenesten eller ikke, sier Leif Gunnar Vestbøstad Vik som er daglig leder i Barnevakten (bildet over).

Det finnes mange løsninger for alderskontroll. En av dem går ut på at e-ID eller digital lommebok kan dele alderen din med appen som du vil opprette konto i. Mange venter på at EU skal lage en slik løsning, som også kan bli felles for mange land og enklere å forholde seg til for appselskapene. I tilfelle er det kun alderen som vil bli delt, eller kanskje til og med enda mindre, kanskje deles kun et ja eller nei for å fortelle om du er innenfor aldersgrensen.

Med en digital lommebok slipper du å sende kopi av ID til appen som du vil inn i, for ID har du gitt til den digitale lommeboken allerede da du opprettet lommeboken.

Indirekte alderskontroll med Vipps

Det norske sosiale mediet Hudd har aldersgrense 15 år i sine vilkår. Hudd har valgt en løsning der alle brukere må opprette konto via Vipps. Og Vipps har aldersgrense 15 år. Alle som slipper inn i Hudd, er altså minst 15 år. Det er en slags indirekte eller «passiv» alderskontroll.

Et ekstra poeng med å opprette konto via Vipps, er at da får Hudd tilsendt en del personopplysninger om den nye brukeren. Det er navn, etternavn, fødselsdato, e-postadresse og mobiltelefonnummer. Disse personopplysningene er også noe av hensikten med Hudd som er en sosial naboapp der du skal være trygg på at folk virkelig er den de hevder å være.

– Når politikerne skal lage lovtekster om hvordan alderskontroll skal utføres, er det viktig at de er presise slik at de skiller mellom lovpålagte og frivillige alderskontroller. Noen ganger er det helt greit å dele persondata, hvis man får noe tilbake som man setter pris på, sier Vik.

Andre ganger bør man slettes ikke opprette konto, eller logge inn, ved hjelp av tredjeparter som sitter på data om deg. Barnevakten har tidligere advart mot latmannsløsninger der du logger deg inn i en app via en annen app som du allerede er logget inn i. For da kan appene dele enda mer persondata fra deg.

Dersom du vil bruke en app som du allerede er logget inn i, til å logge deg inn i en annen app, for at det skal være lettvint, bør du lese vilkårene og sjekke hvilke persondata som overføres.

Vi spurte Vipps hvilke persondata som selskapet gir til nettsteder eller apper som brukeren logger inn i. Her er svaret vi fikk:

«Vipps gjør grundige kontroller av alle bedrifter som ønsker å bruke Vipps Logg inn, blant annet for å avdekke svindel og for å sikre at tjenesten brukes i egnede bransjer. Det er den enkelte bedrift eller app som avgjør hvilke personopplysninger de trenger for å levere sin tjeneste. Vipps oppfordrer alltid bedriften til å be om kun de opplysningene som er nødvendige. Bedriften kan be om navn, telefonnummer, adresse, e-postadresse og fødselsdato. Fødselsnummer kan kun forespørres etter en ekstra kontroll fra Vipps, og da bare dersom bedriften har hjemmel i lov, for eksempel apotek eller veldedige organisasjoner som tilbyr skattefradrag. I tillegg finnes det enkelte valgfrie opplysninger for brukeren. Kjønn er helt frivillig for brukere å oppgi. I tillegg kommer markedsføringssamtykker, der brukeren selv velger hvilke samtykker som eventuelt gis.»

Vi spurte også om folk kan begrense hvilke persondata som Vipps deler. Svaret er nei:

«I praksis fungerer det slik at bedriften ber om bestemte datapunkter via Logg inn-API-et (API = den tekniske koblingen som muliggjør dataflyt mellom Vipps og bedriften). Vipps er svært tydelige og transparente i innloggingsflyten, slik at brukeren alltid ser nøyaktig hvilke opplysninger bedriften ber om. Dersom brukeren ikke ønsker å dele ett eller flere av datapunktene, kan de avbryte innloggingen. Det er altså ikke mulig å dele bare deler av informasjonen. Enten godtar man forespørselen, eller så avbryter man. I tillegg anbefaler vi alltid kundene våre å ikke bruke Vipps som eneste innloggingsløsning, men også tilby alternative registrerings- og innloggingsmetoder.»

Bedrifter kan velge å kun be om å få fødselsdato via Vipps Logg inn. Men Vipps presiserer overfor Barnevakten at Vipps Logg inn ikke er en løsning for sikker aldersverifisering, men primært en innloggings- og registreringsløsning.

Dersom det foreligger krav om sikker aldersverifisering eller identitetskontroll, anbefaler Vipps å benytte dedikerte eID-løsninger som BankID.

(Hovedbilde øverst: Shutterstock / Juliya Zotova.)