YouTube gaat gebruikers om ID-kaart vragen om leeftijd te controleren, mag dat?

YouTube gaat gebruikers om een ID-kaart of creditcard vragen als het niet kan vaststellen of een gebruiker achttien jaar of ouder is en video’s voor volwassenen wil bekijken. Dat meldde Nu.nl gisteren. De maatregel volgt uit de Audiovisual Media Services Directive (AVMSD) die in 2018 werd aangenomen en ongeveer nu van kracht is. Deze vereist dat diensten zoals Youtube zorgen dat minderjarigen niet zomaar schadelijke inhoud te zien krijgen, en een leeftijdscheck is daarbij een mogelijkheid. Wat natuurlijk de vraag oproept, mag dat zomaar, van iedereen een kopie identiteitskaart vragen?

Uit de blog van Youtube over dit onderwerp haal ik dat het niet een “upload je ID om verder te kunnen” is voor iedereen:

If our systems are unable to establish that a viewer is above the age of 18, we will request that they provide a valid ID or credit card to verify their age. We’ve built our age-verification process in keeping with Google’s Privacy and Security Principles.

Het gaat dus om het moeten aantonen van meerderjarigheid om zo content ongeschikt voor kinderen te mogen zien. En pas nadat Youtube zelf niet kan vaststellen (bijvoorbeeld uit je Google-profiel, de AI-analyse van je surfgedrag of een elders opgegeven en geverifieerde leeftijd) dat je 18 bent, wordt er om een kopie identiteitsbewijs gevraagd.

Natuurlijk mag je -moet je- bij die kopie je bsn afschermen. Het is immers verboden voor Youtube om dat getal te gebruiken voor welk doel dan ook. Maar andere gegevens, zoals je foto, lijken me wel relevant want hoe kunnen ze anders zien dat jij het bent? (Er zijn geen details gepubliceerd maar het lijkt me logisch dat jij op de foto gaat samen met je identiteitskaart.) Die mag je dus niet uitblurren.

Waar ik bang voor ben, is dat het proces gewoon gaat eisen dat er nul aanpassingen op de ID zitten. Dus bsn leesbaar, en geen tekst er doorheen “Youtube age verification” zoals de beste praktijk is bij het verwerken van identiteitskaarten. Dat is niet hoe het hoort, maar vaak wel hoe het gaat. Want vaststellen dat er iéts gewijzigd is, dat kan wel. Maar vaststellen of er iets aangepast is dat aangepast mocht worden (of niet), dat is veel lastiger. Ik hoop dat we snel details krijgen.

Arnoud

37 reacties

  1. https://support.google.com/accounts/answer/10071085

    In het uitklap menu “Get country-specific guidance” staat bij Nederland:

    Submit only the front of your ID card. Block out your BSN from your document (it may appear in multiple locations). You have the right to block out your photo on your document. Consider using the KopieID App to assist.

    Alleen lees ik in de tweakers comments over dit nieuwsartikel dat ze (voorheen) een on-aangepaste kopie vereisen van app developers die in-app aankopen verkopen. Er mag zelfs geen watermark overheen staan.

    1. Hetzelfde verhaal als Facebook dus, die al een hele tijd een upload van je ID eist als je account ooit gevlagd is geweest als ‘vals’ omdat je niet je paspoortnaam gebruikt hebt. En als je op die upload je BSN zwart maakt, dan wordt het gewoon geweigerd, computer says no, probeer maar opnieuw.

      Naar de rechter stappen voor zoiets is dan heel lastig omdat je dan een zaak moet aanspannen tegen een organisatie in het buitenland met veel juridisch wapentuig.

  2. Eens kijken, wat is bekend: – Er is een wettelijke verplichting om op leeftijd van de juiste persoon te controleren. – De verwerker van een BSN is verplicht om vast te stellen dat het om de juiste persoon gaat. Nu wordt het spannend, stelling: de privacy fanatici stellen dat dit soort zaken helemaal niet zou mogen.

    Het technische probleem: Het vaststellen dan het om een geldig ID bewijs gaat kan alleen als er niets afgeschermd is, de echtheidskenmerken en zeker een foto. De foto op het ID bewijs kan je vergelijken met degenen die op een camera zichtbaar is. Met een bepaalde marge kan je daar een mate van zekerheid aan hangen. Dit is de oplossing die VISA voor het opnieuw vaststellen van de juiste persoon gebruikt. Zijn zijn verplicht om het ID met BSN te verwerken. Nu komen de fanatici dat zoiets niet mag omdat het een verwerking van gevoelige persoongegevens is. hmmmm raar.

    Is het BSN een een gevoelig persoonsgegeven? Nee het is een pseudoniem waarmee persoonsverwisselingen zoveel mogelijk voorkomen wordt. Enkel een naam leidt te makkelijk tot fraude oplichting en privacy inbreuk door verwisselingen. Nog iets raars, kijken we naar een merknaam dan vinden we het normaal dat als iemand dat kopieert en misbruikt dat diegene wordt aangepakt (degene die misbruik maakt) . Bij het BSN is dat om een of andere onbegrijpelijke reden omgedraaid. Degenen die onjuist gebruik maakt van een bsn wordt niet aangepakt, we zitten te wijzen naar de persoon waar de bsn bij hoort. Alsof de eigenaar van een merknaam de schuldige is als zijn merk illegaal gekopieerd wordt,

    1. Het is niet nodig om te bepalen of een BSN een gevoelig persoonsgegeven is. De wet zegt over de BSN specifiek wie deze waarvoor mogen gebruiken (inclusief bezitten), elk ander gebruik is niet toegestaan.

      Ook zegt google zelf expliciet dat Nederlanders hun foto mogen afdekken. Ik heb dus geen flauw idee hoe ze willen bepalen of een plaatje van een ID kaart (zonder foto of BSN) met de naam “Mark Rutte” wel of niet hoort bij de email “TreinSpotter9000@gmail.com”.

      1. Je geeft het probleem exact goed aan. De wet eist dat er een goede validatie op de juiste persoon is. In de wet ontbreekt hoe die validatie uitgevoerd kan worden.

        Dan heb je of een onuitvoerbare wet die je niet moet gaan handhaven, schaf hem af of je moet wat doen aan het invullen van die validatie. Dat zijn de keuzes. Cherrypicking veroorzaakt alleen meer problemen.j

        1. Zelfde geldt denk ik voor de andere opties die Arnoud noemt (in je Google profiel staat het je vrij wat dan ook te beweren) en veel porno elders kijken, laat de AI denken dat je meerderjarig bent. En elders de leeftijd verifiëren, verschuift het probleem, tenzij wellicht hier een nieuw business model voor banken wordt geïntroduceerd.

        2. Maar ook al hebben ze wel een foto, BSN, vingerafdruk, irisscan en DNA profiel, hoe kunnen ze dat linken aan “TreinSpotter9000@gmail.com”?

          Ook is er geen eis dat je je echte naam op internet gebruikt. Je mag dus ook Kees Klaasen heten terwijl je Jan.Jansen@gmail.com als email gebruikt. Kortom in plaats van dat Google gelooft dat je 18+ ben omdat je het zegt, willen ze nu allerlei informatie en geloven ze je nog steeds op je woord als je zegt dat die informatie van jou is.

          Een betere manier zou zijn is als google jou een verificatiecode met de post stuurt waarbij de postbode jouw ID controleert of je 18+ ben. Alleen heeft deze methode teveel issues waardoor bedrijven die hiervan gebruik maakte om drank te versturen gestopt zijn met drank te versturen. Een ander nadeel is dat je dan je adres (of postbus) moet geven aan Google.

          De enige andere oplossing die ik kan verzinnen is dat ze je doorsturen naar een portal van de overheid waar je met je digid moet inloggen en het enige dat google te horen krijgt is of iemand 18+ is of niet. Maar dan weet je nog steeds niet of dat de eigenaar van het email adres is of van een vriend.

          1. Hiervoor zou je IRMA kunnen gebruiken. Dit staat voor I Reveil My Attributes en daarmee kan je bijvoorbeeld alleen laten zien dat je boven een bepaalde leeftijd bent en dat is dan bevestigd door je gemeente. Wanneer Google zich daar op aansluit, kunnen ze de leeftijd controleren zonder dat ze een kopie van een ID nodig hebben.

            1. Nou nee Irma is het tonen van een smartphone en zegt niets over de juistheid van de betreffende persoon. Je kan net zog goed zeggen dat een bankpas met pin het bewijs van de juiste persoon zou zijn. Dat geloofd gelukkig niemand, te bekend hoe makkelijk het uitlenen en fraude is.

          2. Ze hoeven je niet door te sturen, het enige wat nodig is: – het id bewijs is legitiem – de persoon achter de computer hoort bij dat id-bewijs. Je kan nog aparte persoonskenmerken bewaren zodat de politie het kan opvragen wie het was die zich aan zeer foute zaken schuldig maakte. Een gelegenheid die een internetverbinding aanbied is verplicht een minimale controle te doen. Daar is jurisprudentie van.

          3. Er bestaat ook een systeem genaamd IDIN. De Staatsloterij heeft het gebruikt om mijn leeftijd te verifiëren — overigens op een verkeerd moment; niet dat ik online een lot kocht maar op het moment dat ik na inschakeling van IDIN weer inlogde op mijn al bestaande account. Je geeft aan bij welke bank je zit, je krijgt dan een geprepareerde pagina voor je neus op de website van je bank. Even invullen, bankpas en e-reader er bij voor verificatie, en de bank stuurt een signaal terug naar de Staatsloterij met ‘is 18 jaar’. Er zal vast wel een uitgebreidere website zijn om het hele systeem uit te leggen.

            Dit vind ik nog de minst storende manier van leeftijdsverificatie. Google komt alleen te weten bij welke bank je zit. Je bank heeft al je BSN en nummer van je ID toch al; bij het openen van een rekening is dat het minimale dat je moet overleggen.

    2. Eens kijken, wat is bekend: – Er is een wettelijke verplichting om op leeftijd van de juiste persoon te controleren. – De verwerker van een BSN is verplicht om vast te stellen dat het om de juiste persoon gaat. Nu wordt het spannend, stelling: de privacy fanatici stellen dat dit soort zaken helemaal niet zou mogen.

      Een hoofdregel uit de privacyregels: als het wettelijk moet, dan mag het daarom ook.

      1. Google is 4 september 1998 opgericht. Dus Google is 18+. Youtube zelf is dat niet maar ik kan Youtube gebruiken met mijn Google account. Blijft de vraag sinds wanneer ik me bij Google kon registreren met een persoonsgebonden account. Gmail is uit 2004, dus mijn persoonlijke Google account is nu 16 jaar.

  3. Even aangenomen dat, zoals Ronald zegt, je gewoon je BSN mag afschermen. Een leeftijdscontrole is op zich prima, maar blijft het daar ook echt bij? Wat doen ze met de afbeeldingen? Worden die een keer bekeken en daarna gewist? Zo niet, hoe lang worden die bewaard en in welke vorm? Gaan ze daar een machine learning algoritme loslaten voor “fraudepreventie”?

    Misschien is het geen gegronde angst, maar ergens ruikt dit bij mij toch naar het koppelen van je echte identiteit aan je Youtube account als Google die om een of andere reden nog niet heeft (haha inderdaad). Zolang er geen garantie is dat Google het strikt bij een vinkje van “18+ geverifieerd” houdt en daarna elk persoonsgegeven definitief wist blijft dit voor mij zorgwekkend.

  4. Als Youtube inderdaad een ID-kopie met zichtbare BSN vereist, kan de Autoriteit Persoonsgegevens weer een brief versturen, zoals ze die ook aan Airbnb verstuurde (met succes, begrijp ik) : https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-airbnb-be%C3%ABindigt-verwerking-bsn#:~:text=Het%20Amerikaanse%20bedrijf%20Airbnb%20heeft,de%20Autoriteit%20Persoonsgegevens%20(AP).&text=Onder%20de%20Wet%20bescherming%20persoonsgegevens,hiervoor%20een%20wettelijke%20basis%20hebben.

      1. Klopt, gmail en daarmee de eerste accounts stammen van 1 april 2004 (limited beta). Ik heb nog een account uit die beta periode, maar ik nam het niet zo serieus, dus onbruikbaar adres. Mijn main account heeft op 1-9-2004 een invite van dit account gekregen en dat e-mailadres, gewoon mijn naam, gebruik ik nog steeds. Dat is ook het account waar ik indertijd mijn google apps mee heb geopend voor ik een eigen domein had.

        Dat doe je niet als twee jarige, dus Google kan moeilijk met strak gezicht claimen dat ik geen 18 ben 🙂

  5. Het gaat Google er denk ik niet om een waterdicht systeem te maken. Het gros van de kinderen zal afhaken wanneer ze bij een video belanden met deze manier van leeftijdsverificatie. Daardoor kan Google zeggen dat het een effectieve methode is. Dat er kinderen zijn die de ID-kaart van een volwassene hiervoor misbruiken beschouwt Google niet als hun verantwoordelijkheid.

    1. Dat is in feite ook niet hun verantwoordelijkheid. Er is geen 100% effectieve maatregel; je kan niet voorkomen dat mensen boven de 18 accounts gaan valideren van mensen onder de 18; dat gezinnen waar men een computer of tablet deelt alleen de mensen boven de 18 op youtube kunnen; of dat kinderen andere methoden vinden. Ook google’s AI gaat niet aan de hand van het surfgedrag alleen kunnen bepalen of iemand 17 jaar en 10 maanden of 18 jaar en 2 maanden is. Ze kunnen dus ook niet meer doen dan dingen die redelijkerwijs mogelijk zijn. Dat de wetgever dingen wil die praktisch onuitvoerbaar en onredelijk zijn is niet de fout van google.

      1. Het is ook niet aan Google of Facebook om te bepalen welke dingen mijn kinderen niet mogen kijken, dat bepaal ik als ouder zelf (tenminste, toen ze nog jonger waren, nu zijn ze hoop ik oud en wijs genoeg om zelf te kiezen.)

    1. Gaat mis op het feit dat er geen controle persoon – hulpmiddel is. Even de telefoon van pappa het vriendje gebruiken. Omdat de indetiteit niet meegaat is het ongeveer hetzelfde als geen controle op leeftijd.

      1. Werkelijk? Even de telefoon gebruiken? Mijn telefoon heb ik 95% van de tijd bij me. Hij is afgeschermd met een vingerafdruk. En de Irma app heeft een aparte, eigen pincode. Omdat je deze zeer zelden gebruikt kijk je hem ook niet even af. Je kunt niet zomaar even met mijn telefoon mijn Irma-attributen gebruiken.

        1. Het beeld wat je bij mij oproept is van iemand aan de balie die de verwerker opdracht om zaken uit te voeren zoals hij dat opdraagt en als dat niet gedaan wordt dan wel even zijn gelijk gaat halen. Dat is niet zoals het hoort en niet zoals dienstverlening werkt.

          De verwerker is verantwoordelijk voor het vaststellen van de juiste persoon, die moet iemand die zijn gelijk probeert te halen juist afwijzen, buiten de deur zetten. Zeker als niet duidelijk is dat het de juiste persoon is. Iemand kan wel zoveel beweren. – jouw telefoon kan je aan iemand anders hebben gegeven en open gezet. – jouw telefoon kan overgenomen zijn -etc. Ooit was de magneetstrip met pincode ook zo gebracht. Ze moeilijk dat skimming onmogelijk was. Het verdienmodel en de techniek veranderd met de tijd. Je moet de basis goed hebben wil je mee kunnen veranderen.

          Die verwijzing naar een vingerscan is leuk. Je zegt dat je telefoon vertrouwt in biometrische opslag van je telefoon. Dan zou je ook de biometrische authenticatie moeten vertrouwen als dat de methode is bij bijvoorbeeld een gemeentelijke dienst. Je methode en argument met die vinger is nu niet toegestaan. De huidige insteek van de autoriteit persoonsgegevens is dat zoiets niet mag want mogelijk privacy schendend. Fraude plegen en andermans identiteit overnemen is kennelijk niet privacy schendend.

  6. Ik denk trouwens dat YouTube c.q. Google deze hele wetgeving helemaal fantastisch vind. Uit naam van de wet, en uiteraard zogenaamd om “een veilige online ervaring voor kinderen te garanderen” kan Google nu veel nauwkeuriger de gegevens die ze hebben verrijken. Als je op enig moment geen account meer kan maken waarin je zegt dat je “Jim Jones, geboren 1 januari 1930” bent , maar je daadwerkelijke naam en leeftijd moet opgeven kan Google nog beter in kaart brengen wat voor mensen waar naar kijkt. Ze kunnen nog beter nauwkeurige profielen maken en gericht advertenties verkopen. Voor je online privacy is dit allemaal geen goed nieuws.

    1. Zo makkelijk gaat dat niet lijkt mij. Als Google die data verzameld met als grondslag de wettel;ijke verplichting, dan mag het die data alleen gebruiken om te voldoen aan de wettelijke verplichting. Koppelen aan andere data hoort daar niet bij en als uitkomt dat ze dat doen zal er ongetwijfeld iemand een procedure starten, want Google is nog net niet zo gehaat als Facebook

      (de ondernemingen dan, niet perse de producten. Google heeft prima producten. Facebook niet echt, maar onder sociale druk heb ik er ook aan moeten geloven. Het wordt stomvervelend als je vrienden op Facebook afspraken maken en jij dan een mailtje krijgt of je die dag ook kan zonder enige input te kunnen geven aan de datum en tijd. Facebook kan wat mij betreft niet snel genoeg sterven…)

      1. Ze hoeven dat helemaal niet actief te doen, d.w.z ze hoeven die leeftijds-check niet daadwerkelijk zo gericht in te zetten. Het enige dat ze hoeven doen is elk account markeren met “leeftijd geverifieerd” ja of nee. Vervolgens langzamerhand elke keer bij een of andere aanleiding (bijv een filmpje dat de bezoeker wil zien die gemarkeerd is als alleen voor volwassenen) de bezoeker, met de wetgeving in de hand, verzoeken diens leeftijd te verifieeren. Geef het enkele maanden en het overgrote deel van de bezoekers heeft een leeftijds-geverifieerd account, en dat enkele feit alleen al maakt hun advertentie-ruimte meer waard. Als je als adverteerder nu immers een product onder de aandacht wil brengen bij, zeg 40-plussers, dan heb je meer zekerheid dat ook echt 40-plussers die ad te zien krijgen, in plaats van 15-jarigen die in hun profiel hebben gezegd dat ze 50 zijn. Het verbeteren van die “verrijking” is een automatisch secundair effect van die leeftijds-check.

  7. Ik denk dan aan de ‘Self-Sovereign Identity (SSI)’ gekoppeld aan ‘Blockchain’-technologie en in ontwikkeling bij banken, UWV enz. Gezien het belang van de er aangekoppelde data (identiteit, inkomen, adresgegevens enz.) zal de bezitter van een dergelijke ‘portefeuille’ wel 3x nadenken om dit voor een 18+ filmpje uit te lenen aan een derde. Voor de geïnteresseerde lees een artikel daarover in uitgave 4.2020 van het Informatie Beveiligingsmagazine.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.