Legge britannica sulla verifica dell'età: Guida alla conformità con l'Online Safety Act

Cosa richiede l'Online Safety Act

L'Online Safety Act 2023 ha ricevuto l'assenso reale il 26 ottobre 2023 e conferisce a Ofcom il potere di imporre ai servizi online di proteggere i minori dalla pornografia e da altri contenuti dannosi. L'obbligo rilevante per la verifica dell'età è semplice in linea di principio ma impegnativo nella pratica: qualsiasi servizio soggetto alla legge deve impedire ai minori di imbattersi in contenuti pornografici e deve essere in grado di dimostrare che il metodo utilizzato per farlo sia altamente efficace, non solo presente.

Due categorie sono soggette a tale obbligo con tempistiche diverse. La Parte 5 riguarda i servizi che pubblicano contenuti pornografici propri, e tale obbligo è in vigore dal 17 gennaio 2025. La Parte 3 riguarda le piattaforme da utente a utente e i motori di ricerca, che dovevano completare una valutazione dell'accesso dei minori entro il 16 aprile 2025 e successivamente adottare misure proporzionate, tra cui la verifica dell'età, a partire dal 25 luglio 2025.

Date chiave e tempistiche di applicazione

Ofcom è passata rapidamente dalle linee guida all'applicazione attiva delle sanzioni. Il modello riportato di seguito è tratto dalle decisioni di Ofcom in materia di sanzioni e dai bollettini di settore pubblicati [VERIFICARE i dati attuali confrontandoli con il registro delle sanzioni di Ofcom prima della pubblicazione, poiché gli importi e il numero dei casi continuano ad aggiornarsi settimanalmente].

Due aspetti spiccano in questo schema. In primo luogo, Ofcom considera la mancata risposta alle sue richieste di informazioni come un reato distinto dalla violazione sottostante del controllo dell'età, e sanziona entrambi. In secondo luogo, le sanzioni sono proporzionali alla persistenza della violazione e alle dimensioni del portafoglio: un operatore con un singolo servizio che ha corretto i propri sistemi dopo una decisione provvisoria ha pagato meno di un operatore con più sedi e una violazione in corso. La collaborazione riduce sensibilmente il costo.

Cosa si intende per verifica dell'età "altamente efficace"?

Le linee guida di Ofcom escludono l'autodichiarazione, la semplice selezione dell'anno di nascita tramite casella di spunta e i controlli non verificati delle carte di pagamento come metodi autonomi. Gli approcci generalmente accettati rientrano in alcune categorie:

• Stima dell'età facciale, che restituisce un risultato sull'età basato sul livello di confidenza a partire da un selfie in tempo reale senza memorizzare un modello biometrico.
• Verifica dell'identità tramite foto, confrontando un documento rilasciato dal governo con l'utente che tenta l'accesso.
• Servizi bancari aperti o verifiche basate su carte che confermino che il titolare del conto ha più di 18 anni tramite un fornitore di servizi finanziari regolamentato
• Token di identità digitale e di età riutilizzabili che consentono a un utente verificato di dimostrare la propria età su più servizi senza dover ripetere l'intera procedura di verifica ogni volta.
• Un approccio a cascata che inizia con un metodo a basso attrito, come la stima dell'età, e passa a controlli documentali o biometrici solo in caso di risultati al limite.

Il modello a cascata è ormai lo standard del settore perché bilancia l'accuratezza richiesta dalle autorità di regolamentazione con il calo di utenti che le aziende vogliono evitare. L'implementazione di Shufti segue questo modello: prima una stima dell'età, una verifica più approfondita solo quando la stima non è conclusiva e nessuna conservazione dei modelli biometrici una volta ottenuto un risultato.

Sanzioni e poteri di esecuzione

Ofcom può multare un servizio non conforme fino a 18 milioni di sterline o il 10% del fatturato globale qualificante, a seconda di quale dei due importi sia maggiore. Oltre alle multe, Ofcom può richiedere ai tribunali misure di interruzione dell'attività: ordini che impongono ai fornitori di servizi di pagamento, agli inserzionisti o ai fornitori di servizi internet del Regno Unito di ritirare il supporto da una piattaforma non conforme, bloccandola di fatto dal mercato britannico. Finora, le azioni di contrasto si sono concentrate sui contenuti per adulti e sui servizi di condivisione file, e Ofcom ha confermato di star valutando anche le principali piattaforme social e gli strumenti di intelligenza artificiale generativa in grado di produrre contenuti sessuali, quindi il campo di applicazione delle norme si sta ampliando anziché restringendo.

Come implementare la conformità

1. Eseguite o aggiornate la valutazione dell'accesso dei vostri figli e conservatene una copia scritta; questo è il documento che Ofcom richiede per primo.
2. Scegliete un metodo di verifica dell'età proporzionato al vostro livello di rischio; un modello a cascata con stima e verifica documentale è adatto alla maggior parte delle piattaforme per i consumatori.
3. Eliminare qualsiasi autodichiarazione o verifica basata sull'anno di nascita; questi elementi, presi singolarmente, non soddisfano più i requisiti di elevata efficacia.
4. Tassi di superamento dei controlli, tassi di falsi positivi e falsi negativi e tempi di verifica: le indagini di Ofcom hanno ripetutamente richiesto queste prove.
5. Rispondete a qualsiasi richiesta di informazioni da parte di Ofcom entro i termini stabiliti; ogni caso di applicazione della legge finora ha previsto una sanzione separata, e spesso onerosa, per le risposte tardive o mancanti.
6. Rivedi la tua documentazione sulla privacy in modo che gli utenti comprendano quali dati vengono raccolti, perché e per quanto tempo vengono conservati.