Leeftijdsverificatie online: goed idee?

[Consumenneke]

Verkopers en (online) dienstenaanbieders moeten in specifieke omstandigheden de leeftijd van de klant verifiëren. Ondermeer bij de handel in:

• Messen en wapens
  Alcohol
  Tabak en aanverwante producten
  Lachgaspatronen
  Erotische producten en speelgoed
  Gokken en loterijen
  Films, games en bepaalde apps met een leeftijdsklassificatie

Dat lijstje wordt langer als we in navolging van Australië ook toegang tot social media, appstores en AI chatbots beperken tot mensen die boven een bepaalde leeftijd zijn. Gevolg is dan wel dat iedereen zijn leeftijd moet 'tonen'. Het is geen identificatie, maar leeftijdsverificatie.

In Australië zou vier van de vijf volwassenen het idee steunen, maar houden twee van de drie ouders geen toezicht op wat hun kinderen doen. In Nederland vindt zo'n beetje de helft van alle mensen die social media gebruiken dat het scrollen, liken en delen van berichten op sociale media een gevaar vormt voor de geestelijke gezondheid, stelt onderzoeksbureau Newcom in een artikel van NOS.

De Europese Commissie heeft een blauwdruk voor leeftijdsverificatie ontwikkeld, die op nationaal niveau doorgevoerd kan/moet worden.

Is leeftijdsverificatie online een goed idee?

[Onkruid71]

Soms is leeftijd wel belangrijk, maar voor sociaal media heb ik zoiets, dat bepaal ik als ouder wel.
De wetten hoeven niet alles te bepalen.

[Moneyman]

Gevolg is dan wel dat iedereen zijn leeftijd moet 'tonen'. Het is geen identificatie, maar leeftijdsverificatie.

Leeftijdsverificatie is gewoon een vorm van identificatie.

[Nijogeth]

Prima, als dat kan door ja te zeggen op de vraag of ik 18+ ben. Tegen als allerlei partijen dan om identiteit moeten gaan vragen.

[Consumenneke]

Eind april heeft de Europese Commissie alle lidstaten dringend verzocht om leeftijdsverificatie in te voeren voor 2027, dus dit jaar nog.

Zie ook commentaar in iBestuur.

Opvallend is dat de Commissie ook inzet op tempo. In het document wordt gesteld dat burgers uiterlijk eind 2026 toegang moeten hebben tot leeftijdsverificatie-oplossingen. Tegelijkertijd klinkt de oproep om de invoering te versnellen, wat aangeeft dat de Commissie verdere vertraging wil voorkomen. <>

Net als in de politieke boodschap blijft privacy een centraal uitgangspunt. De voorgestelde aanpak richt zich op het verifiëren van leeftijd zonder dat onnodige persoonsgegevens worden gedeeld. Daarmee probeert de Commissie een balans te vinden tussen effectieve bescherming van minderjarigen en het waarborgen van fundamentele rechten.

Er is een gradueel verschil tussen identificatie (wie ben jij) en leeftijdsverificatie (ben jij wel oud genoeg)....

[Moneyman]

Er is een gradueel verschil tussen identificatie (wie ben jij) en leeftijdsverificatie (ben jij wel oud genoeg)....

Uiteraard. Maar dat maakt je eerdere statement, wat ik corrigeerde, niet correct.

[16again]

Gevolg is dan wel dat iedereen zijn leeftijd moet 'tonen'. Het is geen identificatie, maar leeftijdsverificatie.

Leeftijdsverificatie is gewoon een vorm van identificatie.

Hoezoe dan?
Bij identificatie wordt vastgesteld met welke persoon we van doen hebben.

Leeftijdsverificatie kijkt niet verder dan wel/of geen lid van de groep 18+. Althans, zo wordt het aan de man gebracht.

[witte angora]

Maar hoe wil je dan aantonen dat je 18+ bent zonder je identiteitsbewijs te laten zien? Daar staat dus alles op waarmee je jezelf identificeert. Leeftijd is geen 'los' gegeven, het hoort nu eenmaal bij de persoon. Zonder de persoon te identificeren kan je ook niet de leeftijd vaststellen.

[Speedy123]

Maar hoe wil je dan aantonen dat je 18+ bent zonder je identiteitsbewijs te laten zien? Daar staat dus alles op waarmee je jezelf identificeert. Leeftijd is geen 'los' gegeven, het hoort nu eenmaal bij de persoon. Zonder de persoon te identificeren kan je ook niet de leeftijd vaststellen.

Exact. Ergens in de keten is dus altijd herleidbaar namens wie een leeftijdsverificatie aangevraagd wordt.

Het idee van de EU is daar een derde partij voor aan te wijzen. Zo hoeft de burger zich niet online te identificeren bij de website met de dienst maar is wel degelijk bekend bij de derde partij waar de burger wel een identificatie procedure doorlopen heeft. De burger ontvangt een leeftijds-token van die derde partij en stuurt die naar de dienst. De dienst verifieert het token bij de derde partij.

[16again]

Het idee van de EU is daar een derde partij voor aan te wijzen. Zo hoeft de burger zich niet online te identificeren bij de website met de dienst maar is wel degelijk bekend bij de derde partij waar de burger wel een identificatie procedure doorlopen heeft. De burger ontvangt een leeftijds-token van die derde partij en stuurt die naar de dienst. De dienst verifieert het token bij de derde partij.

"De dienst" checkt enkel of het token daadwerkelijk is uitgegeven (=ondertekend, signed, ) door de "derde partij." Hiervoor is geen enkel contact nodig tussen de dienst en die derde partij, het volstaat voor de dienst om de public key van het sign proces te hebben.
Met die ene public key kan ieders token gechecked worden.

[Nijogeth]

Alleen zijn jouw gegevens wel weer te checken bij die derde partij en is ook te herleiden welke website de aanvraag voor dat token heeft gedaan. Of, iedere persoon van 18+ krijgt een simpele badge met QR-code. Die QR-code bevat alleen dat iemand 18+ is en er wordt niet bijgehouden welke badge naar welke 18+ persoon is gestuurd (die komt gewoon uit een grote bak bij het gemeentehuis). Je kunt dan voor de PC een badgelezer krijgen en op de telefoon via de camera de QR-code scannen.

[StevieNL81]

Of, iedere persoon van 18+ krijgt een simpele badge met QR-code. Die QR-code bevat alleen dat iemand 18+ is en er wordt niet bijgehouden welke badge naar welke 18+ persoon is gestuurd (die komt gewoon uit een grote bak bij het gemeentehuis). Je kunt dan voor de PC een badgelezer krijgen en op de telefoon via de camera de QR-code scannen.

Maar dan weet je niet meer of de gebruiker van de QR code ook de eigenaar is. Een 16 jarige kan dan met de QR van grote broer de kroeg in of online iets bestellen...

[16again]

Alleen zijn jouw gegevens wel weer te checken bij die derde partij en is ook te herleiden welke website de aanvraag voor dat token heeft gedaan.

Bij die 3e partij moet je je idd wel identificeren. En dan krijg je dat token.
Maar je bent het zelf die de aanvraag (eenmalig) doet, token kun je daarna hergebruiken.

[Speedy123]

Het idee van de EU is daar een derde partij voor aan te wijzen. Zo hoeft de burger zich niet online te identificeren bij de website met de dienst maar is wel degelijk bekend bij de derde partij waar de burger wel een identificatie procedure doorlopen heeft. De burger ontvangt een leeftijds-token van die derde partij en stuurt die naar de dienst. De dienst verifieert het token bij de derde partij.

"De dienst" checkt enkel of het token daadwerkelijk is uitgegeven (=ondertekend, signed, ) door de "derde partij." Hiervoor is geen enkel contact nodig tussen de dienst en die derde partij, het volstaat voor de dienst om de public key van het sign proces te hebben.
Met die ene public key kan ieders token gechecked worden.

Daar heb ik mijn twijfels over. Immers als iemand mijn token zou kopiëren, dan zou hij zich daarmee als 18+ overal kunnen laten valideren.

Dus een token zal telkens eenmalig gegenereerd moeten worden voor een bepaalde dienst. De derde partij zal dan eerst de consument identificeren, controleren voor welke dienst een token nodig is en dan voor die dienst een specifiek token genereren waarmee de dienst kan controleren of de consument 18+ is. De derde partij weet dan wie het is en over welke dienst het gaat.

Dat de dienst wellicht geen extra controle doet bij de derde partij, dat is mogelijk.

[Nijogeth]

Of, iedere persoon van 18+ krijgt een simpele badge met QR-code. Die QR-code bevat alleen dat iemand 18+ is en er wordt niet bijgehouden welke badge naar welke 18+ persoon is gestuurd (die komt gewoon uit een grote bak bij het gemeentehuis). Je kunt dan voor de PC een badgelezer krijgen en op de telefoon via de camera de QR-code scannen.

Maar dan weet je niet meer of de gebruiker van de QR code ook de eigenaar is. Een 16 jarige kan dan met de QR van grote broer de kroeg in of online iets bestellen...

Niet de kroeg in, daar is een id voor. Het probleem met identificeren online is dat er altijd data wordt opgeslagen, aan de deur is het een persoon die snel kijkt en die geen kopie hoeft te maken. Ook met online bestellingen voor 18+ moet je nog altijd 18 zijn aan de deur.

En er zijn volgens mij niet echt dingen verder die belangrijker zijn om je voor te moeten identificeren online dan de privacy van de gebruiker. Dan pakt een 13 jarige maar even snel de badge van zijn vader om even porno te kijken. Dat moet geen probleem zijn en lijkt me heel normaal. Het hebben van social media is echter wel een dingetje dat moeilijker even snel tussendoor gedaan kan worden, dat valt wel op. En dat is de grote reden om het te doen.

[Moneyman]

Gevolg is dan wel dat iedereen zijn leeftijd moet 'tonen'. Het is geen identificatie, maar leeftijdsverificatie.

Leeftijdsverificatie is gewoon een vorm van identificatie.

Hoezoe dan?
Bij identificatie wordt vastgesteld met welke persoon we van doen hebben.

Leeftijdsverificatie kijkt niet verder dan wel/of geen lid van de groep 18+. Althans, zo wordt het aan de man gebracht.

Een leeftijdsverificatie heeft altijd ook een identificatie in zich. Kan immers niet anders. Er moet altijd een check tussen persoon en leeftijd zitten.

[16again]

Dus een token zal telkens eenmalig gegenereerd moeten worden voor een bepaalde dienst. De derde partij zal dan eerst de consument identificeren, controleren voor welke dienst een token nodig is en dan voor die dienst een specifiek token genereren waarmee de dienst kan controleren of de consument 18+ is. De derde partij weet dan wie het is en over welke dienst het gaat.

Zelfs als het token elke keer opnieuw aangemaakt dient te worden:
De dienst vraagt: Geef me een token waarmee je x aantoont (leeftijd etc)
De app van de consument hoeft enkel die vereisten door te geven aan de verstrekker van het token, maar niet voor welke dienst deze bedoeld is.
De derde partij weet dan enkel je identiteit, en dat je een token hebt aangevraagd. Maar niet waar je het token gaat gebruiken

[Consumenneke]

Leeftijdsverificatie is gewoon een vorm van identificatie.

Hoezoe dan?
Bij identificatie wordt vastgesteld met welke persoon we van doen hebben.

Leeftijdsverificatie kijkt niet verder dan wel/of geen lid van de groep 18+. Althans, zo wordt het aan de man gebracht.

Een leeftijdsverificatie heeft altijd ook een identificatie in zich. Kan immers niet anders. Er moet altijd een check tussen persoon en leeftijd zitten.

Is er ook sprake van authenticatie?

[16again]

Een leeftijdsverificatie heeft altijd ook een identificatie in zich. Kan immers niet anders. Er moet altijd een check tussen persoon en leeftijd zitten.

Maar dat betekent niet dat de website weet wie je bent. Mij ooit eens zo uitgelegd:

-Een wildvreemde loopt alleen een kantoor binnen. Iemand van het personeel die dit vreemd vindt loopt op hem af en vraagt "Zoekt u iemand?"

-Diezelfde wildvreemde loopt het kantoor binnen, maar nu samen met de directeur. Iemand van het personeel loopt naar hem toe en vraagt "Wilt u koffie?"

De wildvreemde persoon is op geen enkele manier ge-identificeerd door het personeelslid, maar door het bijzijn van de directeur wordt die nu ineens wel vertrouwd.


En zo werkt het ook in de digitale wereld. Voor toegang tot de website volstaat het als een vertrouwde partij verklaart: deze persoon is 18+. Maar de website weet dan niet wie het is

[Moneyman]

Een leeftijdsverificatie heeft altijd ook een identificatie in zich. Kan immers niet anders. Er moet altijd een check tussen persoon en leeftijd zitten.

Maar dat betekent niet dat de website weet wie je bent. Mij ooit eens zo uitgelegd:

-Een wildvreemde loopt alleen een kantoor binnen. Iemand van het personeel die dit vreemd vindt loopt op hem af en vraagt "Zoekt u iemand?"

-Diezelfde wildvreemde loopt het kantoor binnen, maar nu samen met de directeur. Iemand van het personeel loopt naar hem toe en vraagt "Wilt u koffie?"

De wildvreemde persoon is op geen enkele manier ge-identificeerd door het personeelslid, maar door het bijzijn van de directeur wordt die nu ineens wel vertrouwd.


En zo werkt het ook in de digitale wereld. Voor toegang tot de website volstaat het als een vertrouwde partij verklaart: deze persoon is 18+. Maar de website weet dan niet wie het is

Je weerlegt een ander standpunt dan ik inneem.

Een leeftijdsverificatie is altijd een identificatie. Als A zich bij B identificeert, en de leeftijd vaststelt, is dat het moment van identificatie en verificatie. Als B vervolgens tegen C zegt dat B écht 18+ is, is dat geen leeftijdsverificatie meer, maar een vertrouwen op de verificatie van een ander.

C verifieert immers zelf niet meer de leeftijd, maar slechts de verklaring van B.

Denk bijvoorbeeld aan Idin: de enige reden dat derden vertrouwen op de “alles klopt” melding van Idin, is omdat je je daar aan de voorkant al hebt geïdentificeerd en verificatie heeft plaatsgevonden.