Este 2023 parecía el año en el que reinaría soberana la IA como gran tema, pero se ha ido colando con fuerza otro que tira de un clásico no resuelto en internet (y de los Simpson): ¿es que nadie piensa en los niños? Efectivamente, estamos hablando de la patata caliente de la comprobación de edad en internet para que los menores no accedan a dónde no deben.
Como todo lo que se publica en Citizen8, esto va a ir desde la perspectiva de la ignota, mística e inabarcable protección de datos. No en vano, es uno de los principales puntos a tener en cuenta en el tema.
En este post vamos a contar un poco el panorama, si dice algo el RGPD del tema y, finalmente, sí hay algún sistema en vigor o previsto que solucione el tema como toca.
1) El panorama o ¿pornorama?
Tanto la pornografía como la comprobación de edad han sido dos temas tabú tradicionales en internet, pero han tenido que llegar los de la generación alfa (el nombre técnico-místico de los nacidos entre el 2010 y 2020) para combinarlas ambas en una suerte de problema sistémico que ha llevado al legislador de muchos países a correr, ahora sí, para regular la obligación de imponer barreras de entrada sólidas.
Lo que otras generaciones previas empezaban a conocer en la adolescencia de variopintas maneras, ahora lo comienzan a toquetear mucho antes, con el riesgo de no entender y asimilar lo que ven como algo normal. Rematado con la guinda de un acceso gratuito (pago con datos, pero nos entendernos), y sin cortapisas por edad más allá del famoso “pulsa aquí”, “pon tu fecha de nacimiento” o “nos vale como prueba plena la mentira que pulsas de que eres mayor de edad”.
Como una imagen vale más que mil palabras para entender este contexto, os dejamos el vídeo cortito de promoción de una campaña concreta del Parlamento Europeo/sesión de trabajo, que el día 9 de octubre hizo una conferencia con la participación de la AEPD: “Generación XXX: por un control efectivo del acceso de los menores a la pornografía”.
En esta línea, el Parlamento Europeo presentó, en este mismo octubre, su estrategia para mover la enorme maquinaría europea en este tema, destacando que pide una norma europea sobre verificación en línea para 2024 (no se aclara si Directiva o Reglamento, pero de ilusión también se vive). Por aquí nos quedamos con párrafos que mencionan el RGPD y esa norma que pide crear + un código de conducta a nivel de la UE:
A nivel europeo, sí tenemos algo en vigor que puede llegar a obligar a alguno de los de este «pornorama» a tener un sistema de verificación de edad que funcione: La Directiva de Servicios Digitales o «DSA». Puede hacerlo porque la Comisión Europea, a fecha de 20 de diciembre de 2023, ha tenido a bien ampliar su listado original de plataformas online de muy gran tamaño («VLOPs») con tres primeras espadas del tema, es decir, de los obligados principales de la norma a las medidas más cualificadas y que incluyen la verificación. Oh sorpresa, no incluye ninguna megacorpo de los videojuegos.
Finalmente, hay otra derivada/catalizador de la que no se tiene muy claro si el legislador o las autoridades son conscientes: los videojuegos. Tienen mil y un beneficios de corte psicológico y mejora de aptitudes que puede ser útiles para la vida (lo dicen los expertos y se recopila en este post propio, pero que es claramente spam legítimo), pero que en combinación con la pornografía puede hacer que el menor esté siempre en un entorno peligroso para el desarrollo de su personalidad y madurez.
Da la casualidad que muchas de las grandes páginas, así como los creadores de contenido de las mismas que puedan llegar a vivir de ello y monetizarlo en forma de canales al estilo de YouTube, promueven la existencia de vídeos explícitos sobre los personajes (sobre todo femeninos) y juegos más populares de cada momento. A tal nivel, que es hecho conocido que las grandes fluctuaciones de usuarios en este tipo de sitios se deben a sí ha habido algún lanzamiento de un videojuego de gran público o no.
Y es conocido, porque estas grandes webs sacan pecho del tema enseñando sus estadísticas, aunque con la ausencia deliberada de los datos agregados de los usuarios menores que anda pululando por allí. ¿Ejemplos de juegos con mucho menor pululando? Mil, pero por poner ejemplo de tres populares y sus “métricas”: Minecraft, el último Zelda o las mil temporadas de Fornite.
2) ¿Qué dice el RGPD sobre el tema?
El querido RGPD no regula específicamente la comprobación de edad, sino que incide en la necesidad de poder comprobar de manera adecuada el consentimiento que los padres o tutores legales den en casos de menores de edad (14, en nuestro caso) en el artículo 8.2.
Esta limitación concreta puede hacer creer que solo sería necesario tener un sistema de este tipo si el tratamiento se base en el consentimiento, pero nunca hay que olvidar los Considerandos en los que se dejaron perlitas aplicables, y que muchas veces son lo concreto que el articulado del RGPD no pudo ser. En lo que nos interesa, y que tienen buena parte de los elementos que habrá que considerar:
- Considerando 38: Los niños, por el hecho de serlo, tienen que tener una protección especial en su tratamiento. Básicamente, porque no pueden comprender los riesgos, consecuencias, garantías o derechos de la misma manera que los adultos (está por ver que los adultos los entendamos y dejemos de comprar cosas como las Ray-Ban Stories Meta). Y zas por el perfilado con fines comerciales, personalidad o sobre cosas peores.
- Considerando 58: también tienen derecho a entender la información que se dé del tratamiento de datos, por lo anterior y por aquello de que son los titulares del derecho fundamental a la protección de datos. ¿Alguien ha visto información del 13 o 14 adaptada para menores de edad? Nosotros tampoco, aunque más valdría que se miraran las tablas que el ICO da como pauta por franjas de edad en guía sobre “Age appropriate design”.
- Considerandos 71 y 75: las advertencias previas al bonito artículo 22 sobre cualquier perfilado o decisión que tome un algoritmo o similar sin intervención humana y con efectos jurídicos o igualmente divertidos. P.ej. rendimiento en el trabajo, la situación económica, la salud, las preferencias, intereses personales, fiabilidad, comportamiento, o movimientos (de esto último sabe Telepizza por la sanción que se comió con pepperoni al geolocalizar de más a sus empleados de reparto).
Además de que nos queda claro que el perfilado comercial a lo loco tan habitual (y sancionado sobre menores y no menores), el RGPD nos deja la idea apuntada de que la comprobación de edad es un elemento obligado, básicamente, porque de no saber que es un menor no se van a tener en cuenta todos estos elementos y se rifará una sanción.
Estos elementos comentados en los Considerandos, se pueden traducir en los tres grandes, que en una evaluación de interés legítimo y/o evaluación de impacto hay que tener en cuenta. Evaluación de impacto siempre tocaría, pero hasta que nos llegue la normativa con su posible obligación legal de implantación, la mejor base para legitimar este tipo de tratamiento será el interés legítimo y su evaluación obligatoria a juego (si nos metemos a comentar todo eso, este post se va casi más a ser un estudio o ensayo coñazo)
- Interés superior del menor: ese principio que lo sobrevuela todo, y, que implica que al menor sólo se le pueda hacer un 1/3 de lo que sea que se esté pensando hacer. Y con especial celo tenemos a la AEPD sobre todo el contenido inadecuado y el canal prioritario.
- Expectativa razonable: el hecho de que la persona se espere y tenga clarinete, sin necesidad de aclaración ninguna, que algo se va a realizar. Puede ser bastante inatacable que los menores se imaginen que algún sistema para no acceder a eso que saben que es para mayores exista, pero el problema es que eso no alcanzaría al meterle un sistema de reconocimiento facial o similares. Este tema de la expectativa está clarinete en la resolución sancionadora al BBVA por parte de la AEPD (anulada anda, pero esto es igual de valioso).
- Proporcionalidad y necesidad: las típicas de poder demostrar que establecer un sistema de este tipo es impepinable, y que se han tenido en cuenta los especiales derechos del menor con límites concretos y garantías. El problema viene cuando empezamos con los medios infalibles de reconocimiento facial y nos olvidamos, que al igual que en el caso de la anonimización, no existe el riesgo cero y certeza absoluta, sino que lo relevante es poder probar el haber realizado esfuerzos razonables.
¿Queréis un ejemplo de empresita conocida por todo el mundo, especialmente por la generación alfa? Pues TikTok acude al rescate con 345 millones. La famosa Generación TikTok no son ellos, pero también son bastante nativos en el tema.
3) ¿Hay alguna propuesta o sistema ya disponible?
El tema está candente y seguro que habéis escuchado que los franceses están en ello, gracias a que va a juego con su proyecto de ley sobre regulación en materia de acceso a webs pornográficas, o la reciente revelación de qué sistema es que la AEPD va a intentar proponer. También es importante tener en cuenta que hay países que han dado un paso atrás, debido a los riesgos de privacidad, seguridad y que los sistemas comerciales actuales no tienen el rodaje suficiente como para ser efectivos y adecuados.
En este último grupo de países que se han bajado de esta ola está Australia. En agosto de este mismo 2023, su gobierno consideró que no era el momento por esos tres elementos comentados, y entró a sustituirlo por una hoja de ruta de diversas alternativas:
- Códigos con los actores relevantes, que siempre gustan y se venden bien;
- Campañas concretas de educación: «Safety by Design» y «Tech Trends». Como las que se hacen todos los países; y
- Meter algún matiz en la Ley de Seguridad en Línea.
Entre los medios que existan ya, o que se proponen, se pueden destacar 2+1. Un sistema que aprobó una autoridad alemana de una empresa privada, el famoso de Francia y la idea de la AEPD/FNMT con colaboración de la CNMC.
La de Alemania
No es un sistema propuesto por una autoridad o entidad alemana, pero sí que se aprobó por el organismo regulador de protección de menores en línea (KJM). El sistema, creado y comercializado por Yoti, consiste en el uso de un sistema de reconocimiento facial que promete tener los siguientes límites según su documento explicativo:
- Solo se analiza la geometría de la cara para que el algoritmo coteje aquellos rasgos típicos de cada edad y pueda arrojar como conclusión si es mayor de edad o no, pero sin intentar la identificación; y que
- Todo esto no va a suponer generar una base de datos específica ni cruce de datos de otras fuentes distintas.
Si como lector te estás preguntando si todo suena demasiado bien, te alegrará saber (a nosotros también), que dos autoridades tienes dudas:
- La Comisión Federal de Comercio Estadounidense (FTC), porque ha solicitado que se incluyan este tipo de medios como posibles en el listado que la famosa ley de protección del menor (COPPA) incluye en su articulado. En esas, que la FTC les ha pedido aclaraciones concretas.
- El ICO, que, aunque le pareció interesante la solución, dejó alguna perla de que sería necesario aclarar esa afirmación de que no implica un tratamiento de datos de categoría especial/biométrico (recordemos que categoría especial lo es porque lo tratas de primeras, o porque lo puedes inferir de lo que tratas) en su informe sobre el sistema. «……………As above, for the purposes of our analysis we have operated on the assumption that the tool will be processing biometric data, but a detailed assessment of this question falls outside the scope of this Sandbox Project», «It should be noted that biometric data will nonetheless be special category data in many cases. For accountability purposes, Yoti should document their rationale for the conclusion that Article 9 doesn’t apply in the specific context set out above, alongside a risk-based analysis and evidence for this decision in its DPIA………….».
Aunque luego se mete uno en ese documento explicativo del sistema otra vez más, y le asaltan más dudas. ¿El color de piel realmente es necesario, o es que las arrugas y cambios por edad ahora se ceban según el tono?
La de Francia
Para finalizar este post, acabamos con la más avanzada de todas por ir a juego con la ley que está en proceso de aprobación en Francia. Al igual que en España, es la autoridad francesa de protección de datos (CNIL) la que le ha dado impulso desde su “Laboratorio de Innovación Digital (LINC)”
En vez de ser un certificado de atributos como plantea la AEPD, será un mecanismo basado en un tercero de confianza al que el usuario le pedirá que valide que es mayor de edad en el acceso a la web pornográfica. ¿Cómo funciona? De una manera sencilla, pero que la CNIL nos cuenta mucho mejor de lo que podríamos redactar nosotros. Y en formato de infografía.
Para más información, la CNIL tiene una página dedicada en su web.
La de Españita
La AEPD fue dejando miguitas en forma de noticia en su web sobre reuniones con otros organismos públicos para abordar este tema, pero el bombazo se ha soltado en ese evento del Parlamento Europeo que comentamos al principio del post: la AEPD, en colaboración con la FNMT, están buscándole las vueltas a establecer un certificado electrónico que contenga exclusivamente el atributo de ser mayor de edad.
No sabíamos mucho más hasta el día 14 de diciembre de este 2023 que lo presentaron dentro del marco de la celebración de los 30 años de la AEPD.
Amalgamando lo presentando a la vez: nota de prensa, decálogo de principios (la clave de bóveda), nota técnica de las propuestas (el más vistoso), las declaraciones del evento y el documento de preguntas frecuentes (el más jugoso), se podría destacar lo siguiente. Y también algunas dudas que se desvelarán cuando esté en rodaje.
- Lo mollar unificado: el usuario tiene que obtener de un proveedor de identidad certificado el atributo de edad o fecha de nacimiento validada (por ejemplo, como QR), e introducirlo en la aplicación de verificación de edad que actúa como intermediario que se conectará el navegador o app del contenido marcado como para adultos que se pretenda acceder. El intercambio limitado al atributo de edad (meter el elemento de zero knowledge proof) y en todo ello desde el dispositivo del usuario.
- El punto de partida parece ser el del usuario que navega por internet, pero ¿qué pasa en los casos de perfiles de usuario? Por ejemplo, en los 🎮 que todo es un perfil de usuario y vas a saber por narices que es menor y todo el contenido tiene que ir en consonancia a ello (controles parentales, acceso capado a tienda, chat y +), o varios usuarios menores y no menores que accedan desde el mismo dispositivo concreto. ¿Google (Android) o 🍏 (IOs) seguro que no pueden llegar a identificar al usuario con todo lo que saben, lo que trincan del dispositivo y su magia negra habitual?
- Los principios estipulados en el decálogo son el checklist comparativo que la AEPD pondrá frente a sistemas de verificación de edad que valore.
- ¿Parece infalible? Pues no, pero ahí está la gracia de los esfuerzos razonables y el respeto al interés del menor. El infalible encalla es costas peligrosas, pero luego a contárselo a la AEPD (hola, Yoti y tu ¡Privacy-Protective! Facial Age Estimation” comentado en el punto de Alemania).
- ¿En cada acceso toca pasar el control? Pues cada cual, porque la AEPD no se ha metido en ese tema de detalle técnico. Sin un poco de usabilidad real el usuario corre hacia el otro lado.
- Pinta muy bien, pero habrá que ver en acción. Por comparativa con la prometedora de la CNIL, esa aplicación intermedia de verificación añade un paso que al usuario le tira para atrás, y a nivel de solución única mundial de la plataforma parece de implantación más fácil.
- La AEPD tiene mandato del EDPB para trabajar a nivel europeo en un grupo sobre los criterios presentados. ¿se viene a futuro estas pautas con el sello EDPB? ¿el mismo sistema para todos los países? ¿Cambios que luego impactarán en lo que vemos ahora? ¿La CNIL lo mirará de reojo por lo propio en lo que estaban por allí? Pues algo que nos contaran cuando los planteen en el “Grupo Berlín” de la Global Privacy Assembly
- La CNMC va a utilizar los criterios de la AEPD para valorar la idoneidad de los sistemas de verificación de edad y consulta pública (se entiende que plataformas de compartición, buscadores y en línea de gran tamaño que tanto lío trae por DSA y Ley de Comunicación Audiovisual.
- LA FNMT promete app de verificación de edad.
Octubre (actualizado en diciembre) 2023