Verificarea vârstei a fost, timp de un deceniu, cea mai greu de apărat componentă a stivei de conformitate online: platformele fie au încredere într-o dată de naștere auto-declarată pe care oricine o poate falsifica, fie colectează un document de identitate întreg pentru a răspunde la o întrebare de tip da/nu, creând un risc de protecție a datelor disproporționat față de verificarea în sine. Portofelul EUDI rezolvă direct această tensiune. Poate returna o singură afirmație booleană — peste 18 ani, peste 21 de ani, peste 16 ani — semnată criptografic de un emitent guvernamental, fără să dezvăluie data nașterii, numele sau orice alt atribut.
De ce eșuează atât auto-declararea, cât și încărcarea de documente
- Datele de naștere auto-declarate nu au nicio verificare în spate și sunt trivial de falsificat de un minor motivat să acceseze un serviciu.
- Încărcarea documentelor de identitate verifică vârsta corect, dar colectează excesiv: platformele ajung să stocheze scanări de pașapoarte sau cărți de identitate doar pentru a răspunde la o singură întrebare booleană, ceea ce autoritățile consideră tot mai des disproporționat sub principiul minimizării datelor din GDPR.
- Instrumentele terțe de estimare a vârstei (analiză facială) introduc variații de acuratețe între grupele de vârstă și tonurile de piele și generează propriile obligații legate de prelucrarea datelor biometrice.
Fiecare dintre aceste abordări fie eșuează testul de fiabilitate pe care autoritățile îl introduc acum în lege, fie eșuează testul de proporționalitate pe care autoritățile de protecție a datelor îl aplică tot mai des.
Cum rezolvă problema divulgarea selectivă
Formatele de credențiale ale Portofelului EUDI — mdoc și SD-JWT VC — susțin divulgarea selectivă: un emitent semnează o atestare PID completă, dar portofelul deținătorului poate prezenta doar afirmația specifică cerută de un verificator, semnătura rămânând validă. O cerere de tipul „deținătorul are peste 18 ani?” poate primi răspuns fără ca data nașterii să părăsească vreodată portofelul, folosind dovezi de predicat de tip zero-knowledge sau, în implementări mai simple de portofel, un atribut boolean calculat de emitent și livrat printr-o divulgare minimă. În orice caz, platforma primește exact un bit de informație plus un lanț de semnături valid, nu o imagine de document.
Răspunsul corect la „câți ani ai” nu este o dată de naștere. Este da sau nu.
Presiunea reglementară pe sectoare
Direcția spre verificări de vârstă certificate, nu auto-declarate, este deja lege sau iminentă în mai multe categorii reglementate:
- Jocuri de noroc și gaming online — majoritatea autorităților naționale de reglementare cer deja vârsta verificată la înregistrare și, în mai multe state membre, la depunere sau retragere.
- Comerțul online cu alcool și tutun — implementările naționale cer tot mai des verificarea vârstei atât la comandă, cât și la livrare, nu doar la checkout.
- Platformele de conținut pentru adulți — mai multe state membre au adoptat sau elaborează legi care impun verificarea robustă a vârstei, renunțând la simplele declarații prin bifare.
- Marketplace-uri și rețele sociale — protecțiile pentru minori din Legea privind serviciile digitale (DSA) împing platformele online foarte mari spre mecanisme de asigurare a vârstei mai puternice decât auto-declararea, în special pentru direcționarea algoritmică a conținutului și funcțiile de mesagerie directă.
Regulile naționale diferă în privința pragurilor exacte, a momentului la care se cere verificarea — la înregistrare sau la fiecare tranzacție — și a categoriilor de conținut sau produs care declanșează obligația. O platformă care operează în mai multe state membre trebuie să trateze pragul de vârstă și momentul declanșator ca parametri configurabili, nu ca reguli fixe.
Model de implementare
- Identifică momentul exact de declanșare: crearea contului, prima achiziție, fiecare tranzacție sau accesul la conținut — acesta determină unde se plasează verificarea vârstei în fluxul tău.
- Cere cea mai restrânsă afirmație posibilă: un atribut boolean „peste N ani”, nu data completă a nașterii, chiar dacă portofelul poate furniza oricare dintre ele.
- Păstrează o alternativă decentă pentru utilizatorii fără portofel încă: menține o cale de verificare alternativă (video, document), dar oferă ruta prin portofel ca opțiunea cea mai rapidă și mai privată.
- Înregistrează doar rezultatul verificării și referința dovezii criptografice, în scop de audit — niciodată data de naștere de bază.
- Re-verifică per sesiune sau per tranzacție acolo unde regulile naționale o cer, în loc să te bazezi pe un semnal unic, setat la nivel de cont.
Avantajul de audit și de răspundere
O prezentare de atribut semnată este și un traseu de audit mai puternic decât o bifă auto-declarată: poți dovedi în fața unei autorități că o anumită cerere a primit răspuns printr-o semnătură garantată de stat, la un anumit moment, fără să fie nevoie să păstrezi sau să produci vreo dată personală în afara dovezii în sine. Această combinație — valoare probatorie mai bună și expunere mai mică din perspectiva protecției datelor — este greu de obținut cu orice metodă de verificare a vârstei anterioară portofelului.
Cât costă implementarea
Cererea unui singur atribut de la un portofel este o suprafață tehnică mică, dar accesul la ea necesită aceeași infrastructură de ecosistem reglementat ca orice altă integrare de portofel: înregistrare ca Parte Utilizatoare în fiecare stat membru deservit, gestiunea certificatelor de acces și conformitate cu un Cadru de Arhitectură și Referință aflat în evoluție continuă. Doar pentru o verificare de vârstă, majoritatea platformelor nu vor dori să construiască și să întrețină această infrastructură intern. Arkadiz operează ca Parte Utilizatoare intermediară pe mai multe portofele și state membre, astfel încât o platformă poate cere o afirmație simplă „peste 18 ani” sau „peste 21 de ani” printr-o singură integrare, în loc să înființeze o funcție de conformitate pentru un singur bit boolean.
De unde începi
Începe cu cel mai riscant filtru de vârstă din produsul tău — cel despre care o autoritate sau un procesator de plăți este cel mai probabil să te întrebe — și înlocuiește-l cu o verificare booleană prin portofel înainte de a extinde la toate punctele de contact. Este cea mai rapidă modalitate de a demonstra, în aceeași etapă, atât fiabilitate cât și minimizarea datelor.