Protection de la vie privée des signaux d'âge pour les jeunes

Résumé#

Ce projet de loi exigerait que les systèmes d'exploitation sur les téléphones, tablettes et ordinateurs obligent les utilisateurs à fournir leur date de naissance ou leur âge et à classer les utilisateurs dans l'un des quatre groupes d'âge. Les applications, les magasins d'applications, les navigateurs et certains sites Web devraient demander au système d'exploitation un "signal d'âge" simple et axé sur la vie privée et l'utiliser comme principal moyen de connaître l'âge d'une personne. La loi interdit également la publicité ciblée pour les enfants et empêche les gens de vendre les données personnelles des enfants aux courtiers en données.

• Changement principal : Les fournisseurs de systèmes d'exploitation doivent collecter la date de naissance ou l'âge d'un utilisateur, créer un groupe d'âge (moins de 13 ans ; 13–15 ans ; 16 ans ; 17 ans et plus), et fournir ce groupe comme signal aux applications, navigateurs et sites Web concernés sur demande.
• Qui doit demander le signal : Les développeurs d'applications, les magasins d'applications, les fournisseurs de navigateurs et les "sites Web concernés" (sites qui, par la loi, doivent vérifier l'âge avant d'accorder l'accès) doivent demander le signal la première fois qu'un utilisateur utilise une application, visite un site concerné ou accède à un magasin d'applications ou à un navigateur sur un appareil.
• Limites sur l'utilisation des données d'âge : Les données de groupe d'âge doivent être minimisées, sécurisées, non vendues, non utilisées pour le profilage/publicité ciblée ou combinées avec d'autres données personnelles, et supprimées ou anonymisées lorsque le compte est supprimé.
• Protections pour les enfants : Si un utilisateur est un enfant (moins de 17 ans), le système d'exploitation doit exiger de lier ce compte d'enfant à un parent ou un tuteur et permettre au parent de voir le groupe d'âge de l'enfant.
• Application : La Federal Trade Commission (FTC) applique la loi et peut imposer des pénalités civiles (jusqu'à 2 500 $ par violation négligente ou 7 500 $ par violation intentionnelle, qui peuvent être multipliées si des enfants sont concernés). Les procureurs généraux des États peuvent également poursuivre au nom des résidents.
• Règles antitrust : Le projet de loi interdit aux systèmes d'exploitation et aux magasins d'applications d'appliquer des règles d'âge aux applications tierces qui sont plus strictes que celles qu'ils appliquent à leurs propres applications et d'utiliser les données d'âge collectées pour obtenir un avantage concurrentiel.

Ce que cela signifie pour vous#

• Utilisateurs (général) :

  • Vous serez invité à fournir votre date de naissance ou votre âge lorsque vous créerez ou mettrez à jour un compte sur un système d'exploitation 18 mois après le début de la loi.
  • Les applications et certains sites Web s'appuieront sur un signal de groupe d'âge de votre appareil au lieu de vous demander directement votre âge.
  • Vous pouvez vous attendre à moins de publicité ciblée pour les comptes que la plateforme sait être destinés aux enfants.

• Parents et tuteurs :

  • Si votre enfant a moins de 17 ans, le système d'exploitation doit exiger que l'enfant se lie à un compte de parent ou de tuteur.
  • Les parents doivent pouvoir voir le groupe d'âge de l'enfant et recevront un avis si un service a des informations différentes sur l'âge de l'enfant.
  • Les parents peuvent se voir offrir un moyen de fournir des données d'âge corrigées et devraient obtenir une décision dans les 30 jours.

• Enfants et adolescents :

  • Les services inappropriés pour un groupe d'âge donné peuvent être bloqués automatiquement en fonction du signal d'âge.
  • La loi interdit la publicité ciblée aux utilisateurs que le fournisseur sait ou devrait savoir être des enfants.

• Développeurs d'applications, opérateurs de magasins d'applications et opérateurs de sites Web :

  • Ils doivent demander le signal d'âge lors de la première utilisation et traiter le signal comme l'indicateur principal de l'âge, sauf s'ils ont des preuves claires et convaincantes qu'il est incorrect.
  • Ils ne peuvent pas demander au système d'exploitation des informations supplémentaires au-delà du signal et ne peuvent pas partager le signal avec des tiers.
  • Les développeurs qui agissent de bonne foi en utilisant le signal bénéficient d'un abri sûr contre la responsabilité en cas d'erreurs dans le signal.

• Fournisseurs de systèmes d'exploitation et fournisseurs de navigateurs :

  • Doivent collecter la date de naissance/l'âge, créer des groupes d'âge, envoyer des signaux via une API sécurisée ou équivalente, et offrir des options de vérification vérifiables ou de preuve à connaissance nulle lorsque cela est techniquement faisable.
  • Doivent limiter la conservation des données, sécuriser les données et les supprimer ou les anonymiser lorsque les comptes sont supprimés.
  • Sont protégés contre la responsabilité pour les échecs d'envoi de signaux causés par des pannes s'ils ont agi de bonne foi.

• Annonceurs et courtiers en données :

  • La publicité ciblée aux utilisateurs connus ou raisonnablement identifiables comme enfants est interdite.
  • Vendre ou fournir autrement les données personnelles des enfants aux courtiers en données est illégal.

• Gouvernement et tribunaux :

  • La FTC rédige des règles dans un délai d'un an et applique la loi ; les États peuvent également poursuivre mais doivent notifier la FTC dans la plupart des cas.

Dépenses#

Aucune information disponible publiquement.

• Le projet de loi demande à la FTC de rédiger des règles dans un délai d'un an, ce qui implique des coûts de réglementation administrative pour l'agence (non quantifiés ici).
• Les entreprises peuvent avoir besoin de construire ou de modifier des systèmes pour collecter la date de naissance/l'âge, créer des API sécurisées, soutenir des identifiants vérifiables ou des preuves à connaissance nulle, lier les comptes d'enfants aux parents, et supprimer ou anonymiser les données—ce sont des coûts de conformité qui ne sont pas estimés dans le texte du projet de loi.
• Le projet de loi crée des pénalités civiles pour violations, ce qui pourrait entraîner une responsabilité financière pour les entreprises qui ne se conforment pas.
• Les procureurs généraux des États et la FTC peuvent encourir des coûts d'application et de litige ; ceux-ci ne sont pas estimés dans le projet de loi.

Point de vue des partisans#

• Le projet de loi semble destiné à faciliter et à rendre plus cohérent pour les applications et les sites Web de connaître l'âge d'un utilisateur sans exposer d'informations personnelles supplémentaires.
• Cela pourrait être considéré comme une amélioration de la sécurité des enfants en ligne en standardisant les vérifications d'âge et en permettant l'application automatique d'un accès approprié à l'âge.
• Le projet de loi semble conçu pour limiter les préjudices commerciaux aux enfants en interdisant les publicités ciblées aux enfants connus et en interdisant la vente des données personnelles des enfants aux courtiers en données.
• Les dispositions d'interopérabilité et d'anticompetition semblent destinées à empêcher les propriétaires de systèmes d'exploitation ou de magasins d'applications d'utiliser les données d'âge pour favoriser leurs propres applications par rapport aux tiers.
• Le projet de loi comprend des caractéristiques axées sur la vie privée (groupes d'âge, identifiants vérifiables, preuves à connaissance nulle) pour réduire le partage de dates de naissance exactes ou d'autres détails personnels.

Point de vue des opposants#

• Une préoccupation est que l'exigence pour les systèmes d'exploitation de collecter les dates de naissance de manière centralisée pourrait créer un référentiel sensible de données d'âge qui doit être sécurisé ; le projet de loi exige des mesures de protection mais la centralisation soulève des questions de vie privée et de sécurité.
• Le projet de loi ne nécessite aucune méthode particulière pour vérifier l'âge, et il permet aux utilisateurs de saisir des informations inexactes ; cela peut limiter la fiabilité avec laquelle les services peuvent identifier les enfants.
• Il n'est pas clair comment le lien des comptes d'enfants aux comptes de parents fonctionnera en pratique à travers les appareils et les familles, et comment cela affectera l'accès dans des situations de dispositifs partagés ou mélangés.
• Les petits développeurs et les sites Web peuvent faire face à des charges techniques et financières pour mettre en œuvre les demandes de signaux requises, les flux de vérification et les pratiques de minimisation des données ; le projet de loi ne prévoit pas de financement ou de soutien à la transition.
• La définition de "site Web concerné" est limitée aux sites qui sont déjà tenus par la loi de vérifier l'âge, ce qui peut laisser des lacunes dans lesquelles les sites doivent suivre les nouvelles règles.
• Les pénalités d'application sont par violation ; selon la manière dont elles sont appliquées, cela pourrait entraîner une exposition à de lourds dommages, surtout lorsque de nombreux utilisateurs sont concernés — le projet de loi permet de multiplier les pénalités lorsque des enfants sont affectés.