EU Kids Act legt verantwoordelijkheid voor online kindveiligheid nadrukkelijker bij techbedrijven

De Europese Commissie wil de bescherming van kinderen en jongeren op internet aanzienlijk aanscherpen. Met de voorgestelde EU Kids Act wil de Commissie ervoor zorgen dat digitale diensten vanaf het ontwerp rekening houden met de veiligheid en het welzijn van minderjarigen. De verantwoordelijkheid daarvoor moet nadrukkelijker bij de aanbieders van digitale diensten komen te liggen, in plaats van voornamelijk bij kinderen, ouders en voogden.

De voorgestelde wetgeving richt zich niet uitsluitend op sociale media. Ook andere digitale diensten die door kinderen kunnen worden gebruikt, zoals videoplatforms, onlinegames en bepaalde toepassingen met kunstmatige intelligentie, kunnen onder de nieuwe regels vallen. Het uitgangspunt is dat bedrijven vooraf moeten nadenken over de gevolgen van hun producten voor minderjarigen en vervolgens moeten kunnen onderbouwen welke maatregelen zij hebben genomen om risico's te beperken.

Daarmee verschuift het zwaartepunt van de verantwoordelijkheid: niet alleen de gebruiker moet proberen zich tegen mogelijke risico's te beschermen, maar ook de aanbieder moet aantonen dat zijn dienst op een voor kinderen passende en veilige manier is ontworpen.

Hogere drempels voor het gebruik van sociale media

Een belangrijk onderdeel van het voorstel is het uitstellen van zelfstandig gebruik van sociale media door jonge kinderen. De Europese Commissie wil hiervoor op EU-niveau duidelijke leeftijdsgrenzen invoeren.

Volgens het voorgestelde model zouden kinderen onder de 13 jaar geen toegang krijgen tot sociale-mediadiensten. Voor jongeren van 13 en 14 jaar zou het gebruik aan aanvullende voorwaarden kunnen worden gekoppeld, waaronder betrokkenheid van een ouder of voogd. Vanaf 15 jaar zouden jongeren zelfstandig een account kunnen aanmaken.

Het doel daarvan is niet alleen om kinderen simpelweg de toegang tot bepaalde diensten te ontzeggen. De Commissie wil daarmee vooral voorkomen dat jonge kinderen op een leeftijd waarop zij extra kwetsbaar zijn zonder voldoende bescherming worden blootgesteld aan systemen die zijn ontworpen voor volwassenen of oudere gebruikers.

Bij sociale media spelen daarbij verschillende risico's een rol. Denk aan aanbevelingsalgoritmen die langdurig gebruik kunnen stimuleren, ongewenste contacten, schadelijke of leeftijdsongeschikte inhoud, commerciële beïnvloeding en het verzamelen en verwerken van persoonsgegevens.

De precieze leeftijdsgrenzen en voorwaarden zijn onderdeel van het wetgevingsproces en kunnen tijdens de behandeling door het Europees Parlement en de Raad nog veranderen.

Niet langer alleen vertrouwen op ouders en kinderen

Een belangrijk uitgangspunt van de Kids Act is dat online veiligheid niet uitsluitend de verantwoordelijkheid van gezinnen mag zijn.

In de huidige digitale omgeving krijgen ouders en voogden steeds vaker de taak om instellingen, leeftijdscontroles en privacyopties te beheren. Tegelijkertijd zijn digitale diensten technisch complex geworden. Het is voor een ouder niet altijd mogelijk om te beoordelen hoe een algoritme aanbevelingen doet, welke gegevens worden verzameld of welke effecten een bepaalde functie op een jongere gebruiker kan hebben.

De Europese Commissie wil daarom dat aanbieders zelf meer verantwoordelijkheid dragen.

Een bedrijf dat een digitale dienst aanbiedt, moet volgens het voorgestelde systeem vooraf beoordelen welke risico's de dienst voor kinderen kan opleveren. Vervolgens moet het passende maatregelen nemen om die risico's te beperken. Het gaat daarmee om een verschuiving van een voornamelijk reactieve benadering naar een preventieve benadering.

Een bedrijf zou dus niet pas hoeven te handelen nadat grote aantallen kinderen problemen hebben ondervonden. De veiligheid van minderjarigen moet al bij het ontwerpen en ontwikkelen van een dienst worden meegenomen.

Veiligheid moet onderdeel worden van het ontwerp

Een van de centrale principes van de Kids Act is dat digitale producten en diensten veilig voor kinderen moeten worden ontworpen.

Dat betekent dat bedrijven niet alleen achteraf beschermingsmaatregelen kunnen toevoegen. Zij moeten bij het ontwerp van een dienst al rekening houden met de leeftijd en kwetsbaarheid van gebruikers.

Bijvoorbeeld bij een nieuwe functie binnen een sociaal netwerk moet vooraf worden bekeken welke gevolgen die functie voor minderjarigen kan hebben. Hetzelfde uitgangspunt kan gelden voor onlinegames, videodiensten en AI-systemen die met kinderen communiceren.

De gedachte hierachter is vergelijkbaar met andere Europese regelgeving waarbij bedrijven verplicht worden om risico's vooraf te beoordelen. De Commissie wil daarmee voorkomen dat veiligheid afhankelijk wordt van de vraag of individuele gebruikers of hun ouders alle relevante instellingen zelf weten te vinden en correct kunnen toepassen.

Leeftijdscontrole zonder onnodige aantasting van privacy

Een tweede belangrijke pijler is leeftijdscontrole.

Wanneer Europese regels bepalen dat bepaalde digitale diensten pas vanaf een bepaalde leeftijd zelfstandig mogen worden gebruikt, moeten aanbieders natuurlijk kunnen vaststellen hoe oud een gebruiker is. Tegelijkertijd brengt leeftijdscontrole privacyrisico's met zich mee.

De Commissie wil daarom dat leeftijdscontrole zo wordt ingericht dat een dienst kan vaststellen of iemand aan een bepaalde leeftijdsgrens voldoet, zonder dat daarvoor noodzakelijkerwijs meer persoonsgegevens worden verzameld dan nodig is.

Dat is een belangrijk onderscheid. Een leeftijdscontrole hoeft niet automatisch te betekenen dat een platform de volledige identiteit van iedere gebruiker moet kennen. Het Europese uitgangspunt is juist dat dergelijke controles privacyvriendelijk moeten worden uitgevoerd.

Hoe deze systemen technisch en juridisch precies zullen functioneren, hangt echter af van de verdere uitwerking van het voorstel.

Ook AI-assistenten en chatbots vallen binnen de discussie

De voorgestelde regelgeving beperkt zich niet tot traditionele sociale media.

Ook digitale toepassingen die gebruikmaken van kunstmatige intelligentie krijgen nadrukkelijk aandacht. Dat is relevant omdat kinderen steeds vaker met AI-systemen kunnen communiceren via chatbots, digitale assistenten en andere interactieve toepassingen.

Bij dergelijke systemen kan het risico anders zijn dan bij sociale media. Een chatbot kan bijvoorbeeld rechtstreeks met een minderjarige communiceren en antwoorden geven op vragen waarvan de inhoud niet geschikt is voor die leeftijd.

Daarom wil de Commissie dat aanbieders bij het ontwerpen van dergelijke systemen rekening houden met de specifieke behoeften en kwetsbaarheid van jonge gebruikers.

Hetzelfde bredere uitgangspunt geldt voor andere digitale diensten die kinderen kunnen gebruiken. De vraag is niet alleen of een platform technisch werkt, maar ook of het op een verantwoorde manier met minderjarige gebruikers omgaat.

Onlinegames en videodiensten

Ook onlinegames en videodiensten maken deel uit van de bredere discussie over digitale kindveiligheid.

Onlinegames kunnen bijvoorbeeld sociale functies, chatmogelijkheden, aanbevelingssystemen en commerciële mechanismen bevatten. Videodiensten kunnen gebruikers langdurig naar nieuwe content leiden door middel van aanbevelingsalgoritmen.

Voor kinderen kan dat anders uitpakken dan voor volwassenen. Daarom wil de Commissie dat aanbieders rekening houden met de leeftijd van hun gebruikers en de mogelijke gevolgen van hun ontwerpkeuzes.

De bedoeling is dat kindveiligheid niet wordt behandeld als een afzonderlijke instelling die ouders achteraf moeten activeren, maar als een onderdeel van het product zelf.

Bedrijven moeten hun maatregelen kunnen onderbouwen

Een belangrijk element van het voorstel is dat bedrijven niet alleen moeten zeggen dat zij kinderen beschermen. Zij moeten ook kunnen aantonen hoe zij dat doen en waarom de gekozen maatregelen effectief zouden moeten zijn.

Daarmee wordt de verantwoordelijkheid concreter.

Een aanbieder zal bijvoorbeeld moeten kunnen uitleggen welke risico's zijn vastgesteld, welke maatregelen zijn ingevoerd en hoe wordt gecontroleerd of die maatregelen daadwerkelijk werken.

Dit betekent dat veiligheid meer moet worden gebaseerd op aantoonbare processen en controles dan op algemene verklaringen van een bedrijf dat zijn platform "kindvriendelijk" vindt.

Ook kan het noodzakelijk worden om maatregelen opnieuw te beoordelen wanneer een dienst aanzienlijk verandert. Een nieuwe functie kan immers nieuwe risico's veroorzaken die bij de oorspronkelijke beoordeling nog niet bestonden.

Onafhankelijk toezicht

Naast de verantwoordelijkheid van bedrijven speelt toezicht een belangrijke rol.

De Europese Commissie wil dat aanbieders van digitale diensten duidelijk kunnen aantonen hoe zij aan de nieuwe verplichtingen voldoen. Onafhankelijke toetsing en handhaving moeten voorkomen dat bedrijven hun eigen veiligheidsmaatregelen uitsluitend zelf beoordelen.

Bij een nieuwe dienst of ingrijpende nieuwe functionaliteit kan daardoor opnieuw worden gekeken naar de mogelijke gevolgen voor minderjarigen.

Als blijkt dat een dienst onvoldoende bescherming biedt, kunnen toezichthouders aanvullende maatregelen verlangen.

Het doel daarvan is om een situatie te voorkomen waarin een bedrijf zelf bepaalt dat zijn product voldoende veilig is, zonder dat daar een onafhankelijke controle tegenover staat.

Vier belangrijke uitgangspunten

De EU Kids Act kan in grote lijnen worden samengevat aan de hand van vier uitgangspunten:

1. Het gebruik van bepaalde digitale diensten door jonge kinderen uitstellen
Vooral bij sociale media wil de Commissie voorkomen dat jonge kinderen op te jonge leeftijd zelfstandig toegang krijgen tot diensten die aanzienlijke risico's kunnen opleveren.

2. Digitale diensten veiliger ontwerpen
Bedrijven moeten al tijdens het ontwerp rekening houden met kinderen en jongeren. Veiligheid moet dus niet pas achteraf worden toegevoegd.

3. Leeftijd controleren met respect voor privacy
Wanneer leeftijdsgrenzen worden ingevoerd, moeten aanbieders kunnen controleren of gebruikers aan die grenzen voldoen zonder onnodig grote hoeveelheden persoonsgegevens te verzamelen.

4. Sterkere handhaving en controle
Bedrijven moeten kunnen aantonen dat hun maatregelen werken. Toezichthouders moeten vervolgens kunnen controleren of aanbieders daadwerkelijk aan de regels voldoen.

Van verantwoordelijkheid achteraf naar verantwoordelijkheid vooraf

De belangrijkste verandering zit daarmee niet alleen in de leeftijdsgrenzen.

De bredere ontwikkeling is dat Europese wetgeving digitale bedrijven steeds vaker verplicht om vooraf na te denken over de risico's van hun producten.

In plaats van eerst een dienst op de markt te brengen en vervolgens te reageren wanneer problemen ontstaan, moet de aanbieder vooraf beoordelen welke risico's kunnen ontstaan en welke bescherming nodig is.

Voor kinderen is dat bijzonder relevant. Zij beschikken doorgaans over minder ervaring met digitale risico's en kunnen daardoor kwetsbaarder zijn voor bepaalde vormen van beïnvloeding, ongewenst contact of schadelijke inhoud.

De Commissie wil daarom dat digitale diensten niet alleen technisch functioneren, maar ook rekening houden met de ontwikkeling en bescherming van jonge gebruikers.

De Kids Act staat niet op zichzelf

De nieuwe voorstellen sluiten aan bij bestaande Europese regelgeving, waaronder de Digital Services Act (DSA) en de AI Act.

De DSA bevat al verplichtingen voor grote onlineplatforms en andere digitale diensten om bepaalde risico's voor gebruikers te beperken. Daarbij bestaat ook aandacht voor de bescherming van minderjarigen.

De AI Act bevat op zijn beurt regels voor het ontwikkelen en gebruiken van kunstmatige intelligentie, waarbij voor bepaalde toepassingen strengere eisen gelden.

De Kids Act moet deze bestaande regels verder aanvullen vanuit het perspectief van kinderen en jongeren.

Daarmee ontstaat een steeds uitgebreider Europees regelgevingskader voor digitale diensten.

Wat betekent dit voor technologiebedrijven?

Voor technologiebedrijven kan de voorgestelde regelgeving aanzienlijke gevolgen hebben.

Zij zullen mogelijk meer moeten investeren in:

• leeftijdscontrole;
• privacybeschermende technologie;
• kindvriendelijke ontwerpprincipes;
• risicoanalyses;
• onafhankelijke controles;
• documentatie van veiligheidsmaatregelen;
• monitoring van nieuwe functies;
• aanpassingen van aanbevelingssystemen;
• bescherming tegen schadelijke of ongepaste inhoud;
• en procedures om snel in te grijpen wanneer nieuwe risico's ontstaan.

Voor kleinere bedrijven kan dit bovendien betekenen dat zij al tijdens de ontwikkeling van een product rekening moeten houden met wettelijke verplichtingen die vroeger vooral bij grote onlineplatforms lagen.

Wat betekent dit voor ouders?

Voor ouders en voogden kan de nieuwe regelgeving betekenen dat zij minder afhankelijk worden van de vraag of een platform zelf voldoende goede veiligheidsinstellingen aanbiedt.

Dat betekent echter niet dat de rol van ouders verdwijnt.

Ouders blijven een belangrijke rol spelen bij het begeleiden van kinderen bij het gebruik van internet. De voorgestelde wetgeving probeert vooral te voorkomen dat de volledige verantwoordelijkheid voor online veiligheid bij het gezin terechtkomt.

De gedachte is dat bescherming een gezamenlijke verantwoordelijkheid moet zijn van ouders, kinderen, bedrijven en overheden, waarbij bedrijven een grotere verantwoordelijkheid krijgen voor de veiligheid van hun eigen producten.

Het voorstel is nog geen definitieve wet

Belangrijk is dat de EU Kids Act op dit moment als voorstel moet worden beschouwd.

Een voorstel van de Europese Commissie wordt niet automatisch Europese wetgeving. Het Europees Parlement en de Raad van de Europese Unie moeten zich erover buigen. Tijdens dat proces kunnen onderdelen worden aangepast, gewijzigd of geschrapt.

Ook de precieze leeftijdsgrenzen, technische eisen en handhavingsmechanismen kunnen daardoor nog veranderen.

Pas nadat de Europese wetgevingsprocedure is afgerond en de uiteindelijke regelgeving is vastgesteld, wordt duidelijk welke verplichtingen daadwerkelijk gaan gelden en vanaf wanneer.

Een fundamentele verandering in de benadering van online kindveiligheid

De voorgestelde Kids Act past binnen een bredere Europese ontwikkeling waarin digitale veiligheid steeds minder wordt gezien als iets wat uitsluitend door individuele gebruikers moet worden geregeld.

De kern van de nieuwe benadering is dat bedrijven die digitale diensten ontwikkelen ook verantwoordelijkheid dragen voor de gevolgen van hun ontwerpkeuzes.

Voor kinderen betekent dat een belangrijk uitgangspunt: zij zouden niet eerst zelf moeten ontdekken welke onderdelen van een digitale dienst gevaarlijk, verslavend, misleidend of ongeschikt kunnen zijn voordat bescherming wordt geboden.

De Europese Commissie wil dat aanbieders die verantwoordelijkheid al vóór en tijdens het gebruik van hun diensten nemen.

Daarmee verschuift de discussie van "Hoe kunnen kinderen zichzelf online beschermen?" naar een bredere vraag: "Hoe zorgen we ervoor dat digitale diensten vanaf het begin zo worden ontworpen dat kinderen er zo veilig mogelijk mee kunnen omgaan?"

Dat is uiteindelijk de belangrijkste gedachte achter de EU Kids Act: de verantwoordelijkheid voor online kindveiligheid moet niet uitsluitend bij het kind en zijn of haar ouders liggen, maar ook nadrukkelijk bij de bedrijven die de digitale omgeving ontwerpen en exploiteren.

Door: Drifter