EU-leeftijdsverificatie onder de loep terwijl vragen over transparantie blijven bestaan
DG CONNECT van de Europese Commissie heeft negen documenten vrijgegeven in reactie op een verzoek om toegang tot documenten, maar deze waren allemaal reeds publiekelijk beschikbaar. Er zijn geen gegevensbeschermingseffectbeoordelingen (DPIA’s), interne privacy-by-design-documentatie, dreigingsmodellen of beoordelingen van de verwerkingsverantwoordelijke vrijgegeven.
DG CONNECT verklaarde niet over een DPIA te beschikken en stelde dat de verantwoordelijkheid bij de toekomstige uitgever van de applicatie voor leeftijdsverificatie ligt. De verzoeker voert aan dat dit niet bewijst dat er elders binnen de Commissie, bij contractanten of in proefprojecten geen DPIA of gerelateerde beoordelingen bestaan.
Er blijven vragen bestaan over het bewijs ter ondersteuning van de publieke claims van de Commissie dat de app “technisch gereed”, anoniem, niet-koppelbaar en onmogelijk te volgen is. Publieke documentatie geeft aan dat de oplossing een referentie-implementatie is die nog aanvullende integratie vereist vóór ingebruikname in een productieomgeving.
De architectuur omvat paspoortverificatie, gezichtsvergelijking en liveness-detectie, hoewel sommige componenten aan de implementeerders worden overgelaten in plaats van te worden opgenomen in de referentie-oplossing. De documenten lijken ook inconsistent over de volwassenheid van zero-knowledge proofs; deze worden op sommige plaatsen beschreven als geïmplementeerd, maar op andere als experimenteel of toekomstige functionaliteit.
Er is een nieuw confirmatief verzoek ingediend, waarin wordt gevraagd om een breder onderzoek naar DPIA’s, beveiligingsbeoordelingen, datastromen en technische documentatie binnen de diensten van de Commissie en bij contractanten. Hoewel de procedurele klacht over de vertraagde openbaarmaking is gesloten, loopt de inhoudelijke toetsing van de transparantie- en privacydocumentatie van de Commissie nog.