आयु-सत्यापन जाल: डेटा सुरक्षा कैसे कमजोर होती है

संयुक्त राज्य अमेरिका - इख़बारी समाचार एजेंसी

आयु-सत्यापन जाल: डेटा सुरक्षा कैसे कमजोर होती है

जैसे-जैसे समाज किशोरों के मानसिक स्वास्थ्य पर सोशल मीडिया के कथित नकारात्मक प्रभावों और हानिकारक सामग्री के संपर्क में आने से जूझ रहा है, वैसे-वैसे डिजिटल प्लेटफार्मों पर सख्त आयु प्रतिबंधों की ओर एक वैश्विक प्रवृत्ति उभर रही है। दुनिया भर के विधायक, जिसे वे अत्यधिक उपयोग और संभावित नुकसान मानते हैं, उसे रोकने के लिए आम तौर पर 13 या 16 वर्ष की न्यूनतम आयु सीमा का प्रस्ताव कर रहे हैं। हालाँकि, इन नेक इरादों वाले नियमों का व्यावहारिक प्रवर्तन, प्लेटफार्मों को एक जटिल तकनीकी और कानूनी दुविधा में डाल देता है, जिसे अक्सर "आयु-सत्यापन जाल" कहा जाता है। यह समस्या मजबूत आयु सत्यापन की मांग और आधुनिक डेटा गोपनीयता कानूनों के मूल सिद्धांतों के बीच मौलिक संघर्ष से उत्पन्न होती है, जो डेटा न्यूनीकरण और सीमित प्रतिधारण को प्राथमिकता देते हैं।

अधिकांश आयु-प्रतिबंध कानून प्लेटफार्मों से "उचित कदम" या "प्रभावी उपाय" करने की मांग करते हैं ताकि नाबालिगों की पहुंच को रोका जा सके। मुख्य चुनौती यह है कि उपयोगकर्ता की गोपनीयता का उल्लंघन किए बिना इसे तकनीकी रूप से कैसे प्राप्त किया जाए। कंपनियां दो प्राथमिक तरीकों के साथ रह जाती हैं, जिनमें से प्रत्येक महत्वपूर्ण कमियों से ग्रस्त है।

पहला तरीका पहचान-आधारित सत्यापन है। इसमें आम तौर पर उपयोगकर्ताओं द्वारा सरकारी आईडी या पासपोर्ट जैसे आधिकारिक पहचान दस्तावेज जमा करना, या सत्यापित डिजिटल पहचान को लिंक करना शामिल होता है। हालांकि, यह तरीका महत्वपूर्ण बाधाओं का सामना करता है। कई न्यायालयों में, 16 वर्ष से कम आयु के व्यक्तियों के पास आधिकारिक पहचान पत्र नहीं हो सकता है। अन्य स्थानों में, उपलब्ध आईडी गैर-डिजिटल हो सकती हैं, व्यापक रूप से आयोजित नहीं की जा सकती हैं, या अविश्वसनीय हो सकती हैं। इसके अलावा, संवेदनशील पहचान दस्तावेजों की प्रतियों का भंडारण, डेटा उल्लंघनों और दुरुपयोग की क्षमता सहित महत्वपूर्ण सुरक्षा जोखिम पैदा करता है।

दूसरा विकल्प अनुमान (inference) है। प्लेटफ़ॉर्म व्यवहार पैटर्न, डिवाइस सिग्नल, या बायोमेट्रिक विश्लेषण के आधार पर उपयोगकर्ता की आयु का अनुमान लगाने का प्रयास करते हैं, जिसमें सबसे आम है सेल्फी या वीडियो का उपयोग करके चेहरे की आयु का अनुमान लगाना। जबकि यह विधि आधिकारिक दस्तावेजों के प्रत्यक्ष संग्रह से बचती है, यह निश्चितता को संभाव्यता और त्रुटि से बदल देती है। आयु अनुमान एल्गोरिदम अचूक नहीं हैं, जिससे गलत वर्गीकरण हो सकता है जो वैध उपयोगकर्ताओं के खातों के गलत प्रतिबंध या नाबालिगों को ब्लॉक करने में विफलता का कारण बन सकता है।

व्यवहार में, कई कंपनियां एक मिश्रित दृष्टिकोण अपनाती हैं। स्व-घोषित आयु को अक्सर अनुमान प्रणालियों द्वारा पूरक किया जाता है। जब इन अनुमानों का विश्वास स्तर गिर जाता है, या जब नियामक निकाय अनुपालन के प्रमाण की मांग करते हैं, तो सिस्टम पहचान जांच तक बढ़ जाता है। जो एक प्रतीत होने वाले हल्के-स्पर्श नियंत्रण बिंदु के रूप में शुरू होता है, वह समय के साथ उपयोगकर्ताओं को ट्रैक करने वाली एक बहु-स्तरीय सत्यापन प्रक्रिया में विकसित हो सकता है।

यह पैटर्न पहले से ही प्रमुख प्लेटफार्मों पर स्पष्ट है। मेटा ने विभिन्न बाजारों में इंस्टाग्राम पर चेहरे की आयु का अनुमान लगाने की प्रणाली लागू की है, जिसमें तीसरे पक्ष के भागीदारों के माध्यम से वीडियो सेल्फी जांच का उपयोग किया जाता है। यदि सिस्टम किसी उपयोगकर्ता को संभावित रूप से नाबालिग के रूप में चिह्नित करता है, तो उसे अपने चेहरे का एक छोटा वीडियो रिकॉर्ड करने के लिए प्रेरित किया जाता है। एक AI सिस्टम उसकी आयु का अनुमान लगाता है, और यदि यह सीमा से नीचे आता है, तो खाते को प्रतिबंधित या लॉक कर दिया जाता है। अपील अक्सर आगे सत्यापन चरणों को ट्रिगर करती है, और गलत वर्गीकरण आम तौर पर बताए जाते हैं।

टिकटॉक ने भी स्वीकार किया है कि वह उपयोगकर्ताओं की आयु का अनुमान लगाने के लिए सार्वजनिक वीडियो को स्कैन करता है। Google और YouTube आयु का अनुमान लगाने के लिए देखने के इतिहास और खाता गतिविधि जैसे व्यवहार संबंधी संकेतों पर बहुत अधिक भरोसा करते हैं, जब सिस्टम अनिश्चित होता है तो सरकारी आईडी या क्रेडिट कार्ड विवरण मांगते हैं। क्रेडिट कार्ड अक्सर वयस्कता के प्रॉक्सी के रूप में उपयोग किया जाता है, भले ही यह खाते के वास्तविक उपयोगकर्ता के बारे में कोई निश्चित प्रमाण प्रदान नहीं करता है।

गेमिंग प्लेटफॉर्म Roblox, जिसने हाल ही में एक आयु-अनुमान प्रणाली शुरू की है, कथित तौर पर उन उपयोगकर्ताओं के साथ पहले से ही समस्याओं का सामना कर रहा है जो Wired की रिपोर्ट के अनुसार, आयु-प्रतिबंधित क्षेत्रों तक पहुंच चाहने वाले वयस्क शिकारियों को बाल-आयु के खाते बेच रहे हैं। एक सामान्य उपयोगकर्ता के लिए, आयु सत्यापन अब एक बार की घोषणा नहीं है, बल्कि एक आवर्ती परीक्षा बन गई है। एक नया डिवाइस, ऑनलाइन व्यवहार में बदलाव, या यहां तक कि एक तकनीकी गड़बड़ी भी एक और सत्यापन जांच को ट्रिगर कर सकती है। एक जांच को सफलतापूर्वक पास करना प्रक्रिया के अंत की गारंटी नहीं देता है।

गलत सकारात्मक (False positives) एक सामान्य घटना है। प्लेटफ़ॉर्म युवा चेहरों वाले वयस्कों, पारिवारिक उपकरणों को साझा करने वाले व्यक्तियों, या असामान्य उपयोग पैटर्न प्रदर्शित करने वालों को गलती से नाबालिग के रूप में पहचान सकते हैं, जिससे कभी-कभी विस्तारित अवधि के लिए खाते लॉक हो जाते हैं। इसके विपरीत, गलत नकारात्मक (False negatives) बने रहते हैं, जिसमें किशोर उधार ली गई आईडी का उपयोग करके, नए खाते बनाकर, या वीपीएन का उपयोग करके जांच को सफलतापूर्वक दरकिनार करने में माहिर हो जाते हैं।

अपील प्रक्रिया स्वयं गोपनीयता के लिए नई कमजोरियां पैदा करती है। प्लेटफार्मों को नियामक जांच के खिलाफ अपने कार्यों का बचाव करने के लिए विस्तारित अवधि के लिए बायोमेट्रिक डेटा, आईडी छवियों और सत्यापन लॉग को बनाए रखने की आवश्यकता होती है। यदि कोई वयस्क, बार-बार सेल्फी जांच से थक गया है, अंततः अपनी आईडी जमा करता है, तो वह संग्रहीत दस्तावेज़ संभावित डेटा उल्लंघनों के लिए एक नया लक्ष्य बन जाता है। लाखों उपयोगकर्ताओं में इस अभ्यास को बढ़ाने से इन प्लेटफार्मों के परिचालन ढांचे में महत्वपूर्ण गोपनीयता जोखिम अंतर्निहित हो जाते हैं।

यह ठीक वही जगह है जहाँ आयु-प्रतिबंध नीति का उभरता हुआ क्षेत्र मौजूदा डेटा गोपनीयता कानून से सीधे टकराता है। GDPR जैसे आधुनिक डेटा संरक्षण ढांचे और विश्व स्तर पर समान नियम, मूलभूत सिद्धांतों पर निर्मित होते हैं: केवल आवश्यक डेटा एकत्र करें, इसका उपयोग केवल परिभाषित उद्देश्यों के लिए करें, और इसे केवल आवश्यकतानुसार ही बनाए रखें।

आयु सत्यापन जनादेश के अनुपालन को प्रदर्शित करने के लिए, प्लेटफार्मों को सत्यापन प्रयासों को सावधानीपूर्वक लॉग करना चाहिए, साक्ष्य संरक्षित करना चाहिए, और उपयोगकर्ताओं की गतिविधियों की लगातार निगरानी करनी चाहिए। जब नियामक या अदालतें किसी प्लेटफ़ॉर्म की कार्रवाइयों की औचित्य के बारे में पूछताछ करती हैं, तो "कम डेटा एकत्र" करने पर आधारित बचाव अक्सर अपर्याप्त माना जाता है। नतीजतन, अपर्याप्त आयु सत्यापित करने के आरोपों के खिलाफ बचाव करने की अनिवार्यता, अनुचित डेटा संग्रह और प्रतिधारण से उपयोगकर्ता डेटा की रक्षा करने के दायित्व पर अक्सर हावी हो जाती है।

यह गतिशीलता अक्सर एक जानबूझकर की गई नीतिगत पसंद नहीं होती है, बल्कि प्रवर्तन दबावों और कंपनियों की जोखिम-प्रतिकूल कानूनी रणनीतियों का एक प्रतिक्रियाशील परिणाम होती है। धनी लोकतंत्रों के बाहर यह लेन-देन और भी अधिक स्पष्ट हो जाता है।

ब्राजील में, बाल और किशोर क़ानून (ECA) ऑनलाइन सख्त बाल संरक्षण दायित्व लागू करता है, जबकि देश का डेटा संरक्षण कानून डेटा संग्रह को प्रतिबंधित करता है। ब्राजील में काम करने वाले सेवा प्रदाताओं को अब प्रभावी आयु सत्यापन तंत्र लागू करना चाहिए और उच्च जोखिम वाली सेवाओं के लिए केवल स्व-घोषणा पर भरोसा नहीं कर सकते। हालाँकि, वे असंगत पहचान अवसंरचना और व्यापक डिवाइस साझाकरण से भी जूझते हैं। इस अंतर को पाटने के लिए, वे तेजी से चेहरे के अनुमान और तीसरे पक्ष के सत्यापन विक्रेताओं पर भरोसा करते हैं।

इसी तरह, नाइजीरिया में, जहाँ कई नागरिकों के पास औपचारिक पहचान नहीं है, डिजिटल सेवा प्रदाता अक्सर व्यवहार विश्लेषण, बायोमेट्रिक अनुमान और सीमित निरीक्षण के तहत संचालित होने वाली ऑफशोर सत्यापन सेवाओं के साथ इस अंतर को भरते हैं। इससे ऑडिट लॉग का विस्तार होता है, डेटा प्रवाह बढ़ता है, और उपयोगकर्ताओं का इस बात पर नियंत्रण कम हो जाता है कि उनका डेटा कैसे अनुमानित और उपयोग किया जाता है। कमजोर पहचान प्रणालियों वाले वातावरण में, कंपनियां गोपनीयता सुरक्षा को पूरी तरह से दरकिनार कर सकती हैं।

विरोधाभास स्पष्ट है: कम प्रशासनिक क्षमता वाले क्षेत्रों में, आयु प्रवर्तन उपाय अक्सर बढ़ी हुई गोपनीयता के बजाय बढ़ी हुई निगरानी के परिणामस्वरूप होते हैं, क्योंकि अनुमान तंत्र आधिकारिक दस्तावेजों की कमी की भरपाई करते हैं।

कुछ नीति निर्माता अस्पष्ट नियामक मानकों की वकालत करते हैं, यह मानते हुए कि वे लचीलापन प्रदान करते हैं। उदाहरण के लिए यूके में, एक पूर्व डिजिटल सचिव ने तर्क दिया कि विशिष्ट प्रौद्योगिकियों को अनिवार्य करने से बचने के लिए, तरीकों को निर्दिष्ट किए बिना ऑनलाइन सुरक्षा के विशिष्ट परिणाम निर्धारित करना। हालाँकि, व्यावहारिक अनुभव अक्सर विपरीत का सुझाव देता है। जब विवाद नियामकों या अदालतों तक पहुँचते हैं, तो मुख्य प्रश्न यह है: क्या नाबालिग आसानी से प्लेटफ़ॉर्म तक पहुँच सकते हैं? यदि उत्तर हाँ है, तो अधिकारी अनिवार्य रूप से कंपनियों को अधिक कड़े उपाय लागू करने के लिए मजबूर करते हैं। समय के साथ, "उचित कदम" की परिभाषा तेजी से दखल देने वाली हो जाती है।

नतीजतन, बार-बार चेहरे के स्कैन, बढ़ती पहचान जांच और दीर्घकालिक डेटा लॉगिंग सामान्य हो जाते हैं। डेटा न्यूनीकरण को प्राथमिकता देने वाले प्लेटफ़ॉर्म, अधिक दखल देने वाले, फिर भी कानूनी रूप से बचाव योग्य, सत्यापन विधियों को अपनाने वालों की तुलना में लापरवाह दिखाई दे सकते हैं। गोपनीयता-संरक्षण डिजाइन अक्सर अनुपालन-संचालित, डेटा-गहन समाधानों के पक्ष में बलिदान कर दिए जाते हैं।

इख़बारी समाचार एजेंसी