Die Entertainment Software Rating Board (ESRB) hat gemeinsam mit dem Identitätsdienstleister Yoti und dem auf Kinderschutz spezialisierten Anbieter SuperAwesome bei der US-Handelsbehörde Federal Trade Commission (FTC) die Zulassung eines neuen Verfahrens zur elterlichen Einwilligung beantragt. Die FTC eröffnete am 19. Juli 2023 das öffentliche Kommentierungsverfahren zu dem Antrag, der eine als Privacy-Protective Facial Age Estimation bezeichnete Methode unter dem Children’s Online Privacy Protection Act (COPPA) etablieren soll. Eingereicht wurde der Antrag bereits am 2. Juni 2023.
Das Verfahren zielt nicht auf die Altersfreigabe von Spielen ab, sondern auf die nach COPPA erforderliche verifizierbare Zustimmung eines Elternteils, bevor ein Online-Dienst personenbezogene Daten von Kindern unter 13 Jahren erhebt. Greift ein Kind auf einen entsprechenden Dienst zu, erhält das Elternteil eine direkte Benachrichtigung per E-Mail und kann die Gesichtsanalyse als Bestätigungsmethode auswählen. Die Technik schätzt anhand der Gesichtsgeometrie das Alter, ohne die Identität einer Person festzustellen. Wie schwierig praktikable Altersprüfungen in der Praxis bleiben, zeigt parallel die Plattformseite: Discord führte seine „Teen-by-Default“-Einstellungen mitsamt Altersprüfung weltweit ein.
Funktionsweise und Datenverarbeitung
Technische Grundlage liefert die von Yoti entwickelte Altersschätzung, die ein Live-Bild des Gesichts mit Mustern aus einem Trainingsdatensatz bekannter Altersgruppen abgleicht. SuperAwesome, ein zu Epic Games gehörender Anbieter, steuert die Verwaltung der elterlichen Einwilligung bei. Laut Antragsunterlagen wird das aufgenommene Bild nach der Analyse gelöscht und nicht gespeichert, von Menschen eingesehen, geteilt, für andere Zwecke verwendet oder verkauft. An den anfragenden Dienst übermittelt das System ausschließlich das Ergebnis, also eine Bestätigung darüber, ob die geprüfte Person erwachsen ist.
Die ESRB betreibt bereits ein von der FTC anerkanntes Safe-Harbor-Programm unter COPPA. Mit dem Antrag sollte das Spektrum zugelassener Bestätigungsmethoden um ein biometrisches Verfahren erweitert werden, das ohne Vorlage von Ausweisdokumenten oder Kreditkartendaten auskommt. Die Antragsteller argumentierten, dass die lokal verarbeitete und unmittelbar gelöschte Gesichtsanalyse datensparsamer sei als etablierte Verfahren.
Kommentierungsverfahren und regulatorischer Kontext
Die FTC veröffentlichte den Antrag im Federal Register und setzte eine öffentliche Kommentarfrist bis zum 21. August 2023. In dem Verfahren gingen mehrere Hundert Stellungnahmen ein, in denen Gegner Bedenken hinsichtlich Datenschutz, Genauigkeit und möglicher Umgehung durch manipulierte Aufnahmen vorbrachten. Die Behörde verlängerte daraufhin die Frist für ihre Entscheidung mehrfach.
Im März 2024 lehnte die FTC den Antrag mit einer einstimmigen Entscheidung der Kommissionsmitglieder ab. Die Ablehnung erfolgte ohne Präjudiz, sodass die ESRB-Gruppe das Verfahren zu einem späteren Zeitpunkt erneut einreichen kann. Welche Methoden sich für eine rechtskonforme und zugleich datensparsame Altersbestätigung durchsetzen, bleibt für die Spielebranche offen, zumal Anbieter wie Discord ihre Altersprüfung auf immer mehr Länder ausweiten.