Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO/IEC 27566-1 — 隐私技术 — 年龄保证系统 — 第1部分：框架
平衡隐私保护与监管合规的年龄保证系统综合框架
一、ISO/IEC 27566-1 标准概述
ISO/IEC 27566-1 建立了年龄保证系统的综合框架——这些技术解决方案用于估算或验证个人年龄，以控制对年龄限制内容、服务或产品的访问。该标准应对了日益增长的全球监管要求，要求对在线服务进行年龄验证，包括社交媒体平台、在线游戏、电子商务（酒类、烟草、赌博）、成人内容以及新兴的数字服务（如年龄限制的 AI 应用）。该框架涵盖了从简单自我声明、基于文档的验证到使用面部分析的先进生物特征年龄估算的完整年龄保证方法谱系。
“年龄保证”一词涵盖了具有不同确定性水平的一系列方法：年龄估算（提供近似年龄）、年龄验证（用证据确认年龄是否超过门槛）和年龄推断（从行为模式或现有数据推导年龄）。ISO/IEC 27566-1 涵盖了所有三种方法。
二、年龄保证方法及其分类
标准根据保证水平、可靠性和隐私影响将年龄保证方法分为四个层级。这种分类使服务提供者能够根据其特定用例的监管要求选择适当的方法，在隐私保护与所需年龄保证确定性水平之间取得平衡。
| 保证层级 | 方法类型 | 示例 | 保证水平 | 隐私影响 | 用例示例 |
|---|---|---|---|---|---|
| 第1层 | 自我声明 | 用户输入的出生日期 | 低 | 最小 | 网站内容标签（信息性） |
| 第2层 | 行为/账户基础 | 账户历史时长、支付卡存在性、交易历史 | 低-中 | 低 | 社交媒体年龄门控、数字广告限制 |
| 第3层 | 文档验证 | 政府身份证扫描、护照验证、数字身份钱包 | 高 | 高（身份被揭示） | 在线赌博、酒类/烟草电商、成人内容 |
| 第4层 | 生物特征年龄估算 | 面部年龄分析、语音年龄分析 | 中-高 | 中等 | 社交媒体注册、年龄限制直播 |
生物特征年龄估算（第4层）在可用性和隐私之间提供了有希望的平衡，因为它可以在不揭示身份的情况下估算年龄——系统判断”是否超过18岁”而无需知道用户是谁。然而，工程师必须确保面部图像在设备端处理并立即丢弃，且 AI 模型不能用于面部识别。
三、年龄保证的隐私设计架构
ISO/IEC 27566-1 提供了实施尊重用户隐私的年龄保证系统的详细架构指南。推荐的架构遵循隐私守门人模式，其中年龄保证功能作为用户和内容服务之间的独立服务层运行。年龄保证服务执行验证，仅向内容服务返回一个年龄验证令牌（不包含身份信息，仅包含验证结果和时间戳）。这种架构模式确保内容服务永远不会收到用户的身份证明文件、生物特征数据或实际出生日期——它仅获知用户在特定时间点满足年龄要求。
标准还解决了年龄令牌不可重复使用的关键要求。为一个服务生成的年龄验证令牌未经用户明确同意不得用于访问另一个服务。这防止了创建可用于跨不同平台跟踪用户的通用年龄验证令牌。令牌与特定服务标识符的绑定、限时有效性和加密签名验证是基本的实施要求。
ISO/IEC 27566-1 推荐的隐私守门人架构使得在满足年龄保证法规的同时，无需创建已验证年龄的集中数据库——这正是数据保护机构对年龄验证要求提出的关键隐私关切。
四、监管环境与跨司法管辖区考虑
标准阐述了复杂的年龄保证监管环境，不同司法管辖区之间存在显著差异。英国的年龄适当设计规范（儿童规范）、欧盟的《数字服务法》、美国各州关于未成年人访问在线服务的法律（加利福尼亚州、犹他州、德克萨斯州）以及澳大利亚的《在线安全法》都不同程度地要求或推荐年龄保证。ISO/IEC 27566-1 提供了一个统一的框架，可同时满足多种监管要求，降低全球平台的实施复杂性。它还涉及包容性的重要考虑——年龄保证方法不得歧视缺乏政府签发身份证明的用户、有影响生物特征验证的残障用户，或面部年龄估计算法准确性可能较低的人口群体。
实施不当的年龄保证可能产生重大隐私风险：集中式年龄数据库成为攻击者的高价值目标、传输给服务提供商的身份证件可能被不安全地存储、用于年龄估算的生物特征数据可能被重新用于监视或身份识别。ISO/IEC 27566-1 的隐私设计要求是防范这些风险的基本保障。
五、常见问题解答
问：ISO/IEC 27566-1 要求将生物特征年龄估算作为最低标准吗？
答：不需要。该标准认识到不同的用例需要不同的保证层级。自我声明可能适用于低风险内容标签，而在线赌博等高危服务需要第3层或第4层方法。标准提供了基于监管要求和风险评估选择适当层级的指南。
答：不需要。该标准认识到不同的用例需要不同的保证层级。自我声明可能适用于低风险内容标签，而在线赌博等高危服务需要第3层或第4层方法。标准提供了基于监管要求和风险评估选择适当层级的指南。
问：标准如何处理年龄估算中的误报和漏报？
答：标准要求服务提供者根据特定用例和监管要求定义可接受的错误率。对于是否超过18岁的验证，漏报率（将成年人错误分类为未成年人）可能比误报率（将未成年人错误分类为成年人）更容易被接受，尽管两者都必须最小化并予以披露。
答：标准要求服务提供者根据特定用例和监管要求定义可接受的错误率。对于是否超过18岁的验证，漏报率（将成年人错误分类为未成年人）可能比误报率（将未成年人错误分类为成年人）更容易被接受，尽管两者都必须最小化并予以披露。
问：能否在不收集生物特征数据的情况下实施年龄保证？
答：可以。标准支持非生物特征方法，包括文档验证（第3层）、基于支付卡的年龄推断（第2层）和可信数字身份钱包。选择取决于所需的保证水平和可接受的隐私影响。
答：可以。标准支持非生物特征方法，包括文档验证（第3层）、基于支付卡的年龄推断（第2层）和可信数字身份钱包。选择取决于所需的保证水平和可接受的隐私影响。
