Il Regno Unito accetterà l'identità digitale per comprare alcolici

Nel Regno Unito l'età per comprare alcolici si potrà presto dimostrare con il telefono. Il ministero dell'Interno ha depositato una modifica alle condizioni obbligatorie di licenza che consente un'identità digitale certificata per la vendita di alcolici in Inghilterra e Galles, e il 1 settembre l'ufficio per le identità digitali ha pubblicato le linee guida su come dovrebbe funzionare in concreto questa verifica dell'età. Il testo deve ancora passare in Parlamento, ma la forma dello schema si vede già, e dice parecchio su dove sta andando la faccenda.

Che cosa cambia davvero

A cambiare sono le condizioni obbligatorie di licenza collegate al Licensing Act del 2003. Oggi quelle condizioni presuppongono un documento fisico: passaporto, patente, tessera PASS. La modifica aggiunge una terza strada, il controllo tramite un servizio di verifica digitale registrato, e vale per pub, club, ristoranti e negozi. Il governo la presenta come una scelta in più: i locali non sono obbligati ad accettare l'identità digitale, i clienti non sono obbligati a usarla e i documenti cartacei restano validi come prima.

Il controllo arriva alla cassa self-service

La conseguenza più concreta riguarda la cassa automatica. Secondo le linee guida, lì una prova digitale dell'età può essere accettata a patto che un addetto continui a sorvegliare l'area: i soliti problemi, l'acquisto per conto di un minorenne e la vendita a chi ha già bevuto, non spariscono perché c'è di mezzo un telefono. In altre parole, la domanda sull'età la chiude la macchina da sola e la persona si limita a guardare la sala. Per un controllo che finora finiva sempre con qualcuno che guardava una tessera e una faccia, lo spostamento è notevole.

Il "sì o no" è la promessa, il legame è la condizione

Sul fronte privacy il metodo è davvero migliore che allungare la patente: la cassa riceve una risposta binaria, età sufficiente o no, e con essa non viaggiano né nome, né indirizzo, né numero del documento. Le linee guida dicono esplicitamente che non deve essere rivelato nulla oltre al requisito anagrafico.

La condizione attaccata a quella promessa è il legame. La credenziale deve essere vincolata a chi la mostra, e in pratica significa un controllo biometrico da qualche parte nel percorso. Tony Allen, dello schema di certificazione dei controlli sull'età, lo dice senza giri di parole: una credenziale autentica da maggiorenne serve a poco come controllo se basta passarla al fratello sedicenne. La parte rassicurante, nessun dato lascia il telefono, poggia quindi su una parte di cui si parla meno: il vostro volto deve corrispondere alla credenziale.

Chi potrà rilasciarle

• Solo fornitori registrati: l'app deve appartenere a un servizio di verifica digitale registrato nel quadro di fiducia britannico, non a uno sviluppatore qualsiasi con voglia di fare un portafoglio di identità.
• Almeno livello di fiducia medio: l'identità dietro la credenziale deve essere stata verificata come minimo a un livello medio di confidenza, come lo definisce quel quadro.
• In pratica una lista corta: i nomi più citati sono app certificate come Yoti e Post Office EasyID.

L'obbligo di certificazione è il centro silenzioso di tutto l'impianto. Tiene fuori le app improvvisate e allo stesso tempo mette una manciata di aziende private tra un adulto britannico e un acquisto qualunque.

La barriera dell'età continua a spostarsi

Presa da sola è una ragionevole modernizzazione di una regola nata su carta. Messa accanto a tutto il resto di quest'anno, è un altro passo nella stessa direzione: la prova dell'età diventa una parte ordinaria delle transazioni, prima online e ora anche fuori. Lo stesso meccanismo lo abbiamo raccontato parlando di un videogioco che chiede il documento nazionale, e lo schema si ripete: il controllo nasce come opzione e diventa la normalità.

Il rischio per la privacy alla fine non sta alla cassa, ma nell'infrastruttura dietro. I fornitori di verifica conservano esattamente il materiale che rende costosa una violazione: un conteggio recente ha registrato 88 violazioni presso i verificatori d'identità, con scansioni di documenti e selfie tra i dati esposti. Un sì binario alla cassa è un buon progetto. Dipende comunque da un'azienda che da qualche parte custodisce ciò da cui quel sì è nato.