Europese Commissie denkt dat Snapchat kinderen blootstelt aan grooming

De Europese Commissie denkt dat Snapchat kinderen niet genoeg beschermt tegen grooming en ander schadelijk gedrag. De Commissie start daarom een Digital Services Act-onderzoek (DSA). Daarbij wordt een eerder onderzoek van de Autoriteit Consument & Markt (ACM) overgenomen.

De Commissie onderzoekt verschillende gebieden waarop Snapchat mogelijk de wet overtreedt. Zo moeten gebruikers minstens 13 jaar oud zijn om het platform te kunnen gebruiken, maar dit controleert het sociale medium niet. Jongere kinderen kunnen zich daardoor aanmelden. Een rapporteertool om te jonge kinderen te melden lijkt bovendien te ontbreken in de app.

Doordat de leeftijden van gebruikers niet goed gecontroleerd worden, kunnen volwassenen zich ook voordoen als kinderen, vreest de Commissie. Die volwassenen kunnen daardoor Snapchat gebruiken om kinderen te benaderen voor seksueel misbruik of om ze in te zetten voor criminele doeleinden.

Als kinderen zich aanmelden met hun echte leeftijd, krijgen ze volgens de Commissie mogelijk ook niet de juiste standaardinstellingen. Kinderen worden bijvoorbeeld meegenomen in het 'Vind Vrienden'-systeem en pushnotificaties staan automatisch aan. Snapchat geeft gebruikers ook onvoldoende informatie over de verschillende privacyinstellingen, denkt de Commissie.

Snapchat lijkt er ook niet genoeg aan te doen om de verkoop van illegale producten zoals drugs te stoppen. Kinderen kunnen wellicht ook te makkelijk vapes en alcohol kopen, terwijl ze daar te jong voor zijn. Tools waarmee gebruikers illegale producten aan Snapchat kunnen rapporteren, zijn daarbij mogelijk te ingewikkeld voor gebruik. De Commissie denkt dat Snapchat ook dark patterns toepast om gebruikers het moeilijker te maken illegale content te rapporteren. De Commissie zegt dit niet hardop, maar het lijkt alsof Snapchat zo het aantal meldingen kunstmatig laag probeert te houden, zodat het platform niet hoeft op te treden.

De ACM begon vorig jaar een onderzoek naar Snapchat. Toen ging het specifiek om de handel van vapes. Dat onderzoek wordt nu deel van het bredere EU-onderzoek, zegt de ACM. Mocht Snapchat inderdaad de DSA hebben overtreden, dan riskeert het platform een boete van maximaal 6 procent van de wereldwijde jaaromzet. De Commissie kan het platform dan ook dwingen bepaalde delen aan te passen.

Reacties (40)

[bzuidgeest]

Als de EU dit een probleem vind, laat ze dan in plaats van weer een onderzoek gewoon opschieten met hun whitelabel app voor leeftijdverificatie en volle zero knowledge proof integreren. Dan is het hele probleem opgelost.

We hebben offline zaken waar je oud genoeg voor moet zijn en die heb je online ook. Ben je daar tegen, verander dan de wet. Dat kan als je genoeg medestanders vind.

Met Zero knowledge proof is je privacy ook nog eens volledig gewaarborgd en kan de overheid niet zien waar je de leeftijd verifieert en de websites krijgen niet meer dan "ja oud genoeg"

[merethan]

Zero knowledge proof

Zero knowledge proof is misschien zero knowledge voor Snapchat, maar niet voor vader EU. Voor vader EU is het all knowledge.

En dat is het ene kwaad verruilen voor het andere. Voor zij onder ons die historisch-besef hebben althans.

Want leeftijdsverificatie voor kinderen, is leeftijdsverificatie voor iedereen.

[ComputerGekkie]

Nee, zero knowledge proof betekent niet all knowledge voor de EU (of een andere partij). Je kan bijvoorbeeld eens kijken naar iets als Yify voor een voorbeeld hoe het privacy vriendelijk kan. Kort samengevat komt het op het volgende neer:

1. Je haalt attributen op bij een geverifieerde instantie. Bijvoorbeeld de overheid. Een attribuut kan bijvoorbeeld zijn: 18+. Deze zetten dan een digitale handtekening onder het attribuut.
2. Deze sla je op in je wallet.
3. Het moment dat je online moet verifieren dat je 18+ bent, laat je alleen dit attribuut zien. De externe partij kan valideren dat de handtekening klopt en dus het attribuut een legitiem stukje informatie is.
4. Tada! Je bent nu geverifieerd 18+ zonder dat de utigevende instantie weet waar jij je hebt geverifieerd.

Het is eigenlijk niet heel anders dan je id-kaart laten zien in de supermarkt en alles afschermen behalve je geboortedatum. Het is zelfs iets sterker (de externe partij kan immers bij je idkaart ook je geboortedatum zien).

Conclusie: Nee het is niet het ene kwaad verruilen voor een ander. En nee, dit is niet vergelijkbaar met het voorval met geloofsovertuigingen uit een dichtbij verleden waar je op lijkt te doelen.

[_eLMo_]

Behalve dat die overheidsdienst dus wel precies kan zien welke 18+ sites je bezoekt.

[graey]

Hoe kan deze overheid dat dankzij dit schema zien? Er gaat geen request naar de overheid bij de check.

[_eLMo_]

Omdat het concept dat de EU nu presenteert niet volgens dit systeem werkt. Tenslotte zou je dan de tokens naar een ander kunnen sturen en het systeem omzeilen.

[graey]

Dat is niet waar je op reageert met deze reactie, misklik?

[ShadLink]

Via de request 10 seconden later naar de app waar de gebruiker niets van ziet.

[graey]

Nouja, zoals ik hieronder ook al zeg: hier is prima een open specificatie van te schrijven waar open implementaties van komen. Dan kan jij gewoon netjes de broncode lezen, je eigen build maken en honderd procent veilig zijn. Ik ga er dan gemakshalve vanuit dat je vanwege je wantrouwen ook je eigen compiler hebt gemaakt. (Gelukkig kan dat ook prima, ook daar zijn geen geheimen voor nodig)

[ShadLink]

En als je het zelf compiled? Dan ga je dat niet op een gemiddeld iPhone of Android draaien, helemaal als straks Android verplichte developer verificatie krijgt. Zo zie je maar dat alle manieren om dit te controleren worden afgedicht.

[graey]

Nee, maar dan moet je sowieso geen apparaten op zak hebben. Dan zou ik me niet zorgen maken om simpele dingen als iOS, Android, of platform beperkingen; er draait ook allemaal firmware op een behoorlijk aantal chips. Wie checkt die? Als je echt para wilt doen, doet dit er allemaal echt niet toe. Behalve als je vooral moord en brand wil schreeuwen in commentsecties.

[merethan]

Dus, een X.509-achtig schema. Als wat je hier beschrijft de oplossing wordt, dan heb jij gelijk, en zat ik er naast.

Maar gegeven dat alle plaatjes verplicht client side scannen met md5-hashes tot op kort geleden het summum van inventiviteit uit de EU politiek was, reken ik niet op een uitkomst die daadwerkelijk zero-knowledge of vrij van mechanismen voor extra macht is.

Ben ik cynisch? Zeker. Heb ik daar goede redenen voor? Meningen verschillen.

Tijd zal het leren.

[Tintel]

Niet "bijvoorbeeld de overheid" - alleen de overheid nooit een andere partij - zelfs geen stichting. Maar dan komt het.... ook de overheid is m.b.t. tracking eigenlijk niet te vertrouwen vanwege tegengestelde belangen. De overheid wil - zelfs met de beste bedoelingen - iedereen in de gaten houden maar dat is totaal ongewenst en geboren uit onkunde en gebrek aan vertrouwen.

Dat attribuut kan echter wel een mooi uniek token zijn en bijzonder goed helpen met tracking.

Als de partij waar jij je aanmeld dat token/attribuut ontvangt (wat eventueel ook weer te omzeilen is maar dan heb je dus een andere app die het kan doorsturen...) kan deze het gewoon loggen. En als de overheid dan wil weten welke token in een bepaalde tijd zich hebben gemeld is dat dus te achterhalen.

Het hele idee dat zelfs gedeeltelijke identificatie gedaan moet worden is absurd. Het idee dat supermarkten moeten controleren aan wie ze verkopen is al zo dom als het maar kan. Als een afnemer iets niet mag - dan moet je niet de verstrekker de controle laten uitvoeren. Die heeft notabene belang bij de verkoop ervan...
Want nu is toch nog steeds bijzonder makkelijk een ander de "verboden middelen" te laten kopen? Wat denken we hiermee nu eigenlijk tegen te houden?


De jonge kinderen beschermen tegen kwaadwillende volwassenen....door de kinderen de toegang ontzeggen....tja, of we pakken de kwaadwillende volwassenen aan....lijkt me logischer. Want kinderen iets ontzeggen wat voor volwassenen gewoon toegankelijk is en geen inname van middelen (drugs / alcohol) betreft, is heel moeilijk te verdedigen. En eigenlijk tegenstrijdig; want als het zo slecht of gevaarlijk is, waarom krijgen volwassenen dan ongelimiteerd toegang?

En waarom worden niet de overtreders van de wet bestraft maar moet opeens iedereen zichzelf - gedeeltelijk - identificeren?

Daarom hebben we de politie - dan dient controles uit te voeren en bij overtreding van de wet, in te grijpen.
Bij websites is dat eigenlijk niet anders en waarom zou het alleen voor kinderen schadelijk zijn? Dit riekt bijzonder "Maar het gaat om de kinderen" - daar kun je niet tegen zijn of iets achter zoeken....

[ShadLink]

In dat voorbeeld weet de app welke website de controle uitvoert. De app is van de overheid, dus de overheid weet DIRECT welke sites je bezoekt.

[graey]

Dat klopt gewoon niet. Je kan hier een open specificatie voor schrijven. Er kunnen daar meerdere open implementaties van worden gemaakt, en die kunnen attributen ophalen van de overheidsserver. Een website die attributen wil checken, kan elke app die die spec volgt daarvoor gebruiken. Jij kan dan als gebruiker zeggen: ja, ik wil deze attributen delen. De website kan dan checken of het signatuur van het attribuut klopt (dat kan zonder dat het herleidbaar is naar een persoon). Daar hoeft geen overheidsimplementatie aan te pas te komen.

[ShadLink]

Wie de app maakt weet ALTIJD wie welke controle uitvoert. In 99,999% van de gevallen zullen dat overheid apps zijn.

[graey]

Man man man, dat is gewoon niet waar. Je roept nu al twee keer dingen zonder onderbouwing, anders dan "zo zijn ze nou eenmaal in de heersende klasse". Dat kan je dan net zo goed even alleen in een losse reactie bij elk overheid-gerelateerd artikel doen, hoef je verder niet inhoudelijk te reageren. "Ik vertrouw de overheid voor geen cent, ze stikken er maar in" is dan volgens mij wel voldoende.

[ShadLink]

Ik vertrouw de overheid tot de volgende verkiezingen. Je ziet bv. in de VS dat President Donald Trump verschillende social media gebruikt om te kijken waar ICE demonstranten zitten. Dit zou ook zó in de EU kunnen gebeuren. Een app die dan van iedereen weet waar je een account hebt geverifieerd is dan wel erg handig.

[graey]

Yep. En open specificaties, open implementaties en reproduceerbare builds, samen met zero knowledge proof ontwerpen, zijn dé manier om juist géén kwetsbaarheid te maken van wie er morgen aan de macht zal zijn. En daar ben jij nou juist hard moord en brand over aan het roepen. Je vergeet gemakshalve dat er ook begaafde tweakers bestaan die precies dezelfde zorgen hebben, en juist daarom werken aan dat soort zaken. Die zijn niet allemaal stiekem gelieerd aan oom agent.

[willieverhoef]

Dus dan is er een 3e partij die een subset heeft.

[graey]

Wat? Waarvan? Wie heeft volgens jou welke subset? Jij krijgt als gebruiker je eigen data in een kluis. Je kan daar signaturen van delen zonder dat die de data bevatten, en een andere partij kan checken of die handtekening klopt zonder de data te kennen. Check ook eens hoe versleuteling met private+public keys werkt.

[willieverhoef]

Weet heel goed hoe het werkt, maar staan in jet stuk hierboven ook andere oplossing. Met alleen een token/ sleutel is dat stukje veilig, maar dan is het dus mogelijk dit token te verplaatsen of 1x door een vriend te laten maken.

Het feit dat je dus een vertrouwde ondertkenaar hebt, of een verloop tijd van bijv. 10 min, betekent nog steeds dat je naar de oorspronkelijke partij moet gaan om het attribuut opnieuw te laten ondertekenen en dan het je in http je referer staan.

Het is best lastig iet te maken wat echt hufter proof en anoniem is.

Een ondertekende bericht zoals bij saml inderdaad mogelijk, maar dus ook te copieeren bij saml wordt dit voorkomen door een challenge te gebruiken, maar ja dan heb je dus een vertrouwde tussen partner.

[graey]

Yep, en ik kan ook peuken voor een tiener kopen. Die referer is geen noodzaak, op dat niveau werk je sowieso alleen aan een schijnoplossing. Wat als ik het nou legitiem bezoek, rip en doorstuur naar iemand anders?

Short-lived tokens i.c.m. zero knowledge proof zijn dan nog steeds dekkend; die referer die jij voorstelt maakt het niet meer zero knowledge, dus dan hebben we het opeens over iets anders. Zero knowledge is zero knowledge.

[Reactie gewijzigd door graey op 26 maart 2026 19:11]

[Enjoyer]

Ik had hier ook vaker aan gedacht, maar wat ik mij afvraag is hoe device en browser fingerprinting hiermee omgaat. En in hoeverre is die handtekening niet te herleiden tot een locatie, al is het maar "Nederland", etc.

In principe zou data collection en in extensie profiling, etc. Verboden moeten zijn. Althans data collectie om identiteits profielen, of persoons profielen te creëren. Crash reports etc, met toestemming van de gebruiker zie ik dan wel als okay, mits er dus weer privacy gevoelige gegevens bij beschermd worden.

[bzuidgeest]

Dan heb je geen idee hoe zero knowledge proof werkt. Het is ontworpen zodat alleen de gebruiker de wat en waar weet

[webhalla]

In dezelfde tweet schrijft commissielid Henna Virkkunen ook het omgekeerde:

Today, the Commission has preliminarily found porn platforms Pornhub, Stripchat, XNXX, and XVideos in breach of the Digital Services Act for allowing minors to access adult content.

https://x.com/hennavirkkunen/status/2037126337203179991?s=61&t=RKhln9uaLJ8crXMcqnvtEw

[bzuidgeest]

Weet je wat zero knowledge proof is een hoe het werkt? Zo ja leg eens uit waar het privacy schendt? Lees ook te beginnen eerst het Wikipedia artikel.

En vind je ook het een privacy schending als een bar of drankwinkel de leeftijd controleert? Zo ja moet je de wet veranderen, zo niet, waarom mag het dan online niet.

Te veel mensen zijn tegen alles, maar begrijpen niets van de technische mogelijkheden om het goed te doen.

[graey]

Publieke code, code audits, herleidbare builds, verifieerbare hashes.

[graey]

Herleidbare builds en verifieerbare hashes dekken dat.

Je kan door de hash van die binary op je apparaat te vergelijken met een reproduceerbare build, bevestigen dat de build die jij hebt, resultaat is van dezelfde broncode als datgene wat je leest in een repository. Moet je wel dezelfde toolchain en optimalisaties gebruiken, maar dat is allemaal doodeenvoudig. Je kan simpelweg _wel_ bewijzen dat een binary een compilatie is van een specifieke sourceset.

[graey]

Nope. Maar als jij en ik het checken, en de hashes kloppen niet, en er zit wat achter, kunnen wij dat voor die 450 miljoen mensen wél aan de grote klok hangen. Iedereen kan het doen, maar lang niet iedereen hoéft het dan te doen. Ik zet mn aluhoedje daarom nog eventjes niet op nu.

[millman]

Van mij mogen we wel stoppen met dat hele 'social media' verhaal. Keer op keer blijkt dat er niets sociaal aan die media is. Van X tot Facebook, Snapchat Instagram en consorten. Polariserend, schadelijk voor onze jeugd, gericht op verslaving. Daarnaast super gevoelig voor nepnieuws verspreiding en invloed van het buitenland (Rusland, USA, Israel).Een verbod zou ons goed doen. Je krijgt er alleen maar narcisten van.

[Reactie gewijzigd door millman op 26 maart 2026 18:44]

[Dauthi]

Het blijft de verantwoordelijkheid van de ouders of hun kinderen op social media zitten en hoe ze dat gebruiken.

Ik ben er zelf wel klaar mee dat er voor volwassenen gigantische barrieres worden opgeworpen omdat ouders te gemakzuchtig, lui of incompetent zijn in de opvoeding van hun kinderen. Tel daarbij een overheid als rupsjenooitgenoeg bij op, die iedere keer weer niet hun drang tot totale controle in de perken weet te houden en met de gebruikelijke emotionele chantage komt, "what about the children", om vrijheden steeds verder te beperken.