美国新法案或将要求所有操作系统强制核验用户年龄

《父母决定权法案》：一项披着“保护未成年人”外衣的隐私灾难

一份名为《父母决定权法案》（Parental Rights Act）的新提案已被正式提交至美国众议院，并移交至能源与商务委员会审议。该法案由新泽西州民主党众议员乔希·戈特海默（Josh Gottheimer）与纽约州共和党众议员埃莉斯·斯蒂芬尼克（Elise Stefanik）共同发起。法案核心条款要求：windows、Linux、macOS等所有主流操作系统——无论在初始安装阶段，还是日常使用过程中——必须对“所有用户”实施强制性年龄验证。

具体而言，法案规定：“操作系统的所有用户”，无论是注册系统账户，还是单纯使用操作系统本身，均须填写本人出生日期。更值得警惕的是，法案进一步要求操作系统服务商“构建配套系统”，允许第三方应用开发者直接获取操作系统依据本法案所收集的全部必要信息（包括用户出生日期），以完成其自身应用内的年龄验证。换言之，你电脑中任意一款软件——从浏览器插件到游戏客户端——理论上都可实时调取你填报的出生日期。这一设计，从根本上颠覆了“最小权限”与“数据最小化”的隐私保护基本原则，令人难以接受。

年龄验证的执行方式，无疑是整部法案最敏感、最关键的技术与法律环节。然而讽刺的是，这项核心细则并未在法案文本中明确界定，而是被刻意留白，交由能源与商务委员会在法案通过后另行制定。目前尚无法判断：系统仅需用户自行输入生日（如当前许多平台默认接受“1900年1月1日”这类明显虚假信息），还是将强制引入实质性身份核验流程（例如上传身份证件、人脸识别或对接政府数据库）。法案中多处措辞——如强调“可靠验证”“防止规避”“确保真实性”等——已强烈暗示后者倾向。而更令人不安的是，此类关键操作细节，只是法案通过后需密集出台的多项配套规则之一，其透明度、公众参与度与技术可行性均无从保障。

根据法案规定，一旦正式颁布，能源与商务委员会须在不晚于180天内敲定三项关键实施细则：

- 操作系统服务商验证用户本人、其父母或法定监护人出生日期的具体技术路径与合规标准；

- 严格的数据保护规范，明确服务商如何安全采集、加密存储、访问控制及传输所收集的出生日期信息，切实防范数据泄露、滥用与非法获取；

- 确保第三方应用开发者能稳定、合规地接入操作系统提供的验证接口，从而复用上述年龄数据完成自身用户的身份核验。

通观全文，《父母决定权法案》本质上是一份措辞模糊、权责失衡、技术脱节的危险提案。它不仅强制操作系统长期存储高度敏感的个人生物识别关联信息（出生日期是身份锚点，极易被用于关联追踪与去匿名化），更要求将该信息作为基础设施级资源向全体应用生态开放共享。历史教训一再警示：此类集中化、泛授权的数据机制漏洞百出——Discord刚上线的年龄验证系统即因设计缺陷导致大量用户真实身份信息意外暴露；佛罗里达州一家小型寻人服务公司更曾遗失全部用户的社保号码。当安全能力参差不齐的成千上万款应用均可调用同一套原始数据时，“一个漏洞，全网沦陷”绝非危言耸听。

尤为荒谬的是，法案隐含的前提是：所有操作系统均由具备合规能力的商业实体提供。那么，一个由全球志愿者协作维护的Linux开源发行版（如Debian、Fedora或Arch Linux），如何在系统安装界面、开机启动流程乃至每次与第三方应用交互时，安全合规地采集、加密、存储并分发用户的出生日期？答案很明确：它做不到。开源社区既无统一法人主体，亦无资金与法务资源承担法案所强加的监管责任与连带风险。这并非技术保守，而是现实约束——法案却对此视而不见，反而以“一刀切”的立法逻辑，将整个开源计算生态推向合规绝境。

此外，一个尚未被充分讨论却极为棘手的问题浮出水面：为实现持续、动态的年龄验证，用户是否将被迫在每次开机、每次安装软件、甚至每次运行本地程序时，都必须联网认证？离线使用、隐私沙箱、本地化部署等基本计算自由，或将因此荡然无存。

归根结底，这份法案折射出当下发达国家在数字治理领域一种日益蔓延的恐慌式监管倾向：面对部分家庭对未成年人网络使用的放任现状，决策者不选择加强数字素养教育、优化家长控制工具或推动平台责任分级，而是诉诸最粗暴的底层系统干预，以“保护”之名，行“监控”之实。它非但未能真正筑牢未成年人保护屏障，反而以牺牲全民数字自主权、侵蚀开源创新土壤、瓦解个人计算主权为代价，换取一种虚幻的政治正确。此前，加州已通过类似法案，其后果已令无数开源开发者陷入法律焦虑与开发停滞。如今，《父母决定权法案》若获通过，恐将成为压垮个人计算生态的最后一根稻草——不是因为技术不够先进，而是因为立法者，在恐惧驱动下，彻底放弃了对基本权利与技术现实的敬畏。