Законодатели Калифорнии освободили Linux от проверки возраста
Законодательное собрание Калифорнии провело через обе палаты поправку AB 1856 к уже принятому закону о проверке возраста пользователей, Digital Age Assurance Act, который должен вступить в силу 1 января 2027 года. Поправка выводит из-под действия этого закона операционные системы с открытым исходным кодом: любое программное обеспечение, распространяемое по лицензиям GPL, MIT, BSD и Apache, больше не подпадает под определение «поставщика операционной системы» в законе. Под это исключение попадают дистрибутивы Linux, Debian, Fedora, Ubuntu, Arch, и семейство BSD. Сенат внёс поправки в билль 21 августа и одобрил его 26-го числа 39 голосами против 0, а на следующий день Ассамблея согласовала эти изменения. Теперь законопроект отправлен на подпись губернатору Гэвину Ньюсому, который ранее, в октябре, подписал исходный закон.
Поправка вводит ещё два исключения. Во-первых, из определения «приложения» убрали программные компоненты, которые не продаются потребителю как отдельное исполняемое приложение через магазин приложений, это выводит из-под действия закона библиотеки и зависимости, которые распространяются через пакетные менеджеры вроде apt и pacman. Прямо в тексте AB 1856 не сказано, что репозитории пакетов не считаются магазинами приложений, но, как отмечает издание, главная обязанность магазина по закону, запросить у поставщика операционной системы сигнал о возрасте пользователя и передать его разработчику, а исключённая из-под закона open-source ОС такой сигнал в принципе не выдаёт. Во-вторых, из-под действия закона вывели магазины расширений и дополнений, которые работают только внутри программы-хозяина, это исключает магазины расширений для браузеров. Отдельно поправка убирает из закона прежнее определение термина «пользователь», «ребёнок, являющийся основным пользователем устройства», из-за которого формально каждый владелец устройства в Калифорнии считался ребёнком: вся система сигналов о возрасте построена на том, что взрослые сами указывают свой возраст при настройке аккаунта и их устройства помечаются как принадлежащие лицам от 18 лет, а по старой формулировке взрослым не мог быть помечен никто. Наконец, в закон добавили норму, запрещающую запрашивать сигнал о возрасте у поставщика операционной системы или магазина приложений, если это не требуется законом, это должно закрыть возможность использовать API возрастных сигналов как канал сбора данных без веской причины; платформы и разработчики также получили защиту от ответственности за добросовестные, но ошибочные сигналы о возрасте.
Под действие закона по-прежнему полностью подпадают Windows, macOS, iOS и Android: сбор данных о возрасте при настройке аккаунта станет обязательным с 1 января 2027 года, а для устройств, настроенных до этой даты, с 1 июля 2027 года. Судьба SteamOS остаётся неясной: её основанные на Arch системные компоненты открыты, но Valve поставляет образ системы вместе с закрытым клиентом Steam, и издание прямо называет этот статус неопределённым. GrapheneOS, операционная система с лицензиями MIT и Apache, которая ещё в марте заявляла, что откажется исполнять требования о проверке возраста, благодаря поправке полностью выходит из-под действия калифорнийского закона, хотя на неё по-прежнему распространяется бразильский закон Digital ECA. Автором и первоначального Digital Age Assurance Act, и поправки AB 1856 выступила депутат Ассамблеи Калифорнии Баффи Уикс: она внесла освобождение для open-source ещё в феврале, после критики со стороны разработчиков Linux и правозащитной организации Electronic Frontier Foundation.
Ключевые факты
- Законодательное собрание Калифорнии провело через обе палаты поправку AB 1856, которая выводит операционные системы с лицензиями GPL, MIT, BSD и Apache из-под будущего закона о проверке возраста пользователей, Digital Age Assurance Act, вступающего в силу 1 января 2027 года.
- Сенат одобрил поправленный билль 26 августа 39 голосами против 0, Ассамблея согласовала поправки на следующий день; теперь законопроект отправлен на подпись губернатору Гэвину Ньюсому, который ранее, в октябре, подписал исходный закон.
- Исключение распространяется на дистрибутивы Linux (Debian, Fedora, Ubuntu, Arch), семейство BSD, а также на библиотеки и зависимости, которые устанавливаются через пакетные менеджеры apt и pacman.
- Поправка убирает из закона прежнее определение «пользователя», «ребёнок, являющийся основным пользователем устройства», из-за которого формально каждый владелец устройства в Калифорнии считался ребёнком.
- Windows, macOS, iOS и Android остаются под полным действием закона: сбор данных о возрасте при настройке аккаунта обязателен с 1 января 2027 года, а для уже настроенных устройств, с 1 июля 2027 года; статус SteamOS издание называет неопределённым, а GrapheneOS выходит из-под калифорнийского закона полностью, хотя на неё по-прежнему распространяется бразильский Digital ECA.
Почему это важно
Закон, ради которого писалось это исключение, Digital Age Assurance Act, сделан по образцу платформ вроде Windows или iOS: у операционной системы есть единый поставщик, который может собрать сигнал о возрасте при настройке аккаунта и передать его дальше. У Linux-дистрибутивов и BSD-систем такого единого поставщика нет, распределённые сообщества разработчиков физически не могут встроить подобный механизм в том виде, которого требует закон. Без поправки AB 1856 Debian, Fedora, Ubuntu и Arch формально подпадали бы под те же требования, что и Windows или iOS, уже с 1 января 2027 года. Отдельно поправка чинит более фундаментальную ошибку в тексте исходного закона: старое определение «пользователя» технически объявляло ребёнком каждого владельца устройства в Калифорнии, из-за чего вся схема, «взрослый сам подтверждает возраст при настройке аккаунта», не могла корректно работать ни для кого.
Кому это важно
Разработчикам и пользователям Linux-дистрибутивов и BSD-систем, они получают ясность за несколько месяцев до вступления закона в силу. Проекту GrapheneOS, калифорнийский закон для него закрыт полностью, хотя бразильский Digital ECA по-прежнему действует. Valve, статус SteamOS, где открытые Arch-компоненты идут в комплекте с закрытым клиентом Steam, остаётся неопределённым, и поправка эту неясность не снимает. Организации Electronic Frontier Foundation и разработчикам, чья критика с февраля стояла за внесением исключения, предложенное ими решение в итоге прошло обе палаты законодательного собрания. И, наконец, всем, кто пользуется Windows, macOS, iOS и Android: для них закон не меняется, сбор данных о возрасте при настройке аккаунта остаётся обязательным с 1 января 2027 года.
Как это применить
Если проект распространяется по лицензии GPL, MIT, BSD или Apache и не продаётся как отдельное исполняемое приложение через магазин приложений, он автоматически выходит из-под действия закона, как только поправка вступит в силу, никаких дополнительных действий от разработчиков не требуется. То же касается библиотек и зависимостей, которые устанавливаются через apt, pacman и похожие пакетные менеджеры: закон не считает их приложениями. Новая норма, запрещающая запрашивать сигнал о возрасте без законных на то оснований, ограничивает соблазн превратить эту инфраструктуру в канал сбора данных, а защита добросовестных, но ошибочных сигналов от ответственности снижает юридический риск для платформ и разработчиков, которые такую проверку уже встраивают. А вот гибридным продуктам вроде SteamOS поправка ясности не добавляет: Valve, судя по всему, придётся дожидаться отдельного разъяснения или практики правоприменения, чтобы понять, распространяется ли закон на её продукт.
Можно ли доверять
Материал вышел на Tom's Hardware за авторством Люка Джеймса, внештатного журналиста, который, по собственному описанию, специализируется на юридических и регуляторных темах в технологиях. Он опирается на формулировки самого текста поправки, определения «поставщика операционной системы» и «пользователя», приводит точный результат голосования Сената (39 против 0) и там, где ясности нет, прямо говорит об этом, а не додумывает: например, статус SteamOS называет неопределённым. Ключевые факты, номер билля AB 1856, даты чтений, имена Баффи Уикс и Гэвина Ньюсома, можно сверить по официальным записям законодательного собрания Калифорнии. Слабое место источника, он нигде не указывает год для августовских, февральских, мартовских и октябрьских событий и не утверждает, что Ньюсом уже подписал именно AB 1856: только что билль ему отправлен, а исходный закон он подписал раньше, в октябре. Обсуждение на Hacker News на момент сбора совсем свежее, 24 балла и 1 комментарий, так что независимой проверки сообществом здесь по сути ещё не было.
Риски и подводные камни
Формально исключение ещё не стало законом: Ньюсом только получил AB 1856 на подпись, и хотя он уже подписал исходный Digital Age Assurance Act, а поправка прошла обе палаты без единого голоса против, вето на этом этапе, строго говоря, не исключено. Ряд пограничных случаев поправка не закрывает: сама статья прямо называет статус SteamOS неопределённым, гибрид открытых Arch-компонентов и закрытого клиента Steam может стать предметом спора уже после того, как закон вступит в силу. Логика «репозитории пакетов, не магазины приложений» в тексте AB 1856 явно не прописана: это вывод самого издания из того, как устроены обязанности магазинов по закону, правоприменение или суд впоследствии могут прочитать формулировку иначе. Наконец, исключение, сугубо калифорнийское: GrapheneOS выходит из-под этого закона полностью, но на неё по-прежнему действует бразильский Digital ECA, то есть международным open-source проектам придётся отдельно отслеживать подобные требования в каждой юрисдикции, калифорнийская поправка эту картину не упрощает.
«ребёнок, являющийся основным пользователем устройства»
— исходное, до поправки AB 1856, определение термина «пользователь» в тексте калифорнийского закона Digital Age Assurance Act