Kinderen online: het voorstel voor een EU KIDS Act en leeftijdsverificatie

Het juridisch kader

Drie teksten zijn van belang voor online diensten die kinderen in de EU bereiken.

• De Digital Services Act (DSA), Verordening (EU) 2022/2065, is van toepassing sinds 17 februari 2024. Artikel 28 is vandaag de regel over de online bescherming van minderjarigen.
• Aanbeveling (EU) 2026/1035 van de Commissie van 29 april 2026 legt een gemeenschappelijk kader vast voor technologieën voor leeftijdsverificatie in de hele EU. Ze bindt ondernemingen niet.
• De EU KIDS Act ("EU Keeping Internet Digital Spaces Accountable and Trustworthy") is een voorstel voor een verordening, COM(2026) 681 final van 17 september 2026, procedure 2026/0286(COD). Het Parlement kondigde de verwijzing naar de commissie aan op 22 oktober 2026; het dossier wacht op een beslissing van die commissie. Het voorstel bindt nog niemand en de tekst kan nog wijzigen.

Wat vandaag geldt: artikel 28 DSA

Aanbieders van onlineplatformen die toegankelijk zijn voor minderjarigen moeten passende en evenredige maatregelen nemen om een hoog niveau van privacy, veiligheid en beveiliging van minderjarigen op hun dienst te waarborgen (artikel 28, lid 1). Ze mogen geen reclame tonen op basis van profilering met persoonsgegevens van een gebruiker als ze met redelijke zekerheid weten dat die gebruiker minderjarig is (artikel 28, lid 2). De DSA verplicht hen niet om extra persoonsgegevens te verwerken om na te gaan of iemand minderjarig is (artikel 28, lid 3). De Commissie kan richtsnoeren uitvaardigen over lid 1 (artikel 28, lid 4), en dat heeft ze gedaan. Volgens de overwegingen van Aanbeveling 2026/1035 verwachten die richtsnoeren leeftijdsverificatie op platformen met een hoog risico, zoals pornografie en gokken, en waar Europees of nationaal recht een minimumleeftijd oplegt.

Artikel 28 staat in afdeling 3 van hoofdstuk III. Volgens artikel 19 geldt die afdeling niet voor onlineplatformen die een micro- of kleine onderneming zijn, tenzij ze als zeer groot onlineplatform zijn aangewezen.

De aanbeveling over leeftijdsverificatie

Aanbeveling 2026/1035 wil dat alle EU-burgers tegen eind 2026 toegang hebben tot privacyvriendelijke digitale technologie om hun leeftijd te bewijzen (punt 1). Ze richt zich tot de lidstaten. De Commissie beveelt aan dat elke lidstaat tegen 31 december 2026 een Europese oplossing voor leeftijdsverificatie beschikbaar stelt, geïntegreerd in de Europese digitale-identiteitsportemonnee, als losse app, of allebei (punt 5). De lidstaten moesten tegen 30 juni 2026 een uitvoeringsplan indienen (punt 5, a). Ze worden aangemoedigd om leeftijdsattestaties in te voeren en methodes voor leeftijdsverificatie op te leggen die beantwoorden aan de EU-regeling voor leeftijdsverificatie (punt 10). Een leeftijdsattestatie is een elektronische attestatie van attributen in de zin van de eIDAS-verordening, die alleen aantoont dat de houder een bepaalde leeftijdsgrens haalt (punt 4, i).

Het KIDS-voorstel: wie valt eronder

Het voorstel zou gelden voor aanbieders van diensten die toegankelijk zijn voor minderjarigen, in zeven groepen (artikel 2, lid 1): onlinesocialenetwerkdiensten, videoplatformdiensten, appwinkels, onlinegames, besturingssystemen, AI-companions en algemene conversationele chatbots. Een minderjarige is iedereen jonger dan 18 (artikel 3, lid 5, a). Diensten aan gebruikers in de EU vallen eronder, waar de aanbieder ook gevestigd is (artikel 2, leden 2 en 3). Uitgesloten zijn onder meer encyclopedieën en archieven zonder winstoogmerk, educatieve diensten van onderwijsinstellingen, platformen voor de ontwikkeling van opensourcesoftware en systemen uitsluitend voor onderzoek (artikel 2, lid 4).

De meeste definities van diensten komen uit de Digital Markets Act (artikel 3, leden 2 en 4). Een AI-companion is een AI-systeem dat langdurige, gepersonaliseerde interactie biedt die een sociale, emotionele of persoonlijke relatie nabootst (artikel 3, lid 5, c). Een algemene conversationele chatbot is een AI-systeem voor algemene doeleinden dat over veel domeinen kan converseren. Chatbots voor één specifieke taak, zoals klantenservice, technische ondersteuning of transacties, vallen erbuiten (artikel 3, lid 5, d).

De plichten in het voorstel, artikel per artikel

• Minimumleeftijd van 15 jaar (artikel 6). Sociale netwerken en videoplatformen mogen iemand jonger dan 15 geen account laten aanmaken of gebruiken als de dienst een risico inhoudt voor minderjarigen. De tekst somt de kenmerken op die zo'n risico vormen: livestreams naar een onbepaald publiek, contact met onbekenden, aanbevelingssystemen op basis van profilering of die onbekende contacten voorstellen, en functies voor eindeloos scrollen, interactie of meldingen die tot gebruik aanzetten (artikel 6, lid 1). Ouders of voogden mogen voor een kind van 13 of 14 een beperkt account openen, met ouderlijk toezicht altijd aan, een daglimiet van hoogstens één uur en voorafgaande goedkeuring van contacten (artikel 6, lid 2). Binnen zes maanden nadat de verordening van toepassing wordt, moeten aanbieders nagaan of bestaande accounthouders jonger zijn dan 15 en die accounts uitschakelen, net als accounts waarvan de leeftijd niet vast te stellen is (artikel 6, lid 4).
• Veilig ontwerp (artikel 8). Sociale netwerken, videoplatformen, onlinegames, AI-companions, chatbots en appwinkels ontwerpen hun dienst standaard voor minderjarigen. Ze mogen daar pas van afwijken als leeftijdscontrole aantoont dat de gebruiker volwassen is.
• Verslavend ontwerp (artikel 9). Geen ontwerp dat bedoeld is of redelijkerwijs zal leiden tot dwangmatig of overmatig gebruik door minderjarigen. Automatisch afspelen zonder echte pauzes, meldingen die niet uitgaan van de activiteit van de minderjarige, beloningen voor livestreams en straffen voor wie niet regelmatig terugkomt gelden als zulk ontwerp. Aanbieders voorzien tijdslimieten en onderbrekingen die schooltijd en nachtrust beschermen.
• Aanbevelingssystemen (artikel 10). Aanbevelingen op basis van impliciete signalen uit het gedrag van minderjarigen staan standaard uit, en minderjarigen moeten een optie kunnen kiezen die niet op profilering steunt.
• Veilige instellingen (artikel 11). Locatie, microfoon en camera, voorgestelde accounts en pushmeldingen staan standaard uit. De aanbieder mag dat alleen wijzigen voor een minderjarige ouder dan 15 die duidelijk is geïnformeerd en uitdrukkelijk heeft ingestemd. Functies die sociale vergelijking aanwakkeren of het uiterlijk van een minderjarige verfraaien of idealiseren, zijn voor minderjarigen niet beschikbaar.
• Contacten (artikel 12). Geen rechtstreeks contact zonder voorafgaande goedkeuring van de minderjarige, geen opname in contactsuggesties, standaard een afgeschermd profiel en standaard geen livestreams door minderjarigen.
• Uitgaven (artikel 13). Een minderjarige moet op het moment zelf merken dat het om een aankoop gaat, en prijzen in virtuele munt tonen de waarde in de lokale munt. Minderjarigen mogen niet blootgesteld worden aan systemen met wisselende beloningen.
• AI-companions en chatbots (artikel 14). Geen functies die een relatie nabootsen en emotionele afhankelijkheid kunnen veroorzaken, veilige standaardinstellingen, tests voor het systeem op de markt komt en monitoring daarna (die monitoring geldt niet voor micro- en kleine ondernemingen). Een chatbot in een sociaal netwerk of game mag niet automatisch aanspringen en minderjarigen moeten zich eenvoudig kunnen afmelden.
• Onlinegames en appwinkels (artikelen 15 en 16). Games passen de regels toe over dwangmatig gebruik, instellingen en contacten, en bieden ouderlijk toezicht. Appwinkels werken met een leeftijdsclassificatie, weigeren apps die niet passen bij de leeftijd van de gebruiker en laten de Europese oplossing voor leeftijdsverificatie toe in hun winkel.
• Melden en ouderlijk toezicht (artikelen 18 tot 20). Kindvriendelijke instellingen en meldingen die voorrang krijgen, en hulpmiddelen voor ouders en voogden.

Leeftijdscontrole in het voorstel

Leeftijdscontrole moet nauwkeurig, betrouwbaar, veilig, weinig ingrijpend, privacyvriendelijk en niet-discriminerend zijn (artikel 27). Ze mag de gebruiker niet identificeren, lokaliseren, volgen, targeten of profileren, en elke maatregel moet werken met een zero-knowledge proof (artikel 28). Voor de minimumleeftijd van 15 moeten aanbieders uitsluitend een gecertificeerde Europese oplossing voor leeftijdsverificatie gebruiken, met een Europese leeftijdsattestatie van een derde (artikel 29, lid 2). Europese digitale-identiteitsportemonnees die aan de regeling voldoen, gelden als gecertificeerd (artikel 29, lid 3). Voor de plichten rond veilig ontwerp en voor appwinkels mogen andere methodes, zolang ze aan de artikelen 27 en 28 voldoen (artikel 29, lid 4). Gebruikers moeten klacht kunnen indienen tegen een verkeerd resultaat (artikel 29, lid 5). Elke lidstaat stelt minstens één Europese oplossing voor leeftijdsverificatie gratis ter beschikking (artikel 31, lid 5).

Handhaving en data

Sociale netwerken, videoplatformen, gamingplatformen en appwinkels zouden onder toezicht staan volgens hoofdstuk IV van de DSA. AI-companions en chatbots vallen onder het toezicht van de AI-verordening, met boetes tot 6% van de wereldwijde jaaromzet als de aanbieder opzettelijk of nalatig handelde (artikel 34, leden 1 en 2). De gegevensbeschermingsautoriteiten zouden toezien op de regels over leeftijdscontrole (artikel 34, lid 6). Sociale netwerken en videoplatformen die als zeer groot onlineplatform zijn aangewezen, zouden een nalevingsplan bij de Commissie moeten indienen en het laten auditen (artikel 5). De verordening zou in werking treden twintig dagen na de bekendmaking en zes maanden later van toepassing worden. Artikel 5 zou gelden vanaf de inwerkingtreding, de artikelen 33 en 35 twaalf maanden daarna (artikel 43). Artikel 41 zou de handeling toevoegen aan de bijlage van de Richtlijn representatieve vorderingen (EU) 2020/1828.

In de praktijk

Een video-app met reacties, livestreams en een algoritmische feed beantwoordt aan de risicokenmerken van artikel 6, lid 1. Volgens het voorstel zou die app met een gecertificeerde Europese oplossing moeten nagaan of nieuwe gebruikers minstens 15 zijn, binnen zes maanden na de toepassing dezelfde controle doen voor bestaande accounts, en de standaardinstellingen aanpassen voor elke gebruiker van wie niet vaststaat dat hij volwassen is. Vandaag moet die app op grond van artikel 28 DSA al evenredige maatregelen nemen, en mag ze geen geprofileerde reclame tonen aan gebruikers van wie ze weet dat ze minderjarig zijn.

Een bedrijf dat een algemene chatbot in zijn consumentenapp inbouwt, zou onder artikel 14 vallen. Een chatbot die alleen klantenvragen beantwoordt niet, want artikel 3, lid 5, d sluit die uit.

Contracten en praktische stappen

• Breng je dienst in kaart. Ga na onder welke van de zeven groepen van artikel 2, lid 1 je valt en welke functies artikel 6, lid 1 raken.
• Kijk naar je leeftijdsgegevens. Gegevens uit leeftijdscontrole mogen niet hergebruikt worden voor profilering of reclame (artikel 28 van het voorstel), en de AVG geldt ernaast. Een gegevensbeschermingseffectbeoordeling is de logische plek om dat vast te leggen.
• Herbekijk je leverancierscontracten. Leveranciers van leeftijdsverificatie, chatbots en analyse verwerken voor jou gegevens van minderjarigen. Hun contract regelt dataminimalisatie, geen hergebruik, de certificering, auditrechten en medewerking bij klachten op grond van artikel 29, lid 5.
• Denk aan appwinkels en besturingssystemen. Het voorstel verplicht appwinkels om de leeftijd van hun gebruikers na te gaan (artikel 16, lid 4) en besturingssystemen om met toestemming van de gebruiker een leeftijdssignaal te delen (artikel 29, lid 6). Ga na wat je distributiepartners van je zullen vragen.
• Pak de huidige regels aan. Artikel 28 DSA geldt al; het voorstel zit nog in de commissiefase.

Veelgestelde vragen

Geldt de KIDS Act vandaag al?

Nee. Het is een voorstel. Vandaag gelden voor onlineplatformen de DSA, met name artikel 28, en daarnaast de AVG, het consumentenrecht en nationale regels.

Volstaat een zelf opgegeven geboortedatum?

Volgens het voorstel niet. De definitie van leeftijdscontrole sluit zelfverklaring uit (artikel 3, lid 5, i), en voor de minimumleeftijd van 15 is een gecertificeerde Europese oplossing nodig. Een verklaring van een ouder over het ouderlijk gezag wordt aanvaard minstens tot de Commissie andere signalen vastlegt (artikel 26, lid 1, c).

Zijn kleine ondernemingen vrijgesteld?

Artikel 28 DSA geldt niet voor micro- en kleine onlineplatformen (artikel 19 DSA). Het KIDS-voorstel kent geen algemene vrijstelling voor kleine aanbieders. Alleen de monitoring na het op de markt brengen van AI-companions en chatbots geldt niet voor micro- en kleine ondernemingen (artikel 14, lid 1, f).

Hoe dit samenhangt

Leeftijdscontrole en standaardinstellingen raken aan de regels over cookietoestemming en de technische audit van je website. De consumentenkant, met misleidend ontwerp en uitgaven door minderjarigen, staat in de Digital Fairness Act in detail, en de portemonnee die een leeftijdsbewijs kan bevatten, leggen we uit in de Europese digitale-identiteitsportemonnee. De privacykant documenteren we met onze externe functionaris voor gegevensbescherming en een effectbeoordeling gegevensbescherming. Contracten voor leeftijdsverificatie en platformen lezen we na binnen commerciële contracten en transacties, met Contractreview voor de controle clausule per clausule.

Aangehaalde bepalingen. DSA (Verordening (EU) 2022/2065): artikelen 19 en 28. Aanbeveling (EU) 2026/1035: punten 1, 4, 5 en 10. Voorstel EU KIDS Act, COM(2026) 681: artikelen 2, 3, 5, 6, 8 tot 16, 18 tot 20, 26 tot 29, 31, 34, 41 en 43.

Belangrijke data. 17 februari 2024: de DSA volledig van toepassing. 29 april 2026: Aanbeveling 2026/1035. 17 september 2026: voorstel voor de KIDS Act bekendgemaakt. 22 oktober 2026: verwijzing naar de parlementaire commissie aangekondigd. 31 december 2026: aanbevolen datum voor een Europese oplossing voor leeftijdsverificatie in elke lidstaat. KIDS Act: zou van toepassing worden zes maanden na de inwerkingtreding.

Verder lezen. Een platform of marktplaats uitbaten onder de DSA, de Digital Fairness Act in detail, de Europese digitale-identiteitsportemonnee, cookies en toestemmingsbeheer, technische audits van websites en de AVG.