Каліфорнійський закон про соцмережі для дітей до 16 років перевіряє ваш телефон, а не місцезнаходження: що AB 1709 і AB 1856 означають для користувачів VPN

10 вересня губернатор Гевін Ньюсом підписав тринадцять законопроєктів про безпеку дітей за один раз. Той, що потрапив в усі заголовки, це AB 1709, який забороняє соціальним платформам надавати «адиктивні функції» будь-кому до 16 років у Каліфорнії. Той, про який майже ніхто не написав, це AB 1856, і саме він вирішує, як платформа взагалі дізнається вік користувача.

Саме в цьому другому питанні ця історія стосується користувачів VPN. Останні три роки привчили інтернет очікувати певної послідовності: законодавчий орган ухвалює закон про перевірку віку, сайти починають вимагати документ або сканування обличчя, і попит на VPN стрибає за лічені години. Так було в Юті у 2023 році, у Франції в червні 2025 року, у Великій Британії того ж липня і в Австралії в грудні. Тож рефлекс у четвер увечері був передбачуваним: каліфорнійська заборона наближається, час завести VPN.

Каліфорнійська система працює інакше. Її перевірка віку не вимагає документа і не цікавиться тим, де ви перебуваєте. Вона запитує телефон. Ось що роблять два законопроєкти, як формується віковий сигнал, чому VPN не змінює жодного з його вхідних даних і що закон означає для того, хто вже користується VPN.

Що Каліфорнія підписала 10 вересня 2026 року?

Офіс губернатора перелічує тринадцять законопроєктів, підписаних того дня в окрузі Марін: від правил щодо чат-ботів-компаньйонів для дітей (SB 1119, «Закон Адама») до заборони чат-ботів в іграшках (SB 867). «Безпека наших дітей заслуговує бути в центрі кожної розмови про технології», сказав Ньюсом у пресрелізі.

Два з тринадцяти важливі тут.

AB 1709, авторства члена Асамблеї Джоша Ловенталя з Лонг-Біч, має назву «Охоплені платформи: вікове обмеження: Консультативна комісія з електронної безпеки». Це і є правило для дітей до 16 років, і обидві палати схвалили його 31 серпня.

AB 1856, авторства члена Асамблеї Баффі Вікс з Окленда, має назву «Сигнали перевірки віку: програмні застосунки». Він вносить зміни до Digital Age Assurance Act (закону про цифрове підтвердження віку), який Вікс написала торік (AB 1043, підписаний 13 жовтня 2025 року) і який перетворює операційну систему телефону на джерело істини про вік користувача. AB 1709 прямо посилається на цей закон, тому два законопроєкти треба читати разом.

Що забороняє AB 1709?

Ключове речення в ухваленому тексті коротке: «Охоплена платформа не повинна надавати адиктивну функцію користувачу, якому не виповнилося 16 років».

Адиктивна функція визначається як будь-яка з «психологічно експлуатаційних функцій, призначених максимізувати залучення, які передбачувано ведуть до компульсивного використання», і законопроєкт називає дві: адиктивну стрічку та автовідтворення. Генеральний прокурор може додати інші своїм регламентом. Охоплена платформа, це будь-який сайт, сервіс або застосунок, який «пропонує або надає користувачам адиктивну функцію як значну частину сервісу», за винятком торговельних сайтів і хмарних сховищ.

На перший погляд це не заборона облікових записів. Платформа може й далі показувати неповнолітньому версію без адиктивних функцій. Зуби законопроєкту з’являються тоді, коли вона цього не робить: платформа, яка не може або не хоче пропонувати таку версію, мусить «видалити обліковий запис користувача, якому не виповнилося 16 років, і всі пов’язані з ним персональні дані». Electronic Frontier Foundation, яка просила Ньюсома накласти вето, називає результат «фактичною забороною користування соцмережами для осіб до 16 років». Ньюсом у день підписання подав це інакше, сказавши Los Angeles Times, що «йдеться про самі функції. Йдеться про реальне розв’язання проблеми: прокручування, алгоритми».

Санкції лягають на платформу. Свідоме порушення коштує до $50,000 за кожного постраждалого неповнолітнього; порушення з недбалості до $25,000. Позов може подати лише генеральний прокурор або місцевий прокурор, а суд «повинен врахувати розмір охопленої платформи, тяжкість і тривалість порушення» та її добросовісні зусилля виконати закон. Законопроєкт також створює Консультативну комісію з електронної безпеки із семи членів при Департаменті юстиції, яка щороку в січні звітує перед Законодавчими зборами.

Текст не встановлює власної дати набуття чинності. За стандартним правилом Каліфорнії для законів, ухвалених на черговій сесії, це означає 1 січня 2027 року, і саме того дня вмикається віковий сигнал, від якого залежить законопроєкт.

Як платформа дізнається, що користувачу немає 16?

Одне речення відрізняє Каліфорнію від усіх інших чинних законів про перевірку віку: «Перш ніж надати користувачу адиктивну функцію, охоплена платформа повинна перевірити вік користувача відповідно до Digital Age Assurance Act».

Не скануванням посвідчення. Не оцінкою віку за селфі. Не читанням IP-адреси. А запитом до операційної системи.

Аналіз AB 1856 від Комітету Асамблеї з питань приватності викладає механізм, який уже міститься в законі. Постачальник операційної системи, тобто на практиці Apple, Google або Microsoft, повинен показати під час налаштування облікового запису інтерфейс, «який вимагає від власника облікового запису вказати дату народження, вік або і те, і інше для користувача цього пристрою». З цього запису ОС виводить «дані вікової категорії», визначені як «неперсоніфіковані дані, отримані з дати народження або віку користувача», у чотирьох діапазонах: до 13, від 13 до 16, від 16 до 18 і 18 або старше. Коли застосунок завантажують і запускають, він повинен запросити сигнал, який надходить «через достатньо стабільний інтерфейс прикладного програмування в реальному часі». Розробник, який отримує сигнал, «вважається таким, що фактично знає віковий діапазон користувача», і мусить трактувати його як основний показник віку, якщо не має чітких і переконливих відомостей про протилежне.

Комітет незвично відверто пояснює, чому Каліфорнія пішла цим шляхом. Перевірка документів, пише він, вимагає від «користувачів передавати чутливі документи, що посвідчують особу, потенційно десяткам платформ, створюючи серйозні ризики для приватності та безпеки даних», тоді як біометричні та поведінкові методи «потребують масштабного збору даних» і «працюють ненадійно саме на тих вікових межах, які важать найбільше». Категорія, задекларована під час налаштування, є компромісом: один запис, зроблений один раз дорослим, який налаштовував телефон, і переданий як діапазон, а не як дата.

AB 1856 підтягує механіку. Згідно з оглядом Законодавчого радника, він вилучає визначення, яке обмежувало «користувача» дитиною, що є основним користувачем пристрою; застосовує обов’язок щодо інтерфейсу лише «якщо операційна система працює на пристрої і має функцію налаштування облікового запису»; вимагає, щоб сигнал доходив і до магазинів застосунків, і до розробників; і додає заборону, якої раніше не було: «Особа не повинна запитувати сигнал щодо конкретного користувача в постачальника операційної системи або охопленого магазину застосунків, якщо цього не вимагає цей розділ або інший застосовний закон». Розповсюджувачі операційних систем з відкритим кодом виведені з-під дії після того, як проєкти на кшталт GrapheneOS публічно заявили, що не будуватимуть такий інтерфейс. Графік не змінився: операційні системи мають передавати сигнали з 1 січня 2027 року, пристрої, налаштовані до цієї дати, отримують інтерфейс до 1 липня 2027 року, а розробники мають запитувати сигнали до того ж липневого строку.

Apple і Google випереджають закон. Apple Declared Age Range API, який з’явився з iOS 26 у вересні 2025 року, повертає «віковий діапазон або вікову категорію, залежно від правових вимог у регіоні» разом із тим, як цей вік було встановлено: задекларовано самостійно, задекларовано опікуном, звірено з державним посвідченням, звірено з платіжною карткою. Google Play Age Signals API повертає 0-12, 13-15, 16-17 або 18+ із рівнем джерела від «задекларовано самостійно» до «державне посвідчення і селфі», і 29 липня 2026 року Google оголосив, що відкриває його для всіх розробників Play у світі.

Ще одне положення важливе для подальшого. Якщо платформа «не може перевірити вік користувача» через цей закон, AB 1709 відсилає її до методу визначення віку із закону 2024 року Protecting Our Kids from Social Media Addiction Act (SB 976), положення якого про підтвердження віку теж починає діяти 1 січня 2027 року, а методи встановлює генеральний прокурор своїм регламентом. Сесія в настільному браузері без сигналу ОС є очевидним прикладом. Цей запасний шлях, це єдине місце, де в картину може потрапити документ або оцінка, і що саме він вимагатиме, ще не написано.

Юта запитує, де ви. Каліфорнія запитує, скільки вам років.

VPN потрапили в розмову про перевірку віку через закон іншого типу. SB 73 штату Юта, який ми розбирали, коли заголовки «набуває чинності 3 вересня» виявилися хибними, побудований на місцезнаходженні. Його положення про презумоване місцезнаходження каже, що особа «вважається такою, що отримує доступ до сайту з цього штату, якщо особа фактично перебуває на території штату, незалежно від того, чи використовує особа віртуальну приватну мережу, проксі-сервер або інші засоби, щоб приховати або спотворити географічне розташування особи…». Сайт після цього мусить перевірити вік такого відвідувача. Уся конструкція залежить від знання того, де ви перебуваєте. Це єдине, що змінює VPN, тому запропоноване правило Юти тепер має розділ про «приховування геолокації» і тому Aylo подала позов.

Два каліфорнійські законопроєкти не містять нічого подібного. AB 1709 не згадує ні місцезнаходження, ні IP-адреси, ні VPN. AB 1856 теж. У праві США тепер є три різні моделі, і вони ставляться до VPN дуже по-різному:

Рядок, який варто запам’ятати: віковий сигнал є твердженням про те, хто налаштував телефон. VPN є твердженням про те, де телефон нібито перебуває. Ці двоє ніколи не перетинаються.

Чи дозволяє VPN обійти каліфорнійське правило для дітей до 16 років?

Ні, і він для цього не створений.

VPN робить дві речі. Він замінює IP-адресу, яку бачать сайти й застосунки, адресою VPN-сервера, тож інша сторона бачить Париж або Франкфурт замість вашого домашнього підключення. І він шифрує все між вашим пристроєм і цим сервером, тож роутер у кав’ярні та ваш інтернет-провайдер бачать зашифрований тунель замість вашого трафіку. Обидві корисні. Жодна не дотягується до вікової категорії, збереженої в обліковому записі Apple або Google на пристрої, чи до API на пристрої, який передає цю категорію застосунку. П’ятнадцятирічний підліток, чий батько чи мати ввели дату народження 2011 року під час налаштування, носить категорію від 13 до 16 і в мережі Wi-Fi у Лос-Анджелесі, і на VPN-сервері в Амстердамі.

Місцезнаходження таки входить у гру в одному місці, і варто точно сказати, де саме. AB 1709 захищає користувачів у Каліфорнії, а його текст не приписує, як платформа має вирішувати, що користувач є одним із них. На практиці виробники прив’язали поведінку для конкретних штатів до облікового запису, а не до мережі в цей момент: Apple застосувала вимоги Техасу до «нових облікових записів Apple у Техасі» з 1 січня 2026 року, а Google до техаських облікових записів, створених після 28 травня 2026 року. Обліковий запис, налаштований у Каліфорнії з датою народження неповнолітнього, вважатиметься обліковим записом каліфорнійського неповнолітнього, звідки б телефон не підключався.

Два застереження, бо охайна версія вище їх приховує. Запасний шлях існує, і поки генеральний прокурор не напише регламент за SB 976, ніхто не може сказати, чого вимагатиме платформа, яка не отримала сигналу. І кожна модель у таблиці вище, включно з каліфорнійською, залежить від правдивості того, що ввели під час налаштування: пристрій, налаштований із датою народження дорослого, носить категорію дорослого, і аналіз комітету визнає: просте прохання назвати дату народження нікого не обтяжує, але й не перевіряє нічого, що неповнолітній не готовий підтвердити чесно. Ставка Каліфорнії на те, що дату під час налаштування вводить батько чи мати, а не дитина.

Чого не робить жодна модель у таблиці, так це не карає користувача. Ніщо в AB 1709 чи AB 1856 не штрафує особу за використання VPN із будь-якою метою. Це було правдою і для закону Юти, попри заголовки, і це правда тут. Наш путівник 2026 року про те, де VPN законні, охоплює ту жменьку країн, де відповідь інша.

Що сталося у Великій Британії, Австралії та Франції, коли з'явилися перевірки віку?

Каліфорнія тут запізнилася. Три юрисдикції, які пішли першими, випробували кожна свою конструкцію, і кожна дала цифри.

Велика Британія обрала модель сайту. З 25 липня 2025 року Online Safety Act зобов’язав сайти з дорослим та іншим контентом з віковими обмеженнями проводити «високоефективне підтвердження віку», тобто звірку з фото на посвідченні, оцінку віку за обличчям або подібне, на самому сайті. Трекер попиту Top10VPN зафіксував попит на VPN у Великій Британії на 1 327% вище за попереднє 28-денне середнє 25 липня, на 1 712% вище 26 липня і на 1 987% вище 27 липня. Через рік перший передбачений законом звіт Ofcom про підтвердження віку, опублікований у середині липня 2026 року, нарахував понад 69 мільйонів перевірок віку на вибірці з 32 сервісів у другій половині 2025 року, тобто у 23 рази більше, ніж за попередні шість місяців, і повідомив, що частка дітей, які стикалися з високоефективною перевіркою, зросла з 25% до 43% між липнем 2025 року та січнем 2026 року. Перевірки працюють; перевірки також женуть людей до VPN. Правдою є і те, і інше, і британський ринок VPN відтоді виглядає інакше.

Австралія обрала обов’язок платформи без приписаного методу. Її мінімальний вік 16 років набув чинності 10 грудня 2025 року і вимагає від платформ вживати «розумних заходів», щоб не пускати дітей до 16, зі штрафами до A$49,5 млн і без санкцій для дітей чи батьків. 16 січня 2026 року eSafety повідомила, що платформи закрили доступ до 4,7 мільйона облікових записів користувачів до 16 років до середини грудня; Meta каже, що лише вона закрила доступ до понад 750 000 облікових записів Facebook та Instagram до 30 червня 2026 року. Top10VPN зафіксував стрибок попиту на 103% 7 грудня. Вердикт Ньюсома щодо австралійського підходу, за Los Angeles Times, був таким: молодь «уся шукає спосіб обдурити цю систему», і це аргумент на користь націлювання на функції, а не на облікові записи.

Франція обрала заборону для дітей до 15 років, і її найвищий суд її скасував. 14 серпня 2026 року Конституційна рада своїм рішенням 2026-911 DC визнала неконституційною статтю 1 закону, який мав заборонити дітям до 15 років соцмережі з 1 вересня. Заборона є непропорційним обмеженням свободи вираження, постановив суд, і вона порушує приватність, бо закон «сам по собі передбачає, що кожна особа, навіть повнолітня, доводить свій вік», без того, щоб законодавець встановив умови та межі для цього. Уряд тепер планує переписати текст до весни 2027 року. Франція вже бачила, що перевірки на рівні сайту роблять із попитом на VPN: Top10VPN зафіксував попит на 570% вище норми 5 червня 2025 року, коли перевірка віку прийшла на сайти для дорослих. EFF послалася на французьке рішення в заяві, яку опублікувала того дня, коли Каліфорнія підписала закон.

Закономірність підтверджується в усіх трьох випадках. Сплеск VPN іде за законами, які змушують сайт перевіряти документ. Каліфорнійська конструкція уникає документа, а це те саме заперечення, яке висунув французький суд, і уникає місцезнаходження, а саме воно робить VPN релевантним у Юті. Чи уникне вона також і сплеску, це питання для січня 2027 року, а не для вересня 2026.

Коли все це починається?

• 10 вересня 2026 року: підписано AB 1709 і AB 1856.
• 22 жовтня 2026 року: завершується період незастосування закону Юти проти Aylo, якщо суддя не ухвалить рішення про попередню заборону раніше.
• 1 січня 2027 року: AB 1709 набуває чинності. Постачальники операційних систем мають почати передавати вікові сигнали за Digital Age Assurance Act. Починає діяти положення SB 976 про підтвердження віку.
• 1 липня 2027 року: строк для вікового інтерфейсу на пристроях, налаштованих до 2027 року, і для розробників застосунків, оновлених із січня 2026 року, щоб запитувати сигнали.
• Весна 2027 року: ціль французького уряду для переписаного закону про дітей до 15 років.
• Судові дати: поки жодних. Реакція NetChoice на підписання, «штат не може просто назвати висловлювання адиктивним і потім заявляти про право регулювати доступ до нього», читається як чернетка позову. Дев'ятий окружний суд у вересні 2025 року залишив більшу частину SB 976 у силі; техаський закон про магазини застосунків дожив до відмови Верховного суду втручатися. Очікуйте судових процесів і очікуйте, що першою мішенню стануть саме наведені вище дати.

Що це означає, якщо ви користуєтеся VPN у Каліфорнії

Для дорослого нічого не змінюється. Ваш обліковий запис несе категорію дорослого; застосунки читатимуть її з січня і ставитимуться до вас так само, як сьогодні. Ваш VPN далі робить те, за що ви його купили: тримає вашу IP-адресу поза журналами кожного сайту, шифрує ваш трафік у мережах готелів та аеропортів і дає доступ до домашніх сервісів у подорожі. Якщо все це для вас нове, наш путівник із використання VPN у США, це місце, з якого варто почати; тарифи Le VPN покривають 10 пристроїв одночасно і мають 30-денну гарантію повернення коштів.

Якщо ви батько чи мати, захист вашої дитини за цим законом тепер спирається на один запис: дату народження, яку ви вводите, налаштовуючи її телефон. Введіть свою, і пристрій казатиме кожному застосунку, що належить дорослому. Введіть її дату, і категорія піде за телефоном. Саме це одне поле, а не сторінка налаштувань якогось застосунку, є місцем, де починається каліфорнійське правило. Варто до січня ширше поглянути на те, як налаштовуються дитячі пристрої.