← Wetten & regels

Online Safety Act

Het Verenigd Koninkrijk koos een andere route dan de EU. In plaats van regels te schrijven voor de grootste platforms, schreef het plichten voor bijna elke dienst waar mensen iets aan elkaar kunnen plaatsen — en legde die bij één toezichthouder met de bevoegdheid om te beboeten.

Hoe je deze pagina leest. Tik op een onderstreept woord om de exacte juridische term en een korte uitleg te zien. Open een "Dieper"-vak voor de details en de punten die ter discussie staan. De hoofdtekst werkt op zichzelf — sla beide over en je krijgt nog steeds het hele verhaal.

Wat de wet is

De Online Safety Act 2023 kreeg op 26 oktober 2023 koninklijke goedkeuring. De officiële omschrijving is bescheiden: een wet "om te voorzien in, en in verband met, de regulering door OFCOM van bepaalde internetdiensten". Wat de wet verandert, is de vraag die wordt gesteld. Daarvóór liep een dienst in het Verenigd Koninkrijk vooral juridisch risico over afzonderlijke stukken content, zodra iemand hem daarop had gewezen. De wet legt in plaats daarvan een zorgplicht bij de dienst zelf — bij zijn systemen, zijn processen en zijn ontwerp. Ofcom, de toezichthouder voor communicatie, schrijft de praktijkcodes en handhaaft ze.

De wet reikt verder dan je van een Britse wet zou verwachten. Onder section 4 valt een dienst eronder als die "banden heeft met het Verenigd Koninkrijk" — een aanzienlijk aantal Britse gebruikers, Britse gebruikers als een van de doelmarkten, of eenvoudigweg bruikbaar zijn in het Verenigd Koninkrijk terwijl er redelijke gronden zijn om aan te nemen dat de dienst een wezenlijk risico op ernstige schade meebrengt. Waar het bedrijf is ingeschreven, is niet doorslaggevend.

Wat de wet eist

Drie lagen, die na elkaar kwamen.

Illegale content. Elke gereguleerde dienst waar gebruikers elkaar bereiken, en elke gereguleerde zoekdienst, moet inschatten hoe groot het risico is dat gebruikers illegale content tegenkomen — een lijst die loopt van terrorisme en beeldmateriaal van seksueel kindermisbruik tot fraude en content die zelfdoding aanmoedigt of daarbij helpt — en moet met evenredige systemen voorkomen dat die content verschijnt, beperken hoe lang die blijft staan, en die weghalen zodra de dienst ervan weet. Ofcom publiceerde deze codes op 16 december 2024; de risicobeoordelingen moesten op 16 maart 2025 klaar zijn en de plichten gingen in op 17 maart 2025.

Veiligheid van kinderen. Een dienst die waarschijnlijk door kinderen wordt gebruikt, moet een aparte risicobeoordeling voor kinderen doen en evenredige maatregelen nemen tegen "primary priority content" — pornografie, en content die zelfdoding, zelfbeschadiging of eetstoornissen aanmoedigt. Ofcom publiceerde de kindercodes op 24 april 2025, met meer dan 40 maatregelen; de beoordelingen moesten op 24 juli 2025 klaar zijn en de plichten gingen in op 25 juli 2025.

Leeftijdscontrole. Section 12(4) verplicht een aanbieder om leeftijdsverificatie of leeftijdsschatting te gebruiken om kinderen van elke leeftijd bij "primary priority content" weg te houden, en section 12(6) zegt dat die controle "zeer effectief" moet zijn "in het juist vaststellen of een bepaalde gebruiker een kind is". Die wettelijke formulering is waar de zomer van 2025 vandaan kwam: zij is de reden dat Britse bezoekers van pornosites, en van gewone platforms met hetzelfde materiaal, een leeftijdscontrole tegenkwamen.

Het boeteplafond staat in Schedule 13: het hoogste van £18 miljoen of 10% van de relevante wereldwijde omzet van de aanbieder. Ofcom stelt daarnaast dat het "in zeer ernstige gevallen een rechterlijk bevel kan vragen om een site in het Verenigd Koninkrijk te blokkeren".

Wat er sinds het begin van de handhaving is gebeurd

Ofcoms eerste onderzoek onder deze wet, geopend in 2025, ging over een online forum over zelfdoding. Op 13 mei 2026 beboette Ofcom de aanbieder met £950.000, omdat die had nagelaten "een passende en toereikende risicobeoordeling van illegale content" te doen, evenredige maatregelen te nemen tegen "priority illegal content" (de zwaarste categorieën illegale content), en zulke content snel weg te halen. Ofcom besloot het forum en de aanbieder niet bij naam te noemen, en gaf tien werkdagen om alsnog te voldoen.

De eerste boete onder de wet kwam eerder en was lager. Op 13 oktober 2025 beboette Ofcom 4chan met £20.000, plus £100 per dag, omdat het geen antwoord gaf op wettelijke informatieverzoeken; dezelfde update noteerde vijf handhavingsprogramma's en 21 onderzoeken naar de aanbieders van 69 sites en apps. Op 19 maart 2026 legde Ofcom 4chan nog drie boetes op van samen £520.000 — £450.000 voor de ontbrekende leeftijdscontrole, £50.000 voor de ontbrekende risicobeoordeling van illegale content en £20.000 voor de gebruiksvoorwaarden — met dagboetes gekoppeld aan een deadline op 2 april.

De meeste boetes tot nu toe gingen over leeftijdscontrole op pornosites. Op 20 november 2025 beboette Ofcom Itai Tech Ltd met £50.000, plus £5.000 voor een onbeantwoord informatieverzoek, vanwege de "nudification"-site Undress.cc — een dienst die nepnaaktbeelden van echte mensen maakt. Ofcoms brancheberichtgeving van juni 2026 noteert verdere boetes in dezelfde lijn, waaronder £600.000 tegen Youngtek Solutions Ltd en £80.000 tegen First Time Videos LLC.

De leeftijdscontrole, en wat erop volgde

Vanaf 25 juli 2025 moest de controle op orde zijn. Wat erop volgde, is meetbaar; wat het betekent, staat niet vast. Ofcoms bestuursvoorzitter, Dame Melanie Dawes, schreef op 8 oktober 2025 aan twee parlementaire commissies dat na de deadline "het aantal Britse dagelijkse gebruikers van VPN-apps tijdelijk verdubbelde tot ongeveer 1,5 miljoen", en dat het gebruik "eind september was teruggezakt naar ongeveer 1 miljoen" — een patroon dat volgens haar ook na leeftijdscontroles in andere landen en Amerikaanse staten optrad. Een VPN verbergt waar een gebruiker is, dus het is één manier om langs een controle te komen; het is ook een gewoon privacyhulpmiddel, en de cijfers zeggen niet welk gebruik de piek veroorzaakte. De vraag waar Ofcom naar eigen zeggen op let, "al is dat moeilijk te meten", is of het VPN-gebruik onder kinderen toeneemt; gegevens van Internet Matters, verzameld vóór juli, wezen erop dat "ongeveer een op de tien jongeren onder de 18 VPN's gebruikte", met een overwicht van oudere tieners.

De weerstand was niet alleen technisch. Een petitie op de website van het Britse parlement om de wet in te trekken verzamelde 550.136 handtekeningen; de regering reageerde op 28 juli 2025 en het Lagerhuis debatteerde erover op 15 december 2025.

Wat de wet wel en niet doet aan ontwerp dat op engagement stuurt

De wet raakt de feed wel, op twee plaatsen. Een risicobeoordeling voor kinderen moet rekening houden met "de algoritmen die de dienst gebruikt en hoe makkelijk, snel en breed content kan worden verspreid", en met de vraag hoe het ontwerp van de dienst, in het bijzonder zijn functies, het risiconiveau beïnvloedt. En de veiligheidsplichten gelden "op alle onderdelen van een dienst, inclusief de manier waarop hij is ontworpen, wordt beheerd en wordt gebruikt", met "het ontwerp van functies, algoritmen en andere onderdelen" als een van de gebieden waar een aanbieder moet ingrijpen als dat evenredig is. Ofcom maakte daar een concrete maatregel van: elke aanbieder met een aanbevelingsalgoritme (recommender system) dat volgens de eigen risicobeoordeling een middelhoog of hoog risico vormt, "moet zijn algoritmen zo instellen dat schadelijke content uit de feeds van kinderen wordt gefilterd".

Wat de wet niet doet, is vragen waar de feed op stuurt. Niets erin verplicht een dienst om te stoppen met rangschikken op engagement, om bekend te maken wat zijn aanbevelingsalgoritme maximaliseert, of om een volwassene een feed aan te bieden die niet is gepersonaliseerd. De plichten hangen aan categorieën content — illegaal, of schadelijk voor kinderen. Een feed mag zo meeslepend zijn als de ontwerpers hem kunnen maken, zolang wat erdoorheen stroomt buiten beide lijsten valt. Op dit punt ging de EU een stap verder: artikel 38 van de Digital Services Act verplicht de grootste platforms om voor elk aanbevelingsalgoritme minstens één optie te bieden "die niet is gebaseerd op profilering".

Drie verschillende weddenschappen

Naast elkaar gelegd zetten de drie stelsels die deze site beschrijft op iets anders in. De Digital Services Act zet in op schaal: de zwaarste plichten vallen op een paar dozijn zeer grote platforms, onder toezicht van de Europese Commissie, en de kernverplichting is het inschatten en beperken van systeemrisico (systemic risk) uit het ontwerp van hun eigen systemen. De Online Safety Act zet in op breedte: vergelijkbare plichten gelden voor heel veel diensten van elke omvang, onder toezicht van Ofcom, en de kernverplichting gaat over vastgelegde categorieën content. De minimumleeftijdswet van Australië zet in op toegang: helemaal geen account voor wie jonger is dan 16, en weinig over ontwerp of verdienmodel. Geen van de drie is lang genoeg van kracht om tegen de andere te worden afgezet.

De kritiek

Organisaties voor digitale rechten werpen tegen dat de wet een bescherming koopt die makkelijk te omzeilen is, tegen de prijs van ieders privacy, en dat plichten die rond "schadelijke" content zijn geformuleerd diensten ertoe brengen legale uitingen weg te halen. De Electronic Frontier Foundation, Open Rights Group, Big Brother Watch en Index on Censorship legden dat in december 2025 voor aan Britse politici, met het verzoek de wet te hervormen of in te trekken.

Een tweede rechtszaak kwam uit onverwachte hoek. De Wikimedia Foundation en een Wikipedia-redacteur vochten de regels aan die bepalen welke diensten in "Category 1" vallen, de categorie met de zwaarste plichten; hun betoog was dat Wikipedia daarmee op één hoop zou kunnen belanden met commerciële socialemediaplatforms, en dat identiteitseisen de vrijwilligers zouden blootstellen. Op 11 augustus 2025 verwierp de High Court alle vier de gronden; rechter Johnson oordeelde dat de vraag afhing van wat Ofcom daadwerkelijk zou besluiten, en tekende aan dat de eisers een nieuwe procedure konden beginnen als Ofcom Wikipedia zo zou indelen. Volgens de Foundation liet Ofcom haar op 10 juli 2026 weten dat Wikipedia nu geen Category 1-dienst is, maar wel op een "watch list" staat van platforms die dat later kunnen worden.

Vanuit de Verenigde Staten gaat het bezwaar over reikwijdte. Het tussentijdse rapport van de staf van de House Judiciary Committee van 3 februari 2026 noemt de wet "misschien wel de meest opvallende buitenlandse poging om de Digital Services Act na te volgen" en behandelt beide als een buitenlandse bedreiging voor de Amerikaanse vrijheid van meningsuiting. Omdat section 4 de plichten koppelt aan Britse gebruikers en niet aan de vestigingsplaats van een bedrijf, valt een Amerikaanse dienst met Britse gebruikers binnen het stelsel — en dat is het feit waar het betoog over gaat, dat beide kanten anders lezen.

Hoe we dit weten — wat hier vaststaat en wat niet +

Vastgesteld. De plichten, de data, de codes en het boeteplafond staan in de wet en in Ofcoms gepubliceerde codes, en elk handhavingsbesluit hierboven is een gepubliceerd besluit van Ofcom. Dat zijn documenten, geen schattingen.

Niet vastgesteld. Of iets daarvan de uitkomsten voor kinderen verbetert. De kindercodes gelden pas sinds juli 2025, en een gepubliceerde onafhankelijke evaluatie van hun effect bestaat nog niet. Ofcom beschrijft het meetprobleem zelf ronduit — of het VPN-gebruik van kinderen stijgt, is "moeilijk te meten" — en de VPN-cijfers tellen alle Britse gebruikers, dus op zichzelf zeggen ze niets over de groep voor wie de plichten zijn geschreven.

Echt tweezijdig. Of plichten die rond "schadelijke content" zijn geschreven, te handhaven zijn zonder legale uitingen mee te nemen, wordt van twee kanten betwist, en het Wikimedia-vonnis laat zien waarom: de rechter wilde de vraag niet in het abstracte beslissen, omdat het antwoord afhangt van hoe de toezichthouder de regels per geval toepast. De afweging bij leeftijdscontrole — een controle die sterk genoeg is om te werken, moet in de regel iedereen identificeren — is hetzelfde onopgeloste probleem dat op Leeftijdsgrenzen staat, en het wordt niet opgelost door de norm "highly effective" uit de wet, die een resultaat vastlegt in plaats van een methode.

Digital Services Act →
Leeftijdsgrenzen →
Vrijheid van meningsuiting →