Trois questions sur la vérification de l'âge en ligne sur les sites pornographiques

"C'est une date historique pour la protection en ligne des mineurs". Voici comment Clara Chappaz, la ministre déléguée chargée de l'Intelligence artificielle et du Numérique, résume l'entrée en vigueur, le 11 janvier 2025, du pouvoir de l'Autorité de régulation de la communication audiovisuelle et numérique (Arcom) de mettre en demeure les sites pornographiques qui n'ont pas encore de solution de vérification d'âge.

1 – De quelle loi est issue l'obligation pour les éditeurs de sites pour adultes de vérifier l'âge de leurs utilisateurs ?

Il faut revenir plus de 30 ans en arrière : depuis le 1er mars 1994, en application des dispositions de l’article 227-24 du code pénal, introduit par la loi n° 92-684 du 22 juillet 1992, il est interdit d’exposer des mineurs à un contenu pornographique. C'est la loi du 21 juin 2004, dite "Loi pour la confiance dans l'économie numérique" (LCEN), qui a imposé aux fournisseurs de contenus de prendre des mesures nécessaires pour empêcher l'accès aux mineurs à des contenus illégaux ou inappropriés, y compris les contenus pornographiques. En revanche, le législateur n'avait pas prévu de mesures techniques spécifiques à mettre en place.

Il a fallu attendre la loi du 30 juillet 2020 visant à protéger les victimes de violences conjugales pour que le législateur précise que l'accès à un site pour adultes par un mineur constitue une infraction si la vérification de l'âge n'est pas suffisante. Elle prévoit ainsi une procédure spéciale faisant intervenir l'Arcom dans l'objectif d'assurer la pleine effectivité de ces dispositions. Elle confie ainsi le pouvoir au président du régulateur de mettre en demeure l'éditeur du site concerné de se conformer au code pénal. Si cette mise en demeure n'est pas suivie, il peut demander au juge judiciaire d'ordonner aux fournisseurs d'accès à internet (FAI) d'empêcher l'accès à ce site.

L'Arcom était également chargée de rédiger un référentiel déterminant "les exigences techniques minimales applicables aux systèmes de vérification de l'âge". C'est le 9 octobre 2024 que l'autorité a adopté le dudit texte. Le 26 septembre, la Commission nationale de l'informatique et des libertés (Cnil) a rendu un avis sur le référentiel.

Dans le détail, le référentiel de l'Arcom fixe plusieurs critères que doivent respecter les solutions choisies par les sites : étanchéité du contrôle de l'âge (floutage complet de la page d'accueil), efficacité de la solution, limitation des possibilités de contournement (le système doit être robuste face aux deepfakes par exemple), vérification de l'âge à chaque consultation du site, encadrement du recours à un compte utilisateur, indépendance du prestataire de système de vérification de l'âge vis-à-vis du service, confidentialité vis-à-vis du service ainsi que des prestataires de génération de preuve d'âge.

En pratique, voici les solutions de vérification existantes : le contrôle par la carte bancaire qui consiste à demander à l'utilisateur de saisir son numéro, la vérification par pièce d'identité, le recours à un tiers indépendant (Yoti, AgeChecked et VerifyMyAge), la vérification biométrique et la vérification par SMS. "Il existe un tas de solutions sur le marché. Ce n'est pas notre rôle de dire aux sites quelle solution il faut utiliser", a précisé Clara Chappaz, qui a tenu le 10 janvier une réunion de travail aux côtés de Roch-Olivier Maistre, président de l'Arcom, et d’associations de protection de l’enfance, de représentants de fournisseurs de solutions de vérification de l’âge et des sites pornographiques.

2 – Comment concilier protection en ligne et protection des données personnelles des mineurs ?

Dans les grandes lignes, la Commission nationale de l'informatique et des libertés a accueilli favorablement le projet de référentiel de l'Arcom, qui reprenait "une partie importante de ses préconisations relatives à la protection des données et la vie privée". En effet, la vérification de l'âge en ligne soulève de nombreuses problématiques, en particulier celle de l'anonymat. Sur ce point, le référentiel prévoit que les sites concernés proposent aux internautes au moins une solution de vérification de l'âge dite en "double anonymat". Autrement dit : le site auquel l'internaute a accès reçoit la preuve de sa majorité mais ne connaît pas son identité ; le prestataire de la solution de contrôle de l'âge connaît l'identité de l'internaute mais ne sait quels sites il consulte.

A noter que l'Arcom a prévu, dans son référentiel, une période dite "transitoire" de six mois (jusqu'au 11 avril 2025) qui autorise les éditeurs de sites pornographiques à recourir à des solutions utilisant la carte bancaire. Le filtrage pouvant s'opérer soit sous la forme de paiement de zéro euros, soit par simple authentification (sans paiement). Pour être valides, ces dispositions doivent respecter plusieurs conditions, telles que le fait d'assurer au minimum de l'existence et de la validité de la carte et de mettre en oeuvre l'authentification forte. Il est prévu qu'à l’issue de cette période transitoire, les conditions dans lesquelles pourrait continuer à être acceptée la vérification d'âge par carte bancaire soient reprécisées.

Par ailleurs, dans son avis, la Cnil recommandait à l'Arcom de privilégier les solutions permettant aux utilisateurs de conserver ou de générer localement des preuves de leur majorité afin de pouvoir les présenter à des services en ligne sans recourir à des tiers de façon systématique.

En juin 2022, le Laboratoire d'innovation numérique de la Cnil (LINC) avait publié un démonstrateur du mécanisme de vérification de l'âge respectueux de la vie privée, aligné avec les obligations du Règlement général sur la protection des données (RGPD). Fruit des travaux d'Olivier Blazy, professeur de l’Ecole polytechnique et chercheur en cryptographie, et du Pôle d’Expertise de la Régulation Numérique (PEReN) de l’Etat, le dispositif repose sur des briques de base utilisées en cryptologie sous l’expression "preuve à divulgation nulle de connaissance" ou "zero-knowledge proof". En pratique, il permet à des personnes identifiées de prouver qu'une situation est réelle sans avoir à révéler les informations relatives à cette situation.

3 – Quid de l'Union européenne ?

A l'échelle européenne, la question de la vérification de l'âge en ligne n'est pas encore réglementée. Il existe plusieurs législations dans le domaine de la protection des mineurs en ligne, telles que la directive "Services de médias audiovisuels" (directive SMA), mais qui ne prévoient pas spécifiquement l'obligation d'instaurer une procédure de contrôle de l'âge pour l'accès aux sites pornographiques.

Autrement dit, cela signifie que l'obligation d'intégrer un contrôle de l'âge est cantonnée à la France. Ce qui ouvre la porte à des contournements de la part des internautes qui pourraient utiliser un VPN pour se connecter au site. Pour rappel, l'un des principaux sites pour adultes est basé à Chypre.

A savoir que la France n'est pas le premier pays à intégrer une telle obligation pour les sites pornographiques dans son arsenal législatif. Le Royaume-Uni a inséré un contrôle obligatoire de l'âge dans une loi de 2017 (loi sur la protection des enfants et la régulation des contenus). C'est l'Office of Communications (Ofcom) qui était chargée d'en contrôler le respect. La mise en oeuvre de cette mesure a été retardée à de nombreuses reprises avant d'être abandonnée en janvier 2020 par le gouvernement britannique, en raison de problèmes techniques et d'un manque de solutions fiables pour protéger les données personnelles des utilisateurs.

Sélectionné pour vous

Une organisation sur deux a déjà écarté une solution IT pour des raisons de souveraineté

Droits d'auteur : Anthropic met fin à un procès en payant 1,5 milliard de dollars

Supply chain, gouvernance, audibilité : Les leçons à tirer du stress test sur la sécurisation de l'IA