AB 1856 abandonne la règle sur les navigateurs, les vérifications d'âge au niveau de l'OS de l'AB 1043 demeurent

Les législateurs californiens ont fait marche arrière sur l'une des propositions de vérification de l'âge les plus vastes du pays, mais les défenseurs de la vie privée ne devraient pas se réjouir trop vite. L'AB 1856, qui aurait contraint les navigateurs web à vérifier l'âge des utilisateurs avant de permettre l'accès général à Internet, a perdu cette disposition. Pendant ce temps, la loi qui l'accompagne, l'AB 1043 (le Digital Age Assurance Act), reste pleinement intacte et dans les temps. À compter du 1er janvier 2027, la vérification de l'âge au niveau du système d'exploitation en Californie exigera qu'Apple et Google collectent les dates de naissance lors de la configuration de l'appareil et transmettent des signaux de tranche d'âge aux développeurs d'applications. L'obligation pour les navigateurs a disparu. L'obligation pour les systèmes d'exploitation, non.

Ce que l'AB 1043 exige réellement d'Apple et de Google

Avec l'AB 1043, la vérification de l'âge remonte des sites web et applications individuels vers l'appareil lui-même. Lorsqu'un Californien configure un nouveau téléphone, une tablette ou un ordinateur sous iOS, Android ou un autre système d'exploitation couvert, la plateforme demandera une date de naissance lors de la création du compte. Cette date de naissance n'est pas directement partagée avec chaque application téléchargée par l'utilisateur. Le système d'exploitation la traduit plutôt en une tranche d'âge, une catégorie générale comme « moins de 13 ans » ou « 13 à 17 ans » plutôt qu'une date de naissance exacte, et transmet ce signal aux développeurs d'applications afin qu'ils puissent ajuster le contenu ou les fonctionnalités en conséquence.

Il s'agit d'une architecture fondamentalement différente de l'approche basée sur le navigateur que les législateurs ont abandonnée. Plutôt que de vérifier l'âge au moment où une personne visite un site web, le système intègre les données d'âge dans l'appareil dès le premier jour, et ces données suivent l'utilisateur dans chaque application installée par la suite. La portée de la loi s'étend également au-delà des plateformes grand public, des rapports indiquant qu'elle s'applique largement aux systèmes d'exploitation vendus ou utilisés en Californie, ce qui soulève des questions complexes pour les projets plus petits et open source qui ne disposent pas de l'infrastructure de conformité d'Apple ou de Google.

Pourquoi les vérifications au niveau de l'OS sont plus difficiles à éviter que les obligations sur les navigateurs

Un portail d'âge basé sur le navigateur, quels que soient ses défauts, était au moins limité au navigateur. Les utilisateurs qui s'y opposaient pouvaient changer de navigateur, utiliser un profil d'appareil différent ou contourner la vérification de diverses manières. La vérification au niveau du système d'exploitation n'offre pas la même flexibilité. Une fois que les données d'âge sont établies lors de la configuration de l'appareil, elles deviennent une couche fondamentale sur laquelle chaque interaction ultérieure avec une application s'appuie. Il n'existe pas d'équivalent simple de refus, comme le fait de choisir un logiciel différent, car le système d'exploitation lui-même est le gardien.

Cette distinction est importante pour quiconque réfléchit à une stratégie de confidentialité numérique. Une simple extension de navigateur ou le choix d'un autre navigateur permettait auparavant de contourner une exigence de vérification de l'âge. Avec l'AB 1043, la vérification a lieu avant même qu'un utilisateur n'ouvre une application, au stade de la création du compte dans le cycle de vie de l'appareil. C'est un changement structurel, pas seulement technique, et cela s'inscrit dans un schéma plus large de préoccupations liées à la surveillance de masse gouvernementale, où la collecte de données imposée par l'État est intégrée dans des infrastructures avec lesquelles les utilisateurs ordinaires interagissent quotidiennement, qu'ils en aient conscience ou non.

Minimisation des données et risques du partage des tranches d'âge

Les partisans de l'AB 1043 soulignent que la loi est conçue autour de principes de minimisation des données. Les applications reçoivent une tranche d'âge, et non une date de naissance, et en théorie, cela limite la quantité d'informations personnelles qui parvient aux développeurs tiers. Mais le partage de la tranche d'âge crée néanmoins un signal persistant lié à l'identité d'un utilisateur à travers des centaines d'applications potentielles pendant toute la durée de vie d'un appareil. Une fois ce signal existant, des questions se posent sur la durée de conservation par les développeurs, sur sa combinaison éventuelle avec d'autres données de suivi, et sur ce qui se passe si la mise en œuvre d'une plateforme n'est pas à la hauteur de l'intention de la loi.

La Californie a ici des antécédents qui méritent d'être notés. Un audit récent a révélé que la conformité au CCPA est massivement ignorée sur des milliers de sites web, bien que l'État dispose de l'une des lois les plus strictes du pays en matière de protection de la vie privée des consommateurs. Cet historique constitue une base raisonnable de scepticisme quant à la constance avec laquelle les protections des tranches d'âge de l'AB 1043 seront effectivement appliquées une fois la loi en vigueur. Une date de naissance collectée lors de la configuration est aussi, fonctionnellement, un petit témoin d'identité qui persiste pendant toute la durée de vie de l'appareil, semblable dans l'esprit à la façon dont les cookies de navigateur suivent silencieusement le comportement au fil du temps, sauf qu'ici, il est intégré à la couche matérielle plutôt qu'à un site web.

Ce que cela signifie pour vous

Si vous vivez en Californie, attendez-vous à ce que tout nouvel appareil Apple ou Google que vous configurerez après le 1er janvier 2027 vous demande une date de naissance avant que vous puissiez l'utiliser. Ce n'est pas facultatif comme peut l'être un portail d'âge sur un site web, et ce n'est pas quelque chose qu'un VPN ou un paramètre de navigateur contournera, car la vérification se fait au niveau du système d'exploitation plutôt qu'au niveau du réseau ou de la couche applicative. La conséquence pratique est que les données d'âge deviennent un élément de la configuration de base de votre appareil, alimentant chaque application que vous installerez par la suite.

Pour les parents, cela pourrait signifier des contrôles de contenu plus cohérents entre les applications sans avoir à configurer chacune séparément. Pour les adultes soucieux de leur vie privée, cela signifie une donnée personnelle supplémentaire liée de manière permanente à un appareil, avec une qualité d'application qui reste une question ouverte compte tenu des antécédents inégaux de la Californie en matière de lois sur la vie privée.

Points à retenir avant 2027

Commencez à prêter attention à la manière dont Apple et Google communiqueront leurs plans de conformité à l'AB 1043 au cours de l'année à venir, car les détails de mise en œuvre détermineront le degré de contrôle que les utilisateurs conserveront réellement sur leurs propres données d'âge. Examinez attentivement les paramètres de confidentialité sur tout nouvel appareil lors de la configuration, plutôt que de cliquer rapidement sur les invites. Et gardez un œil sur la manière dont ce cadre de vérification de l'âge au niveau du système d'exploitation en Californie sera appliqué dans la pratique, car une loi qui semble protectrice de la vie privée sur le papier ne vaut que par la supervision qui la sous-tend.