Un récent épisode de l'American Enterprise Institute (AEI) met sur la table une question pointue : pouvons-nous vérifier l'âge sans renoncer à notre vie privée ? L'animateur Shane est rejoint par Scott Vien, Harry Oppenheimer et Paul Lekas pour discuter des lois internationales sur la vérification de l'âge, des défis de cybersécurité et de sujets connexes. Le résumé publié est bref, aussi cet article ne cherche-t-il pas à rapporter ce que chaque invité a dit. Il utilise plutôt la question de l'épisode comme point de départ pour expliquer les principales approches de la vérification de l'âge et de la vie privée, et ce que les lecteurs peuvent faire à ce sujet.

Pourquoi la vérification de l'âge est un problème de vie privée

Les lois de restriction d'âge posent une question simple : ce visiteur est-il assez âgé ? Y répondre de manière fiable implique toutefois généralement de collecter quelque chose de sensible. Une case à cocher disant « J'ai plus de 18 ans » est facile à contourner, c'est pourquoi les législateurs de nombreux endroits veulent une preuve plus solide. Cette preuve peut prendre la forme d'une pièce d'identité officielle, d'un scan facial ou de données provenant d'une autre source de confiance.

Chaque option crée un compromis. Plus un service est certain de votre âge, plus il tend à en apprendre sur vous. Et une fois que des documents d'identité ou des données biométriques sont collectés, ils deviennent quelque chose qui peut être stocké, divulgué ou détourné. C'est le défi de cybersécurité au cœur de ce débat.

Trois approches comparées

Il n'existe pas de norme unique pour vérifier l'âge en ligne. Les méthodes les plus couramment discutées diffèrent par ce qu'elles révèlent.

Téléversement de pièces d'identité. L'utilisateur soumet une photo d'un permis de conduire ou d'un passeport, parfois avec un selfie. C'est simple à mettre en œuvre pour un site, mais cela concentre des documents hautement sensibles chez celui qui les traite. Les utilisateurs doivent faire confiance à la fois au site et à tout prestataire qu'il utilise pour traiter et supprimer ces données.

Jetons tiers. Un prestataire distinct confirme votre âge une fois, puis émet un jeton ou un justificatif que les sites peuvent accepter. Le site apprend seulement que vous avez passé le contrôle. Le risque se déplace vers l'émetteur du jeton, qui peut en savoir beaucoup sur vous, et vers la capacité du système à empêcher le suivi entre sites.

Preuves à divulgation nulle de connaissance. Cette technique cryptographique permet de prouver une affirmation (comme « J'ai plus de 18 ans ») sans révéler les données sous-jacentes, telles que votre date de naissance ou votre nom. En théorie, elle offre la meilleure protection de la vie privée. En pratique, elle dépend de l'émission préalable de justificatifs de confiance et d'une large adoption par les sites et les appareils.

Aucune de ces solutions n'est parfaite. Les conceptions respectueuses de la vie privée tendent à être plus difficiles à déployer, tandis que les conceptions faciles à déployer tendent à collecter plus de données.

Les lois se multiplient, et la responsabilité est contestée

Le paysage politique évolue rapidement. Aux États-Unis, la propagation des lois étatiques a été significative : notre couverture des 27 États qui ont adopté des lois sur la vérification de l'âge montre l'ampleur de cette tendance et la manière dont certains créateurs résistent. En Floride, les sites pour adultes doivent vérifier les visiteurs en vertu de la loi HB 3, et nous avons expliqué comment la loi floridienne sur la vérification de l'âge traite l'utilisation des VPN.

À l'international, l'UE se penche également sur la question. La Commission européenne préparerait une loi européenne sur les enfants (EU Kids Act) qui pourrait imposer la vérification de l'âge sur les jeux en ligne. Par ailleurs, la question de savoir qui porte la responsabilité de ces contrôles est elle-même contestée : Apple et Google auraient fait pression pour retirer la responsabilité des projets de loi sur le contrôle d'âge. L'endroit où la responsabilité sera fixée déterminera l'approche technique que les entreprises choisiront.

L'accent mis par l'épisode de l'AEI sur les lois internationales s'inscrit dans ce schéma. Différentes juridictions recourent à différents outils, et les résultats en matière de vie privée dépendent fortement des détails.

Ce que cela signifie pour vous

Pour la plupart des gens, l'effet pratique est davantage d'invitations à fournir une preuve d'âge, et plus d'incertitude quant à ce qu'il advient des données que vous fournissez. Quelques points méritent d'être gardés à l'esprit :

  • Demandez ce qui est collecté et conservé. Recherchez les déclarations indiquant si les images de pièces d'identité ou les scans faciaux sont supprimés après le contrôle.
  • Préférez les méthodes qui révèlent moins. Si un service propose un choix, une option qui confirme seulement « plus de 18 ans » est généralement préférable à une option qui stocke un document complet.
  • Attendez-vous à ce que les VPN fassent partie de la conversation. Les lois de restriction d'âge sont liées à la localisation, de sorte que l'utilisation d'un VPN peut interagir avec elles. Un VPN modifie votre localisation apparente, mais il ne change pas les obligations légales d'un site, et les règles diffèrent selon la juridiction. Vérifiez la loi spécifique qui s'applique à vous plutôt que de le supposer.
  • Méfiez-vous des contrôles imitateurs. De fausses pages de vérification peuvent imiter les vraies pour récolter des documents. Assurez-vous d'avoir atteint le site via un lien de confiance.

À retenir

La discussion de l'AEI pose la bonne question, et la réponse honnête est que tout dépend de la conception. La vérification de l'âge et la vie privée ne peuvent coexister que si les systèmes minimisent les données qu'ils collectent, limitent leur conservation et évitent de suivre les utilisateurs entre les sites. Tant que ces conceptions ne seront pas courantes, traitez chaque demande de pièce d'identité ou de données biométriques comme une décision qui mérite une pause.

Pour vous protéger : partagez le minimum requis, utilisez des mots de passe forts et uniques pour tout compte créé lors de la vérification, et suivez l'évolution des lois dans votre région. Rester informé est la meilleure défense tant que les règles et la technologie continuent de se stabiliser.