Un groupe de travail de l'Institute of Electrical and Electronics Engineers (IEEE) développe un nouveau cadre pour vérifier le consentement parental en ligne, selon un rapport de Biometric Update. Cette initiative reflète un changement plus large qui s'opère dans le monde de la technologie et de la réglementation : les règles qui régissent les données des enfants en ligne depuis près de trois décennies, largement construites autour du Children's Online Privacy Protection Act (COPPA), sont repensées pour un internet très différent de celui pour lequel elles ont été écrites.

Pourquoi la COPPA a besoin d'une norme moderne sur le consentement parental

La COPPA a été rédigée pour obliger les entreprises à obtenir un consentement parental vérifiable avant de collecter des données personnelles auprès d'enfants. Mais la loi précède les smartphones, les réseaux sociaux, les magasins d'applications et le vaste écosystème de plateformes qui demandent désormais aux utilisateurs, de tous âges, de prouver qui ils sont et quel âge ils ont. L'application de la loi s'est souvent appuyée sur de simples cases à cocher ou des dates de naissance autodéclarées, des méthodes qui offrent peu d'assurance réelle qu'un parent, plutôt qu'un enfant, se trouve à l'autre bout de la transaction.

Cet écart est devenu plus visible à mesure que les gouvernements poussent à de nouvelles lois sur l'assurance de l'âge qui vont au-delà du champ d'application initial de la COPPA. Les mandats de vérification de l'âge se multiplient désormais dans les États et les pays, souvent avec peu de coordination sur ce qui constitue une preuve adéquate d'âge ou de consentement. Comme nous l'avons abordé dans notre analyse de la mosaïque mondiale des risques de confidentialité liés à la vérification de l'âge, l'absence de norme technique commune a laissé les entreprises construire leurs propres systèmes incohérents, dont certains collectent plus de données personnelles que ce que la loi exige uniquement pour prouver leur conformité.

Une norme industrielle sur le consentement parental pourrait aider à combler cet écart en donnant aux entreprises, aux régulateurs et aux plateformes un point de référence commun sur ce à quoi ressemble réellement un consentement « vérifié », plutôt que de laisser chaque juridiction et chaque entreprise le définir indépendamment.

Ce que le groupe de travail de l'IEEE tente de construire

Selon le rapport, l'objectif du groupe de travail est de créer un cadre spécifiquement axé sur la vérification qu'un parent ou tuteur a réellement autorisé l'utilisation d'un service en ligne par un enfant, distinct de la question plus large de la vérification de l'âge de l'utilisateur lui-même. C'est une distinction importante. La vérification de l'âge demande « quel âge a cette personne ? » La vérification du consentement parental pose une question différente : « ce compte appartient-il à un mineur dont le parent a réellement accepté les conditions ? »

Construire une norme autour de cette seconde question est plus difficile à certains égards, car cela exige d'établir une relation vérifiée entre deux personnes, et pas seulement de confirmer l'âge d'une seule personne. Cela signifie également que la norme doit tenir compte de différents niveaux d'assurance. Une simple confirmation par e-mail offre une preuve plus faible qu'une vérification liée à une pièce d'identité gouvernementale, et différents services peuvent nécessiter différents niveaux selon la sensibilité des données collectées.

Implications pour la confidentialité de la vérification du consentement parental

Tout système conçu pour vérifier qui est une personne, ou à qui elle est apparentée, soulève inévitablement des questions de confidentialité. Un cadre de consentement parental qui repose sur une vérification d'identité plus forte, comme le téléchargement de documents ou des contrôles biométriques, pourrait signifier que les parents devront fournir plus de données personnelles qu'une simple case à cocher ne l'exigeait jamais. Ce compromis, plus d'assurance en échange de plus de collecte de données, est la tension centrale qui traverse presque tous les débats sur l'assurance de l'âge actuellement.

Cela fait écho aux préoccupations soulevées à New York, où le SAFE for Kids Act impose des exigences mesurables de précision pour les technologies de vérification de l'âge, forçant les entreprises à démontrer que leurs systèmes fonctionnent réellement plutôt que de simplement prétendre être conformes. Une norme IEEE bien conçue pourrait pousser l'industrie vers une responsabilité similaire pour les outils de consentement parental, en précisant non seulement que le consentement est collecté, mais avec quelle fiabilité et avec quelle minimisation.

Les enjeux d'une erreur sont réels. L'expérience de l'Australie avec ses restrictions sur les réseaux sociaux pour les moins de 16 ans a montré que les lacunes d'application peuvent saper complètement l'intention d'une loi, avec une baisse des comptes alors même que les contrôles de vérification restaient largement non testés. Une norme de consentement parental trop faible risque le même résultat : des règles sur le papier qui ne tiennent pas dans la pratique. Une norme trop invasive risque de transformer les efforts de protection de l'enfance en une nouvelle source d'exposition des données familiales.

Ce que cela signifie pour vous

Si vous êtes parent, attendez-vous à voir davantage de services vous demander de vérifier votre identité, et pas seulement celle de votre enfant, avant d'accorder l'accès à un compte. Cela peut impliquer des contrôles documentaires, une vérification par carte de crédit ou d'autres étapes de vérification d'identité qui vont au-delà du modèle actuel « cliquez pour confirmer que vous êtes un adulte ». Comprendre pourquoi un service demande cela, et quelles données il conserve ensuite, deviendra plus important à mesure que ces systèmes se déploieront.

Si vous êtes simplement un utilisateur de plateformes concernées par les règles d'assurance de l'âge, il vaut la peine de prêter attention à la quantité d'informations personnelles qu'une étape de vérification exige réellement. Une norme de consentement parental, bien conçue, devrait réduire la collecte inutile de données en donnant aux entreprises un seuil clair et minimal à respecter, plutôt que de les encourager à sur-collecter par prudence juridique.

Points clés à retenir

Le travail de l'IEEE sur une norme de consentement parental est encore en développement, et sa forme finale déterminera si elle améliore les protections de la vie privée ou si elle formalise simplement une nouvelle collecte de données. Alors que les règles de l'ère COPPA cèdent la place à des régimes d'assurance de l'âge plus rigoureux, les familles comme les plateformes bénéficieront de normes claires et cohérentes plutôt que d'une mosaïque d'approches de conformité concurrentes. Les lecteurs devraient suivre comment toute norme résultante équilibre la solidité de la vérification et la minimisation des données, et devraient se sentir habilités à demander directement aux plateformes quelles données de consentement parental elles collectent et combien de temps elles les conservent.