Une nouvelle référence mondiale pour la vérification de l'âge

Les organisations à l'origine des normes technologiques internationales ont publié un projet public de l'ISO/IEC 27566-3, la troisième partie d'un cadre conçu pour aider à évaluer l'efficacité réelle des systèmes d'assurance de l'âge. Selon Biometric Update, cette section se concentre sur l'analyse, en offrant des orientations pour comparer les méthodes de vérification de l'âge, d'estimation de l'âge et d'inférence de l'âge les unes par rapport aux autres.

Si vous avez remarqué que davantage de sites web, d'applications et de plateformes vous demandent de prouver votre âge avant de vous laisser entrer, vous ne l'imaginez pas. Les exigences de vérification de l'âge se sont rapidement étendues sur les réseaux sociaux, les sites de contenu pour adultes et même les services en ligne généraux, en réponse aux lois sur la sécurité des enfants. L'ISO/IEC 27566-3 est une tentative de mettre un peu d'ordre dans ce paysage en donnant aux entreprises, aux régulateurs et aux auditeurs un moyen partagé de mesurer si ces systèmes sont précis, équitables et efficaces.

Vérification, estimation et inférence : trois compromis différents en matière de vie privée

Le projet de norme couvre trois approches distinctes pour déterminer l'âge d'une personne, et chacune comporte des implications différentes pour vos données personnelles.

La vérification de l'âge signifie généralement confirmer votre âge exact à l'aide d'un document officiel, comme une pièce d'identité délivrée par le gouvernement ou une carte de crédit. C'est la méthode la plus précise, mais elle nécessite également de remettre des documents d'identité sensibles à un tiers, parfois une entreprise dont vous n'avez jamais entendu parler et qui est spécialisée dans les contrôles d'identité.

L'estimation de l'âge repose sur l'analyse de signaux biométriques, le plus souvent une photo de votre visage, pour deviner votre tranche d'âge sans exiger de pièce d'identité officielle. Cela évite certaines des préoccupations liées au partage de documents, mais cela signifie qu'une entreprise traite une image faciale et la fait passer par un algorithme, ce qui soulève son propre ensemble de questions de confidentialité biométrique.

L'inférence de l'âge utilise des signaux indirects, tels que l'activité du compte, l'historique d'achat ou les schémas comportementaux, pour estimer si une personne est probablement mineure ou adulte sans jamais demander directement de preuve.

Le fait que l'ISO élabore désormais des orientations formelles pour comparer ces méthodes signale quelque chose d'important : les régulateurs et les groupes industriels reconnaissent que tous les contrôles d'âge ne se valent pas, et que la méthode choisie par une plateforme a des conséquences réelles sur la quantité de vos données collectées, stockées et potentiellement exposées.

Pourquoi cela compte au-delà de la norme technique

Les documents normatifs font rarement la une, mais celui-ci arrive à un moment où la vérification de l'âge devient un point de friction pour les défenseurs de la vie privée. Aux États-Unis, les législateurs ont poussé des projets de loi comme le Kids Online Safety Act, dont les dispositions relatives au devoir de diligence ont récemment franchi une étape devant une commission sénatoriale, en partie grâce à la force des exigences de conception adaptée à l'âge. Pendant ce temps, au Royaume-Uni, l'inquiétude du public concernant les systèmes d'identité est déjà visible : un récent sondage a révélé que de nombreux Britanniques craignent d'être traqués dans le cadre d'un projet national d'identité numérique proposé, une préoccupation qui recoupe directement les inquiétudes concernant les bases de données de vérification de l'âge.

La tension sous-jacente est la même dans les deux cas. Vérifier l'âge nécessite souvent de collecter des informations sensibles, qu'il s'agisse d'une pièce d'identité scannée, d'une image faciale ou de données comportementales, et ces informations doivent aller quelque part. Si elles sont stockées de manière non sécurisée ou partagées au-delà de leur objectif initial, elles deviennent une cible. Les affaires impliquant l'utilisation abusive d'images et de données personnelles, comme la condamnation d'un membre d'un réseau d'extorsion en ligne dans une récente affaire de sextorsion, sont un rappel brutal de ce qui peut mal tourner lorsque du contenu personnel sensible finit entre de mauvaises mains.

Une norme de comparaison bien conçue comme l'ISO/IEC 27566-3 n'éliminera pas ces risques, mais elle pourrait contribuer à pousser l'industrie vers des méthodes qui collectent moins de données ou les traitent de manière plus responsable, puisque les entreprises et les auditeurs disposeront d'un référentiel commun pour mesurer le caractère intrusif pour la vie privée en même temps que la précision.

Ce que cela signifie pour vous

À mesure que la vérification de l'âge devient plus courante en ligne, vous êtes susceptible de rencontrer davantage de demandes de preuve d'âge par le biais de téléchargements de pièces d'identité, de vérifications par selfie ou d'analyses comportementales moins visibles. Des normes comme celle-ci sont censées améliorer la qualité et la cohérence de ces systèmes, mais elles ne remplacent pas votre propre vigilance.

Avant de soumettre une pièce d'identité ou un scan facial à n'importe quel contrôle d'âge, recherchez des informations sur l'entité qui traite la demande. De nombreuses plateformes externalisent la vérification de l'âge auprès de fournisseurs tiers, et les pratiques de conservation et de sécurité des données de ce fournisseur comptent tout autant que les politiques de la plateforme elle-même. Les méthodes d'estimation qui utilisent une photo en direct peuvent sembler moins intrusives que le téléchargement d'un passeport, mais elles impliquent tout de même un traitement biométrique, alors vérifiez si l'image est supprimée après le contrôle ou conservée.

Points clés à retenir

  • L'ISO/IEC 27566-3 est un projet de norme pour comparer les méthodes de vérification, d'estimation et d'inférence de l'âge, et non une loi ou un mandat.
  • Chaque méthode de contrôle de l'âge comporte différents compromis en matière de vie privée, allant du partage de documents à la numérisation biométrique en passant par le suivi comportemental.
  • Demandez aux plateformes qui traite vos données de vérification de l'âge et combien de temps elles sont conservées avant de soumettre des informations sensibles.
  • Tenez-vous informé des lois sur la vérification de l'âge dans votre région, car les exigences et les protections des consommateurs varient considérablement et continuent d'évoluer.