Une nouvelle approche de la vérification de l’âge émerge au Congrès

Un groupe bipartisan de sénateurs, dont Andy Kim, Adam Schiff, Cynthia Lummis et John Barrasso, a présenté une loi connue sous le nom de Digital Age Assurance Act. Le projet de loi propose une approche fondamentalement différente de la manière dont les applications et les sites web confirment l’âge d’un utilisateur : au lieu que chaque plateforme collecte indépendamment des documents d’identité, des selfies ou d’autres données sensibles, les systèmes d’exploitation eux-mêmes collecteraient l’âge d’un utilisateur une seule fois et transmettraient un simple signal d’âge aux applications via une API chaque fois que cela serait nécessaire.

Cela marque une rupture avec l’écheveau de lois étatiques sur la vérification de l’âge qui se sont multipliées ces dernières années, dont beaucoup exigent que chaque application ou site web vérifie l’identité directement, souvent par le téléchargement de documents ou des scans faciaux. La proposition fédérale centralise plutôt cette responsabilité au niveau de l’appareil ou du compte, les fournisseurs de systèmes d’exploitation comme Apple, Google, Microsoft et d’autres devenant les principaux collecteurs de données d’âge.

Comment fonctionnerait concrètement la garantie d’âge au niveau du système d’exploitation

Dans le cadre décrit par la législation, la collecte de l’âge aurait lieu lors de la configuration du compte du système d’exploitation, le même processus que les utilisateurs suivent déjà lors de la configuration d’un nouveau téléphone, d’une tablette ou d’un ordinateur. Une fois cet âge établi, le système d’exploitation générerait un signal d’âge, pas nécessairement une date de naissance exacte ou une pièce d’identité gouvernementale, mais un marqueur catégoriel (tel que « plus de 18 ans » ou « moins de 13 ans ») qui est transmis aux applications et sites web qui en font la demande.

Les partisans affirment que cela réduit le nombre de fois où des documents d’identité sensibles changent de mains. Plutôt que de télécharger un permis de conduire sur une douzaine d’applications différentes, chacune ayant ses propres pratiques de conservation des données et sa posture de sécurité, les utilisateurs vérifieraient leur âge une seule fois au niveau du système d’exploitation. Les applications interrogeraient simplement ce signal via une API plutôt que de construire ou d’acheter leur propre infrastructure de vérification de l’âge.

Le compromis est la centralisation. Au lieu que les données d’âge soient dispersées (et dupliquées) sur de nombreuses plateformes, elles se concentrent chez un petit nombre de fournisseurs de systèmes d’exploitation qui détiennent déjà d’énormes quantités d’informations sur leurs utilisateurs. Les critiques de propositions similaires au niveau des États, comme celle en attente en Californie selon les discussions publiques sur le texte du projet de loi, ont exprimé des inquiétudes quant au fait que les vérifications obligatoires de l’âge au niveau du système d’exploitation pourraient fonctionner comme une couche d’identité de facto pour l’ensemble d’Internet, car les systèmes d’exploitation sauraient non seulement l’âge d’un utilisateur, mais potentiellement quelles applications demandent ce signal et quand.

Comparaison avec la vérification actuelle au niveau des applications

Le paysage actuel de la vérification de l’âge est fragmenté. Certains États exigent que les plateformes vérifient l’âge par le téléchargement de pièces d’identité, des vérifications de carte de crédit ou des logiciels d’estimation de l’âge par reconnaissance faciale. Chaque méthode comporte ses propres risques pour la vie privée : les pièces d’identité téléchargées peuvent faire l’objet de violations, les scans faciaux nécessitent un traitement biométrique, et les vérifications de carte de crédit excluent les utilisateurs sans compte financier. Comme la vérification a lieu séparément sur chaque plateforme, les mêmes données sensibles sont souvent collectées et stockées de manière redondante sur de nombreux services.

Le modèle basé sur le système d’exploitation vise à réduire cette redondance en utilisant un seul signal d’âge standardisé qui accompagne l’utilisateur. En théorie, cela limite le nombre de parties manipulant des documents d’identité bruts. En pratique, cela transfère un pouvoir et une responsabilité considérables à une poignée de fabricants de systèmes d’exploitation, ce qui soulève des questions sur la durée de conservation des données d’âge, qui pourrait les demander et si elles pourraient ultérieurement être liées à d’autres données que ces entreprises collectent déjà, telles que la localisation, l’utilisation des applications ou l’activité du compte.

Ces questions font écho à des débats plus larges sur la surveillance et la collecte de données qui se sont déroulés dans d’autres domaines de la politique fédérale. Les préoccupations concernant la manière dont les cadres de collecte de données gouvernementaux et commerciaux sont effectivement mis en œuvre, et si le contrôle suit le rythme des protections de la vie privée annoncées, ont refait surface à plusieurs reprises, notamment dans les révélations du sénateur Wyden sur les manquements à la conformité de la section 702 de la FISA, qui ont montré que les bonnes intentions législatives ne se traduisent pas toujours par une application cohérente.

Ce que cela signifie pour vous

Si ce projet de loi ou une initiative similaire devient loi, la manière dont vous prouvez votre âge en ligne pourrait changer radicalement. Au lieu de télécharger à plusieurs reprises des documents d’identité sur des applications et sites web individuels, votre appareil ou votre compte de système d’exploitation gérerait cette vérification une seule fois et ne partagerait qu’un signal d’âge limité selon les besoins. Pour de nombreux utilisateurs, cela pourrait signifier moins de cas où des documents sensibles sont stockés sur des serveurs tiers.

Mais cela signifie également que les fournisseurs de systèmes d’exploitation assumeraient un nouveau rôle plus centralisé dans la vérification de l’identité, devenant effectivement les gardiens du contenu soumis à des restrictions d’âge sur l’ensemble d’Internet. La manière dont ces données sont sécurisées, minimisées et gouvernées aura une importance considérable. Le projet de loi en est encore à ses débuts, et les garanties techniques et de confidentialité qui accompagneront toute version finale détermineront si cette approche améliore réellement la vie privée ou ne fait que déplacer le risque.

Principaux points à retenir

  • Le Digital Age Assurance Act exigerait des systèmes d’exploitation, et non des applications individuelles, de vérifier l’âge des utilisateurs et de transmettre un signal préservant la vie privée via une API.
  • Cela pourrait réduire la collecte redondante de documents d’identité sur plusieurs plateformes, mais concentre les données d’âge chez les principaux fournisseurs de systèmes d’exploitation.
  • Soyez attentifs aux détails concernant la conservation des données, la supervision, et la possibilité que les signaux d’âge puissent être liés à d’autres données que ces entreprises détiennent déjà.
  • Au fur et à mesure que cette législation progresse au Congrès, comparez-la aux lois des États sur la vérification de l’âge pour comprendre comment vos données personnelles pourraient être traitées différemment selon l’endroit où vous vivez.
  • Restez informés : des politiques comme celle-ci pourraient remodeler la confidentialité mobile bien au-delà de la vérification de l’âge, en influant sur la confiance que les utilisateurs accorderont à l’avenir aux fournisseurs de systèmes d’exploitation.