KOSA de retour au Sénat : l’Illinois ajoute la vérification d’âge au niveau de l’appareil

Trois évolutions distinctes se sont produites à quelques jours d’écart et, ensemble, elles esquissent la direction que prend la vérification de l’âge en ligne aux États-Unis et au-delà. La loi Kids Online Safety Act (KOSA) a de nouveau progressé vers le Sénat, un tribunal du Nouveau-Mexique a ordonné à Meta de payer 567 millions de dollars supplémentaires pour les préjudices causés aux jeunes utilisateurs, et l’Illinois a entrepris de pousser la vérification de l’âge jusqu’au niveau de l’appareil plutôt que de la laisser aux applications et sites web individuels. À l’étranger, le régulateur britannique Ofcom examine la dépendance de TikTok à l’« inférence d’âge » fondée sur les données plutôt qu’à une vérification directe, un aperçu de l’examen auquel les plateformes américaines pourraient bientôt être confrontées elles aussi.

Pris individuellement, chacun de ces événements relève de l’actualité réglementaire. Ensemble, ils révèlent une dynamique : législateurs, régulateurs et tribunaux convergent vers l’idée que les plateformes doivent connaître l’âge de leurs utilisateurs et, de plus en plus, que cette information devrait se situer quelque part plus près du matériel lui-même. Ce changement a de réelles conséquences pour toute personne attachée à la vie privée, et pas seulement pour les mineurs que ces lois sont censées protéger.

Trois fronts dans le même combat

Le retour de la KOSA au Sénat n’est pas son premier passage dans le processus législatif. Le texte a déjà été adopté par une commission sénatoriale par le passé dans un contexte d’avertissements répétés des organisations de défense des libertés civiles concernant les implications pour la liberté d’expression et la vie privée, et il a également été approuvé par la commission du commerce du Sénat en même temps que trois autres projets de loi avec un soutien bipartisan. Sa réapparition indique que les législateurs restent déterminés à adopter une version de la législation sur la protection de l’enfance, même si les questions sous-jacentes de vérification de l’âge demeurent non résolues.

Pendant ce temps, un tribunal du Nouveau-Mexique a ordonné à Meta de payer 567 millions de dollars, dernier épisode d’une série de sanctions liées à la manière dont l’entreprise traite les jeunes utilisateurs sur Instagram et Facebook. Des amendes de cette ampleur envoient un signal clair à toutes les grandes plateformes : les régulateurs et les tribunaux sont prêts à imposer des conséquences financières significatives lorsqu’il est établi que des entreprises ont manqué à leurs obligations envers les jeunes utilisateurs, et cette pression pousse les plateformes à adopter des mesures de vérification de l’âge plus agressives de leur propre initiative.

Il y a ensuite l’Illinois, qui adopte une approche structurellement différente. Plutôt que d’exiger de chaque application ou site web qu’il vérifie de façon indépendante l’âge d’un utilisateur, l’État déplace la vérification au niveau de l’appareil. En théorie, cela signifie qu’un téléphone, une tablette ou un ordinateur porterait lui-même une forme de justificatif d’âge que les applications pourraient consulter, au lieu que chaque plateforme recueille sa propre preuve d’âge.

Le compromis sur la vie privée dont personne ne parle

La vérification au niveau de l’appareil semble efficace sur le papier. Au lieu d’envoyer votre pièce d’identité à une douzaine d’applications différentes, l’appareil s’en charge une seule fois. Mais cette efficacité a un revers : elle centralise des données sensibles (votre âge, et potentiellement les documents d’identité utilisés pour le confirmer) d’une manière qui pourrait faire des appareils eux-mêmes des cibles attrayantes pour la collecte de données, le suivi ou les violations de données. Elle soulève également la question de savoir qui contrôle ce justificatif, combien de temps il est conservé et s’il peut être réutilisé pour suivre le comportement au-delà de la simple confirmation de l’âge.

C’est la tension au cœur de la poussée en faveur de la vérification de l’âge. Les défenseurs de la protection de l’enfance soutiennent que les plateformes ont besoin d’une véritable preuve d’âge pour tenir les mineurs à l’écart des contenus préjudiciables. Les défenseurs de la vie privée répondent que les systèmes de vérification, aussi bien intentionnés soient-ils, tendent à normaliser la collecte de données d’identité et le suivi comportemental bien au-delà de leur finalité initiale. Une fois qu’une infrastructure de vérification existe, que ce soit au niveau de l’application ou de l’appareil, la tentation de l’utiliser à des fins publicitaires, de profilage ou à d’autres fins secondaires ne disparaît pas d’elle-même.

TikTok et le Royaume-Uni : un aperçu de ce qui nous attend

L’enquête de l’Ofcom sur TikTok donne un aperçu de la manière dont ces débats se déroulent une fois que les systèmes de vérification sont déjà en place. En vertu de l’Online Safety Act britannique, l’Ofcom a critiqué l’approche d’« inférence d’âge » de TikTok, qui tente d’estimer si un utilisateur est un enfant à partir de données comportementales et de signaux liés au compte, plutôt que d’exiger une preuve directe de l’âge. La préoccupation du régulateur est simple : l’inférence n’est pas une vérification, et si le système ne détecte pas de manière fiable les utilisateurs mineurs, il échoue dans son objectif premier, qui est de protéger les enfants des contenus préjudiciables.

Mais l’inférence d’âge elle-même repose sur la collecte et l’analyse à grande échelle du comportement des utilisateurs, ce qui constitue en soi une forme de collecte de données. Que les plateformes s’appuient sur l’inférence ou sur une vérification stricte, la tendance de fond est la même : davantage de données sur les utilisateurs sont recueillies au nom de la sécurité, et ces données doivent bien être stockées quelque part, conservées pendant un certain temps et protégées contre tout usage abusif.

Ce que cela signifie pour vous

Si vous êtes parent, ces évolutions laissent penser que davantage de plateformes demanderont bientôt une preuve d’âge plus solide, que ce soit par l’envoi de documents, l’estimation biométrique ou des justificatifs au niveau de l’appareil. Si vous êtes simplement un internaute soucieux de sa vie privée, il vaut la peine de prêter attention à la manière dont ces systèmes traitent vos données une fois collectées, à la durée de leur conservation et à leur éventuel partage au-delà de la finalité immédiate de confirmation de votre âge.

Les outils tels que les VPN et les navigateurs chiffrés ne dispenseront personne des exigences de vérification d’âge intégrées aux applications ou aux systèmes d’exploitation, mais ils restent utiles pour limiter l’exposition inutile des données ailleurs, notamment en ce qui concerne les habitudes de navigation, la localisation et les courtiers en données tiers qui opèrent indépendamment de ces nouveaux systèmes de filtrage par l’âge.

Mesures concrètes à adopter

Tenez-vous informé des applications et services que vous utilisez qui adoptent la vérification de l’âge, et lisez les politiques de confidentialité accompagnant ces changements, car les conditions de conservation et de partage des données évoluent souvent en même temps que les nouvelles exigences de vérification. Si la vérification au niveau de l’appareil arrive sur votre téléphone ou votre ordinateur, regardez quels réglages contrôlent ce justificatif et s’il peut être limité à des applications précises plutôt que partagé de manière large. Et continuez de suivre l’évolution de la KOSA au Sénat. Sa formulation finale façonnera probablement les normes de vérification de l’âge à l’échelle nationale, ce qui en fait l’un des débats sur la vie privée les plus importants de l’année pour toute personne qui utilise les réseaux sociaux, que vous soyez parent, adolescent ou simple citoyen.