Un tribunal fédéral a suspendu l'une des tentatives les plus agressives à ce jour de réguler l'usage des VPN au niveau des États. Selon l'Electronic Frontier Foundation (EFF) et d'autres sources, le juge de district américain David Barlow a accordé une injonction préliminaire le 24 septembre, bloquant le SB 73 de l'Utah, une loi que ses critiques ont décrite comme un mandat anti-VPN de vérification de l'âge. L'injonction contre la loi VPN de l'Utah n'est pas une décision définitive, mais elle constitue une victoire précoce significative pour les défenseurs de la vie privée.
Ce que le tribunal a bloqué dans le SB 73 de l'Utah
Le SB 73 modifiait les règles existantes de l'Utah en matière de vérification de l'âge pour les contenus pour adultes. Les comptes rendus de l'affaire décrivent la disposition comme exigeant des entreprises qu'elles vérifient l'âge de tout utilisateur physiquement situé dans l'Utah, quelle que soit sa méthode de connexion. En pratique, cela signifiait qu'une personne dans l'Utah utilisant un VPN pour apparaître ailleurs pouvait toujours engager la responsabilité légale du site web qu'elle visitait.
C'est ce qui distinguait cette loi. Les lois antérieures sur la vérification de l'âge demandaient généralement aux sites de vérifier l'âge des visiteurs qui semblaient se trouver dans un État donné. Cette approche déplaçait l'attention vers la localisation physique réelle de l'utilisateur, que une plateforme ne peut pas voir directement lorsqu'un VPN s'interpose. Les comptes rendus indiquent que l'affaire a été portée par le propriétaire de Pornhub, et que le tribunal a donné raison au plaignant en empêchant l'Utah d'appliquer la disposition pendant la poursuite de l'affaire.
Une injonction préliminaire signifie que le juge a trouvé suffisamment de fondement dans la contestation pour arrêter l'application pour l'instant. Le combat juridique sous-jacent n'est pas terminé, et l'État pourrait faire appel ou continuer à défendre la loi.
Pourquoi détecter les utilisateurs de VPN est techniquement impossible
L'argument central de l'EFF, que le tribunal a accepté selon l'angle de ses comptes rendus, est que la loi exige quelque chose que les plateformes ne peuvent pas faire. L'EFF a également soumis des commentaires au Département du commerce de l'Utah détaillant comment forcer les plateformes à détecter et bloquer les utilisateurs de VPN ne fonctionne pas comme la loi le suppose.
Le raisonnement est facile à suivre même sans connaissances en réseautique. Lorsque vous vous connectez via un VPN, un site web voit généralement l'adresse du serveur VPN, et non votre connexion domestique. De nombreuses personnes partagent cette même adresse en même temps, et celle-ci peut être située dans une autre ville, un autre État ou un autre pays. Le site n'a aucun moyen fiable de regarder derrière elle et de confirmer où se trouve un visiteur en particulier.
Une loi qui tient une plateforme responsable pour des utilisateurs de l'Utah qu'elle ne peut pas identifier crée quelques problèmes :
- Aucun signal fiable. Si l'information de localisation est masquée par conception, la plateforme en est réduite à deviner.
- Dommages collatéraux. Bloquer le trafic VPN suspect toucherait aussi les personnes utilisant des VPN pour des raisons ordinaires, comme protéger des données sur un Wi-Fi public ou sécuriser le travail à distance.
- Pression vers des vérifications plus larges. Si un site ne peut pas déterminer qui se trouve dans l'Utah, la voie de conformité la plus sûre peut être de vérifier tout le monde, ce qui soulève ses propres préoccupations en matière de vie privée.
Les VPN sont largement utilisés à des fins légitimes de sécurité et de confidentialité, et une règle qui les traite effectivement comme une faille à combler met tous ces usages en danger.
Ce que cela signifie pour la vérification de l'âge et l'accès aux VPN ailleurs
L'Utah a été décrit dans les discussions publiques comme le premier État à tenir les sites web responsables pour les utilisateurs qui masquent leur localisation. Cela rend le résultat digne d'attention au-delà de ses frontières. Les législateurs d'autres États qui évaluent des règles de vérification de l'âge peuvent voir les VPN comme la faille évidente, et l'approche de l'Utah aurait pu servir de modèle.
Un tribunal qui juge l'exigence centrale irréalisable envoie un signal, même si une injonction d'un tribunal fédéral de district ne lie pas les autres États. Les législateurs rédigeant un langage similaire devront désormais tenir compte d'une conclusion judiciaire documentée selon laquelle la détection des VPN ne peut pas être réalisée de manière fiable. Les plateformes et les groupes de défense contestant les futures lois disposent également d'une feuille de route claire pour leurs arguments.
Il vaut aussi la peine de séparer deux débats qui sont souvent mélangés. L'un porte sur la question de savoir si les mineurs doivent être tenus à l'écart des contenus pour adultes. L'autre porte sur la manière, et à quel coût pour la vie privée de tous, cet objectif est poursuivi. L'affaire de l'Utah porte principalement sur la seconde question : savoir si une loi peut exiger quelque chose que la technologie ne permet pas.
Ce que cela signifie pour vous
Si vous vivez dans l'Utah ou y voyagez, la décision signifie que vous restez libre d'utiliser un VPN comme avant. La disposition qui aurait poussé les plateformes à traiter les connexions VPN comme un problème de conformité ne peut pas être appliquée pour l'instant.
Pour tous les autres, l'effet pratique est moins direct mais bien réel. Les règles de vérification de l'âge se multiplient, et chacune soulève des questions sur les données que vous confiez et qui les stocke. Un VPN ne remplace pas des choix réfléchis sur les sites auxquels vous confiez des documents d'identité ou des détails personnels.
Gardez également à l'esprit les limites de cette décision. Elle est préliminaire, et la loi pourrait revenir sous une forme modifiée si l'État gagne en appel ou si la législature la réécrit.
Ce que les utilisateurs soucieux de leur vie privée devraient surveiller ensuite
Plusieurs développements montreront si cette victoire tient :
- Les appels et la décision finale. Surveillez si l'Utah conteste l'injonction ou si l'affaire aboutit à une décision complète.
- L'élaboration des règles. Les commentaires de l'EFF au Département du commerce de l'Utah montrent que les régulateurs façonnent encore la manière dont ces règles fonctionneraient en pratique.
- Les projets de loi imitateurs. Soyez attentif à l'introduction, dans d'autres États, d'un langage ciblant les utilisateurs de VPN ou la localisation physique.
- Le comportement des plateformes. Certains sites répondent aux mandats de vérification de l'âge en restreignant entièrement l'accès, ce qui peut affecter des personnes bien au-delà de l'État concerné.
Points à retenir
- Continuez à utiliser un VPN pour des besoins légitimes de confidentialité et de sécurité ; rien dans cette décision ne change cela.
- Soyez prudent quant au téléversement de données d'identité ou biométriques sur n'importe quel site pour des vérifications d'âge, et lisez ce qu'il dit sur la conservation des données.
- Suivez l'agenda législatif de votre propre État en matière de vérification de l'âge et de propositions liées aux VPN.
- Restez informé, car l'injonction contre la loi VPN de l'Utah n'est qu'une étape dans un combat plus long sur l'étendue de l'ingérence des États dans la manière dont les gens se connectent à internet.
L'acceptation par le tribunal que la détection des VPN est techniquement impossible est un repère utile tant pour les législateurs que pour les utilisateurs. Nous continuerons à suivre l'évolution des règles des États en matière de vérification de l'âge et de VPN, alors revenez consulter les mises à jour sur vos droits à la vie privée numérique.
