Vérification d’âge en ligne : ce que la loi SREN impose aux éditeurs de sites adultes

Depuis la loi visant à sécuriser et réguler l’espace numérique (dite loi SREN), promulguée le 21 mai 2024, un site diffusant du contenu pornographique ne peut plus se contenter d’une case « je certifie avoir 18 ans ». L’éditeur doit mettre en place un dispositif technique de vérification d’âge conforme au référentiel de l’Arcom, respectueux du principe de double anonymat et compatible avec le RGPD. Voici comment cette obligation se traduit concrètement, étape par étape.

Ce que la loi SREN change pour les éditeurs

L’interdiction de rendre un contenu pornographique accessible à un mineur n’est pas nouvelle : elle découle de l’article 227-24 du code pénal. Ce qui change, c’est le niveau d’exigence sur les moyens. La loi SREN confie à l’Arcom le pouvoir d’établir un référentiel technique décrivant les caractéristiques minimales attendues d’un système de vérification d’âge, et de sanctionner les manquements, jusqu’au blocage et au déréférencement du service en France.

Autrement dit : un mur d’avertissement, un bouton « entrer » ou une déclaration sur l’honneur ne constituent plus une mesure de protection. L’éditeur doit être capable de démontrer qu’un utilisateur a effectivement franchi un contrôle d’âge robuste avant d’accéder au contenu, y compris sur les pages d’aperçu, les vignettes et les extraits gratuits.

Le référentiel de l’Arcom et le principe du double anonymat

Le référentiel adopté par l’Arcom s’appuie sur une exigence structurante : le double anonymat, recommandé de longue date par la CNIL. Le mécanisme repose sur la séparation stricte de deux rôles.

• Le fournisseur de preuve d’âge vérifie l’âge de la personne, mais n’apprend jamais quel site elle cherche à consulter.
• L’éditeur du site reçoit une attestation de majorité valide, mais n’apprend jamais l’identité de la personne ni la manière dont son âge a été établi.

Cette architecture répond à une objection légitime des internautes : personne ne souhaite associer son nom, sa pièce d’identité ou son visage à ses habitudes de consultation. Un dispositif qui obligerait l’éditeur à collecter directement une carte d’identité serait non seulement contraire au référentiel, mais aussi un risque juridique et réputationnel majeur en cas de fuite de données.

Les méthodes considérées comme insuffisantes

Trois pratiques sont à éliminer d’un audit de conformité :

• l’auto-déclaration, sous toutes ses formes (case à cocher, saisie d’une date de naissance, pop-up d’avertissement) ;
• l’usage de la carte bancaire comme unique preuve de majorité, un mineur pouvant disposer d’une carte de paiement ;
• l’envoi d’une copie de pièce d’identité par formulaire ou par e-mail à l’éditeur, incompatible avec le double anonymat et avec la minimisation des données.

Les approches conformes

Plusieurs familles de solutions permettent d’atteindre le niveau attendu, souvent combinées pour offrir un choix à l’utilisateur :

• L’estimation d’âge par analyse faciale, réalisée idéalement sur l’appareil de l’utilisateur, sans conservation de l’image et sans identification de la personne. Elle est rapide, mais suppose une marge d’erreur gérée par un seuil de sécurité et une voie de recours.
• L’attestation issue d’un schéma d’identité numérique ou d’un fournisseur tiers de confiance, qui transmet un simple jeton « majeur : oui » sans autre attribut.
• La vérification documentaire déportée chez un prestataire spécialisé, qui contrôle le document puis n’émet qu’une preuve d’âge à durée de vie limitée.

Concilier vérification d’âge et RGPD

La conformité ne se joue pas seulement sur l’efficacité du filtre. Elle se joue aussi sur la façon dont les données circulent. Quatre réflexes s’imposent.

• Minimisation : ne transmettre que le résultat binaire de la vérification, jamais la date de naissance exacte, le numéro de document ou une photo.
• Base légale et information : documenter le fondement du traitement, qui découle d’une obligation légale, et l’expliquer dans une notice claire, distincte de la politique de cookies.
• Données biométriques : l’estimation d’âge faciale relève d’un traitement sensible. Il faut vérifier que le prestataire ne conserve ni gabarit ni image, et prévoir une alternative pour les personnes qui refusent la caméra.
• Analyse d’impact : une AIPD est fortement recommandée, avec description des flux, des durées de conservation et du chiffrement des jetons.

La CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr) publie des recommandations sur les systèmes de vérification d’âge, et l’Arcom (Tour Mirabeau, 39-43 quai André Citroën, 75015 Paris, arcom.fr) met à disposition son référentiel et ses décisions. Ce sont les deux sources à suivre en priorité avant tout choix technique.

Feuille de route en six étapes

1. Cartographier les points d’entrée : page d’accueil, pages catégories, résultats de recherche, flux RSS, applications mobiles, liens partagés, aperçus sur les réseaux sociaux. Un seul chemin non protégé suffit à invalider le dispositif.
2. Choisir un ou plusieurs fournisseurs de preuve d’âge et exiger la documentation de leur conformité au double anonymat, ainsi que les résultats de tests indépendants sur la précision de l’estimation d’âge.
3. Concevoir le parcours utilisateur : message d’explication, choix de la méthode, temps de vérification, gestion de l’échec, procédure de contestation.
4. Gérer la persistance : décider de la durée de validité de la preuve, du support (jeton chiffré, cookie de session sécurisé) et du comportement en cas de changement d’appareil.
5. Tester et mesurer : taux d’abandon, taux de faux refus, latence, accessibilité pour les personnes en situation de handicap, compatibilité mobile.
6. Documenter : conserver les preuves de mise en conformité, les contrats de sous-traitance, l’AIPD et les journaux techniques anonymisés, afin de pouvoir répondre à une demande de l’autorité de régulation.

Anticiper le cadre européen

La question de la protection des mineurs en ligne dépasse la France : le règlement sur les services numériques impose aux plateformes des mesures appropriées, et les travaux européens sur l’identité numérique dessinent un futur où une attestation de majorité pourra être présentée depuis un portefeuille d’identité. Pour un éditeur, l’enjeu pratique est d’adopter dès maintenant une architecture modulaire, capable d’ajouter un nouveau fournisseur de preuve d’âge sans refondre le tunnel d’accès.

FAQ

Une case à cocher « j’ai plus de 18 ans » est-elle encore valable ?

Non. L’auto-déclaration n’est pas considérée comme une mesure de protection des mineurs. Elle doit être remplacée par un dispositif technique de vérification d’âge conforme au référentiel de l’Arcom.

La carte bancaire suffit-elle à prouver la majorité ?

Non. Des mineurs peuvent détenir une carte de paiement, ou utiliser celle d’un proche. Le paiement peut compléter un dispositif, mais il ne constitue pas à lui seul une preuve d’âge acceptable.

Qu’est-ce que le double anonymat, en une phrase ?

C’est le fait que le vérificateur d’âge ne sache pas quel site vous visitez, et que le site ne sache pas qui vous êtes : il ne reçoit qu’une attestation de majorité.

Un site hébergé hors de France est-il concerné ?

Dès lors qu’un service est accessible depuis la France et y diffuse du contenu pornographique, l’autorité de régulation peut engager une procédure et demander des mesures de blocage ou de déréférencement, quel que soit le pays d’hébergement.

Faut-il vérifier l’âge à chaque visite ?

Pas nécessairement. Une preuve d’âge peut rester valide pendant une durée limitée, via un jeton sécurisé. Il faut arbitrer entre confort d’usage et risque de partage d’appareil, puis documenter ce choix.