Une plateforme sociale accessible aux mineurs ne peut plus se contenter d’une case à cocher « j’ai plus de 15 ans ». Le cadre français, construit par la loi sur la majorité numérique puis par la loi SREN, impose une vérification d’âge fiable, robuste et respectueuse de la vie privée, dont l’Arcom fixe les exigences techniques dans un référentiel. Traduction opérationnelle pour un éditeur : un tiers indépendant vérifie l’âge, la plateforme ne voit jamais l’identité, et le vérificateur ne sait jamais quel service est consulté. C’est le principe du double anonymat.
La confusion est fréquente en comité de direction, elle coûte cher en arbitrages. Deux dispositifs coexistent.
Ajoutez-y l’article 28 du règlement européen sur les services numériques (DSA), qui oblige les plateformes accessibles aux mineurs à garantir un niveau élevé de sécurité et de confidentialité, et les lignes directrices de la Commission européenne sur la protection des mineurs. Le message convergent est simple : le déclaratif est mort, la collecte massive de pièces d’identité aussi.
C’est le point structurant, hérité des recommandations de la CNIL. Le dispositif doit reposer sur un tiers vérificateur indépendant de la plateforme. Concrètement, deux cloisons étanches :
Toute architecture où l’éditeur récupère lui-même une copie de carte d’identité, même « le temps de la vérification », est hors référentiel. Et hors RGPD, principe de minimisation à l’appui.
Le référentiel attend une solution qui tienne face aux tentatives réelles de contournement : réutilisation du compte d’un adulte, document emprunté, capture d’écran, deepfake, injection vidéo, VPN. Un test de vivacité, une détection d’attaque par présentation et une gestion sérieuse des sessions ne sont pas des options marketing, ce sont des critères de conformité. Une preuve d’âge doit être liée à la personne qui l’utilise, pas à un appareil que trois ados se passent en récréation.
Trois obligations pratiques à inscrire au cahier des charges :
Face à l’Arcom, l’engagement de bonne foi ne pèse rien. Il faut être capable de produire une documentation d’architecture, les résultats de tests de robustesse, une analyse d’impact relative à la protection des données, et les preuves d’indépendance du tiers vérificateur. Ce dossier se construit avant la mise en demeure, pas après.
Pour un DSI, le sujet n’est pas « ajouter un écran de vérification ». Il touche au parcours d’inscription, au modèle de données et au support client. Les chantiers réels :
L’estimation d’âge par analyse d’image progresse, elle est utile en première barrière et évite de sortir un document. Mais autour de 15 ans, la marge d’erreur reste précisément là où la loi place le seuil. Un dispositif crédible combine donc estimation, preuve forte en cas de doute, et résistance à la fraude. C’est le sens de l’approche par niveaux d’assurance : le niveau exigé dépend du risque du contenu, pas du budget disponible.
Nous avons construit GreenBadg sur cette contrainte, pas autour d’elle. La technologie repose sur un double anonymat natif : la plateforme intègre une API, reçoit une attestation d’âge cryptographique, et ne stocke aucune donnée d’identité. De notre côté, nous ne savons pas quel service la personne consulte. Ce choix d’architecture a été validé dans l’usage le plus exigeant qui soit, la diffusion de contenus pour adultes, avec des acteurs comme le groupe Dorcel, avant d’être décliné sur des contrôles d’accès physiques et des parcours phygitaux, notamment dans l’univers événementiel et industriel.
IDxLAB est né et opère depuis l’écosystème French Tech Aix-Marseille, avec des partenaires industriels comme CMA CGM et une présence régulière dans les médias économiques, dont BFM Business. Nous ne commentons pas la réglementation, nous livrons le composant qui permet de s’y conformer sans transformer une plateforme sociale en fichier d’identités.
Références utiles : l’Arcom, Tour Mirabeau, 39-43 quai André-Citroën, 75015 Paris (arcom.fr) et la CNIL, 3 place de Fontenoy, 75007 Paris (cnil.fr).
Le référentiel adopté en application de la loi SREN vise en premier lieu les services diffusant des contenus pornographiques. Pour les réseaux sociaux, l’obligation découle de la loi sur la majorité numérique et de l’article 28 du DSA. Mais les exigences techniques du référentiel, double anonymat, robustesse, minimisation, constituent le standard que tout régulateur français appliquera de fait.
C’est une architecture à deux cloisons : la plateforme connaît le statut d’âge sans connaître l’identité, et le tiers vérificateur connaît l’identité sans savoir quel service est consulté. Aucune des deux parties ne peut reconstituer le profil complet de l’utilisateur, même en cas de fuite.
Non. Une case à cocher ou une saisie de date de naissance n’offre aucune fiabilité et ne satisfait plus ni le régulateur français ni les attentes européennes en matière de protection des mineurs.
Oui, plusieurs chemins existent : vérification via un fournisseur d’identité, un opérateur télécom, un moyen bancaire ou une estimation d’âge complétée par une preuve forte en cas de doute. Proposer plusieurs options réduit l’abandon et évite d’exclure les personnes sans document valide.
Il n’existe pas de durée universelle : elle se définit selon le risque, avec une re-vérification déclenchée par des événements sensibles, changement d’appareil, réactivation de compte ou accès à des fonctionnalités restreintes. Cette politique doit être documentée pour être opposable en cas de contrôle.
