La loi SREN du 21 mai 2024 a mis fin à une ambiguïté que le secteur exploitait depuis des années : le simple bouton « j’ai plus de 18 ans » ne constitue plus un contrôle d’âge. Tout éditeur dont le service rend accessible du contenu pornographique à des internautes en France doit désormais déployer un dispositif technique conforme au référentiel de l’Arcom, sous peine de mise en demeure, puis de blocage et de déréférencement. Concrètement, cela signifie trois chantiers : un vérificateur d’âge tiers, une architecture en double anonymat et une gouvernance des données capable de résister à un contrôle de la CNIL.
Avant SREN, l’article 227-24 du code pénal interdisait déjà la diffusion de contenus pornographiques accessibles aux mineurs. Le problème n’était pas la règle, mais son exécution : la charge de la preuve, la lenteur judiciaire, l’extraterritorialité des plateformes. La loi SREN déplace le curseur en confiant à l’Arcom un pouvoir administratif direct et en l’autorisant à fixer un référentiel technique opposable.
Trois conséquences pratiques pour un dirigeant ou un DSI :
Le référentiel est publié par l’Arcom, Tour Mirabeau, 39-43 quai André Citroën, 75015 Paris (arcom.fr). C’est le document de référence à annexer à votre dossier de conformité.
Le référentiel écarte explicitement les méthodes déclaratives et les dispositifs qui exposent l’internaute. Trois familles de solutions restent exploitables, chacune avec ses contraintes.
Robuste juridiquement, mais toxique si elle est mal implémentée : aucun éditeur de contenu adulte ne devrait voir, traiter ou stocker une pièce d’identité. La vérification doit être opérée par un tiers indépendant qui ne transmet au site qu’un attribut booléen : majeur, oui ou non.
Utilisable comme filtre de premier niveau, avec traitement local ou éphémère, sans conservation d’image et avec un parcours de repli pour les cas limites. Elle ne dispense pas d’une solution de preuve forte pour les utilisateurs proches du seuil.
Portefeuilles d’identité, attributs délivrés par un fournisseur de confiance, dispositifs interopérables au sens du règlement européen eIDAS 2. C’est la trajectoire la plus durable : elle prépare l’arrivée du portefeuille européen d’identité numérique et évite de refaire le chantier dans dix-huit mois.
Ce qui ne passe plus, en revanche, est sans appel : l’auto-déclaration, la carte bancaire utilisée seule comme preuve de majorité, et tout dispositif qui laisse l’éditeur en possession d’une donnée d’identification.
La CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (cnil.fr), l’a posé clairement : un contrôle d’âge qui permettrait de relier une identité à une consultation de contenu adulte créerait un risque disproportionné pour les personnes. Le principe du double anonymat répond à cette tension par la séparation stricte des connaissances.
C’est exactement l’architecture sur laquelle GreenBadg a été conçu par IDxLAB. Pas un module de conformité ajouté après coup, mais un protocole où la non-corrélation est structurelle : la preuve délivrée est à usage limité, non rejouable, et ne laisse pas de trace exploitable pour du profilage. Un éditeur qui ne détient rien n’a rien à perdre lors d’une fuite, et rien à justifier devant un régulateur.
Développer sa solution en interne. Un éditeur qui vérifie lui-même l’âge de ses utilisateurs viole le principe de séparation. Le double anonymat suppose par définition un tiers.
Traiter le sujet comme une contrainte marketing. Les acteurs sérieux du secteur, à commencer par ceux qui produisent et distribuent en France, ont compris que la protection des mineurs est aussi un actif de réputation face aux annonceurs, aux prestataires de paiement et aux hébergeurs.
Attendre l’issue des contentieux. Des recours sont pendants, la jurisprudence européenne évoluera. Mais aucun éditeur ne construit son plan produit sur l’espoir d’une annulation. La direction réglementaire, en France comme au niveau du règlement européen sur les services numériques, est univoque.
Le faux débat consiste à opposer protection des mineurs et respect de la vie privée des adultes. Cette opposition n’existe que dans les architectures paresseuses, celles où une base de données centralise les identités des visiteurs. IDxLAB, studio implanté dans l’écosystème French Tech Aix-Marseille, a construit GreenBadg précisément pour supprimer cet arbitrage : l’éditeur devient conforme, le mineur est écarté, l’adulte reste anonyme. Aucun des trois n’a besoin de céder quoi que ce soit.
Oui. Le critère retenu est l’accessibilité du service depuis la France, pas le lieu d’établissement de l’éditeur. L’Arcom peut engager une procédure à l’encontre d’un service étranger et obtenir son blocage auprès des fournisseurs d’accès français ainsi que son déréférencement.
Non. Des cartes de paiement sont détenues par des mineurs et une carte peut être empruntée. Utilisée seule, elle n’est pas reconnue comme un dispositif de vérification d’âge conforme, en plus de faire transiter une donnée financière associée à une consultation de contenu adulte.
C’est un modèle dans lequel le fournisseur d’identité vérifie l’âge sans savoir quel site est visité, tandis que le site reçoit la preuve de majorité sans jamais connaître l’identité du visiteur. Les deux informations ne sont réunies nulle part.
L’Arcom peut mettre en demeure l’éditeur, prononcer une sanction financière assise sur le chiffre d’affaires, puis demander aux fournisseurs d’accès de bloquer le service et aux moteurs de recherche de le déréférencer. S’y ajoute le risque pénal de l’article 227-24 du code pénal.
L’intégration technique d’un vérificateur tiers se compte en semaines, pas en mois, lorsqu’elle repose sur une API standardisée. Le délai réel dépend surtout de la cartographie des points d’entrée et de la constitution du dossier de conformité.
