Le double anonymat est une architecture de vérification d’âge dans laquelle le fournisseur d’identité ne sait jamais sur quel site l’utilisateur se connecte, et le site ne sait jamais qui est l’utilisateur. Il reçoit une seule information : majeur ou mineur. C’est la seule façon connue de satisfaire en même temps l’obligation de vérifier l’âge et le principe de minimisation des données du RGPD. Tout le reste relève du compromis, et le compromis se paie tôt ou tard, en fuite de données ou en mise en demeure.
Demander une pièce d’identité pour accéder à un service revient à constituer un fichier qui associe une identité civile à un comportement de consommation. Sur un site de contenus pour adultes, sur une plateforme de jeu ou sur une billetterie d’événement classé, ce fichier est une bombe à retardement. Il attire les attaquants, il expose l’éditeur à une sanction en cas de violation, et il dissuade une partie des utilisateurs légitimes de s’inscrire.
Les éditeurs le savent. C’est précisément pour cette raison que beaucoup ont traîné les pieds : ils ont eu le sentiment qu’on leur demandait de choisir entre la protection des mineurs et la protection de la vie privée des adultes. Ce dilemme est réel tant qu’on raisonne avec une architecture centralisée. Il disparaît dès qu’on casse la chaîne.
La plateforme ne reçoit ni nom, ni date de naissance, ni numéro de document, ni photo. Elle reçoit une attestation cryptographique dont le contenu utile tient en un bit : la personne a l’âge requis, oui ou non. Rien à stocker, rien à protéger, rien à perdre.
C’est le point que beaucoup de solutions dites « anonymes » ratent. Si le fournisseur d’identité sait que Madame Untel demande une preuve d’âge pour tel site, il reconstitue un historique de navigation d’une sensibilité extrême. Le double anonymat impose que l’émetteur de la preuve ignore le service destinataire. Techniquement, cela passe par une architecture à trois acteurs séparés, des jetons à usage unique et une absence totale de corrélateur commun entre les deux côtés de la chaîne.
Une solution qui ne réalise que la première rupture n’est pas du double anonymat. C’est de la pseudonymisation, et le RGPD la traite comme une donnée personnelle à part entière.
La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, dite loi SREN, a donné à l’Arcom le pouvoir d’imposer un référentiel technique aux services diffusant des contenus pornographiques, avec à la clé des mesures de blocage et de déréférencement. Le référentiel de l’Arcom retient explicitement le principe du double anonymat comme exigence de conception, et non comme option de confort.
De son côté, la CNIL défend cette architecture depuis ses premiers travaux sur le sujet, au nom de l’article 5 du RGPD : les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. Pour prouver qu’un utilisateur a plus de 18 ans, la nécessité s’arrête au résultat du contrôle. Conserver le document source au-delà de la vérification est un excès de collecte, et un excès de collecte se sanctionne.
La contrainte industrielle est simple : si le parcours dépasse quelques dizaines de secondes, il détruit la conversion et pousse les utilisateurs vers des services non conformes, souvent hébergés hors d’Europe. Un parcours correctement conçu tient en quatre temps.
Chez GreenBadg, la technologie développée par IDxLAB, c’est ce dernier point qui fait la différence à l’usage : l’éditeur dispose d’un journal de conformité opposable au régulateur, sans détenir la moindre donnée d’identité. Il peut prouver qu’il a vérifié, sans avoir à prouver qu’il protège correctement un fichier qu’il n’a jamais créé.
Ces six questions éliminent la majorité des offres du marché en une réunion. C’est le but.
Confondre KYC et vérification d’âge. Un parcours KYC bancaire identifie une personne : c’est son objet. Le réutiliser pour un mur d’âge revient à sur-collecter massivement, et à assumer la responsabilité qui va avec.
Traiter le sujet comme un projet purement juridique. La conformité se joue dans l’architecture, pas dans les mentions légales. Une politique de confidentialité impeccable ne compense jamais une base de données mal conçue.
Repousser le déploiement en attendant « la stabilisation du cadre ». Le cadre est posé, en France comme au niveau européen avec les travaux sur le portefeuille d’identité numérique. Attendre, c’est arriver en urgence, avec un fournisseur choisi dans la précipitation.
IDxLAB construit GreenBadg depuis l’écosystème French Tech Aix-Marseille avec une conviction simple : refuser l’arbitrage entre protection des mineurs et vie privée des adultes. Les deux sont techniquement compatibles. Ceux qui prétendent le contraire vendent une architecture datée, ou n’ont pas voulu payer le coût d’ingénierie de la séparation des rôles. Ce coût, nous l’avons payé, et il se traduit aujourd’hui par une intégration que nos partenaires, y compris des éditeurs de premier plan comme Dorcel, déploient sans reconstruire leur produit.
Le référentiel technique de l’Arcom, pris en application de la loi SREN, retient le double anonymat comme exigence de conception pour les services diffusant des contenus pornographiques. Au-delà de ce secteur, le principe de minimisation du RGPD rend toute collecte d’identité disproportionnée dès lors qu’une simple preuve d’âge suffit.
Ce sont deux couches distinctes. L’estimation faciale est une méthode de preuve, utile pour les publics éloignés du document d’identité, mais elle traite des données biométriques et comporte une marge d’erreur. Le double anonymat est l’architecture qui isole le résultat du reste de la chaîne. Une estimation d’âge sans double anonymat laisse subsister le risque de traçage.
Oui. Il conserve la preuve cryptographique qu’un contrôle valide a été effectué avant l’ouverture de l’accès, avec horodatage et référence du tiers vérificateur. C’est cette trace qui est opposable en cas de contrôle, pas l’identité de l’utilisateur.
Le facteur limitant est rarement technique : une intégration par API ou par redirection se pose sur un mur d’âge existant sans refonte du produit. Le calendrier dépend surtout des arbitrages internes sur le parcours utilisateur et des tests de conversion.
L’accès est bloqué, et c’est l’objet même du dispositif. La vraie question est celle de la diversité des moyens de preuve : proposer plusieurs voies, dont certaines sans document d’identité, réduit fortement l’abandon tout en maintenant le niveau de contrôle exigé.
