Une vérification d’âge est anonyme quand personne, à aucun moment, ne peut reconstituer le couple « telle personne a consulté tel site ». Cela suppose deux cloisonnements simultanés : le fournisseur d’identité ignore le site visité, le site ignore l’identité du visiteur. C’est le principe du double anonymat. Tout le reste relève du marketing, et se démonte en une demi-journée d’audit technique bien menée.
Le mot circule dans les appels d’offres depuis que la loi SREN du 21 mai 2024 a donné à l’Arcom le pouvoir d’imposer un référentiel technique aux éditeurs de contenus pour adultes, et d’ordonner le blocage des sites récalcitrants. Problème : « anonyme » n’a pas de définition contractuelle. Trois architectures très différentes se réclament de l’anonymat.
Un fournisseur qui vous répond « nous ne conservons pas les données » sans décrire le mécanisme qui l’en empêche vous vend une promesse, pas une garantie.
Exigez une cartographie des flux, acteur par acteur, avec pour chaque échange la nature exacte de la donnée transmise. Si le vérificateur reçoit l’URL d’origine, le referer HTTP ou un identifiant de marchand en clair, l’anonymat vis-à-vis du fournisseur n’existe pas. La bonne réponse est un intermédiaire aveugle ou un jeton signé émis en amont, sans contexte de destination.
Sur le terminal de l’utilisateur, sous forme d’attestation cryptographique, ou dans une base centrale ? La seconde option crée un actif attractif pour les attaquants et une obligation de conservation. Demandez le schéma de stockage, la durée de rétention et le sort de la pièce d’identité après contrôle : suppression immédiate après extraction de l’attribut « majeur », ou archivage « pour raisons de preuve » ?
C’est le test le plus discriminant. Si le jeton présenté au site B contient le même identifiant que celui présenté au site A, deux éditeurs qui recoupent leurs journaux reconstituent un profil de navigation. Cherchez les termes jeton à usage unique, non-corrélabilité, preuve à divulgation nulle de connaissance. Puis vérifiez-les dans un environnement de test : générez dix attestations et comparez leurs contenus.
Question déterminante, rarement posée. Si l’architecture permet de répondre à « qui a consulté tel service tel jour », alors le double anonymat n’est pas une propriété technique mais une politique interne, révocable. Demandez la réponse écrite, la même que celle que le fournisseur remettrait à un magistrat.
Certification PVID pour les composants d’identification à distance, analyse d’impact relative à la protection des données, tests d’intrusion datés, conformité au référentiel Arcom. Lisez le périmètre : un audit qui couvre le portail d’administration mais pas la chaîne de vérification ne vous protège de rien.
Hébergement dans l’Union européenne, absence de maison mère soumise à une législation d’accès extraterritoriale, réversibilité contractuelle. Le règlement eIDAS 2 et le déploiement du portefeuille européen d’identité numérique redessinent le paysage : une solution qui n’a pas de trajectoire d’interopérabilité avec ce cadre sera à remplacer.
Un modèle par transaction ou par abonnement s’aligne avec la protection de la vie privée. Un modèle adossé à de la donnée comportementale, du scoring ou de la publicité crée une incitation structurelle à conserver ce qu’il prétend ne pas conserver. Le business model est une spécification technique déguisée.
Réclamez un bac à sable, ouvrez les outils réseau de votre navigateur et exécutez un parcours complet. Observez les redirections, les paramètres transmis, les cookies déposés, les appels vers des domaines tiers. Trois signaux doivent alerter immédiatement : la transmission du domaine d’origine au vérificateur, un identifiant stable réutilisé d’une session à l’autre, et le chargement de scripts d’empreinte de terminal. Faites ensuite passer le même parcours à votre délégué à la protection des données. Ce qu’un commercial affirme en réunion, la capture réseau le confirme ou le contredit.
Mesurez aussi le taux d’abandon. Une solution irréprochable sur la vie privée mais qui perd la moitié des visiteurs à l’étape de vérification sera contournée, par les utilisateurs comme par vos propres équipes produit. La conformité qui ne tient pas en production n’est pas de la conformité.
Nous avons conçu GreenBadg à partir de cette contrainte, et non l’inverse. Le double anonymat y est une propriété d’architecture : le vérificateur ne connaît pas le service consulté, le service ne reçoit qu’une attestation de majorité non corrélable, et aucune brique ne détient les deux moitiés de l’information. Nous ne pouvons pas répondre à « qui a visité quoi », parce que la donnée n’existe nulle part.
Cette exigence a été éprouvée face à des contraintes réelles : trafic élevé, tolérance nulle à la friction, obligations de l’Arcom, attentes d’acteurs comme Dorcel côté contenus adultes, et cas d’usage phygitaux où la vérification doit se faire en quelques secondes, sur un terminal partagé, dans un hall d’événement. Un studio ancré dans l’écosystème French Tech Aix-Marseille, qui construit et déploie plutôt qu’il ne commente.
La protection des mineurs et le respect de la vie privée ne sont pas un arbitrage à négocier. Toute entreprise qui vous présente les deux comme un curseur à positionner vous vend son incapacité technique comme une fatalité.
La vérification anonyme désigne souvent le seul fait que le site ne reçoive pas d’identité. Le double anonymat ajoute la réciproque : le fournisseur d’identité ignore quel service est consulté. Sans cette seconde barrière, un tiers détient l’historique de navigation de vos utilisateurs sur des contenus sensibles.
Non. La loi du 21 mai 2024 fixe l’obligation de résultat et confie à l’Arcom l’élaboration d’un référentiel technique précisant les exigences, notamment de fiabilité et de protection des données. Le choix de la solution reste à l’éditeur, qui en assume la responsabilité en cas de mise en demeure ou de blocage.
C’est une méthode faible : des mineurs disposent de cartes de paiement, et elle exclut des adultes non bancarisés ou réticents à saisir un moyen de paiement pour un simple contrôle d’âge. Elle expose en outre une donnée financière là où seule l’information « majeur » est nécessaire.
Constituez un dossier de preuves : cartographie des flux, analyse d’impact, contrats et engagements de sous-traitance, rapports d’audit indépendants datés, journaux techniques démontrant l’absence de données identifiantes. La documentation d’architecture fournie par votre prestataire doit pouvoir être remise telle quelle.
L’incapacité à décrire par écrit ce qu’il pourrait produire sur réquisition judiciaire. Un acteur en double anonymat répond en quelques lignes et sans détour, parce que la réponse découle de son architecture.
