Si votre plateforme diffuse des contenus réservés aux majeurs et qu’elle se contente encore d’un bouton « J’ai 18 ans », vous n’êtes pas en retard : vous êtes exposé. La loi SREN et le référentiel technique de l’Arcom imposent un dispositif de vérification d’âge réellement fiable, respectueux de la vie privée et auditable. Trente jours suffisent pour passer d’une situation de non-conformité à un déploiement documenté, à condition de traiter le sujet comme un projet produit, pas comme une case juridique à cocher.
La loi visant à sécuriser et réguler l’espace numérique a mis fin à l’auto-déclaration. Un éditeur de contenus pornographiques doit désormais s’assurer techniquement que ses visiteurs sont majeurs, selon des modalités définies par un référentiel de l’Arcom. En cas de manquement, le régulateur peut mettre en demeure, prononcer des sanctions financières, puis ordonner le blocage et le déréférencement du service. Le sujet ne se limite d’ailleurs plus aux seuls contenus adultes : l’article 28 du règlement européen sur les services numériques (DSA) et les lignes directrices de la Commission sur la protection des mineurs poussent l’ensemble des plateformes vers des dispositifs de contrôle d’âge proportionnés.
Trois principes en découlent. Premièrement, la fiabilité : le mécanisme doit résister au contournement trivial. Deuxièmement, la minimisation : vous n’avez pas à collecter une pièce d’identité, vous avez besoin d’une preuve de majorité. Troisièmement, le double anonymat : le fournisseur de vérification ne doit pas savoir quel site l’utilisateur consulte, et le site ne doit rien apprendre de l’identité de l’utilisateur. Ce n’est pas une recommandation esthétique, c’est le cœur du dispositif défendu conjointement par l’Arcom (Tour Mirabeau, 39-43 quai André Citroën, 75015 Paris, arcom.fr) et la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).
Beaucoup d’éditeurs, pressés par le calendrier, ont envisagé le scan de carte d’identité ou la reconnaissance faciale hébergée en interne. C’est le pire scénario : vous créez une base de données de pièces d’identité associées à des habitudes de consultation intimes. Un tel fichier est une bombe à retardement au regard du RGPD et une cible de choix pour l’exfiltration d’identifiants. Se mettre en conformité en fabriquant un risque de fuite majeur, c’est échanger une amende contre une crise.
Inventoriez tous les points d’entrée : site principal, sous-domaines, applications mobiles, flux vidéo embarqués chez des partenaires, pages d’atterrissage promotionnelles, liens d’affiliation. La non-conformité se loge presque toujours dans les chemins secondaires. Listez ensuite les données déjà collectées lors de la création de compte et du paiement, puis identifiez celles que vous pourrez supprimer une fois la preuve de majorité externalisée. Désignez un responsable unique du projet : conformité et technique doivent parler d’une seule voix.
Comparez les solutions sur cinq critères : conformité au référentiel Arcom, architecture en double anonymat vérifiable, taux de réussite du parcours utilisateur, latence, et couverture des cas limites (utilisateurs sans smartphone, sans pièce d’identité française, sans compte bancaire). Exigez un environnement de test la semaine même. Une solution de vérification d’âge qui ne se branche pas en bac à sable en quelques jours ne se déploiera pas en production en trois semaines. C’est précisément le calibrage que nous avons retenu chez IDxLAB pour GreenBadg : une preuve de majorité réutilisable, sans transmission d’identité au site, sans traçage du parcours par le vérificateur.
L’intégration technique est rarement le point dur. Le point dur, c’est le tunnel. Placez la vérification au bon moment, mesurez l’abandon à chaque étape, prévoyez un parcours de repli explicite et testez sur mobile en priorité. Deux règles simples : la preuve de majorité doit être réutilisable pour éviter de re-vérifier l’utilisateur à chaque session, et le message affiché doit expliquer en une phrase que le site ne recevra aucune donnée d’identité. La pédagogie fait gagner des points de conversion.
La conformité qui ne se prouve pas n’existe pas. Constituez un dossier comprenant : la description de l’architecture et des flux de données, l’analyse d’impact relative à la protection des données (AIPD) mise à jour, les contrats et clauses de sous-traitance avec le fournisseur, les journaux techniques démontrant l’absence de conservation de données identifiantes, la politique de confidentialité actualisée et le registre des traitements. Prévoyez enfin une réponse type en cas de demande de l’Arcom : un dossier prêt en 48 heures change radicalement la tonalité d’un échange avec le régulateur.
La tension apparente est connue : protéger les mineurs suppose de vérifier, vérifier suppose d’identifier, identifier détruit l’anonymat de l’utilisateur. Le double anonymat casse cette chaîne. Un tiers de confiance atteste de la majorité, le site reçoit une réponse binaire, et aucun des deux acteurs ne dispose du tableau complet. C’est l’approche que nous défendons depuis le premier jour chez IDxLAB, avec GreenBadg, aux côtés d’acteurs du secteur comme Dorcel, et depuis notre ancrage dans l’écosystème French Tech Aix-Marseille. Nous ne commentons pas la régulation : nous livrons la brique qui permet de s’y conformer sans transformer un éditeur en collecteur de pièces d’identité.
Le calendrier européen accélère encore le mouvement avec le déploiement des portefeuilles d’identité numérique prévus par le règlement eIDAS révisé. Les éditeurs qui auront déjà découplé la preuve d’âge de l’identité seront prêts. Les autres devront tout reprendre.
Non. L’auto-déclaration n’est plus considérée comme un dispositif fiable depuis la loi SREN et le référentiel technique de l’Arcom. Elle expose l’éditeur à une mise en demeure, puis à des mesures de blocage et de déréférencement.
Techniquement oui, juridiquement c’est très risqué. Le RGPD impose la minimisation des données : si une preuve de majorité suffit, collecter et conserver une pièce d’identité est disproportionné et crée un risque de fuite majeur.
C’est une architecture où le fournisseur de vérification ignore quel site l’utilisateur consulte, et où le site ignore l’identité de l’utilisateur. Il reçoit uniquement une attestation de majorité, sans donnée personnelle associée.
Oui, si la décision de solution est prise dans les deux premières semaines et si l’intégration est traitée comme un chantier produit prioritaire. Le facteur limitant est presque toujours l’arbitrage interne, pas la technique.
Elle a un coût si elle est mal placée dans le tunnel ou répétée à chaque session. Une preuve de majorité réutilisable, un parcours mobile fluide et un message clair sur l’absence de transmission d’identité limitent fortement l’abandon.
