Un moteur de recherche d’identité, du type IDseek, agrège des traces publiques ou semi-publiques pour reconstituer le profil d’une personne à partir d’un nom, d’un e-mail, d’un numéro ou d’une photo. C’est un outil d’investigation et de connaissance client. Ce n’est pas un dispositif de vérification d’âge, et confondre les deux expose une plateforme à un double risque : une obligation légale non remplie, et un traitement de données personnelles disproportionné.
Le principe est simple : partir d’un identifiant faible (une adresse e-mail, un pseudo, un numéro de téléphone) et le corréler à d’autres sources pour produire une hypothèse d’identité. Réseaux sociaux, registres d’entreprises, fuites de données publiées, annuaires, bases de sanctions internationales. L’outil ne crée aucune donnée : il rassemble ce qui existe déjà et le recoupe.
Un moteur de recherche produit une corrélation, jamais une preuve. Trois faiblesses en découlent. D’abord, la qualité des sources : un homonyme, un profil abandonné, une donnée périmée suffisent à générer un faux positif. Ensuite, l’absence de lien avec la personne présente devant l’écran : rien ne garantit que l’individu qui saisit un e-mail est bien son titulaire. Enfin, le régime juridique : agréger massivement des données personnelles pour profiler un utilisateur relève du RGPD, avec une base légale à démontrer, une minimisation à respecter et une analyse d’impact souvent obligatoire.
La confusion vient de là. Ces trois actions n’ont ni la même finalité ni le même niveau d’exigence.
La vérification d’âge relève de la troisième catégorie. Elle n’a besoin ni du nom, ni de l’adresse, ni de l’historique numérique de l’utilisateur. Elle a besoin d’une seule information binaire : majeur, oui ou non. Tout ce qui dépasse cette réponse est une collecte excessive, et donc un risque.
La loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique, dite loi SREN, impose aux éditeurs de contenus pornographiques un contrôle d’âge effectif, encadré par un référentiel technique élaboré par l’Arcom. Ce référentiel pose deux exigences que les moteurs de recherche d’identité ne peuvent pas remplir.
Un régulateur n’accepte pas une probabilité. Une déclaration sur l’honneur ne suffit pas, une inférence à partir de données publiques encore moins. Il faut une source de confiance vérifiable : document d’identité contrôlé, données bancaires, opérateur télécom, identité numérique certifiée.
C’est l’exigence structurante, portée par la CNIL (3 place de Fontenoy, 75007 Paris, cnil.fr) et par l’Arcom (arcom.fr). Le fournisseur de vérification ne doit pas savoir quel site l’utilisateur consulte. Le site ne doit pas savoir qui est l’utilisateur. Un moteur de recherche d’identité fait exactement l’inverse : il concentre l’information au lieu de la cloisonner. Utilisé comme filtre d’accès, il transformerait chaque plateforme en base de données nominative de ses visiteurs, avec les conséquences que l’on connaît en cas de fuite : chantage, outing, atteinte à l’intimité.
GreenBadg, développée par IDxLAB, repose sur ce principe de cloisonnement. La vérification est effectuée une fois par un tiers de confiance, puis convertie en preuve d’attribut réutilisable. Le site reçoit un signal cryptographique valide, pas une identité. Le vérificateur constate une émission de preuve, pas une destination.
Les conséquences opérationnelles sont directes :
Posez-vous la question de la finalité avant celle de l’outil. Si vous devez enquêter sur un compte suspect, documenter une fraude ou contrôler un partenaire commercial, un moteur de recherche d’identité a sa place, avec une base légale documentée, une durée de conservation courte et une traçabilité des consultations. Si vous devez conditionner l’accès à un service, vous êtes dans le champ de la preuve d’attribut, et l’outil doit être conçu pour prouver sans révéler.
Le raccourci qui consiste à réutiliser une brique d’identification pour faire du contrôle d’accès est tentant, parce qu’elle existe déjà dans le SI. Il coûte cher : collecte excessive, exposition RGPD, abandon utilisateur, et une conformité qui ne tient pas face à un contrôle. IDxLAB, implanté dans l’écosystème French Tech Aix-Marseille, construit ses briques sur la logique inverse : la donnée la mieux protégée est celle qu’on ne collecte jamais.
Son usage n’est pas interdit en soi, mais il constitue un traitement de données personnelles soumis au RGPD. Il faut une finalité déterminée, une base légale solide (intérêt légitime ou obligation légale dans les cas de LCB-FT), une minimisation effective et, le plus souvent, une analyse d’impact. Un usage exploratoire ou systématique sur des utilisateurs finaux est difficilement défendable.
On peut l’estimer, pas le prouver. Une estimation probabiliste ne répond pas à l’exigence de fiabilité attendue par le régulateur, et elle échoue précisément là où l’enjeu est maximal : les mineurs qui contournent volontairement les contrôles, dont l’empreinte numérique publique est faible ou falsifiée.
La vérification d’identité établit qui vous êtes et transmet cette information au service. La vérification d’âge établit uniquement que vous avez dépassé un seuil légal et ne transmet que cette réponse binaire. La seconde est bien moins intrusive et suffit à remplir l’obligation prévue par la loi SREN.
C’est le principe directeur retenu par la CNIL et repris dans les travaux de l’Arcom sur le contrôle d’âge. Concrètement, une solution qui ne cloisonne pas l’information entre le fournisseur de preuve et le site consulté s’expose à des réserves sérieuses en cas de contrôle, en plus du risque de sécurité qu’elle crée.
Cartographiez-les, qualifiez leur base légale, purgez ce qui n’est plus justifié et coupez toute réutilisation à des fins de contrôle d’accès. Puis basculez la fonction de filtrage sur une brique de preuve d’attribut, qui n’exige aucun stockage nominatif côté plateforme.
Un moteur de recherche d’identité agrège des traces publiques ou semi-publiques pour reconstituer le profil d’une personne à partir d’un nom, d’un e-mail, d’un numéro ou d’une photo. Il sert principalement à la lutte contre la fraude, aux vérifications de due diligence, aux investigations OSINT et à l’évaluation de la surface d’attaque d’une entreprise.
Non, un moteur de recherche d’identité n’est pas un dispositif de vérification d’âge. Confondre ces deux outils expose une plateforme à un double risque : ne pas remplir son obligation légale de vérification d’âge et traiter les données personnelles de façon disproportionnée.
L’outil part d’un identifiant faible comme une adresse e-mail ou un numéro de téléphone et le corrèle à d’autres sources publiques ou semi-publiques (réseaux sociaux, registres d’entreprises, fuites de données, annuaires, bases de sanctions). Il rassemble et recoupe des données existantes sans en créer de nouvelles.
Un moteur de recherche produit une corrélation, jamais une preuve. Ses faiblesses incluent la mauvaise qualité des sources (homonymes, profils abandonnés), l’absence de garantie que la personne devant l’écran est bien titulaire des identifiants saisis, et les exigences du RGPD pour agréger massivement des données personnelles.
Les usages légitimes incluent la lutte contre la fraude, la due diligence et la lutte contre le blanchiment de capitaux, les investigations OSINT menées par des équipes sécurité ou antifraude, et l’évaluation de l’hygiène de surface d’attaque d’une entreprise face aux tentatives d’ingénierie sociale.
