Vérification de l'âge en ligne : la CNIL a rendu son avis sur le référentiel de l’Arcom concernant l’accès aux sites pornographiques

Le contexte

Certains sites ou services sur Internet sont réservés aux majeurs, en particulier lorsqu’ils donnent accès à des contenus à caractère pornographique.

Pour vérifier l’âge des internautes, la loi visant à sécuriser et à réguler l'espace numérique (SREN) prévoit l’adoption par l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) d’un référentiel. Celui-ci détermine les exigences techniques minimales applicables aux systèmes de vérification de l’âge auxquels doivent recourir les sites diffusant des contenus à caractère pornographique.

Les sites internet visés par le référentiel doivent mettre en œuvre un système de contrôle de l'âge conforme aux caractéristiques techniques du référentiel dans un délai de trois mois après sa publication.

La CNIL s’est prononcée, le 26 septembre 2024, sur ce projet de référentiel dont les exigences portent sur la fiabilité du contrôle de l'âge des utilisateurs et sur le respect de leur vie privée.

L’avis de la CNIL

La CNIL accueille favorablement la publication par l’Arcom d’un référentiel encadrant les systèmes de vérification de l’âge reprenant une partie importante de ses préconisations relatives à la protection des données personnelles et de la vie privée.

Un tiers vérificateur indépendant pour protéger les données des personnes

Le référentiel prévoit notamment que la vérification de l’âge doit être effectuée par un prestataire de système de vérification de l’âge et que celui-ci doit être indépendant du site pornographique. Le recours à un tiers vérificateur indépendant est au cœur des recommandations de la CNIL depuis 2021.

La solution du « double anonymat » imposée aux sites concernés

Le référentiel de l’Arcom prévoit que les sites concernés, après une période transitoire, proposent aux internautes au moins une solution de vérification de l’âge dite en « double anonymat ». Ce type de solution permet de protéger au mieux la vie privée des internautes :

• le site auquel l’internaute accède reçoit la preuve de sa majorité mais ne connaît pas son identité ;
• le prestataire de la solution de contrôle d’âge connaît l’identité de l’internaute mais ne sait pas quels sites il consulte.

La CNIL recommande notamment de privilégier les solutions permettant aux utilisateurs de conserver ou de générer localement des preuves de leur majorité afin de pouvoir les présenter à des services en ligne sans recourir à des tiers de façon systématique.

Enfin, dans son avis, la CNIL a suggéré à l’Arcom quelques amendements mineurs de son référentiel, afin notamment d’expliciter le rôle du tiers indépendant dans la vérification des titres d’identité permettant la création de preuves d’âge réutilisables, de faciliter le déploiement de solutions en « double anonymat » pour l’ensemble de la population, et de renforcer les propriétés attendues de ces solutions en cas de violation de données.

Un dispositif complémentaire au contrôle parental et à l’éducation au numérique

La CNIL rappelle que la vérification de l’âge n’est qu’un outil parmi d’autres permettant de concourir à la protection des mineurs en ligne. Les dispositifs de contrôle parental et, plus généralement, toutes les actions d’éducation au numérique des mineurs comme des adultes les entourant sont nécessaire pour mieux protéger les plus jeunes sur internet.

La CNIL a également souligné qu’il fallait réserver le contrôle de l’âge sur Internet à certains contextes spécifiques, notamment en cas de danger pour les mineurs. Sa généralisation pourrait en effet conduire à la mise en place d’un monde numérique fermé, dans lequel les individus devraient constamment prouver leur âge, voire leur identité, entraînant d’importants risques pour leurs droits et libertés, notamment la liberté d’expression.