Vérification de l’âge en ligne : quels risques pour la vie privée ?

Vérifier l’âge en ligne peut empêcher un enfant d’accéder à un contenu réservé aux adultes ou permettre d’adapter un service à son public. Mais la mesure concerne aussi les majeurs, qui doivent prouver qu’ils ont franchi un seuil. Selon la méthode choisie, cette preuve peut révéler une identité, un visage, un document officiel ou des habitudes de navigation. Le débat n’oppose donc pas protection des mineurs et vie privée : il porte sur la manière de garantir les deux.

Vérification, estimation, assurance de l’âge : de quoi parle-t-on ?

Le Comité européen de la protection des données emploie le terme large d’« assurance de l’âge ». Il recouvre plusieurs méthodes qui n’offrent ni le même niveau de certitude ni les mêmes garanties.

Aucune méthode ne doit être choisie indépendamment du contexte. Un service à faible risque ne justifie pas nécessairement une vérification forte. À l’inverse, une simple case à cocher peut être insuffisante lorsqu’une restriction légale protège les enfants contre un contenu particulièrement sensible.

Les six principaux risques pour la vie privée

1. La collecte excessive de données

Demander une copie de pièce d’identité pour prouver un simple seuil d’âge révèle bien davantage que nécessaire : nom, photographie, date et lieu de naissance, nationalité ou numéro de document. Cette surcollecte augmente mécaniquement les conséquences d’une erreur ou d’une fuite.

2. Le lien entre identité et activité en ligne

Si le site consulté reçoit directement l’identité, il peut associer une personne à une activité parfois intime. Si le fournisseur de preuve connaît à la fois l’identité et le service visité, il peut reconstituer des habitudes. La CNIL défend pour les usages sensibles un modèle de « double anonymat » : le site ne connaît pas l’identité et l’émetteur de la preuve ne sait pas quel service est consulté.

3. La biométrie et l’estimation faciale

Une estimation à partir d’un visage traite une image corporelle et peut produire un résultat incertain. Selon la finalité et le fonctionnement du système, des données biométriques au sens du RGPD peuvent être en jeu. Les écarts de précision entre populations peuvent aussi créer des refus injustifiés ou une discrimination indirecte.

4. Les erreurs et l’exclusion

Un système peut classer un majeur comme mineur ou l’inverse. Une personne sans smartphone compatible, document reconnu, compte bancaire ou identité numérique peut être empêchée d’accéder à un service licite. Une solution respectueuse des droits doit prévoir des voies alternatives et un recours compréhensible.

5. La conservation et les violations de données

Des bases contenant des documents d’identité, des portraits ou des résultats de vérification constituent des cibles sensibles. Le risque ne disparaît pas parce qu’un prestataire est qualifié de « tiers de confiance ». Les durées de conservation, les journaux techniques, les sous-traitants et les transferts de données doivent être examinés.

6. Le changement de finalité

Une donnée collectée pour vérifier l’âge ne devrait pas servir ensuite au ciblage publicitaire, à la personnalisation, au profilage, à la surveillance ou à la création d’un identifiant persistant. Les autorités de protection des données du G7 ont rappelé en juin 2026 que le résultat de la vérification ne doit pas être réutilisé au-delà de la finalité qui l’a rendu nécessaire.

Ce qu’exigent le RGPD et le Comité européen

Le RGPD reste le cadre juridique contraignant dès qu’un mécanisme traite des données personnelles. Il impose notamment une base légale, une finalité déterminée, la minimisation, l’exactitude, une durée de conservation limitée, la sécurité et la protection des données dès la conception et par défaut.

La déclaration 1/2025 du Comité européen de la protection des données n’est pas un nouveau règlement. C’est une orientation officielle qui décline dix principes pour concevoir des systèmes conformes au RGPD. Elle insiste notamment sur :

• la jouissance effective des droits et libertés, y compris l’accès à l’information et la non-discrimination ;
• une approche fondée sur les risques, nécessaire et proportionnée ;
• la méthode la moins intrusive permettant d’atteindre l’objectif ;
• la limitation des finalités et des données traitées ;
• l’exactitude, la sécurité, la limitation de la conservation et la responsabilité démontrable ;
• la protection des données dès la conception et par défaut.

En pratique, un responsable de traitement doit pouvoir expliquer pourquoi une vérification est nécessaire, pourquoi la méthode retenue est proportionnée et quelles mesures empêchent le suivi des utilisateurs. Une analyse d’impact relative à la protection des données peut être requise lorsque le traitement présente un risque élevé, notamment en cas d’usage à grande échelle de technologies sensibles.

La position de la CNIL : prouver un seuil sans révéler son identité

La CNIL structure ses recommandations autour de six piliers : proportionnalité, minimisation, robustesse, simplicité, standardisation et intervention d’un tiers. Elle déconseille que l’éditeur d’un service sensible collecte directement des pièces d’identité et appelle à séparer les rôles.

1. Un émetteur fiable établit une preuve d’âge à partir d’une source appropriée.
2. Un mécanisme indépendant transmet au site uniquement le résultat nécessaire.
3. Le site apprend que le seuil est atteint, sans recevoir les autres attributs d’identité.

Cette architecture limite les rapprochements, mais elle n’est protectrice que si les acteurs sont réellement indépendants, si les preuves ne deviennent pas des identifiants stables et si les traces techniques sont réduites au strict nécessaire.

Où en est la solution européenne en 2026 ?

La Commission européenne a publié un premier modèle technique de preuve d’âge le 14 juillet 2025. Cette solution, parfois appelée « mini-wallet », est annoncée comme capable de prouver qu’une personne a plus de 18 ans sans transmettre d’autre information personnelle. Elle est conçue pour être compatible avec les futurs portefeuilles européens d’identité numérique et adaptable à d’autres seuils.

Son statut doit être décrit avec précision :

• la solution est annoncée comme techniquement prête depuis le 15 avril 2026 et personnalisable par les États et les acteurs du marché ;
• la recommandation de la Commission du 29 avril 2026 invite les États membres à rendre accessibles des outils respectueux de la vie privée d’ici au 31 décembre 2026 ;
• une recommandation n’est pas un règlement contraignant et la disponibilité technique ne signifie pas que l’outil est déjà déployé partout ;
• la Commission prévoit encore un schéma européen de gouvernance et des listes de fournisseurs et de solutions de confiance.

Les lignes directrices de la Commission sur la protection des mineurs au titre du DSA sont elles aussi non contraignantes. Elles recommandent des méthodes d’assurance de l’âge précises, fiables, robustes, non intrusives et non discriminatoires, notamment lorsque le droit national fixe un âge minimal pour certaines catégories de réseaux sociaux.

Les bonnes questions à poser à un service

• Le service a-t-il réellement besoin de l’âge exact, ou seulement d’un seuil ?
• Quelle donnée est collectée, par qui et sur quelle base légale ?
• Le site reçoit-il l’identité ou uniquement une réponse oui/non ?
• L’émetteur de la preuve peut-il connaître le site consulté ?
• Combien de temps les données et les journaux sont-ils conservés ?
• La preuve peut-elle servir à suivre une personne entre plusieurs services ?
• Existe-t-il une méthode alternative et un recours en cas d’erreur ?
• Le système a-t-il fait l’objet d’un audit indépendant de sécurité et de protection des données ?

La vérification de l’âge n’est ni inutile par principe ni neutre par nature. Elle peut contribuer à la protection des mineurs lorsqu’elle répond à un besoin défini et proportionné. Elle devient préoccupante lorsqu’elle généralise l’identification, centralise des données sensibles ou transforme une preuve ponctuelle en outil durable de suivi.