Le Parlement s’apprête à voter une proposition de loi qui veut interdire d’accès aux réseaux sociaux les jeunes de moins de 15 ans. Sous couvert de protection des mineur·es, ce texte imposerait à toute personne souhaitant accéder à ces plateformes de prouver leur âge. Derrière cette vérification d’âge se cache en fait un contrôle d’identité, que la France et la Commission européenne poussent chacune de leur coté pour le généraliser à l’échelle de l’Union européenne. Avec comme conséquence une remise en cause toujours plus grande du droit à l’anonymat en ligne.
Un mouvement global d’interdiction des réseaux sociaux aux jeunes
Ce n’est pas la première fois que des dirigeants essayent d’introduire une vérification d’âge sur internet. En France, les contenus pornographiques ne doivent pas être accessibles aux mineur·es. Jusqu’en 2020, les plateformes pornographiques demandaient aux internautes une auto-déclaration, c’est-à-dire de cliquer sur un bouton « J’ai plus de 18 ans ». Puis, une loi de 2020 a précisé que cette auto-déclaration n’était pas suffisante. Cette loi n’a toutefois jamais été appliquée faute de possibilités techniques. Autre tentative en 2023, la loi Marcangeli, a voulu créer un système d’autorisation parentale avant qu’un·e mineur·e de moins de 15 ans puisse se créer un compte sur un réseau social. Mais cette loi non plus n’est jamais entrée en application car le législateur, doutant fortement de sa conformité au droit de l’UE, a conditionné son application à un feu vert de la Commission européenne qui n’est jamais arrivé.
Puis, en 2024, la loi dite « SREN » (pour « sécuriser et réguler l’espace numérique ») a changé la donne. Depuis cette loi, les plateformes proposant du contenu pornographique doivent vérifier l’âge des internautes, une auto-déclaration ne suffisant plus. Surtout, depuis cette loi, lorsqu’une plateforme ne vérifie pas l’âge des internautes, ce n’est plus la justice qui décide de la sanction (une censure et une amende), mais l’Arcom, l’autorité administrative chargée, entre autres, de réguler la télévision. La loi SREN est donc la première loi a réellement imposer une vérification d’âge en ligne, pour l’instant cantonnée aux contenus pornographiques (même si le ministre du numérique de l’époque, Jean-Noël Barrot, se rêvait l’imposer aussi aux réseaux sociaux).
En dehors de la France, nous assistons également à un mouvement général d’interdiction des réseaux sociaux aux mineur·es. (...)
« Double-anonymat », double-tromperie
Techniquement, l’application de la Commission européenne repose sur un concept cryptographique appelé « ZKP », pour zero knowledge proof, ou preuve à divulgation nulle de connaissance. Il s’agit d’un concept en réalité très simple : une attestation d’âge est délivrée par un tiers de confiance. Avec ce système, lorsqu’une plateforme en ligne veut confirmer l’âge d’un internaute, elle va confier cette tâche à un tiers, c’est-à-dire une entreprise sous-traitante qui, elle, procédera à la vérification d’âge pour le compte de la plateforme. Concrètement, l’internaute est redirigé temporairement vers le site internet de ce tiers le temps de procéder à la vérification d’âge. À l’issue du contrôle, le tiers redirige l’internaute vers le site internet qu’il ou elle voulait initialement consulter, et transmet en même temps à la plateforme un jeton signé électroniquement indiquant que l’internaute a l’âge requis. En confiant la vérification d’âge à un tiers, le but est d’ajouter une couche de confidentialité : la plateforme en ligne n’a pas connaissance des informations qui ont permis au tiers de faire cette vérification d’âge, et le tiers n’est pas censé savoir à quoi sert l’attestation qu’il délivre. Est-ce une bonne chose pour autant ? Absolument pas.
Parce que ce système repose, par essence, sur un contrôle d’identité. Pour vérifier l’âge d’une personne, il existe principalement deux techniques : la vérification des papiers d’identité (l’internaute prend en photo un titre d’identité sur lequel sa date de naissance est visible) ou l’utilisation d’une identité numérique d’État (par exemple, en France, en se connectant à l’aide de France Connect). Dans les deux cas, pour prouver son âge, il faut être en capacité de prouver son identité civile.. (...)
Certains sites utilisent une troisième technique pour vérifier l’âge qui n’implique pas de connaître l’identité civile de l’internaute : il s’agit de la technique d’estimation d’âge (la personne prend son visage en vidéo et un traitement biométrique estime, à la grosse louche, l’âge de la personne), mais cette méthode est notoirement défaillante1, notamment parce qu’il ne sera jamais possible de faire coïncider une réalité juridique (l’âge, calculé de la même manière pour tous·tes, qui ouvre des droits) avec une réalité biologique (chaque personne vieillit différemment)2. En raison de leur absence de fiabilité3, on peut s’attendre à ce que la technique d’estimation d’âge soit progressivement exclue pour vérifier l’âge en ligne.
Ainsi, contrairement à ce qu’affirme la présidente de la Commission européenne, la technique du ZKP n’est aucunement une manière « complètement anonyme » de prouver son âge. Il ne s’agit pas d’une opération indolore puisque tous·tes les internautes souhaitant accéder à un réseau social devront présenter leur identité à ce tiers : pour empêcher les mineur·es d’accéder à des réseaux sociaux il faut bien entendu contrôler l’âge de toute personne voulant se faire un compte, et donc leur identité.
En France, la guerre des mots va encore plus loin puisque les pouvoirs publics parlent même de « double-anonymat », laissant penser que la technique du ZKP permettrait d’offrir deux fois plus d’anonymat. (...)
Redisons-le : le « double-anonymat » n’offre aucun anonymat. Au mieux, il offre une étanchéité des données entre la plateforme qui exige une preuve d’âge et le tiers vérificateur d’âge. Mais c’est à la condition que ce cloisonnement soit techniquement correctement réalisé, ce qui n’est pas toujours le cas (...)
De plus, la vérification d’âge mettra de côté bon nombre de personnes, et pas seulement les mineur·es. Et le fait que ce contrôle d’identité soit effectué par un tiers ne résoudra pas ce problème. En particulier, les personnes qui n’ont pas de carte d’identité, par exemple certaines personnes migrantes, seront exclues des plateformes qui décideront de faire de la vérification de titres d’identité. Celles qui ne maîtrisent pas assez bien la technologie et qui ne comprendront pas pourquoi elles doivent se prendre en selfie, alors qu’elles veulent simplement voir les photos de vacances postées dans un groupe familial sur un réseau social, abandonneront lorsqu’un service en ligne exigera une estimation d’âge. Sans oublier que les personnes non-blanches, déjà victimes de systèmes automatisés pensés et testés par des ingénieurs blancs, seront encore plus discriminées par des systèmes qui reproduisent par nature les biais sexistes et racistes de nos sociétés.
Le résultat sera que les internautes seront face à un dilemme : liberté d’expression ou vie privée. Nous devrons, demain, choisir entre sacrifier notre vie privée pour nous exprimer en ligne, ou bien abandonner notre liberté d’expression pour nous protéger de fuites de données qui arriveront nécessairement, à l’image de ce qui s’est passé pour 70 000 utilisateur·rices de Discord. Et ce n’est pas le « double-anonymat » qui changera cela.
Un système illégal
Il y a pas que la structure technique qui est bancale : la justification juridique pour pousser l’outil dans l’Union européenne l’est tout autant. (...)