Vérification de l'âge en ligne : quelles solutions sont juridiquement acceptables ?

Une case « J'ai plus de 18 ans » ne protège plus personne, et surtout pas l'éditeur qui l'utilise. Le code pénal la déclare inopérante, la Commission européenne la juge inadaptée et l'Arcom peut sanctionner un service jusqu'à 4 % de son chiffre d'affaires mondial, 6 % en cas de réitération. À l'inverse, collecter des cartes d'identité expose à la CNIL et au risque de fuite. Cet article trie les solutions de vérification de l'âge qui tiennent juridiquement, celles qui ne tiennent pas, et ce qu'il faut exiger du prestataire.

Qui doit vérifier l'âge de ses utilisateurs, et sur quel fondement

Il n'existe pas une obligation générale de vérification de l'âge, mais plusieurs régimes qui se superposent. Celui qui s'applique à votre service fixe le niveau de fiabilité exigé.

Les contenus pornographiques : le régime le plus strict

L'article 227-24 du code pénal punit de 3 ans d'emprisonnement et de 75 000 € d'amende, 375 000 € pour une société (articles 131-38 et 227-28-1), la diffusion d'un message pornographique susceptible d'être vu par un mineur. Son dernier alinéa précise que l'infraction est constituée même si l'accès du mineur « résulte d'une simple déclaration » de majorité. Depuis la loi SREN du 21 mai 2024, l'article 10 de la loi pour la confiance dans l'économie numérique (LCEN) charge l'Arcom de faire respecter cette exigence à l'aide d'un référentiel technique. Le régime est détaillé dans notre article sur les sites pornographiques bloqués aux mineurs : je ne le reprends pas ici, mais son référentiel sert aujourd'hui d'étalon bien au-delà de ce secteur.

Pour un service établi dans un autre État membre, la Cour de justice de l'Union européenne a jugé le 16 juin 2026 (grande chambre, C-188/24 et C-190/24) que la directive sur le commerce électronique interdit de lui appliquer une obligation pénale générale et abstraite de ce type. Elle admet en revanche des mesures visant un service donné, dans les conditions de l'article 3, paragraphe 4, de cette directive.

Les plateformes accessibles aux mineurs : l'article 28 du DSA

L'article 28 du règlement (UE) 2022/2065 sur les services numériques (DSA) impose aux plateformes en ligne accessibles aux mineurs des mesures « appropriées et proportionnées » pour garantir leur sûreté. Ses lignes directrices (C/2025/5519, juillet 2025) précisent quand une restriction d'âge s'impose. Elles visent l'accès à la pornographie, aux jeux d'argent, la vente d'alcool ou de tabac, les services dont les CGU exigent 18 ans, et ceux où des fonctions comme la messagerie avec des inconnus créent un risque que rien d'autre ne réduit aussi bien (point 37). Précision décisive : une plateforme qui interdit les mineurs dans ses CGU sans mesure efficace pour les écarter est considérée comme accessible aux mineurs.

Le consentement des moins de 15 ans

L'article 45 de la loi Informatique et libertés fixe à 15 ans l'âge auquel un mineur consent seul au traitement de ses données pour un service en ligne. En dessous, le consentement doit être donné conjointement avec un titulaire de l'autorité parentale. Ce n'est pas une obligation de vérifier l'âge de tous. Mais le responsable qui fonde un traitement sur le consentement doit « s'efforcer raisonnablement » de vérifier que le parent a consenti (article 8, paragraphe 2, du RGPD), ce qui suppose de connaître l'âge. À l'inverse, la « majorité numérique » de la loi n° 2023-566 du 7 juillet 2023 n'est jamais entrée en vigueur : Legifrance affiche toujours l'article 6-7 de la LCEN en vigueur différée.

Autodéclaration, estimation, vérification : trois méthodes, trois niveaux de fiabilité

Les lignes directrices de la Commission classent les méthodes en trois familles (point 29).

• L'autodéclaration : l'utilisateur saisit sa date de naissance ou clique sur un bouton. La Commission estime qu'elle ne remplit ni l'exigence de robustesse ni celle de précision, et ne constitue donc pas une méthode appropriée (point 52).
• L'estimation de l'âge : un algorithme déduit une tranche d'âge probable, le plus souvent à partir d'une image du visage.
• La vérification de l'âge : elle repose sur une source d'identification vérifiée (titre d'identité, identité numérique, attestation d'un tiers de confiance) et offre un degré élevé de certitude.

La Commission évalue toute méthode selon cinq critères : précision, fiabilité en conditions réelles, robustesse au contournement, faible intrusivité et non-discrimination (point 49). Une méthode qui échoue sur l'un d'eux n'est pas appropriée (point 50). Elle demande aussi de publier les taux de faux positifs et de faux négatifs de la solution retenue (point 34). Pour un dirigeant, la conséquence est simple : la vérification de l'âge devient un dossier documenté, pas un choix d'interface.

RGPD et recommandations de la CNIL : les limites à ne pas franchir

Vérifier un âge, c'est traiter des données personnelles, parfois très sensibles. Le RGPD ne dit pas quelle technique choisir, mais il écarte celles qui collectent trop.

Minimisation et protection des données dès la conception

Les articles 5 et 25 du RGPD imposent de ne collecter que ce qui est nécessaire. Pour un contrôle d'âge, le seul besoin est de savoir si l'utilisateur franchit un seuil. Stocker sa date de naissance, son nom ou la copie de sa pièce d'identité excède ce besoin. Le DSA va dans le même sens : son article 28, paragraphe 3, n'oblige pas une plateforme à traiter des données supplémentaires pour savoir si un utilisateur est mineur. Le Comité européen de la protection des données (CEPD) a fixé dix principes dans sa déclaration du 11 février 2025 sur l'assurance de l'âge, dont l'analyse de proportionnalité fondée sur le risque et l'obligation de documenter qui est responsable de quoi dans la chaîne.

Ce que la CNIL accepte et ce qu'elle déconseille

Dans son analyse du 26 juillet 2022, qui reprend les principes de son avis du 3 juin 2021, la CNIL passe en revue les méthodes disponibles. Ses positions restent la grille de lecture la plus utile :

• pas de collecte directe de pièces d'identité par l'éditeur du site ;
• pas d'estimation de l'âge à partir de l'historique de navigation, jugée trop intrusive ;
• pas de biométrie pour identifier ou authentifier, par exemple en comparant un selfie à la photo du titre d'identité ;
• recours à un tiers de confiance indépendant, idéalement labellisé ou certifié ;
• les questionnaires de « maturité » sont à éviter, car peu fiables et faciles à contourner.

La CNIL relevait alors que toutes les solutions proposées pouvaient être contournées, ne serait-ce qu'avec un VPN. Le référentiel de l'Arcom et la solution européenne sont la réponse construite depuis.

Décision automatisée et analyse d'impact

Refuser l'accès à un service sur la foi d'un contrôle automatique est une décision automatisée au sens de l'article 22 du RGPD. Le référentiel de l'Arcom le dit expressément pour les sites pornographiques, où la CNIL admet que la loi autorise cette décision (article 22, paragraphe 2, point b), et exige une voie de recours, par exemple un autre fournisseur de preuve. Ailleurs, il faut documenter une autre exception : nécessité contractuelle ou consentement explicite. Le CEPD rappelle que ces décisions ne devraient pas, en principe, concerner un enfant (considérant 71). Enfin, un traitement qui combine nouvelles technologies, grande échelle et mineurs coche presque toujours les cases de l'article 35 : l'analyse d'impact relative à la protection des données (AIPD) doit être faite avant le lancement, pas après le premier contrôle.

Point de vigilance. L'amende RGPD peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83, paragraphe 5). Un éditeur qui conserve des milliers de pièces d'identité « au cas où » cumule deux risques : la sanction pour défaut de minimisation et la notification d'une violation de données le jour où la base fuit.

Le référentiel de l'Arcom : le standard français de référence

Le référentiel adopté par la délibération n° 2024-20 du 9 octobre 2024, publié au Journal officiel du 22 octobre 2024, ne vise juridiquement que les services pornographiques. Il a été adopté après avis de la CNIL (délibération n° 2024-067 du 26 septembre 2024). C'est pourtant le document le plus précis disponible en France sur ce qu'est un contrôle d'âge acceptable, et tout prestataire sérieux s'y aligne.

Le socle exigé de toute solution

1. Indépendance : le prestataire doit être indépendant juridiquement et techniquement du service, qui n'a jamais accès aux données servant à vérifier l'âge.
2. Confidentialité vis-à-vis du service : le site ne collecte ni l'identité, ni l'âge, ni la date de naissance.
3. Pas de conservation : sans preuve réutilisable, le prestataire ne conserve pas les données fournies et ne demande pas de titre d'identité.
4. Fiabilité : une estimation doit être paramétrée pour exclure qu'un mineur soit pris pour un majeur, avec une détection du vivant contre les photos, vidéos et masques.
5. Non-discrimination : la solution doit être aussi efficace quelles que soient les caractéristiques physiques de l'utilisateur.

Le double anonymat, obligatoire depuis avril 2025

Six mois après la publication du référentiel, une fois close la tolérance accordée à la carte bancaire avec authentification forte, chaque service doit proposer au moins une solution en « double anonymat ». Elle doit offrir au moins deux modes d'obtention de la preuve et être accessible à 80 % au moins de la population majeure résidant en France. La vérification se refait à chaque consultation, et au plus tard après une heure d'inactivité. La preuve ne peut pas être stockée dans le compte utilisateur. Enfin, l'Arcom encourage un audit indépendant dans les six mois puis chaque année.

Un système non conforme au référentiel expose, après mise en demeure d'un mois, à 150 000 € ou 2 % du chiffre d'affaires mondial, 300 000 € ou 4 % en cas de réitération (article 10 LCEN). Si des mineurs accèdent effectivement aux contenus, l'article 10-1 prévoit une procédure plus courte (15 jours d'observations, puis 15 jours de mise en demeure), jusqu'à 250 000 € ou 4 %, 500 000 € ou 6 % en réitération, et le blocage par les fournisseurs d'accès en 48 heures.

Double anonymat et solution européenne : comment cela fonctionne

Le principe vient d'un démonstrateur publié par la CNIL en 2022. Le prestataire qui délivre la preuve connaît l'identité de l'utilisateur mais ignore pour quel site elle sert. Le site reçoit la preuve qu'un seuil d'âge est franchi, sans savoir qui est l'utilisateur ni d'où vient la preuve. Le référentiel précise que ce mécanisme n'est pas « anonyme » au sens du RGPD, mais garantit une grande confidentialité.

Ce que l'Europe met en place

La recommandation (UE) 2026/1035 du 29 avril 2026 demande aux États membres de mettre à disposition une solution européenne de vérification de l'âge au plus tard le 31 décembre 2026, en application autonome ou intégrée au portefeuille européen d'identité numérique. Par défaut, la réponse transmise au site se limite à « vrai » ou « faux ». Ce n'est qu'une recommandation : elle ne crée aucune obligation pour les plateformes. Les lignes directrices du DSA en font toutefois l'exemple de conformité et la norme de référence (points 41 à 46).

Ce que proposerait le KIDS Act

La proposition de règlement présentée par la Commission le 17 septembre 2026 (COM(2026) 681) va plus loin. Les réseaux sociaux et plateformes de partage de vidéos visés par le report de l'inscription à 15 ans (article 6) devraient recourir exclusivement à une solution européenne certifiée, fournie par un tiers (article 29, paragraphe 2). Les autres pourraient garder leur solution s'ils prouvent qu'elle respecte les mêmes exigences (paragraphe 4). Toute assurance de l'âge devrait reposer sur une preuve à divulgation nulle de connaissance et ne jamais servir à identifier, suivre ou cibler l'utilisateur (article 28). Les utilisateurs devraient disposer d'un recours gratuit contre un résultat erroné. Ce texte est une proposition en cours de négociation, pas du droit applicable. Mais choisir un prestataire incompatible avec la solution européenne, c'est accepter un risque de remplacement à moyen terme. La censure de 2026 et ses suites sont analysées dans notre article sur l'interdiction des réseaux sociaux aux moins de 15 ans.

Estimation de l'âge par IA : acceptable, mais pas partout

L'estimation faciale séduit : un selfie, quelques secondes, aucun document. Juridiquement, sa place est plus étroite.

Les cas où elle suffit

Selon les lignes directrices du DSA, l'estimation est appropriée quand les CGU fixent un âge minimal inférieur à 18 ans en raison des risques du service, ou quand le risque identifié est moyen (point 47). Elle doit alors être fournie par un tiers indépendant ou faire l'objet d'un audit indépendant. Pour les contenus réservés aux adultes, la Commission ne l'admet qu'à titre transitoire, si sa fiabilité est démontrée comparable à une vérification, et pas au-delà du premier réexamen des lignes directrices (point 38). Le référentiel de l'Arcom l'accepte en revanche comme mode d'obtention d'une preuve, à condition d'exclure les faux positifs : en France, un service pornographique peut donc l'utiliser, mais pas comme seule option.

Les écueils juridiques

• La marge d'erreur. La Commission cite en mauvaise pratique un réseau social dont le modèle maison estime l'âge à plus ou moins 2 ans : trop de mineurs passent, trop d'utilisateurs légitimes sont bloqués.
• Le nouvel essai avec la même méthode. Proposer « Réessayez » après un échec, sans autre méthode ni recours, rend la mesure inappropriée (point 48).
• La biométrie. L'article 9 du RGPD vise les données biométriques traitées « aux fins d'identifier une personne physique de manière unique ». Une estimation qui ne fait qu'attribuer une tranche d'âge n'identifie personne, mais la frontière est fine si l'image est conservée ou comparée. La CNIL privilégie l'estimation réalisée localement sur l'appareil, sans transmission de l'image.
• Les biais. Le référentiel de l'Arcom demande de tester le modèle sur des bases diversifiées et d'intégrer les biais discriminatoires à l'évaluation de performance.

Ce que le Conseil constitutionnel a reproché au législateur

Dans sa décision n° 2026-911 DC du 14 août 2026, le Conseil constitutionnel a censuré l'interdiction des réseaux sociaux aux moins de 15 ans. L'un des deux motifs vise directement la vérification de l'âge. Les dispositions contestées impliquaient, « par elles-mêmes », que « toute personne, même majeure, fasse la preuve de son âge » (§ 20). Or le législateur n'a déterminé ni « les conditions » ni « les limites » de cette preuve, et n'a donc pas prévu les garanties légales qu'exige le droit au respect de la vie privée (§ 21).

La leçon dépasse le Parlement. Le Conseil admet que l'intérêt supérieur de l'enfant justifie de limiter l'accès des mineurs (§ 10). Ce qu'il sanctionne, c'est un contrôle d'âge généralisé sans cadre sur les données. Une entreprise qui impose une vérification à tous ses utilisateurs doit donc pouvoir montrer, pièces à l'appui, quelles données sont traitées, par qui, combien de temps, et pourquoi une méthode moins intrusive ne suffisait pas.

Choisir un prestataire de vérification de l'âge et verrouiller le contrat

Le coût d'un contrôle d'âge ne se résume pas au prix par vérification. Il inclut le taux d'abandon au moment de l'inscription, l'AIPD, l'audit et le coût d'un changement de prestataire quand la solution européenne deviendra la référence. Chiffrez le coût de sortie avant de signer.

Les questions à poser avant de signer

• La solution respecte-t-elle le référentiel de l'Arcom, et propose-t-elle un mode en double anonymat ?
• Quels sont les taux de faux positifs et de faux négatifs mesurés, par tranche d'âge et par population, et par qui ont-ils été audités ?
• Où les données sont-elles traitées, par quels sous-traitants, et y a-t-il des transferts hors de l'Union ?

Les clauses à négocier

Quand je relis un contrat de vérification de l'âge pour un éditeur, je vérifie d'abord la présence de sept clauses :

1. La qualification des rôles : sous-traitant au sens de l'article 28 du RGPD, ou responsable de traitement pour la délivrance de la preuve. Le schéma en double anonymat fait souvent du prestataire un responsable distinct : le contrat doit le dire et répartir l'information des personnes.
2. L'interdiction de conservation et de réutilisation des images, documents et résultats, avec des durées chiffrées et une attestation de suppression.
3. Des engagements de performance : taux d'erreur maximal, disponibilité, délai de traitement, et pénalités associées.
4. Le droit d'audit, y compris par un auditeur indépendant mandaté par vous, et la communication des rapports d'audit existants.
5. Le recours des utilisateurs : méthode alternative et procédure de contestation à la charge du prestataire, comme l'exige l'article 22 du RGPD.
6. La clause d'évolution réglementaire : mise en conformité sans surcoût en cas de mise à jour du référentiel ou d'adoption du KIDS Act, et faculté de résiliation sinon.
7. La responsabilité et la notification des violations : délai court de notification, prise en charge des coûts, plafond de responsabilité qui ne vide pas l'engagement de sa substance.

Les lignes directrices du DSA le rappellent : c'est au fournisseur de la plateforme de veiller à l'efficacité de la méthode utilisée par le tiers (point 53). Externaliser le contrôle ne transfère pas la responsabilité. Mon double profil d'avocat et de développeur me permet de vérifier que l'architecture décrite dans le contrat correspond à celle réellement intégrée. C'est l'objet de mon accompagnement en mise en conformité RGPD, que j'adapte aux éditeurs de logiciels et de services SaaS qui intègrent ces briques.

En pratique : la feuille de route d'un éditeur

1. Qualifier le régime applicable : pornographie, article 28 du DSA, CGU réservées aux adultes, consentement des moins de 15 ans.
2. Documenter l'analyse de risque et la publier, comme le recommandent les lignes directrices (point 32).
3. Limiter le contrôle aux fonctions qui le justifient plutôt qu'à tout le service, lorsque c'est possible (point 36).
4. Choisir une solution tierce alignée sur le référentiel de l'Arcom, avec au moins deux méthodes et un recours.
5. Réaliser l'AIPD, signer un contrat négocié, planifier l'audit annuel.

Un contrôle d'âge mal choisi coûte deux fois : une fois devant le régulateur, une fois devant la CNIL. Si vous devez arbitrer entre plusieurs prestataires ou faire relire un contrat avant la fin de l'année, échangeons sur votre projet de vérification de l'âge.