Pour éloigner les mineurs du porno, le contrôle par CB est retenu malgré ses défauts

Qu’importent les limites de la vérification de l’âge des internautes via la carte bancaire. C’est bel et bien cette approche que l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) s’est résolue à valider, le 11 octobre 2024, à l’occasion de la publication de son référentiel technique sur son site web.

Une solution que l’Arcom, instance administrative qui est le fruit de la fusion entre le CSA et la Hadopi, souhaite toutefois limiter dans le temps. En effet, cette piste n’est pas vue comme l’une des « solutions les plus protectrices » que les sites pornographiques pourraient mettre en œuvre pour contrôler l’âge de leur public, afin d’en exclure les mineurs.

Une solution connue et simple à actionner

Cependant, la vérification de l’âge via la CB a pour elle quelques atouts : c’est une solution facilement déployable, déjà employée ici ou là et qui peut constituer un premier filtrage, en attendant mieux. L’Arcom y voit en effet un moyen de « protéger sans attendre les utilisateurs les plus jeunes ». Cette possibilité ne sera cependant permise que quelques mois.

Le référentiel technique mis en ligne ce jour doit constituer un guide pour les sites X soucieux de n’accueillir que des personnes majeures. Cela fait des mois que l’Arcom travaille dessus — en avril, l’instance rendait public son projet de référentiel pour commentaires. Celui-ci s’est inscrit dans le sillage d’une série de modifications législatives.

Mais l’Arcom l’admet : « pour être efficace », l’éloignement des mineurs vis-à-vis des contenus pornographiques sur Internet ne peut reposer seulement sur la vérification de l’âge — qu’importe la technologie derrière. Elle plaide pour une « mise en œuvre prioritaire » du Digital Services Act (DSA), qui fixe des règles renforcées pour les sites.

En particulier, l’Arcom recommande de focaliser les règles du DSA sur les sites qui permettent aux mineurs d’accéder à des contenus pornographiques et les très grandes plateformes. Typiquement, un réseau social comme X (ex-Twitter) pourrait être directement visé, en raison de la présence notable de contenus pornographiques dessus.

Des exigences pour une vérification par CB

Dans le détail, le référentiel de l’Arcom prévoit deux périodes pour cette vérification à titre provisoire :

• un premier délai de trois mois, à compter de la date de publication du référentiel (c’est-à-dire à partir du 11 octobre 2024). Durant cette période, les sites X doivent mettre en œuvre un système de vérification de l’âge conforme aux caractéristiques techniques du référentiel ;
• un second délai de trois mois, après le premier, qui autorise la mise en place des solutions basées sur la CB. Elles seront réputées conformes aux caractéristiques techniques du référentiel, sous réserve de respecter certaines conditions.

Ces exigences sont les suivantes :

• le système de vérification de l’âge ne doit pas être développé par le site X, mais par une entreprise tierce indépendante ;
• le système doit être sécurisé de façon à protéger la saisie des codes de la CB. Il y a un enjeu notable de lutte contre l’hameçonnage (phishing), car des internautes pourraient taper leurs informations bancaires au mauvais endroit ;
• le système doit au minimum contrôler l’existence et la validité de la CB, et pas juste s’assurer de la cohérence du numéro de la carte ;
• le système doit enfin utiliser le protocole 3-D Secure dans sa deuxième version en vigueur (ou une alternative équivalente) pour s’assurer que l’utilisateur du service est le titulaire de la carte au moyen. C’est, en somme, l’authentification à double facteur, mais pour les CB.

Pas de solution miracle pour contrôler l’âge

La piste de la carte bancaire est envisagée depuis des années pour filtrer les internautes, dans le sillage de la politique volontariste d’Emmanuel Macron d’empêcher les mineurs d’accéder aux sites pornographiques. Une politique qui, sur le papier, est soutenue, mais dont la mise en œuvre n’arrête pas de buter sur des sujets techniques et des problèmes s’apparentant à vouloir résoudre la quadrature du cercle.

La Commission nationale de l’informatique et des libertés (Cnil), à l’été 2022, prévenait déjà qu‘il n’y a pas de solution parfaite pour vérifier l’âge des internautes accédant aux sites X. Deux ans plus tard, l’instance en charge des sujets liées à la protection des données personnelles s’est prononcée sur le référentiel technique de l’Arcom.

L’instance déclare accueillir « favorablement » la publication de ce quide et note non sans déplaisir qu’il reprend « une partie importante de ses préconisations relatives à la protection des données personnelles et de la vie privée — notamment le tiers vérificateur et le mécanisme dit de double anonymat.

Mais la Cnil rappelle une fois encore que cette piste n’est pas la panacée — qu’il s’agisse de la vérification par CB ou une autre approche pour contrôler l’âge. La protection des mineurs face au X sur Internet doit aussi mobiliser d’autres moyens : des logiciels de contrôle parental, par exemple, mais aussi la présence des parents et une meilleure éducation au numérique.