Internet veut vérifier votre âge : le piège invisible qui aspire vos données personnelles

Vérifier l’âge des utilisateurs des réseaux sociaux (TikTok, Instagram, Snapchat, etc.), pour les interdire aux moins de 15 ans, c'est ce que prépare la France pour septembre prochain.

Cette vérification de l'âge impliquera donc de contrôler tous les utilisateurs et c'est un outil numérique de type « tiers de confiance » (comme France Identité) qui devrait être utilisé pour y parvenir.

La mesure fait polémique, puisque derrière cette vérification de l'âge se cache forcément une généralisation du contrôle d'identité en ligne avec, de facto, une remise en cause du droit à l'anonymat sur Internet.

Mais ce n'est pas la seule crainte de ce type d'obligation. Il existe également un gros risque de cybersécurité et des nouvelles recherches viennent le prouver, puisque des services de vérification de l'âge sont déjà exploités dans de nombreux pays et également dans la moitié des États américains.

Vérifier l’identité comme dans un bar

Des chercheurs du Georgia Institute of Technology et de l'Université de Californie à Irvine ont analysé le fonctionnement d'un des plus gros opérateurs de vérification de l'âge. Il est notamment utilisé par Meta, TikTok, OnlyFans et Sony. Ce service londonien baptisé Yoti fonctionne prétendument comme un barman vérifiant la pièce d'identité d'un jeune client. Il est censé lire sa date de naissance, puis restituer le document immédiatement. Or, selon les chercheurs, Yoti fonctionne plutôt comme si le barman prenait une photo de la pièce d'identité du client pour la conserver et l'envoyer à ses fournisseurs.

Les scientifiques ont décortiqué le processus de fonctionnement de Yoti et il apparaît que les données biométriques et d'identité sont transmises aux sociétés bancaires, aux services de géolocalisation IP et aux courtiers en données. Ils ont constaté que les informations partagées permettent d'identifier et de suivre les appareils.

Ainsi, une simple tentative de vérification peut transmettre l'image faciale, l'adresse IP et l'empreinte digitale de l'appareil d'un utilisateur à une société tierce. La société ne procède pas ainsi pour revendre des données, mais plutôt parce qu'elle est dépendante d'autres services techniques.

Par exemple, elle utilise la validation de Stripe, un service de paiement en ligne, qui peut vérifier l'âge des utilisateurs via leur carte bancaire. Le problème, c'est qu'au moment de cette vérification, Stripe « voit » automatiquement quel site l'utilisateur tente de consulter. Le scénario est identique pour les tiers de géolocalisation IP qui servent à identifier une fraude.

Autrement dit, Yoti s'appuie sur un écosystème de sous-traitants pour faire fonctionner ses vérifications, et chaque brique de cet écosystème collecte des données au passage.

Schéma de la chaîne méthodologique avec la constitution d'une liste de prestataires, puis analyse manuelle de sécurité et de confidentialité du prestataire (Yoti). © Georgia Institute of Technology & University of California, Irvine

Yoti dément, mais il y a un hic

La société Yoti a demandé la rétractation de la publication, car elle la considère comme diffamatoire et biaisée. Elle affirme que les données de reconnaissance faciale ne sont pas partagées, ce qui est peut-être vrai, mais ne s'explique pas sur le reste des données (validation par carte bancaire, IP et authentification de document d'identité). Or, ces données sont fatalement lisibles par les opérateurs tiers, puisqu'ils sont imbriqués dans le système.

Que va faire la France ?

Malgré ces failles, ce genre de procédé pourrait-il être déployé en Europe et notamment en France ? La réponse et oui et d'ailleurs Yoti a été lourdement sanctionné par l'Espagne pour violations du RGPD sur les données biométriques. Dès lors, il n'y a pas vraiment de solution parfaite pour vérifier l'âge sans ficher les utilisateurs ou faire fuiter leurs données.

La Commission européenne a mis au point son propre prototype, basé sur des « preuves à divulgation nulle de connaissance ». Une preuve cryptographique certifie qu'un utilisateur est majeur, sans jamais communiquer sa date de naissance. Il devrait être disponible fin 2026, via le portefeuille d'identité numérique européen. Mais globalement, pour éviter les failles d'un équivalent Yoti, l'un des impératifs repose sur la nécessité d'un code en open source, ce qui n'est pas le cas avec l'ensemble les prestataires actuels.

Pour le moment, en France, si la loi vise à apporter un cadre, aucun outil technique n'a encore été réellement validé. Le système pourrait reposer sur l'application France Identité, sur les opérateurs de téléphonie mobile qui connaissent l'âge de leurs abonnés, ou encore sur une estimation d'âge par intelligence artificielle.

Derrière la question de la généralisation du contrôle d'identité en ligne, se pose aussi celle du renoncement du droit à l'anonymat sur Internet. Difficile de faire cohabiter la protection de l'enfance et les libertés numériques fondamentales.