La loi SREN prévoit que « L'Autorité de régulation de la communication audiovisuelle et numérique peut exiger des éditeurs et fournisseurs de services […] qu'ils conduisent un audit des systèmes de vérification de l'âge qu'ils mettent en œuvre afin d'attester de la conformité de ces systèmes avec les exigences techniques définies par le référentiel. Le référentiel précise les modalités de réalisation et de publicité de cet audit, confié à un organisme indépendant disposant d'une expérience avérée. »
Les sections suivantes visent à préciser les grands principes susceptibles de guider les services visés diffusant des contenus à caractère pornographique qui seraient amenés à procéder à la réalisation d'un tel audit.
Evaluation en conditions réelles des systèmes mis en place
Afin de garantir une protection des mineurs élevée, l'ARCOM évaluera les solutions techniques de vérification de l'âge au cas par cas, une fois mise en place par les éditeurs, c'est-à-dire in concreto. En effet, certaines solutions étant paramétrables par les services visés diffusant des contenus à caractère pornographique eux-mêmes, il convient d'effectuer une évaluation dans les conditions d'exercice réel.
Les services visés diffusant des contenus à caractère pornographique sont tenus de s'assurer que les solutions mises en place sont systématiquement en mesure de répondre aux exigences du référentiel en adaptant, le cas échéant, leurs principes et leurs paramètres de fonctionnement.
Taux d'erreur, contournement et risques d'attaque
L'audit technique s'attache à évaluer, d'une façon générale, le respect par la solution de vérification de l'âge de la loi et de l'ensemble du présent référentiel.
A cet égard, il évalue tout particulièrement :
- la capacité de la solution technique à distinguer les utilisateurs mineurs ;
- l'absence de biais discriminatoires ;
- la résistance aux pratiques de contournement potentielles (deepfakes, par exemple) et aux risques d'attaque (17).
Indépendance du prestataire d'audit
Afin de ne pas entacher la crédibilité de l'audit, il convient que l'auditeur dispose d'une expertise et d'une expérience avérée et qu'il soit indépendant tant des sociétés proposant les solutions de vérification de l'âge que des services visés diffusant des contenus à caractère pornographique qui emploient ladite ou lesdites solutions techniques.
L'ARCOM pourra, dans une version ultérieure du présent référentiel, préciser les conditions dans lesquelles les audits doivent être réalisés et mis à la disposition du public.
En l'état, et dans l'attente des précisions qui pourront être apportées ultérieurement par l'ARCOM, les entreprises sont encouragées à réaliser des audits techniques de leurs systèmes de vérification d'âge, d'abord sous six mois à compter de la publication du présent référentiel puis au moins chaque année.
Les services visés diffusant des contenus à caractère pornographique sont incités également à publier leur rapport d'audit au sein d'une page facilement accessible de leur interface en ligne, et dans un format aisément compréhensible, par souci de transparence notamment envers les utilisateurs.
(1) ARCOM, La fréquentation des sites « adultes » par les mineurs (sur la base de données fournies par Médiamétrie) publiée le 25 mai 2023 :
(2) M. Arzano, C. Rozier, Alice au pays du porno : Ados : leurs nouveaux imaginaires sexuels, Ramsay, 2005.
(3) Voir : https://www.csa.fr/Informer/Toutes-les-actualites/Actualites/Quelles-solutions-pour-proteger-votre-enfant-des-images-a-caractere-pornographique-sur-internet ; et B. Smaniotto (chercheuse en psychopathologie et psychologie clinique), « Pornographie : quels impacts sur la sexualité adolescente ? », The Conversation, 28 août 2023 : https://theconversation.com/pornographie-quels-impacts-sur-la-sexualite-adolescente-207142
(4) Cour de Cassation, chambre criminelle, 23 février 2000, 99-83.928.
(5) https://www.ohchr.org/fr/documents/general-comments-and-recommendations/general-comment-no-25-2021-childrens-rights-relation
(6) CNIL, délibération n° 2021-069 du 3 juin 2021 portant avis sur un projet de décret relatif aux modalités de mise en œuvre des mesures visant à protéger les mineurs contre l'accès à des sites diffusant un contenu pornographique (voir : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000044183781).
(7) Voir : https://www.cnil.fr/fr/la-cnil-publie-8-recommandations-pour-renforcer-la-protection-des-mineurs-en-ligne
(8) Voir :
(9) Voir : https://linc.cnil.fr/demonstrateur-du-mecanisme-de-verification-de-lage-respectueux-de-la-vie-privee
(10) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
(11) Voir communiqué de la CNIL en date du 21 février 2023 : https://www.cnil.fr/fr/controle-de-lage-pour-lacces-aux-sites-pornographiques
(12) CSA, avis n° 2021-11 du 23 juin 2021 sur le projet de décret relatif aux modalités de mise en œuvre des mesures visant à protéger les mineurs contre l'accès à des sites diffusant un contenu pornographique.
(13) « Restricted to adults ».
(14) Les headers sont des informations renvoyées par le serveur du site internet à destination du navigateur de l'utilisateur au moment d'une requête.
(15) https://linc.cnil.fr/demonstrateur-du-mecanisme-de-verification-de-lage-respectueux-de-la-vie-privee
(16) https://www.cnil.fr/fr/verification-de-lage-en-ligne-trouver-lequilibre-entre-protection-des-mineurs-et-respect-de-la-vie
(17) L'évaluation des risques d'attaques d'une solution de vérification d'âge consiste à déterminer si le système est susceptible d'être détourné à des fins de fraude.