En bref
L’EU Kids Act est une proposition de règlement qui interdirait aux moins de 13 ans de créer un compte sur les réseaux sociaux et prévoirait des comptes supervisés pour les jeunes de 13 et 14 ans. Les plateformes devraient également démontrer que leurs services sont sûrs dès leur conception.
La vérification de l’âge pourrait permettre de confirmer qu’un utilisateur a l’âge requis sans révéler son identité à la plateforme. Celle-ci recevrait uniquement une confirmation indiquant si la condition d’âge est remplie. La proposition prévoirait également d’autres méthodes de vérification pour les personnes qui ne disposent pas d’une identité numérique. L’utilisation du portefeuille européen d’identité numérique ne serait donc pas obligatoire pour tous.
Ces garanties ne suffiraient toutefois pas, à elles seules, à assurer la protection de la vie privée. Celle-ci dépendrait également de la manière dont les organismes chargés de vérifier l’âge traiteraient les données recueillies, ainsi que de l’accessibilité et du respect de la vie privée des solutions proposées.
Ce que prévoit le projet européen de protection des enfants, l’EU Kids Act
Le 17 septembre 2026, la Commission européenne a présenté une proposition de règlement baptisée « EU Kids Act ». Son intitulé anglais est EU Keeping Internet Digital Spaces Accountable and Trustworthy. Le titre français officiel présente le texte comme une proposition de règlement « relatif à un environnement numérique responsable et digne de confiance dans l’UE pour les enfants ».
S’il était adopté, ce règlement s’appliquerait dans l’ensemble des 27 États membres de l’Union européenne. Il reposerait sur quatre grands piliers.
| Pilier | Principales mesures |
|---|---|
| Accès progressif aux réseaux sociaux | Les enfants de moins de 13 ans ne pourraient pas créer de compte sur les réseaux sociaux concernés. Les jeunes de 13 et 14 ans disposeraient de comptes supervisés, assortis de fonctionnalités limitées et d’une durée d’utilisation plafonnée. À partir de 15 ans, ils pourraient créer un compte autonome. |
| Sécurité dès la conception | Les plateformes devraient limiter les mécanismes susceptibles d’encourager un usage compulsif, comme la lecture automatique, le défilement infini, les notifications incitant à revenir sur le service ou les récompenses liées aux connexions quotidiennes. La personnalisation fondée sur le suivi serait désactivée par défaut, et les plateformes devraient proposer un fil d’actualité sans profilage. |
| Vérification de l’âge | La vérification de l’âge serait certifiée et reposerait sur des preuves à divulgation nulle de connaissance. Les plateformes ne recevraient qu’une réponse par « oui » ou par « non ». |
| Renforcement de l’application des règles | La charge de la preuve serait inversée pour les très grandes plateformes, qui devraient démontrer que leurs services sont sûrs dès leur conception. |
Le projet ne se limiterait pas aux réseaux sociaux. Il viserait également les plateformes de partage de vidéos, les plateformes de jeux en ligne, les boutiques d’applications et certains services d’intelligence artificielle, notamment les compagnons IA et les agents conversationnels. Les obligations déjà prévues par le règlement sur les services numériques (Digital Services Act, ou DSA) et par le règlement sur l’intelligence artificielle continueraient de s’appliquer. L’EU Kids Act viendrait donc compléter le cadre réglementaire existant.
Pourquoi cette proposition a-t-elle été présentée ?
Selon une enquête Eurobaromètre citée dans le débat européen, près d’un adolescent sur trois déclarait se sentir stressé, triste ou socialement exclu en raison des réseaux sociaux. La protection des enfants en ligne est également considérée comme une priorité politique majeure par 92 % des Européens interrogés.
Les jeunes qui avaient commencé à utiliser les réseaux sociaux avant l’âge de 10 ans déclaraient passer davantage de temps devant un écran le week-end que ceux qui les avaient découverts plus tard. Ces données s’inscrivent dans un débat plus large sur les effets des services numériques sur le bien-être des mineurs.
Parallèlement, plusieurs États membres envisageaient ou préparaient des règles nationales encadrant l’accès des mineurs aux réseaux sociaux et à d’autres services numériques. La diversité de ces initiatives risquait de fragmenter le cadre réglementaire européen et de compliquer l’application de règles communes.
L’expérience australienne a également nourri le débat. L’interdiction de l’accès aux réseaux sociaux pour les moins de 16 ans, entrée en vigueur en décembre 2025, a soulevé des questions sur la manière de vérifier effectivement l’âge des utilisateurs. L’article évoque à ce sujet un test portant sur 50 comptes, au cours duquel aucune vérification de l’âge n’aurait été constatée. Ce résultat doit toutefois être accompagné de sa source et de la méthodologie du test pour pouvoir être interprété correctement.
Comment devrait fonctionner la vérification de l’âge ?
La procédure envisagée ne reposerait pas sur une simple déclaration de l’âge par l’utilisateur. Elle suivrait plusieurs étapes :
- Vérification initiale : l’utilisateur ferait vérifier son âge auprès d’un organisme ou d’un service agréé, selon les modalités prévues par le dispositif.
- Délivrance d’une attestation : après vérification des justificatifs nécessaires, le service délivrerait une attestation permettant de confirmer que l’utilisateur atteint le seuil d’âge requis.
- Transmission d’une réponse limitée : lorsqu’une plateforme demanderait cette confirmation, la solution de vérification transmettrait uniquement le résultat nécessaire, par exemple une réponse positive ou négative.
- Protection des données auprès de la plateforme : celle-ci ne recevrait pas directement les justificatifs d’identité, le nom ou la date de naissance de l’utilisateur dans le cadre de cette vérification.
Le projet prévoit également qu’au moins une méthode gratuite soit accessible dans chaque État membre, y compris aux personnes qui ne disposent pas d’une identité numérique. Une solution technique commune pourrait servir de référence aux autorités nationales et aux prestataires qui mettent en œuvre le dispositif.
Pour les comptes existants, une nouvelle vérification ne serait pas nécessaire dans tous les cas. Si une plateforme pouvait établir avec un degré de confiance suffisant que le titulaire est majeur, elle pourrait s’appuyer sur les informations déjà disponibles, conformément aux conditions prévues par le texte.
La vérification de l’âge prévue par l’EU Kids Act constitue-t-elle un risque pour la vie privée ?
Ce que les preuves à divulgation nulle de connaissance peuvent garantir
Les preuves à divulgation nulle de connaissance (zero-knowledge proofs, ou ZKP) permettent de démontrer qu’une condition est remplie sans révéler les informations utilisées pour l’établir. Dans le contexte de la vérification de l’âge, une plateforme pourrait ainsi recevoir une confirmation indiquant que l’utilisateur satisfait au seuil requis, sans obtenir directement son nom, sa date de naissance ou ses documents d’identité.
La proposition prévoit également des garanties destinées à empêcher que les dispositifs de vérification servent à identifier les utilisateurs, à les localiser, à suivre leur activité ou à établir leur profil. Ces exigences visent à limiter la collecte de données au strict nécessaire.
Toutefois, les garanties techniques prévues ne suffisent pas, à elles seules, à démontrer que l’ensemble du dispositif protégera effectivement la vie privée. Il faut aussi examiner la façon dont les solutions seront déployées, les données conservées par les organismes concernés et les possibilités de relier entre elles différentes opérations de vérification.
Mais quelqu’un détient toujours vos documents d’identité
Avant de pouvoir produire une attestation d’âge, l’utilisateur pourrait devoir justifier son identité ou son âge auprès d’un organisme émetteur. Cet organisme serait donc susceptible d’avoir accès à des documents ou à des informations personnelles que la plateforme n’obtiendrait pas directement.
La protection offerte par une preuve à divulgation nulle de connaissance concerne avant tout les informations transmises lors de la vérification auprès du service destinataire. Elle ne garantit pas automatiquement que les données fournies en amont à l’organisme émetteur seront anonymes, supprimées rapidement ou impossibles à relier à d’autres informations.
Le risque lié à la concentration des données ne disparaît donc pas nécessairement : il peut en partie se déplacer des plateformes vers les organismes émetteurs et les prestataires chargés de l’inscription. La sécurité de ces acteurs, leurs pratiques de conservation des données et les contrôles dont ils font l’objet restent essentiels.
L’affaire Persona illustre les risques liés aux prestataires
En février 2026, des chercheurs ont signalé l’exposition en ligne d’une interface de test associée à Persona, un prestataire de vérification d’identité utilisé par Discord. Selon les informations publiées à l’époque, cette interface donnait accès à la description de nombreuses fonctions de vérification, dont certaines portaient sur la comparaison faciale et les listes de surveillance.
Il convient toutefois de distinguer l’exposition d’une interface de test d’une fuite avérée de données personnelles. Persona a précisé que l’environnement concerné était isolé des systèmes de production et qu’aucune donnée personnelle n’avait été exposée. L’incident soulève néanmoins une question importante : quelles garanties techniques et organisationnelles permettent de limiter les risques lorsque des prestataires privés traitent des données sensibles ?
Qui gère réellement l’application de vérification de l’âge ?
Le dispositif envisagé ne reposerait pas nécessairement sur une application unique administrée de manière centralisée par l’Union européenne. Il s’appuierait sur des normes communes et sur des solutions déployées dans le cadre défini par le texte.
- Commission européenne : elle définirait le cadre réglementaire et les exigences techniques applicables au dispositif.
- États membres : ils organiseraient la mise en œuvre nationale et veilleraient à ce que les solutions prévues soient accessibles conformément aux obligations applicables.
- Organismes et prestataires de vérification : ils vérifieraient les informations nécessaires et délivreraient, selon le système utilisé, une attestation permettant de confirmer l’âge.
- Plateformes numériques : elles recevraient le résultat de la vérification et devraient respecter les règles encadrant l’utilisation de ces informations.
La Commission a publié des spécifications techniques destinées à servir de référence pour les solutions de vérification de l’âge. Toutefois, il faut distinguer la publication d’un modèle technique de l’existence d’une application opérationnelle identique dans tous les États membres.
Une architecture répartie entre plusieurs acteurs peut limiter la centralisation des données à l’échelle européenne. Elle ne supprime cependant pas tous les risques. La protection de la vie privée dépendrait aussi des modalités de déploiement, des mesures de sécurité, des pratiques des prestataires et des règles de conservation des données dans chaque système.
Les préoccupations en matière de protection de la vie privée
Surveillance parentale des adolescents vulnérables. Les outils de suivi permanent et les listes de contacts préalablement approuvés pour les jeunes de 13 et 14 ans peuvent sembler protecteurs. Pour les adolescents LGBTQ+ qui vivent dans un environnement familial peu accueillant, les communautés en ligne peuvent toutefois représenter un soutien essentiel. Les organisations de défense des libertés civiles ont averti que la surveillance parentale risquait de priver certains jeunes vulnérables des réseaux de soutien dont ils ont le plus besoin.
Dérive de la mission. Des organisations de défense de la vie privée, comme l’EDRi et l’EFF, avertissent que les infrastructures de vérification de l’âge créées pour protéger les enfants pourraient être réutilisées à d’autres fins. L’application européenne serait également conçue pour vérifier que les utilisateurs ont au moins 18 ans avant de leur donner accès à des contenus réservés aux adultes, conformément au règlement sur les services numériques (DSA). Une fois le système en place, la pression en faveur de son extension pourrait s’accentuer.
La vérification de l’âge concerne aussi les adultes. Les limites d’âge concernent aussi les adultes, puisque les services concernés doivent déterminer si leurs utilisateurs remplissent les conditions d’âge requises. Toutefois, la proposition n’imposerait pas l’utilisation du portefeuille européen d’identité numérique. Elle prévoirait des solutions de remplacement certifiées ainsi qu’une méthode d’accès gratuite pour les personnes qui ne disposent pas d’une identité numérique. La plupart des adultes qui possèdent déjà un compte n’auraient pas besoin d’une nouvelle vérification si les plateformes disposaient déjà d’éléments suffisants pour établir leur majorité. La question essentielle est de savoir si ces solutions de remplacement seront réellement accessibles et respectueuses de la vie privée, et non si tout le monde devra utiliser un portefeuille donné.
Déplacement des adolescents vers des espaces non réglementés. Des spécialistes du numérique avertissent que les adolescents privés d’accès aux grandes plateformes pourraient se tourner vers des espaces moins encadrés, sans garanties suffisantes en matière de vie privée ni dispositifs de sécurité intégrés dès la conception.
Ce que cela implique pour les communications privées
Les conséquences de l’EU Kids Act pour les services de messagerie dépendront de leur nature et de leur fonctionnement. Il serait donc excessif d’affirmer que tous les services de messagerie sécurisée seraient automatiquement exclus du texte : leur statut dépendrait notamment des services proposés et du champ d’application des dispositions concernées.
Au-delà de cette question juridique, le débat soulève un enjeu plus large : comment renforcer la protection des mineurs sans multiplier inutilement les données collectées ni fragiliser la confidentialité des communications ? Le chiffrement de bout en bout, la maîtrise des clés de chiffrement par l’utilisateur et la limitation de la collecte des données sont autant de mécanismes qui peuvent contribuer à protéger les échanges privés. Ils ne répondent toutefois pas, à eux seuls, à toutes les questions liées à la vérification de l’âge.
Mailfence indique proposer un chiffrement de bout en bout fondé sur OpenPGP, avec une gestion des clés par l’utilisateur. Le service affirme également ne pas analyser le contenu des messages à des fins publicitaires ou de surveillance de masse et fonctionner conformément au droit belge. Ces déclarations décrivent les engagements et les choix de conception revendiqués par le fournisseur ; elles ne constituent pas, à elles seules, une évaluation indépendante de l’ensemble de ses garanties.
Plus généralement, les exigences réglementaires en matière de sécurité et de protection des mineurs ne remplacent pas les protections techniques de la vie privée. L’enjeu consiste à faire coexister ces deux objectifs, sans supposer qu’un dispositif de vérification de l’âge garantit automatiquement la confidentialité des communications.
Mailfence – Votre suite de productivité sécurisée
Préservez votre confidentialité
- Messages
- Calendriers
- Documents
- Groupes
Dernières réflexions
L’EU Kids Act cherche à répondre à un problème réel : les risques auxquels les enfants sont exposés en ligne et la difficulté à imposer aux plateformes des protections adaptées dès la conception de leurs services. La limitation progressive de l’accès aux réseaux sociaux, la restriction de certaines fonctionnalités susceptibles d’encourager un usage excessif et le renforcement des obligations imposées aux fournisseurs constituent les principaux axes de cette proposition.
Le recours à des preuves à divulgation nulle de connaissance pourrait également contribuer à limiter les informations communiquées aux plateformes lors de la vérification de l’âge. Mais cette garantie technique ne suffit pas à régler toutes les questions de confidentialité. Il faut aussi examiner le rôle des organismes qui vérifient l’âge, les données qu’ils conservent, la sécurité des solutions utilisées et les possibilités de contrôle offertes aux utilisateurs.
La mise en œuvre sera donc déterminante. Une architecture décentralisée peut éviter la constitution d’une base de données européenne unique, mais elle ne supprime pas les risques liés aux différents prestataires et systèmes nationaux. De même, des règles de protection ambitieuses doivent s’accompagner de mécanismes de contrôle effectifs et de solutions réellement accessibles à tous.
Enfin, il importe de rappeler que l’EU Kids Act est une proposition législative, présentée par la Commission européenne le 17 septembre 2026. Son contenu peut encore évoluer au cours de son examen par le Parlement européen et le Conseil. La consultation publique annoncée par la Commission doit permettre aux personnes concernées de faire connaître leurs observations jusqu’au 3 décembre 2026.
La question centrale reste donc la suivante : comment protéger efficacement les enfants en ligne tout en préservant la vie privée, l’accès à l’information et la confidentialité des échanges ? La réponse dépendra autant des garanties inscrites dans le texte final que de leur mise en œuvre concrète.
Que signifie l'« EU Kids Act » ?
L’intitulé anglais est « Keeping Internet Digital Spaces Accountable and Trustworthy ». Il s’agit, selon l’article, d’une proposition de règlement qui fixerait des limites d’âge pour l’accès aux réseaux sociaux, interdirait certaines fonctionnalités susceptibles de favoriser un usage compulsif chez les mineurs et imposerait une vérification de l’âge conçue pour mieux protéger la vie privée. La Commission l’a présentée le 17 septembre 2026. Elle devrait encore être examinée puis adoptée par le Parlement européen et le Conseil.
Les adultes devront-ils justifier de leur âge ?
Pas nécessairement. Pour la plupart des adultes qui possèdent déjà un compte, les plateformes pourraient s’appuyer sur les informations dont elles disposent. Une vérification formelle ne serait nécessaire que si ces informations ne suffisaient pas à établir leur majorité. Les critiques soulignent toutefois que les plateformes pourraient choisir de vérifier l’âge de tous les utilisateurs afin de limiter leur propre risque juridique.
Comment la vérification de l'âge permet-elle de protéger la vie privée ?
Les preuves à divulgation nulle de connaissance permettraient à la plateforme de savoir uniquement si vous atteignez le seuil d’âge requis. Elle ne reçoit ni votre nom, ni votre date de naissance, ni aucun document. Vous devriez toutefois faire vérifier votre âge une seule fois par un organisme émetteur national. La confidentialité de cette étape dépend de la mise en œuvre dans votre pays et des règles de conservation applicables à l’organisme émetteur et au portefeuille numérique.
En quoi cela diffère-t-il de l'interdiction en vigueur en Australie ?
Selon l’article, l’interdiction australienne visant les moins de 16 ans ne s’accompagnait ni d’une méthode de vérification ni d’une infrastructure publique de vérification de l’âge. Un test mené en parallèle aurait révélé qu’aucun des 50 comptes examinés n’avait fait l’objet d’une vérification de l’âge. La proposition de l'UE impose l'utilisation d'outils certifiés, de preuves à divulgation nulle de connaissance et d'une voie d'accès libre dans chaque État membre, tout en ajoutant des règles de « sécurité dès la conception ».
Cette loi interdit-elle l'accès aux réseaux sociaux à tous les enfants ?
Non. Le texte prévoirait des règles progressives selon l’âge. Les moins de 13 ans ne pourraient pas créer de compte personnel ; ils pourraient toutefois consulter des contenus adaptés à leur âge par l’intermédiaire d’un compte géré par un parent, si cette possibilité est bien prévue. Les jeunes de 13 et 14 ans utiliseraient des comptes supervisés. À partir de 15 ans, ils pourraient créer des comptes autonomes sur les services respectant les règles de sécurité prévues.
