Loi britannique sur la vérification de l'âge : Guide de conformité à la loi sur la sécurité en ligne

Ce que la loi sur la sécurité en ligne exige

La loi de 2023 sur la sécurité en ligne a reçu la sanction royale le 26 octobre 2023 et confère à l'Ofcom le pouvoir d'exiger des services en ligne qu'ils protègent les enfants contre la pornographie et autres contenus préjudiciables. L'obligation relative à la vérification de l'âge est simple en principe et exigeante en pratique : tout service concerné doit empêcher les enfants d'être exposés à des contenus pornographiques et doit être en mesure de démontrer que son dispositif de protection est hautement efficace, et non pas seulement présent.

Deux catégories sont soumises à cette obligation selon des échéances différentes. La partie 5 concerne les services qui publient leur propre contenu pornographique, et cette obligation s'applique depuis le 17 janvier 2025. La partie 3 concerne les plateformes entre utilisateurs et les services de recherche, qui devaient réaliser une évaluation de l'accès des enfants avant le 16 avril 2025, puis mettre en place des mesures proportionnées, notamment une vérification de l'âge, à compter du 25 juillet 2025.

Dates clés et calendrier de mise en œuvre

L'Ofcom est rapidement passée des recommandations à l'application concrète de la réglementation. Le schéma ci-dessous est tiré des décisions d'application publiées par l'Ofcom et des bulletins sectoriels [VEUILLEZ VÉRIFIER les chiffres actuels auprès du registre des mesures d'application en temps réel de l'Ofcom avant publication, car les montants et le nombre de cas sont mis à jour chaque semaine].

Deux éléments ressortent de cette situation. Premièrement, l'Ofcom considère le défaut de réponse à ses demandes d'information comme une infraction distincte du manquement sous-jacent à la vérification de l'âge, et inflige des amendes pour les deux. Deuxièmement, les sanctions sont proportionnelles à la persistance de l'infraction et à la taille du portefeuille : un opérateur mono-site ayant corrigé ses systèmes après une décision provisoire a payé moins cher qu'un opérateur multi-sites confronté à une infraction persistante. La coopération permet de réduire sensiblement la facture.

Qu’est-ce qui est considéré comme une assurance âge « hautement efficace » ?

Les directives d'Ofcom excluent l'autodéclaration, la simple saisie de l'année de naissance par case à cocher et les contrôles de carte de paiement non vérifiés comme méthodes autonomes. Les approches acceptées se répartissent généralement en quelques groupes :

• Estimation de l'âge par le visage, qui fournit une estimation d'âge basée sur la fiabilité à partir d'un selfie pris en direct, sans stocker de modèle biométrique.
• Vérification d'identité par photo, en faisant correspondre un document officiel à l'utilisateur qui tente d'accéder au site.
• Services bancaires ouverts ou vérifications par carte confirmant que le titulaire du compte est âgé de plus de 18 ans par l'intermédiaire d'un prestataire financier réglementé
• Des jetons d'identité et d'âge numériques réutilisables qui permettent à un utilisateur vérifié de prouver son âge sur plusieurs services sans avoir à répéter la vérification complète à chaque fois.
• Une approche en cascade qui commence par une méthode simple comme l'estimation de l'âge et ne recourt aux vérifications documentaires ou biométriques qu'en cas de résultats limites.

Le modèle en cascade est désormais la norme dans le secteur car il concilie la précision exigée par les organismes de réglementation et les pertes de données que les entreprises souhaitent éviter. La solution de Shufti suit ce modèle : estimation de l’âge en premier lieu, vérification plus poussée uniquement si l’estimation est incertaine, et suppression des modèles biométriques une fois le résultat obtenu.

Sanctions et pouvoirs d'exécution

L'Ofcom peut infliger une amende à un service non conforme pouvant atteindre 18 millions de livres sterling ou 10 % de son chiffre d'affaires mondial éligible, le montant le plus élevé étant retenu. Outre les amendes, l'Ofcom peut saisir les tribunaux pour obtenir des mesures de perturbation des activités commerciales : des injonctions obligeant les prestataires de paiement, les annonceurs ou les fournisseurs d'accès à Internet britanniques à retirer leur soutien à une plateforme non conforme, la bloquant ainsi de facto du marché britannique. Jusqu'à présent, les mesures de contrôle se sont concentrées sur les contenus pour adultes et les services de partage de fichiers. L'Ofcom a confirmé qu'elle examinait également les principales plateformes sociales et les outils d'intelligence artificielle générative capables de produire des contenus à caractère sexuel ; le champ d'application des mesures de contrôle s'élargit donc au lieu de se restreindre.

Comment mettre en œuvre la conformité

1. Effectuez ou mettez à jour l'évaluation d'accès de vos enfants et conservez-en une trace écrite ; c'est le document qu'Ofcom demande en premier.
2. Choisissez une méthode d'assurance âge proportionnelle à votre niveau de risque ; une méthode d'estimation en cascade avec une solution de repli documentaire convient à la plupart des plateformes grand public.
3. Supprimez toute déclaration sur l'honneur ou tout critère de l'année de naissance pris isolément ; ceux-ci ne répondent plus, à eux seuls, au critère de haute efficacité.
4. Taux de réussite, taux de faux positifs et de faux négatifs, et temps de vérification : les enquêtes d’Ofcom ont demandé à plusieurs reprises ces éléments de preuve.
5. Répondez à toute demande d'information d'Ofcom dans les délais impartis ; chaque affaire de mise en application traitée à ce jour a inclus une pénalité distincte, et souvent coûteuse, pour les réponses tardives ou manquantes.
6. Veuillez revoir votre documentation relative à la protection des données afin que les utilisateurs comprennent quelles données sont collectées, pourquoi et pendant combien de temps elles sont conservées.