Protection des mineurs en ligne : la France va tester le dispositif européen

Bruxelles a publié lundi 14 juillet ses lignes directrices en matière de protection des mineurs en ligne. Elles précisent, dans le cadre du règlement européen sur le numérique (DSA) la façon dont les éditeurs de services en ligne et grandes plateformes doivent adapter leur fonctionnement pour contrôler l'âge minimum d'accès, et limiter les risques inhérents aux jeunes publics.

Limiter les fonctionnalités addictives et les risques de manipulation

« Les lignes directrices établissent une liste non exhaustive de mesures proportionnées et appropriées pour protéger les enfants contre les risques en ligne tels que le grooming, les contenus préjudiciables, les comportements problématiques et addictifs, ainsi que la cyberintimidation et les pratiques commerciales préjudiciables », expose la Commission européenne.

Elles s'incarnent au travers de sept grands principes, qui disposent notamment que le compte d'un mineur doit être paramétré en « privé » par défaut, pour limiter le risque de contacts non sollicités. Bruxelles demande également que les algorithmes de recommandation soient modifiés pour diminuer le risque d'exposition à des contenus dangereux, offrir plus de contrôle sur le flux, mais aussi éviter aux jeunes publics de se retrouver engrenés dans des spirales de contenus problématiques (phénomène dit du « terrier de lapin », rabbit hole).

La Commission souhaite par ailleurs que les mineurs soient en mesure de bloquer les utilisateurs de leurs choix et ne puissent pas être ajoutés à des groupes ou des boucles de conversation privées sans consentement préalable.

Elle se positionne en faveur d'une protection accrue face aux dérives potentielles, qu'il s'agisse d'addiction ou d'influence. Bruxelles demande ainsi que soient désactivées par défaut « les fonctionnalités qui contribuent à une utilisation excessive » comme les accusés de lecture, la lecture automatique des vidéos, le défilement infini ou les notifications.

Une attention particulière est également portée à l'intégration des fonctions d'IA générative. Les lignes directrices demandent ainsi aux plateformes de « veiller à ce que les mineurs ne soient pas exposés à des systèmes d'IA intégrés à la plateforme qui influencent ou incitent les enfants à des fins commerciales, notamment par le biais de formats conversationnels ou de conseil tels que les chatbots ».

Bruxelles demande enfin que les éditeurs veillent à ne pas exploiter le « manque de connaissances commerciales des enfants » en évitant de les exposer à des messages manipulatoires, visant par exemple à les inciter à acheter des monnaies virtuelles et autres loot-boxes dans les jeux en ligne.

Satisfecit de la France

Reste à voir quand et comment les plateformes et éditeurs concernés s'adapteront à ces lignes directrices. Rappelons qu'elle constituent désormais le cadre au regard duquel la Commission européenne analysera le respect des obligations imposées par l'article 28 du Digital Services Act sur la protection des mineurs.

En attendant, leur publication a suscité l'enthousiasme d'Emmanuel Macron et de Clara Chappaz, ministre déléguée au Numérique, qui tous deux multiplient les appels en faveur d'une réglementation plus contraignante depuis le printemps avec, notamment, une interdiction d'accès aux réseaux sociaux pour les moins de 15 ans.

« En mai dernier, avec le Président Emmanuel Macron nous nous étions donné 3 mois pour trouver une voie européenne : c’est chose faite ! Aujourd’hui, l’Europe adopte des lignes directrices ambitieuses dans le cadre du DSA, qui ouvrent la voie à l’interdiction des réseaux sociaux aux moins de 15 ans en droit national », s'est réjouie Clara Chappaz.

L'Autorité de régulation de la communication audiovisuelle et numérique (Arcom) française se félicite dans le même temps que plusieurs de ses propositions aient été reprises par Bruxelles.

« La Commission européenne a ainsi retenu un niveau d’exigence équivalent à celui du référentiel de l’Arcom, assurant un haut niveau de protection de la vie privée et d’efficacité de la vérification de l’âge, via notamment le recours à un tiers indépendant. En outre, l’Arcom se réjouit que la Commission ait pris en compte, conformément à sa suggestion, la nécessité de protéger les mineurs contre les communications commerciales (y compris celles réalisées par les influenceurs) pour des contenus réservés aux adultes, tels que les jeux d’argent ou la pornographie. »

Un prototype européen d'application de contrôle d'accès

Le débat relatif au verrouillage de l'accès aux sites pornographiques l'a bien montré : difficile de garantir la protection sans un outil permettant le contrôle de l'âge. Sur ce terrain, Bruxelles accompagne ses lignes directrices d'un projet dédié : une solution technique censée permettre de vérifier qu'un internaute a bien l'âge requis, tout en garantissant son anonymat.

Comme le souligne l'Arcom, le procédé retenu par Bruxelles suppose l'intervention d'un tiers de confiance. En pratique : l'internaute télécharge une application dédiée à la vérification de l'âge, gérée par ce tiers. Il renseigne dans cette application sa pièce d'identité ou tout autre document approuvé certifiant sa date de naissance. Le tiers de confiance émet alors une « preuve » du respect d'un âge minimum, puis coupe tout lien entre cette preuve et les données personnelles soumises au départ. C'est ensuite cette preuve qui est soumise à l'entrée d'un service en ligne exigeant un âge minimum.

« Le processus garantit la confidentialité de l’utilisateur et ne révèle aucune information à l’émetteur de la preuve d’âge », estime la Commission européenne. Le développement de la solution a été confié au printemps à un consortium baptisé T-Scy, qui réunit les éditeurs suédois Scytales AB et allemand T-Systems International GmbH autour d'un contrat de deux ans. Leurs travaux, organisés autour d'OpenID4VCI, doivent donner lieu à la publication d'un jeu d'outils open source censés permettre aux éditeurs de service en ligne d'implémenter la brique nécessaire « sans effort ». Ils doivent par ailleurs s'inscrire dans le cadre du cadre réglementaire eIDAS et s'aligner avec le futur portefeuille numérique européen.

Cinq États membres feront office de poissons pilotes dans le déploiement d'une version « nationale » de cette application : la France, le Danemark, la Grèce, l'Italie et l'Espagne.

• France Titres relance le dossier numérique citoyen

Reddit prend les devants au Royaume-Uni

La coïncidence n'est sans doute pas fortuite : c'est également lundi 14 juillet que Reddit a annoncé, au Royaume-Uni, la mise en place d'un système de contrôle d'âge, basé cette fois sur le service Persona (également utilisé par LinkedIn pour sa fonction d'identité vérifiée). La plateforme explique avoir fait ce choix pour se mettre en conformité avec le UK Online Safety Act. Elle dit se limiter à un contrôle de la date de naissance, et ne garder en base que le statut de la vérification associée.

« Suite à l'évolution des lois, nous pourrions être amenés à collecter et/ou vérifier l'âge des utilisateurs hors du Royaume-Uni. Par conséquent, nous introduisons également, à l'échelle mondiale, une option vous permettant de fournir votre date de naissance afin d'optimiser votre expérience Reddit, par exemple pour garantir que le contenu et les publicités soient adaptés à votre âge. Cette option est facultative et vous ne serez pas tenu de la fournir, sauf si vous résidez dans un pays (comme le Royaume-Uni) où nous sommes tenus de la demander. De plus, votre date de naissance n'est jamais visible par les autres utilisateurs ni par les annonceurs. »