1^er septembre 2026 : ce que la loi exige vraiment

Deux régimes, souvent confondus

La confusion la plus fréquente consiste à traiter « la vérification d'âge » comme une obligation unique. Il y en a deux, et elles ne se ressemblent pas.

Si vous éditez un service accessible depuis la France qui donne accès à des contenus pornographiques, le premier régime vous concerne et vous êtes déjà en retard. Si vous exploitez un réseau social, c'est le second, et l'échéance est dans quelques semaines.

Le calendrier

1. 9 oct. 2024

   L'Arcom adopte son référentiel technique déterminant les exigences minimales applicables aux systèmes de vérification de l'âge, après avis de la CNIL.

2. 2025

   Fin des périodes transitoires. Les services concernés doivent proposer au moins une solution en double anonymat. La vérification par carte bancaire, admise à titre transitoire, ne suffit plus.

3. 21 juil. 2026

   Le Parlement adopte définitivement la loi interdisant les réseaux sociaux aux mineurs de quinze ans. La France est le premier État de l'Union à inscrire une majorité numérique dans son droit national.

4. 1^er sept. 2026

   Plus aucun compte ne peut être créé par un mineur de moins de quinze ans. L'obligation porte sur les nouvelles inscriptions.

5. 1^er janv. 2027

   L'interdiction s'étend aux comptes déjà existants. Les quatre mois qui séparent les deux échéances sont la fenêtre dont vous disposez pour vérifier l'âge de votre base d'utilisateurs.

Cette dernière ligne est la plus coûteuse et la moins commentée. L'obligation du 1^er septembre porte sur un flux — les nouvelles inscriptions. Celle du 1^er janvier porte sur un stock. Pour une plateforme installée, le second volume est supérieur au premier de plusieurs ordres de grandeur, et il doit être traité en quatre mois.

Ce que la loi ne dit pas

La loi sur la majorité numérique pose l'interdiction et désigne l'autorité qui en contrôle le respect. Elle ne prescrit pas de méthode de vérification. Le point a été relevé pendant les débats : les modalités de contrôle de l'âge restent largement imprécises.

C'est une liberté, et c'est un piège. Une liberté, parce qu'aucune technologie ne vous est imposée. Un piège, parce que le choix vous incombe entièrement — et qu'il doit satisfaire simultanément deux exigences qui tirent en sens contraire :

• Vérifier réellement. Une déclaration sur l'honneur n'est pas une vérification, et une case à cocher ne résistera pas au premier contrôle.
• Ne pas collecter au-delà du nécessaire. Le RGPD s'applique intégralement. Collecter une pièce d'identité pour établir un fait binaire — majeur ou non — est difficilement défendable au regard du principe de minimisation.

Autrement dit : la loi vous demande de savoir, et le RGPD vous interdit d'en savoir trop. Le seul moyen de satisfaire les deux est de recevoir une preuve plutôt qu'une identité.

Le double anonymat, tel que l'Arcom le définit

Le régulateur a déjà tranché cette question pour l'autre régime, et sa définition est la référence la plus claire dont on dispose en droit français :

Le site reçoit la preuve de la majorité mais ne connaît pas l'identité de l'internaute ; le fournisseur de la solution de vérification de l'âge connaît l'identité de l'internaute mais ne sait pas quels sites il visite.

Arcom, présentation du référentiel technique de vérification de l'âge

Deux propriétés, pas une. La première protège l'utilisateur du site. La seconde le protège du vérificateur — et c'est celle qu'on oublie, alors qu'elle est la plus difficile à tenir : un prestataire qui voit passer chaque vérification constitue, à lui seul, un registre de navigation.

Le référentiel n'impose formellement le double anonymat qu'au régime pornographique. Mais il est difficile d'imaginer que l'autorité qui l'a défini, et qui contrôle aussi le second régime, juge acceptable pour les réseaux sociaux une architecture qu'elle a écartée ailleurs.

Quatre erreurs qui coûtent cher

Ce que l'Arcom peut faire

Le régulateur dispose, pour le régime des contenus pornographiques, d'une gradation de mesures qu'il a déjà employée contre des services établis dans l'Union :

• la mise en demeure ;
• la sanction pécuniaire ;
• le blocage administratif du service ;
• le déréférencement auprès des moteurs de recherche.

Les deux dernières méritent d'être lues pour ce qu'elles sont. Une amende se provisionne. Un blocage et un déréférencement suppriment l'accès et la visibilité — pour un service commercial, la sanction n'est pas comptable, elle est existentielle.