Vérification de l'âge en ligne : le guide 2026

Le 14 août 2026, le Conseil constitutionnel a censuré l’interdiction des réseaux sociaux aux moins de 15 ans (décision n° 2026-911 DC). Un mois plus tôt, l’Arcom engageait une procédure contre 31 sites pornographiques dépourvus de dispositif de contrôle de l’âge. Deux mouvements opposés, un même sujet : à quelles conditions un éditeur peut-il — ou doit-il — vérifier l’âge de ses utilisateurs sans se mettre en infraction avec le RGPD ?

La question ne concerne plus seulement les sites pour adultes. Vente d’alcool, jeux d’argent, contenus classifiés, réseaux sociaux, applications grand public, marketplaces : les obligations de contrôle d’âge se multiplient pendant que le cadre protection des données, lui, ne bouge pas. Voici ce que le droit exige exactement en août 2026, et la méthode que j’applique en mission pour arbitrer.

Trois régimes juridiques distincts, souvent confondus

La première erreur consiste à traiter « la vérification de l’âge » comme un bloc unique. Il existe en réalité trois fondements différents, avec des périmètres, des sanctions et des autorités de contrôle qui n’ont rien à voir.

Le régime RGPD — c’est le socle. L’article 8 du RGPD fixe l’âge du consentement numérique et impose, à son paragraphe 2, au responsable de traitement de « s’efforcer raisonnablement de vérifier » que le titulaire de la responsabilité parentale a bien consenti, compte tenu des moyens technologiques disponibles. La France a retenu 15 ans à l’article 45 de la loi Informatique et Libertés. Attention au champ exact : l’article 8 ne s’applique qu’aux services de la société de l’information offerts directement à un enfant et lorsque la base légale est le consentement. Si vous traitez sur la base du contrat ou de l’intérêt légitime, l’article 8 ne vous impose rien — ce qui ne signifie pas que vous n’avez aucune obligation, comme on le verra.

Le régime SREN / Arcom — c’est une obligation sectorielle. La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique impose aux éditeurs de services diffusant des contenus pornographiques de mettre en place un système de contrôle de l’âge conforme à un référentiel technique adopté par l’Arcom. Ce référentiel a été publié le 11 octobre 2024, avec un délai de mise en conformité de trois mois. Depuis janvier 2025, l’Arcom dispose de pouvoirs de blocage et de déréférencement.

Le régime DSA — c’est une obligation de moyens à l’échelle européenne. L’article 28(1) du règlement (UE) 2022/2065 impose aux plateformes en ligne accessibles aux mineurs des « mesures appropriées et proportionnées » pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité. La Commission européenne a publié le 14 juillet 2025 des lignes directrices détaillant ce qu’elle attend, accompagnées d’un prototype d’application européenne de vérification d’âge. Ces lignes directrices ne sont pas contraignantes en elles-mêmes, mais elles constituent le référentiel d’appréciation de la Commission lorsqu’elle contrôlera la conformité à l’article 28(1). Voir notre analyse des obligations des plateformes sous le DSA.

Un même service peut relever des trois régimes simultanément. Une plateforme de partage vidéo établie en France, accessible aux mineurs, diffusant certains contenus classifiés et fonctionnant au consentement pour la personnalisation publicitaire cumule les trois. Les auditer séparément est le meilleur moyen de produire trois dispositifs incohérents.

Le référentiel Arcom et le principe du double anonymat

C’est le texte le plus opérationnel du dispositif français, et il mérite d’être compris même par ceux qui ne diffusent pas de contenus pour adultes : il fixe l’état de l’art que la CNIL opposera aux autres secteurs.

La CNIL s’est prononcée sur le projet par la délibération n° 2024-067 du 26 septembre 2024 et a constaté que l’Arcom avait repris l’essentiel de ses préconisations. Deux exigences structurent le référentiel.

Le tiers vérificateur indépendant

La vérification doit être réalisée par un prestataire de système de vérification de l’âge indépendant du site qui la met en œuvre. C’est le cœur des recommandations de la CNIL depuis 2021. La logique est simple : l’éditeur d’un site pornographique n’a aucune raison légitime de détenir les pièces d’identité de ses visiteurs, et le risque en cas de violation de données est considérable — on parle de données révélant la vie sexuelle, donc de données sensibles au sens de l’article 9 du RGPD.

Ce prestataire agit en principe comme sous-traitant ou comme responsable de traitement autonome selon la configuration retenue. La qualification n’est pas cosmétique : elle détermine qui rédige les mentions d’information, qui répond aux demandes de droits et qui notifie une violation. Elle doit être tranchée et formalisée dans le contrat de sous-traitance.

Le double anonymat

Après une période transitoire, le référentiel impose de proposer aux internautes au moins une solution en « double anonymat ». Le mécanisme repose sur une séparation stricte des connaissances :

• le site auquel l’internaute accède reçoit la preuve de sa majorité, mais ne connaît pas son identité ;
• le prestataire de vérification connaît l’identité de l’internaute, mais ignore quels sites il consulte.

Aucun acteur ne dispose donc du couple identité + comportement de navigation. La CNIL recommande d’aller plus loin en privilégiant les solutions permettant à l’utilisateur de conserver ou générer localement des preuves de majorité réutilisables, afin d’éviter une sollicitation systématique du tiers.

C’est exactement la logique de divulgation sélective portée par le portefeuille européen d’identité numérique : transmettre un attribut « majeur : oui » plutôt qu’une date de naissance, et a fortiori plutôt qu’une copie de carte d’identité. La France fait partie des cinq États — avec le Danemark, la Grèce, l’Italie et l’Espagne — qui déploieront en premier la solution technique européenne de vérification d’âge, soit dans leur portefeuille national, soit via une application dédiée.

L’exécution : blocage et déréférencement

L’Arcom n’a pas attendu. En juillet 2026, elle a engagé la procédure la plus vaste menée à ce jour : 31 sites visés, demande adressée aux fournisseurs d’accès et aux moteurs de recherche de bloquer ou déréférencer sous 48 heures treize sites dont le pays d’établissement n’est pas identifié et qui ne disposent d’aucun système de vérification, lettres d’observation à cinq sites établis en France ou hors Union européenne. Plusieurs opérateurs contestent le dispositif devant les juridictions.

Pour un éditeur, la leçon pratique est que le risque n’est pas seulement financier : il est existentiel. Un blocage DNS ordonné en 48 heures coupe le trafic français avant toute discussion sur le fond.

Ce que la censure du 14 août 2026 change pour les autres secteurs

La proposition de loi visant à protéger les mineurs face aux réseaux sociaux, définitivement adoptée le 21 juillet 2026, devait entrer en vigueur le 1er septembre. Le Conseil constitutionnel, saisi par des députés, a censuré son article 1er.

Deux motifs, et le second intéresse directement les DPO.

Sur la liberté d’expression. Les Sages reconnaissent « l’exigence constitutionnelle de protection de l’intérêt supérieur de l’enfant », mais jugent que l’interdiction « porte une atteinte qui n’est pas adaptée, nécessaire et proportionnée » à la liberté d’expression et de communication, dès lors qu’elle « est susceptible de s’appliquer à des services de communication en ligne dont les risques pour la santé et la sécurité des mineurs ne sont pas établis ». Autrement dit : le périmètre était trop large et insuffisamment corrélé au risque réel.

Sur la vie privée. C’est le point décisif. La loi imposait aux plateformes de mettre en place un ou plusieurs dispositifs de justification de l’âge à l’inscription, sans en préciser les modalités techniques. Le Conseil relève que, « faute de déterminer les conditions et les limites » de cette justification d’âge, « le législateur n’a pas prévu les garanties légales » nécessaires au droit au respect de la vie privée.

Cette motivation confirme ce que la CNIL écrit depuis 2021 : une obligation générale de vérification d’âge, non bornée et non encadrée techniquement, est disproportionnée. La CNIL avait explicitement averti qu’une généralisation du contrôle de l’âge risquait de conduire « à la mise en place d’un monde numérique fermé, dans lequel les individus devraient constamment prouver leur âge, voire leur identité ».

Le gouvernement a annoncé la réécriture du texte. À la lecture de la décision, une version conforme devra vraisemblablement combiner un périmètre défini par le risque avéré et un encadrement légal précis des modalités de vérification — pas une obligation nue renvoyée à la technique.

Notez enfin que le Conseil, saisi du seul article 1er, ne s’est pas prononcé sur l’interdiction du téléphone portable au lycée figurant dans le même texte.

La méthode d’arbitrage : quatre questions avant de déployer quoi que ce soit

Dans mon expérience de conseil, la majorité des dispositifs de contrôle d’âge que j’audite échouent non pas sur la technique, mais sur l’absence de raisonnement préalable. Voici la séquence que j’applique.

1. Ai-je une obligation, ou un simple souhait ?

Distinguer est essentiel, parce que la base légale en dépend. Si une obligation légale existe (SREN, jeux d’argent, vente d’alcool ou de tabac à distance, classification de contenus), la base est l’obligation légale de l’article 6(1)©. Si vous vérifiez l’âge sans obligation, il faut fonder le traitement sur l’intérêt légitime de l’article 6(1)(f) et conduire un test de mise en balance — sachant que le considérant 38 du RGPD reconnaît que les enfants méritent une protection spécifique, ce qui joue en votre faveur.

Ne fondez jamais un contrôle d’âge sur le consentement : c’est circulaire. On ne peut pas demander le consentement d’une personne dont on cherche précisément à établir si elle a l’âge de consentir.

2. Quel niveau de fiabilité le risque justifie-t-il ?

Toutes les situations ne se valent pas. Un forum de jardinage et un site de paris sportifs n’appellent pas le même dispositif. La proportionnalité s’apprécie au regard du préjudice évité, pas de la commodité opérationnelle.

Niveau	Méthode type	Fiabilité	Intrusivité	Contexte adapté
1	Déclaration auto-déclarative (case à cocher, date de naissance saisie)	Très faible	Nulle	Contenus sans risque avéré, première barrière
2	Estimation d’âge par analyse faciale locale, sans conservation d’image	Moyenne	Moyenne	Accès à des fonctionnalités à risque modéré
3	Vérification par tiers indépendant en double anonymat	Élevée	Faible pour le site, élevée pour le tiers	Contenus réservés aux majeurs, jeux d’argent
4	Téléversement de pièce d’identité au site lui-même	Élevée	Très élevée	À proscrire dans presque tous les cas

Le niveau 4 est celui que je rencontre le plus souvent en audit, et c’est presque toujours une erreur. Faire transiter et stocker des copies de titres d’identité sur ses propres serveurs crée un risque de sécurité disproportionné, viole le principe de minimisation de l’article 5(1)©, et expose à une sanction sans apporter de fiabilité supérieure au niveau 3.

Quant au niveau 2, un point d’attention majeur : l’estimation d’âge par analyse faciale ne constitue pas un traitement de données biométriques au sens de l’article 4(14) du RGPD tant qu’elle ne vise pas à identifier ou authentifier une personne. Estimer un âge n’est pas identifier. Mais la ligne est fine : dès que le gabarit facial est conservé, indexé ou comparé à une base, on bascule dans l’article 9 et l’interdiction de principe s’applique. Le même raisonnement vaut pour les caméras augmentées et l’analyse d’images par IA, sur lesquelles la CNIL a lancé des travaux dédiés en mars 2025 concernant la vérification de l’âge en point de vente.

3. Le dispositif est-il conçu pour minimiser ?

Trois réflexes de privacy by design, au sens de l’article 25(1) :

• Ne collectez qu’un booléen. Si votre besoin est « majeur oui/non », ne stockez jamais la date de naissance exacte. J’ai vu des bases de données conserver des dates de naissance complètes pour un contrôle « +18 » : c’est un manquement caractérisé.
• Ne conservez pas la preuve source. Le document d’identité, la photo, la transaction bancaire de test servent à produire l’attribut, puis doivent être supprimés. Une durée de conservation de quelques secondes est parfaitement défendable.
• Ne liez pas la preuve d’âge au profil publicitaire. Réutiliser l’attribut d’âge pour du ciblage constitue un détournement de finalité au sens de l’article 5(1)(b), et ce sont précisément les mineurs que les lignes directrices DSA protègent contre le profilage publicitaire.

4. Une AIPD est-elle requise ?

Presque toujours, oui. Un dispositif de vérification d’âge coche plusieurs critères des lignes directrices WP248 du G29 reprises par la CNIL : traitement à grande échelle, données relatives à des personnes vulnérables, usage innovant, croisement de données. Il figure aussi sur la liste CNIL des traitements pour lesquels une analyse d’impact est obligatoire lorsqu’il concerne des mineurs. Reportez-vous à l’article 35 du RGPD pour le détail de la méthode.

L’AIPD n’est pas un exercice formel ici : c’est précisément le document qui vous permettra de démontrer pourquoi vous avez retenu le niveau 3 plutôt que le niveau 4, et de tracer l’arbitrage de proportionnalité que le Conseil constitutionnel vient de placer au centre du débat.

Les erreurs récurrentes que je relève en audit

Le mur d’identité en page d’accueil. Exiger une pièce d’identité pour un simple accès à un catalogue est disproportionné, et l’argument « c’est plus simple techniquement » n’a jamais convaincu une formation restreinte.

L’absence de parcours alternatif. Un utilisateur qui refuse la reconnaissance faciale doit disposer d’une autre voie. Le référentiel Arcom impose d’ailleurs de proposer plusieurs solutions, dont au moins une en double anonymat.

La confusion entre vérification d’âge et consentement parental. Ce sont deux traitements distincts avec deux finalités distinctes. Vérifier qu’un utilisateur a moins de 15 ans, puis recueillir et vérifier le consentement du titulaire de l’autorité parentale au sens de l’article 7, impose deux enregistrements séparés au registre des activités de traitement.

L’information oubliée. Le tiers vérificateur traite des données : l’article 13 impose de l’indiquer, avec sa catégorie de destinataire, la durée de conservation et le sort réservé aux pièces justificatives. Et si le prestataire est établi hors UE, il faut documenter le transfert.

Le nudge vers la solution la plus intrusive. Présenter l’option « scan de carte d’identité » en bouton principal et le double anonymat en lien discret relève des dark patterns désormais visés par le DSA et la CNIL.

L’oubli des mineurs déjà inscrits. Les obligations ne portent pas seulement sur les nouvelles inscriptions. Une base existante contenant des comptes de mineurs sans base légale valable reste un traitement illicite, exposé aux sanctions de l’article 83.

Ce qu’il faut retenir

• Trois régimes cohabitent : le RGPD (art. 8 — consentement des mineurs, 15 ans en France), la loi SREN et son référentiel Arcom du 11 octobre 2024 (contenus pornographiques), et l’article 28(1) du DSA complété par les lignes directrices de la Commission du 14 juillet 2025.
• Le double anonymat est l’état de l’art : le site reçoit une preuve de majorité sans identité, le tiers vérificateur connaît l’identité sans savoir quel site est consulté (délibération CNIL n° 2024-067 du 26 septembre 2024).
• La décision n° 2026-911 DC du 14 août 2026 pose une limite constitutionnelle : une obligation générale de justification d’âge, sans conditions ni limites fixées par le législateur, ne présente pas les garanties légales requises pour le droit au respect de la vie privée.
• Ne fondez jamais un contrôle d’âge sur le consentement : obligation légale (art. 6(1)©) quand un texte l’impose, intérêt légitime (art. 6(1)(f)) avec test de mise en balance dans les autres cas.
• Ne stockez qu’un booléen, supprimez la preuve source, et ne réutilisez jamais l’attribut d’âge à des fins publicitaires.
• L’estimation d’âge par analyse faciale n’est pas biométrique tant qu’elle ne sert pas à identifier ou authentifier — mais conserver ou indexer un gabarit fait basculer dans l’article 9.
• Une AIPD est requise dans la quasi-totalité des cas : c’est elle qui documente l’arbitrage de proportionnalité.
• L’exécution est rapide et brutale : l’Arcom a demandé en juillet 2026 le blocage sous 48 heures de treize sites, dans une procédure visant 31 éditeurs.

FAQ

Un site e-commerce vendant de l’alcool doit-il vérifier l’âge de ses clients ?

Oui, l’article L. 3342-1 du code de la santé publique interdit la vente d’alcool aux mineurs et impose au vendeur d’exiger la preuve de la majorité. En ligne, la base légale du traitement est donc l’obligation légale de l’article 6(1)© du RGPD. En revanche, cette obligation ne justifie pas de collecter une copie de pièce d’identité : un dispositif attestant la majorité sans transmettre l’identité satisfait l’exigence légale tout en respectant la minimisation. Les mêmes principes s’appliquent aux autres obligations sectorielles de votre site marchand.

L’analyse faciale pour estimer l’âge est-elle interdite par le RGPD ?

Non, mais elle est étroitement encadrée. Tant que le traitement se borne à estimer une tranche d’âge sans identifier ni authentifier la personne, il ne relève pas des données biométriques de l’article 4(14) et n’est pas soumis à l’interdiction de principe de l’article 9(1). Il faut néanmoins une base légale, une information claire, une alternative pour l’utilisateur qui refuse, un traitement local ou une suppression immédiate de l’image, et une AIPD. Dès que le gabarit facial est conservé ou comparé à une base, le régime de l’article 9 s’applique.

Quel âge retenir : 13, 15 ou 16 ans ?

L’article 8(1) du RGPD fixe le seuil à 16 ans par défaut, tout en autorisant les États membres à descendre jusqu’à 13 ans. La France a retenu 15 ans (article 45 de la loi Informatique et Libertés). Si votre service s’adresse à des utilisateurs de plusieurs États membres, il faut appliquer le seuil de l’État de résidence de l’utilisateur : les seuils vont de 13 ans (plusieurs pays nordiques et d’Europe centrale) à 16 ans (Allemagne, Pays-Bas notamment). Beaucoup d’éditeurs retiennent 16 ans partout par simplicité — c’est prudent juridiquement, mais cela crée une friction commerciale à assumer.

La censure du 14 août 2026 supprime-t-elle toute obligation vis-à-vis des mineurs ?

Non, et c’est un contresens fréquent. La décision n° 2026-911 DC ne censure qu’un dispositif d’interdiction générale d’accès aux réseaux sociaux pour les moins de 15 ans. Elle laisse intacts l’article 8 du RGPD, la loi SREN et son référentiel Arcom, l’article 28 du DSA et les lignes directrices de la Commission européenne. Ce que le Conseil sanctionne, c’est l’absence d’encadrement légal des modalités de vérification, pas le principe de la protection des mineurs — qu’il qualifie au contraire d’exigence constitutionnelle. Nos obligations à l’égard des données des mineurs restent inchangées.

Le tiers vérificateur est-il sous-traitant ou responsable de traitement ?

Cela dépend de la marge d’autonomie contractuelle. Un prestataire qui exécute strictement vos instructions, sans déterminer les finalités ni les moyens essentiels, est sous-traitant au sens de l’article 4(8) : il faut alors un contrat conforme à l’article 28(3). Un prestataire de double anonymat qui définit lui-même son schéma cryptographique, gère sa propre relation avec l’utilisateur et conserve l’identité sans que vous y ayez accès agit le plus souvent comme responsable de traitement autonome, avec ses propres mentions d’information. La qualification doit être analysée au cas par cas et documentée — c’est le premier point que vérifie un contrôleur.

Faut-il conserver une preuve que la vérification a eu lieu ?

Oui, mais sous forme minimale. Le principe d’accountability impose de pouvoir démontrer que le contrôle a été effectué. Un journal technique horodaté indiquant qu’une vérification a abouti, la méthode employée et l’identifiant du prestataire suffit. Il ne faut ni conserver le document justificatif, ni la date de naissance exacte, ni la photo. La durée de conservation de ce journal doit être alignée sur le délai de prescription applicable à l’obligation sectorielle concernée, et non fixée arbitrairement.

---

Vous voulez recevoir ce type d’analyse chaque semaine ? Décisions de la CNIL décryptées, échéances réglementaires anticipées, méthodes applicables sans détour : inscrivez-vous à la newsletter. Une analyse par semaine, rien d’autre.