Cadre de conformité et de politiques

Principes, niveaux et mise en œuvre

Principes fondamentaux

AgeVerif met en œuvre un système de vérification d’âge conçu pour offrir un niveau élevé de fiabilité, tout en garantissant une protection maximale de la vie privée des utilisateurs.

Conformité juridique

AgeVerif n’est pas directement soumis au Digital Services Act (DSA), mais aide les plateformes à répondre aux obligations qui leur incombent en appliquant des principes alignés avec la protection des mineurs, la proportionnalité et la minimisation des données.

AgeVerif s’aligne ainsi sur :

  • les obligations du DSA applicables aux plateformes concernant la protection des mineurs ;
  • les exigences des autorités nationales compétentes (ARCOM, AGCOM, etc.) ;
  • le cadre du RGPD, incluant les principes de minimisation, limitation de finalité, privacy by design et séparation des rôles.

Preuve d’âge indépendante et proportionnée

AgeVerif utilise un système de preuve d’âge garantissant :

  • l’absence de transfert d’informations permettant d’identifier l’utilisateur ;
  • la séparation stricte entre le site consulté et le fournisseur d’attestation ;
  • une attestation technique « majeur / non majeur » ne permettant pas de tracer l’activité ;
  • un fonctionnement non intrusif et proportionné au risque associé au contenu.

Standards techniques reconnus

Bien que plusieurs référentiels internationaux soient encore en développement ou en cours d’harmonisation, AgeVerif applique les principes communs reconnus dans les cadres européens et internationaux relatifs à l’assurance de l’âge :

  • proportionnalité ;
  • protection de la vie privée ;
  • auditabilité ;
  • minimisation des données ;
  • séparation des responsabilités.

Protection renforcée de la vie privée

AgeVerif :

  • ne stocke aucune donnée d’identité (nom, document, date de naissance) ;
  • ne stocke aucune donnée permettant de suivre ou profiler un utilisateur ;
  • ne conserve aucune preuve d’âge au-delà de la durée strictement nécessaire au fonctionnement immédiat du service ;
  • n’utilise aucune technologie biométrique intrusive (reconnaissance faciale, analyse comportementale, etc.).

Pourquoi c’est important pour vous

En tant qu’opérateur de site Internet, il vous appartient de vous assurer que le dispositif de vérification de l’âge mis en place est adapté, proportionné et conforme aux obligations légales et réglementaires applicables dans les pays où votre service est accessible.

AgeVerif met à disposition des opérateurs un cadre technique et méthodologique conçu pour répondre aux exigences communément reconnues en matière de protection des mineurs, de fiabilité des mécanismes de vérification et de respect de la vie privée.

Ce cadre vous permet de démontrer que le système déployé atteint un niveau d’assurance de l’âge approprié, en fonction de la nature des contenus proposés et du risque associé.

Toutefois, la conformité finale du dispositif relève de la responsabilité de l’opérateur du site, notamment au regard :

  • des réglementations nationales spécifiques applicables dans chaque juridiction ;
  • des recommandations ou lignes directrices émises par les autorités locales compétentes.

AgeVerif accompagne cette démarche en offrant la possibilité de sélectionner différentes méthodes d’assurance de l’âge, afin de construire une solution adaptée à vos obligations légales et à votre public.

Dans une logique d’amélioration continue, AgeVerif reste ouvert aux remarques, retours et propositions des opérateurs et des autorités. Nos solutions sont conçues pour être évolutives et adaptables, afin de tenir compte des évolutions réglementaires, des bonnes pratiques du secteur et des exigences spécifiques pouvant émerger au niveau national ou international.

Indicateurs de confiance de AgeVerif

Précision des méthodes et seuil minimum par pays (avec buffer technique)

Les méthodes de vérification et d'estimation de l'âge de AgeVerif présentent des niveaux de précision variables.

Afin d’éviter les faux positifs (mineurs considérés à tort comme majeurs) et conformément aux réglementations européennes, AgeVerif applique une marge d’erreur (buffer) selon la méthode utilisée.

Cette marge élève le seuil effectif technique, sans modifier l’âge légal d’accès et varie selon les méthodes employées et la localisation géographique de l'utilisateur.

En vertu des lois protégeant les mineurs contre les contenus pornographiques en ligne, le seuil minimum d'âge (généralement fixé à 18 ans) définit l'âge légal d'accès. Avec les méthodes d’estimation de l’âge (IA, selfie), les variations de précision nécessitent l’ajout d’une marge d’erreur technique, afin de garantir qu’aucun mineur ne soit autorisé par erreur.

Ce buffer ne constitue pas un nouvel âge légal, mais un seuil opérationnel compensatoire pour éviter les faux positifs avec les méthodes les moins précises.

Seuil effectif technique par méthode
  France Italie Allemagne Royaume-Uni Etats-Unis Reste du monde
Selfie 23 N/D 25 25 25 23
Carte de Crédit N/D 18 18 18 18 18
Ticket 18 N/D N/D N/D N/D N/D
Email 23 N/D 25 25 25 23
AnonymAGE 18 18 18 18 18 18
Pleenk 23 N/D 25 25 25 23
AgeGO 21 21 21 21 21 21
AgeKey 23 23 25 25 23 23
PayPal 18 18 18 18 18 18
(N/D indique que la méthode n’est pas disponible.)

Fréquence de la vérification de l'âge

Détermine la durée de validité du token de preuve d’âge délivré par AgeVerif.

À l’issue d’une vérification d’âge réussie, AgeVerif délivre à l’utilisateur un token de preuve d’âge réutilisable, valable pour une durée maximale de un (1) an.

À l’expiration de cette période, le token de preuve d’âge devient invalide et l’utilisateur doit procéder à une nouvelle vérification de l’âge afin d’obtenir un nouveau token.

Cette durée n’implique pas un accès continu sans contrôle, la réutilisation du token restant soumise aux mécanismes de session, d’authentification et de vérification de validité décrits dans les sections suivantes.

Cette durée de validité reflète l’état actuel des pratiques du marché en matière d’assurance de l’âge et pourra être ajustée en fonction de l’évolution des cadres législatifs, réglementaires ou des recommandations des autorités compétentes.

Fréquence d'authentification de l’utilisateur

Détermine la durée de session d'utilisation d'une preuve d'âge délivrée par AgeVerif.

1Etat de la réglementation

A ce jour, seuls la France (Arcom) et l’Italie (Agcom) ont une réglementation spécifique sur la durée de validité d’une session de vérification d’âge.
En Allemagne la régulation qui repose sur les autorités de protection des mineurs (BzKJ, KJM) ne définit pas de durée de session.
Dans les autres pays de l’Union Européenne, aucune réglementation ou recommandation n’a été publiée et aucune juridiction n’impose une durée de session.
Au Royaume-Uni, aucune durée de session n’est mentionnée dans les textes réglementaires publiés par l’Ofcom.
Aux Etats-Unis, aucun texte fédéral et aucune loi d’État n’impose un temps maximum pour la validité d’une session de vérification d’âge.

L'enjeu de ces mesures est de s'assurer que, même après une vérification réussie, l'accès ne reste pas ouvert indéfiniment. Cela est particulièrement pertinent lorsque le terminal de consultation est potentiellement partagé entre une personne majeure et une personne mineure.

Pour garantir la protection, la durée de validité de la session doit être limitée pour empêcher la consultation de contenus réglementés sans qu'une nouvelle vérification soit nécessaire.

Etat de la réglementation à ce jour
  Statut Durée
France Obligatoire (Arcom) 60 minutes
Italie Obligatoire (Agcom) 45 minutes
Allemagne Aucune durée légale -
Royaume-Uni Aucune durée légale -
Autres pays UE Aucune durée légale -
Etats-Unis Aucune durée légale -
Reste du monde Aucune durée légale -

Lorsque qu’il n’y a pas de durée de session définie, les régulateurs considèrent généralement qu’il incombe au prestataire de service de vérification d’âge de déterminer la fréquence des vérifications en conformité avec le principe de proportionnalité.

2Approche de AgeVerif

AgeVerif considère par défaut que certains types d’appareils, tels que les ordinateurs de bureau, ordinateurs portables, tablettes et téléviseurs connectés, peuvent être partagés entre plusieurs utilisateurs, y compris des mineurs. Pour ces appareils, AgeVerif applique des durées de session strictes, conformément aux recommandations ou obligations nationales applicables.

Les téléphones mobiles personnels, protégés par des mécanismes d’authentification au niveau du système d’exploitation (code PIN, biométrie, verrouillage automatique), sont considérés comme présentant un risque réduit de partage non autorisé.

En l’absence d’exigence réglementaire spécifique, AgeVerif peut appliquer une durée de session plus longue sur les téléphones mobiles, tout en conservant la possibilité d’une expiration immédiate en cas de changement de contexte ou de risque détecté.

Durée de session appliquée par pays et par appareil
  Téléphone mobile Autres appareils Statut
France 60 minutes 60 minutes Obligatoire (Arcom)
Italie 45 minutes 45 minutes Obligatoire (Agcom)
Allemagne 30 jours 60 minutes Aucune durée légale
Royaume-Uni 30 jours 60 minutes Aucune durée légale
Autres pays UE 30 jours 60 minutes Aucune durée légale
Etats-Unis 30 jours 60 minutes Aucune durée légale
Reste du monde 30 jours 60 minutes Aucune durée légale

Pendant la durée de la session, AgeVerif vérifie :

  • que la preuve d’âge reste valide et n’est pas compromise ;
  • que la preuve d’âge est utilisée dans un contexte d’accès autorisé, conformément aux règles applicables au site visité, à la juridiction concernée et aux paramètres de portée du token (audience, scopes, restrictions) ;

Note importante : ces contrôles n’ont pas pour but d’identifier la personne, mais uniquement de vérifier la légitimité technique de l’usage d’une preuve d’âge.

3Responsabilités liées à l’intégration et à la gestion des sessions

AgeVerif peut être intégré par les opérateurs de sites Internet au moyen de protocoles standards, notamment OAuth 2.0, lesquels confèrent à l’opérateur une maîtrise complète de la gestion des sessions applicatives et de l’utilisation des tokens délivrés.

Dans ce cadre, AgeVerif :

  • fournit aux opérateurs l’ensemble des informations techniques nécessaires, incluant notamment la durée de validité des tokens de preuve d’âge, les durées de session recommandées et les paramètres de sécurité associés ;
  • met à disposition une documentation détaillée décrivant les bonnes pratiques d’intégration, en tenant compte des cadres réglementaires connus.

Il appartient toutefois à l’opérateur du site Internet :

  • de mettre en œuvre ces recommandations dans son environnement applicatif ;
  • de configurer et gérer les sessions utilisateur conformément aux obligations légales et réglementaires applicables dans les juridictions où son service est accessible ;
  • de s’assurer que l’intégration du service de AgeVerif est conforme aux exigences locales en matière de protection des mineurs.

AgeVerif ne contrôle ni la configuration finale des sessions applicatives du site opérateur, ni l’usage effectif des tokens au-delà des paramètres techniques qu’il délivre.
En conséquence, la responsabilité de la conformité opérationnelle de l’intégration relève de l’opérateur du site Internet.

Exigences d'authentification

L’authentification a pour finalité exclusive de garantir que l’utilisateur dispose légitimement de la preuve d’âge attribuée à son appareil ou à son compte, et de prévenir tout usage frauduleux de cette preuve.
Elle ne permet en aucun cas d’identifier l’utilisateur.

1Deux niveaux d’authentification existent

Compte AgeVerif

  • Authentification par adresse email.
  • Confirmation via code à usage unique.

Clé d’accès (Passkey)

  • Clé cryptographique unique stockée localement sur l’appareil de l’utilisateur.
  • Protégée par biométrie locale ou code PIN.

2Portée et limites de l’authentification

Conformément aux cadres réglementaires applicables en matière de protection des mineurs, dans les juridictions où cette exigence est explicitement prévue, l’authentification et la session associée sont strictement limitées au site Internet pour lequel la vérification de l’âge a été effectuée.

Dans ces cas, pendant la durée d’une session active, si un utilisateur accède à un autre site Internet protégé par AgeVerif, une nouvelle authentification forte est requise. L’utilisateur ne peut pas bénéficier de la session initiée sur un site différent, même si celle-ci est toujours valide.

Lorsque la limitation inter-sites est appliquée, cette mesure vise notamment à :

  • empêcher la mutualisation des sessions entre sites distincts ;
  • limiter les risques liés à l’utilisation d’un appareil partagé ;
  • garantir que chaque accès à un service soumis à vérification de l’âge fasse l’objet d’un contrôle autonome et contextuel.

Dans les juridictions où aucune obligation réglementaire spécifique n’impose une limitation de la session au seul site d’origine, AgeVerif peut, par choix de conception, autoriser la réutilisation d’une session active entre plusieurs sites protégés par AgeVerif.

Cette réutilisation repose sur une autorisation explicite de l’utilisateur, matérialisée par une action volontaire, et ne constitue pas une nouvelle vérification de l’âge ni une authentification forte au sens strict, mais une validation de la légitimité et de l’usage de la preuve d’âge existante dans un nouveau contexte.

Cette approche vise à concilier :

  • les exigences réglementaires locales lorsqu’elles existent ;
  • la réduction des frictions pour l’utilisateur dans les cadres non contraints ;
  • une mise en œuvre proportionnée fondée sur une analyse de risque.
Portée et limites de l’authentification
  Limitation inter-sites explicitement exigée Source / Régulation Commentaire
France Oui Arcom - Référentiel technique sur la vérification de l’âge La vérification et la session doivent cesser à la fin du service consulté ; la mutualisation inter-sites n’est pas autorisée.
Italie Oui Agcom - Delibera n. 96/25/CONS, Allegato A La vérification est strictement liée au service consulté ; aucune réutilisation inter-sites n’est prévue.
Allemagne Non BzKJ, KJM - Jugendmedienschutz Exigence d’efficacité et d’absence de contournement, sans règle explicite sur la portée inter-sites.
Royaume-Uni Non Ofcom - Online Safety Act (guidelines) Aucune obligation explicite ; l’efficacité globale est exigée, sans règle formalisée sur la mutualisation.
Autres pays UE Non (à ce jour) Cadre DSA + régulations nationales Aucune exigence formalisée comparable à Arcom / Agcom connue à ce stade.
Etats-Unis Non Lois fédérales et étatiques (COPPA, lois des États relatives à la vérification de l’âge) Aucune notion de session ou de mutualisation définie ; obligation de résultat, pas de paramètres techniques.
Reste du monde Non (à ce jour) Cadres nationaux existants / absence de référentiel harmonisé À ce jour, aucune exigence explicite et généralisée imposant une limitation inter-sites des sessions n’a été identifiée hors des juridictions mentionnées ci-dessus.

Ce tableau reflète l’état des cadres réglementaires connus à la date de publication du présent document et est susceptible d’évoluer.

À ce jour, seules certaines autorités nationales ont explicitement formalisé l’exigence selon laquelle une vérification de l’âge et la session associée doivent être strictement limitées au site Internet pour lequel la vérification a été effectuée.

En l’absence d’une telle exigence explicite dans d’autres juridictions, la portée inter‑sites des sessions peut être mise en œuvre sous réserve :

  • que la session ne soit pas expirée ;
  • du respect des principes généraux de protection des mineurs ;
  • de proportionnalité et d’efficacité.

Conclusion et évolutions

Le présent document décrit l’état actuel des pratiques, principes et choix techniques mis en œuvre par AgeVerif en matière d’assurance et de vérification de l’âge, sur la base des cadres réglementaires, recommandations et lignes directrices connus et disponibles à la date de publication.

Ces éléments sont susceptibles d’évoluer en fonction :

  • des modifications ou entrées en vigueur de réglementations nationales ou internationales ;
  • des travaux de normalisation en cours ou à venir ;
  • des recommandations, décisions ou interprétations émises par les autorités compétentes.

AgeVerif ne prétend pas se substituer aux autorités de régulation ni établir un référentiel normatif autonome. Dans cette perspective, les régulateurs et autorités compétentes sont expressément invités à nous contacter s’ils estiment que certaines interprétations, mises en œuvre ou orientations présentées dans ce document ne seraient pas conformes aux lignes directrices applicables ou mériteraient d’être précisées.

Dans une logique de coopération et d’amélioration continue, AgeVerif reste également ouvert à toute remarque, proposition ou retour formulé par :

  • les opérateurs de sites Internet utilisant ou envisageant d’utiliser nos solutions ;
  • les autorités de régulation ;
  • les acteurs institutionnels ou professionnels concernés par la protection des mineurs en ligne.

Cette approche vise à garantir que les solutions proposées par AgeVerif demeurent adaptées, proportionnées et alignées avec les exigences réglementaires et les bonnes pratiques du secteur.

Références