Points clés
- L’évaluation rapide d’Ofcom, publiée cette semaine, retient quatre méthodes d’assurance de l’âge capables d’établir qu’une personne a 16 ans ou plus : la comparaison de pièce d’identité, les services d’identité numérique, la vérification bancaire et l’estimation faciale de l’âge. La pièce d’identité sous-tend les quatre, comme méthode ou comme filet de sécurité.
- Environ 150 000 jeunes Britanniques de 16 et 17 ans ne détiennent ni passeport ni permis de conduire, l’estimation faciale comporte une marge d’erreur de quelques années à 16 ans, et la seule façon d’écarter les moins de 16 ans est de vérifier tout le monde, adultes compris.
- Le projet de loi C-34 prévoit le bon processus, une consultation obligatoire du commissaire à la protection de la vie privée et des normes fixées par la future Commission de la sécurité numérique, mais le gouvernement veut appliquer l’interdiction aux moins de 16 ans avant que la Commission existe. Le Royaume-Uni a demandé à son régulateur de faire le devoir en premier. Ottawa corrige avant que le devoir soit donné.
Le régulateur britannique vient de publier l’évaluation qu’Ottawa n’a pas faite, et le chiffre principal n’est pas celui que les fournisseurs d’assurance de l’âge mettent dans leurs présentations. Quatre méthodes permettent de vérifier qu’une personne a 16 ans, conclut Ofcom, et chacune finit par demander une pièce d’identité.
Les quatre méthodes, et le filet qui les relie
| Méthode | Fonctionnement | Le hic |
|---|---|---|
| Comparaison de pièce d’identité | La photo du document est comparée à un égoportrait pris pendant la vérification | 94 % des Britanniques de 16 ans et plus détiennent un passeport ou un permis de conduire; environ 150 000 jeunes de 16 et 17 ans n’en ont aucun |
| Services d’identité numérique | Vérification unique avec une pièce d’identité, puis réutilisation du justificatif numérique | Il faut quand même la pièce d’identité pour la première vérification |
| Vérification bancaire | L’âge est tiré des dossiers de la banque, avec le consentement de la personne | 90 % des 16 et 17 ans ont un compte; l’ouverture du compte exigeait une pièce d’identité |
| Estimation faciale de l’âge | Un logiciel estime l’âge à partir d’une image du visage | Marge d’erreur de quelques années à 16 ans, donc les estimations basses sont contestées |
La formulation d’Ofcom mérite d’être relue : la pièce d’identité est « soit requise dans le cadre de nos méthodes recommandées, soit susceptible de servir de seconde vérification ». Pour l’estimation faciale, le rapport emprunte au rayon des alcools : une approche d’âge de contestation, la même logique que la règle Challenge 25 utilisée par les commerçants, parce qu’un estimateur qui se trompe de quelques années à 16 ans lira 17 ans sur un visage de 15 ans.
Les chiffres qu’on ne met pas dans les présentations
Ces 150 000 adolescents sans documents ne sont que le début du problème. Environ un jeune de 16 et 17 ans sur dix n’a pas de compte bancaire à vérifier. Et la vérification ne se limite pas aux adolescents : la seule façon d’écarter les moins de 16 ans est de vérifier tout le monde, donc les adultes devraient remettre pièces d’identité, images faciales ou données financières à des fournisseurs de vérification.
Puis le problème du contournement, qu’Ofcom ne maquille pas. Aucune méthode n’est entièrement à l’épreuve, et le contournement augmentera une fois l’interdiction en place; les propres recherches d’Ofcom montrent qu’un quart des enfants avaient utilisé un VPN au cours des six mois précédents. Les mesures d’atténuation nommées, signalement facile par les utilisateurs, repérage des VPN par géolocalisation et modèles d’inférence comportementale de l’âge, portent leur propre mise en garde : le commissaire britannique à la protection des données, l’ICO, affirme que l’inférence « ne devrait pas servir à compenser un contrôle d’âge faible ou inexistant ». Un régulateur demande aux plateformes de construire le filet; l’autre leur dit de ne pas s’y appuyer. Personne n’a tranché cette tension.
Le Canada fait les choses à l’envers
Le projet de loi C-34, la Loi sur la sécurité des médias sociaux, contient en fait le processus suivi par le Royaume-Uni : une consultation obligatoire du commissaire à la protection de la vie privée, et des normes fixées par la future Commission de la sécurité numérique, avec des critères énoncés d’avance, limiter la collecte aux fins de vérification de l’âge, détruire ensuite les renseignements personnels et ne pas restreindre indûment l’expression.
Mais le plan annoncé du gouvernement fait entrer en vigueur l’interdiction aux moins de 16 ans avant que la Commission existe. La consultation qu’exige le projet de loi, les normes qu’il exige et la Commission qui doit les rédiger arriveraient toutes après l’interdiction qu’elles sont censées encadrer. L’énoncé concernant la Charte déposé le 19 octobre défend l’exigence de vérification en invoquant les conditions de collecte et de destruction du paragraphe 27(2). C’est une défense juridique, pas une évaluation technique. Le rapport d’Ofcom, lui, est une évaluation technique.
Je suis ce projet de loi depuis des mois. Le motif est difficile à manquer : chaque question de fond reçoit sa réponse après l’entrée en vigueur de l’obligation.
Ce qui doit figurer dans votre dossier fournisseur, dès maintenant
Si vous exploitez un service qui comptera comme « service réglementé » sous C-34, les critères d’Ofcom sont le meilleur modèle public en attendant ceux de la Commission. Cinq questions, cette semaine :
- Le taux d’erreur à la tranche d’âge visée, pas la précision globale. Ofcom parle d’« une marge d’erreur de quelques années à 16 ans ». Demandez la distribution, pas la moyenne.
- Où va le document? C-34 nomme la limitation de la collecte et la destruction comme critères. Mettez le calendrier de destruction dans le contrat, pas dans la brochure.
- Qu’est-ce qui déclenche le protocole de contestation, et à quelle fréquence les échecs d’estimation se convertissent-ils en vérification documentaire? Si le fournisseur ne peut pas décrire son propre filet, il n’a pas lu le rapport d’Ofcom.
- Comment le contournement est-il surveillé? Ofcom s’attend à des outils de signalement et de détection. Demandez ce que le fournisseur mesure et ce qu’il vous transmet.
- Lancez l’évaluation des facteurs relatifs à la vie privée dès maintenant. La mise en garde de l’ICO sur l’inférence est déjà au dossier; fixez votre position avant qu’un régulateur la fixe pour vous.
Mesure concrète : Récupérez l’évaluation rapide d’Ofcom et remettez-la à qui détient votre dossier de fournisseur d’assurance de l’âge. Si le fournisseur ne peut pas nommer son taux d’erreur à la tranche d’âge visée ni son calendrier de destruction des documents, il ne survivra pas non plus aux normes de la Commission. Le Royaume-Uni a fait le devoir avant l’examen. Le Canada le peut encore, si l’interdiction attend la Commission. Et avec le projet de loi S-209 tout juste renvoyé en comité avec un deuxième régime de vérification de l’âge, l’examen pourrait comporter deux épreuves.