Selon une analyse récente, les nouvelles lois de vérification de l’ère adoptées par les gouvernements du monde entier incitent de nombreux utilisateurs à installer des réseaux privés virtuels gratuits pour contourner les vérifications d’identité. Les réglementations exigent que les plateformes vérifient l’âge des utilisateurs par des moyens tels que le téléchargement de documents ou les scans faciaux, de nombreux sites web obligeant les utilisateurs à se conformer avant d’accorder l’accès. Bien que l’objectif soit de protéger les mineurs contre les contenus nuisibles, les règles pourraient encourager adultes comme jeunes à utiliser des services VPN gratuits non réglementés qui comportent des risques importants pour les données personnelles.
Avec l’entrée en vigueur des obligations de vérification de l’âge, les téléchargements de VPN ont explosé dans les juridictions concernées, en particulier parmi les services gratuits. Sur l’App Store d’Apple, par exemple, plusieurs applications VPN gratuites de premier plan se sont classées haut dans les régions implémentant ces règles. Les chercheurs ont constaté que beaucoup de ces fournisseurs de VPN gratuits ne révèlent pas les pays où ils sont enregistrés, maintiennent des politiques de confidentialité inclaires et peuvent acheminer le trafic des utilisateurs via des canaux non sécurisés ou monétisés. L’attrait de contourner les vérifications peut donc se faire au détriment d’une exposition accrue au suivi, à la collecte de données et aux logiciels malveillants.
Les services VPN gratuits répondent souvent à la demande des utilisateurs en monétisant les données de navigation ou en injectant des scripts publicitaires. Certains ont déjà été démontrés qu’ils redirigeaient les activités de commerce électronique, exposaient les utilisateurs à des réseaux publicitaires agressifs ou opéraient depuis des juridictions où la protection de la vie privée des utilisateurs était faible. Parce que les utilisateurs qui les adoptent croient souvent qu’ils gagnent plus de confidentialité, ce décalage crée un faux sentiment de sécurité. Bien que les lois de vérification tentent de réduire les risques liés à la vie privée en diminuant l’accès des mineurs, la conséquence inattendue pourrait pousser les utilisateurs vers des services qui manquent de responsabilité ou de protection robuste.
Les gouvernements et les observateurs du secteur estiment que la transition vers un accès en ligne à restriction d’âge est complexe. Des lois à grande échelle telles que la loi britannique sur la sécurité en ligne ou des obligations similaires en France, en Australie et dans plusieurs États américains exigent que les plateformes mettent en place des contrôles d’âge « très efficaces ». Ces vérifications peuvent inclure le téléchargement de photos ou de documents d’identité, l’estimation biométrique ou des vérifications des abonnés réseau. De nombreux utilisateurs résistent au niveau d’informations personnelles exigées et considèrent les demandes de vérification comme intrusives. En conséquence, certains utilisateurs se tournent vers des VPN qui les font paraître dans une juridiction sans ces contrôles.
Les experts en confidentialité avertissent que l’utilisation d’un VPN ne rend pas un utilisateur invisible. Les VPN gratuits peuvent néanmoins enregistrer le comportement des utilisateurs, exposer des métadonnées, divulguer des adresses IP ou permettre le suivi par des tiers. Un utilisateur qui tente d’éviter de donner un ID peut finir par céder ses données à un autre service peu fiable. En revanche, les services officiels de vérification de l’âge doivent respecter les règles locales de protection des données et fournissent souvent des traces d’audit ou des mécanismes de surveillance. Le calcul des risques évolue donc lorsque les utilisateurs échangent un type de vérification de conformité contre un autre ensemble de vulnérabilités en matière de confidentialité.
Pour les personnes confrontées à des questions de vérification, il existe plusieurs stratégies plus sûres. Une option est d’utiliser un service VPN payant réputé qui publie une politique claire de non-journaux, basé dans une juridiction respectueuse de la vie privée et ayant fait l’objet d’audits indépendants. Une autre consiste à évaluer si la plateforme exige réellement une pièce d’identité ou s’il existe une alternative de route, comme prouver l’âge via une transaction par carte de crédit ou un historique de compte connu. Les utilisateurs devraient également évaluer s’ils font confiance aux pratiques de confidentialité du fournisseur de vérification et si la minimisation des données est appliquée. Si un utilisateur choisit de soumettre des informations personnelles, il doit consulter la politique de confidentialité, vérifier les limites de conservation des données et utiliser l’authentification à deux facteurs sur le compte.
Les régulateurs commencent également à inspecter l’industrie de la vérification de l’âge pour détecter les risques potentiels. Certains gouvernements ont annoncé des examens des entreprises qui fournissent des services de vérification d’identité, et les agences d’application examinent si les données biométriques ou d’identité des utilisateurs sont stockées de manière sécurisée ou partagées avec des entités non liées. À mesure que la vérification de l’âge s’étend, les organismes de surveillance insistent sur le fait que les protections de la vie privée doivent rester en place et que des tactiques d’évasion telles que l’utilisation des VPN peuvent indiquer que le système est trop contraignant. La conception future des politiques pourrait nécessiter des méthodes moins intrusives, telles que l’estimation anonyme de l’âge ou des solutions à données minimales.
Bien que les lois sur la vérification de l’âge visent à réduire l’exposition à des contenus inappropriés pour les mineurs, l’effet secondaire pourrait être la croissance d’un écosystème de services VPN gratuits, moins transparents et moins sécurisés. Les utilisateurs souhaitant éviter les vérifications d’identité doivent reconnaître que l’évasion n’est pas intrinsèquement plus sûre et peut entraîner une plus grande exposition à une utilisation abusive des données. Le défi plus large sera de concilier les objectifs de protection de l’enfance avec les droits à la vie privée des adultes et de veiller à ce que les systèmes de vérification ne déplacent pas les risques plutôt que de les atténuer.