L'UE lance son application de vérification d'âge en ligne : ce que les DPO doivent savoir

Le 15 avril 2026, Ursula von der Leyen et la vice-présidente Henna Virkkunen ont annoncé qu'une application européenne de vérification d'âge est désormais « techniquement prête » et sera bientôt déployée à l'échelle de l'UE. Fondée sur la technologie du zero knowledge proof, cette application promet de concilier obligation de vérification d'âge et protection des données personnelles. Pour les DPO et responsables conformité, le signal est clair : le cadre réglementaire autour de l'accès des mineurs aux services numériques se précise, et les organisations doivent s'y préparer dès maintenant.

Ce qui s'est passé

Lors d'une conférence de presse tenue le 15 avril 2026, la Commission européenne a présenté l'état d'avancement de son application de vérification d'âge, développée depuis 2025 et testée dans plusieurs États membres. Ursula von der Leyen a décrit l'outil comme « une solution simple et gratuite pour mettre nos enfants à l'abri des contenus dangereux et illégaux ».

Concrètement, l'application fonctionnera ainsi : l'utilisateur fournit son passeport ou sa carte d'identité nationale à l'application, qui génère ensuite une « preuve d'âge » cryptographique transmise à la plateforme. Résultat : la plateforme sait que l'utilisateur est majeur (ou répond au critère d'âge requis), sans avoir accès à aucune autre donnée personnelle. C'est ce qu'on appelle la preuve à divulgation nulle de connaissance — zero knowledge proof — un protocole cryptographique qui permet de prouver un fait sans révéler l'information sous-jacente.

L'application sera entièrement open source, compatible avec tous les appareils, et conçue pour être interopérable avec les futurs portefeuilles d'identité numérique européens (eIDAS 2.0), dont le déploiement est prévu d'ici fin 2026. Elle peut également s'adapter à plusieurs seuils d'âge — 13+, 16+, 18+ — selon les besoins réglementaires de chaque service.

Pourquoi c'est important — le contexte réglementaire

Cette annonce s'inscrit dans un contexte réglementaire dense. Le plan de vérification d'âge de la Commission existe depuis juillet 2025, mais son passage au stade opérationnel marque une étape décisive. Plusieurs textes européens créent des obligations directes pour les plateformes numériques :

• Le DSA (Digital Services Act) impose aux très grandes plateformes en ligne des mesures spécifiques pour protéger les mineurs, notamment l'interdiction de ciblage publicitaire basé sur les données personnelles des mineurs et des évaluations des risques dédiées.
• L'Article 8 du RGPD fixe l'âge minimum du consentement numérique entre 13 et 16 ans selon les États membres — en France, il est fixé à 15 ans. Les services numériques visant des mineurs doivent obtenir l'autorisation des titulaires de l'autorité parentale en dessous de ce seuil.
• Plusieurs pays — dont la France, le Danemark, l'Italie et l'Espagne — ont engagé ou envisagent des législations nationales pour interdire l'accès des mineurs aux réseaux sociaux.

Dans ce contexte fragmenté, la Commission mise sur une approche harmonisée pour éviter que chaque État développe son propre système, créant autant d'obstacles techniques et juridiques pour les plateformes opérant en Europe. Henna Virkkunen a été claire : « On ne veut pas que les plateformes scannent notre pièce d'identité ou notre visage. »

L'enjeu de la minimisation et de l'anonymisation des données est ici central : contrairement aux systèmes actuels qui reposent souvent sur la reconnaissance faciale ou la collecte directe de documents d'identité, le zero knowledge proof ne stocke et ne transmet aucune donnée personnelle identifiable. Une architecture qui correspond aux principes de privacy by design et de privacy by default exigés par le RGPD.

Ce que ça change pour les organisations — actions concrètes

Pour les DPO et responsables juridiques, cette annonce appelle plusieurs réflexions immédiates :

Si votre service propose des contenus réservés aux adultes (plateformes vidéo, jeux en ligne, contenus pour adultes, alcool, jeux d'argent...), l'application européenne va devenir une référence technique que vos équipes devront être en mesure d'intégrer. Anticiper cette intégration dans vos flux d'inscription est une bonne pratique à documenter dans votre registre des traitements.

Si vous collectez des données de mineurs, les obligations issues de l'Article 8 du RGPD et du DSA restent inchangées — mais les modalités techniques pour y satisfaire vont évoluer. L'outil européen peut devenir un levier pour démontrer votre accountability face aux autorités de contrôle.

Si vous utilisez actuellement des systèmes de vérification d'âge tiers (biométrie, estimation par IA faciale, collecte de pièces d'identité brutes), von der Leyen a été directe : « Il n'y a plus d'excuses. » La Commission entend appliquer une tolérance zéro aux plateformes qui ne respectent pas les droits des enfants. Un audit de vos pratiques actuelles s'impose.

Sur la question du consentement explicite, rappelons que la vérification d'âge ne dispense pas d'une gestion rigoureuse du consentement. Pour les utilisateurs mineurs ou en limite d'âge, la mécanique de collecte du consentement parental reste une obligation distincte à documenter dans votre politique de confidentialité.

Ce que Leto pense de cette décision

L'approche de la Commission est techniquement solide et réglementairement cohérente. Le zero knowledge proof est probablement la seule architecture capable de réconcilier vérification effective de l'âge et respect du RGPD — le tout sans créer de nouvelles bases de données centralisées à risque. C'est un signal positif pour l'écosystème numérique européen.

Deux points de vigilance cependant. D'abord, l'application reste volontaire pour les plateformes à ce stade : sans obligation légale explicite d'y recourir, certains acteurs pourraient maintenir des pratiques moins vertueuses. Ensuite, la question de la gouvernance de l'outil — qui audite le code open source, qui certifie les mises à jour — devra être clarifiée avant tout déploiement à grande échelle.

Pour les organisations, la bonne posture est de traiter cette annonce non comme une contrainte supplémentaire, mais comme une opportunité de simplifier leur conformité sur un sujet jusqu'ici techniquement difficile à adresser proprement.

Sources : Le Monde — 15 avril 2026 · 01net — 15 avril 2026 · Commission européenne — EU Age Verification