De plus en plus de plateformes, TikTok, Instagram, Roblox ou encore des sites soumis à des restrictions d'âge, recourent à des outils d'estimation d'âge par selfie vidéo et analyse biométrique. Poussées par de nouvelles législations étrangères (comme l'interdiction des réseaux sociaux aux moins de 16 ans en Australie), ces technologies se répandent rapidement. Elles suscitent cependant de nombreuses inquiétudes: risques pour la vie privée, biais discriminatoires dans l'estimation d'âge, manque de transparence des entreprises spécialisées, failles techniques (possibilité de se vieillir ou se rajeunir artificiellement), partage de données entre plateformes et prestataires, etc. De plus, certaines autorités étrangères ont déjà mis en garde contre la sous-représentation de certains publics dans les bases d'entraînement, ce qui augmente les erreurs pour certains groupes de population. 1. Votre administration a-t-elle réalisé une analyse de conformité au RGPD de ces outils de vérification d'âge basés sur l'analyse biométrique? 2. Disposez-vous d'une évaluation du risque concernant le partage de données entre plateformes et prestataires privés (Yoti, Persona, VerifyMy, etc.)? 3. Avez-vous connaissance de biais identifiés dans ces outils, notamment en fonction du genre, de l'origine ethnique ou d'autres facteurs qui affecteraient les utilisateurs en Belgique? 4. Un encadrement légal spécifique de ces technologies est-il envisagé, notamment en matière de transparence, de proportionnalité ou de souveraineté des données? 5. Envisagez-vous de demander au SPF Économie ou à l'Autorité belge de protection des données (APD) de produire un avis officiel sur ces pratiques, leur conformité et leur impact potentiel sur les mineurs?
B039
Je suis très attentive à ce sujet car je considère que la protection des mineurs en ligne doit impérativement aller de pair avec le respect des droits fondamentaux, en particulier le droit à la vie privée et à la protection des données à caractère personnel. 1. Je me réfère aux analyses et orientations faites par le Comité européen de protection des données (CEPD) concernant les différents outils de vérification d'âge. Le CEPD fournit des orientations contre la collecte excessive de données telles que les données biométriques. Ainsi, dans un rapport publié début 2025, le CEPD reconnaît que l'article 28 relatif à la protection des mineurs en ligne, paragraphes 1 et 2, du Digital Services Act (DSA) peut, dans certains cas, servir de base au traitement au titre de l'article 6, paragraphe 1, c), du Règlement Général sur la Protection des Données (RGPD) (obligation légale). Cela est subordonné à la condition que les responsables du traitement démontrent que le traitement spécifique, tel que la vérification de l'âge, est nécessaire et proportionné pour atteindre les objectifs du DSA et qu'il n'existe aucune alternative tout aussi efficace mais moins intrusive. L'article 28, paragraphe 3, du DSA précise également que les fournisseurs de plateformes en ligne ne sont pas tenus de traiter des données à caractère personnel supplémentaires dans le seul but de déterminer si un utilisateur est mineur. Pour les données relevant de la catégorie particulière visée à l'article 9, paragraphe 1, du RGPD, les responsables du traitement doivent évaluer au cas par cas si une exception prévue à l'article 9, paragraphe 2, s'applique. Le CEPD déconseille le traitement de ces données, en particulier les données biométriques utilisées pour identifier de manière unique une personne, et surtout lorsqu'il s'agit de données relatives à des enfants. Le CEPD souligne également que la vérification de l'âge peut souvent être effectuée sans identifier l'utilisateur et que les fournisseurs de plateformes en ligne devraient éviter les mécanismes permettant une identification en ligne sans ambiguïté, tels que l'exigence de pièces d'identité délivrées par les pouvoirs publics, qui contiennent généralement des données biométriques. Sur cette base, les lignes directrices du CEPD soulignent que si un fournisseur de plateforme en ligne estime nécessaire de vérifier l'âge, cette vérification doit être mise en oeuvre de manière proportionnée et en fonction des risques, en limitant le traitement à ce qui est strictement nécessaire. Lorsqu'une tranche d'âge offre une certitude raisonnable, il ne devrait pas être nécessaire de vérifier la date de naissance exacte. Les fournisseurs doivent également éviter de stocker de manière permanente des informations sur l'âge ou la tranche d'âge et se contenter d'enregistrer si l'utilisateur remplit la condition d'accès pertinente, appliquant ainsi les principes de minimisation des données et de protection des données dès la conception et par défaut. 2. Je ne dispose pas à ce jour d'une évaluation du risque concernant le partage de données entre plateformes et prestataires privés. Cependant, les lignes directrices du CEPD fixent des exigences supplémentaires pour les très grandes plateformes en ligne (Very Large Online Platforms) qui sont soumises à des obligations renforcées, notamment en matière d'évaluation des risques systémiques et de mesures d'atténuation. Les très grandes plateformes en lignes sont régulées par la Commission européenne. 3. Nous savons que les algorithmes d'intelligence artificielle sont susceptibles d'incorporer des biais au cours de leur auto-apprentissage. Pour éviter cela, il est important que les données soient hétérogènes et nombreuses. Je souhaite rappeler que le CEDP déconseille le traitement des données biométriques utilisées pour identifier de manière unique une personne, surtout lorsqu'il s'agit de données relatives à des enfants. Je partage cette analyse qui est fondée plus largement sur la protection des données. Les lignes directrices publiées par la Commission européenne sur l'article 28 du DSA développent les caractéristiques permettant d'établir qu'un outil de vérification de l'âge est approprié, proportionné et garanti un niveau élevé de protection de la vie privée, de sûreté et de sécurité. La Commission pourrait, en temps utile, compléter ces lignes directrices par une analyse technique des principales méthodes existantes d'estimation de l'âge qui sont actuellement disponibles. 4. La base juridique de l'Union européenne (UE) pour l'estimation et la vérification de l'âge découle principalement du DSA. L'article 28, paragraphe 1, du DSA exige des fournisseurs de plateformes en ligne accessibles aux mineurs qu'ils mettent en place des mesures appropriées et proportionnées pour garantir un niveau élevé de confidentialité, de sûreté et de sécurité sur leur service. En vertu du paragraphe 4 de cet article la Commission a publié cet été des lignes directrices permettant de préciser ces exigences. C'est en interaction avec le RGPD et facilitée par un futur système européen de portefeuille d'identité numérique (eIDAS 2.0) pour la vérification de l'âge que le DSA pourra déployer son plein potentiel. Le 14 juillet 2025, la Commission européenne a publié une version test d'un outil de vérification de l'âge qui est déployé à l'heure actuelle dans sept États membres. Ce système devrait servir de base à une méthode de vérification de l'âge respectueuse de la vie privée dans tous les États membres à l'avenir. La solution de vérification de l'âge de l'UE établit un nouveau critère de référence pour la protection de la vie privée dans les méthodes de vérification de l'âge. Lorsque les utilisateurs activeront l'application, une fois qu'elle sera disponible au niveau national, leur âge sera vérifié par l'émetteur à l'aide de données personnelles détaillées, telles que la date de naissance. Cependant, les services en ligne ne recevront qu'une preuve que l'utilisateur a plus de 18 ans, sans autres données personnelles. Les processus d'émission et de présentation seront gérés par des entités distinctes, garantissant ainsi la protection de la vie privée. En outre, le fournisseur de preuves ne sera pas informé des services dans lesquels la preuve est utilisée. Chaque preuve ne sera utilisée qu'une seule fois, pour empêcher le suivi interservices. 5. L'Autorité de protection des données rendra un avis concernant la vérification de l'âge à l'occasion des auditions menée en commission de la Justice sur la proposition de résolution visant à mettre fin à l'anonymat en ligne et à instaurer un contrôle effectif de l'âge pour l'accès aux réseaux sociaux (Doc. Parl. 56K1039). Parallèlement, j'ai sollicité le SPF Économie pour entamer les travaux préparatoires pour mettre en oeuvre les initiatives législatives qui mettront en oeuvre les recommandations issues des auditions parlementaires. Je continuerai à veiller à ce que toute évolution en matière de vérification de l'âge de mineurs s'inscrive dans un cadre strictement proportionné, transparent et respectueux des droits fondamentaux.