Résumé

  • En juillet 2026, le gouvernement britannique a déclaré qu’il n’interdirait pas les VPN et ne leur imposerait pas de contrôle d’âge. Il prévoit plutôt de demander aux plateformes visées de prévenir, détecter et traiter les tentatives de contournement des mineurs.
  • Le point de contrôle passe donc du tunnel au service de destination. Or les textes publics ne définissent pas encore la chaîne qui transforme un indice de contournement en décision, mesure d’erreur, recours, résultat agrégé et éventuel durcissement de la politique.

Un VPN peut protéger une connexion professionnelle, un journaliste, un voyageur ou un enfant utilisant un réseau peu sûr. Il peut aussi modifier la localisation apparente d’une session. Ces deux réalités ne disent rien, à elles seules, de l’âge ni de l’intention de la personne connectée.

C’est précisément la limite reconnue par la réponse du gouvernement britannique. Après avoir envisagé en février des moyens de limiter l’usage des VPN par les enfants, Londres a décidé en juillet de ne ni les interdire ni leur appliquer un contrôle d’âge. La déclaration ministérielle au Parlement maintient cependant l’objectif: les plateformes entrant dans le futur dispositif devront agir contre le contournement, Ofcom étudiera les mesures possibles et le gouvernement se réserve une intervention ultérieure.

La politique ne disparaît donc pas. Elle change de gardien.

Le service qui fixe la règle reçoit la charge suivante

La page actuelle de la consultation résume le choix comme une responsabilité confiée aux réseaux sociaux: détecter et empêcher qu’un utilisateur de moins de seize ans accède au service au moyen d’un VPN. La formulation est importante. Le fournisseur du VPN ne connaît pas nécessairement la règle d’accès de chaque destination. La plateforme, elle, connaît son propre seuil, le compte concerné et la mesure qu’elle applique.

Rapprocher le contrôle de la règle peut être plus proportionné. Cela n’en fait pas une décision automatiquement juste. Une plateforme doit encore déterminer quels indices suffisent: changement de pays apparent, nouvelle adresse réseau, incohérence de session, résultat antérieur de vérification d’âge ou ensemble d’éléments non réseau. Elle doit aussi choisir entre une nouvelle vérification, une restriction de fonction, une suspension ou aucune action.

Les documents publics annoncent ce transfert, mais n’en publient pas encore le mode d’emploi ni le test. Ils ne prouvent pas qu’une nouvelle obligation légale est déjà entrée en vigueur. Ils ne donnent ni seuil de preuve, ni taux d’erreur acceptable, ni procédure commune de rétablissement d’un compte. Il faut conserver cette différence entre orientation, future norme, engagement volontaire, recommandation du régulateur et sanction effective.

Les chiffres ne partagent pas le même dénominateur

Le résumé méthodologique de la consultation indique que 38 % des répondants privilégiaient l’éducation des enfants, contre 34 % la restriction de leur accès aux VPN. Ce sont des préférences exprimées dans une consultation. Elles ne mesurent ni le nombre d’enfants qui contournent une règle, ni l’efficacité d’une technique.

Une étude commandée par le DSIT, menée auprès de 2 299 jeunes de 11 à 17 ans en mai, emploie d’autres unités. Vingt-six pour cent déclarent avoir déjà utilisé un VPN et 22 % en avoir utilisé un durant les trois mois précédents. Parmi les utilisateurs, 22 % citent l’accès à des sites, applications ou jeux soumis à un âge; cela représente 7 % de l’ensemble de l’échantillon.

Le contournement déborde largement ce sous-groupe. Cinquante-trois pour cent disent avoir choisi un service sans contrôle, ou avec un contrôle jugé facile. Trente-neuf pour cent déclarent avoir déjà franchi un contrôle, qu’il s’agisse d’une simple date de naissance ou d’une méthode plus avancée. On ne peut en déduire que tout utilisateur de VPN contourne, que tout contournement utilise un VPN ou que le VPN cause une exposition ultérieure. L’étude précise d’ailleurs qu’elle enrichit la base de connaissances sans constituer la politique du gouvernement.

L’enquête Childnet couvre les 8–17 ans à une autre date et trouve 21 % d’utilisateurs. Elle ne permettait pas d’attribuer aux enfants le pic d’usage signalé en 2025. Les travaux compilés par Ofcom ont encore leurs propres vagues. Chaque pourcentage doit rester attaché à son échantillon, sa question, sa période et son dénominateur.

Le rapport existant d’Ofcom ne clôt pas la question

Le rapport Ofcom du 27 juillet évalue les dispositifs de vérification d’âge déjà utilisés. Il rappelle surtout que le service réglementé reste responsable de l’efficacité, même s’il externalise le contrôle à un prestataire.

Ce rapport n’est pas le résultat détaillé de la nouvelle mission annoncée sur le contournement par les plateformes. Vérifier l’âge et conclure qu’un comportement ultérieur contourne le contrôle sont deux actes différents. Un VPN d’entreprise, une passerelle familiale, un déplacement ou un relais de confidentialité peuvent modifier un indice réseau sans révéler l’âge. À l’inverse, une fausse date de naissance peut franchir un contrôle sans VPN.

Le nouveau document d’orientation de l’Internet Society, publié le 9 septembre après une consultation communautaire, rend ce choix architectural plus lisible. Il distingue contrôle d’âge, blocage de contenu, surveillance et interdiction. Selon l’organisation, imposer l’identité au niveau du VPN accroît la collecte de données sensibles et peut pousser les usagers vers des services moins sûrs. C’est une position de l’Internet Society, ni une loi britannique ni une conclusion d’Ofcom.

Un reçu public pour le test d’application

Il manque un reçu agrégé, respectueux de la vie privée. Il ne doit révéler ni identité, ni signature de détection exploitable. Il doit néanmoins nommer la version de la politique, les services couverts, l’autorité compétente, la date d’entrée en vigueur et l’état exact du dispositif.

Il devrait décrire les classes d’indices utilisées sans publier les seuils sensibles, puis séparer les sessions examinées, les comptes invités à refaire un contrôle, les restrictions, les recours, les rétablissements et les dossiers non résolus. Un changement d’adresse ou de pays apparent ne doit pas devenir silencieusement une preuve d’âge ou d’intention.

Enfin, il doit fixer l’épreuve de résultat: quelle baisse constitue un progrès, quel déplacement vers des services moins sûrs est suivi, comment les erreurs non contestées sont estimées, et quelles preuves déclencheraient ou écarteraient une nouvelle intervention publique. Les corrections doivent s’ajouter à l’historique plutôt que remplacer un chiffre sans trace.

Ce reçu est ma recommandation éditoriale. Il transpose la chaîne d’autorité de The Policy Mirror, l’épreuve d’exécution de Running Code Primary et la séparation entre mesure et plaidoyer exposée dans Why BTW Media Exists.

Le Royaume-Uni a protégé une frontière utile en refusant de demander l’âge à chaque tunnel sécurisé. Il doit maintenant rendre vérifiable la frontière de remplacement: le soupçon d’une plateforme ne peut devenir une autorité publique sans test, limite et voie de retour.

Sources