I) Sur la mise à jour opportune de FreeSocks : un outil de protection contre la censure et le traçage
Au moment même où la France s'apprête à mettre en place la vérification de l’âge sur les réseaux sociaux, l’ONG Unredacted vient de mettre en prod la version 2 de FreeSocks, un VPN gratuit et open source spécifiquement conçu pour résister à la censure.
Un VPN crée un tunnel chiffré entre un appareil et un serveur distant. Pour le réseau social consulté, la connexion semble alors provenir de l’adresse IP du serveur de sortie à Kansas City, et non de la connexion française de l’utilisateur.
FreeSocks, déjà recommandé par le passé par mon cabinet, remplace dans sa v2 l’architecture principale fondée sur Outline (Shadowsocks) par un backend Xray. Cette conception modulaire repose sur des proxy interchangeables, et permet d’adapter rapidement les modes de transport lorsqu’ils deviennent détectables ou sont bloqués.
Le but est de rendre le trafic plus difficile à distinguer et à filtrer par les dispositifs de censure. Un chiffrement post-quantique est rajouté.
Le projet met en avant plusieurs garanties : pas d’adresse e-mail, pas de mot de passe, création d’un identifiant aléatoire, et engagement de ne pas enregistrer les adresses IP clientes.
L'infrastructure de la v2 est aussi opérée sur du matériel détenu directement par Unredacted, plutôt que par un hébergeur tiers.
Mais FreeSocks n’est pas une cape d’invisibilité. Un VPN masque l’IP publique vis-à-vis du service consulté et protège le trafic en transit jusqu’au serveur VPN, mais il n’efface ni les cookies, ni l’empreinte du navigateur (problématique déjà traitée en parallèle au cabinet), ni surtout les données déjà associées à un compte d'un réseau social.
Un contrôle d’âge solidement rattaché au compte ne serait donc pas mécaniquement neutralisé par un changement d’adresse IP.
Si un dispositif de vérification d’âge repose sur un critère territorial, son contournement par VPN est banal. À l’inverse, s'il repose sur une identité numérique, ou un mécanisme lié au compte, il soulève des questions sérieuses de proportionnalité et de protection des données.
Lorsque l’application d’une obligation de vérification d’âge est conditionnée par la localisation de la connexion, sa portée demeure limitée. Une régulation territoriale a des limites intrinsèques dans un environnement numérique transnational.
L’intérêt de FreeSocks n’est pas seulement sa gratuité (avec une limite de 50 GB), ce qui ne garantit rien. Le bon réflexe face à un VPN consiste à examiner son modèle économique, l’identité de son opérateur, sa transparence, sa politique de logs, les audits disponibles et la maîtrise réelle de l’infrastructure. C’est bien plus pertinent que les promesses.
En l'espèce, ce service est assuré par une ONG de la galaxie du Tor Project et est plus sérieux que la myriade de VPN gratuits s'avérant être des malwares. Cet outil permettra à des personnes d'échanger sans prendre le risque de laisser une trace permettant potentiellement de relier un pseudo à leur identité à cause d'une mesure disproportionnée.
II) Sur les limites techniques d'une régulation nationale nécessairement contournable, et l'exigence de proportionnalité d'une vérification d'âge malheureusement généralisée :
Cette initiative prend une résonance particulière avec la proposition de loi visant à protéger les mineurs des risques auxquels les expose l’utilisation des réseaux sociaux, définitivement adoptée le 21 juillet 2026 et désormais déférée au Conseil constitutionnel.
Ce texte prévoit une interdiction d’accès aux services de réseaux sociaux en ligne pour les mineurs de moins de quinze ans, sans liste fermée de plateformes et avec seulement des exclusions ciblées, notamment pour les encyclopédies et certains projets éducatifs ouverts. Ceci impliquera nécessairement un mécanisme d’assurance de l’âge, même si la loi ne prescrit ni carte d’identité, ni selfie, ni une technologie déterminée.
Les jeux vidéo ne sont pas expressément visés : un jeu solo ou un jeu dont les échanges entre joueurs restent accessoires ne devrait pas être concerné. Mais en revanche, un jeu en ligne qui offre de manière structurante des profils, messageries, communautés, partage de contenus ou recommandations entre utilisateurs pourrait être qualifié en service de réseau social et donc tomber dans le champ de l’interdiction, ce qui crée une incertitude sensible.
Le but de la protection des mineurs est légitime. Il ne saurait toutefois dispenser le législateur et les plateformes d’un contrôle exigeant de nécessité, d’adéquation et de proportionnalité au regard de la vie privée, de la protection des données personnelles, de la liberté de communication et du droit de recevoir des informations.
Le Comité européen de la protection des données rappelle que l’assurance de l’âge doit reposer sur une base légale appropriée, poursuivre une finalité déterminée et employer la méthode la moins intrusive possible. La protection des enfants ne justifie donc pas, par principe, que chaque internaute y compris majeur doive se soumettre à une authentification préalable pour lire, s’exprimer ou participer à l’espace public numérique.
Un contrôle généralisé de l’âge change profondément la nature d’Internet. Il substitue à un espace de communication ouvert un univers dans lequel l’accès à la parole est subordonné à la production d’un attribut d’identité.
Cette logique expose particulièrement les personnes dont la sécurité dépend de la dissociation entre identité civile et activités en ligne, notamment les journalistes, les opposants politiques, les personnes précaires, les lanceurs d’alerte et, plus généralement, toute personne qui ne souhaite pas voir ses usages numériques rattachés à son identité. Cette dernière catégorie a vocation dans l'idéal à englober l'ensemble des personnes utilisant internet et les réseaux sociaux sous pseudonymat.
Selon la CNIL, dès lors qu’un service ne requiert normalement aucune identification, la vérification de l’âge porte atteinte à la protection de la vie privée en obligeant l’internaute à transmettre des informations identifiantes pour accéder à ce service. Elle relève également qu’aucune solution disponible ne satisfait aujourd’hui simultanément aux exigences de fiabilité, de couverture de la population et de respect de la vie privée.
Une vérification d’âge ne doit pas devenir une porte d’entrée vers la surveillance des comportements, le profilage ou la réidentification.
Surtout, une mesure territoriale, aisément contournable par les utilisateurs avertis mais intrusive pour tous les autres, constitue une mauvaise régulation.
La CNIL observe elle-même qu’un VPN peut permettre de contourner une obligation française de vérification de l’âge fondée sur la localisation. Elle rappelle à juste titre que les VPN sont aussi une brique essentielle de la sécurité des communications et de la protection contre le traçage, pour les entreprises comme pour les particuliers.
Aux termes de ses propos :
« Une vérification forcément imparfaite
Concernant les dispositifs actuellement proposés sur le marché, la CNIL souligne d’abord que l’efficacité des outils de contrôle de l’âge est tributaire des règles de fonctionnement d’Internet, conçu comme un réseau ouvert, accessible librement aux utilisateurs comme aux éditeurs de sites. Si ce constat ne doit pas empêcher la poursuite des objectifs légitimes de protection des mineurs, il convient également de veiller à préserver les multiples bénéfices liés à ce modèle ouvert (innovation, liberté d’expression, autonomie des utilisateurs, etc.). L’évolution vers un monde numérique fermé, où les individus sont incités à s’inscrire principalement dans des univers authentifiés (via la création de comptes utilisateurs) pour éviter une multiplication des contrôles d’identité ou d’attributs d’identité (âge, adresse, diplômes, etc.) présente des risques importants pour les droits et libertés des individus, qu’il est nécessaire de prendre en compte.
Actuellement, toutes les solutions proposées peuvent facilement être contournées. En effet, l’usage d’un simple VPN localisant l’internaute dans un pays qui ne demande pas une vérification de l’âge de cet ordre peut permettre à un mineur de contourner un dispositif de vérification de l’âge appliqué en France, ou de contourner le blocage d’un site web qui ne respecte pas ses obligations légales. De même, il est difficile d’attester que la personne qui utilise une preuve d’âge est bien celle qui l’a obtenue.
Ainsi, au Royaume-Uni, où de telles mesures ont été longtemps envisagées, 23 % des mineurs déclarent pouvoir contourner les mesures de blocage et certains éditeurs de contenus pornographiques proposent déjà des services de VPN.
Si l’usage de VPN doit faire l’objet d’une certaine vigilance, il convient de souligner que ces technologies sont aussi une des briques essentielles de la sécurité des échanges sur Internet, utilisées par de très nombreuses entreprises mais également par des individus souhaitant protéger leur navigation du traçage opéré par des acteurs publics ou privés. »
Aussi, France Identité a parfois été évoqué comme vecteur de la preuve d’âge. Mais cet outil ne peut constituer la réponse à l’interdiction des réseaux sociaux aux moins de quinze ans. Sa propre documentation réserve actuellement la création d’une identité numérique aux personnes de plus de dix-huit ans, disposant d’une carte nationale d’identité électronique au format carte bancaire et d’un téléphone compatible NFC.
Il convient aussi de rappeler que la France ne peut pas librement imposer à une plateforme établie dans un autre Etat membre de l’Union européenne des obligations générales de vérification de l’âge ou des modalités techniques déterminées.
Le principe du pays d’origine, issu de la directive sur le commerce électronique et désormais articulé avec le règlement sur les services numériques, réserve en principe la compétence de régulation à l’Etat où le prestataire est établi.
Aux termes de l'arrêt C-376/22 de la CJUE du 9 novembre 2023, Google Ireland un Etat membre de destination ne peut, hors les conditions restrictives de la directive, imposer à des prestataires établis dans un autre Etat membre des mesures générales et abstraites applicables à une catégorie entière de services.
L’arrêt de grande chambre de la CJUE du 16 juin 2026, WebGroup Czech Republic, aff. jointes C-188/24 et C-190/24, rendu sur renvoi du Conseil d’Etat français à propos notamment de l’obligation de vérification d’âge imposée aux sites pornographiques établis en République tchèque, précise toutefois fortement la portée pratique de la lecture stricte de l’article 3, paragraphe 4, de la directive 2000/31 dans l'arrêt Google Ireland.
En effet, un Etat de destination, ici la France, peut imposer à un fournisseur établi dans un autre Etat membre une obligation de contrôle de l’âge afin de protéger les mineurs, à condition de respecter la procédure dérogatoire de l’article 3, paragraphe 4, de la directive e-commerce.
La protection des mineurs relève de l’objectif de protection de l’ordre public au sens de l’article 3, paragraphe 4, sous a), i), de la directive 2000/31.
La Cour considère que l’obligation de vérification d’âge en matière de contenus pornographiques est, en principe, susceptible d’être nécessaire et proportionnée à cet objectif.
La France peut donc appliquer cette obligation à des éditeurs établis dans un autre Etat membre, tels que les sociétés tchèques requérantes, mais elle doit normalement solliciter d’abord une intervention de l’Etat d’établissement, puis notifier les mesures projetées à cet Etat et à la Commission. L’urgence permet seule de s’affranchir de cette séquence préalable, sous réserve d’une notification ultérieure.
Mais cela est circonscrit aux sites pornographiques et les réseaux sociaux ne relèvent pas de cette catégorie de site web.
Concernant la proposition de loi commentée dans le présent article, la France n’aura pas donc vocation à édicter elle-même une police technique autonome des plateformes établies dans d’autres Etats membres, et ne pourra que signaler les manquements présumés des réseaux sociaux à la Commission Européenne dans le respect du droit de l’Union.
III) Sur le pseudonymat comme garantie de la liberté d’expression
Protéger les mineurs ne doit pas servir à installer, par étapes, une infrastructure de traçabilité des usages et d’assignation de chaque prise de parole à une identité.
La mise en place d'une mesure limitée à la vérification de l'âge ne peut tendre à terme que vers la mise en place d'une identité numérique pour pouvoir accéder aux réseaux sociaux. Même si ce texte n’impose pas encore l’identité numérique, il crée l’infrastructure, l’habitude et le précédent normatif d’un accès conditionné à une preuve personnelle. Dans un contexte où certains de ses promoteurs envisagent déjà une généralisation de l’identité numérique, le risque de glissement doit être pris au sérieux.
Pour les personnes exposées, et spécialement les lanceurs d’alerte, ne pas être facilement réidentifié n’est pas un confort technique. C’est une condition concrète de la liberté d’expression, de l’accès à l’information et même une mesure de sécurité personnelle.
Le cabinet a eu l'occasion d'accompagner des personnes souhaitant publier sous pseudonymat sur les réseaux sociaux en prenant le moins de risques possible pour être identifiées, au vu des possibles répercussions que cela peut avoir pour elles.
Il va de soi qu'il que ces personnes seront plus enclines à contourner une telle réglementation plutôt que de filmer leur tête en selfie, voire d'envoyer leur carte nationale d'identité en comptant sur les promesses de tiers de confiance ayant déjà fuité maintes fois et contre lesquels des plaintes sont déposées pour violation du RGPD. À simple titre d'exemple, et sans détailler de procédure en cours, j'invite les lecteurs à prendre connaissance de cet article web instructif, qui a pu détailler techniquement quelques méthodes de flicage déployées contre les utilisateurs contraints de passer par un tiers dit de supposée « confiance », leader de ce marché.
Le texte voté ne prescrit nullement l'envoi de selfies, ni de cartes d’identité. Mais il ne protège toutefois pas non plus les internautes contre leur emploi. En l’absence d’exigences normatives précises de minimisation, de séparation des rôles, d’interdiction de conservation et d’audit, les solutions les plus immédiates du marché risquent d’imposer de fait l’un de ces parcours au vu de l'urgence de mise en place d'une vérification d'âge sous moins d'un mois d'ici le 1er septembre 2026 pour les nouveaux comptes uniquement.
La solution la plus respectueuse de la vie privée n’est pas une vérification d’âge prétendument respectueuse du pseudonymat des utilisateurs : c’est l’absence de vérification d’âge. La protection des mineurs doit être obtenue par la régulation des pratiques des plateformes, et non par la constitution progressive d’un péage d'identité à l’entrée de l’espace public numérique.
Refuser le contrôle d’âge ne veut pas dire accepter l’inaction des plateformes. On peut exiger qu’elles réduisent les risques par la conception même du service, sans demander à chaque personne de montrer patte blanche.
À titre d’exemple, plusieurs mesures de protection pourraient être envisagées : réglages protecteurs par défaut pour les comptes présumés de mineurs, désactivation de recommandations addictives ou sexualisées, limitation du ciblage publicitaire, modération renforcée, signalements efficaces, obligations de transparence et sanctions en cas de manquements...
Cette logique est plus compatible avec le DSA, qui impose aux plateformes un niveau élevé de protection de la vie privée, de sécurité et de sûreté des mineurs. Elle déplace la charge de protection vers l’entreprise qui conçoit les mécanismes de risque, au lieu de la faire peser sur des utilisateur déjà tracés à longueur de journée - comme si cela ne suffisait pas - par une formalité possiblement identifiante.
Pour rappel, les principaux systèmes d’exploitation intègrent des outils de contrôle parental, dont l’activation relève de la responsabilité des titulaires de l’autorité parentale. Leur paramétrage peut certes être inégalement accessible selon les appareils et les compétences numériques des familles. Il demeure néanmoins possible de configurer un terminal afin de limiter ou d’empêcher l’accès aux réseaux sociaux.
Plutôt que d’imposer à l’ensemble des internautes une vérification d’âge susceptible d’affecter leur vie privée et leur liberté de communication, les pouvoirs publics gagneraient à accompagner concrètement les parents qui éprouvent des difficultés à exercer ce contrôle. Cela suppose la mise en place d'une information claire, des outils simples à paramétrer, une assistance et des solutions réellement interopérables.
Confier à un mineur de moins de quinze ans un appareil connecté sans aucun encadrement technique ne saurait devenir la justification d’une identification préalable de tous les utilisateurs d’internet, et est plus un échec qu'une solution.
IV) Sur le contrôle de proportionnalité par le Conseil constitutionnel et les effets prévisibles en cas de promulgation de cette loi :
Prochaine étape : le Conseil constitutionnel. Saisi sur le fondement de l’article 61 de la Constitution, il lui appartiendra de vérifier que la protection légitime des mineurs n’a pas été transformée en permis général de conditionner l’accès à l’espace public numérique à une identification préalable. Son contrôle devra porter, à la lumière des articles 2, 4 et 11 de la Déclaration de 1789, sur la nécessité, l’adéquation et la proportionnalité d’un mécanisme qui affecte le respect de la vie privée, la liberté de communication et l’accès à l’information.
Une mesure techniquement contournable, mais imposant aux utilisateurs de bonne foi une preuve d’âge susceptible de relier identité et usages, ne devient pas proportionnée du seul fait qu’elle poursuit la protection de l’enfance que personne ne saurait remettre en cause.
Le Conseil constitutionnel a l’occasion de rappeler que la sécurité des mineurs appelle des garanties effectives, non une infrastructure durable de traçabilité de tous.
Cette loi nationale n'est qu'un préalable, elle n'a que pour portée politique de forcer la main de l'Union Européenne.
Le véritable projet européen est attendu d'ici la fin de l'année. Que cette mesure soit adoptée à l’échelle nationale ou européenne intéresse certes les juristes, l’Union européenne paraissant constituer l’échelon pertinent en la matière. Cela ne modifie toutefois en rien les implications concrètes d’un tel dispositif, sauf à conduire les utilisateurs à devoir se localiser virtuellement dans un hors UE et non plus hors de France afin d’accéder librement aux réseaux sociaux.
À défaut, la conséquence plus que prévisible sera l’augmentation en France du recours à des VPN commerciaux, ainsi qu'à Tor, afin de se placer sous la législation de pays libres sans réglementation équivalente.
Après l’entrée en vigueur au Royaume-Uni des obligations renforcées de vérification d’âge issues de l’Online Safety Act le 25 juillet 2025, l’usage quotidien des VPN a plus que doublé, passant d’environ 650 000 utilisateurs avant cette date à plus de 1,4 million à la mi-août. L'Ofcom, régulateur du Royaume-Uni en la matière a aussi relevé un pic de 2,2 millions d’utilisateurs quotidiens, contre moins de 1,2 million avant.
À très court terme, ProtonVPN a pu constater une hausse de 1400% de ses inscriptions quotidiennes britanniques et NordVPN de 1000%.
Les personnes les moins informées resteront les seules durablement exposées à la collecte de leurs données.
La protection de votre vie privée sur internet n’est pas une option : c’est un droit fondamental qu’il est essentiel de faire respecter.
Protégez vos données, et exercez vos droits.
Me Jérémy ROCHE
Avocat au barreau de BEZIERS
https://jeremyroche-avocat.fr/
Sources :
1) Unredacted, Internet Freedom is Here: FreeSocks v2, 19 juillet 2026 ;
2) Proposition de loi visant à protéger les mineurs des risques auxquels les expose l’utilisation des réseaux sociaux, texte adopté définitivement le 21 juillet 2026. Le texte prévoit l’interdiction de fournir un service de réseau social aux mineurs de moins de quinze ans et impose aux plateformes de mettre en œuvre un dispositif de vérification de l’âge, sans toutefois indiquer comment pour ne pas risquer une inconventionnalité vis à vis du droit de l'UE.
4) Constitution du 4 octobre 1958, article 61, et articles 2, 4 et 11 de la déclaration des droits de l’homme et du citoyen de 1789.
Les articles 2 et 4 de la Déclaration de 1789 garantissent respectivement les droits naturels et imprescriptibles de l’homme, parmi lesquels la liberté, ainsi que le principe selon lequel l’exercice de la liberté ne peut être limité que dans la mesure nécessaire à la préservation des droits d’autrui. Son article 11 protège la libre communication des pensées et des opinions, dont découle la liberté d’expression et de communication en ligne. Ces exigences commandent le contrôle de la nécessité, de l’adaptation et de la proportionnalité des restrictions apportées à l’accès aux réseaux sociaux par une vérification généralisée de l’âge.
5) Comité européen de la protection des données, Déclaration 1/25 sur le contrôle de l'âge en ligne, 11 février 2025. Le CEPD y retient dix principes destinés à assurer la conformité des systèmes de vérification ou d’estimation de l’âge avec le RGPD, parmi lesquels la licéité, la limitation des finalités, la minimisation des données, la protection des données dès la conception et le recours à la méthode la moins intrusive.
6) CNIL, Vérification de l’âge en ligne : trouver l’équilibre entre protection des mineurs et respect de la vie privée, 26 juillet 2022. La CNIL indique explicitement qu’un VPN localisant l’utilisateur dans un pays ne soumettant pas à une obligation équivalente de vérification peut permettre le contournement d’un contrôle fondé sur la localisation.
7) CNIL, Contrôle de l’âge pour l’accès aux sites pornographiques, 21 février 2023. La CNIL constate que le caractère ouvert du Web rend le contrôle d’âge techniquement difficile et contournable, qu’il implique la collecte de données personnelles et qu’il présente des risques pour la vie privée.
8) France Identité, Créer son identité numérique. La création de l’identité numérique est conditionnée à trois prérequis cumulatifs : avoir plus de 18 ans, détenir une CNI électronique au format carte bancaire et disposer d’un téléphone doté de la technologie NFC.
9) France Identité, Conditions générales d’utilisation. Les articles 5 et 6 des conditions générales de France Identité affirment que l’utilisateur doit être majeur, ce qui est bien supérieur aux 15 ans de la proposition de loi.
10) Directive 2000/31/CE du 8 juin 2000 relative au commerce électronique, notamment son article 3. Elle établit le principe du contrôle par l’Etat membre d’origine pour les services de la société de l’information et encadre strictement les dérogations de l’Etat de destination.
11) CJUE, 9 novembre 2023, Google Ireland, C-376/22. La Cour de Justice de l'Union Européenne a jugé qu’un Etat membre de destination ne peut, hors les conditions restrictives de la directive, imposer à des prestataires établis dans un autre Etat membre des mesures générales et abstraites applicables à une catégorie entière de services.
12) Règlement UE 2022/2065 du 19 octobre 2022 sur les services numériques, dit DSA. Le DSA organise une supervision européenne coordonnée des plateformes, les très grandes plateformes étant placées sous la compétence renforcée de la Commission européenne. La compatibilité de toute obligation nationale avec ce cadre d’harmonisation doit donc être appréciée.
13) Ofcom, Online Nations Report 2025. Le régulateur britannique constate que l’usage quotidien des VPN a plus que doublé après le 25 juillet 2025, date d’entrée en vigueur des obligations renforcées d’assurance de l’âge issues du Online Safety Act, en passant d’environ 650 000 utilisateurs quotidiens à plus d'1,4 million.
14) Ofcom, Report on the use of age assurance, 2026. L'Ofcom constate un niveau de 2,2 millions d’utilisateurs quotidiens de VPN, contre 1,2 million avant le 25 juillet 2025 (au point 7.67).
15) The Register, UK VPN demand soars after debut of Online Safety Act, 28 juillet 2025. L’article rapporte une hausse de 1400% des inscriptions à certains services VPN au Royaume-Uni dans les jours ayant suivi les nouvelles obligations de contrôle d’âge.
Crédits photo : Unsplash - Mick Haupt
Pas de contribution, soyez le premier