Au Royaume-Uni, le ICO bien sur Reddit relance le débat sur la vie privée, la sécurité des utilisateurs et les limites des procédures de vérification de l'âge imposées par les autorités.
Amende de 14,47 millions de livres sterling pour violation du RGPD
Le bureau du commissaire à l'information du Royaume-Uni (OIC) annoncé le 24 février 2026 une sanction de 14,47 millions de livres sterling (environ 19,6 millions de dollars) contre Reddit pour violations du RGPD.
Selon le régulateur, le réseau social n'a pas adopté de mesures « robustes » de vérification de l'âge, se privant ainsi d'une base juridique valable pour traiter les données personnelles des enfants de moins de 13 ans sur la plateforme.
De plus, Reddit n’a pas réalisé d’analyse d’impact sur la protection des données (AIPD) pour analyser et atténuer les risques pour les enfants avant janvier 2025, contrairement à ce qu'exige le cadre réglementaire européen.
Mineurs exposés à des risques et absence d’évaluation d’impact
L'ICO a expliqué que le montant de l'amende prend en compte le grand nombre d'enfants utilisant le site, le niveau de préjudice potentiel, la durée des carences et le chiffre d'affaires global de Reddit.
Le commissaire à l'information John Edwards a déclaré que les enfants de moins de 13 ans voyaient leurs données collectées et utilisées d'une manière qu'ils ne pouvaient pas comprendre, accepter ou contrôler, les exposant ainsi à des contenus inappropriés.
Edwards a rappelé que les fournisseurs de services en ligne accessibles aux mineurs doivent être capables de connaître l'âge des utilisateurs et de mettre en œuvre des mesures adéquates de garantie de l'âge, qui vont au-delà de simples rappels dans les conditions d'utilisation.
Mesures Reddit et limites de la vérification de l'âge
Reddit a introduit la vérification de l'âge pour accéder au contenu « mature » en juillet 2025 et oblige actuellement les utilisateurs à déclarer leur âge lors de leur inscription au service.
L'ICO souligne toutefois que cette méthode d'auto-déclaration est trop facile à contourner, notamment par les jeunes, et ne peut être considérée comme une mesure technique de protection efficace.
Dans une note défensive, la société a déclaré qu'elle ne demandait pas d'informations sur l'identité des utilisateurs, quel que soit leur âge, affirmant qu'elle était « profondément engagée » à protéger la vie privée et la sécurité de sa communauté.
Des experts critiques sur les contrôles d’âge invasifs
Certains experts en matière de confidentialité ont exprimé leur sympathie pour la position de Reddit, critiquant les modèles de vérification de l'âge plus intrusifs promus par les autorités, similaires à ceux envisagés pour les sites de contenu pour adultes.
Le défenseur de la vie privée des consommateurs de Comparitech, Paul Bischoffa mis en garde contre la vérification obligatoire de l'identité, estimant qu'elle impose une charge injustifiée à la majorité des utilisateurs qui ne sont soupçonnés d'aucun comportement illicite.
Selon Bischoff, de telles exigences peuvent avoir un effet dissuasif sur les libertés individuelles, sans preuve convaincante de leur efficacité par rapport aux objectifs déclarés, alors que les parents devraient assumer davantage de responsabilités dans la protection des mineurs en ligne.
Risques pour la vie privée dans les systèmes de surveillance de l’âge
Pieter Arntz, chercheur principal à Malwarebytesa souligné que différentes approches en matière de vérification de l'âge peuvent introduire de nouveaux risques pour la sécurité et la confidentialité des données des utilisateurs.
Il a cité des méthodes telles que l’estimation de l’âge via la reconnaissance faciale, basée sur des données biométriques, les contrôles bancaires ouverts sur les données financières, les portefeuilles d’identité numérique et les systèmes de correspondance avec photo d’identité qui regroupent des informations hautement sensibles.
Même des solutions apparemment plus simples, telles que la vérification des cartes de crédit, l'analyse des e-mails ou les contrôles des réseaux mobiles, peuvent générer des problèmes d'exclusion, de profilage ou de fiabilité des résultats.
La proposition de vérification « en double aveugle »
Pour Arntz, le soutien de l'ICO à un modèle de vérification en double aveugle pourrait réduire considérablement ces problèmes et améliorer la protection des données personnelles.
Dans ce système, un tiers de confiance vérifie l'âge de l'utilisateur et émet un simple jeton, par exemple18+», au site demandant le contrôle, sans révéler l’identité ou le service auquel l’utilisateur accède.
De plus, ce modèle limiterait l’exposition des données, réduirait le suivi croisé entre différents services et éviterait la création de nouveaux « pots de miel » d’informations sensibles, tout en répondant aux besoins réglementaires.
Critique sévère sur l’absence de DPIA
Cependant, tous les analystes ne se sont pas prononcés en faveur de la plateforme. Certains ont insisté sur le caractère obligatoire de la DPIA lors des traitements de données relatives aux mineurs.
Chris Linneldirecteur associé de la confidentialité des données chez Bridewella défini l’évaluation d’impact comme une exigence juridique essentielle pour forcer les organisations à évaluer, documenter et atténuer les risques avant qu’un préjudice ne survienne.
Selon lui, l’absence d’une AIPD solide indique que les dangers pour les enfants n’ont pas été identifiés ni traités de manière adéquate dès le début du traitement des données sur la plateforme.
Amende ICO sur Reddit comme avertissement au secteur
Linnell a ajouté que le simple fait d'inclure une interdiction d'utilisation pour les moins de 13 ans dans les termes et conditions ne constitue pas une mesure de protection s'il n'y a pas de contrôles techniques ou opérationnels efficaces pour faire respecter la règle.
Il a souligné que le respect ne peut pas reposer uniquement sur des clauses contractuelles, mais doit se traduire par des garanties pratiques et vérifiables, en particulier lorsque la cible réelle ou potentielle comprend une proportion importante de mineurs.
L'amende sur Reddit intervient quelques semaines après l'amende de plus 247 000 £ infligé à MédiaLabLa société mère d'Imgur, pour avoir abusé des informations destinées aux enfants sur sa plateforme.
Leçons de conformité pour les plateformes en ligne
Globalement, les récentes actions de l'ICO constituent un avertissement pour tous les prestataires de services numériques qui traitent, même indirectement, des données relatives aux utilisateurs mineurs.
Linnell appelle les plateformes à identifier les endroits où les enfants sont susceptibles d'accéder aux services, même s'ils ne constituent pas le public cible, et à mener régulièrement des analyses DPIA pour tout traitement à haut risque.
En outre, les organisations doivent définir et documenter une base juridique claire pour le traitement des données des enfants et introduire des contrôles proportionnés et efficaces, allant au-delà des seules déclarations politiques.
L’affaire Reddit montre à quel point les obligations du RGPD concernant les mineurs, les analyses d’impact et les mécanismes de vérification de l’âge sont appelés à devenir un test crucial pour la conformité des plateformes en ligne.