Avertissement de confidentialité de Durov : pourquoi le plan de vérification d'âge de l'UE pourrait devenir un outil de surveillance de masse

Pavel Durov exprime fréquemment publiquement les pensées, opinions et convictions de l'industrie technologique, que beaucoup de ses acteurs hésitent à formuler à voix haute. Son avertissement le plus récent doit être traité avec une grande prudence.

Le fondateur et PDG de Telegram a récemment publié un message en ligne exprimant ses inquiétudes concernant une application de vérification de l'âge de l'UE qui déterminera l'âge des personnes tentant d'accéder à des plateformes et/ou services en ligne particuliers. Selon Durov, cette application est conçue pour protéger les enfants, mais il pense qu'elle servira fonctionnellement de moyen de créer une infrastructure de surveillance et, une fois construite, sera utilisée pour bien plus que la simple vérification de l'âge d'un adolescent.

Les préoccupations de Durov ne sont pas d'ordre paranoïaque au sens large, mais plutôt d'ordre architectural.

Ce que l'UE est réellement en train de construire

L'impulsion de cette proposition résulte d'une pression accrue sur les plateformes pour restreindre l'accès des mineurs aux contenus pour adultes, aux jeux d'argent et à certaines fonctionnalités des médias sociaux. Plusieurs États membres de l'UE ont demandé une forme de système de vérification centralisé ou semi-centralisé, ou une application ou une credential d'identité numérique qui servirait de preuve d'âge pour les utilisateurs utilisant diverses plateformes, mais qui devrait être soumise à plusieurs services de vérification d'identité.

La rationalisation d'une approche de vérification de l'âge inter-plateformes présente un avantage apparent, mais plutôt que d'avoir à effectuer la vérification de l'âge indépendamment par la plateforme, et donc de devoir collecter et conserver autant de documents d'identification pour la vérification d'identité dans la « datacracy », une seule vérification de votre âge pourrait servir de preuve d'âge sur toutes les plateformes.

Le problème de Durov avec la vérification d'âge partagée est ce qui est requis de vous pour fonctionner dans un tel environnement. Pour assurer une vérification d'âge efficace et fiable, le système devra faire connaître au vérificateur qui est l'utilisateur. C'est-à-dire, utiliser des identifiants gouvernementaux vérifiés, portant votre véritable identité vérifiée. Par la suite, votre vérification sera liée à toutes les plateformes que vous utilisez.

Indépendamment des protections de la vie privée offertes en plus de l'infrastructure numérique, la nature fondamentale de ce type de vérification crée un enregistrement des services que vous, en tant qu'utilisateur vérifié, avez accumulés et consultés, créant un "historique de navigation" basé sur votre identité vérifiée lors de la mise en œuvre de ce type de vérification. l'application était piratable de par sa conception parce qu'elle faisait aveuglément confiance à l'appareil, et a suggéré que l'UE pourrait utiliser cette brèche comme excuse pour supprimer les fonctionnalités de confidentialité et transformer l'ensemble en un outil de surveillance plus large pour les médias sociaux.

Pourquoi cela est lié à la crypto et à la vie privée numérique

La communauté des cryptomonnaies a un intérêt direct dans ces discussions, même si elles peuvent sembler concerner davantage l'utilisation des médias sociaux et des plateformes de contenu pour adultes que toute autre chose.

L'argument principal en faveur de l'auto-garde, des identités décentralisées et des technologies respectueuses de la vie privée est de permettre aux individus de contrôler leurs propres données et leurs credentials. Vous ne donnez pas votre passeport à une banque pour leur montrer que vous avez plus de 18 ans, vous le leur montrez simplement ; ils vérifient ce dont ils ont besoin et c'est tout. Le passeport est toujours le vôtre. Cependant, lorsque vous utilisez un système de vérification numérique centralisé, vous donnez la permission aux personnes ou à l'entreprise effectuant la vérification d'enregistrer l'événement (ou les événements) de vérification quelque part, et cet enregistrement sera très probablement utilisé à des fins qui s'élargiront avec le temps.

Les régulateurs européens ont déjà montré qu'ils étaient prêts à utiliser l'accès aux données au niveau de la plateforme comme outil réglementaire. L'exemple le plus significatif en est la Commission européenne, qui impose des obligations très strictes aux plateformes de contenu numérique en matière de modération de contenu et de transparence des données des utilisateurs. Si une exigence de vérification de l'âge est ajoutée à cet ensemble de réglementations existantes, elle devient alors une partie d'une infrastructure de conformité réglementaire plus large, qui sera soumise à un accès et à un examen continus de la part des régulateurs.

L'Union européenne a clairement indiqué qu'elle souhaitait une visibilité accrue des communications chiffrées — une initiative à laquelle et Durov s'est fermement opposé et leurs exigences ont contribué aux problèmes juridiques de Durov en France l'année dernière. Durov a été inculpé par les procureurs français en août 2024 pour avoir facilité le crime organisé et refusé de coopérer avec les autorités, une des accusations étant passible d'une peine maximale de 10 ans de prison et d'une amende de 500 000 euros. Le scepticisme de Durov concernant la vérification de l'âge n'est pas sans lien avec ces événements passés, et il voit la même tendance se reproduire mais avec une meilleure présentation.

Le problème des libertés civiles

Ce que la nature structurelle de ce système signifie pour l'aspect de la surveillance, c'est qu'elle ne dépend pas de la bonne ou mauvaise foi des régulateurs. La nature structurelle du risque de surveillance indique qu'il s'agit d'un problème lié à la construction même du système, par opposition à un problème de conspirations qui se produisent dans la structure du système.

Une fois que ce système a mis en place un moyen de vérifier les identités à grande échelle et de créer également un accès entre ces identités et l'accès aux plateformes, il devient un moyen viable pour les gouvernements de construire et/ou de modifier ce système et de modifier les lois et règlements qui ont été initialement créés dans un but ou un autre. Le même type de vérification à une date précise en 2025 peut avoir été créé sous un gouvernement ou un parti politique, puis avoir continué à exister d'une manière que les gens utilisent après tout changement politique ayant conduit à la création de la vérification.

Dans le passé, les cryptographes ont utilisé le même argument concernant le chiffrement. Si vous construisez une porte dérobée (backdoor) dans un système, vous ne pouvez pas créer une porte dérobée que seules les "bonnes personnes" utiliseront. La porte dérobée est intégrée au système. Les critiques ont longtemps averti que les mesures de surveillance commençant par des justifications étroites – comme la protection des enfants – s'étendent historiquement pour devenir des outils de surveillance de la dissidence, de profilage des minorités ou de suppression de la liberté d'expression.

Il en va de même pour les systèmes de vérification de l'âge qui ont la capacité de vérifier l'âge d'un individu en se basant sur une personne réelle identifiable et vérifiée, liée au compte de cet individu, et qui sont capables de fonctionner avec d'autres plateformes sur l'âge de cette personne identifiable et vérifiée. C'est la même chose qu'une porte dérobée dans un ordinateur.

À quoi ressemblent de meilleures alternatives

La vérification de l'âge respectueuse de la vie privée est techniquement possible sans construire de couche de surveillance. Les preuves à divulgation nulle de connaissance (Zero-knowledge proofs) permettent à un utilisateur de prouver qu'il remplit une condition — avoir plus de 18 ans, être résident d'un pays spécifique — sans révéler les données d'identité sous-jacentes. La vérification a lieu ; l'identité n'est pas transférée.

Plusieurs projets dans le domaine de la crypto et de l'identité numérique travaillent sur ce sujet depuis des années. Un rapport de recherche d'Aztec soutient que les réponses à la question de la vérification de l'âge ne résident pas dans des lois qui restreignent les libertés civiles, mais dans des solutions technologiques novatrices qui permettent une vérification d'identité robuste tout en protégeant les informations personnelles. Les solutions techniques existent. Ce qui leur manque, c'est la volonté politique des régulateurs qui les trouvent plus difficiles à auditer et à appliquer que les systèmes centralisés.

Durov n'a pas tort de dire que le compromis est réel. Que l'UE l'écoute est une autre question.

La sécurité des enfants est un objectif politique légitime. L'architecture choisie pour le poursuivre est d'une importance capitale — et à l'heure actuelle, l'architecture proposée ressemble moins à un outil de protection de la vie privée qu'à un registre bien publicisé.