Google Wallet : prouver sa majorité en ligne sans montrer sa pièce d’identité
ce qui arrive en France, et sous quelles règles.

L’annonce date du 4 juin 2026, faite à Amsterdam pendant Money 20/20 Europe par P.J. Linarducci, vice-président produit de Google pour les paiements grand public. Elle porte sur l’extension de la fonctionnalité ID Pass à cinq États membres de l’Union européenne : l’Espagne, l’Estonie, la France, l’Irlande et l’Italie.

Le calendrier communiqué tient en deux mots, « cet été ». Google n’a donné ni date précise ni liste de services partenaires français. À la date de mise à jour, aucune confirmation publique de disponibilité effective en France n’a été relayée. La distinction mérite d’être tenue : l’annonce est confirmée, le déploiement français ne l’est pas encore.

La fonctionnalité n’est pas nouvelle en soi. Google l’avait ouverte aux États-Unis, puis au Royaume-Uni, avant de l’étendre en avril 2026 au Brésil, à l’Inde, à Singapour et à Taïwan. L’Europe arrive en dernier, ce qui n’a rien d’un hasard : c’est le terrain réglementaire le plus dense, entre le règlement sur les services numériques, le RGPD et les régimes nationaux de contrôle de l’âge.

Un second volet de l’annonce est passé plus inaperçu, alors qu’il est probablement le plus structurant. Google s’associe à des émetteurs privés pour délivrer des attestations d’âge, à commencer par Sparkasse, réseau allemand de plus de 340 caisses d’épargne régionales revendiquant plus de cinquante millions de clients. Autrement dit, la preuve de majorité ne viendra pas forcément d’un document d’identité : elle pourra venir d’une banque qui connaît déjà son client.

Le terme employé par Google est « preuve à divulgation nulle de connaissance », traduction du zero-knowledge proof. Derrière l’expression se cache une idée simple à formuler et longue à mettre en œuvre : démontrer qu’une affirmation est vraie sans communiquer les données qui la rendent vraie.

Appliqué au sujet, cela donne une réponse cryptographique à la question « cette personne a-t-elle plus de dix-huit ans », sans transmettre la date de naissance, le nom, le numéro du document ni l’adresse. Le site reçoit un jeton vérifiable, mathématiquement lié à un document authentique, et rien d’autre. Il ne peut pas le recouper avec une autre visite, ni le revendre, puisqu’il ne contient aucun identifiant.

Google précise prendre en charge ce mécanisme en complément des mdocs normalisés ISO 18013-7, format déjà utilisé pour les permis de conduire dématérialisés. La combinaison des deux permet la divulgation sélective : le service demandeur ne réclame que les attributs strictement nécessaires à son cas d’usage, et rien de plus.

Ce niveau de protection ne dispense pas de prudence sur le reste de la chaîne. Une preuve d’âge irréprochable n’empêche pas un compte d’être détourné par ailleurs, comme le rappellent les outils qui contournent les systèmes d’authentification renforcée, sujet détaillé dans notre article sur Kali365 et le contournement de la double authentification. Le maillon faible d’un dispositif d’identité reste rarement la cryptographie.

La France dispose du régime de contrôle de l’âge le plus exigeant d’Europe, et c’est lui qui explique l’intérêt de Google pour ce marché. La loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique a confié à l’Arcom le pouvoir de fixer les exigences techniques, puis de sanctionner. Le référentiel a été publié le 11 octobre 2024, après avis de la CNIL rendu le 26 septembre 2024.

Sa pièce maîtresse porte un nom : le double anonymat. Le site consulté reçoit une preuve de majorité sans connaître l’identité de l’internaute ; le tiers vérificateur connaît l’identité mais ignore quel site est consulté. L’architecture vise précisément à empêcher la constitution d’un fichier reliant une personne à ses consultations. Depuis le 11 avril 2025, au moins une méthode conforme à ce principe doit être proposée, et l’authentification par carte bancaire seule n’est plus admise. Les obligations se sont étendues le 7 juin 2025 aux sites établis dans d’autres États membres.

Les moyens de contrainte sont réels. L’Arcom peut demander aux fournisseurs d’accès, aux résolveurs et aux moteurs de recherche un blocage ou un déréférencement sous quarante-huit heures, faculté validée par le Conseil d’État. Les sanctions financières peuvent atteindre 150 000 euros ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Le 29 juillet 2026, l’autorité a engagé des procédures contre trente et un nouveaux sites, portant à soixante-six le total visé : blocage sous quarante-huit heures pour treize sites sans pays d’établissement identifié, lettres d’observation avec quinze jours de réponse pour cinq sites établis en France ou hors Union, et saisine des homologues européens pour treize sites établis dans l’Union.

L’autorité met en avant un premier résultat mesuré : depuis février 2025, trente-cinq des sites les plus consultés par les mineurs ont installé un contrôle d’âge, retiré leurs contenus en France ou été bloqués, et le temps passé par les mineurs sur ces plateformes aurait reculé de près d’un tiers d’après les données Médiamétrie NetRatings qu’elle cite. Les contournements par réseau privé virtuel restent toutefois triviaux, ce que le régulateur ne conteste pas.

Un revers judiciaire est venu rappeler que tout n’est pas permis au nom de la protection des mineurs. Le 14 août 2026, par sa décision n° 2026-911 DC, le Conseil constitutionnel a censuré l’article premier de la loi du 21 juillet 2026 qui interdisait l’accès des moins de quinze ans aux réseaux sociaux. Deux motifs : une atteinte disproportionnée à la liberté d’expression et de communication, l’interdiction visant indistinctement des services dont les risques ne sont pas établis ; et des garanties insuffisantes pour la vie privée, le législateur n’ayant pas défini les conditions et les limites de la justification d’âge qu’il imposait à tous. Un nouveau texte a été annoncé.

Pendant que Google avance, Bruxelles construit sa propre réponse, sur deux étages. Le premier est le règlement sur les services numériques, dont l’article 28 impose aux plateformes accessibles aux mineurs un niveau élevé de protection de la vie privée et de sécurité. Les lignes directrices publiées le 14 juillet 2025 précisent les attentes de la Commission en matière de vérification d’âge.

Le second étage est technique. La Commission a fait développer une application de vérification d’âge en marque blanche, publiée en schéma directeur le 14 juillet 2025, complétée le 10 octobre 2025 par l’enrôlement du passeport et de la carte d’identité et la prise en charge de la même interface Digital Credentials. Le 15 avril 2026, l’outil a été déclaré techniquement prêt ; le 29 avril, une recommandation a invité les États membres à le mettre à disposition de leurs citoyens d’ici la fin 2026. La France figure parmi les pays pilotes, avec le Danemark, la Grèce, l’Italie et l’Espagne.

La Commission appelle elle-même cet outil un mini-portefeuille : un sous-ensemble du portefeuille européen d’identité numérique, dont le règlement eIDAS révisé impose que chaque État membre en propose au moins un d’ici la fin 2026. Vingt-deux projets publics et privés sont recensés à l’échelle du continent, une dizaine déjà opérationnels, aucun certifié pleinement conforme à ce jour. L’application de vérification d’âge sert donc à la fois de solution transitoire et de démonstrateur grandeur nature.

Cette accélération européenne s’inscrit dans une série de chantiers de souveraineté numérique, du développement d’un index de recherche européen aux tensions sur les infrastructures, dont la pression de l’intelligence artificielle sur le réseau électrique. Le point commun tient en une phrase : construire des briques de base plutôt que dépendre de celles des autres.

La question intéresse bien au-delà des plateformes pour adultes. Tout site vendant de l’alcool, du tabac, des produits de vapotage, des couteaux, des compléments réservés aux majeurs, ou proposant des jeux d’argent, est concerné par une obligation de contrôle dont l’exigence monte d’année en année.

Trois erreurs reviennent régulièrement dans les dossiers. La première consiste à demander une pièce d’identité complète pour un besoin qui se satisfait d’un attribut : réclamer un document scanné pour vérifier une majorité est disproportionné au sens du RGPD, et engage la responsabilité du responsable de traitement en cas de fuite. La deuxième consiste à conserver ces justificatifs, alors que rien ne l’impose une fois la vérification effectuée. La troisième consiste à ne proposer qu’une seule méthode, sans alternative pour qui refuse un traitement biométrique.

La bonne nouvelle tient à l’économie du dispositif. Une case à cocher déclarative n’a plus aucune valeur juridique, mais la solution qui la remplace n’exige plus de développement lourd. L’interface Digital Credentials est un standard du W3C, pris en charge par les navigateurs et interrogeable en quelques lignes de code. Le site reçoit une réponse signée, ne stocke rien, et documente sa conformité par une trace technique plutôt que par un dossier de pièces justificatives.

Le conseil de fond reste le même que pour tout traitement de données : collecter le strict nécessaire, ne rien garder au-delà de la finalité, écrire la procédure avant le contrôle plutôt qu’après. Une entreprise qui doit vérifier l’âge de ses clients a intérêt à documenter dès maintenant les méthodes retenues, la durée de conservation retenue pour chacune, et l’alternative offerte aux personnes qui refusent la première option.