En refusant d'intégrer tout mécanisme de collecte d'informations personnelles, GrapheneOS entre en confrontation directe avec des législations aux États-Unis et au Brésil. La fondation canadienne a choisi de se retirer de certains marchés plutôt que de modifier son architecture. Elle reste, pour l'heure, hors du cadre de la régulation sur le contrôle de l'âge en France et dans l'UE.
En fin de semaine dernière, la fondation GrapheneOS a publié sur X un message très clair : son système Android restera "utilisable par n'importe qui dans le monde sans nécessiter d'informations personnelles, d'identification ou de compte."
GrapheneOS ferme les portes, une à une
Collecter l'âge des utilisateurs, c'est la tendance du moment, et les textes de lois se multiplient à travers le monde. La loi brésilienne Digital ECA (loi 15.211), en vigueur depuis le 17 mars, expose les contrevenants à des amendes atteignant 50 millions de reais (soit environ 9,5 millions de dollars) par infraction. En Californie, l'AB-1043 (Digital Age Assurance Act), signée par le gouverneur Newsom en octobre 2025 et applicable au 1er janvier 2027, impose aux fournisseurs d'OS de collecter l'âge ou la date de naissance dès la configuration initiale, puis de le transmettre via une API aux boutiques d'applications et aux développeurs tiers. De son côté, le Colorado a adopté un texte similaire, le SB26-051, au Sénat le 3 mars.
Et c'est le cas chez nous aussi. Depuis juillet 2025, cinq pays - dont la France - testent une application commune de vérification de l'âge dans le cadre de l'article 28 du Digital Services Act (DSA). Le prototype initial prévoyait de s'appuyer sur l'API Google Play Integrity. Rappelons qu'il s'agit-là d'un système de certification propriétaire de Google qui exclut les versions d'Android non certifiées, comme GrapheneOS - avant que ses développeurs ne nuancent cette dépendance sous la pression des critiques. Une deuxième version du projet a été publiée en octobre 2025, mais la question de la compatibilité avec les systèmes alternatifs reste posée.
En France, la loi SREN (mai 2024) impose depuis janvier 2025 la vérification de l'âge sur les plateformes pornographiques via un tiers de confiance agréé par l'ARCOM. Pour l'heure, ce périmètre est limité aux sites web, pas encore aux systèmes d'exploitation. Reste que ce mouvement réglementaire n manque pas de soulever des questions sur la porosité entre protection des mineurs et surveillance des communications chiffrées.
Le projet GrapheneOS connaît depuis plusieurs mois des tensions avec les autorités. Nous rapportions fin novembre 2025 que l'équipe avait migré ses serveurs hors de France, vers des hébergeurs canadiens et allemands, suite à des menaces de poursuites judiciaires émanant des autorités françaises. Début mars, nous apprenions que Motorola avait annoncé un partenariat avec la fondation pour commercialiser un smartphone sous GrapheneOS en 2027. Autant dire que cet accord devient plus incertain à mesure que ces législations prolifèrent.
Une API de transmission d’âge est une interface standardisée permettant au système d’exploitation de fournir à d’autres acteurs (boutiques d’applications, services, développeurs) une information d’âge ou de date de naissance collectée lors de la configuration. Techniquement, elle crée un point central où une donnée personnelle est produite puis redistribuée à plusieurs tiers, avec un risque d’élargissement des usages au-delà du contrôle d’accès initial. Cela pose aussi des questions de minimisation des données (faut-il l’âge exact ou juste “majeur/mineur” ?) et de traçabilité (qui reçoit quoi, quand, et avec quelles garanties). Enfin, une telle API peut devenir difficile à éviter pour les OS alternatifs si elle conditionne l’accès à des services essentiels ou la conformité légale.
À quoi sert Google Play Integrity, et pourquoi cela peut exclure les Android non certifiés ?Google Play Integrity est un mécanisme d’attestation qui permet à une application de vérifier l’intégrité de l’environnement Android (appareil, OS, état de sécurité) via des signaux fournis par l’infrastructure Google. En pratique, il favorise les appareils/roms certifiés et les composants Google officiels, car l’attestation repose sur une chaîne de confiance contrôlée par Google. Un Android alternatif non certifié peut donc échouer à l’attestation ou être classé “non conforme”, même s’il est techniquement sécurisé. Quand un service public ou une application critique s’appuie sur ce type de contrôle, cela peut transformer un choix technique en barrière d’accès pour les utilisateurs d’OS indépendants.
Qu’est-ce qu’un “tiers de confiance” pour la vérification d’âge, et quelles données peut-il manipuler ?Un tiers de confiance est un intermédiaire agréé chargé de vérifier l’âge d’une personne pour le compte d’un site ou d’un service, afin d’éviter que chaque plateforme collecte directement des documents d’identité. Selon l’architecture, il peut soit transmettre un attribut minimal (par exemple “plus de 18 ans”), soit manipuler des informations plus sensibles (identité, date de naissance, justificatifs), ce qui change fortement le risque en cas de fuite ou d’abus. Les bons schémas cherchent à séparer l’identification (qui vous êtes) de l’éligibilité (vous avez l’âge requis), via des preuves cryptographiques ou des jetons limités dans le temps. Dans tous les cas, la gouvernance (agrément, audits, obligations de sécurité, journalisation) devient centrale, car ce tiers concentre une partie de la confiance et de la responsabilité.
