VPN et surveillance numérique au Royaume-Uni : quand l’échappatoire devient la faille

Mise à jour : juin 2026

Le débat britannique sur la protection des mineurs en ligne ne se limite plus aux contrôles d’âge prévus par l’Online Safety Act. En juin 2026, le gouvernement britannique a ouvert une nouvelle séquence autour de l’accès des moins de 16 ans aux grands réseaux sociaux.

Cette évolution ne signifie pas que les VPN sont interdits au Royaume-Uni. Elle confirme plutôt un déplacement du débat : dès qu’un service doit vérifier l’âge, limiter l’accès ou empêcher le contournement, les VPN deviennent un point de friction technique et politique.

Contexte

Depuis plusieurs années, le Royaume-Uni cherche à encadrer plus strictement certains services en ligne, officiellement au nom de la protection des mineurs, de la lutte contre les contenus illégaux et de la réduction des contenus préjudiciables aux enfants. L’adoption de l’Online Safety Act 2023, entrée en vigueur progressivement depuis 2023, a marqué un tournant : les services concernés ne sont plus seulement invités à modérer leurs contenus. Ils doivent désormais évaluer les risques, documenter leurs choix et mettre en place des mesures concrètes pour les réduire.

Ofcom, le régulateur britannique des communications, dispose dans ce cadre de pouvoirs étendus : publication de codes et de lignes directrices, demandes formelles d’information, programmes d’enquête, sanctions financières et contrôle de la conformité des services concernés. En 2025 et 2026, cette logique est devenue beaucoup plus visible avec l’entrée en application des obligations liées aux contenus illégaux, à la protection des enfants et aux contrôles d’âge, comme le montre la feuille de route réglementaire publiée par Ofcom.

Le Royaume-Uni n’a donc pas simplement “régulé le porno en ligne”. Il a posé les bases d’un système plus large : un web où l’accès à certains contenus, fonctionnalités ou services peut dépendre d’une vérification préalable, d’une évaluation du risque et d’une conformité technique imposée aux acteurs en ligne.

© Ofcom

Du chiffrement à l’identité : le Royaume-Uni ouvre un second front

Pendant des années, le gouvernement britannique a mis la pression sur le chiffrement de bout en bout des messageries cryptées (chiffrées), au nom de la lutte contre le terrorisme, les trafics et les contenus pédocriminels. Le problème est connu : introduire une porte dérobée ou un accès exceptionnel ne fragilise pas seulement les criminels visés. Cela affaiblit aussi la sécurité des journalistes, des avocats, des entreprises, des opposants politiques et des citoyens ordinaires.

Ce front n’a pas disparu. En 2025, Apple a annoncé ne plus pouvoir proposer Advanced Data Protection au Royaume-Uni. Cette fonction renforçait le chiffrement de bout en bout de plusieurs catégories de données iCloud, comme les sauvegardes, les photos, les notes ou iCloud Drive. Apple affirme toutefois ne pas avoir créé de porte dérobée ni de clé principale pour ses produits, et des services comme iMessage et FaceTime restent chiffrés de bout en bout.

Mais le Royaume-Uni ne mise plus uniquement sur l’accès aux contenus chiffrés. Il développe un second levier, plus facile à défendre politiquement : l’identification et le contrôle d’accès. Plutôt que de chercher à lire ce qui circule, le régulateur peut imposer aux services concernés de vérifier l’âge des utilisateurs, d’évaluer les risques liés à certaines fonctionnalités et de limiter l’accès à certains contenus ou espaces en ligne.

Le sujet devient alors celui d’un web où l’accès à certains espaces peut dépendre d’une preuve d’âge, d’une validation de compte, d’un contrôle tiers ou d’une conformité imposée par la loi.

Services concernés : l’age assurance avance en ordre dispersé

L’application de l’Online Safety Act ne touche pas uniquement les sites pornographiques. Depuis le 25 juillet 2025, les services entrant dans le champ de la loi et accessibles aux utilisateurs britanniques doivent empêcher les mineurs d’accéder à la pornographie et à certains contenus préjudiciables pour leur âge. Pour cela, ils doivent recourir à une age assurance jugée suffisamment robuste. Une simple déclaration de naissance ou une case à cocher ne suffit plus.

Les services concernés avancent toutefois en ordre dispersé. Les sites pour adultes ont été les premiers exposés, car leur risque réglementaire est direct et facile à qualifier. Mais les réseaux sociaux, forums, applications communautaires, services de rencontre, plateformes de jeux, services de partage et certains espaces de discussion peuvent aussi entrer dans le périmètre lorsque leurs contenus, leurs fonctionnalités ou leurs usages présentent un risque pour les mineurs.

En 2026, le dispositif n’est plus seulement théorique. Dans son bulletin de mars 2026, Ofcom indique que, parmi les 100 principaux services pornographiques dédiés, 77 avaient déjà mis en place une age assurance fin janvier 2026, tandis que 7 avaient choisi de géobloquer les utilisateurs britanniques. Cette donnée est importante : elle montre que la loi ne produit pas une réponse unique, mais plusieurs stratégies de conformité, de limitation d’accès ou de retrait partiel du marché britannique.

Le gouvernement britannique cite explicitement les scans faciaux, les contrôles par pièce d’identité et les vérifications par carte bancaire parmi les méthodes utilisées pour vérifier ou estimer l’âge des utilisateurs.

La réaction des services en ligne n’est pas uniforme. Certains ont intégré des prestataires de vérification ou d’estimation d’âge pour continuer à opérer au Royaume-Uni. D’autres ont préféré limiter l’accès, géobloquer les utilisateurs britanniques ou adapter certaines fonctionnalités plutôt que d’assumer le coût technique, juridique ou réputationnel de ces contrôles. Ofcom indiquait ainsi dans son bulletin de mars 2026 que 77 des 100 principaux services pornographiques dédiés avaient mis en place une age assurance fin janvier 2026, tandis que 7 avaient bloqué l’accès depuis le Royaume-Uni.

Depuis fin 2025, et plus nettement encore en 2026, cette conformité est aussi devenue un sujet de contrôle et de sanction. Ofcom a par exemple infligé 1 million de livres d’amende à AVS Group pour absence de contrôles d’âge robustes, plus 50 000 livres pour défaut de réponse à des demandes d’information. Le régulateur a aussi sanctionné 4chan à hauteur de 450 000 livres pour absence de contrôles d’âge destinés à empêcher les mineurs d’accéder à des contenus pornographiques, avec d’autres manquements liés à ses obligations de conformité.

Ces décisions changent le niveau de risque pour les services en ligne. Il ne s’agit plus seulement d’anticiper une obligation abstraite : les acteurs concernés doivent pouvoir démontrer qu’ils ont évalué leurs risques, mis en place des mesures adaptées et répondu aux demandes du régulateur. L’Online Safety Act devient ainsi un régime de conformité actif, avec des conséquences financières réelles.

Ces mesures suscitent toutefois des critiques persistantes : recours à des prestataires tiers, traitement possible de documents d’identité ou d’images faciales, risque de fuite de données sensibles, contournement par VPN, géoblocage, exclusion d’utilisateurs légitimes et effet dissuasif pour les personnes qui souhaitent préserver leur vie privée.

Aylo/Pornhub : quand le contrôle d’âge remonte vers l’appareil

Le cas Aylo/Pornhub est révélateur parce qu’il ne concerne plus seulement le site consulté. Au Royaume-Uni, Aylo indique avoir rouvert l’accès à Pornhub pour certains utilisateurs iOS dont l’âge est confirmé via le dispositif intégré par Apple. Autrement dit, le contrôle d’âge peut commencer à remonter du site web vers le compte, l’appareil et le système d’exploitation.

Cette approche peut réduire la friction pour l’utilisateur et éviter que chaque site collecte directement une pièce d’identité ou un selfie. Mais elle déplace aussi le pouvoir de contrôle vers quelques grands intermédiaires techniques. Le dilemme devient donc plus clair : soit chaque plateforme vérifie l’âge elle-même, avec des risques de collecte dispersée de données sensibles ; soit le contrôle est centralisé au niveau du compte ou de l’appareil, avec un pouvoir accru pour Apple, Google ou d’autres acteurs d’infrastructure.

Réactions : VPN, blocages et contournements

À chaque nouvelle étape du dispositif britannique, les VPN réapparaissent dans le débat. Ce n’est pas surprenant : dès qu’un service doit vérifier l’âge, limiter l’accès ou empêcher le contournement, la question du changement d’adresse IP devient immédiatement politique.

La première salve a été visible dès l’entrée en application des contrôles d’âge de l’Online Safety Act. Dans son Internet Censorship Observatory, Proton indique avoir observé, le 26 juillet 2025, une hausse de 1 200 % des inscriptions à Proton VPN par rapport à son niveau de référence au Royaume-Uni, avec un pic horaire de 1 400 % au moment de l’entrée en application des contrôles d’âge.

La séquence de juin 2026 est différente. À ce stade, il ne faut pas la présenter comme une nouvelle explosion documentée des inscriptions VPN chez Proton ou chez l’ensemble des fournisseurs. Les données disponibles relèvent plutôt d’un signal de recherche : CityAM rapporte une hausse de 165 % des recherches liées aux VPN après l’annonce des restrictions d’accès aux réseaux sociaux pour les moins de 16 ans, sur la base de données fournies par IT-AMG.

Ce chiffre est intéressant, mais il doit être traité avec prudence. Une hausse de recherches Google ne dit pas qui cherche, ni pourquoi : adolescents, parents, adultes soucieux de confidentialité, journalistes, curieux ou internautes inquiets peuvent tous contribuer au signal. Elle ne prouve donc pas, à elle seule, que les mineurs contournent massivement le dispositif.

Le contrepoint d’Ofcom est essentiel. Dans son rapport Online Safety in 2025, le régulateur indique que les utilisateurs actifs quotidiens de VPN au Royaume-Uni ont bien doublé après l’entrée en vigueur des contrôles d’âge, pour atteindre environ 1,5 million. Mais Ofcom précise aussi que cet usage était retombé sous le million fin octobre 2025, et qu’il n’existe pas de donnée fiable permettant d’attribuer cette hausse aux enfants plutôt qu’aux adultes.

Conclusion : le web britannique entre dans une logique d’autorisation

Le Royaume-Uni ne se contente plus de renforcer la modération en ligne. Il installe progressivement une logique d’autorisation : avant d’accéder à certains contenus, fonctionnalités ou services, l’utilisateur peut devoir prouver ou faire estimer son âge, passer par un prestataire tiers, valider son compte ou se heurter à un blocage géographique.

La protection des mineurs est une priorité. Mais le risque apparaît lorsque cette protection devient une infrastructure permanente de contrôle d’accès, capable de s’étendre des sites pornographiques aux réseaux sociaux, aux services communautaires, aux comptes utilisateurs et, dans certains débats parlementaires, aux outils permettant le contournement.

Les meilleurs VPN du marché ne règleront pas ce problème à eux seuls. Ils peuvent protéger certaines connexions et contourner certains blocages, mais ils ne suppriment pas la tendance de fond : le déplacement du contrôle vers l’identité, l’appareil, le compte et les plateformes. C’est cette bascule qu’il faut surveiller.