Contexte juridique

Le Sénat de l’Utah a adopté le SB 73, une loi qui oblige les sites à contenu adulte à bloquer les utilisateurs de VPN ou à identifier leur localisation physique afin de vérifier l’âge. La disposition s’applique à tous les visiteurs, même ceux situés hors de l’État. En octobre 2026, le juge fédéral Barlow a prononcé une injonction préliminaire qui suspend les exigences liées aux VPN, estimant que la mesure porte atteinte à la Constitution en imposant un fardeau excessif aux entreprises hors‑Utah.

Mécanismes techniques de la géolocalisation et des VPN

Un VPN (Virtual Private Network) redirige le trafic Internet via un serveur intermédiaire. Le site destination ne voit que l’adresse IP du serveur VPN, pas celle de l’utilisateur final. Les bases de données de géolocalisation associent une IP à une localisation approximative, mais elles ne peuvent pas distinguer si l’IP appartient à un serveur VPN partagé entre plusieurs pays. De plus, les fournisseurs de VPN utilisent souvent des techniques d’obfuscation (ex. : obfs4, WireGuard masquerade) qui rendent les signatures de trafic indétectables.

Pour atteindre la « perfection » exigée par le SB 73, un opérateur devrait soit bloquer tout le trafic VPN – ce qui couperait l’accès à des millions d’utilisateurs légitimes – soit mettre en place un système capable de déterminer avec certitude la localisation réelle de chaque connexion, même lorsque le trafic est chiffré et routé à travers plusieurs nœuds.

Analyse de l’impossibilité technique et des implications

Le juge Barlow a souligné que la loi impose une responsabilité stricte : chaque site doit vérifier l’âge de 28 millions d’utilisateurs potentiels, qu’ils soient à Salt Lake City, Boston, New Orleans ou Honolulu. Aucun outil de géolocalisation actuel ne garantit une précision de 100 % ; les marges d’erreur sont de l’ordre de plusieurs kilomètres, et les VPN peuvent changer d’adresse IP à chaque session. Ainsi, la contrainte légale crée une situation où le non‑respect du seuil de précision entraîne une responsabilité légale, alors même que la technologie ne peut satisfaire ce critère.

Les règles administratives proposées (R152‑78B), publiées le 1 septembre 2026, prévoyaient l’obligation d’« systèmes commercialement raisonnables de détection d’obfuscation ». Cette formulation ne définit pas de métriques mesurables, ce qui rend la conformité incertaine et expose les opérateurs à des sanctions potentielles sans critère d’évaluation clair.

Conséquences pour les acteurs du web

Les plateformes adultes, comme Aylo (propriétaire de Pornhub), doivent choisir entre bloquer l’ensemble du trafic VPN – entraînant une perte d’audience importante – ou retirer l’accès aux résidents de l’Utah, ce qui limite la portée commerciale du site. Le coût de mise en conformité, incluant le développement de solutions de géolocalisation avancées et la mise à jour des politiques de confidentialité, est difficile à quantifier mais représente un investissement disproportionné par rapport à l’objectif de protection des mineurs.

En bloquant les dispositions du SB 73, le tribunal reconnaît que la législation ne peut contraindre la technologie à dépasser ses limites actuelles. Cette décision crée un précédent juridique qui pourrait décourager d’autres États d’adopter des exigences similaires, tout en renforçant la position des organisations de défense des droits numériques comme l’EFF.