Loi SB 73 de l'Utah : La fin de l'anonymat VPN pour l'âge

La loi SB 73 de l'Utah entre en vigueur le 6 mai 2026, faisant de cet État le premier des États-Unis à tenir les sites web commerciaux légalement responsables des utilisateurs qui accèdent à des contenus soumis à une restriction d'âge via un VPN ou un proxy pour usurper leur emplacement géographique. La loi ne se contente pas de réglementer le contenu que les sites peuvent diffuser - elle cible directement l'utilisation d'outils d'anonymisation comme mécanisme de contournement, créant une responsabilité qui atteint les plateformes partout dans le monde.

Ce que dit réellement la loi SB 73 sur les VPN

L'innovation centrale de la loi est juridictionnelle : au lieu de s'appuyer sur la géolocalisation par adresse IP, que n'importe quel VPN peut modifier en quelques secondes, la SB 73 tient les sites web responsables de la présence physique des utilisateurs dans l'Utah. Un site est responsable, que l'adresse IP de l'utilisateur soit localisée ou non dans l'Utah, tant que cet utilisateur se trouve physiquement dans l'État. Il s'agit d'une rupture fondamentale avec le fonctionnement de la juridiction sur Internet depuis des décennies.

Le statut va plus loin. Il est explicitement interdit aux sites web de fournir des instructions, des liens ou d'encourager l'utilisation de services VPN pour contourner les exigences de vérification de l'âge. Lier vers un guide sur "comment utiliser un VPN" - ou même mentionner les VPN comme solution de contournement dans une FAQ - devient une exposition juridique potentielle en vertu de la loi. Signée par le gouverneur de l'Utah le 19 mars 2026, les dispositions de la SB 73 sur la vérification de l'âge et les VPN s'activent le 6 mai, avec une taxe d'accise distincte de 2 % sur les revenus des contenus pour adultes entrant en vigueur le 1er octobre 2026.

Le piège de la responsabilité de l'EFF : pas de sortie propre pour les plateformes

L'Electronic Frontier Foundation a décrit la SB 73 comme un "piège de responsabilité" - une loi structurée de telle sorte que la conformité technique est pratiquement impossible sans imposer des coûts importants aux utilisateurs qui n'ont rien à voir avec l'Utah. Comme aucune technologie ne peut vérifier avec certitude si un utilisateur derrière un VPN de haute qualité se trouve physiquement dans l'État, les sites web font face à un choix binaire sans juste milieu.

La première option consiste à bloquer toutes les plages d'adresses IP VPN connues à l'échelle mondiale. Cela couperait l'accès aux utilisateurs légitimes de VPN dans le monde entier - journalistes, défenseurs de la vie privée, travailleurs à distance et toute personne préférant simplement une navigation cryptée - qui n'ont aucun lien avec l'Utah et ne posent aucun problème réglementaire. La deuxième option consiste à exiger une pièce d'identité émise par le gouvernement ou une vérification biométrique de l'âge de 100 % de leurs visiteurs, quel que soit l'endroit où ils se trouvent. Ces deux issues créent une infrastructure qui n'était pas requise auparavant : l'une crée une liste de blocage mondiale des VPN ; l'autre crée une base de données intersites liant l'identité réelle au comportement de navigation.

Quels sites sont concernés et à quoi ressemble la conformité

La SB 73 s'applique aux entités commerciales dont une "partie substantielle" du contenu est classée comme nuisible aux mineurs - en pratique, principalement les plateformes de contenu pour adultes. Pour satisfaire à la norme de "vérification raisonnable de l'âge", les sites devraient utiliser des pièces d'identité émises par le gouvernement, des systèmes d'estimation biométrique de l'âge ou des services tiers de vérification d'identité. Les trois méthodes nécessitent la collecte de données personnelles sensibles auprès de chaque utilisateur devant prouver son âge - pas seulement les mineurs.

Cependant, les dispositions spécifiques aux VPN créent une pression indirecte pour une catégorie beaucoup plus large de sites web. Tout site souhaitant éviter la responsabilité dans l'Utah tout en évitant le coût de la vérification universelle d'identité n'a qu'une seule option réaliste : bloquer entièrement les plages d'adresses IP VPN. Les chercheurs en sécurité et les groupes de défense des libertés civiles notent que les listes de blocage de VPN sont intrinsèquement imprécises, bloquant fréquemment des utilisateurs légitimes, des réseaux d'entreprise et des nœuds de sortie Tor aux côtés du trafic VPN ciblé.

L'Utah dans le contexte national : plus de 25 États et ça continue

Plus de 25 États américains ont adopté des lois sur la vérification de l'âge depuis 2022. Le Nebraska (LB 383, en vigueur le 1er juillet 2026), la Virginie-Occidentale (HB 4412, en vigueur le 12 juin 2026), l'Ohio (HB 96) et la Floride (HB 3) figurent parmi les États ayant des exigences actives ou en attente. Le paysage juridique évolue vers un patchwork où les plateformes doivent satisfaire à la norme de l'État le plus restrictif pour opérer à l'échelle nationale sans exposition à la responsabilité.

Ce qui distingue la SB 73, c'est son ciblage explicite du contournement par VPN. Aucune autre loi d'État n'a directement inséré l'utilisation de VPN dans un cadre de responsabilité pour la conformité à la vérification de l'âge. La loi semble conçue en partie pour contrer l'augmentation documentée de l'adoption des VPN qui a suivi les mandats précédents sur la vérification de l'âge - y compris dans l'Utah lui-même, où les téléchargements de VPN ont grimpé après la législation antérieure. Les législateurs ont effectivement intensifié la pression : si les utilisateurs peuvent contourner la première loi avec un VPN, l'utilisation du VPN elle-même devient un déclencheur de la responsabilité de la plateforme.

Ce que signifie la SB 73 pour les utilisateurs de VPN

Un VPN reste essentiel pour protéger votre trafic réseau, crypter vos données sur les réseaux publics et protéger votre navigation de votre fournisseur d'accès à Internet et des traqueurs tiers. Rien de tout cela ne change sous la SB 73. Ce qui change, c'est l'environnement réglementaire dans lequel l'utilisation du VPN se produit.

La SB 73 marque un changement qualitatif dans la manière dont les législateurs traitent l'utilisation des VPN : non pas comme un crime pour l'utilisateur, mais comme un multiplicateur de responsabilité pour la plateforme. Le résultat pratique pour les utilisateurs soucieux de leur vie privée est un blocage accru. À mesure que de plus en plus d'États adoptent le modèle de l'Utah - en fondant les obligations de conformité sur la présence physique plutôt que sur la localisation IP - les plateformes seront confrontées à une pression croissante pour traiter les connexions VPN comme non vérifiables et donc risquées. L'espace où un VPN préserve à la fois l'accès et l'anonymat se réduira à chaque État suivant l'exemple de l'Utah.

Couverture associée sur vpnlab.io

La vague de conformité sur la vérification de l'âge continue de remodeler le paysage de la vie privée à l'échelle mondiale :

• L'UE juge Meta en infraction avec le DSA : Instagram et Facebook échouent à tenir les enfants de moins de 13 ans hors de leurs plateformes - les conclusions préliminaires de la Commission européenne contre Meta montrent comment les régulateurs des deux côtés de l'Atlantique exigent la même chose : une assurance de l'âge liée à l'identité rendant l'accès anonyme impossible.
• Apple transforme l'Apple ID en pièce d'identité : iOS 26.4 déploie la vérification d'âge obligatoire au Royaume-Uni - lorsque la couche de vérification se déplace vers le système d'exploitation, même un VPN ne change pas la donne.
• Sony impose la vérification de l'âge sur PlayStation au Royaume-Uni et en Irlande : pas d'identité, pas de jeu - les plateformes matérielles déployant des exigences d'identité montrent la même tendance atteignant les appareils hors ligne.

Conclusion