Le collecteur de données secret : qui se cache réellement derrière les vérifications de LinkedIn, OpenAI et consorts ?

Fuite du code source : que deviennent réellement vos données d’identification sur Reddit, Roblox et LinkedIn ?

Aujourd'hui, quiconque navigue sur Internet doit de plus en plus prouver son identité. Que ce soit pour obtenir la fameuse coche LinkedIn, accéder aux puissants modèles d'IA d'OpenAI, vérifier son âge sur Reddit ou discuter sur Roblox, présenter son passeport et prendre le traditionnel selfie vidéo deviennent la norme. Mais alors que les utilisateurs pensent confier directement leurs données biométriques sensibles aux plateformes concernées, une force invisible opère en coulisses : la startup américaine « Persona ». Avec plus de 300 millions d'identités vérifiées, cette entreprise, soutenue par des investisseurs influents, est devenue l'infrastructure secrète de notre vie numérique. Or, ce système en apparence pratique présente une faille majeure : une fuite de code source sensible, des durées de conservation des données douteuses et des liens étroits avec les autorités américaines soulèvent de sérieuses questions de confidentialité. Qu'advient-il réellement de nos visages et de nos pièces d'identité ? Et pourquoi Discord a-t-elle été la seule grande plateforme à y mettre fin suite aux protestations massives des utilisateurs ? Enquête sur les infrastructures serveur cachées d'un géant des données.

L'épine dorsale invisible d'Internet : comment LinkedIn, Reddit, OpenAI, Roblox et d'autres plateformes utilisent les personas — et quelles conséquences pour vos données

Une entreprise, 148 000 clients, 300 millions d'enregistrements de données — et presque personne n'en a entendu parler

Lorsqu'un utilisateur LinkedIn vérifie son profil, il croit s'adresser à LinkedIn. Lorsqu'un utilisateur Reddit confirme son âge, il fait confiance à Reddit. Lorsqu'un joueur Roblox se filme, il croit interagir avec Roblox. En réalité, il s'agit de la même entreprise dans tous ces cas : Persona Identities, Inc., une startup de San Francisco fondée en 2018, devenue l'infrastructure d'identité de référence pour une grande partie d'Internet. En 2024, Persona avait réalisé plus de 300 millions de vérifications d'identité, doublant ainsi son chiffre d'affaires et sa clientèle. Les plateformes qui utilisent les services de Persona offrent un aperçu complet de la vie numérique moderne ; pourtant, le nom de Persona reste inconnu de la plupart des utilisateurs.

Ce n'est pas un hasard. Le modèle économique de Persona repose délibérément sur l'invisibilité : tandis que les plateformes cultivent les relations avec les utilisateurs et instaurent la confiance, Persona gère la vérification en coulisses. Avec une valorisation de 2 milliards de dollars après sa levée de fonds de série D en avril 2025 et des investisseurs tels que Founders Fund, Ribbit Capital et Index Ventures, l'entreprise figure parmi les plus importantes sociétés privées de technologies d'identité au monde. Ce qui apparaît aux utilisateurs comme un processus de vérification pratique est, en réalité, une infrastructure de collecte de données sophistiquée qui va bien au-delà de ce qui serait nécessaire pour un simple contrôle d'identité.

En lien avec ceci :

• Vérification d'identité | Votre visage et vos données ne vous appartiennent pas – Anthropic (Claude), LinkedIn et la nouvelle économie du contrôle biométrique

LinkedIn : 100 millions de profils vérifiés – et ce qui se cache derrière

LinkedIn a été l'une des premières grandes plateformes à intégrer Persona comme partenaire de vérification. En décembre 2025, la plateforme a franchi la barre des 100 millions de profils vérifiés à travers le monde, un cap important qui témoigne de l'intégration profonde de Persona dans l'infrastructure d'identité du web professionnel. LinkedIn fait des promesses claires : les membres vérifiés bénéficient, en moyenne, de 60 % de vues de profil supplémentaires et de 50 % d'interactions en plus. Les pages d'entreprise vérifiées enregistrent quant à elles 10,9 fois plus de vues et 7,7 fois plus d'abonnés. Ce sont des incitations puissantes, et elles fonctionnent.

Le processus de vérification proprement dit se déroule via l'application LinkedIn. Les utilisateurs sont invités à connecter leur appareil à un passeport compatible NFC, à scanner la puce, puis à prendre un selfie. LinkedIn reçoit uniquement le nom tel qu'il apparaît sur le passeport, le type de passeport, le pays émetteur, un identifiant haché et la confirmation de la réussite de la vérification. Cependant, les données collectées et traitées par Persona au-delà de ce processus sont bien plus nombreuses et ne sont abordées que dans la documentation de LinkedIn, avec une brève référence à la politique de confidentialité de Persona. Les sous-traitants autorisés pour la vérification LinkedIn via Persona sont AWS, Confluent, DBT, Elasticsearch, Google Cloud Platform, MongoDB, Sigma Computing et Snowflake. Le stockage des données sur des serveurs européens avec garantie de conformité à la législation européenne n'est pas assuré.

La question de la suppression des données est particulièrement préoccupante. Persona confirme dans sa documentation LinkedIn que les données sont supprimées après vérification, sans toutefois préciser de délai. Dans le cadre d'autres partenariats, comme avec Discord, une durée de conservation allant jusqu'à sept jours a été évoquée, contredisant publiquement les déclarations de la plateforme. De plus, la fuite du code source de l'infrastructure gouvernementale de Persona révèle que les listes de reconnaissance faciale biométrique peuvent être conservées jusqu'à trois ans, soit 1 095 jours précisément. Les communications publiques de Persona maintiennent délibérément le flou quant aux règles applicables aux clients commerciaux et aux clients gouvernementaux.

Reddit : La vérification de l’âge comme point d’entrée du contrôle biométrique

Reddit a introduit Persona dans le cadre de la mise en œuvre de la loi britannique sur la sécurité en ligne (Online Safety Act, OSA), qui a rendu obligatoire la vérification de l'âge sur les plateformes en ligne. Le marché britannique a servi de test : les utilisateurs tentant d'accéder à du contenu soumis à une restriction d'âge étaient redirigés vers Persona pour vérification. Sur sa page FAQ dédiée, Reddit explique que Persona agit comme sous-traitant de données pour le compte de Reddit, ne collecte que la date de naissance et les données d'image, et supprime toutes les autres informations sous trois jours. De prime abord, cela semble raisonnable.

La situation est en réalité plus complexe. Des utilisateurs de Reddit ayant vérifié leur identité signalent un processus qui va bien au-delà d'une simple estimation d'âge : des scans de puces NFC de passeports, des selfies pris en direct et des données biométriques comportementales détaillées ont été collectés, notamment la vitesse de frappe, les hésitations et la possibilité de copier des informations. Des militants pour la protection de la vie privée ont découvert que le code source de Persona, identifié par Celeste, s'exécutait sur un serveur gouvernemental autorisé par FedRAMP et incluait des vérifications auprès des listes de surveillance du FinCEN, des listes de personnes politiquement exposées (PPE) et des listes de sanctions internationales. Tout cela se déroule en parallèle des processus de vérification commerciaux de Reddit, LinkedIn et d'autres plateformes, sur la même infrastructure sous-jacente. Suite à d'importantes protestations d'utilisateurs au Royaume-Uni, Reddit a temporairement suspendu la vérification Persona obligatoire pour les nouveaux utilisateurs, tandis que les utilisateurs déjà vérifiés sont restés dans le système.

OpenAI : La connexion la plus ancienne et la plus opaque

La relation entre OpenAI et Persona est particulièrement révélatrice – et chronologiquement la plus ancienne de tous les partenariats majeurs entre plateformes. Des chercheurs en sécurité ont découvert, grâce aux journaux de transparence des certificats, qu'un système de liste de surveillance dédié, sous le domaine openai-watchlistdb.withpersona.com, était actif depuis novembre 2023 – environ 18 mois avant qu'OpenAI n'annonce publiquement, durant l'été 2025, l'exigence d'une vérification d'identité pour accéder à GPT-5. OpenAI avait discrètement ajouté une phrase à sa politique de confidentialité en novembre 2024, faisant référence à la vérification de l'identité et de l'âge par des fournisseurs tiers – sans mentionner explicitement Persona.

En septembre 2024, Persona a publié une page expliquant qu'OpenAI utilise Persona pour vérifier des millions d'utilisateurs chaque mois, plus de 99 % d'entre eux étant vérifiés automatiquement en quelques secondes. Cela signifie que ce ne sont pas seulement les utilisateurs en cours de vérification qui sont concernés : le contrôle en arrière-plan est continu. Pour accéder à l'API d'OpenAI et à des modèles comme GPT-5, les développeurs doivent soumettre une pièce d'identité et prendre trois selfies sous différents angles (gauche, droite et face) afin de créer un profil facial tridimensionnel. Forrester Research a analysé cette décision comme une réponse aux pressions réglementaires, aux risques géopolitiques liés à l'utilisation abusive des modèles et à la nécessité de distinguer les entreprises clientes légitimes des acteurs étatiques. Conséquence : toute personne souhaitant utiliser les outils d'IA les plus avancés doit confier son visage à une infrastructure de vérification basée aux États-Unis.

Roblox : 151 millions d’utilisateurs quotidiens — et un scan facial obligatoire

Roblox est, de par son nombre d'utilisateurs, le client Persona le plus remarquable. En janvier 2026, Roblox a instauré la vérification d'âge obligatoire pour tous les utilisateurs souhaitant utiliser la messagerie instantanée. Avec 151 millions d'utilisateurs actifs quotidiens, il s'agit d'un processus biométrique imposé à une échelle sans précédent, d'autant plus qu'une part importante de sa base d'utilisateurs est composée d'enfants et d'adolescents. Le principe est simple : toute personne souhaitant discuter doit soit enregistrer un selfie vidéo, que Persona analyse par un algorithme pour estimer son âge, soit fournir une pièce d'identité officielle.

Roblox et Persona insistent sur le fait que les données et images biométriques sont supprimées immédiatement après l'estimation de l'âge. Cependant, cette affirmation n'a fait l'objet d'aucune vérification indépendante. Le véritable problème réside ailleurs : la technologie d'estimation de l'âge de Persona ne constitue pas, d'un point de vue technique, une vérification d'âge ; elle estime l'âge à partir des traits du visage sans le vérifier par un document. Cela signifie que les utilisateurs de Roblox sont soumis à un scan biométrique qui n'offre ni la précision d'un véritable contrôle d'identité, ni la sécurité d'une vérification par document. Parallèlement, les données biométriques sont transférées vers une infrastructure américaine, ce qui soulève d'importantes préoccupations au regard du RGPD pour les utilisateurs de l'UE, notamment les mineurs. Les données biométriques des mineurs sont soumises à des exigences particulièrement strictes en vertu de l'article 9, combiné à l'article 8 du RGPD, exigences que Roblox n'a pas démontrées publiquement dans sa mise en œuvre actuelle.

Notre expertise européenne et allemande en matière de développement commercial, de ventes et de marketing - Image : Xpert.Digital

Domaines d'intervention prioritaires : B2B, numérisation (de l'IA à la XR), ingénierie mécanique, logistique, énergies renouvelables et industrie

Plus d'informations ici :

• Centre d'affaires d'experts

Un centre thématique offrant des informations et une expertise :

• Plateforme de connaissances couvrant les économies mondiales et régionales, l'innovation et les tendances spécifiques à l'industrie
• Un recueil d'analyses, d'idées et d'informations générales issues de nos principaux domaines d'intervention
• Un lieu d'expertise et d'information sur les développements actuels dans le monde des affaires et des technologies
• Un centre névralgique pour les entreprises en quête d'informations sur les marchés, la numérisation et les innovations industrielles

Discord : Le repli le plus public et ce qu'il révèle

Discord est la seule grande entreprise à avoir publiquement mis fin à son partenariat avec Persona, en fournissant une explication claire – un rare exemple de transparence dans le secteur. En janvier 2026, Discord a déployé Persona au Royaume-Uni à des fins de vérification d'âge, dans le cadre d'un programme pilote confidentiel. Lorsque ce partenariat a été révélé au grand public, il a provoqué une vive réaction des utilisateurs. Le directeur technique de Discord, Stanislav Vishnevskiy, a admis que l'entreprise avait manqué à ses obligations de communication. La situation a véritablement dégénéré lorsque des chercheurs en sécurité ont non seulement découvert le lien avec le Founders Fund de Peter Thiel, mais aussi une page d'assistance archivée mentionnant que Persona conservait les données pendant sept jours – contredisant ainsi les déclarations précédentes de l'entreprise concernant une suppression quasi instantanée.

Par la suite, Discord a formulé de nouvelles exigences claires pour tous ses futurs partenaires de vérification : les données biométriques doivent être traitées intégralement sur l’appareil de l’utilisateur et ne doivent pas le quitter. Persona ne respectait pas cette norme et a donc été exclue du contrat. Cette exigence est révolutionnaire, tant du point de vue technique que de la protection des données : elle définit le traitement sur l’appareil comme la norme minimale pour la vérification biométrique de l’âge. Le fait qu’aucun autre client important de Persona n’ait publiquement exigé cette norme montre à quel point le secteur est encore loin de cette approche. Pour ne rien arranger, Discord était également confronté à une autre fuite de données, concomitante à l’affaire Persona : chez un autre fournisseur de vérification d’âge, les pièces d’identité officielles d’environ 70 000 utilisateurs ont été compromises, une situation qui a mis en évidence le risque structurel lié à l’externalisation des contrôles biométriques auprès de prestataires tiers.

VRChat : Vérification d’identité en réalité virtuelle

VRChat, la plateforme de réalité virtuelle sociale qui compte une communauté internationale d'utilisateurs fidèles, a également choisi Persona comme partenaire pour la vérification de l'âge. Face au renforcement des exigences réglementaires pour les plateformes en ligne, notamment au Royaume-Uni et dans l'Union européenne, VRChat a été contraint de mettre en place un système de vérification de l'âge. Le système retenu : Persona. La réaction de la communauté a été vive. Les forums d'utilisateurs ont été inondés d'analyses détaillées de l'infrastructure de Persona, de références au lien avec le Thiel Founders Fund et d'appels collectifs à reconsidérer ce choix.

VRChat souligne dans ses communications officielles qu'elle ne reçoit ni images de pièces d'identité ni scans faciaux, mais uniquement une valeur de hachage confirmant la vérification. Persona affirme également ne recevoir aucune information sur l'identité de l'utilisateur au sein de VRChat. Ceci est conforme à l'architecture de protection des données de Persona, mais du point de vue de la confidentialité des données, il ne s'agit que d'une solution partielle : Persona possède l'intégralité des données biométriques brutes, indépendamment de celles partagées avec la plateforme. Les utilisateurs européens de la communauté VRChat soulignent à juste titre que la technologie eID, qui permet la vérification de l'âge sans transmission de données biométriques, constitue une alternative sécurisée, mais n'est explicitement pas prise en charge par Persona. Du point de vue de la protection des données en Europe, ce refus est difficilement justifiable.

Upwork : Quand la vérification d’identité devient une exigence d’emploi

Sur Upwork, la plus grande plateforme de freelancing au monde, la vérification d'identité a un impact économique direct. Les freelances sont tenus de vérifier leur identité, soit de leur propre initiative en payant 35 Connects (la monnaie interne de la plateforme), soit de force lors de demandes de prêts, de missions spécifiques aux États-Unis ou après la suspension de leur compte. Ceux qui ne procèdent pas à la vérification dans un délai de sept jours risquent la suspension de leur compte.

Ceci est remarquable à plusieurs égards. Premièrement, Upwork lie directement la vérification biométrique à la participation économique : toute personne souhaitant travailler et être rémunérée doit être vérifiée, et cette vérification s’effectue via une infrastructure américaine tierce. Pour les travailleurs indépendants de l’UE, cela implique le transfert de leurs données biométriques vers un système juridique américain, sans alternative réaliste. Deuxièmement, Upwork autorise des revérifications systématiques : des utilisateurs signalent être sollicités pour vérifier leur identité à plusieurs reprises, même sans raison apparente. Troisièmement, la communication d’Upwork concernant l’étendue du traitement des données est vague : la plateforme décrit la vérification comme un contrôle d’identité sans préciser les flux de données exacts vers Persona ni ses politiques de stockage des données.

L'infrastructure gouvernementale cachée : ce que révèle la fuite du code source

L'aspect véritablement inquiétant de l'infrastructure de Persona ne réside pas dans ce que l'entreprise communique publiquement, mais plutôt dans ce qu'une erreur de configuration fortuite a révélé. En février 2026, des chercheurs en sécurité ont découvert que 53 mégaoctets de code source de la plateforme gouvernementale de Persona étaient accessibles publiquement, sans qu'aucune attaque ni accès non autorisé n'ait été constaté. Le système de compilation Vite avait laissé des cartes de code source accessibles à tous : une faille de conception qui a exposé l'intégralité de l'architecture interne.

Les découvertes des chercheurs ont dépassé leurs attentes : 2 456 fichiers sources documentant 269 contrôles de vérification différents. La plateforme, déployée sur une infrastructure gouvernementale certifiée FedRAMP sous le nom d’ONYX, comprend des modules complets pour la soumission directe de déclarations d’activités suspectes (DAS) au FinCEN, le réseau d’enquête financière du département du Trésor américain, et à son homologue canadien, FINTRAC. Elle intègre des bases de données biométriques faciales comparées à des listes de surveillance, des modules de reconnaissance faciale pour les PPE (personnes politiquement exposées) et 13 types de listes de suivi, incluant les visages, les empreintes digitales de navigateur et les données de géolocalisation. Le code indique clairement que les listes biométriques faciales peuvent être conservées jusqu’à 1 095 jours, soit trois ans. Simultanément, un nouveau sous-domaine nommé onyx.withpersona-gov.com apparaît dans les journaux de transparence des certificats. Ce sous-domaine est temporellement lié à l'outil Fivecast ONYX, un outil de surveillance basé sur l'IA commandé par l'ICE pour 4,2 millions de dollars et qui génère des évaluations des risques liés aux réseaux sociaux et au dark web. Il n'a pas été formellement établi si cette coïncidence de noms est fortuite ou s'il existe un lien structurel. En revanche, il est avéré que l'infrastructure gouvernementale de Persona repose sur la même base technique que l'infrastructure commerciale qui alimente LinkedIn, Reddit et OpenAI.

Le double rôle de FedRAMP et de Persona

Un aspect souvent négligé dans le débat public est la certification FedRAMP de Persona. FedRAMP (Federal Risk and Authorization Management Program) est le système américain de certification de la sécurité des services cloud pour les agences fédérales. En octobre 2025, Persona a obtenu la certification FedRAMP Low Impact Authorized et est en bonne voie pour obtenir la certification FedRAMP Moderate Ready. Persona est donc désormais un fournisseur d'infrastructure accrédité pour les agences fédérales américaines. La plateforme commerciale qui vérifie les utilisateurs de LinkedIn et la plateforme gouvernementale qui effectue les contrôles d'identité pour les agences fédérales relèvent ainsi de la même entité : techniquement distinctes par leurs déploiements, mais juridiquement et organisationnellement au sein de la même structure d'entreprise.

Pour les utilisateurs européens, c'est crucial car cela donne une nouvelle dimension à la question du CLOUD Act. Ce dernier oblige les entreprises américaines à donner accès aux données aux autorités américaines sur simple demande, quel que soit l'emplacement du serveur. Une entreprise qui traite simultanément des données biométriques commerciales de millions d'utilisateurs dans le monde et qui est un fournisseur d'infrastructure accrédité auprès des agences fédérales américaines illustre une situation où la frontière entre service commercial et infrastructure gouvernementale est structurellement floue. Il ne s'agit pas d'une suspicion, mais d'une description du modèle économique.

Ce que les utilisateurs doivent savoir et faire

Comprendre l'infrastructure des personas change notre façon d'évaluer une décision en apparence simple : dois-je faire vérifier mon profil LinkedIn ? L'augmentation de 60 % du nombre de vues de profil est tentante. Mais la vraie question est : quel est mon intérêt ? La réponse est complexe.

Toute personne qui vérifie son identité via Persona sur LinkedIn, Reddit, OpenAI ou Roblox transmet ses données biométriques à une entreprise américaine, fournisseur d'infrastructure gouvernementale certifié FedRAMP, dirigée par Founders Fund (le fonds de Peter Thiel), qui partage le même président fondateur que Palantir. La fuite de son code source révèle une infrastructure de surveillance bien plus complexe qu'une simple vérification d'identité. Les résidents de l'UE disposent d'un droit d'accès, d'effacement et d'opposition en vertu du RGPD. Les demandes de suppression de données auprès de Persona peuvent être soumises directement via une DSAR (Demande d'accès aux données personnelles). Cependant, plusieurs utilisateurs signalent que Persona répond à ces demandes par des réponses automatisées et vagues.

Pour les plateformes elles-mêmes, la leçon à tirer de la décision de Discord est claire : le traitement sur l’appareil doit devenir la norme, et non l’exception. La vérification de l’âge ne doit pas nécessairement impliquer le transit de données biométriques brutes par une infrastructure serveur américaine. Les systèmes d’identité électronique européens, les portefeuilles d’identité nationaux et les architectures de vérification décentralisées constituent des alternatives techniques. Leur non-utilisation relève d’un choix politique et économique, et non d’une nécessité technique.

La question structurelle : qui construit l'Internet des identités ?

Cet inventaire ne fournit pas de réponses, mais soulève une question de plus en plus urgente : qui devrait contrôler l’infrastructure d’identité d’Internet ? D’ici 2026, la réponse de facto sera une entreprise privée de San Francisco, financée par Peter Thiel, qui cumulera les rôles de fournisseur commercial de services KYC et d’infrastructure accréditée par le gouvernement américain. LinkedIn a vérifié 100 millions de profils via ce système. Reddit vérifie les tranches d’âge sous la pression britannique, qui s’étendra bientôt à l’ensemble de l’UE. Roblox soumet 151 millions d’utilisateurs quotidiens à une reconnaissance faciale obligatoire. OpenAI exige une vérification biométrique pour accéder aux modèles d’IA les plus puissants au monde.

Cette concentration n'est pas inévitable. Elle résulte de décisions de marché prises dans un contexte de faible contrôle réglementaire et de manque de transparence. La loi européenne sur l'IA, le RGPD et le paquet numérique de l'UE fournissent les outils juridiques nécessaires pour encadrer cette concentration et promouvoir des alternatives européennes. Ce qui fait défaut, c'est la volonté politique de les faire appliquer, et la prise de conscience du public que la question de la gestion de l'image publique n'est pas un détail technique, mais un enjeu fondamental d'autonomie démocratique à l'ère numérique.