L’article 8 du RGPD encadre le consentement des enfants aux services en ligne : en dessous d’un âge fixé par chaque État membre entre 13 et 16 ans, le consentement doit être donné ou autorisé par le titulaire de l’autorité parentale, et l’entreprise doit faire des efforts raisonnables pour le vérifier. En France, cet âge est de 15 ans. L’article ne s’applique qu’aux traitements fondés sur le consentement et proposés directement aux mineurs.
L’essentiel
- Seuil européen : 16 ans, abaissable à 13 ans par les États. France : 15 ans (loi Informatique et Libertés, article 45).
- Champ limité : les services en ligne offerts directement aux enfants, lorsque le traitement repose sur le consentement.
- Obligation de moyens : des efforts raisonnables pour vérifier l’autorisation parentale, selon les technologies disponibles.
- Les traitements fondés sur le contrat ou l’intérêt légitime (école, club, séjour) ne relèvent pas de l’article 8, mais les données de mineurs restent un facteur de risque élevé.
Ce que dit l’article 8
| Paragraphe | Ce que dit le texte |
|---|---|
| 8.1 – Âge | Pour l’offre directe de services de la société de l’information aux enfants, le traitement fondé sur le consentement est licite si l’enfant a au moins 16 ans ; en dessous, il est licite seulement si le consentement est donné ou autorisé par le titulaire de la responsabilité parentale. Les États membres peuvent prévoir un âge inférieur, sans descendre sous 13 ans. |
| 8.2 – Vérification | Le responsable du traitement s’efforce raisonnablement de vérifier que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale, compte tenu des moyens technologiques disponibles. |
| 8.3 – Droit des contrats | L’article ne porte pas atteinte au droit général des contrats des États membres, notamment aux règles sur la validité, la formation ou les effets d’un contrat impliquant un enfant. |
En France, l’article 45 de la loi Informatique et Libertés fixe le seuil à 15 ans et prévoit qu’en dessous, le consentement est donné conjointement par le mineur et le titulaire de l’autorité parentale.
Ce que cela change pour une PME
Savoir si vous êtes concerné
L’article 8 vise les services en ligne (application, jeu, réseau social, plateforme éducative, newsletter) proposés directement aux mineurs et fondés sur le consentement. Une école, un club sportif ou un organisme de séjours linguistiques traitent les données des enfants sur la base du contrat signé par les parents ou d’une mission d’intérêt public : l’article 8 ne s’applique pas, mais les principes généraux et la vigilance renforcée envers les mineurs, oui.
Organiser l’autorisation parentale
Lorsque l’article s’applique, la méthode doit être proportionnée au risque : une adresse e-mail du parent avec confirmation pour une newsletter ; une vérification plus forte (paiement, document, appel) pour un service qui collecte des données sensibles ou permet des interactions entre utilisateurs. La CNIL a publié des recommandations sur les mécanismes de vérification de l’âge.
Adapter l’information
Les informations prévues aux articles 13 et 14 doivent être compréhensibles par un enfant lorsqu’elles s’adressent à lui : phrases courtes, vocabulaire simple, et une version pour les parents.
Renforcer la protection par défaut
Profil privé par défaut, géolocalisation désactivée, pas de publicité ciblée ni de profilage, durées de conservation courtes : ces réglages relèvent de la protection des données par défaut de l’article 25, et le traitement à grande échelle de données de mineurs impose en général une analyse d’impact.
Respecter les droits du mineur devenu majeur
Une personne qui a consenti enfant peut demander l’effacement de ses données une fois adulte ; l’article 17 le prévoit expressément, et le règlement y attache une importance particulière.
Ce que les autorités ont sanctionné ou encadré
| Décision ou texte | Portée | Ce qu’il faut retenir |
|---|---|---|
| TikTok – autorité irlandaise (DPC), 15 septembre 2023 | 345 millions d’euros | Comptes d’enfants publics par défaut, mécanisme de « jumelage familial » permettant à un adulte non vérifié de modifier les réglages, information inadaptée aux mineurs. Décision rendue au titre des articles 5, 12, 13, 24 et 25, en lien direct avec la protection des mineurs. |
| CNIL – délibération n° 2021-067 du 9 août 2021 | Recommandations | Huit recommandations pour renforcer la protection des mineurs en ligne, dont la recherche du consentement d’un parent pour les moins de 15 ans et des réglages protecteurs par défaut. |
| CNIL et Arcom – référentiel de juillet 2022 | Référentiel technique | Exigences pour les mécanismes de vérification de l’âge : efficacité, respect de la vie privée, recours à un tiers de confiance. |
En France, la CNIL a surtout agi sur ce sujet par des recommandations, des référentiels et des contrôles ; la décision irlandaise contre TikTok montre le niveau de sanction atteint en Europe lorsque les réglages par défaut d’un service exposent des mineurs.
Les questions que je pose en audit
- Votre service ou votre site est-il utilisé par des mineurs, même s’il ne leur est pas destiné ?
- Sur quelle base légale traitez-vous leurs données : consentement, contrat signé par les parents, mission d’intérêt public ?
- Si c’est le consentement, comment recueillez-vous et vérifiez-vous l’autorisation d’un parent ?
- Vos réglages par défaut sont-ils les plus protecteurs (profil privé, pas de géolocalisation, pas de publicité ciblée) ?
- L’information est-elle rédigée pour être comprise par un enfant, et une version existe-t-elle pour les parents ?
- Comment circulent les photos, fiches sanitaires et listes de participants entre vos équipes et vos prestataires ?
- Un mineur devenu majeur peut-il facilement demander l’effacement de ses données ?
Prêt à l’emploi : la mention d’autorisation parentale
Pour un service en ligne fondé sur le consentement (moins de 15 ans) : « Tu as moins de 15 ans ? Pour créer ton compte, un de tes parents doit donner son accord. Indique son adresse e-mail : nous lui enverrons un message pour qu’il confirme. Tes données ne seront pas utilisées tant qu’il n’a pas répondu. »
Pour les parents (e-mail de confirmation) : « Votre enfant souhaite créer un compte sur [service]. Nous collecterons [données] pour [finalité]. Vous pouvez autoriser cette inscription en cliquant ci-dessous, et retirer votre accord à tout moment depuis [lien]. Sans réponse sous 15 jours, les informations saisies seront supprimées. »
Pour une école ou un organisme (usage facultatif, par exemple la diffusion de photos) : « J’autorise [organisme] à utiliser les photographies de mon enfant sur [supports précis] pour [durée]. Cette autorisation est facultative et révocable à tout moment par e-mail à [adresse]. »
Et en Suisse ?
La nLPD ne fixe pas d’âge de consentement numérique : la capacité d’un mineur à consentir s’apprécie selon sa capacité de discernement, en pratique souvent reconnue à partir de 12 à 14 ans pour des traitements simples, et l’autorité parentale intervient en dessous. Les données de mineurs appellent les mêmes réglages protecteurs par défaut qu’en droit européen. Voir le guide nLPD.
Ce que je constate en mission. Dans les écoles, les organismes de séjours linguistiques et les services périscolaires que j’accompagne, la question n’est presque jamais l’article 8, qui ne s’applique pas à eux, mais la circulation des données des enfants : photos partagées sur des messageries personnelles, fiches sanitaires envoyées par e-mail, listes transmises à des prestataires sans contrat. La vigilance renforcée envers les mineurs se joue dans ces pratiques quotidiennes plus que dans le formulaire d’inscription.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Quel âge retenir pour un service accessible dans plusieurs pays ?
Celui du pays de résidence de l’enfant : 15 ans en France, 16 ans en Allemagne ou aux Pays-Bas, 13 ans en Belgique ou au Royaume-Uni, par exemple. Un service européen applique le seuil le plus protecteur ou adapte son parcours selon le pays déclaré.
Un enfant de 12 ans peut-il créer un compte sur notre application ?
Seulement avec l’autorisation d’un parent, recueillie et vérifiée par un moyen raisonnable, et avec une information adaptée à son âge. Sans cela, le traitement fondé sur son consentement est illicite.
Une école doit-elle demander le consentement des parents pour tout ?
Non : la scolarité, les inscriptions et la cantine reposent sur la mission d’intérêt public ou le contrat. Le consentement ne se justifie que pour les usages facultatifs, comme la diffusion de photos sur le site ou les réseaux sociaux.
Vérifier vos traitements de données de mineurs
Nous accompagnons des établissements scolaires, des organismes de séjours et des collectivités sur leurs activités avec des mineurs. Un audit RGPD identifie les traitements concernés et les mesures à renforcer ; le guide RGPD et écoles détaille les points de vigilance du secteur.
👨👩👧 Devez-vous recueillir le consentement parental ?
Sources
- Règlement (UE) 2016/679, article 8
- Loi Informatique et Libertés, article 45 (Légifrance)
- CNIL – Les droits numériques des mineurs
- CNIL – Les droits numériques des mineurs (recommandations et référentiel)
- Donneespersonnelles.fr – Article 8 RGPD, sanctions DPC et AP
