Données personnelles des enfants en 2026 : RGPD, DSA et protection des données dès la conception

Les données des enfants exigent une vigilance particulière sur les plateformes, jeux, applications, services éducatifs et réseaux sociaux. Un utilisateur mineur influe sur l’information, la conception, la publicité, le profilage et les réglages par défaut.

En 2026, la protection des données relatives aux enfants dans l'Union européenne ne se limite pas au RGPD. La Loi sur les services numériques (DSA) introduit également des obligations supplémentaires en matière de sécurité en ligne des enfants et de publicité ciblée.

Comment le RGPD protège-t-il les enfants?

Le RGPD reconnaît que les données personnelles des enfants méritent une protection spéciale.

Cette protection importe particulièrement dans les domaines suivants :

la commercialisation,
création de profils,
les services en ligne,
information pour l ' enfant

Ces domaines exigent une vigilance particulière.

RGPD article 8 : le seuil de 16 ans

Pour les services de la société de l’information directement offerts aux enfants sur consentement selon l’article 6(1)(a), l’article 8 fixe le seuil par défaut à 16 ans.

Si l'enfant est âgé de moins de 16 ans, le consentement doit être accordé ou approuvé par la personne responsable de la responsabilité parentale.

Âge de 16 ans dans chaque pays de l'UE?

Non. Les États membres peuvent abaisser ce seuil en droit national, mais pas en dessous de 13 ans.

Par conséquent, la mise en œuvre automatique d'une règle d'âge unique pour l'ensemble de l'UE dans les produits numériques multipays peut ne pas être correcte.

L'article 8 s'applique-t-il à tout traitement de données?

Non. L’article 8 vise spécifiquement le consentement selon l’article 6(1)(a) pour les services directement offerts aux enfants.

Il n'est pas justifié de réduire automatiquement chaque processus impliquant des données relatives à l'enfant à la limite d'âge prévue à l'article 8.

Comment le consentement parental devrait - il être confirmé?

Le RGPD exige que le responsable du traitement des données fasse des efforts raisonnables pour vérifier le consentement de la personne responsable parentale, en tenant compte des technologies existantes.

Il est également important que le mécanisme de vérification ne recueille pas trop de données à caractère personnel.

renseignements sur la vie privée de l'enfant

Présenter une information claire et simple, compréhensible par l’enfant.

L'édition de textes juridiques longs et techniques à elle seule n'apporte pas de transparence significative.

Protection supplémentaire avec DSA

La loi sur les services numériques comporte des obligations de produits et de plateformes qui vont au-delà du RGPD pour protéger les enfants sur les plateformes en ligne.

Publicité ciblée et profilée pour les enfants

Le DSA interdit la publicité ciblée fondée sur le profilage lorsque la plateforme sait avec une certitude raisonnable que l’utilisateur est mineur.

Cette règle affecte directement les modèles de plateformes qui segmentent la publicité avec des données enfant.

Directives concernant la protection des mineurs

Le 14 juillet 2025, la Commission européenne a publié un guide sur la protection des enfants en vertu du DSA.

Le guide aborde notamment :

Une forte protection par défaut,
conception sûre,
Les risques de conception addictive,
contact indésirable,
contenu nocif

Ces sujets sont centraux.

Confidentialité par défaut

Il faut évaluer davantage les options de protection au lieu de configurer les paramètres par défaut du compte enfant au niveau le plus ouvert possible.

Le fait de modifier manuellement des dizaines de paramètres pour protéger la vie privée des utilisateurs n'est pas une bonne approche de la vie privée par conception.

Risques d’interfaces manipulatrices (dark patterns)

Il faudrait aussi évaluer les interfaces manipulatrices qui amènent l'enfant à partager davantage de données, à détendre le cadre de protection de la vie privée ou à consacrer plus de temps au service.

Assurance de l'âge

Pour que les enfants soient protégés, certains services peuvent nécessiter la détermination du groupe d'âge de l'utilisateur.

La vérification de l’âge ne doit pas devenir une collecte excessive de données.

Minimisation des données

Collecter des données « au cas où elles serviraient plus tard » accroît le risque pour les produits destinés aux enfants.

Pour chaque champ de données:

Pourquoi c'est nécessaire,
La durée de conservation,
Les personnes pouvant y accéder

Il faut déterminer.

Systèmes de profilage et de recommandation

Si les systèmes de recommandation de contenu utilisent fortement le comportement des enfants pour créer des profils, la protection des données et les risques de DSA peuvent être augmentés.

Quand la DPIA entre-t-elle à l'ordre du jour?

L'évaluation de l'impact sur la protection des données devrait être examinée au titre de l'article 35 du RGPD dans le cadre du profilage à haut risque, du suivi systématique ou de procédures similaires qui traitent les données relatives aux enfants.

L’exigence d’AIPD dépend des risques du traitement concret.

Liste de contrôle des données pour enfants

Les scénarios d'utilisation ont-ils été déterminés que l'utilisateur peut être un enfant?
L'article 8 est-il réellement appliqué?
La limite d'âge a-t-elle été vérifiée dans le pays concerné?
Y a-t-il une confirmation raisonnable si le consentement parental est requis?
L'information sur la vie privée peut-elle être comprise par l'enfant?
Les paramètres de compte par défaut sont-ils protégés?
L'annonce basée sur le profilage a-t-elle été vérifiée?
Les obligations du DSA relatives à la protection des mineurs ont-elles été évaluées ?
La minimisation des données est-elle mise en œuvre?
Le besoin d’une AIPD a-t-il été évalué ?

L'approche B10

B 10 Digital Agency examine la protection des enfants au-delà des textes : UX, réglages, suivi, profilage, analyse et flux techniques sont évalués ensemble.

Cadre de référence officiel

Ce guide a été mis à jour en ce qui concerne l'article 8 du RGPD, les dispositions de la loi sur les services numériques relatives à la protection des enfants et le document de la Commission européenne sur les lignes directrices relatives à la protection des mineurs, daté du 14 juillet 2025.

Conclusion

Dans les données sur les enfants, la conformité n'est pas seulement ajouter la zone d'âge correcte. Le consentement, le profilage, la publicité, la confidentialité par défaut, la conception de l'interface et la réduction au minimum des données devraient être évalués ensemble dès la conception du produit.

Ce contenu est à titre d'information générale seulement.