Données des mineurs et RGPD : ce que doit faire un organisme

Clubs sportifs, associations, organismes de formation, boutiques en ligne, applications : tous collectent des informations sur des enfants. Le cadre applicable aux données des mineurs au regard du RGPD ne se limite pas à une règle d'âge. Il combine le règlement européen, la loi Informatique et Libertés, les recommandations de la CNIL et, pour les plateformes, le règlement sur les services numériques (DSA).

Quelles règles s'appliquent aux données d'un enfant ?

Toutes les règles du RGPD s'appliquent, avec une exigence renforcée. Le considérant 38 rappelle que les enfants méritent une protection spécifique, car ils sont moins conscients des risques.

Le tableau situe les textes selon la situation. Le traitement des données des mineurs selon le RGPD dépend d'abord du service et de la base légale, avant l'âge.

Le seuil de 15 ans : un champ plus étroit qu'on ne le croit

L'article 8 du RGPD fixe à 16 ans l'âge à partir duquel un enfant peut consentir seul, pour l'offre directe de services de la société de l'information, lorsque le traitement repose sur le consentement. Les États peuvent abaisser ce seuil, sans descendre sous 13 ans. La France a retenu 15 ans à l'article 45 de la loi Informatique et Libertés. En dessous, le consentement est donné conjointement par le mineur et le ou les titulaires de l'autorité parentale.

Ce seuil ne crée pas de majorité numérique générale, comme le souligne la CNIL dans sa recommandation 1. Selon sa recommandation 4, l'accord d'un seul parent suffit en principe, l'autre étant présumé d'accord, à condition qu'il puisse s'y opposer. Les conditions de validité sont détaillées dans notre article sur le consentement RGPD.

Quelle base légale choisir en dehors du consentement ?

La plupart des traitements d'un club, d'une école ou d'un organisme de formation ne reposent pas sur le consentement. La base légale se choisit par finalité, et c'est elle qui détermine si la règle des 15 ans s'applique.

• Contrat : l'adhésion ou l'inscription. Pour la CNIL, un mineur peut, à partir de 15 ans et selon sa maturité, conclure certains contrats en ligne portant sur ses données.
• Obligation légale ou mission d'intérêt public : fréquentes pour les établissements d'enseignement.
• Intérêt légitime : l'article 6, paragraphe 1, point f) impose une vigilance particulière lorsque la personne est un enfant. Voir notre article sur le test de mise en balance.
• Consentement : pour les usages facultatifs, comme une newsletter.

Comment informer un mineur ?

L'information doit être rédigée en des termes clairs et simples que l'enfant peut comprendre. L'article 12 du RGPD vise expressément l'information destinée à un enfant, comme le considérant 58 et l'article 45 de la loi française.

Prévoyez deux niveaux : une version courte adaptée à l'âge, et une version complète pour les parents. Les mentions sur les données des mineurs au regard du RGPD expliquent simplement à quoi servent les informations, qui les voit et comment les supprimer.

Qui exerce les droits : le mineur ou ses parents ?

En principe, les parents, en tant que représentants légaux. La CNIL admet, dans sa recommandation 2, que le mineur exerce seul ses droits lorsqu'il s'agit d'un acte courant servant son intérêt, par exemple sur les réseaux sociaux.

Le droit à l'effacement est renforcé. L'article 17, paragraphe 1, point f) du RGPD vise les données collectées pour des services de la société de l'information. En France, l'article 51 de la loi Informatique et Libertés impose d'effacer dans les meilleurs délais les données collectées en ligne lorsque la personne était mineure. Sans effacement ni réponse dans un délai d'un mois, la personne peut saisir la CNIL, qui se prononce dans un délai de trois semaines. Voir notre guide sur les demandes de droits.

Vérifier l'âge sans collecter trop de données

Le RGPD demande au responsable de faire des efforts raisonnables pour vérifier l'accord parental, compte tenu des moyens technologiques disponibles (article 8, paragraphe 2). La CNIL l'encadre dans sa recommandation 7 et dans sa publication de juillet 2022.

• Adapter le contrôle au risque : pas de système purement déclaratif pour les traitements à risque.
• Limiter la collecte et ne rien conserver après la vérification.
• Privilégier un tiers vérificateur indépendant à la collecte directe de pièces d'identité.
• Écarter la reconnaissance faciale, jugée disproportionnée.

Plateformes en ligne : publicité ciblée et paramétrage protecteur

L'article 28 du DSA impose aux plateformes en ligne accessibles aux mineurs un niveau élevé de vie privée, de sûreté et de sécurité. Il leur interdit d'afficher une publicité fondée sur le profilage lorsqu'elles savent avec une certitude raisonnable que l'utilisateur est mineur, sans les obliger à collecter davantage de données pour le savoir.

La CNIL recommande en outre, dans sa recommandation 8, des paramètres protecteurs par défaut et la désactivation par défaut du profilage des mineurs. Les personnes vulnérables, dont les enfants, figurent parmi les neuf critères de l'AIPD : un traitement qui en réunit deux doit faire l'objet d'une analyse d'impact. Pour les données des mineurs au regard du RGPD, ce critère est donc rempli d'emblée : un seul autre critère suffit à rendre l'analyse obligatoire.

La décision n° 2026-911 DC du 14 août 2026 relève que la loi ne fixait ni les conditions ni les limites de la vérification de l'âge. Le traitement des données des mineurs au regard du RGPD reste donc régi par les textes rappelés plus haut.

À retenir

• Le seuil de 15 ans ne vaut que pour les services en ligne fondés sur le consentement ; en dessous, le consentement est conjoint.
• Hors consentement, choisissez une base légale par finalité.
• Rédigez une information compréhensible par l'enfant et une version pour les parents.
• Effacez sans tarder, sur demande, les données collectées en ligne auprès d'un mineur : la CNIL peut être saisie au bout d'un mois.
• Vérifiez l'âge de façon proportionnée et désactivez par défaut le profilage des mineurs.