Les entreprises du numérique qui préparaient l’échéance du 1er septembre 2026 ont vu leur calendrier bouleversé. Le Conseil constitutionnel a déclaré contraire à la Constitution, le 14 août 2026, l’article 1er de la loi visant à protéger les mineurs des risques auxquels les expose l’utilisation des réseaux sociaux, qui interdisait l’accès des mineurs de quinze ans à ces services (Cons. const., déc. n° 2026-911 DC du 14 août 2026, https://www.conseil-constitutionnel.fr/decision/2026/2026911DC.htm). L’analyse complète de cette décision et de ses conséquences pour les familles est développée dans notre étude consacrée à la censure de l’interdiction des réseaux sociaux aux moins de quinze ans (https://kohenavocats.com/censure-interdiction-reseaux-sociaux-moins-15-ans-conseil-constitutionnel/).
La tentation, pour un opérateur, est d’interrompre les développements engagés et de classer le sujet. Ce serait une erreur d’appréciation. La censure supprime une obligation qui n’était pas encore née ; elle ne touche à aucune des obligations déjà en vigueur en matière de données personnelles des mineurs. Or ces obligations sont contraignantes, sanctionnées, et largement sous-appliquées.
La présente note examine ce qui disparaît, ce qui demeure, ce que la décision enseigne sur la conception d’un dispositif de vérification d’âge, et les mesures qu’un opérateur avisé conserve à son programme de conformité.
I. Ce que la censure retire, et ce qu’elle ne touche pas
A. Une obligation qui n’a jamais existé
L’article censuré insérait un article 6-9 dans la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique. Son entrée en vigueur était fixée au 1er septembre 2026, avec un délai supplémentaire de quatre mois pour les comptes créés antérieurement.
Aucune entreprise n’a donc jamais été soumise à cette interdiction, et aucune ne le sera sous cette forme. Les projets de fermeture de comptes de mineurs, les campagnes d’information des utilisateurs et les développements de blocage d’accès conçus pour cette échéance sont devenus sans objet.
B. Un socle inchangé
En revanche, la décision ne modifie ni le règlement général sur la protection des données, ni le règlement sur les services numériques, ni la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, ni le régime de responsabilité des hébergeurs de la loi du 21 juin 2004. Le Conseil constitutionnel s’est prononcé sur un article de loi française ; il ne s’est prononcé ni sur le droit de l’Union ni sur les textes antérieurs.
La conséquence opérationnelle mérite d’être énoncée sans détour. Un opérateur qui traite des données de mineurs reste soumis aujourd’hui, comme il l’était le 13 août 2026, à des obligations dont la méconnaissance est sanctionnée par la Commission nationale de l’informatique et des libertés.
II. Le socle applicable aux données des mineurs
A. Le consentement parental conjoint sous quinze ans
L’obligation la plus directement pertinente est souvent la moins connue. L’article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, pris en application de l’article 8 du règlement général sur la protection des données, fixe à quinze ans l’âge à partir duquel un mineur peut consentir seul à un traitement de ses données personnelles s’agissant de l’offre directe de services de la société de l’information.
En deçà, la règle est exigeante : le traitement n’est licite que si le consentement est donné conjointement par le mineur concerné et par le ou les titulaires de l’autorité parentale (https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes).
Deux précisions s’imposent pour éviter les contresens fréquents. D’une part, ce texte ne fixe pas un âge d’accès aux services : il conditionne la licéité du traitement lorsque celui-ci repose sur le consentement. D’autre part, le consentement doit être double, celui de l’enfant et celui du parent, et non le seul consentement parental.
Le responsable de traitement doit en outre s’efforcer raisonnablement de vérifier que le consentement est bien donné par le titulaire de l’autorité parentale, compte tenu des moyens technologiques disponibles. C’est précisément le point où l’absence d’un cadre légal de vérification d’âge, relevé par le Conseil constitutionnel, se fait sentir en pratique.
B. Une obligation qui suppose de connaître l’âge
Il existe une tension bien connue des directions juridiques : le responsable de traitement doit adapter son traitement à l’âge de l’utilisateur, mais la collecte de données destinée à établir cet âge constitue elle-même un traitement, soumis aux principes de minimisation et de proportionnalité.
Cette tension est exactement celle que le Conseil constitutionnel a identifiée au considérant 20 de sa décision, en relevant que l’interdiction impliquait, par elle-même, que toute personne, même majeure, fasse la preuve de son âge avant d’accéder au service. Le législateur ne pouvait imposer cette preuve sans en déterminer les conditions et les limites.
Pour un opérateur, la leçon est méthodologique. Un dispositif de vérification d’âge qui collecte une pièce d’identité, la conserve et l’associe au compte de l’utilisateur cumule les risques : disproportion au regard de la finalité, création d’une base de données d’identité sans nécessité, et exposition en cas de violation de données.
III. Ce que la décision enseigne sur la conception d’un dispositif de vérification d’âge
A. Le modèle du double anonymat
Le motif de censure tiré de la vie privée n’invalide pas la vérification d’âge en tant que telle. Il sanctionne l’absence de garanties légales encadrant une vérification imposée à tous.
Le contraste avec le dispositif applicable aux contenus pornographiques est éclairant. La loi du 21 mai 2024 a confié à l’Autorité de régulation de la communication audiovisuelle et numérique le soin d’établir un référentiel des exigences techniques minimales applicables aux systèmes de vérification de l’âge, ce qu’elle a fait par une délibération n° 2024-20 du 9 octobre 2024. Ce référentiel repose sur le principe du double anonymat : le service consulté n’apprend pas l’identité de l’utilisateur, et le tiers de confiance qui atteste de l’âge n’apprend pas quel service est consulté.
Saisi de recours contre cette délibération, le Conseil d’État a refusé de transmettre au Conseil constitutionnel les questions prioritaires de constitutionnalité soulevées par deux sociétés éditrices, jugeant qu’elles n’étaient ni nouvelles ni sérieuses, et relevant que le dispositif législatif fondant le référentiel avait déjà été déclaré conforme à la Constitution (CE, 5e-6e ch. réunies, 10 juin 2025, n° 499624, https://www.legifrance.gouv.fr/ceta/id/CETATEXT000051713673 ; Cons. const., déc. n° 2024-866 DC du 17 mai 2024, https://www.conseil-constitutionnel.fr/decision/2024/2024866DC.htm).
Un enseignement pratique s’en dégage pour tout opérateur qui conçoit aujourd’hui une solution d’âge : l’architecture technique qui a survécu au contrôle juridictionnel est celle qui sépare l’attestation d’âge de l’identification de l’utilisateur. Les investissements déjà réalisés dans cette direction conservent leur valeur, quelle que soit la rédaction du futur texte.
B. Le sort des développements engagés
Les entreprises qui avaient anticipé l’échéance de septembre se trouvent devant un arbitrage. L’abandon pur et simple expose à devoir tout reprendre : une réécriture législative est annoncée, la presse spécialisée faisant état d’une nouvelle rédaction confiée au Premier ministre en vue d’une application au printemps 2027.
La conservation du dispositif, en revanche, présente un double avantage. Elle prépare l’échéance suivante et elle sert dès maintenant la conformité au règlement général sur la protection des données, en permettant d’appliquer aux utilisateurs identifiés comme mineurs les mesures renforcées que ce texte impose, notamment en matière d’information adaptée, de paramétrage par défaut et de limitation de la publicité ciblée.
Le seul choix réellement risqué est l’attentisme complet, qui consiste à démanteler l’existant en pariant sur l’absence de toute obligation future.
IV. Le risque de sanction
A. Une compétence bien établie de la CNIL
Le traitement des données de mineurs sans base légale valable expose le responsable de traitement aux mesures correctrices du règlement général sur la protection des données : mise en demeure, injonction sous astreinte, limitation du traitement et amende administrative, dont le plafond atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves.
Ce risque ne dépend d’aucune loi nouvelle. Il est actuel, et il concerne autant les grandes plateformes que les éditeurs français d’applications, de jeux en ligne et de services collaboratifs dont l’audience comprend des mineurs.
B. La charge de la preuve
Le point sensible, en cas de contrôle, tient à la démonstration. Le responsable de traitement doit être en mesure de prouver que le consentement a été valablement recueilli, y compris le consentement parental conjoint pour les utilisateurs de moins de quinze ans.
Une politique de confidentialité qui affirme que le service n’est pas destiné aux mineurs de quinze ans ne suffit pas lorsque les données d’usage démontrent le contraire. La déclaration d’âge auto-proclamée, sans aucun contrôle ni détection des incohérences, est fragile dès lors que l’opérateur dispose d’indices sérieux sur l’âge réel de ses utilisateurs.
V. Les mesures à conserver au programme de conformité
La censure du 14 août 2026 ne justifie aucune suspension des chantiers suivants, qui relèvent tous d’obligations en vigueur.
La cartographie des traitements concernant des mineurs constitue le préalable. Elle suppose d’identifier les services accessibles aux moins de quinze ans, les catégories de données collectées et la base légale retenue pour chacun.
Le recueil et la conservation de la preuve du consentement parental conjoint viennent ensuite, avec un point d’attention sur la durée de conservation de cette preuve, qui doit être limitée et documentée.
L’information adaptée à l’âge du mineur, rédigée en termes clairs et simples, est une exigence propre au traitement des données des enfants, et non une bonne pratique facultative.
Le paramétrage par défaut protecteur, notamment quant à la visibilité du profil, à la géolocalisation et aux recommandations, doit être documenté au titre de la protection des données dès la conception et par défaut.
Enfin, les relations contractuelles avec les prestataires de vérification d’âge appellent une revue attentive des clauses de sous-traitance, de la localisation des traitements et des engagements de non-conservation des données d’identité.
Les entreprises qui souhaitent mesurer, au-delà de la conformité, leur exposition contentieuse au titre des contenus et de la conception de leurs services trouveront une analyse dédiée dans notre étude sur le risque d’action de groupe et les obligations issues du règlement sur les services numériques (https://kohenavocats.fr/plateformes-numeriques-risque-contentieux-action-de-groupe-dsa-entreprises/).
Conclusion
La décision du 14 août 2026 supprime une contrainte future sans alléger aucune contrainte présente. Elle indique en outre, en creux, la direction que prendra le prochain texte : un dispositif différencié selon les fonctionnalités du service, réservant une place aux titulaires de l’autorité parentale, et assorti de garanties légales sur la vérification d’âge.
Les opérateurs qui conserveront une architecture fondée sur la séparation entre l’attestation d’âge et l’identification de l’utilisateur aborderont cette échéance en position favorable. Ceux qui auront démantelé leurs travaux devront les reprendre, dans un calendrier probablement plus contraint.
Dans l’intervalle, le sujet immédiat n’est pas l’interdiction censurée, mais le consentement parental conjoint exigé depuis des années pour les moins de quinze ans, dont la preuve fait défaut dans un grand nombre d’organisations. C’est sur ce terrain qu’un contrôle se jouerait aujourd’hui.
Le détail de la décision, de ses motifs et de ses conséquences pour les familles figure dans notre analyse de la censure de l’interdiction des réseaux sociaux aux moins de quinze ans (https://kohenavocats.com/censure-interdiction-reseaux-sociaux-moins-15-ans-conseil-constitutionnel/).
Besoin d’un avis rapide sur votre dossier
Le cabinet Kohen Avocats accompagne les entreprises à Paris et en Île-de-France sur la conformité de leurs traitements de données, la rédaction de leurs conditions d’utilisation et la gestion des contrôles et contentieux qui en découlent. Vous pouvez joindre le cabinet au 06 46 60 58 22 (tel:+33646605822) ou par le formulaire de contact (https://kohenavocats.fr/formulaire-de-contact/). Nos équipes en droit des affaires et contentieux commercial (https://kohenavocats.fr/avocat-contentieux-commercial-paris/) traitent ces dossiers avec les praticiens du contentieux numérique du cabinet.
Références
Décision commentée :
Conseil constitutionnel, décision n° 2026-911 DC du 14 août 2026, non conformité partielle : https://www.conseil-constitutionnel.fr/decision/2026/2026911DC.htm
Communiqué de presse du Conseil constitutionnel : https://www.conseil-constitutionnel.fr/actualites/communique/decision-n-2026-911-dc-du-14-aout-2026-communique-de-presse
Textes :
Article 45 de la loi n° 78-17 du 6 janvier 1978 (consentement du mineur au traitement de ses données) : https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes
Loi n° 2023-566 du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000047799533
Jurisprudences :
CE, 5e-6e ch. réunies, 10 juin 2025, n° 499624 (vérification de l’âge, refus de renvoi d’une QPC) : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000051713673
Conseil constitutionnel, décision n° 2024-866 DC du 17 mai 2024 (loi visant à sécuriser et à réguler l’espace numérique) : https://www.conseil-constitutionnel.fr/decision/2024/2024866DC.htm
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.