Votre fille de douze ans possède un compte sur un réseau social que vous n’avez jamais autorisé. Votre fils de treize ans publie des vidéos visibles de tous, avec sa géolocalisation activée, sur une application que vous découvrez par hasard. La plateforme vous répond que l’enfant a déclaré avoir quinze ans à l’inscription, ou que la suppression du compte prendra plusieurs semaines, ou encore qu’elle conserve les données pour la sécurité du service. Ces réponses ne closent pas le dossier. En France, un mineur de moins de quinze ans ne peut pas consentir seul à un traitement de ses données personnelles lié à un service en ligne, et ses parents disposent d’outils précis pour faire supprimer le compte et les données, saisir la CNIL, aller devant le juge et demander réparation. Encore faut-il viser le bon traitement, écrire à la bonne personne, conserver les bonnes preuves et ne pas invoquer des textes qui ne sont pas encore applicables.

Le traitement en cause est l’ensemble des opérations que la plateforme réalise à partir du compte de votre enfant : la création du profil, la conservation du pseudonyme, de la photo, de la date de naissance déclarée, des contacts, des messages, des images et des vidéos, la diffusion de ces contenus aux autres utilisateurs, l’enregistrement de la navigation et de la géolocalisation, et l’utilisation de ces informations pour la publicité ou les recommandations. Le responsable de ce traitement est la société qui édite le réseau social ou le jeu en ligne, car c’est elle qui détermine pourquoi et comment ces données sont utilisées. Cette qualification commande tout le reste : c’est à elle qu’il faut adresser la demande d’effacement, c’est contre elle que se dirige la plainte devant la CNIL, et c’est elle qui répond du préjudice devant le juge. Si un prestataire technique intervient pour son compte, par exemple un hébergeur, il n’est que sous-traitant et la demande doit d’abord viser le responsable.

I. Le compte ouvert sans votre accord repose sur un traitement illicite

A. Quinze ans, accord conjoint et vérification de l’âge : ce que le droit applicable exige

Le droit européen fixe le principe et le droit français fixe l’âge. L’article 8 du règlement général sur la protection des données dispose que, pour l’offre directe de services de la société de l’information aux enfants, le traitement n’est licite, sous l’âge de seize ans, qu’avec le consentement du titulaire de la responsabilité parentale, chaque État membre pouvant prévoir par la loi un âge inférieur sans descendre sous treize ans.. La France a retenu quinze ans. L’article 45 de la loi du 6 janvier 1978, en vigueur depuis le 1er juin 2019, prévoit ainsi qu’« un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l’offre directe de services de la société de l’information à compter de l’âge de quinze ans ». Et il ajoute : « Lorsque le mineur est âgé de moins de quinze ans, le traitement n’est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l’autorité parentale à l’égard de ce mineur. » Concrètement, si votre enfant a moins de quinze ans et s’est inscrit seul, le traitement de ses données par la plateforme n’a pas de base légale valable, sauf si vous aviez donné votre accord avec lui.

Cet accord conjoint ne se présume pas et la plateforme ne peut pas s’en dispenser. Le règlement européen précise que le responsable du traitement doit s’efforcer raisonnablement de vérifier ce consentement parental avec les moyens technologiques disponibles. Une simple case à cocher sur l’âge, contournée en deux clics par un enfant de onze ans, ne constitue pas un effort raisonnable de vérification. La CNIL, dans sa recommandation du 9 juin 2021 sur le consentement parental, explique que l’accord conjoint du parent et de l’enfant de moins de 15 ans est requis pour les traitements qui reposent sur le consentement non contractuel de l’utilisateur. Elle donne deux exemples qui parlent directement aux parents : le choix d’un profil public ou privé sur un réseau social, ou l’activation de la géolocalisation optionnelle d’une application. Autrement dit, même si un compte existe, le passage en profil public et l’activation de la géolocalisation de votre enfant de moins de quinze ans exigent votre accord commun avec lui. Vérifiez donc ces deux réglages en premier : un compte public et une géolocalisation active sont souvent, à eux seuls, la preuve d’un traitement sans base légale.

Le droit civil conforte votre qualité pour agir. L’article 371-1 du code civil définit l’autorité parentale comme « un ensemble de droits et de devoirs ayant pour finalité l’intérêt de l’enfant », qui appartient aux parents « pour le protéger dans sa sécurité, sa santé, sa vie privée et sa moralité, pour assurer son éducation et permettre son développement, dans le respect dû à sa personne ». La protection de la vie privée numérique de l’enfant entre pleinement dans cette mission, et « Les parents associent l’enfant aux décisions qui le concernent, selon son âge et son degré de maturité. » Cette association n’est pas une option : l’accord conjoint exigé par l’article 45 en est la traduction pour les données personnelles. Une question pratique se pose aussitôt : faut-il l’accord des deux parents ? La CNIL, après consultation du ministère de la Justice, répond que ce consentement est en principe un acte usuel de l’autorité parentale. Il suffit donc d’obtenir le consentement d’un seul des titulaires de l’autorité parentale, celui de l’autre étant présumé, l’autre parent devant toutefois être mis en capacité de s’y opposer s’il le souhaite. Un seul parent peut donc écrire à la plateforme et demander la suppression, et la plateforme ne peut pas exiger la signature des deux parents pour y donner suite.

B. La majorité numérique votée en 2023 n’est pas encore une obligation applicable

Beaucoup de parents ont entendu parler de la majorité numérique à quinze ans et des articles de presse annonçant que les plateformes doivent désormais refuser l’inscription des mineurs sans accord parental, sous peine d’amende. Ce dispositif existe, mais il n’est pas encore applicable, et l’invoquer tel quel devant la plateforme ou la CNIL affaiblirait votre dossier. La loi du 7 juillet 2023 visant à instaurer une majorité numérique prévoit un dispositif complet : refus d’inscription des mineurs de quinze ans sauf autorisation d’un titulaire de l’autorité parentale, y compris pour les comptes déjà créés, information des mineurs et des parents sur les risques et sur les droits, contrôle du temps d’utilisation, vérification de l’âge par des solutions techniques conformes à un référentiel de l’ARCOM pris après avis de la CNIL, suspension du compte à la demande d’un parent, mise en demeure puis amende pouvant atteindre 1 % du chiffre d’affaires mondial, comme le décrit la lettre de la direction des affaires juridiques du ministère de l’Économie consacrée à ce texte (Lettre de la DAJ du 20 juillet 2023). Sur le papier, c’est exactement l’outil que les parents attendent, y compris pour les comptes déjà ouverts.

Mais l’article 7 de la même loi dispose que « La présente loi entre en vigueur à une date fixée par décret qui ne peut être postérieure de plus de trois mois à la date de réception par le Gouvernement de la réponse de la Commission européenne permettant de considérer le dispositif législatif lui ayant été notifié comme conforme au droit de l’Union européenne. » Or ce décret n’a toujours pas été pris, et le référentiel technique de vérification de l’âge n’a pas été publié. Le dispositif est donc voté mais dormant : la plateforme ne peut pas se voir reprocher aujourd’hui de ne pas appliquer une vérification d’âge certifiée qui n’existe pas encore, et vous ne pouvez pas exiger la suspension du compte sur le seul fondement de cette loi. Cette précision n’est pas un détail d’érudit. Les plateformes connaissent l’état du droit et une mise en demeure qui cite comme une obligation en vigueur un texte inapplicable se termine par une fin de non-recevoir. Fondez votre demande sur le droit applicable dès maintenant : l’article 45 de la loi de 1978, l’article 8 du règlement européen et le droit à l’effacement. Réservez la loi de 2023 pour ce qu’elle est, un argument d’évolution législative qui montre le sens de l’histoire, pas un fondement de sanction.

Le suivi officiel du texte le confirme : faute de décret d’application et d’aval de la Commission européenne, la loi n’est pas appliquée, et le décret prévu pour son entrée en application n’a pas été publié, la Commission ayant jugé ses dispositions non conformes au droit européen, en particulier au règlement sur les services numériques (vie-publique.fr, suivi de la loi du 7 juillet 2023). Le constat est donc double : décret non publié et dispositif jugé non conforme au droit de l’Union. Des travaux nouveaux sont annoncés pour encadrer l’accès des mineurs aux réseaux sociaux, mais ils n’existent pas encore. Votre dossier doit reposer sur le droit vivant, pas sur la loi annoncée.

Au-delà du consentement initial, surveillez les réglages du compte : un profil public et une géolocalisation active, relevés plus haut, caractérisent des traitements distincts sans base légale qui nourrissent la plainte. De son côté, le Conseil d’État a déjà jugé, à propos du contrôle parental obligatoire sur les terminaux, que les restrictions au traitement des données des mineurs sont justifiées par un motif impérieux d’intérêt général tenant à la préservation de leur santé et à la protection de leurs données, et que ces restrictions sont proportionnées à l’objectif poursuivi, « tenant à la protection de l’intérêt supérieur de l’enfant » (Conseil d’État, 26 juillet 2024, n° 488159, rejet du recours du syndicat des éditeurs de logiciels de loisirs contre le décret sur le contrôle parental). L’intérêt supérieur de l’enfant n’est donc pas une formule : c’est le motif que le juge administratif retient pour valider des contraintes lourdes pesant sur les industriels du numérique.

II. Faire supprimer le compte et les données, puis contraindre et obtenir réparation

A. Écrire à la plateforme : qualité, preuves, effacement et délai d’un mois

La première étape est une demande écrite adressée au responsable du traitement, c’est-à-dire à l’éditeur du réseau social ou du jeu, par son formulaire dédié aux droits des personnes ou, à défaut, par son adresse de contact pour la vie privée, en conservant la preuve de l’envoi et de la réception. Présentez-vous comme titulaire de l’autorité parentale, indiquez les nom, prénom et date de naissance de l’enfant, l’identifiant du compte s’il est connu, et joignez la copie de votre pièce d’identité ainsi qu’un justificatif du lien de filiation, livret de famille ou acte de naissance. Exposez les faits simplement : date approximative de découverte du compte, âge réel de l’enfant, absence d’accord conjoint au sens de l’article 45, et captures d’écran du profil, des réglages publics et des contenus datés. Demandez expressément trois choses : la suppression du compte, l’effacement de l’ensemble des données personnelles de l’enfant, et la confirmation écrite que les contenus rendus publics ont été retirés y compris lorsqu’ils ont été repartagés. Si votre enfant a entre treize et quinze ans et avait lui-même cliqué sur tout ce qu’on lui demandait, précisez-le sans crainte : avant quinze ans, son seul consentement ne suffit pas, et votre opposition parentale prive le traitement de base légale.

Le fondement de cette demande est le droit à l’effacement. L’article 17 du règlement européen ouvre le droit d’obtenir du responsable l’effacement de ses données dans les meilleurs délais, avec obligation corrélative d’effacer, dès qu’un motif s’applique. Trois motifs visent directement votre situation : le retrait du consentement sans autre fondement juridique, le traitement illicite, et le cas particulier des données collectées auprès d’un enfant dans le cadre d’une offre de services en ligne. Ce dernier motif a été écrit pour les enfants : des données collectées auprès d’un mineur de moins de quinze ans sans l’accord conjoint de ses parents entrent dans le traitement illicite et doivent être effacées. Ajoutez que, lorsque la plateforme a rendu ces données publiques, elle doit prendre des mesures raisonnables, y compris d’ordre technique, pour informer les autres responsables qui les traitent que vous en demandez l’effacement, liens, copies et reproductions compris. C’est le moyen d’atteindre les contenus repartagés par des tiers sur le même service.

La plateforme doit vous répondre vite et motiver un éventuel refus. L’article 12 du règlement européen lui impose d’informer le demandeur des mesures prises dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux mois pour les demandes complexes, à condition de vous en informer dans le premier mois. Et s’il ne donne pas suite à la demande, il doit vous en informer sans tarder, au plus tard dans le délai d’un mois, en motivant son inaction et en rappelant la possibilité de saisir l’autorité de contrôle et le juge. Un silence d’un mois, une réponse dilatoire qui renvoie à un formulaire sans fin, ou un refus fondé sur les conditions générales au lieu du droit applicable, ouvrent donc la deuxième étape. Notez chaque date, conservez chaque message : la chronologie fera la différence entre une négligence excusable et une résistance caractérisée.

B. CNIL, juge et réparation : plainte documentée, recours effectif et préjudice à prouver

Si la plateforme n’a pas supprimé le compte et les données dans le délai, saisissez la CNIL par une plainte en ligne en joignant l’intégralité du dossier : demande initiale, preuves de l’âge, captures du compte et des réglages, échanges avec la plateforme, et dates précises. Cette démarche préalable n’est pas facultative dans les faits : la CNIL attend que vous ayez d’abord exercé vos droits auprès de l’organisme. L’article 77 du règlement européen ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle lorsqu’elle estime que le traitement de ses données viole le règlement. Pour votre enfant mineur, c’est vous, titulaire de l’autorité parentale, qui introduisez la réclamation en son nom. La CNIL peut alors mettre l’organisme en demeure de se mettre en conformité, comme elle l’a fait sur le fondement du III de l’article 20 de la loi de 1978 dans une affaire où une charte d’établissement liait l’exercice des droits à la désinscription de l’élève, avant de clôturer la mise en demeure au vu des mesures prises et d’informer les plaignants de la clôture de leur plainte. Ce pouvoir de mise en demeure est prévu au III de l’article 20 de la loi du 6 janvier 1978, en vigueur depuis le 17 février 2024, qui permet au président de la CNIL d’exiger la satisfaction des demandes d’exercice des droits et l’effacement des données. C’est ce schéma qu’illustre la décision du Conseil d’État du 20 mai 2026, n° 504639 : la CNIL avait obtenu la modification de la clause critiquée, puis clôturé, et les requérants demandaient l’annulation de cette clôture.

Cette décision du 20 mai 2026 contient deux enseignements pratiques pour les parents. D’abord, la CNIL dispose d’une marge d’appréciation : obtenir la mise en conformité puis clôturer la plainte est une issue normale lorsque l’organisme a corrigé le manquement, et la clôture ne signifie pas que votre signalement était infondé. Ensuite, le recours contre la CNIL obéit à des conditions strictes de qualité pour agir. L’article 78 du règlement européen donne à toute personne physique ou morale le droit de former un recours effectif contre une décision de l’autorité de contrôle qui la concerne, et à toute personne concernée le droit d’agir lorsque l’autorité laisse une réclamation sans traitement ou sans information sur son état d’avancement pendant trois mois. Dans l’affaire jugée en mai 2026, le Conseil d’État a rejeté les requêtes parce que les plaignants n’étaient pas eux-mêmes visés par la clause contestée, publiée après le départ définitif de l’école de l’un d’eux : leur saisine ne présentait pas le caractère d’une réclamation au sens de l’article 77 et aucune décision les concernant n’avait pu naître. La leçon est directe : agissez en qualité de représentant de votre enfant, dont les données sont effectivement traitées par la plateforme visée, et votre réclamation sera recevable. Un parent qui signale le compte de l’enfant d’un voisin, aussi louable soit le geste, n’a pas cette qualité.

Parallèlement à la plainte, vous pouvez saisir le juge. L’article 79 du règlement européen reconnaît à chaque personne concernée un recours juridictionnel effectif contre le responsable du traitement ou son sous-traitant en cas de violation de ses droits, y compris après une réclamation devant la CNIL. En pratique, le juge des référés peut ordonner la suppression du compte et l’effacement des données sous astreinte lorsque le trouble illicite est établi, et le juge du fond peut constater la violation et allouer des dommages et intérêts. L’action peut être intentée devant les juridictions françaises lorsque la plateforme y est établie ou y dirige son activité, et la résidence habituelle de l’enfant en France fonde la compétence. N’attendez pas l’issue de la plainte CNIL pour agir en justice si le compte expose votre enfant à un danger immédiat : harcèlement, contacts d’inconnus, géolocalisation publique. Les deux voies sont indépendantes et se renforcent, la mise en demeure de la CNIL ou sa décision nourrissant le dossier judiciaire.

La réparation, enfin, suppose de prouver un préjudice réel, pas seulement une violation. L’article 82 du règlement européen dispose que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » La Cour de cassation vient d’en préciser la portée dans un arrêt du 24 juin 2026, n° 24-22.792, publié au Bulletin : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et il appartient au juge d’apprécier si la victime établit que la violation constatée lui a causé un dommage matériel ou moral. La cour d’appel, qui avait alloué 5 000 euros en retenant que le non-respect du règlement avait nécessairement causé un préjudice, a été censurée. En revanche, et c’est favorable aux victimes, la Cour rappelle que le droit européen « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité », et que la réparation remplit une fonction compensatoire : elle doit permettre de compenser intégralement le préjudice concrètement subi. Pour votre enfant, documentez donc le préjudice dès la découverte du compte : anxiété, troubles du sommeil, absentéisme scolaire, messages d’inconnus, moqueries liées aux contenus publiés, temps passé à faire retirer les contenus, et conservez les attestations, certificats médicaux, échanges avec l’école et factures éventuelles. Le fondement national complète le dispositif : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »

En résumé, face au compte ouvert par votre enfant de moins de quinze ans sans votre accord : identifiez la plateforme comme responsable du traitement, exigez par écrit la suppression du compte et l’effacement des données en visant l’article 45 de la loi de 1978 et les articles 8 et 17 du règlement européen, laissez passer le délai d’un mois, puis saisissez la CNIL avec un dossier daté et, si le danger est immédiat ou si la plateforme résiste, saisissez le juge pour obtenir la suppression sous astreinte et la réparation d’un préjudice documenté. Ne fondez aucune demande sur la loi de 2023 avant son entrée en vigueur. Et conservez chaque preuve, car c’est elle qui transforme une inquiétude de parent en dossier gagnant. Pour les comptes déjà anciens que vous aviez autrefois tolérés puis que vous voulez fermer, ou pour les données que la plateforme conserve après la suppression du compte, notre analyse dédiée à l’effacement après fermeture de compte complète utilement cette démarche (Compte supprimé mais données conservées et réutilisées : exiger l’effacement, saisir la CNIL et le juge, obtenir réparation).