Votre enfant réclame un téléphone, un compte pour ses jeux, une adresse pour l’école. Vous créez un compte Google, activez la supervision Family Link, puis les questions arrivent : jusqu’où pouvez-vous contrôler, que se passe-t-il quand il grandit, comment tout supprimer s’il change d’avis ou si l’autre parent n’a jamais été d’accord. Le compte d’un enfant concentre des années de messages, de photos, de positions et d’historiques. Chaque étape obéit à des règles précises, et chaque erreur se répare par une procédure identifiée : demande d’effacement, plainte devant la Commission nationale de l’informatique et des libertés, juge, réparation. Cet article décrit ces règles et ces recours, dans l’ordre où un parent les rencontre.

I. Créer le compte de votre enfant et le contrôler dans les limites du droit

A. Avant quinze ans, rien ne se crée sans un accord conjoint, et à partir de quinze ans l’enfant consent seul

Le règlement général sur la protection des données pose le principe : pour l’offre directe de services de la société de l’information aux enfants, lorsque le traitement repose sur le consentement, il n’est licite que si l’enfant est âgé d’au moins seize ans, et en dessous de cet âge seulement si le consentement est donné ou autorisé par le titulaire de la responsabilité parentale, les États pouvant fixer un âge inférieur sans descendre en dessous de treize ans. C’est l’article 8, paragraphe 1, du règlement, qui ajoute que le responsable du traitement doit s’efforcer raisonnablement de vérifier que ce consentement parental a bien été donné, compte tenu des moyens technologiques disponibles (texte de l’article 8 sur le site de la CNIL). La France a fait usage de cette faculté et fixé le seuil à quinze ans. L’article 45 de la loi Informatique et Libertés dispose : l’article 45 de la loi Informatique et Libertés permet au mineur de consentir seul dès l’âge de quinze ans et n’autorise le traitement, en dessous de cet âge, que si le mineur et les titulaires de l’autorité parentale consentent conjointement (texte de l’article 45 reproduit par la CNIL). Google applique ce seuil : en France, l’âge à partir duquel un enfant peut gérer son propre compte est de quinze ans (documentation d’aide de Google sur l’âge requis par pays).

Concrètement, avant quinze ans, c’est un parent qui crée le compte de l’enfant et le place sous supervision Family Link. La Commission précise la portée de l’accord parental : pour les traitements qui reposent sur le consentement non contractuel, par exemple le choix d’un profil public ou l’activation d’une géolocalisation optionnelle, l’accord doit théoriquement résulter d’un commun accord de l’enfant et des titulaires de l’autorité parentale, de sorte que les parents ne peuvent aller contre la volonté de l’enfant ni l’enfant passer outre l’opposition de ses parents (recommandation n° 4 de la CNIL). En revanche, pour les traitements qui résultent de contrats conclus en ligne, soit le mineur peut conclure lui-même le contrat, soit les titulaires de l’autorité parentale peuvent seuls le conclure pour lui. La même recommandation tranche une question que les parents séparés posent souvent : ce consentement est en principe un acte usuel de l’autorité parentale, l’accord exprès d’un seul des parents suffit, celui de l’autre étant présumé, mais ce dernier doit être mis en capacité d’exprimer son opposition s’il le souhaite. Autrement dit, créer le compte dans le dos de l’autre parent expose la démarche à une contestation, et une opposition exprimée doit être traitée comme telle, pas ignorée. Lorsque les parents sont séparés et que l’un d’eux a créé le compte sans en informer l’autre, la régularisation passe par une information complète : nature des données collectées, paramètres de supervision activés, durée de conservation. Si le second parent s’oppose au maintien du compte, son opposition doit être adressée au fournisseur et conservée par écrit, car elle conditionne la suite : en cas de litige persistant sur l’exercice conjoint de l’autorité parentale, seul le juge peut trancher, et il le fera au vu des positions documentées de chacun. Le fournisseur, de son côté, doit pouvoir vérifier l’accord parental par les moyens technologiques disponibles, comme l’exige l’article 8 du règlement. Cette présomption d’accord entre parents résulte du code civil : « A l’égard des tiers de bonne foi, chacun des parents est réputé agir avec l’accord de l’autre, quand il fait seul un acte usuel de l’autorité parentale relativement à la personne de l’enfant » (texte de l’article 372-2 sur Légifrance). Elle ne joue qu’à l’égard des tiers de bonne foi et ne purge pas l’opposition exprimée par l’autre parent. Un compte créé sur la seule initiative d’un parent, sans traçabilité de l’accord de l’autre, reste fragile juridiquement.

À partir de quinze ans, la situation s’inverse. L’enfant peut consentir seul, gérer son compte, et le parent ne peut plus supprimer le compte à sa place : Google l’indique sans détour, lorsque l’enfant a atteint l’âge requis dans son pays, c’est à lui de supprimer lui-même son compte (documentation d’aide de Google consacrée à la suppression du compte de l’enfant). Le parent peut en revanche arrêter la supervision. Cette bascule explique bien des conflits : ce qui était un pouvoir d’administration devient un dialogue, et le droit d’effacement de l’adolescent prime sur la volonté de conservation du parent.

B. Superviser sans surveiller à l’excès, car le contrôle parental a lui-même des limites

La supervision Family Link permet d’encadrer les usages : filtrer les contenus, fixer des limites de temps d’écran, valider les téléchargements, gérer les autorisations des applications. Ces fonctions répondent à l’obligation d’accompagnement qui pèse sur les parents, que la Commission encourage dans sa recommandation consacrée à l’éducation au numérique. Mais chaque paramètre activé crée un traitement de données supplémentaire, soumis aux mêmes principes que tous les autres. L’article 5 du règlement impose que les données soient limitées à des données adéquates, pertinentes et strictement nécessaires au regard des finalités poursuivies, c’est la minimisation, et qu’elles soient conservées sous une forme identifiante pendant une durée qui n’excède pas le nécessaire au regard des finalités poursuivies, c’est la limitation de la conservation (texte de l’article 5 sur le site de la CNIL).

La Commission met en garde contre les outils de contrôle parental les plus intrusifs : les dispositifs de ce type constituent un outil de protection, mais certaines fonctionnalités très intrusives appellent la vigilance, et les outils promus doivent rester respectueux de la vie privée et de l’intérêt de l’enfant (recommandation n° 5 de la CNIL). En pratique, cela signifie activer la supervision strictement nécessaire à la protection, réévaluer les autorisations à mesure que l’enfant grandit, et désactiver ce qui n’est plus justifié. Un historique de positions conservé pendant des années, des relevés d’activité que plus personne ne consulte, des applications verrouillées sans explication : tout cela s’analyse comme une conservation excessive, que l’enfant devenu adolescent peut contester en exerçant lui-même ses droits, ce que la Commission encourage expressément dans sa recommandation consacrée à l’exercice des droits par les mineurs eux-mêmes. L’information due à l’enfant compte également : le responsable du traitement doit rédiger les informations relatives au traitement dans un langage clair et simple, compréhensible par l’enfant, comme l’exige le dernier alinéa de l’article 45 de la loi Informatique et Libertés. Expliquer à l’enfant ce qui est supervisé et pourquoi n’est donc pas seulement pédagogique, c’est une exigence du texte.

II. Supprimer le compte, effacer les données et obtenir réparation en cas de refus

A. Retirer le compte de l’appareil, supprimer le compte et effacer les données sont trois opérations différentes

La première confusion à dissiper porte sur les mots. Retirer le compte de l’appareil de l’enfant supprime les informations associées de cet appareil précis, mais la supervision continue d’exister et l’enfant conserve l’accès à ses messages, ses contacts et ses photos depuis d’autres appareils : le compte n’est pas supprimé (documentation d’aide de Google). Supprimer le compte, en revanche, fait perdre l’ensemble des données et des contenus qu’il contient, messages, fichiers, agendas, photos, ainsi que l’accès aux services et aux contenus achetés. Avant de supprimer, Google propose de télécharger une copie des données, étape à ne pas négliger car la restauration n’est possible que pendant une période limitée, et uniquement lorsque c’est le parent lui-même qui avait créé le compte supervisé. Si la suppression intervient alors que le compte est encore connecté à un appareil, celui-ci peut se verrouiller et exiger une réinitialisation complète : il faut donc d’abord retirer le compte de l’appareil, puis supprimer le compte depuis l’application Family Link du parent.

La suppression du compte ne règle pas tout. Des données peuvent subsister : copies de sauvegarde conservées temporairement, informations que Google estime devoir garder pour la sécurité ou pour respecter une obligation légale, contenus partagés avec des tiers. C’est ici qu’intervient le droit à l’effacement. L’article 17 du règlement ouvre ce droit lorsque les données ne sont plus nécessaires au regard des finalités de leur collecte, lorsque le consentement est retiré sans autre fondement juridique, en cas d’opposition sans motif légitime impérieux, lorsque le traitement est illicite, ou lorsque les données ont été collectées dans le cadre de l’offre de services de la société de l’information à un enfant. Ce dernier motif vise directement la situation des comptes créés pour des mineurs : des données collectées pendant l’enfance, devenues inutiles, doivent pouvoir disparaître sur demande (texte de l’article 17 sur le site de la CNIL). La Commission résume la démarche : identifier l’organisme, formuler une demande précise en désignant exactement les données visées, conserver la preuve des démarches, et savoir que l’effacement n’entraîne pas la disparition de tout ce que l’organisme détient, par exemple les documents qu’une obligation légale impose de conserver (page de la CNIL sur le droit à l’effacement). Avant de demander l’effacement, pensez à la portabilité : l’article 20 du règlement donne le droit de recevoir les données fournies au responsable dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable, lorsque le traitement est fondé sur le consentement ou sur un contrat et effectué de manière automatisée. Récupérer les photos et les documents de l’enfant avant de tout effacer évite les pertes définitives.

Le responsable du traitement doit répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, délai qui peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne concernée et d’en donner les motifs dans le premier mois. C’est l’article 12, paragraphe 3, du règlement, qui précise aussi que si le responsable ne donne pas suite, il doit en indiquer les motifs dans le même délai d’un mois et rappeler la possibilité de saisir une autorité de contrôle et de former un recours juridictionnel (texte de l’article 12 sur le site de la CNIL). La Commission met à disposition des modèles de courrier pour demander la suppression de données personnelles et pour clôturer un compte en ligne, qui permettent de formuler une demande complète et datée.

Un cas particulier mérite un développement : les photos et vidéos de l’enfant qui circulent en ligne, publiées par un proche, un ex-conjoint ou un tiers. Le juge des référés de Nanterre a rappelé le 15 janvier 2026, dans une ordonnance rendue contre un éditeur de presse, que la protection de la vie privée s’applique nécessairement strictement s’agissant d’un enfant qui n’a aucune fonction ni activité publique et n’est pas un personnage public, et que le floutage partiel du visage ne suffit pas lorsque l’enfant reste identifiable par sa silhouette, sa chevelure, ses vêtements et le contexte de la publication (tribunal judiciaire de Nanterre, ordonnance de référé du 15 janvier 2026, RG 25/02726, référence de la décision). Le fondement est l’article 9 du code civil, qui garantit à toute personne le respect de sa vie privée et de son image, combiné à l’article 8 de la Convention européenne des droits de l’homme, le juge recherchant l’équilibre avec la liberté d’expression en privilégiant la solution la plus protectrice de l’intérêt le plus légitime. Le texte de l’article 9 du code civil est disponible sur Légifrance. Les parents, en qualité de représentants légaux, peuvent donc exiger le retrait des images de leur enfant et saisir le juge en référé pour faire cesser le trouble, sur le fondement de l’article 835 du code de procédure civile (texte sur Légifrance), qui permet de prescrire les mesures propres à faire cesser un trouble manifestement illicite. La même ordonnance illustre toutefois la mesure du juge sur la réparation : faute de preuve d’une confrontation effective de l’enfant aux publications et de répercussions établies, le préjudice moral non contestable a été cantonné au montant minimal d’un euro, la seule matérialité de l’atteinte ouvrant droit à réparation sans pour autant présumer l’ampleur du dommage. Conservez donc toute preuve de l’exposition réelle de l’enfant et de ses conséquences : signalements à l’école, messages, attestations.

B. En cas de refus ou de silence, saisir la CNIL, demander le déréférencement des traces et faire réparer le préjudice

Lorsque la demande d’effacement reste sans réponse au bout d’un mois ou reçoit une fin de non-recevoir, la plainte devant la Commission est l’étape suivante. L’article 77 du règlement donne à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, lorsqu’elle considère que le traitement de ses données constitue une violation du texte (texte de l’article 77 sur le site de la CNIL). Un parent résidant en France saisit donc la CNIL, y compris lorsque le fournisseur est établi dans un autre État membre, la coopération européenne des autorités jouant ensuite. La plainte doit joindre la copie des démarches préalables, d’où l’importance des captures et des accusés de réception conservés dès la première demande. L’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel.

Ces plaintes aboutissent, y compris contre les plus grands fournisseurs. Le 1er septembre 2025, la CNIL a sanctionné Google d’une amende de 325 millions d’euros pour avoir affiché des publicités entre les courriels des utilisateurs de Gmail sans leur accord et déposé des traceurs lors de la création de comptes Google sans consentement valide, à la suite d’une plainte déposée par l’organisation None Of Your Business le 24 août 2022 et de contrôles menés en 2022 et 2023 (communiqué de la CNIL du 3 septembre 2025). Cette décision montre deux choses : la création du compte, y compris celui d’un enfant, est un moment contrôlé par l’autorité, et le défaut de consentement valide expose le fournisseur à des sanctions. Elle ne dispense pas le parent d’agir en premier, mais elle donne du poids à une demande bien formée.

Même après la suppression du compte et l’effacement obtenu, des traces peuvent demeurer dans les résultats du moteur de recherche : pages archivées, copies, contenus relayés par des tiers. L’exploitant du moteur est alors responsable d’un traitement distinct de celui de l’éditeur de la page source. La première chambre civile de la Cour de cassation l’a jugé le 27 novembre 2019 en cassant partiellement un arrêt qui avait rejeté une demande de déréférencement formée par un expert-comptable condamné pénalement : visant les articles 9, 38 et 40 de la loi du 6 janvier 1978 dans leur rédaction alors applicable, elle a rappelé, au visa des articles 9, 38 et 40 de la loi du 6 janvier 1978 que toute personne peut exiger que soient effacées les données inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite, et que ces dispositions doivent s’interpréter à la lumière de la directive qu’elles transposent (Cour de cassation, première chambre civile, 27 novembre 2019, pourvoi n° 18-14.675, texte de l’arrêt). La Cour avait déjà statué dans le même sens le 14 février 2018, au visa des articles 38 et 40 de la loi du 6 janvier 1978, en rappelant que toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement (Cour de cassation, première chambre civile, 14 février 2018, pourvoi n° 17-10.499, texte de l’arrêt). Ce droit d’opposition pour motifs légitimes, ancêtre de l’article 21 du règlement actuel, profite aussi aux parents agissant pour leur enfant : la minorité ne retire rien au droit de s’opposer à un traitement des données de l’enfant, elle en confie l’exercice à ses représentants légaux. Le même arrêt reprend l’apport de la Cour de justice du 24 septembre 2019 : les restrictions relatives aux catégories particulières de données s’appliquent également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités et de ses possibilités en tant que responsable du traitement (CJUE, 24 septembre 2019, GC e.a. contre CNIL, C-136/17, cité par l’arrêt). Concrètement, le parent identifie chaque lien litigieux apparaissant sur une recherche au nom de l’enfant, explique en quoi son maintien porte atteinte à ses droits, et adresse une demande de déréférencement à l’exploitant du moteur, distincte de la demande adressée à l’éditeur du site. En cas de refus, la plainte devant la Commission et le recours devant le juge restent ouverts.

Reste la réparation. L’article 82 du règlement dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, le responsable étant exonéré seulement s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable (texte de l’article 82 sur le site de la CNIL). Ce préjudice peut être moral : exposition de l’enfant, anxiété, démarches imposées à la famille. Le juge l’évalue au jour où il statue, au vu des preuves produites, comme l’a montré l’ordonnance de Nanterre précitée. Le fondement civiliste complète le dispositif européen : l’article 9 du code civil permet au juge de prescrire le séquestre, la saisie et toutes autres mesures propres à empêcher ou faire cesser l’atteinte (texte de l’article 9 sur Légifrance). Pour les demandes urgentes, la voie du référé (texte de l’article 835 sur Légifrance) permet d’obtenir la cessation du trouble et, lorsque l’obligation n’est pas sérieusement contestable, une provision. Pour approfondir la gestion d’un compte d’adulte, avec l’historique, la localisation et le déréférencement, on se reportera utilement au guide consacré à la suppression d’un compte Google et à l’effacement des données associées. Et si la plainte devant la Commission reste sans réponse, la marche à suivre est décrite dans le guide consacré à la plainte CNIL sans réponse, entre relance, contestation et réparation.

Conclusion

Le compte Google d’un enfant n’est ni un gadget ni un espace sans droit. Avant quinze ans, il se crée par un accord conjoint et se pilote par une supervision proportionnée ; à partir de quinze ans, l’enfant exerce seul ses droits et le rôle du parent devient l’accompagnement. Retirer le compte d’un appareil ne le supprime pas, supprimer le compte ne garantit pas l’effacement de toutes les copies, et chaque étape laisse une trace écrite qui fera la force du recours suivant. Face à un refus ou à un silence, la demande précise, la plainte devant la Commission et le juge des référés forment une chaîne éprouvée, que la jurisprudence récente applique avec une sévérité particulière quand l’image d’un enfant est en cause. Agir tôt, demander par écrit, conserver les preuves : c’est ainsi que la protection des données du mineur cesse d’être un principe pour devenir un résultat.