Un smartphone offert pour l’entrée au collège, un compte sur un réseau social ouvert en quelques clics, des photos partagées sans mesurer leur diffusion, puis des messages qui blessent et que l’enfant n’ose pas montrer. Cette séquence, les parents la connaissent, et elle soulève trois questions de droit précises : que peut-on imposer à l’appareil et aux plateformes avant que le dommage arrive, que peut-on exiger sur les données personnelles de l’enfant, et de quels recours dispose-t-on quand des contenus ou des messages portent atteinte au mineur. Les réponses tiennent en quelques textes applicables dès aujourd’hui, un mécanisme voté mais pas encore entré en vigueur qu’il ne faut pas invoquer à tort, et une série de démarches concrètes devant les plateformes, la CNIL et le juge.
Premier repère : les rôles ne se confondent pas. Le fabricant du téléphone, le fournisseur du système d’exploitation, la plateforme qui héberge le compte et l’auteur des messages relèvent de régimes différents. Le parent, lui, agit le plus souvent pour le compte de l’enfant de moins de quinze ans, âge que le droit français a retenu comme seuil du consentement numérique. Comprendre qui doit quoi permet d’adresser chaque demande au bon destinataire, avec le bon fondement, et d’éviter les démarches rejetées parce qu’elles visaient la mauvaise personne ou invoquaient un texte inapplicable.
I. Ce que la loi impose déjà autour de l’enfant connecté
A. Vos terminaux doivent embarquer un contrôle parental dont l’activation vous est proposée
Depuis la loi du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet, le code des postes et des communications électroniques impose un équipement de protection sur les appareils. L’article L. 34-9-3 de ce code, vérifié en vigueur au 21 octobre 2026, dispose : « Les équipements terminaux destinés à l’utilisation de services de communication au public en ligne donnant accès à des services et des contenus susceptibles de nuire à l’épanouissement physique, mental ou moral des mineurs sont équipés d’un dispositif aisément accessible et compréhensible permettant à leurs utilisateurs de restreindre ou de contrôler l’accès de telles personnes à ces services et contenus » (article L. 34-9-3).
Concrètement, cela signifie que le téléphone ou la tablette remis à l’enfant doit contenir un dispositif de contrôle parental, et que son activation doit être proposée à la première mise en service de l’équipement. La loi verrouille trois garanties autour de ce dispositif (article L. 34-9-3). D’abord, l’activation, l’utilisation et, le cas échéant, la désinstallation sont permises sans surcoût pour l’utilisateur : le vendeur ne peut pas facturer la protection. Ensuite, les données personnelles des mineurs collectées ou générées lors de l’activation du dispositif « ne doivent pas, y compris après la majorité des intéressés, être utilisées à des fins commerciales, telles que le marketing direct, le profilage et la publicité ciblée sur le comportement ». Le contrôle parental ne doit donc jamais devenir un outil de profilage publicitaire de l’enfant, ni pendant sa minorité ni après. Enfin, la chaîne de mise sur le marché est responsabilisée : les fabricants s’assurent que les systèmes d’exploitation installés intègrent le dispositif, ils le certifient auprès des importateurs, des distributeurs et des prestataires d’exécution des commandes, et ceux-ci vérifient cette certification.
En pratique, le réflexe utile se situe au moment de l’achat et de la première mise en service. Vérifiez que le dispositif existe sur l’appareil, activez-le avant de confier le téléphone à l’enfant, conservez les codes parentaux hors de sa portée et contrôlez après chaque mise à jour importante du système que les restrictions sont toujours actives. Notez la date d’activation et photographiez les réglages : en cas de litige avec le vendeur sur l’absence du dispositif, ces éléments prouvent que vous avez fait votre part. Si le vendeur ou le fabricant ne fournit aucun dispositif, conservez la preuve de l’achat et de vos demandes : l’obligation pèse sur la mise sur le marché, et son absence caractérise un manquement que vous pourrez invoquer dans une réclamation puis, si nécessaire, devant le juge.
B. Le consentement du mineur obéit à un seuil clair : quinze ans en France
Le règlement général sur la protection des données fixe le cadre européen : pour l’offre directe de services de la société de l’information aux enfants, le traitement est licite à partir de seize ans, et en dessous de cet âge seulement si le titulaire de la responsabilité parentale a donné ou autorisé le consentement. Chaque État membre peut abaisser ce seuil sans descendre en dessous de treize ans, et le responsable du traitement doit s’efforcer raisonnablement de vérifier que l’autorisation parentale a bien été donnée, compte tenu des moyens technologiques disponibles.
La France a retenu quinze ans. L’article 45 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, en vigueur, dispose qu’« un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l’offre directe de services de la société de l’information à compter de l’âge de quinze ans » et précise : « Lorsque le mineur est âgé de moins de quinze ans, le traitement n’est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l’autorité parentale à l’égard de ce mineur » (article 45). Le même article ajoute : « Le responsable de traitement rédige en des termes clairs et simples, aisément compréhensibles par le mineur, les informations et communications relatives au traitement qui le concerne ». Un service qui inscrit un enfant de douze ans sans démarche parentale, ou qui lui oppose des conditions générales rédigées pour des juristes, méconnaît ce texte.
L’information due à l’enfant est elle-même encadrée. L’article 48 de la même loi prévoit que « lorsque les données à caractère personnel sont collectées auprès d’un mineur de moins de quinze ans, le responsable de traitement transmet au mineur les informations mentionnées à l’article 13 de ce règlement dans un langage clair et facilement accessible » (article 48). Et le droit d’accès joue pleinement : l’article 49 dispose que le droit d’accès s’exerce dans les conditions de l’article 15 du règlement (article 49). En pratique, pour un enfant de moins de quinze ans, ce sont les parents qui écrivent au service en justifiant de l’autorité parentale, demandent la copie des données détenues sur l’enfant, puis exigent l’effacement de ce qui n’a pas lieu d’être conservé.
Les plateformes supportent en outre des obligations propres issues du règlement européen sur les services numériques : celles qui sont accessibles aux mineurs doivent mettre en place des mesures appropriées et proportionnées pour garantir un niveau élevé de protection de leur vie privée, de leur sûreté et de leur sécurité, et elles ne peuvent pas présenter à un destinataire dont elles savent avec une certitude raisonnable qu’il est mineur de la publicité reposant sur du profilage de ses données personnelles. Un réseau social qui sait qu’il s’adresse à des enfants ne peut donc pas les soumettre à de la publicité ciblée sur leur comportement.
Reste à lever une confusion fréquente. La loi du 7 juillet 2023 instaurant une majorité numérique pour les réseaux sociaux (dossier législatif) prévoit que les fournisseurs de réseaux sociaux refusent l’inscription des mineurs de quinze ans sans l’autorisation d’un titulaire de l’autorité parentale, que chacun des titulaires de l’autorité parentale peut demander la suspension du compte d’un mineur de quinze ans, et qu’une vérification de l’âge selon un référentiel de l’ARCOM pris après avis de la CNIL s’impose, sous peine d’une amende pouvant atteindre un pour cent du chiffre d’affaires mondial. Mais l’article 7 de cette loi subordonne son entrée en vigueur à un décret pris après la réponse de la Commission européenne sur la conformité du dispositif au droit de l’Union, et vérification faite au 21 octobre 2026, l’article 6-7 censé porter ces règles ne figure pas dans le texte consolidé de la loi pour la confiance dans l’économie numérique. Ce mécanisme est donc voté mais inapplicable en l’état : invoquez-le comme perspective, jamais comme un droit exigible aujourd’hui, et fondez vos demandes sur l’article 45 de la loi informatique et libertés, le règlement européen et les conditions générales des plateformes.
II. Quand la situation dérape : effacer, signaler, faire punir
A. Faire effacer les données et les contenus de l’enfant
Un compte ouvert par un enfant de onze ans, des photographies publiées par un camarade, une vidéo qui circule dans un groupe de classe : le droit à l’effacement est l’arme principale des parents, et il est particulièrement fort pour les mineurs. L’article 51 de la loi informatique et libertés dispose que le droit à l’effacement s’exerce dans les conditions prévues par l’article 17 du règlement européen, et ajoute que « sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte » (article 51). Peu importe que l’enfant soit devenu majeur depuis : seul compte son âge au moment de la collecte. Le sort des données transmises à un tiers est réglé de même : « Lorsqu’il a transmis les données en cause à un tiers lui-même responsable de traitement, il prend des mesures raisonnables, y compris d’ordre technique, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer le tiers qui traite ces données que la personne concernée a demandé l’effacement de tout lien vers celles-ci, ou de toute copie ou de toute reproduction de celles-ci ».
Autrement dit, l’effacement reste exigible des années après, y compris une fois l’enfant devenu majeur, pour des contenus publiés pendant l’enfance.
L’effacement connaît toutefois des limites : il ne s’applique pas quand le traitement reste nécessaire, notamment à l’exercice de la liberté d’expression et d’information, au respect d’une obligation légale, ou à la défense de droits en justice. La Cour de cassation vient d’en préciser la méthode dans un arrêt du 3 juin 2026 : le droit à l’oubli se tranche par une mise en balance entre la vie privée et la liberté d’information : « Ayant fait ressortir que le droit à l’information devait en l’espèce prévaloir sur le droit à la protection de la vie privée de M. [G] et ainsi procédé à la mise en balance des intérêts en présence, elle a légalement justifié sa décision de rejeter la demande d’anonymisation » (Cass. civ. 1re, 3 juin 2026, n° 25-14.228, texte intégral). Dans cette affaire, la Cour a rejeté la demande d’anonymisation d’un article de presse ancien parce que l’information conservait un intérêt pour un débat d’intérêt général, que les faits étaient graves et que le demandeur, personnalité notoire du sport, ne démontrait pas un préjudice primant sur la liberté d’information. L’enseignement est net pour les familles : à l’inverse d’une personnalité publique mêlée à un débat d’intérêt général, un enfant dont des photographies ou des propos circulent en ligne présente une balance qui penche structurellement vers l’effacement, sauf contenu participant réellement à l’information du public.
La démarche s’ordonne en trois temps. D’abord, écrire au responsable du traitement, c’est-à-dire à la plateforme ou à l’éditeur du service, en visant précisément les contenus : adresses URL exactes, captures datées, pseudonymes concernés. Une demande vague est rejetée à juste titre ; une demande qui désigne chaque élément avec son adresse et qui invoque l’article 17 du règlement et, pour un enfant de moins de quinze ans, l’article 45 de la loi informatique et libertés, place le destinataire devant ses obligations. La CNIL rappelle d’ailleurs qu’avant de la saisir, il faut d’abord exercer ses droits directement auprès de l’organisme, en conservant les justificatifs (CNIL, adresser une plainte), et elle décrit le droit à l’effacement sur sa page dédiée (CNIL, le droit à l’effacement).
Ensuite, si le service refuse ou garde le silence, saisir la CNIL par sa procédure de plainte en ligne, en joignant les courriers échangés : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation » (article 51). Enfin, saisir le juge : l’article 49 de la loi informatique et libertés offre une voie rapide : « En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition » (article 49). Quand des contenus préjudiciables risquent d’être effacés par leurs auteurs pour faire disparaître les preuves, ou au contraire quand le service s’obstine à les maintenir en ligne, le référé permet d’obtenir vite une mesure de conservation ou de suppression.
Pour les données de santé du mineur, le même raisonnement s’applique avec des interlocuteurs distincts : l’accès au dossier médical de l’enfant et la rectification des informations inexactes suivent les règles propres aux établissements de santé, détaillées dans notre analyse consacrée au refus de communiquer le dossier médical et aux recours devant la CADA et le juge.
B. Face au cyberharcèlement : signaler vite, conserver les preuves, saisir la justice
Quand les messages se répètent et dégradent la vie de l’enfant, le droit pénal prend le relais de la protection des données. L’article 222-33-2-2 du code pénal dispose : « Le fait de harceler une personne par des propos ou comportements répétés ayant pour objet ou pour effet une dégradation de ses conditions de vie se traduisant par une altération de sa santé physique ou mentale est puni d’un an d’emprisonnement et de 15 000 € d’amende » (article 222-33-2-2). La peine passe à deux ans d’emprisonnement et 30 000 euros d’amende dans plusieurs cas, dont deux visent directement la situation des mineurs en ligne : « lorsqu’ils ont été commis sur un mineur » et, pour le monde numérique : « Lorsqu’ils ont été commis par l’utilisation d’un service de communication au public en ligne ou par le biais d’un support numérique ou électronique ». Quand deux de ces circonstances se cumulent, par exemple un mineur harcelé sur un réseau social, la peine encourue monte à trois ans d’emprisonnement et 45 000 euros d’amende. Le texte punit aussi le harcèlement commis en meute, y compris sans concertation, lorsque plusieurs personnes s’en prennent successivement à la même victime en sachant que leurs comportements caractérisent une répétition : la défense du « chacun n’a envoyé qu’un message » ne tient pas.
Le premier réflexe est la conservation des preuves, avant toute suppression. Photographiez ou capturez chaque message avec son contexte : pseudonyme de l’auteur, date et heure, adresse du groupe ou de la page, adresse URL exacte du contenu. L’adresse exacte compte double : elle identifie la preuve et elle est exigée par les mécanismes de signalement des plateformes. L’application du 3018 propose d’ailleurs un coffre-fort numérique pour conserver ces éléments en sécurité. Ne répondez pas aux auteurs et ne les prévenez pas : un avertissement leur laisse le temps d’effacer, et l’effacement des preuves complique la démonstration de la répétition qu’exige le délit.
Le deuxième réflexe est le signalement. Devant la plateforme d’abord : le règlement européen sur les services numériques oblige les hébergeurs à proposer des mécanismes permettant à chacun de signaler les contenus qu’il estime illicites, avec l’adresse exacte de chaque contenu visé. Utilisez ces boutons de signalement sans attendre, en visant chaque contenu par son adresse. Devant le 3018 ensuite : le numéro pour poser anonymement et confidentiellement vos questions sur le harcèlement en ligne, ouvert 7 jours sur 7, de 9 heures à 23 heures, par un appel gratuit et anonyme, avec une application 3018 qui propose notamment un coffre-fort numérique pour conserver les preuves (service-public.fr, cyberharcèlement). Le 3018 accompagne l’enfant et ses parents, aide à qualifier les faits et oriente vers les démarches adaptées.
Quand la situation met l’enfant en danger, le 119 prend le relais : si vous êtes victime ou témoin d’une maltraitance sur un enfant, « vous devez appeler le 119 », et le signalement peut être anonyme, par courrier comme par téléphone (service-public.fr, enfant en danger : comment le signaler). Les services du département, aide sociale à l’enfance et cellule de recueil des informations préoccupantes, peuvent également être saisis, et dans les cas les plus graves un courrier peut être adressé directement au procureur de la République.
Le troisième réflexe est judiciaire. Déposez plainte au commissariat ou à la gendarmerie en apportant les preuves conservées : procès-verbaux des messages, captures datées, attestations de l’entourage, certificats médicaux si l’état de santé de l’enfant s’est altéré, car l’altération de la santé physique ou mentale fait partie des éléments du délit. L’incapacité totale de travail, les suivis psychologiques et la déscolarisation documentent le préjudice et fondent la demande de réparation. Parallèlement, pour le volet données personnelles, la plainte devant la CNIL contre la plateforme qui maintient les contenus en ligne reste ouverte, et le juge civil peut être saisi pour ordonner le retrait et allouer des dommages et intérêts.
Prévenez enfin l’établissement scolaire : sans se substituer à la justice, l’école dispose de ses propres procédures disciplinaires et de ses référents, et votre signalement écrit fait courir sa responsabilité propre en cas d’inaction. Conservez une copie de ce signalement et de son accusé de réception : si la situation s’aggrave, ces pièces prouvent que l’établissement était informé et avait le devoir d’agir. Chaque acteur a son rôle, et c’est leur saisine simultanée, plateforme, 3018 ou 119, police et, si besoin, CNIL et juge, qui protège le mieux l’enfant.
Conclusion
Un téléphone remis à un enfant doit contenir un contrôle parental activé dès la première mise en service, sans surcoût et sans exploitation commerciale des données du mineur. Jusqu’à quinze ans, aucun service en ligne ne peut traiter les données de l’enfant sur son seul consentement : l’accord conjoint du mineur et des titulaires de l’autorité parentale est requis, dans des termes que l’enfant comprend. Les plateformes accessibles aux mineurs doivent garantir leur vie privée et leur sécurité et renoncer à la publicité ciblée sur leur comportement. Quand des contenus ou des messages portent atteinte à l’enfant, l’effacement s’exige précisément, adresse par adresse, d’abord auprès du service, puis devant la CNIL et le juge, avec une balance qui penche structurellement en faveur du mineur sans notoriété. Et quand les messages se répètent, le harcèlement sur mineur et par voie électronique est puni de deux ans d’emprisonnement et de 30 000 euros d’amende : conservez les preuves, signalez à la plateforme et au 3018, appelez le 119 si l’enfant est en danger, et déposez plainte. La loi du 7 juillet 2023 promet un cran supplémentaire avec le refus d’inscription sans autorisation parentale, mais ce mécanisme n’est pas entré en vigueur : en attendant, les textes applicables décrits ici suffisent déjà à agir vite et à agir juste.