La vie privée des enfants en ligne a peu progressé en dix ans. La Commission nationale de l’informatique et des libertés (CNIL) le montre chiffres à l’appui, dans les résultats d’un audit mondial publiés le 25 mars 2026. Les contrôleurs ont examiné près de 900 sites web et applications utilisés par des enfants. Sur 72 % d’entre eux, ils ont contourné la vérification de l’âge.
Un audit coordonné par 27 autorités de protection des données
L’audit a eu lieu du 3 au 7 novembre 2025. Il a réuni 27 autorités de protection des données du monde entier, membres du Global Privacy Enforcement Network (GPEN). Ce réseau est né en 2010 d’une recommandation de l’OCDE.
Trois autorités ont donc coordonné l’opération : le Commissariat à la protection de la vie privée du Canada, l’Information Commissioner’s Office (ICO) britannique et l’autorité de protection des données du Bailliage de Guernesey.
Le périmètre ne se limite pas aux services pour enfants. Il couvre aussi les services grand public que les enfants utilisent. Un réseau social, un jeu ou une plateforme vidéo entre donc dans le champ, même si son éditeur ne vise pas les mineurs.
Les résultats de l’audit GPEN, chiffre par chiffre
Une vérification de l’âge facile à contourner
Sur 72 % des plateformes examinées, les participants ont contourné la vérification de l’âge. Le plus souvent, le contrôle reposait sur une simple déclaration : l’enfant saisit une date de naissance, et le service le croit.
Ce résultat interroge au regard de l’article 8 du RGPD. Ce texte fixe des conditions particulières lorsqu’un service de la société de l’information recueille le consentement d’un enfant. Or une case « j’ai l’âge requis » ne prouve rien.
Une collecte plus large que nécessaire
Pour accéder à toutes les fonctionnalités, 59 % des plateformes exigent une adresse électronique. De même, 50 % demandent un nom d’utilisateur et 46 % une géolocalisation. Les autorités relèvent aussi une hausse de la collecte de plusieurs types de données par rapport à une opération similaire menée en 2015.
Une information et des droits peu adaptés aux enfants
Ensuite, 71 % des plateformes ne proposent aucune information sur la vie privée adaptée aux enfants. De plus, 36 % n’offrent pas de moyen facile pour supprimer un compte.
Enfin, l’audit a repéré des plateformes aux caractéristiques à risque élevé pour les enfants. Parmi elles, seules 35 % affichent un message, par exemple une fenêtre contextuelle, qui invite l’enfant à demander la permission de ses parents avant de continuer.
Ce que le RGPD exige pour protéger la vie privée des enfants
L’article 5 du RGPD pose le principe de minimisation. Un service collecte uniquement les données nécessaires à sa finalité. Ainsi, une géolocalisation exigée pour jouer à un jeu de cartes ne passe pas ce test.
De même, l’article 12 impose une information claire et compréhensible, adaptée au public visé, en particulier aux enfants. Une politique de confidentialité de douze pages, rédigée pour un service juridique, ne remplit pas cette condition face à un lecteur de dix ans.
L’article 25 impose enfin la protection des données dès la conception et par défaut. Pour un service utilisé par des mineurs, les protections se construisent pendant le développement. Elles ne s’ajoutent pas après une plainte.
Les corrections à engager sur votre service
Vous éditez ou exploitez un service numérique que des enfants utilisent ? Commencez par une analyse d’impact (AIPD) au sens de l’article 35 du RGPD. Nous la recommandons dès que des données de mineurs entrent dans le traitement, car elle oblige à documenter chaque donnée collectée et sa justification.
Remplacez ensuite la simple déclaration d’âge par un mécanisme plus robuste, proportionné au risque du service. Le sujet avance vite en Europe : la Grèce interdit par exemple les réseaux sociaux avant 15 ans.
Supprimez aussi les champs obligatoires sans utilité réelle, puis réécrivez l’information dans les mots d’un enfant. Réglez aussi les paramètres de confidentialité au niveau le plus protecteur par défaut. Évitez enfin les parcours qui poussent l’enfant à partager davantage : la CNIL et le CEPD condamnent ces interfaces trompeuses.
Testez donc votre propre parcours d’inscription avec une fausse date de naissance. Si vous passez en moins d’une minute, l’audit GPEN vous concerne directement.
Sources
La CNIL présente les résultats dans sa publication Vie privée des enfants : les résultats de l’audit du Global Privacy Enforcement Network.
