RGPD: le consentement des mineurs

Un adolescent qui crée un compte sur un réseau social, télécharge une application de jeu ou s’inscrit à une plateforme de vidéo livre, en quelques clics, un volume considérable de données personnelles — identité, localisation, centres d’intérêt, comportements de navigation. La question est alors de savoir si ce consentement, donné seul, suffit à rendre le traitement licite, ou s’il faut l’intervention des parents. C’est précisément l’objet de l’article 8 du RGPD, qui institue un régime dérogatoire de protection du consentement des mineurs.

Là où la directive du 24 octobre 1995 demeurait silencieuse — l’enfant y était exposé aux mêmes traitements que le majeur, sans garde-fou propre —, le Règlement général sur la protection des données pose des conditions spécifiques au consentement des enfants. Le ressort en est simple : infans conari non potest, l’enfant ne saurait s’engager pleinement seul. Le législateur européen justifie cette démarche en relevant que les enfants « peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel ».

Cette protection vise tout particulièrement l’utilisation des données des enfants à des fins de marketing, de création de profils de personnalité ou d’utilisateur, ainsi que leur collecte lors de l’usage de services proposés directement à un enfant — soit le cœur de l’économie numérique contemporaine.

Pourquoi une protection renforcée du mineur

La spécificité tient à la qualité du consentant. Le consentement n’est valable que s’il est éclairé ; or la capacité de l’enfant à apprécier les risques d’un traitement est, par hypothèse, amoindrie. Le RGPD ne supprime pas pour autant l’aptitude du mineur à consentir : il la conditionne, au-delà d’un certain âge, à l’intervention du titulaire de la responsabilité parentale.

L’article 8 du RGPD : le principe du seuil d’âge

C’est l’article 8 du RGPD qui fixe la règle. Il subordonne la licéité du traitement des données d’un enfant, dans le cadre de l’offre directe de services de la société de l’information, à une condition d’âge.

Le texte ne joue que pour l’offre directe de services de la société de l’information — réseaux sociaux, plateformes de jeu, services en ligne s’adressant à l’enfant. Hors de ce champ, le consentement du mineur relève des règles générales de capacité et du droit commun de la protection des données.

La double distinction selon l’âge de l’enfant

Ainsi, cette disposition opère une distinction entre :

• D’une part, les enfants ayant atteint l’âge de référence, qui sont présumés en mesure de consentir seuls — soit sans l’intervention de leurs représentants légaux — à un traitement de données à caractère personnel ;
• D’autre part, les enfants n’ayant pas atteint cet âge qui, pour consentir à un traitement, doivent obtenir l’autorisation de leurs représentants légaux.

La summa divisio repose donc sur un seuil d’âge — au-delà, autonomie présumée ; en-deçà, relais parental obligatoire. Le consentement n’est jamais purement supprimé : il est, pour le plus jeune, partagé avec le titulaire de la responsabilité parentale.

La marge des États membres et le choix français des 15 ans

Le seuil de seize ans n’est pas intangible. L’article 8 confère aux États membres une marge de manœuvre : ils peuvent prévoir par la loi un âge inférieur, pour autant que celui-ci ne descende pas en dessous de treize ans. Le RGPD aménage ainsi un plancher européen — treize ans — au-dessous duquel aucune législation nationale ne peut autoriser le consentement autonome du mineur.

Le législateur français a usé de cette faculté en retenant l’âge de quinze ans — solution intermédiaire entre le plancher de treize ans et le seuil de droit commun de seize ans. En France, le mineur de quinze ans révolus peut donc consentir seul ; en deçà, le consentement conjoint du ou des titulaires de la responsabilité parentale est requis.

L’obligation de vérification pesant sur le responsable du traitement

Poser un seuil d’âge ne suffit pas : encore faut-il en assurer l’effectivité. Aussi, lorsque le mineur n’a pas atteint l’âge limite, le RGPD précise qu’il appartient au responsable du traitement de vérifier que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant, compte tenu des moyens technologiques disponibles.

Cette charge probatoire — déplacée sur l’opérateur — est la clef de voûte du dispositif. La formule « compte tenu des moyens technologiques disponibles » tempère l’exigence : elle impose des efforts raisonnables et proportionnés, et non une vérification d’une certitude absolue que l’état de la technique ne permettrait pas d’atteindre. Faute d’une telle vérification, le traitement des données du mineur demeure dépourvu de base licite et expose le responsable aux sanctions du règlement.