Données des mineurs : quelles précautions prendre ?

Une inscription à un atelier, un concours sur le site, une photo de la remise des prix : dès qu'un enfant apparaît dans vos fichiers, le RGPD demande une vigilance supplémentaire. Le règlement considère que les mineurs perçoivent moins bien les risques liés à leurs données. Cet article donne des repères généraux et ne constitue pas un conseil juridique.

Quand l'accord des parents est-il nécessaire ?

La règle vise les services en ligne proposés directement à un enfant, lorsque le traitement repose sur le consentement. En dessous d'un âge fixé par la loi française, que la CNIL rappelle sur son site, le consentement doit être donné ou autorisé par le titulaire de l'autorité parentale. Au-dessus, le mineur peut consentir seul pour ces services.

Cette règle ne couvre pas tout. Lorsque le traitement repose sur une autre base légale, comme l'exécution d'un contrat ou une obligation imposée par un texte, le raisonnement suit celui applicable à tout traitement. En revanche, l'exigence d'information claire et de minimisation reste renforcée dans tous les cas.

Vous devez faire des efforts raisonnables pour vérifier que l'accord vient bien d'un parent, en tenant compte des moyens disponibles. Aucune méthode parfaite n'existe : une demande de confirmation envoyée à l'adresse d'un parent vaut mieux qu'une simple case déclarative, sans pour autant collecter des pièces d'identité dont vous n'avez pas besoin.

Écrire pour être compris d'un jeune public

L'obligation d'information prend ici une dimension concrète. Un texte juridique destiné à des adultes ne remplit pas l'exigence lorsque le service s'adresse à des enfants.

Les situations les plus fréquentes

• Inscription à une activité : ne demandez que ce qui sert à l'organiser. Les informations médicales se limitent à ce qui est nécessaire à la sécurité de l'enfant, et se rangent avec des accès restreints.
• Photos et vidéos : l'autorisation relève des titulaires de l'autorité parentale, avec un périmètre précis. Prévoyez une alternative pour les familles qui refusent.
• Prospection commerciale : viser directement des enfants appelle une prudence particulière. Adressez-vous aux parents lorsque l'offre les concerne.
• Concours et jeux : évitez la collecte d'informations sans lien avec la participation, et fixez une durée courte de conservation.
• Espaces d'échange : si des jeunes publient des contenus, prévoyez une modération et un moyen simple de signaler un problème.
• Profilage et publicité ciblée : ces usages sont particulièrement sensibles lorsqu'ils visent des mineurs. Interrogez leur nécessité avant de les envisager.

Un droit à l'effacement renforcé

Le règlement insiste sur la possibilité de faire supprimer des données collectées lorsqu'on était enfant, notamment celles publiées en ligne. Une demande de ce type mérite un traitement rapide et compréhensif, sans exiger de justification. Pensez aux copies : pages du site, publications passées, supports de communication, versions conservées par les moteurs de recherche.

Organisez également la fin de la relation : lorsqu'un jeune quitte l'activité, supprimez les données à l'échéance annoncée plutôt que de les laisser s'accumuler d'une saison à l'autre.

Une courte liste de contrôle

1. Vérifiez si votre service s'adresse directement à des mineurs.
2. Identifiez la base légale de chaque traitement les concernant.
3. Rédigez une information courte et lisible pour eux, complète pour les parents.
4. Limitez les champs collectés au strict nécessaire.
5. Restreignez les accès internes aux dossiers concernant des enfants.
6. Fixez des durées courtes et appliquez-les réellement.
7. Documentez le tout dans votre registre.

Selon les cas, notamment pour le recueil de l'accord parental, la CNIL publie des recommandations pratiques : reportez-vous-y. Nos repères sur le bandeau cookies valent également pour les sites fréquentés par un jeune public. NexSecure peut adapter vos formulaires et vos durées dans le cadre de son offre de conformité RGPD.