Réseaux sociaux interdits aux moins de 15 ans : le Conseil constitutionnel censure la loi française

Le Conseil constitutionnel a censuré, le 14 août 2026, l'article phare de la loi française qui devait interdire l'accès aux réseaux sociaux aux mineurs de moins de 15 ans. Une décision qui arrête net l'un des chantiers numériques les plus emblématiques du quinquennat, et qui relance un débat que les DPO connaissent bien : peut-on vérifier l'âge d'un utilisateur sans porter atteinte à sa vie privée ?

Ce qui s'est passé

Saisis sur la loi visant à protéger les mineurs des risques liés à l'usage des réseaux sociaux, les Sages ont retoqué son article 1er sur trois fondements distincts. Premier grief : le périmètre de l'interdiction, calqué sur les définitions de service de réseau social en ligne du Digital Markets Act et de plateforme en ligne du DSA, était jugé trop large et déconnecté du risque réel — il aurait pu englober des services collaboratifs ou éducatifs jamais identifiés comme dangereux pour les mineurs. Deuxième grief : l'absence totale d'individualisation, aucun parent ne pouvant lever l'interdiction pour son enfant en fonction de sa maturité ou du service concerné. Troisième grief, le plus proche des enjeux RGPD : le législateur n'a fixé aucune garantie légale encadrant la vérification d'âge que le dispositif aurait nécessairement imposée à tous les utilisateurs, mineurs comme adultes — une atteinte disproportionnée au droit au respect de la vie privée protégé par la Déclaration de 1789.

Conséquence immédiate : l'article ne pourra pas être promulgué. Le gouvernement a annoncé vouloir présenter un nouveau texte « le plus rapidement possible », en tenant compte de la décision et du cadre européen, avec l'objectif de faire aboutir cette initiative portée par Emmanuel Macron d'ici le printemps 2027.

Pourquoi c'est important pour les DPO

Cette censure ne modifie aucune obligation RGPD dans l'immédiat. Mais elle confirme un point que Leto documente depuis plusieurs mois : toute politique de restriction d'accès par l'âge se heurte, tôt ou tard, au fait qu'elle repose sur un traitement de données personnelles. Le article 8 du RGPD, qui encadre déjà le consentement des mineurs aux services de la société de l'information, n'a pas suffi à sécuriser ce texte, faute d'articulation claire avec les modalités techniques de preuve d'âge.

Le sujet dépasse largement la France. La Commission européenne pousse en parallèle sa propre Recommandation pour une approche harmonisée de la vérification d'âge, articulée à l'EUDI Wallet, sans y mentionner le RGPD — un angle mort que les Sages viennent, indirectement, de valider comme problématique. Les autorités de protection des données du G7, réunies à Paris en juin dernier, avaient elles aussi publié des principes communs sur une vérification d'âge respectueuse de la vie privée. Et Bruxelles a déjà sanctionné sur ce terrain : la Commission a notifié à Meta ses conclusions préliminaires pour défaut de vérification d'âge des moins de 13 ans sur Instagram et Facebook, en violation du DSA.

Ce que ça change pour les organisations

Pour les plateformes concernées, aucune obligation de blocage des mineurs de moins de 15 ans n'entrera en vigueur en France dans l'immédiat. Mais le sujet reste brûlant, et les DPO ont intérêt à anticiper plutôt qu'à attendre le prochain texte. Trois réflexes concrets : documenter dès maintenant, via une AIPD, tout mécanisme de vérification d'âge déjà en place ou envisagé, en s'appuyant sur des solutions minimisant la donnée collectée — la Commission a par exemple présenté une application fondée sur le zero-knowledge proof, capable de prouver un âge sans transmettre de données personnelles. Suivre de près le futur texte français, qui devra cette fois intégrer un cadre légal explicite pour la preuve d'âge sous peine de subir le même sort. Et garder à l'esprit que la divergence entre exigences DSA et RGPD, que le Conseil constitutionnel a lui-même pointée, reste un risque juridique tant qu'aucun texte ne l'a comblée.

Ce que Leto pense de cette décision

Cette censure n'est pas un simple accident de calendrier législatif : elle sanctionne une méthode. Concevoir une politique de protection des mineurs sans réflexion RGPD en amont, c'est bâtir un dispositif voué à l'échec constitutionnel dès qu'il touche à la vie privée. Pour les organisations comme pour le futur législateur, le message est clair — la vérification d'âge n'est pas un détail technique à régler après coup, mais une question de conformité à part entière, qui mérite d'être pensée avec un DPO dès la conception du dispositif.

Sources : Inside Privacy (Covington & Burling), ZDNet France