Le Conseil constitutionnel annule l'interdiction des réseaux sociaux aux moins de 15 ans

Le 14 août 2026, le Conseil constitutionnel a censuré l'article 1er de la loi française visant à interdire l'accès aux réseaux sociaux aux mineurs de moins de 15 ans. Coup d'arrêt pour une mesure phare du quinquennat, la décision est aussi un signal fort pour les DPO : elle rappelle que toute restriction d'accès numérique fondée sur l'âge doit s'accompagner de garanties précises sur la vie privée, faute de quoi elle ne tient pas juridiquement.

Ce qui s'est passé

Saisi de la loi de protection des mineurs contre les risques posés par l'utilisation des réseaux sociaux, le Conseil constitutionnel a jugé l'interdiction disproportionnée au regard de la liberté d'expression garantie par l'article 11 de la Déclaration des droits de l'homme et du citoyen de 1789. Trois griefs structurent la décision : le texte visait indistinctement tout « service de réseautage social en ligne » au sens du Digital Markets Act, sans distinguer les fonctionnalités réellement à risque ; il ne laissait aucune place à une appréciation individualisée, les parents ne pouvant ni lever l'interdiction ni l'autoriser pour un service donné ; et surtout, il imposait de fait une vérification d'âge généralisée — y compris pour les adultes — sans encadrer légalement les garanties applicables à ce contrôle, en violation du droit au respect de la vie privée.

Conséquence immédiate : l'article 1er ne pourra pas être promulgué. Le gouvernement a annoncé la préparation d'un nouveau texte, articulé cette fois avec le cadre européen, avec l'objectif d'aboutir avant le printemps 2027.

Pourquoi c'est important pour les DPO

La décision ne modifie aucune obligation RGPD à proprement parler, mais elle éclaire un point de friction que les DPO retrouvent régulièrement sur le terrain : le consentement des mineurs pour les services numériques encadré par l'article 8 du RGPD ne suffit pas à sécuriser un dispositif de vérification d'âge — encore faut-il documenter la proportionnalité et les garanties du mécanisme retenu.

Le Conseil constitutionnel censure d'ailleurs pour des raisons proches de celles que la Commission européenne avait elle-même laissées de côté en avril 2026, lorsqu'elle a publié sa recommandation sur la vérification d'âge en ligne sans jamais mentionner le RGPD. Ce silence ouvre un risque de divergence entre le DSA et le RGPD que les organisations devront documenter elles-mêmes via une AIPD, faute d'arbitrage clair au niveau européen. Les autorités de protection des données ne s'y sont pas trompées : réunies à Paris fin juin, les autorités du G7 ont publié des principes communs sur une vérification d'âge respectueuse de la vie privée, précisément pour éviter que ces dispositifs ne deviennent eux-mêmes une source de sur-collecte de données sensibles.

Le terrain d'application concret reste le DSA plutôt que les lois nationales : la Commission européenne poursuit actuellement Meta pour défaut de vérification d'âge sur Instagram et Facebook, avec une procédure visant l'accès des moins de 13 ans à ces plateformes qui pourrait déboucher sur une amende allant jusqu'à 6 % du chiffre d'affaires mondial.

Ce que ça change pour les organisations

Pour les plateformes opérant en France, la censure du Conseil constitutionnel ne signifie pas une pause dans la vigilance réglementaire. Trois points d'attention concrets :

D'abord, l'obligation de vérification d'âge reste vivante côté DSA pour les grandes plateformes, indépendamment du sort de la loi française — les organisations qui s'appuient sur la simple auto-déclaration d'âge restent exposées. Ensuite, tout mécanisme de vérification d'âge envisagé (estimation faciale, tiers de confiance, portefeuille européen d'identité numérique) doit être documenté en amont dans une AIPD, en explicitant pourquoi la solution retenue est proportionnée et quelles garanties limitent la collecte de données. Enfin, les DPO ont intérêt à suivre de près le futur texte gouvernemental attendu avant le printemps 2027, dont la rédaction devra cette fois intégrer nativement le cadre RGPD — un chantier sur lequel la CNIL a déjà commencé à outiller les entreprises via un kit de sensibilisation à la parentalité numérique.

Ce que Leto pense de cette décision

Cette censure valide, sur le terrain constitutionnel, un raisonnement que les DPO appliquent tous les jours sous l'angle RGPD : on ne bloque pas — ni ne traite — des données à caractère personnel sans justifier la proportionnalité et sans documenter les garanties. Que le contrôle vienne du Conseil constitutionnel ou d'une autorité de protection des données, le résultat est le même : une mesure de protection des mineurs mal calibrée, aussi bien intentionnée soit-elle, ne survit pas à l'examen si elle n'a pas été pensée avec la vie privée dès la conception. Le gouvernement va devoir refaire ses devoirs — et il aurait tort de le faire sans associer étroitement la CNIL en amont cette fois.

Sources : Inside Privacy (Covington) — French Constitutional Council Strikes Down Under-15 Social Media Ban