G7 des DPA à Paris : principes communs sur la vérification d'âge et les objets connectés pour protéger les mineurs

Les DPA du G7 se retrouvent à Paris — et signent deux textes structurants pour les mineurs

Les 25 et 26 juin 2026, les autorités de protection des données des sept pays du G7 se sont réunies à Paris à l'invitation de la CNIL, dans le cadre de la présidence française du G7. À l'issue de deux jours d'échanges, elles ont adopté deux documents communs qui vont peser sur les pratiques des organisations traitant les données de mineurs : une déclaration sur la vérification d'âge respectueuse de la vie privée, et un guide sur les objets connectés utilisés par ou autour des mineurs.

Ces textes ne sont pas contraignants, mais ils tracent la ligne rouge que les régulateurs des principales économies mondiales entendent défendre — ce qui, en pratique, signale où se situera le curseur de l'enforcement dans les années à venir.

Ce qui s'est passé

La réunion a réuni la CNIL (présidée par Marie-Laure Denis), le BfDI allemand, le Commissariat canadien à la protection de la vie privée, la FTC américaine, le Garante italien, la PPC japonaise, l'ICO britannique, ainsi que l'EDPB et le CTPD de l'UE. C'est la sixième édition de cette table ronde des DPA du G7, inaugurée en 2021.

Au programme : protection des mineurs en ligne, IA agentique, lunettes connectées, libre circulation des données et coopération en matière d'application. La CNIL avait en particulier initié un compendium des approches des sept autorités sur les lunettes connectées — un sujet qui monte en puissance à mesure que ces dispositifs se démocratisent.

Deux documents ont été officiellement adoptés :

• Une déclaration sur la vérification de l'âge, qui pose des principes de protection des données à respecter dans le développement et l'utilisation des mécanismes de vérification d'âge en ligne.
• Un document conjoint sur les objets connectés dans le domicile, qui précise les bonnes pratiques attendues des fabricants d'objets connectés susceptibles d'être utilisés par des mineurs ou de traiter leurs données.

Pourquoi c'est important

Le sujet de la vérification d'âge est en pleine ébullition réglementaire. La Commission européenne avait publié en avril 2026 que son application de vérification d'âge fondée sur le zero knowledge proof est techniquement prête — voir notre article sur l'application de vérification d'âge de la Commission européenne. En mai, une recommandation de la Commission demandait aux États membres de déployer une approche commune avant fin 2026 — nous l'avions couverte dans notre analyse de la recommandation DSA sur la vérification d'âge. Parallèlement, Meta était dans le viseur de Bruxelles pour sa gestion des moins de 13 ans sur Instagram et Facebook, avec une amende potentielle de 6 % du CA mondial.

Sur le fond du RGPD, l'article 8 du RGPD fixe déjà les conditions du consentement des mineurs pour les services numériques, avec des âges limites variant selon les États membres. La déclaration G7 vient compléter ce cadre en ajoutant une dimension internationale : la vérification d'âge ne peut pas se faire au détriment de la vie privée des utilisateurs, y compris des mineurs eux-mêmes.

C'est un point souvent négligé : les outils de vérification d'âge créent par définition un traitement de données personnelles supplémentaire (pièce d'identité, biométrie, estimation comportementale...). Les DPA du G7 insistent pour que les principes de minimisation et de respect de la vie privée by design s'appliquent aussi à ces mécanismes.

Ce que ça change pour les organisations

Pour les DPO et les équipes juridiques, plusieurs points d'attention concrets :

• Objets connectés destinés aux familles : si votre organisation fabrique ou distribue des dispositifs IoT susceptibles d'être utilisés dans un foyer avec des mineurs (montres connectées, enceintes, écrans interactifs, jouets connectés), le document G7 sur les objets connectés constitue une grille de lecture que les autorités utiliseront pour évaluer votre conformité. La privacy by design n'est plus une option.
• Services en ligne avec vérification d'âge : si vous devez implémenter ou évaluer un mécanisme de vérification d'âge, les principes adoptés à Paris s'ajoutent à l'article 8 RGPD et aux exigences DSA. Prévoyez une AIPD spécifique au mécanisme de vérification lui-même, pas seulement au service sous-jacent.
• Documentation et registre : les échanges des DPA sur la coopération internationale renforcent la probabilité d'actions coordonnées. Une organisation contrôlée dans un pays du G7 peut voir son dossier partagé avec d'autres autorités.

Ce que Leto pense de cette décision

La multiplication des textes de soft law sur les mineurs est un signal fort : les régulateurs préparent le terrain pour un durcissement de l'enforcement. Les déclarations communes du G7 n'ont pas force obligatoire, mais elles créent un consensus interprétatif que les autorités nationales invoqueront dans leurs décisions. Pour les DPO, c'est le bon moment d'auditer les traitements concernant les mineurs — vérification d'âge, objets connectés, consentement parental — avant que les contrôles n'arrivent.

Sources : CNIL — G7 technologies émergentes et protection des mineurs