TikTok dans le viseur de Bruxelles : la Commission accuse la plateforme de mal protéger les mineurs
La Commission européenne a formellement notifié à TikTok ses conclusions préliminaires : la plateforme ne protégerait pas suffisamment les mineurs contre le cyberharcèlement et les contacts d'adultes malveillants. En cause, des paramètres de compte par défaut jugés trop permissifs. À la clé, une amende pouvant atteindre 6 % du chiffre d'affaires mondial de ByteDance.
Ce qui s'est passé
Selon la Commission, TikTok autorise l'ensemble de ses utilisateurs, mineurs compris, à conserver un profil en mode public par défaut. N'importe qui, même sans compte, peut alors consulter leur contenu, entrer en contact avec eux ou les suivre. Bruxelles estime que cette configuration « peut entraîner des contacts indésirables de la part d'agresseurs potentiels et accroître le risque de cyberharcèlement ».
La Commission juge que ces réglages ne respectent pas les exigences d'atténuation des risques posées par le Digital Services Act (DSA) pour les très grandes plateformes en ligne. TikTok dispose désormais d'un accès au dossier d'instruction et peut adresser une réponse écrite avant toute décision finale de la Commission — une procédure classique avant sanction sous le DSA, qui peut s'étaler sur plusieurs mois.
Pourquoi c'est important
Cette procédure s'inscrit dans une séquence d'enforcement européen très dense sur la protection des mineurs en ligne. La Commission a déjà visé Meta pour l'accès des moins de 13 ans à Instagram et Facebook, puis pour la conception addictive de ses interfaces. TikTok devient la troisième grande plateforme sociale mise en cause sur ce terrain en 2026, ce qui confirme que la protection des mineurs est devenue un axe prioritaire, sinon la priorité, de l'application du DSA par Bruxelles.
Pour les organisations qui traitent des données de mineurs, cette actualité ramène directement à l'article 8 du RGPD, qui encadre les conditions de consentement et de vérification d'âge applicables aux services de la société de l'information. Le DSA et le RGPD se recoupent ici : paramétrage par défaut, minimisation de l'exposition et vérification d'âge deviennent des points de contrôle communs aux deux textes, comme l'illustrent également les principes du G7 des autorités de protection des données publiés cet été sur la vérification d'âge respectueuse de la vie privée.
Ce que ça change pour les organisations
Cette procédure ne vise pas directement les responsables de traitement établis en France, mais elle envoie un signal clair : les réglages « public par défaut » sur des profils susceptibles d'appartenir à des mineurs sont désormais un point d'attention prioritaire pour les régulateurs européens, qu'ils agissent sous l'angle RGPD ou DSA — et les deux corps de règles convergent de plus en plus dans leur lecture des risques.
Les organisations qui opèrent des services accessibles aux mineurs — réseaux sociaux internes, applications communautaires, plateformes éducatives, jeux en ligne — ont intérêt à revoir dès maintenant leurs paramètres par défaut : visibilité des profils, listes de contacts ouvertes, géolocalisation activée, messagerie non filtrée. Documenter cette analyse dans une AIPD dédiée devient un réflexe recommandé, pas une option. La Commission a par ailleurs mis en avant une application de vérification d'âge fondée sur le zero knowledge proof, conçue pour prouver un âge sans exposer de données personnelles — une piste concrète pour les DPO qui cherchent une méthode de vérification proportionnée et conforme à la minimisation des données.
Ce que Leto pense de cette décision
Le DSA est en train de devenir, de fait, le bras armé de la protection des mineurs en Europe — plus vite et plus frontalement que le RGPD seul ne l'a jamais fait. C'est une bonne nouvelle pour les familles, mais un signal d'alarme pour toute organisation qui pensait que la protection des mineurs se limitait à une case de consentement parental. Les paramètres par défaut sont désormais scrutés au même titre que les traitements eux-mêmes : mieux vaut les auditer avant que le régulateur ne le fasse à votre place.
