Le G7 des autorités de protection des données, réuni à Paris les 25 et 26 juin 2026, vient d’adopter deux textes qui vont directement impacter votre feuille de route RGPD si votre organisation traite des données de mineurs. Pour tout DPO externalisé ou responsable conformité, ces textes ne sont pas de simples déclarations d’intention : ils constituent déjà un référentiel opposable que la CNIL utilisera dans ses contrôles.
Dans cet article, nous décryptons les 17 exigences issues de ces textes et vous donnons un plan d’action concret pour auditer votre conformité.
Le G7 des autorités de protection des données : ce qu’il faut retenir
Le 25 et 26 juin 2026, les autorités de protection des données des pays du G7, dont la CNIL, l’ICO britannique, la FTC américaine et le Comité européen de la protection des données (EDPB), se sont réunies à Paris à l’invitation de la CNIL, dans le cadre de la présidence française du G7.
À l’issue de ces travaux, deux documents directement opposables aux entreprises qui conçoivent des technologies destinées aux mineurs ont été adoptés :
- Une déclaration sur la vérification de l’âge, qui fixe les principes que doit respecter tout mécanisme de contrôle de l’âge en ligne (réseaux sociaux, plateformes adultes, services numériques en général).
- Un document conjoint sur les objets connectés domestiques, qui définit les bonnes pratiques que les fabricants de smart TV, assistants vocaux, jouets connectés et autres appareils IoT (Internet des objets) doivent mettre en œuvre pour protéger les données des enfants.
Les autorités ont également évoqué deux sujets encore non formalisés : les lunettes connectées et l’IA agentique. Ces systèmes d’IA capables de prendre des décisions en autonomie, réduisant le champ de l’intervention humaine. Deux thématiques qui posent déjà de nouveaux défis pour la conformité IA et l’encadrement juridique de l’intelligence artificielle.
Vérification de l’âge : 7 exigences RGPD à intégrer dans votre audit
La déclaration du G7 est claire sur un point souvent mal compris : la vérification de l’âge n’est pas une solution magique. Elle ne doit être utilisée que lorsque les risques pour les mineurs « ne peuvent être atténués par des moyens moins intrusifs ». Son déploiement indifférencié présente au contraire des risques importants pour les droits et libertés individuels.
Les autorités ont identifié sept exigences fondamentales pour tout mécanisme de vérification de l’âge :
- Limitation des finalités = les données collectées pour vérifier l’âge ne peuvent pas être réutilisées à d’autres fins (pas de profilage, pas de ciblage publicitaire en arrière-plan).
- Minimisation des données = ne collecter que ce qui est strictement nécessaire pour établir la majorité ou la minorité de l’utilisateur, pas davantage.
- Privacy by design = la protection de la vie privée doit être intégrée dès la conception du système, pas ajoutée après coup.
- Transparence = les utilisateurs, y compris les enfants, doivent recevoir une information claire et compréhensible sur le traitement de leurs données.
- Sécurité renforcée = des mesures techniques et organisationnelles appropriées doivent sécuriser les données d’identification d’âge, en tenant compte de leur sensibilité.
- Efficacité et proportionnalité = le dispositif doit être fiable et adapté au contexte d’utilisation.
- Base légale explicite = aucun traitement de données personnelles dans le cadre de la vérification de l’âge ne peut reposer sur un fondement juridique flou.
Pour un DPO, ce texte constitue un référentiel opposable. Toute plateforme ou application qui traite des données de mineurs, ou susceptible d’être utilisée par des mineurs, doit passer le test de ces sept critères.
Objets connectés et enfants : 10 principes pour la conformité RGPD de l’IoT
Le document conjoint sur les appareils domestiques connectés (smart TV, assistants vocaux, jouets connectés) est d’une précision remarquable. Il s’adresse aux fabricants, mais aussi aux organismes qui « déploient ces technologies dans leurs locaux ou les recommandent à leurs clients ».
Dix principes sont posés. Les plus structurants pour une mise en conformité RGPD sont les suivants :
- Confidentialité dès la conception et par défaut = géolocalisation, profilage comportemental et partage des données doivent être désactivés par défaut. C’est le principe de Privacy by Design RGPD appliqué à l’IoT.
- Consentement adapté à l’âge = les mécanismes de consentement doivent tenir compte du degré de maturité de l’enfant, et du consentement parental lorsque la loi l’exige.
- Pas de collecte passive invisible = tout appareil susceptible « d’écouter » doit notifier de façon visible lorsqu’il collecte des données personnelles.
- AIPD obligatoire = les fabricants doivent conduire une analyse d’impact relative à la protection des données dès lors que l’appareil est susceptible d’être utilisé par des enfants. Ce n’est pas une recommandation : c’est une exigence.
- Responsabilité dans la chaîne de sous-traitance = la responsabilité s’étend à l’ensemble des fournisseurs tiers intégrés dans l’écosystème de l’appareil.
- Conservation limitée = les données des enfants ne doivent pas être conservées au-delà de ce qui est nécessaire, et le registre des traitements RGPD doit le refléter.
Ce texte est un signal fort : les sanctions de la CNIL dans le domaine des objets connectés et de la protection des mineurs devraient s’intensifier dans les mois à venir. Les fabricants et distributeurs qui n’ont pas encore réalisé d’audit RGPD de leur gamme destinée aux enfants prennent un risque supplémentaire sérieux.
IA agentique et lunettes connectées : les prochains chantiers de conformité
Deux sujets ont occupé les discussions sans faire l’objet de textes formels, pour l’instant.
Les lunettes connectées constituent un cas d’usage inédit : elles permettent d’enregistrer en continu l’environnement du porteur, y compris des tiers non consentants et des mineurs présents dans l’espace public. La CNIL a produit un compendium des approches des autorités du G7 sur ce sujet, qui présage de futures recommandations.
Quant à l’IA agentique, systèmes d’IA capables d’agir de façon autonome, d’enchaîner des décisions et d’interagir avec d’autres outils sans intervention humaine, pose la question de la transparence algorithmique et de l’explicabilité de l’IA, dans des contextes où des mineurs sont impliqués. Les autorités ont expressément pointé la réduction du champ de l’intervention humaine comme défi central, directement articulé avec les obligations de l’IA Act.
Pour les DPO qui suivent la conformité IA Act de leur organisation : ces discussions annoncent que l’IA à haut risque impliquant des mineurs sera scrutée en priorité par les régulateurs.
Plan d’action : 5 étapes pour auditer votre conformité RGPD
Ces textes du G7 ne sont pas de simples déclarations d’intention. Ils s’inscrivent dans un contexte réglementaire où la CNIL intensifie ses contrôles sur la protection des données des mineurs. Voici les actions concrètes à mener :
- Cartographier tous les traitements impliquant des mineurs : application, objet connecté ou mécanisme de vérification de l’âge et les faire figurer dans votre registre des traitements RGPD.
- Déclencher une AIPD pour tout traitement susceptible de concerner des enfants. L’analyse d’impact doit couvrir les dimensions de l’IA agentique si des systèmes automatisés sont impliqués.
- Auditer les objets connectés présents dans vos locaux ou recommandés à vos clients : sont-ils configurés selon le principe de Privacy by Default ? Leur politique de confidentialité est-elle adaptée à l’âge des utilisateurs ?
- Vérifier la base légale de chaque traitement lié à la vérification de l’âge et s’assurer qu’aucune donnée collectée à cette fin n’est réutilisée à d’autres fins (profilage, ciblage).
- Former vos équipes sur les spécificités du traitement des données des mineurs, notamment les règles de consentement parental et les durées de conservation.
Perspectives et prochaines étapes
La prochaine édition de la table ronde aura lieu aux États-Unis en 2027, sous la présidence de la FTC américaine. D’ici là, les recommandations adoptées dans ce cadre serviront de base aux contrôles menés en France par la CNIL.
Pour les organisations qui n’ont pas encore structuré leur mise en conformité RGPD autour de la protection des mineurs, le risque devient palpable : une violation de données impliquant des enfants expose à des sanctions accrues, et le sujet est désormais au cœur de la coopération internationale entre régulateurs.
SOURCES :
