Mineurs et marketing par email : COPPA, le Children’s Code britannique et l’article 8 du RGPD

Dans tous les régimes de protection de la vie privée des enfants, une adresse email est une information personnelle concernant l’enfant : c’est sa collecte auprès d’un mineur qui déclenche l’application de la loi, avant même l’envoi du moindre message. Cet article couvre les trois cadres qu’un ESP et ses clients ont le plus de chances de rencontrer : la COPPA Rule américaine (moins de 13 ans), le Children’s Code britannique (moins de 18 ans) et les âges de consentement de l’article 8 du RGPD (de 13 à 16 ans selon les États membres). La mécanique générale du consentement figure dans Méthodes de consentement ; le droit du marketing destiné aux adultes, dans CAN-SPAM, LCAP et PECR britannique.

COPPA (États-Unis) : la règle des moins de 13 ans

Le Children’s Online Privacy Protection Act (1998) et la COPPA Rule de la FTC (16 C.F.R. Part 312 ; en vigueur le 21 avril 2000 ; modifiée avec effet au 1er juillet 2013 ; modifiée de nouveau le 22 avril 2025, consultez la règle révisée pour le texte en vigueur) donnent aux parents le contrôle de ce qui est collecté en ligne auprès des enfants de moins de 13 ans. L’application relève de la FTC (ainsi que des procureurs généraux des États et des autorités sectorielles) ; les sanctions civiles peuvent atteindre 53 088 $ par violation, et sont fixées selon des critères comprenant la gravité, les violations antérieures, le nombre d’enfants, le type d’informations, le partage avec des tiers et la taille de l’entreprise : certaines affaires se règlent sans sanction, d’autres pour des millions.

La COPPA s’applique si l’une de ces conditions est remplie :

1. le site ou le service s’adresse aux enfants de moins de 13 ans et collecte des informations personnelles auprès d’eux ;
2. il s’adresse aux enfants de moins de 13 ans et permet à d’autres de collecter des informations personnelles auprès d’eux (réseaux publicitaires, plug-ins : l’exploitant est responsable de la collecte par des tiers sur son service) ;
3. c’est un service grand public qui a effectivement connaissance du fait qu’il collecte des informations personnelles auprès d’un enfant de moins de 13 ans ; ou
4. il exploite un réseau publicitaire ou un plug-in en ayant effectivement connaissance du fait qu’il collecte des informations personnelles directement auprès des utilisateurs d’un service destiné aux enfants.

La notion de « service en ligne » est large : applications mobiles, plateformes de jeu, plug-ins, réseaux publicitaires, VoIP, jouets connectés et objets connectés, enceintes intelligentes. Les services étrangers destinés aux enfants américains (ou qui collectent sciemment auprès d’eux) sont couverts ; les services américains qui collectent auprès d’enfants étrangers aussi. Les organismes à but non lucratif hors du champ de la section 5 du FTC Act sont en général exemptés. Le Congrès s’est délibérément arrêté à 13 ans ; les adolescents sont hors du champ de la COPPA.

Les « informations personnelles » incluent l’adresse email

La liste de la règle : prénom et nom ; adresse postale (rue et ville ou commune) ; coordonnées en ligne, c’est-à-dire une adresse email ou tout identifiant permettant un contact direct (identifiants de messagerie instantanée, de VoIP ou de visioconférence, numéros de mobile) ; un pseudonyme ou nom d’utilisateur qui fait office de coordonnées en ligne ; numéro de téléphone ; identifiants délivrés par une autorité publique (numéro de sécurité sociale, carte d’identité d’un État, acte de naissance, passeport) ; identifiants persistants (identifiant de cookie, adresse IP, numéro de série ou identifiant unique de l’appareil) ; photo, vidéo ou enregistrement audio contenant l’image ou la voix d’un enfant ; géolocalisation suffisamment précise pour identifier une rue et une ville ou commune ; identifiants biométriques ; et toute information sur l’enfant ou le parent combinée à l’un de ces éléments.

« Collecter » comprend le fait de demander ou d’inciter à fournir une information même facultative, de permettre une publication publique, et le suivi passif.

Quand la collecte de l’adresse email d’un enfant déclenche la COPPA, et quand elle ne la déclenche pas

Les points de la FAQ relatifs à l’email, résumés :

Les identifiants persistants utilisés uniquement pour le fonctionnement interne du service (communication réseau, authentification, publicité contextuelle, plafonnement de la fréquence, sécurité, conformité, analyse d’audience, protection anti-spam, débogage) ne nécessitent ni information ni consentement ; en revanche, la publicité comportementale et la constitution de profils sont explicitement exclues de cette définition.

Le plan de conformité en six étapes de la FTC

1. Déterminer si la règle s’applique : appliquer les quatre critères ci-dessus ; le fait d’« être destiné aux enfants » s’apprécie au regard du sujet, du contenu visuel ou sonore, des personnages animés, des activités et incitations adaptées aux enfants, de l’âge des modèles, des célébrités enfantines, des publicités destinées aux enfants et des données empiriques sur l’audience. Une clause des conditions d’utilisation interdisant l’accès aux moins de 13 ans n’empêche pas le service d’être destiné aux enfants.
2. Publier une politique de confidentialité conforme à la COPPA : lien clair et visible sur la page d’accueil et à chaque point de collecte ; lister tous les exploitants qui collectent par le service (nom et adresse, téléphone ou email ; un seul peut répondre aux demandes, mais tous doivent être listés) ; décrire les types d’informations collectées, leurs utilisations et les divulgations à des tiers ; indiquer une politique de conservation des données avec un délai de suppression (la conservation indéfinie est interdite, un point sur lequel insiste la modification de 2025) ; décrire les droits des parents.
3. Informer directement les parents avant la collecte : l’information doit contenir les faits essentiels dans l’avis lui-même (un simple lien vers la politique de confidentialité n’est pas conforme, même si un lien doit aussi être inclus) : que vous avez collecté les coordonnées du parent pour demander son consentement, ce que vous souhaitez collecter, comment ce sera utilisé ou divulgué, comment consentir, et que vous supprimerez les coordonnées du parent si le consentement n’arrive pas dans un délai raisonnable. Nouvelle information et nouveau consentement en cas de changement important.
4. Consentement parental vérifiable avant la collecte, l’utilisation ou la divulgation. Méthodes admises : formulaire de consentement signé (courrier, télécopie, numérisation) ; carte de crédit ou de débit ou paiement en ligne avec notification de la transaction au titulaire du compte ; appel à un numéro gratuit ou visioconférence avec un personnel formé ; vérification d’une pièce d’identité officielle dans une base de données (supprimer la pièce après vérification) ; questions de contrôle fondées sur des connaissances ; pièce d’identité avec photo et comparaison par reconnaissance faciale avec une seconde photo soumise (supprimer après la comparaison). Si les données sont utilisées en interne uniquement (aucune divulgation, rien de public), la méthode « email plus » suffit : consentement par email de retour accompagné d’une étape de confirmation (appel, télécopie ou lettre de suivi, ou message de confirmation différé rappelant l’information et la manière de révoquer le consentement). La simple saisie d’un mot de passe de boutique d’applications ne garantit pas suffisamment que c’est le parent qui consent. Un consentement distinct est requis pour la divulgation à des tiers, sauf si elle fait partie intégrante du service.
5. Respecter les droits continus des parents : sur demande, permettre de consulter les données de l’enfant, de révoquer le consentement ou de refuser toute nouvelle collecte, et de supprimer. Vérifiez que vous avez bien affaire au parent (un code PIN ou un mot de passe remis lors du consentement aide) ; le service ne peut être interrompu en cas de révocation que si les données sont raisonnablement nécessaires à la participation.
6. Sécurité, conservation, suppression : programme écrit de sécurité de l’information avec des garanties proportionnées à la sensibilité des données et à la taille de l’entreprise ; ne communiquer les données qu’à des parties capables de les protéger, avec des assurances écrites ; politique écrite de conservation et de suppression ; minimiser la collecte ; ne conserver les données que le temps raisonnablement nécessaire, puis les détruire de manière sécurisée.

Les contrôles d’âge au regard de la COPPA

• Un service grand public n’est pas tenu de demander l’âge, et peut bloquer entièrement les moins de 13 ans. S’il contrôle l’âge, ce contrôle doit être neutre : saisie libre du mois et de l’année de naissance ; pas de listes déroulantes ne proposant que des années de naissance correspondant à 13 ans et plus ; pas de case « j’ai plus de 12 ans » ; pas d’avertissement indiquant que les moins de 13 ans ne peuvent pas participer ou doivent demander à un parent (ce qui incite à mentir) ; le personnel de la FTC recommande un cookie empêchant de revenir en arrière pour saisir un autre âge. Demander l’âge sans ensuite exclure les enfants ou obtenir le consentement engage la responsabilité (affaires de la FTC : Path, Playdom, Sony BMG, Yelp).
• Un service à audience mixte (destiné aux enfants au regard des critères, mais dont les enfants ne sont pas l’audience principale) peut contrôler l’âge, mais ne peut pas bloquer les moins de 13 ans : il doit soit ne pas collecter d’informations auprès d’eux, soit obtenir le consentement parental. Il ne doit collecter aucune information personnelle avant la question sur l’âge. Un problème de mathématiques à la place d’une question sur l’âge est inadéquat (admis seulement en complément).
• Un service destiné aux enfants (dont les enfants sont l’audience principale) ne peut pas du tout contrôler l’âge : chaque visiteur bénéficie des protections de la COPPA.
• Les exploitants peuvent se fier aux informations d’âge saisies par les utilisateurs sur un écran neutre, même si elles sont fausses ; la connaissance effective survient ultérieurement (par exemple la plainte d’un parent, ou une publication modérée révélant l’âge ou la classe) et impose alors consentement ou suppression.

Le Children’s Code britannique (Age Appropriate Design Code)

Le code légal de l’ICO pris en application du DPA 2018 s’applique aux « services de la société de l’information susceptibles d’être utilisés par des enfants » ("information society services likely to be accessed by children"), les enfants s’entendant des moins de 18 ans, un périmètre bien plus large que celui des moins de 13 ans de la COPPA. « Susceptibles d’être utilisés » couvre les services que les enfants utilisent même lorsqu’ils n’en sont pas le public cible. Il s’étend aux applications, jeux, moteurs de recherche, plateformes sociales, places de marché, services de streaming, sites d’information et éducatifs et jouets connectés, ainsi qu’aux entreprises non britanniques qui traitent des données d’enfants britanniques. Il ne s’applique pas aux écoles (même si les fournisseurs de technologies éducatives au service des écoles peuvent être concernés). Le respect du code est la grille par laquelle l’ICO apprécie la conformité à l’UK GDPR et au DPA 2018 pour les données d’enfants ; les manquements sont donc sanctionnés avec les outils habituels de l’UK GDPR.

Les 15 normes (celles qui concernent l’email et le marketing sont en gras) :

Pour le marketing par email, le code s’applique par les normes 3, 7, 8, 12 et 13 : un parcours d’inscription « susceptible d’être utilisé » par des moins de 18 ans ne peut pas précocher les options de marketing, pousser les mineurs à accepter l’opt-in, les profiler par défaut à des fins de ciblage, ni recueillir une adresse email au-delà de ce qu’exige la fonction demandée ; et si le service ne procède à aucune vérification de l’âge, il doit appliquer ces paramètres protecteurs des enfants à tout le monde.

L’article 8 du RGPD : âges du consentement pour les services de la société de l’information

Lorsqu’un service de la société de l’information est proposé directement à un enfant et repose sur le consentement (article 6, paragraphe 1, point a)), la base légale qu’utilise normalement le marketing par email, l’article 8 ne rend le consentement de l’enfant lui-même valable qu’à partir de 16 ans ; en dessous, « ce traitement n’est licite que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant ». Les États membres peuvent abaisser ce seuil par la loi, mais pas en dessous de 13 ans : l’âge du consentement numérique varie donc de 13 à 16 ans dans l’UE (le Royaume-Uni a fixé 13 ans dans le Data Protection Act 2018, ce qui explique que les lignes directrices de l’ICO sur le marketing retiennent 13 ans comme seuil minimal pour le consentement propre d’un mineur). Le responsable du traitement « s’efforce raisonnablement de vérifier » que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale, « compte tenu des moyens technologiques disponibles ». Conséquence pratique pour un formulaire d’inscription destiné à l’Europe : en dessous de l’âge national applicable, l’opt-in donné par l’enfant lui-même est nul en tant que base de consentement ; à partir de cet âge, un simple opt-in fonctionne, mais les règles de qualité du consentement du PECR et d’ePrivacy s’appliquent toujours.

Conséquences pour la politique d’un ESP

Ce que les trois régimes impliquent ensemble pour les règles de la plateforme d’un ESP et pour les formulaires de ses clients :

• Contrôles d’âge sur les formulaires d’inscription. Les formulaires hébergés destinés au grand public qui veulent exclure les mineurs devraient utiliser un champ de date de naissance neutre (jamais un sélecteur limité à 13 ou 16 ans et plus, jamais une case « j’ai plus de N ans », aucun texte dissuasif) et conserver la réponse (cookie) pour empêcher les nouvelles tentatives par retour arrière. Bloquer les répondants n’ayant pas l’âge requis est licite pour les services grand public dans tous les régimes ; le piège consiste à demander l’âge puis à ignorer la réponse, ce qui transforme l’ignorance en connaissance effective.
• Les clients qui s’adressent aux enfants constituent une catégorie de risque à part. Un client dont l’audience est composée d’enfants a besoin de la mécanique de la COPPA (information directe, consentement parental vérifiable, opposition proposée au parent pour l’exception du contact multiple ou de la newsletter), qu’un parcours standard d’inscription puis de confirmation ne fournit pas. Un ESP devrait soit prendre en charge un recueil du consentement par l’intermédiaire du parent (adresse du parent collectée avec celle de l’enfant, information envoyée au parent, opposition respectée avant tout envoi continu), soit interdire les listes destinées aux enfants dans sa politique d’utilisation acceptable.
• Les preuves de consentement doivent montrer de qui émane le consentement. Pour les mineurs, la preuve du consentement doit comporter l’identité et les coordonnées du parent ainsi que la méthode de vérification utilisée : un opt-in horodaté provenant de l’adresse de l’enfant lui-même ne prouve rien dans aucun de ces régimes.
• La suppression fait partie du cycle de vie. Les exceptions de contact unique de la COPPA et le droit de révocation du parent, les normes de minimisation et de conservation du Children’s Code et le droit à l’effacement du RGPD imposent tous des circuits de suppression rapides et prouvables pour les adresses d’enfants, et pas seulement une mise en suppression.
• Hygiène de la connaissance effective. Les tickets de support, les réponses et le contenu des plaintes qui révèlent qu’un abonné est un enfant créent une connaissance effective pour l’expéditeur (et, on peut le soutenir, pour l’ESP qui traite les données pour son compte). Les réponses conformes sont le consentement parental ou la suppression : continuer d’envoyer constitue la violation.
• Le droit du marketing s’applique toujours en plus. Rien de ce qui précède ne remplace CAN-SPAM, la LCAP ou le PECR : une newsletter pour enfants consentie par un parent exige toujours des en-têtes véridiques, une identification et un désabonnement fonctionnel.

Ces synthèses reflètent les lignes directrices publiées par les autorités (la FTC dans sa révision du plan en six étapes de mai 2026 et la modification de la COPPA Rule du 22 avril 2025 ; le texte du code de l’ICO tel que publié) et ne constituent pas un avis juridique.