Vérification d'âge numérique : ce que proposent l'Espagne et l'UE pour protéger les mineurs

Le 3 février 2026, Pedro Sánchez a annoncé que le Gouvernement impulserait des mesures pour interdire l'accès aux plateformes numériques aux mineurs de moins de 16 ans. C'était une annonce politique, non la confirmation que cette interdiction était déjà en vigueur : la source officielle enregistre la proposition et le paquet de mesures, mais n'atteste pas à elle seule de l'approbation ni de la date d'application d'une loi.

La distinction compte pour les familles et les entreprises. Une proposition d'âge minimum peut anticiper des changements, mais ne doit pas être traitée comme une obligation légale déjà opérationnelle. En revanche, le Règlement sur les services numériques (DSA) établit déjà des obligations pour les plateformes en ligne accessibles aux mineurs, et l'article 28 exige des mesures adéquates et proportionnées pour assurer un haut niveau de confidentialité, de sécurité et de protection de ces utilisateurs.

Il convient également de séparer cette discussion de l'âge pour consentir au traitement de données personnelles. La CNPD indique qu'en Espagne, un mineur peut consentir lui-même à ce traitement à partir de 14 ans ; en dessous de ce seuil, lorsque le traitement repose sur le consentement, celui-ci doit être donné par l'exercice de l'autorité parentale ou de la tutelle. Cela n'équivaut pas à un âge général d'accès aux réseaux sociaux ni ne prouve que le seuil a déjà été élevé à 16 ans.

La CNPD et la Commission nationale des marchés et de la concurrence (CNMC) ont publié conjointement, le 24 mars 2026, une explication sur l'article 28 du DSA et la garantie d'âge. Leur approche ne consiste pas à imposer une méthode unique de vérification : les mesures doivent être adéquates et proportionnées au service et doivent protéger les mineurs sans cesser de respecter les droits des autres utilisateurs.

Le guide lie la protection de l'enfance aux obligations de confidentialité du RGPD. Parmi les critères qu'il met en avant figurent l'évitement du profilage et le choix de solutions permettant d'attester une condition —par exemple, avoir l'âge requis— sans révéler plus d'informations personnelles que nécessaire. La vérification d'âge ne doit pas devenir automatiquement une identification : vérifier que quelqu'un atteint un seuil et savoir qui il est sont des opérations distinctes.

Pour ceux qui gèrent une plateforme, la décision pratique est d'évaluer le risque et le but avant de déployer une barrière. Une mesure utile pour restreindre le contenu adulte n'est pas nécessairement adaptée à tout service ou groupe d'âge. Les informations disponibles n'établissent pas une règle universelle obligeant toutes les plateformes à demander des pièces d'identité à chaque utilisateur.

La CNPD et la CNMC mentionnent des mécanismes de confidentialité, notamment les jetons anonymes et le Portefeuille d'Identité Numérique de l'UE. L'idée est qu'une personne puisse démontrer qu'elle atteint un seuil sans que le service reçoive nécessairement son identité complète. Cela décrit une approche favorisée par les directives ; cela ne signifie pas que toutes les plateformes l'utilisent déjà ni que chaque implémentation offre des garanties identiques.

La Commission européenne développe également une solution de vérification d'âge. Selon sa page officielle, elle a présenté un plan en juillet 2025 et la solution était prête à l'emploi le 15 avril 2026. La description indique qu'elle permet de prouver qu'on a plus de 18 ans sans partager d'autres informations personnelles. Ce périmètre concret est pour les plus de 18 ans : il ne suffit pas pour affirmer que le système résout à lui seul une vérification du seuil espagnol de 16 ans.

Le projet initial faisait référence à l'authentification multifacteur et à des méthodes résistantes au phishing, mais les sources disponibles ne soutiennent pas qu'il s'agisse de technologies spécifiquement évaluées ou exigées par la CNPD à cette fin. Il ne correspond pas non plus de présenter des identifiants uniques comme un mandat général. La formulation vérifiable est plus restreinte : les autorités promeuvent des options préservant la confidentialité et évitant le profilage des utilisateurs, tandis que la solution technique dépend du contexte et de sa conception.

Une vérification d'âge peut impliquer des documents, des images ou des données biométriques, mais toutes les solutions ne nécessitent pas de collecter ou de conserver ces informations de la même manière. Le débat consiste à limiter l'exposition des données : si une plateforme reçoit un signal d'éligibilité au lieu d'une copie du document, elle réduit les informations qu'elle peut associer directement à un compte, bien que le résultat dépende de la construction du système.

La CNPD et la CNMC mettent en avant des mécanismes préservant la confidentialité et évitant le profilage. Cette orientation ne démontre pas qu'un jeton ou un portefeuille soit anonyme dans tous les scénarios : l'émission de l'identifiant, la manière de le présenter, la possibilité de le réutiliser et les registres conservés par chaque participant comptent. La protection dépend du flux complet, pas seulement du nom d'une technologie.

Pour les utilisateurs et les familles, une question utile face à une demande de vérification est quelle donnée est collectée, qui la reçoit, pendant combien de temps elle est conservée et si elle est réutilisée à d'autres fins. Pour une entreprise, ces mêmes questions aident à comparer une vérification ponctuelle avec des systèmes pouvant lier identité, activité et compte. La minimisation réduit l'exposition, mais n'élimine pas à elle seule tous les risques de sécurité ou d'usage abusif.

La vérification d'âge et la protection des mineurs peuvent affecter la manière dont une plateforme organise ses comptes, contenus et traitements de données. Toutefois, les sources n'attestent pas d'un changement automatique du modèle publicitaire ni d'une interdiction générale de la publicité personnalisée comme conséquence directe de la proposition espagnole ou des directives d'âge.

L'effet dépend de décisions réglementaires ultérieures, du type de service et de la manière dont l'information est obtenue et utilisée. Les directives promouvant l'évitement du profilage sont pertinentes pour concevoir des systèmes de vérification, mais n'équivalent pas à une conclusion selon laquelle toutes les plateformes doivent retirer la segmentation publicitaire ou l'ont déjà fait.

Pour les responsables de la conformité, la mesure prudente est de distinguer les obligations en vigueur des changements annoncés et de documenter la nécessité de chaque donnée. Pour les parents et les utilisateurs, il convient de ne pas confondre une vérification d'âge avec une autorisation générale de tracer ou de profiler. La conclusion pratique : vérifier le minimum nécessaire et ne pas traiter une proposition politique comme une norme déjà appliquée.