Loi du 24 août 2026 et “Majorité Numérique” : une fausse bonne idée ?

Les multiples dangers auxquels les enfants se trouvent exposés du fait de leur présence en ligne placent depuis longtemps la question de leur protection numérique au cœur des préoccupations des spécialistes.

Depuis quelques mois, toutefois, les pouvoirs judiciaire et législatif paraissent s'en saisir à leur tour. Outre-Atlantique, l'affaire Meta en offre une illustration parfaite. Accusé par une coalition de procureurs généraux d'avoir trompé les consommateurs sur le traitement réservé aux comptes de mineurs sur ses plateformes — conçues pour être addictives — et d'avoir toléré l'inscription d'enfants de moins de treize ans, le groupe s'exposait à une pénalité dont le montant théorique pouvait avoisiner 200 milliards de dollars. Il devait finalement y échapper en concluant, avec la quasi-totalité des États américains, un protocole transactionnel d'environ 18 milliards de dollars.

De ce côté-ci de l'Atlantique, l'été aura, sur ce terrain, fait couler beaucoup d'encre. Saisi avant promulgation, le Conseil constitutionnel a en effet censuré, par sa décision n° 2026-911 DC du 14 août 2026, la disposition centrale de la loi visant à protéger les mineurs des risques auxquels les expose l'utilisation des réseaux sociaux.

L'article 1er du texte — qui instaurait une interdiction générale d'accès des mineurs de moins de quinze ans aux services de réseaux sociaux en ligne — se trouvant ainsi invalidé, le débat est relancé, entre l'impératif de protection de l'enfance et les exigences tenant au respect de la vie privée et à la cybersécurité.

ACTE I - Le fondement légal

Dès 2012, la Commission européenne avait dit vouloir se saisir de la protection des enfants dans l'espace numérique en adoptant une « stratégie européenne pour un internet mieux adapté aux enfants », renouvelée en 2022. C'est dans ce prolongement que, le 14 juillet 2025, elle a publié des lignes directrices précisant les obligations que l'article 28 du règlement sur les services numériques (DSA, règl. [UE] 2022/2065) fait peser sur les plateformes en ligne en matière de protection des mineurs, au premier rang desquelles la mise en œuvre de mesures d'assurance et de vérification de l'âge.

Encore fallait-il déterminer ce qui autorisait un État membre à convertir ces exigences en une interdiction générale d'accès fondée sur l'âge. C'est sur l'article 28 et sur ces lignes directrices que le législateur français a cru pouvoir s'appuyer : celles-ci admettent que la vérification de l'âge constitue une mesure appropriée lorsque le droit national fixe un âge minimal. De cette formule, l'exposé des motifs de l'amendement gouvernemental a déduit que les lignes directrices auraient « consacré la pleine légitimité » d'un État membre à instituer un tel seuil. Mais la formule présuppose la compétence nationale ; elle ne la fonde pas. En se plaçant en aval — quelles mesures les plateformes doivent adopter —, les lignes directrices laissent entière la question posée en amont : un État peut-il, seul, édicter une interdiction générale d'accès dans un domaine que le DSA a entendu harmoniser de manière exhaustive ?

Or c'est précisément cette compétence qui fait défaut. Dépourvues de portée contraignante et adressées aux seules plateformes, les lignes directrices ne confèrent aux États aucun pouvoir normatif nouveau et ne sauraient les habiliter à prohiber l'accès sur le seul critère de l'âge. Le Conseil d'État l'avait souligné dès son avis du 8 janvier 2026, en relevant qu'une obligation de contrôle mise à la charge des plateformes empièterait sur un champ harmonisé ; et la manœuvre consistant à adresser formellement l'interdiction aux mineurs plutôt qu'aux plateformes n'en modifiait pas la substance. La Commission devait le confirmer par un avis circonstancié du 6 juillet 2026 : sans contester le principe même d'un âge minimal, elle jugeait que le texte empiétait sur le cadre de coopération du règlement.

Restait alors le fondement interne, que nul ne discutait : l'article 34 de la Constitution réserve à la loi la fixation des règles concernant les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques, au nombre desquelles figure la liberté d'expression et de communication issue de l'article 11 de la Déclaration de 1789. C'est sur ce terrain que le législateur a donc entendu intervenir.

ACTE II - Les objectifs poursuivis par le législateur français

Le législateur a dit vouloir prémunir les plus jeunes contre un faisceau de risques : addiction, isolement, exposition à la pornographie, au harcèlement ou à la fraude - dont l'ampleur en fait un véritable enjeu de santé et de sécurité publiques ; ce sont les termes mêmes que retiendra le Conseil constitutionnel (§ 10). Mû par l'exigence constitutionnelle de protection de l'intérêt supérieur de l'enfant et par l'objectif de valeur constitutionnelle de prévention des atteintes à l'ordre public, le texte insérait, dans la loi du 21 juin 2004, une section 3 bis intitulée « Protection des mineurs en ligne », dont l'article 6-9 instituait une interdiction générale d'accès des mineurs de moins de quinze ans aux plateformes de réseaux sociaux en ligne.

Sa mise en œuvre reposait sur un encadrement à deux niveaux. D'une part, certaines catégories de services étaient exclues du champ de l'interdiction : encyclopédies en ligne, répertoires éducatifs ou scientifiques, plateformes de développement et de partage de logiciels libres ou de projets numériques à vocation éducative en source ouverte. D'autre part, le contrôle était confié à l'Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), chargée de signaler tout manquement, y compris de la part de plateformes établies dans d'autres États membres.

Restait une question laissée entière : celle de la vérification, en amont, de l'âge des utilisateurs. Modalités de collecte (reconnaissance faciale, lecture d'un titre d'identité, consentement parental), conservation et suppression des données, désignation d'un opérateur public ou privé responsable — le texte n'en disait rien. Ce silence résonnait d'autant plus fort avec la série de compromissions qui venait de frapper des fichiers publics et professionnels : la fuite de l'Agence nationale des titres sécurisés, détectée en avril 2026, avait exposé 11,7 millions de comptes ; la cyberattaque du notariat, révélée en septembre, devait confirmer, après la censure, l'ampleur de l'enjeu.

Acte III - Le point de bascule : entre fragilité juridique et infaisabilité manifeste

Dès le 8 janvier 2026, consulté sur la proposition de loi, le Conseil d'État avait alerté sur la fragilité du dispositif : une interdiction générale et absolue, s'étendant à des services ne présentant aucun risque avéré pour les mineurs, lui paraissait disproportionnée au regard de la liberté de communication des enfants et des prérogatives des titulaires de l'autorité parentale — l'exposant ainsi à un risque frontal de censure.

À l'issue de l'adoption du texte, et sans en contester l'objectif, deux saisines parlementaires ont déféré la loi au Conseil constitutionnel, les 23 et 24 juillet 2026. La critique se concentrait sur la faisabilité et la proportionnalité de la mesure.

Trois séries de griefs étaient soulevées : d'abord, une interdiction générale ne distinguant ni selon la nature des services, ni selon leurs fonctionnalités, ni selon les risques réellement générés, et privant les titulaires de l'autorité parentale de toute appréciation individualisée dans l'intérêt de l'enfant ; ensuite, une incompétence négative, faute d'avoir encadré les modalités techniques de vérification de l'âge et le traitement des données sensibles qu'elle impliquait ; enfin, une imprécision du champ d'application, quant aux sanctions applicables comme au sort des fonctionnalités sociales accessoires de certaines plateformes.

Acte IV - Le dénouement : une loi « ni adaptée, ni nécessaire, ni proportionnée »

La décision n° 2026-911 DC du 14 août 2026 tranche en des termes qui ne sont pas anodins. Le Conseil rappelle d'abord que la liberté de communication, garantie par l'article 11 de la Déclaration de 1789, implique — eu égard à l'importance prise par les services numériques dans la participation à la vie démocratique — la liberté d'y accéder et de s'y exprimer, y compris pour les mineurs (§ 6).

Ce n'est pas la légitimité de l'objectif qui emporte la censure : le Conseil admet que la protection de l'intérêt supérieur de l'enfant et la prévention des atteintes à l'ordre public justifient une limitation de l'accès des mineurs (§ 10). C'est le contrôle de proportionnalité qui se révèle fatal, autour de deux motifs. D'une part, l'interdiction ne comporte aucune distinction tenant aux fonctionnalités, aux contenus ou aux dangers propres à chaque service, les exceptions demeurant trop limitées pour exclure les plateformes dont la dangerosité n'est pas établie (§§ 11-13).

D'autre part, aucune disposition ne permet aux titulaires de l'autorité parentale, informés des risques et garanties propres à chaque service, de lever l'interdiction ou d'en moduler la portée dans l'intérêt de l'enfant, l'interdiction ne donnant lieu à aucune appréciation du risque tenant compte de l'âge, de la maturité ou de la situation familiale du mineur (§§ 14-16). Le Conseil en conclut que l'atteinte portée à la liberté d'expression et de communication n'est ni adaptée, ni nécessaire, ni proportionnée à l'objectif poursuivi (§ 18).

La décision ne s'arrête pas là. Le Conseil relève qu'en imposant de facto une vérification d'âge généralisée, le dispositif contraint toute personne, même majeure, à justifier de son âge avant d'accéder à ces services (§ 20). Faute d'en avoir déterminé les conditions et les limites, le législateur n'a pas prévu les garanties légales propres à assurer le droit au respect de la vie privée, protégé par l'article 2 de la Déclaration de 1789 (§ 21). Ce dernier motif procède, en réalité, d'une incompétence négative : mais le Conseil la sanctionne en ce qu'elle affecte un droit garanti, non comme grief autonome — qu'il se dispense d'examiner, comme les autres (§ 22).

Seul l'article 1er est déclaré contraire à la Constitution ; le reste de la loi, notamment l'extension aux lycées de l'interdiction du téléphone portable, demeure en vigueur, le Conseil ne s'étant pas saisi d'office des autres dispositions (§ 23).

Comme le soulignaient plusieurs contributions extérieures adressées au Conseil (M. Sacha Sydoryk, docteur en droit public ; les associations Bon Sens et ONEST — Organisation nationale éthique, santé et transparence ; ainsi que l'ASIC, Association des services internet communautaires), le texte était, en l'état, matériellement inexécutable. Pis : il contrevenait à ses propres objectifs et laissait ouverte la porte à d'importantes failles touchant les données personnelles des mineurs.

Acte V - Le danger pour la protection des données personnelles des mineurs

La loi a été promulguée le 24 août 2026 (loi n° 2026-813), amputée de son article phare, l'exécutif affichant l'ambition d'aboutir à brève échéance à un texte conforme. Mais, au-delà de la censure, la décision du 14 août délivre un enseignement qui déborde le seul enjeu de la majorité numérique : aucune politique de protection des mineurs en ligne ne peut s'affranchir du droit des données à caractère personnel.

Dès lors qu'un dispositif de vérification d'âge suppose la collecte ou le traitement de données indirectement révélatrices de l'identité, de l'âge ou des habitudes de navigation, il incombe au législateur d'en fixer précisément les responsables, les finalités, les modalités techniques et le régime de sanctions — faute de quoi il encourt le grief d'incompétence négative, rattaché ici, on l'a vu, au droit au respect de la vie privée.

Cette exigence fait écho aux principes structurants du RGPD — minimisation, finalité déterminée, sécurité des traitements — et, plus spécialement, à son article 9 lorsque la vérification repose sur des données biométriques, catégorie dont le traitement est en principe prohibé, sauf exceptions strictement encadrées. Or, sur ce terrain, la mécanique retenue reposait sur un pari intenable : déléguer à des prestataires privés la vérification de l'âge de mineurs. L'affaire Persona, révélée en février 2026, en administre la démonstration. Derrière l'estimateur d'âge auquel recourent Roblox, Discord, Reddit ou ChatGPT, des chercheurs ont mis au jour une architecture de surveillance biométrique à 269 contrôles distincts, hébergée sur un serveur gouvernemental américain, avec une conservation des empreintes faciales et des pièces d'identité pouvant atteindre trois ans — bien loin des promesses de suppression immédiate. Discord a rompu son partenariat ; il reste que confier les données les plus sensibles d'une population mineure à des opérateurs dont la protection n'est pas le métier, et qui échappent largement au contrôle des autorités nationales, revient à déplacer le risque plutôt qu'à le réduire.

Ce pari est d'autant plus imprudent que l'État se révèle lui-même incapable de garantir les données qu'il détient. La France est devenue une passoire numérique : deuxième pays au monde le plus touché par les fuites de données au premier semestre 2026, derrière les seuls États-Unis, avec plus de 43 millions de comptes compromis. La chronique récente est accablante — 11,7 millions de comptes exposés à l'ANTS en avril, près de 3,5 millions d'élèves à la suite de la compromission d'ÉduConnect, plus de cinq cents offices notariaux infiltrés — et elle vise, jusque dans les fichiers scolaires, les mineurs mêmes que la loi prétendait protéger. Imposer à tous, majeurs comme mineurs, de prouver leur âge, c'est multiplier les points de collecte au moment précis où l'État peine à sécuriser les siens.

À cette impuissance s'ajoute une asymétrie révélatrice des régimes de responsabilité. La Commission européenne peut, par la voie de la CJUE, faire condamner l'État français — comme elle l'a entrepris le 8 juillet 2026 pour le défaut de transposition de la directive NIS2, près de deux ans après l'échéance du 17 octobre 2024, en réclamant somme forfaitaire et astreintes journalières. La CNIL, elle, en est privée : l'article 20 de la loi du 6 janvier 1978 exclut expressément qu'une amende administrative soit infligée « lorsque le traitement est mis en œuvre par l'État », seuls des établissements publics distincts de lui — telle la RATP, sanctionnée en 2021 — demeurant justiciables de ce pouvoir. Lorsque l'État agit lui-même comme responsable de traitement, directement ou par prestataires interposés, le gardien national des données se trouve désarmé.

Que la directive NIS2 — destinée précisément à renforcer les exigences de cybersécurité et de gestion des risques pesant sur les opérateurs numériques — demeure non transposée près de deux ans après l'échéance, au point de valoir à la France un renvoi devant la Cour de justice, en dit long : le retard ne procède pas d'une difficulté technique, mais d'un défaut de volonté politique, le texte de transposition restant prisonnier des arbitrages parlementaires. Comment, dans ces conditions, exiger des plateformes une rigueur que l'État ne s'impose pas à lui-même ?

Le législateur devra donc, pour sa prochaine tentative, résoudre une équation à quatre inconnues : l'efficacité protectrice, la proportionnalité de l'atteinte à la liberté d'expression, la robustesse des garanties dues à la vie privée des mineurs comme des majeurs, et la cohérence d'un cadre de cybersécurité et de responsabilité applicable aux opérateurs chargés, en pratique, de mettre en œuvre cette protection. Faute de quoi la protection annoncée ne serait qu'un trompe-l'œil — une porte close sur la rue, ouverte sur la cour.

Affaire à suivre.