Le Conseil constitutionnel, décision n° 2026-911 DC du 14 août 2026, a censuré l’interdiction générale d’accès aux réseaux sociaux pour les moins de 15 ans.

La décision ne condamne pas le principe d’une protection renforcée des mineurs. Elle sanctionne un dispositif trop large et insuffisamment encadré.

D’un côté, l’interdiction concernait un très grand nombre de services sans distinction suffisante selon leur nature, leurs fonctionnalités ou les risques qu’ils présentent. Le Conseil y voit une atteinte disproportionnée à la liberté de communication garantie par l’article 11 de la DDHC. 

De l’autre, faire respecter un seuil d’accès de 15 ans suppose de vérifier l’âge de tous les utilisateurs, y compris majeurs. Or le texte ne définissait pas suffisamment les modalités du contrôle ni les garanties protégeant la vie privée, garantie par l’article 2 de la DDHC. 

Pour les plateformes, l’enjeu est donc moins l’« identification » que la preuve d’attribut. Si la seule information juridiquement nécessaire est « l’utilisateur a 15 ans ou plus », le système ne devrait pas collecter davantage d’informations que celles nécessaires pour établir ce fait.

Cette logique rejoint directement l’article 28 du DSA. Les plateformes accessibles aux mineurs doivent mettre en place des mesures appropriées et proportionnées pour assurer un niveau élevé de protection. L’article 28 §3 précise également que cette obligation ne doit pas, à elle seule, conduire à traiter des données personnelles supplémentaires uniquement pour déterminer si l’utilisateur est mineur.

Les lignes directrices de la Commission sur la protection des mineurs vont dans le même sens. L’age assurance doit être proportionnée au risque du service et conçue avec des garanties élevées de confidentialité, de sécurité, de fiabilité et de non-discrimination. 

La solution européenne de vérification d’âge montre concrètement comment traduire cette exigence dans l’architecture technique.

Le principe est simple. L’utilisateur certifie son âge via un document d’identité, un moyen d’identification électronique ou un tiers de confiance. L’application conserve uniquement l’information attestant qu’il dépasse le seuil d’âge. Le nom, la date de naissance et les autres données d’identité ne sont pas transmis à la plateforme. Lorsque celle-ci demande une vérification, elle reçoit seulement une réponse du type « âge supérieur au seuil requis : vrai ».

La Commission indique également que la solution repose sur des mécanismes de preuve à divulgation nulle de connaissance. L’objectif est d’empêcher la plateforme d’identifier l’utilisateur ou de relier entre elles ses différentes vérifications.

Pour un projet d’age assurance, le dossier de conformité devrait donc démontrer cinq points techniques :

  1. Le seuil d’âge doit être juridiquement justifié.
  2. La méthode de preuve doit être proportionnée au niveau de risque du service.
  3. La donnée transmise doit être limitée à l’attribut nécessaire, par exemple « 15 ans ou plus ».
  4. La conservation des données doit être réduite au strict nécessaire.
  5. Les erreurs de vérification, contestations et mécanismes de recours doivent être documentés.

La logique opérationnelle devient donc : seuil juridiquement requis → preuve d’âge minimale → absence d’identité inutile → conservation limitée → garanties vérifiables.

La décision du 14 août 2026 doit ainsi être lue comme une exigence d’architecture. Protéger les mineurs n’autorise pas, par principe, à transformer la vérification d’âge en dispositif général d’identification.