Notes de veilleNote de veille
Digital identity of minors: special precautions
Une identité créée à la naissance accompagne une personne toute sa vie, sans qu'elle l'ait choisie. Les systèmes d'identité numérique qui concernent des enfants appellent des règles de conception propres, que les textes européens et internationaux dessinent déjà.
Un enfant enregistré aujourd’hui à la naissance portera le même identifiant dans soixante-dix ou quatre-vingts ans. Les choix faits pour lui (quelles données, quelle biométrie, quels accès) l’ont été par d’autres, à un âge où il ne pouvait rien en dire. C’est la raison pour laquelle, entre identité numérique et protection des enfants, les textes ne se contentent pas d’appliquer aux mineurs les règles des adultes : ils demandent des précautions supplémentaires, que les concepteurs de systèmes ont intérêt à anticiper.
Un droit à l’identité, et une protection renforcée
Le point de départ est la Convention internationale relative aux droits de l’enfant, adoptée par l’ONU en 1989. Son article 7 prévoit que l’enfant est enregistré aussitôt sa naissance ; son article 8 protège le droit de préserver son identité ; son article 16, sa vie privée. L’identité est donc d’abord un droit : un enfant non enregistré est un enfant invisible, privé d’accès à l’école, aux soins ou à la protection. L’UNICEF rappelle régulièrement qu’une part importante des naissances dans le monde n’est toujours pas déclarée.
En Europe, le RGPD ajoute la protection. Son considérant 38 reconnaît que les enfants méritent une protection spécifique de leurs données. Son article 8 fixe à 16 ans l’âge du consentement pour les services en ligne, les États pouvant l’abaisser jusqu’à 13 ans (la France l’a fixé à 15 ans). Et le droit à l’effacement s’applique avec une force particulière aux données collectées quand la personne était enfant. Le règlement sur les services numériques, pleinement applicable depuis février 2024, impose en outre aux plateformes accessibles aux mineurs un niveau élevé de protection et leur interdit la publicité ciblée fondée sur le profilage des mineurs.
Protéger les mineurs en ligne pousse à vérifier l’âge de tous les utilisateurs. Mal conçue, cette vérification crée exactement ce qu’il fallait éviter : des bases de données qui relient une identité réelle à la liste des services consultés. La CNIL plaide depuis plusieurs années pour des mécanismes fondés sur un tiers de confiance, où le service apprend seulement que l’utilisateur a l’âge requis, et le tiers ignore quel service le lui demande.
Quatre précautions de conception
Pour un registre d’état civil, un système d’identité nationale ou un service qui délivre des comptes à des élèves, quatre précautions reviennent.
- Minimiser à la source. Ne collecter, pour un enfant, que ce que la finalité exige. Une donnée non collectée n’aura jamais à être protégée, corrigée ni effacée.
- Différer la biométrie. Les règlements européens sur les passeports et les cartes d’identité dispensent les plus jeunes enfants du relevé d’empreintes, notamment parce que celles-ci évoluent avec la croissance. Un système national qui enrôle des enfants doit prévoir un réenrôlement, et ne pas fonder une décision sur une donnée instable.
- Organiser la bascule de la majorité. À la majorité, la représentation légale cesse. Les accès des parents doivent prendre fin, les consentements donnés pour l’enfant être réexaminés, et la personne pouvoir reprendre la main sur ses données. Cette transition est presque toujours oubliée dans les cahiers des charges.
- Tracer les accès des représentants. Un parent, un tuteur ou un service social agit pour l’enfant ; chacune de ces actions doit être journalisée, et les situations de conflit (séparation, retrait d’autorité parentale, placement) prévues dès la conception.
Prouver un âge sans révéler une identité
Le règlement eIDAS 2, entré en vigueur le 20 mai 2024, offre une piste concrète. Le portefeuille européen d’identité numérique, attendu dans chaque État membre d’ici fin 2026, repose sur des attestations d’attributs que l’utilisateur présente de façon sélective : prouver que l’on a plus de 18 ans sans communiquer sa date de naissance, son nom ni son adresse. La Commission européenne travaille par ailleurs, en 2025, à des orientations sur la protection des mineurs en ligne et à une solution de vérification de l’âge compatible avec ce portefeuille.
Pour les pays qui construisent leur système d’identité, la leçon est plus large : la divulgation minimale doit être une propriété de l’architecture, pas une option ajoutée plus tard. Un système qui ne sait répondre qu’en transmettant la fiche complète d’une personne ne saura jamais protéger correctement un enfant.
Ces principes rejoignent ceux de notre note sur la minimisation des données. Ils s’appliquent dès l’enregistrement de la naissance, ce qui place l’état civil au cœur du sujet : c’est l’approche de notre expertise identité numérique et de notre offre État civil.
- Convention internationale relative aux droits de l’enfant, Assemblée générale des Nations unies, 20 novembre 1989, articles 7, 8 et 16.
- Règlement (UE) 2016/679 (RGPD), considérants 38 et 65, articles 8 et 17.
- Règlement (UE) 2022/2065 sur les services numériques, article 28.
- Règlement (UE) 2024/1183 (eIDAS 2), Journal officiel de l’Union européenne.
- CNIL, recommandations pour renforcer la protection des mineurs en ligne et travaux sur la vérification de l’âge.