Par Brunessen Bertrand, Professeure à l’Université de Rennes, membre de l’Institut universitaire de France

Le nouveau texte répond-il aux motifs de la censure ?

Le nouvel article 6-9 de la loi de 2004 maintient l’interdiction d’accès avant quinze ans, mais redéfinit les services visés : les réseaux sociaux dont les fonctionnalités ou pratiques commerciales présentent un risque pour la sécurité ou l’épanouissement des mineurs. Il en énumère dix, du déclenchement automatique et du défilement infini aux filtres d’apparence et aux monnaies virtuelles convertibles. La liste, dont le caractère exhaustif n’est pas précisé, peut être complétée par décret. Le texte ne désigne aucune autorité chargée d’assurer le respect de l’interdiction. Seule est prévue la nullité de plein droit du contrat d’accès conclu par un mineur de moins de quinze ans.

Les critères sont alternatifs : une fonctionnalité suffit, quelle que soit sa place ou l’intensité du risque. Sans être interdite ni neutralisée, sa présence soumet tout le service à l’interdiction d’accès. Huit critères décrivent l’offre au public. Deux seulement concernent le mineur : interaction avec des comptes non acceptés et recommandation de comptes non suivis. Un service qui les désactive pour les mineurs mais conserve le défilement infini pour les majeurs resterait soumis à l’interdiction. Pour y échapper, la plateforme devrait proposer aux mineurs un service distinct, sans que la loi précise quand une version adaptée en constitue un.

Le champ reste limité aux réseaux sociaux fournis par une plateforme en ligne au sens de l’article 6 de la loi de 2004. Les communications interpersonnelles sont en principe exclues. S’y ajoutent des exemptions pour les encyclopédies et certains services éducatifs ou collaboratifs. Le sort des services hybrides demeure incertain, la définition européenne excluant la diffusion au public lorsqu’elle n’est qu’une fonctionnalité mineure et purement accessoire d’un autre service. Une fois la qualification admise, des critères aussi répandus que la géolocalisation ou le direct n’écartent plus aucun service. La décision du 14 août du Conseil constitutionnel citait pourtant les applications de communication et les jeux en ligne à forte dimension sociale parmi ceux dont les risques n’étaient pas établis. Le texte ne les mentionne pas et n’exempte que les réseaux créés exclusivement en lien avec des activités éducatives, alors que la décision visait ceux créés en lien avec ces activités. Le grief d’accessibilité et d’intelligibilité que les requérants soulevaient contre la loi censurée à propos des fonctionnalités sociales accessoires, et que le Conseil n’a pas examiné, demeure. Faute d’autorité compétente, le juge civil devra qualifier le service.

La prise en compte des fonctionnalités et pratiques commerciales répond à l’un des motifs de la censure. Mais le Conseil relevait aussi que l’interdiction ne dépendait pas de l’insuffisance des protections offertes par les services. Le texte ne les prend en compte que pour les deux critères définis par rapport au mineur.

L’autorisation parentale entre treize et quinze ans répond au défaut d’intervention parentale relevé par le Conseil. Celui-ci envisageait que les parents, informés des risques et garanties, lever ou limiter l’interdiction, ou autoriser l’accès à certains services. Le texte prévoit une autorisation expresse et révocable sans organiser cette information ni limiter l’accès. Or le consentement ne supprime pas le risque lié aux fonctionnalités. L’ouverture de tout le service sans restriction expose la loi au grief d’inadéquation. Le Conseil exigeait aussi une appréciation particulière du risque, tenant notamment à l’âge, au degré de maturité et à la situation familiale du mineur. Le texte la confie aux parents, alors que l’article 371-1 du code civil leur impose d’associer l’enfant aux décisions qui le concernent.

Le Gouvernement pourra compléter par décret la liste des fonctionnalités ou pratiques présentant un risque pour la sécurité ou l’épanouissement des mineurs. Chaque ajout étendra l’interdiction à de nouveaux services et limitera la liberté de communication. Cette délégation expose donc la loi à un grief d’incompétence négative. Le second motif de censure, tiré de l’absence de garanties légales entourant la vérification de l’âge, subsiste. La preuve de la qualité du représentant légal est aussi renvoyée à un décret en Conseil d’État. Le texte ne précise ni qui effectuera ces contrôles ni quelles données pourront être recueillies ou consultées, alors que le Conseil exige du législateur qu’il en fixe lui-même les conditions et limites, y compris pour les majeurs.

Une interdiction d’accès fondée sur la conception du service est-elle compatible avec le droit de l’Union ?

Ni le DSA ni la recommandation de la Commission du 29 avril 2026 ne fixent d’âge minimal. Le seuil relève donc des États, sous réserve du droit de l’Union. Plusieurs critères français reprennent des fonctionnalités que les lignes directrices de l’article 28 demandent de désactiver par défaut ou de ne pas exposer aux mineurs. Un service qui s’y conforme demeure néanmoins soumis à l’interdiction française s’il conserve ces fonctions pour les majeurs. Les lignes privilégient la restriction des fonctionnalités à risque plutôt que celle du service entier. Non contraignantes, elles ne suffisent pas à établir une incompatibilité avec le droit de l’Union, mais restent pertinentes pour apprécier si l’interdiction est appropriée et proportionnée.

Le DSA confie la surveillance à l’État d’établissement et, pour les très grandes plateformes, à la Commission, exclusivement compétente pour les risques systémiques de conception et concurremment pour les autres obligations, dont l’article 28. Ses constatations préliminaires des 6 février et 10 juillet 2026 sur TikTok, Instagram et Facebook portent sur le défilement infini, le déclenchement automatique, les notifications et la recommandation personnalisée. Pour Meta, la Commission estime que les deux premières devraient être désactivées par défaut. Elle relevait aussi, le 29 avril, l’insuffisance des mesures empêchant les moins de treize ans d’accéder à Instagram et Facebook. La loi française pourrait donc constituer une exigence nationale supplémentaire dans une matière harmonisée.

Pour les fournisseurs établis dans un autre État membre, le pays d’origine s’applique si la mesure relève du domaine coordonné. Son destinataire formel, le mineur, n’est pas décisif. Dans WebGroup Czech Republic et Coyote System du 16 juin 2026 (aff. jtes C-188/24 et C-190/24), la Cour juge que ce domaine s’étend en principe à toute exigence relative à l’accès au service ou à son exercice. La vérification de l’âge mise à la charge des plateformes dans les conditions de l’article 28 touche directement cet exercice, comme la nullité sanctionnant l’interdiction. L’exception relative aux contrats de consommation paraît inapplicable : la loi ne règle pas les droits nés du contrat, mais sanctionne la méconnaissance de l’interdiction d’accès.

L’État de destination ne peut déroger au pays d’origine que par des mesures visant un service donné. Dans l’arrêt Google Ireland (C-376/22), la Cour exclut qu’une mesure générale et abstraite bénéficie de cette dérogation. Dans l’arrêt WebGroup, elle admet toutefois, sous réserve des vérifications du Conseil d’État, qu’une loi française puisse être opposée à des éditeurs d’autres États membres si elle vise des services déterminés et se concrétise par des mises en demeure ou interdictions individuelles, précédées, sauf urgence, d’une demande à l’État d’établissement et d’une notification à la Commission. Le texte notifié ne prévoit aucune décision individuelle et ne satisfait donc pas à cette condition.

La vérification de l’âge pose une difficulté distincte. L’article 28 n’impose que des mesures appropriées et proportionnées, sans obliger à traiter des données supplémentaires pour déterminer si l’utilisateur est mineur. La loi française exige pourtant de vérifier l’âge de chacun. Hors RGPD, les modalités ne figurent que dans des lignes directrices révisables. Ce renvoi ne satisfait donc pas à l’exigence constitutionnelle et n’écarte pas le grief d’exigence nationale supplémentaire.

Que restera-t-il du projet français après le règlement européen KIDS Act ?

La Commission a présenté le 17 septembre 2026 une proposition de règlement fondée sur l’article 114 TFUE (COM(2026) 681). Son article 6 fixe à quinze ans l’âge à partir duquel un mineur peut créer ou utiliser seul un compte sur les réseaux sociaux et plateformes de partage de vidéos présentant au moins une fonctionnalité à risque : diffusion en temps réel à un public indéterminé, contact hors des relations préexistantes, recommandation fondée sur le profilage, suggestion de contacts ou d’informations extérieurs aux abonnements, consommation ininterrompue, incitations à l’interaction ou notifications destinées à faire reprendre l’usage. La proposition retient elle aussi une approche par les fonctionnalités, dont plusieurs recoupent les critères français.

Le régime diffère cependant. Avant treize ans, aucun compte personnel n’est permis. Un accès limité à certains services vidéo pour enfants ne peut avoir lieu que depuis le compte du représentant légal. Entre treize et quinze ans, celui-ci peut créer un compte limité, avec outils parentaux toujours activés, durée quotidienne maximale d’une heure et approbation préalable des contacts. À partir de quinze ans, le mineur peut ouvrir un compte autonome dans un environnement soumis aux obligations de sécurité dès la conception. Le texte français permet au contraire à l’autorisation parentale d’ouvrir l’accès à tout le service sans restreindre les fonctionnalités qui ont déclenché l’interdiction.

La vérification prévue par la proposition repose sur des instruments qui n’existent pas encore. L’application de l’article 6 supposerait une solution tierce certifiée selon le schéma européen. Elle délivrerait une attestation européenne de preuve de l’âge sans identifier, localiser, suivre ou profiler l’utilisateur et reposerait sur une preuve à divulgation nulle de connaissance. L’application adaptée aux seuils de treize et quinze ans est seulement annoncée. Les portefeuilles européens d’identité numérique ne seraient utilisables que plus tard. Chaque État devrait proposer gratuitement une solution et un moyen de prouver l’autorité parentale. Le projet français ne peut se fonder sur ces instruments pour satisfaire, dès maintenant, aux garanties exigées par la décision du 14 août.

Si la Commission constate, dans les trois mois suivant la réception de la notification, que le projet porte sur une matière couverte par sa proposition, l’article 6, paragraphe 4, de la directive 2015/1535 impose à la France d’en reporter l’adoption pendant douze mois à compter de cette réception. Le délai est porté à dix-huit mois si le Conseil arrête sa position en première lecture. Le recoupement des seuils d’âge avec le champ des services et les fonctionnalités visées rend cette identité de matière difficile à écarter.

La clause d’extinction jouera lorsqu’un règlement européen de même objet deviendra applicable. La proposition fixe un seuil commun de quinze ans sans faculté générale de relèvement pour les services visés. Son considérant 20 réserve des âges nationaux supérieurs pour certaines catégories de contenus, notamment pornographiques ou liés aux jeux d’argent. Si ces règles sont conservées, elle devrait jouer. Pour plusieurs fonctionnalités communes, le régime européen prévoit des restrictions propres au compte du mineur plutôt qu’une interdiction d’accès au service levée par une autorisation parentale qui ne les restreint pas.