Vérification de l’âge dans les applications : ce que les mises en demeure de 2025 annoncent
Dans le bilan de ses sanctions publié le 9 février 2026, la CNIL signale, parmi les 143 mises en demeure prononcées en 2025, plusieurs applications mobiles et jeux en ligne comptant une part importante de mineurs parmi leurs utilisateurs. Le reproche : un contrôle de l’âge insuffisant, et une transparence à revoir. Après une année de contrôles dédiés aux applications, c’est le premier front qui se dégage nettement.
Pourquoi l’âge est devenu le sujet
Le RGPD accorde aux mineurs une protection spécifique, et le droit français fixe un seuil : en dessous de quinze ans, un mineur ne consent pas seul au traitement de ses données pour un service en ligne, le titulaire de l’autorité parentale doit s’y joindre. Ce seuil ne vaut que si le service connaît l’âge de ses utilisateurs.
Or une application qui ne sait pas à qui elle parle applique aux mineurs le traitement qu’elle réserve aux adultes : publicité personnalisée, profilage, identifiant publicitaire transmis aux régies. C’est ce traitement par défaut, appliqué à un public qui n’aurait pas dû le recevoir, que les mises en demeure visent.
Ce que disent les mises en demeure
Les injonctions recensées au bilan portent sur deux points : renforcer le contrôle de l’âge des utilisateurs, et améliorer la transparence des traitements, pour mieux protéger les données des mineurs. Une mise en demeure n’est pas une sanction : elle est clôturée si l’éditeur se met en conformité dans le délai. C’est un avertissement à date fixe, pas encore une amende.
L’étranger montre la suite possible. En avril 2025, l’autorité italienne a infligé 5 millions d’euros à l’éditeur de Replika, notamment faute de tout dispositif réel empêchant les moins de treize ans d’utiliser le service. La vérification de l’âge n’y était plus un raffinement : elle faisait partie des griefs centraux.
Le paradoxe de la vérification
Vérifier l’âge sans surcollecter : voilà le paradoxe à résoudre. Une case à cocher n’empêche rien et ne prouve rien ; exiger une pièce d’identité de chaque utilisateur créerait le problème que l’on prétend régler. Entre les deux, le dispositif attendu dépend du risque du service : plus le contenu ou le traitement expose, plus la vérification doit être robuste, tout en restant proportionnée.
Le principe de minimisation, au cœur de la recommandation de la CNIL sur les applications, s’applique donc aussi au dispositif de vérification lui-même : prouver un âge ne doit pas exiger de raconter une vie.
Le versant que l’éditeur ne voit pas : ses SDK
Le contrôle de l’âge est la moitié visible du sujet. L’autre moitié se joue dans la couche technique : un public jeune change les règles de la monétisation. La politique Familles de Google Play interdit notamment de transmettre l’identifiant publicitaire pour un public d’enfants, et les SDK publicitaires doivent être configurés en conséquence, application par application.
Cette promesse-là ne se vérifie ni dans le formulaire du store ni dans la politique de confidentialité : elle se vérifie dans le trafic. Ce que l’application émet réellement, pour un profil traité comme mineur, s’observe sur l’appareil, requête par requête. C’est l’objet d’une analyse dédiée à la protection des mineurs, et plus largement d’un audit d’application mobile : confronter ce qui est déclaré à ce qui part.
Sources
Chaque constat de cet article renvoie à l’un de ces documents.
- CNIL ’26Sanctions et mesures correctrices : la CNIL présente le bilan 2025CNIL, 9 février 2026
- CNIL ’25Recommandation relative aux applications mobiles, version modifiéeCNIL, délibération n° 2025-024 du 27 mars 2025
- CNILRecommandation 4 : rechercher le consentement d’un parent pour les mineurs de moins de 15 ansCNIL, recommandations pour la protection des mineurs en ligne
- GPDP ’25Provvedimento del 10 aprile 2025 [10130115]Garante per la protezione dei dati personali, sanction de 5 millions d’euros contre Luka Inc. (Replika)
- Google PlayRègles Google Play pour les contenus familiauxAide Play Console, Google
Questions fréquentes
- Que demande la CNIL aux applications utilisées par des mineurs ?
- Les mises en demeure recensées au bilan 2025 portent sur deux points : renforcer le contrôle de l’âge des utilisateurs et améliorer la transparence des traitements, pour mieux protéger les données des mineurs. La mise en demeure est clôturée si l’éditeur se met en conformité dans le délai.
- À partir de quel âge un mineur peut-il consentir seul en France ?
- Quinze ans, le seuil fixé par la loi Informatique et Libertés pour les services en ligne. En dessous, le consentement doit être donné conjointement par le mineur et par le titulaire de l’autorité parentale.
- Une case « j’ai plus de quinze ans » suffit-elle ?
- Le déclaratif pur n’empêche rien et ne prouve rien, et les mises en demeure de 2025 demandent précisément de renforcer le contrôle de l’âge. Le dispositif attendu dépend du risque du service, avec un principe constant : vérifier l’âge ne doit pas devenir un prétexte pour collecter davantage.
- Quel lien entre vérification de l’âge et SDK publicitaires ?
- Un public jeune change les règles de la monétisation : la politique Familles de Google Play interdit notamment de transmettre l’identifiant publicitaire pour un public d’enfants, et les SDK doivent être configurés en conséquence. Ce que l’application émet réellement pour un profil traité comme mineur s’observe sur l’appareil.