Si des enfants de moins de 13 ans utilisent votre application, jouent à votre jeu ou visitent votre site web — même si vous ne l'avez jamais conçu pour eux — la loi fédérale peut déjà vous traiter comme une entreprise destinée aux enfants. Et depuis que la première mise à jour majeure de cette loi en plus d'une décennie est entrée pleinement en vigueur cette année, les obligations sont plus strictes que ce que la plupart des petits opérateurs imaginent.
La loi en question est la Children's Online Privacy Protection Act, ou COPPA. Elle existe depuis 2000, mais la refonte de la règle COPPA par la Federal Trade Commission — finalisée en janvier 2025 avec une conformité des opérateurs exigée d'ici avril 2026 — a réécrit le manuel pratique : permission parentale séparée avant de partager les données d'un enfant avec qui que ce soit, limites strictes sur la durée de conservation, et un programme de sécurité écrit pour les protéger. Les sanctions civiles dépassent 50 000 $ par violation, ajustées à la hausse pour l'inflation chaque année.
Ce guide explique qui est réellement couvert par la COPPA, ce que la règle mise à jour exige, et la liste de contrôle concrète qu'une petite équipe peut suivre sans embaucher un département de confidentialité.
Qui est couvert par la COPPA : ce ne sont pas seulement les sites pour enfants
Le malentendu le plus coûteux concernant la COPPA est la croyance qu'elle ne s'applique qu'aux produits « conçus pour les enfants ». La FTC affirme le contraire, explicitement : la règle ne concerne pas uniquement les sites pour enfants.
Sites web et services « destinés aux enfants »
Un site ou une application est considéré comme destiné aux enfants lorsque, en regardant l'ensemble, il attire les enfants de moins de 13 ans. La FTC pèse des facteurs tels que le sujet, le style visuel et les personnages, la musique, le langage, les preuves d'utilisation réelle par des enfants, et la publicité ciblant les enfants. Un jeu aux animations colorées, un créateur d'avatars de dessin animé, ou une chaîne de déballage de produits avec un jeune public peuvent tous être qualifiés — indépendamment de ce que votre plan marketing dit de votre démographie cible.
La « connaissance réelle » attrape tous les autres
Même un service destiné au grand public devient couvert dès lors que son opérateur a une connaissance réelle qu'il collecte des informations personnelles auprès d'un enfant de moins de 13 ans. Cette connaissance peut arriver par un e-mail de support mentionnant l'âge d'un utilisateur, un champ de date de naissance dans votre formulaire d'inscription, une plainte d'un parent, ou des analyses montrant une jeune base d'utilisateurs que vous avez choisi de ne pas examiner. Une fois que vous savez, vous ne pouvez pas ne pas savoir : à partir de ce moment, les obligations de consentement et de traitement des données de la COPPA s'appliquent aux informations de cet enfant.
Les services à public mixte ont une voie médiane
Si votre public couvre réellement des enfants et des adultes, la règle vous permet de filtrer par âge et d'appliquer les protections de la COPPA uniquement aux utilisateurs de moins de 13 ans que vous identifiez — mais le filtre doit être neutre et efficace. Un portail de date de naissance auto-déclaré qui permet discrètement à un utilisateur de changer sa réponse jusqu'à ce qu'il soit « assez âgé », ou qui par défaut choisit une année adulte, ne vous protégera pas. Concevez le portail pour qu'il ne puisse pas être contourné en un clic, et traitez toute personne identifiée comme ayant moins de 13 ans comme entièrement couverte.
Ce que la mise à jour de 2025 a changé
Les amendements auxquels les opérateurs devaient se conformer à partir d'avril 2026 sont la première révision significative depuis 2013, et ils se concentrent sur trois thèmes : les parents doivent spécifiquement approuver le partage et la monétisation, les données des enfants ne peuvent pas être accumulées, et la sécurité doit être documentée plutôt que supposée.
Consentement séparé avant le partage ou les publicités ciblées
Auparavant, un seul consentement parental pouvait couvrir la collecte, l'utilisation et la divulgation ensemble. Désormais, vous devez obtenir un consentement distinct et explicite avant de divulguer les informations personnelles d'un enfant à des tiers — y compris pour la publicité ciblée. En pratique, cela signifie que votre flux d'intégration doit comporter deux demandes séparées et clairement décrites : une pour collecter et utiliser les informations de l'enfant pour le service lui-même, et une autre avant que celles-ci ne soient transmises à des réseaux publicitaires, des fournisseurs d'analyses ou d'autres tiers. Les cases pré-cochées et les boutons groupés « tout accepter » ne satisfont pas à cette norme.
Conserver les données des enfants uniquement le temps nécessaire — puis les supprimer
La règle mise à jour maintient la norme de conservation « raisonnablement nécessaire » mais ajoute une interdiction explicite de conserver indéfiniment les informations personnelles des enfants. Vous devez publier une politique de conservation des données pour les informations des enfants et maintenir un calendrier interne pour leur suppression. Concrètement : définissez, pour chaque catégorie de données que vous détenez (comptes, journaux de discussion, tickets de support, sauvegardes), combien de temps vous les conservez et pourquoi, puis supprimez selon ce calendrier. « On pourrait en avoir besoin un jour » n'est plus une raison légale de conservation.
Un programme de sécurité écrit est obligatoire
Les opérateurs doivent désormais établir, mettre en œuvre et maintenir un programme de sécurité écrit pour les informations personnelles des enfants, avec des garanties adaptées à la sensibilité des données. Pour une petite équipe, cela ne nécessite pas d'outillage d'entreprise — mais cela nécessite d'écrire qui peut accéder aux données des enfants, comment elles sont chiffrées en transit et au repos, comment vous évaluez les fournisseurs ayant accès, et comment vous répondez à un incident — puis de suivre réellement le document.
Définitions élargies et notifications plus précises
La mise à jour ajoute les identifiants biométriques à la définition des informations personnelles, donc les empreintes vocales, la géométrie du visage ou les empreintes digitales collectées auprès d'enfants sont entièrement couvertes. Votre notification directe aux parents doit également être plus granulaire : précisez ce que vous collectez, comment vous l'utilisez, et spécifiquement quels tiers la reçoivent et à quelles fins. Un paragraphe générique « nous pouvons partager des données avec des partenaires » ne suffit plus.
Consentement parental vérifiable, en pratique
Le consentement COPPA doit être « vérifiable » — vous avez besoin d'une méthode raisonnablement calculée pour confirmer que la personne consentante est réellement le parent de l'enfant, pas l'enfant. La FTC reconnaît plusieurs approches, et la bonne dépend de ce que vous faites avec les données :
- Vérification par paiement. Une petite charge ou une étape de vérification de carte confirme qu'un adulte détient l'instrument de paiement. Courant pour les abonnements et les applications payantes.
- Formulaires de consentement signés. Un parent signe et renvoie un formulaire par courrier, fax ou téléchargement scanné. Peu technologique et fiable pour les écoles, les camps et les programmes avec inscription hors ligne.
- Visioconférence. Une vérification vidéo en direct avec du personnel formé. Forte assurance, mais laborieuse à grande échelle.
- Vérification d'identité gouvernementale. Vérification d'un permis de conduire ou d'une autre pièce d'identité contre une base de données. Efficace, mais vous détenez alors des documents sensibles du parent qui nécessitent leur propre protection et calendrier de suppression.
- Authentification basée sur les connaissances. Questions de défi tirées de dossiers que seul le parent connaîtrait probablement. La FTC a approuvé des implémentations spécifiques de cette méthode.
- E-mail plus — usage interne uniquement. Pour les données que vous collectez et utilisez uniquement au sein de votre propre opération (jamais divulguées à des tiers), vous pouvez utiliser la méthode plus légère « e-mail plus » : un e-mail du parent suivi d'une confirmation différée via un second canal. Dès qu'un tiers reçoit les données, l'e-mail plus ne suffit plus.
Quelle que soit la méthode choisie, conservez des enregistrements du consentement : quand il a été donné, ce qu'il couvrait, et comment il a été vérifié. Les enregistrements de consentement sont à la fois un bouclier légal et une documentation commerciale ordinaire.
Votre liste de contrôle de conformité
Suivez ces étapes dans l'ordre. Chacune s'appuie sur la précédente, et ensemble elles couvrent les obligations que le propre plan de conformité en six étapes de la FTC met en avant.
1. Cartographiez ce que vous collectez et auprès de qui
Inventoriez chaque champ de données que votre produit touche : formulaires d'inscription, SDK d'analyses, rapporteurs de crash, modules publicitaires, fonctionnalités de discussion, outils de support, newsletters. Pour chacun, notez s'il pourrait provenir d'un utilisateur de moins de 13 ans et quels fournisseurs le reçoivent. La plupart des petites équipes découvrent au moins un SDK qui transmet silencieusement des identifiants d'appareil ou des données de localisation qu'elles n'ont jamais consciemment choisi de collecter.
2. Décidez de votre posture d'audience
Êtes-vous destiné aux enfants, à public mixte, ou au grand public ? Documentez le raisonnement. Si public mixte, construisez l'écran d'âge neutre décrit ci-dessus. Si grand public, décidez à l'avance comment vous réagirez lorsque vous aurez une connaissance réelle d'un jeune utilisateur — qui examine le signalement, à quelle vitesse la collecte de données s'arrête, et quand la suppression a lieu.
3. Réécrivez votre politique de confidentialité et votre notification aux parents
Publiez une politique claire et complète : quelles informations des enfants vous collectez, comment vous les utilisez, avec qui vous les partagez et pourquoi, vos périodes de conservation, les droits des parents de consulter, corriger et supprimer les données de leur enfant, et comment vous contacter. Ensuite, rédigez la notification directe aux parents en langage clair — elle doit nommer les tiers spécifiques et les finalités, pas se cacher derrière des généralités.
4. Construisez le flux de consentement à deux volets
Séparez le consentement pour exploiter votre service du consentement pour partager des données avec des tiers ou diffuser des publicités ciblées. Journalisez les deux. Rendre le retrait du consentement aussi facile que son octroi, et faites en sorte que le retrait arrête réellement les flux en aval — y compris en disant aux fournisseurs de supprimer ce que vous leur avez envoyé.
5. Verrouillez les fournisseurs avec des contrats
Listez chaque fournisseur de services, réseau publicitaire, outil d'analyses et plateforme qui touche aux données des enfants. Vos contrats doivent limiter leur utilisation des données à vos finalités déclarées, leur interdire la réutilisation indépendante ou la monétisation, et exiger la suppression sur demande. Un fournisseur dont les conditions permettent de conserver ou revendre les données pour ses propres fins est une responsabilité COPPA cachée dans votre pile technologique.
6. Publiez le calendrier de conservation et exécutez-le
Rédigez la politique de conservation que la règle exige désormais : catégories de données, finalités, limites de temps, méthode de suppression, et responsable. Mettez les suppressions récurrentes au calendrier — purges trimestrielles des tickets de support expirés, journaux vieillis, et sauvegardes obsolètes. N'oubliez pas que la suppression doit atteindre les sauvegardes et les copies des fournisseurs dans un délai raisonnable.
7. Rédigez le programme de sécurité
Documentez les contrôles d'accès, le chiffrement, la formation des employés, l'évaluation des fournisseurs, et la réponse aux incidents pour les données des enfants spécifiquement. Révisez-le au moins annuellement et après tout incident ou changement majeur de produit.
Erreurs qui reviennent sans cesse
- Traiter une classification d'âge de l'app store comme conformité. Les classifications de magasin et la COPPA sont des systèmes séparés. Une étiquette « 4+ » ou « Tous » ne satisfait ni n'excuse les obligations de la règle.
- Oublier les SDK. Les kits d'analyses, d'attribution et de médiation publicitaire sont la source la plus courante de collecte non divulguée. Auditez-les à chaque mise à jour d'application, pas une fois au lancement.
- Supposer que « nous ne ciblons pas les enfants » met fin à l'enquête. La connaissance réelle et l'utilisation à public mixte amènent les produits grand public dans le champ d'application indépendamment de l'intention.
- Une seule case pour tout. Le consentement groupé échoue à l'exigence de consentement séparé pour la divulgation et la publicité ciblée.
- Conserver les données « au cas où ». La conservation indéfinie est désormais expressément interdite. Si vous ne pouvez pas nommer la finalité, supprimez les données.
- Ignorer les lois des États. Plusieurs États ont promulgué leurs propres statuts sur la vie privée des enfants et des adolescents avec des obligations de conception qui vont au-delà de la COPPA. La conformité fédérale est le plancher, pas le plafond — vérifiez les États où vivent vos utilisateurs.
Ce que coûte la non-conformité
Les violations de la COPPA sont traitées comme des pratiques déloyales ou trompeuses, et les tribunaux peuvent imposer des sanctions civiles dépassant 50 000 $ par violation — chaque enfant affecté et chaque violation distincte pouvant potentiellement compter séparément. C'est cette arithmétique qui a permis aux actions d'application d'atteindre des dizaines et des centaines de millions de dollars contre de grandes plateformes. Les petits opérateurs font rarement face à des amendes à grande échelle, mais la FTC a poursuivi à plusieurs reprises de petits développeurs d'applications et des startups, et les procureurs généraux des États peuvent intenter leurs propres actions. Au-delà des amendes, les ordonnances exigent généralement la suppression des données collectées illégalement — y compris tout modèle ou profil construit à partir d'elles — plus des années de surveillance de conformité. La remédiation coûte généralement bien plus que la conformité n'aurait coûté.
Suivez la conformité comme la dépense commerciale qu'elle est
Chaque élément de la liste de contrôle ci-dessus coûte quelque chose : services de vérification de consentement, examens de contrats, audits de SDK, outils de suppression, temps du personnel. Traitez-les comme des centres de coûts ordinaires dans vos livres plutôt que comme des surprises ponctuelles. Étiquetez les contrats de fournisseurs qui touchent aux données des enfants pour que les renouvellements déclenchent un nouvel examen de l'utilisation des données. Journalisez les exécutions du calendrier de conservation comme vous journalisez les sauvegardes — un enregistrement daté que les suppressions ont eu lieu est en soi une preuve de conformité. Et lorsque vous budgétez la prochaine fonctionnalité qui collecte des données utilisateur, intégrez le flux de consentement, la mise à jour de la notification, et le cycle de vie du stockage dès le départ, de la même manière que vous budgéteriez l'hébergement. Le travail de confidentialité qui vit dans votre plan comptable est financé ; le travail de confidentialité qui vit dans les bonnes intentions est oublié.
Simplifiez votre gestion financière
Alors que vous intégrez les flux de consentement, les calendriers de conservation et les examens de fournisseurs dans vos opérations, maintenir des enregistrements financiers clairs de ces dépenses de conformité est essentiel. Beancount.io fournit une comptabilité en texte brut qui vous donne une transparence et un contrôle complets sur vos données financières — pas de boîtes noires, pas de verrouillage fournisseur. Commencez gratuitement et voyez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.
