L'accès à Internet des mineurs : la CNIL détaille les dispositifs qui pourraient être mis en oeuvre
Paru dans Scolaire, Périscolaire, Culture le jeudi 13 juillet 2023.
Comment interdire aux mineurs l'accès à certains sites internet, comme le prévoit la loi du 2 mars 2022 instaurant l'obligation d'intégrer des dispositifs de contrôle parental dans les terminaux ? La CNIL vient de publier (au JO) deux avis sur deux projets de décrets sur lesquels la commission nationale de l'Infomatique et des Libertés exprime des réserves. Ils permettent de comprendre quelles solutions techniques peuvent être mises en oeuvre.
La CNIL, qui "accueille très favorablement les avancées" prévues par cette loi souligne que "l'usage de dispositifs de contrôle devra être adapté à l'âge du mineur", des fonctionnalités trop intrusives peuvent "conduire à une surveillance disproportionnée (d'un adolescent), tant par les tiers que par les parents"
Le projet de décret prévoit déjà "la possibilité de bloquer le téléchargement de contenus mis à disposition par des boutiques d'applications logicielles dont l'accès est interdit aux mineurs" et "la possibilité de bloquer l'accès aux contenus préinstallés dont l'accès est interdit aux mineurs", mais "ces fonctionnalités minimales ne sont obligatoires que sous réserve de faisabilité technique", ce qui peut "laisser penser que les éditeurs ou fournisseurs pourraient être libérés de l'obligation de proposer un système de contrôle parental minimal en cas de difficulté technique". Elle demande au Gouvernement de "prévoir une formulation plus adéquate". La CNIL propose d'ajouter deux fonctionnalités à celles qui étaient prévues, et elle "suggère de prévoir que les terminaux devront obligatoirement offrir la possibilité d'établir des 'listes blanches' permettant aux enfants les plus jeunes de ne consulter que les sites web et applications autorisés préalablement, et de bloquer tous les autres sites ou applications. Pour les mineurs les plus âgés, à l'inverse, devrait être prévue la possibilité d'établir des 'listes noires' (...). Ces fonctionnalités permettraient une protection nettement plus complète et efficace des mineurs."
Le texte ministériel prévoit deux modalités d'activation des fonctionnalités minimales de contrôle parental, en renseignant l'âge de l'enfant ou de chaque enfant dans le terminal, ou sans renseigner l'âge du mineur, le blocage portant "par défaut sur les contenus interdits aux moins de dix-huit ans", mais le texte tel qu'il est rédigé "ne permet pas de comprendre que les deux modalités décrites sont alternatives, et non cumulatives".
La CNIL s'interroge sur la nécessité de prévoir des dérogations "au respect de ces principes de non-traitement des données personnelles des mineurs" alors que "certains dispositifs de contrôle parental déjà présents sur le marché intègrent les fonctionnalités minimales (...), sans qu'une création de compte ou même un accès à internet soit nécessaire. Il en va de même pour celles que la CNIL recommande (...) (constitution de listes noires ou blanches" en fonction du degré de maturité du mineur) (...). La configuration des dispositifs de contrôle parental uniquement en local (...) garantit la robustesse de ces dispositifs en limitant les risques de violation de données."
La CNIL souligne par ailleurs que "les contraintes techniques ne sont pas les mêmes selon qu'il s'agit d'un accès à internet via un équipement intermédiaire spécifique fourni à l'utilisateur (routeur, box, etc.) ou d'un accès direct à internet par le réseau mobile (4G, 5G, etc.)". Dans le premier cas, les dispositifs de contrôle parental sont "intégrés dans les routeurs ou les box", dans le second cas, "les dispositifs fournis par les FAI pour l'accès à internet depuis un terminal mobile (téléphone et tablette en particulier) seront largement redondants avec les dispositifs que les fabricants de ces terminaux devront mettre en place. Cette protection pourrait être en tout état de cause pertinente pour tous les terminaux déjà en circulation."
A noter que la CNIL "accueille favorablement" l'interdiction du traitement des données à caractère personnel de l'utilisateur mineur à des fins commerciales", qu'elle "souligne l'importance de mettre à disposition de l'utilisateur une information simple et pédagogique" qui explique "clairement" les modalités d'activation, de désactivation et, lorsque cela est possible, de désinstallation du dispositif et que les moyens techniques et les fonctionnalités "doivent être mis en place dans le respect des principes de protection des données (...), c'est-à-dire, sans remontée de données à caractère personnel vers des serveurs, sauf à recueillir l'accord exprès d'un titulaire de l'autorité parentale".