Protection des mineurs en ligne : autopsie d'une loi symbolique

Proposition de loi n° 2107 : analyse critique

Le 18 novembre 2025, la proposition de loi n° 2107 "visant à protéger les mineurs des risques auxquels les expose l'utilisation des réseaux sociaux" était enregistrée à la Présidence de l'Assemblée nationale. Elle portait les signatures de Laure Miller, Gabriel Attal, et d'une coalition transpartisane de près de cent vingt députés. Sa genèse est claire : elle traduit législativement les recommandations de la commission d'enquête sur les effets psychologiques de TikTok sur les mineurs, dont le rapport avait été rendu public le 11 septembre 2025 sous le titre, peu propice à la rigueur analytique, "Quand le divertissement vire au cauchemar". Sept articles, sept mesures. Une cohérence de façade, une architecture de sable.

Ce texte mérite une lecture serrée, non pour nier la réalité du problème qu'il prétend traiter la surexposition des adolescents à des contenus nocifs est documentée et sérieuse mais précisément parce que les réponses inadaptées à un problème réel constituent, dans le champ de la politique publique, une forme de nuisance propre. Elles consomment de l'énergie législative, installent dans le débat public l'illusion qu'on a agi, et retardent les solutions qui dérangeraient des intérêts plus puissants.

L'analyse qui suit est conduite à deux niveaux simultanés : celui du droit public et du droit européen, et celui de l'architecture technique des systèmes concernés. Car c'est précisément la dissociation entre ces deux registres qui explique l'échec prévisible de ce texte. Ses auteurs raisonnent comme si les plateformes numériques étaient des boulangeries soumises aux arrêtés municipaux, et comme si les mineurs français étaient des consommateurs captifs d'un marché fermé.

Partie I : L'auto-contradiction fondatrice

Toute lecture attentive de ce texte commence nécessairement par son exposé des motifs, dont la structure argumentative contient une contradiction de premier ordre qui invalide, avant même l'examen des articles, l'architecture intellectuelle de l'ensemble.

Les auteurs écrivent, et il faut les citer précisément : "cette thématique [...] relève en effet strictement du droit européen" et "le mener au niveau strictement national serait une stratégie vouée à l'échec, comme nous avons malheureusement pu le constater avec le sort réservé à la loi n° 566 du 7 juillet 2023". La loi Marcangeli visant à instaurer une majorité numérique est citée comme exemple de l'impossibilité d'agir seul.

Fait établi. La loi Marcangeli a effectivement été jugée incompatible avec le droit européen, notamment avec le RGPD et avec la directive 2000/31/CE sur le commerce électronique, en ce qu'elle imposait aux plateformes des obligations de traitement de données personnelles sans base juridique européenne suffisante.

Lecture analytique. L'article 1er de la PPL n° 2107 impose exactement le même type d'obligation : une vérification d'âge par "solutions techniques conformes à un référentiel élaboré par l'ARCOM". L'article 6-10 impose une désactivation automatique des comptes entre 22h et 8h. Ces deux mesures impliquent, comme leur ancêtre Marcangeli, un traitement de données à caractère personnel (l'âge de l'utilisateur, son identité, ses horaires de connexion) sans que la base juridique européenne de ce traitement soit différente de celle qui avait fait tomber la loi de 2023.

La seule justification avancée pour expliquer que cette fois ce serait différent est la mention des "lignes directrices de la Commission européenne relatives à la protection des mineurs" publiées le 14 juillet 2025. Inférence raisonnée. Ces lignes directrices constituent une orientation interprétative du DSA, non une modification du RGPD. Elles n'écartent pas l'article 8 du RGPD relatif au consentement des enfants, ni l'article 5 relatif à la minimisation des données. Elles ouvrent une marge de manœuvre que le Parlement européen n'a pas encore traduite en droit positif. Invoquer des lignes directrices non contraignantes pour asseoir la légitimité d'une loi nationale sur un terrain que les auteurs eux-mêmes décrivent comme exclusivement européen relève davantage de la rhétorique que de la construction juridique.

Cette contradiction n'est pas un détail de rédaction. Elle révèle la logique profonde du texte : ses auteurs savent qu'il est juridiquement fragile sur ses points essentiels, mais ils calculent que le risque d'inconstitutionnalité ou d'incompatibilité européenne est temporellement éloigné, alors que le bénéfice politique d'avoir "fait quelque chose" est immédiat. C'est une rationalité électorale cohérente. Ce n'est pas une politique publique efficace.

Partie II : Le problème de la vérification d'âge : le carré impossible

L'article 1er constitue le coeur du dispositif. Il oblige les plateformes à "refuser l'inscription à leurs services des mineurs de quinze ans" et à "suspendre les comptes déjà créés et détenus par des mineurs de quinze ans". Il renvoie à un "référentiel ARCOM" pour les modalités de vérification.

Ce renvoi à un référentiel est, techniquement, l'aveu d'un problème sans solution satisfaisante. Voici pourquoi.

Le triangle impossible de la vérification d'âge

Toute solution de vérification d'âge en ligne doit naviguer entre trois contraintes simultanées et contradictoires. Elle doit être fiable c'est-à-dire qu'elle doit effectivement distinguer un mineur de 14 ans d'un adulte de 18 ans, avec un taux d'erreur acceptable. Elle doit être proportionnée c'est-à-dire qu'elle ne doit pas collecter davantage de données que nécessaire (principe de minimisation de l'article 5 du RGPD). Et elle doit être résistante au contournement c'est-à-dire qu'elle doit rester efficace face à un utilisateur motivé à la contourner.

Fait établi. Aucune solution actuellement disponible ne satisfait simultanément ces trois exigences. Les solutions robustes vérification documentaire (scan de carte nationale d'identité), estimation biométrique de l'âge, liaison avec France Connect ou l'identité numérique impliquent une collecte de données personnelles sensibles que le RGPD soumet à des conditions strictes et que la CNIL a, dans ses délibérations successives sur ce sujet, systématiquement qualifiées de disproportionnées pour le cas d'usage considéré. Les solutions légères autodéclaration de l'âge, consentement parental par case à cocher sont trivalement contournables par tout adolescent de douze ans disposant d'une connexion internet.

La lecture de ce radar suffit à comprendre le problème structurel. Aucune solution n'atteint un score élevé sur les trois premiers critères simultanément. La solution France Connect est la plus équilibrée mais elle suppose que chaque mineur (et chaque parent de mineur) dispose d'une identité numérique active, ce qui n'est pas le cas, et elle implique une liaison entre l'identité civile et l'usage des réseaux sociaux que la CNIL considérerait, à bon droit, comme une atteinte disproportionnée à la vie privée.

Inférence raisonnée. Le référentiel ARCOM ne pourra pas résoudre ce carré impossible. Il choisira une solution intermédiaire probablement un système de token anonymisé via un tiers de confiance qui sera modérément fiable, modérément conforme, et modérément résistante au contournement. Ce compromis rassurera les législateurs et laissera les mineurs déterminés en dehors du dispositif.

La trivialité du VPN

Le contournement par réseau privé virtuel mérite une attention particulière car il illustre la déconnexion entre la logique du texte et la réalité technique.

Fait établi. Un réseau privé virtuel (VPN) permet à tout utilisateur de faire apparaître sa connexion comme originaire d'un pays étranger, hors juridiction française. Les applications de VPN gratuites et accessibles (ProtonVPN, Windscribe, TunnelBear) sont disponibles sur l'App Store d'Apple et le Google Play Store. Leur installation prend moins de deux minutes. Leur usage ne requiert aucune compétence technique particulière. Les études sur les comportements numériques des adolescents montrent que les mineurs les plus exposés aux contenus nocifs sont précisément les plus habiles à contourner les restrictions parentales et institutionnelles.

La loi australienne "Online Safety Amendment" de 2024, qui a interdit les réseaux sociaux aux moins de 16 ans avec des mécanismes de vérification analogues à ceux envisagés ici, a généré en quelques semaines une multiplication documentée du t…