Points clés
- Le 20 octobre 2026, le Commissariat à la protection de la vie privée du Canada a lancé le premier Code sur la protection des renseignements personnels des enfants au pays, qui fixe des attentes pratiques sur la façon dont les organisations traitent les renseignements personnels des enfants en ligne. Le Commissariat accepte les commentaires jusqu’au 20 janvier 2027.
- Le Code exige un consentement valable (dont le consentement parental pour les moins de 13 ans et un consentement explicite pour les usages non essentiels), une communication claire et adaptée à l’âge, la correction et la suppression complète des données des enfants sur demande, aucun profilage d’enfants à des fins de marketing ou de décisions prises par l’IA, et des paramètres de confidentialité par défaut pour la géolocalisation, la visibilité du profil et le partage avec des tiers.
- Il interdit aussi les pratiques de conception trompeuse visant les enfants et l’utilisation des renseignements des enfants pour exploiter leurs vulnérabilités. Le Code est une ligne directrice, pas une règle contraignante, mais le Commissariat fonde ses enquêtes sur exactement ce genre de document.
Ce qui est arrivé hier
Le 20 octobre 2026, à Gatineau, le commissaire Philippe Dufresne a lancé le premier Code sur la protection des renseignements personnels des enfants au Canada. Le communiqué parle d’un environnement en ligne plus sûr et plus transparent pour les enfants et les adolescents. En pratique, c’est plus précis et plus utile : c’est le premier document canadien qui dit à une équipe produit ce que « protéger les enfants en vertu des lois canadiennes sur la vie privée » veut dire en pratique.
Le Commissariat a mené une consultation exploratoire de mai à août 2025 (37 réponses) et a travaillé avec son Conseil des jeunes, sept élèves de 14 à 17 ans qui ont aussi aidé à rédiger une version simplifiée pour les plus jeunes. Le communiqué cite Dufresne : les jeunes Canadiens s’inquiètent surtout du manque de contrôle, de choix et d’information adaptée à leur âge.
Les cinq règles, traduites en vérifications produit
Le Code parle d’attentes, pas d’ordonnances. Chacune se traduit en vérification concrète dans votre produit :
| Le Code exige | Vérifiez dans votre produit |
|---|---|
| Un consentement valable, dont le consentement parental pour les moins de 13 ans et un consentement explicite pour les usages non essentiels | Chaque parcours pour les moins de 13 ans, et chaque usage non essentiel des données activé par défaut |
| Une information sur la vie privée communiquée de façon claire, accessible et adaptée à l’âge | Tout avis de confidentialité qu’un enfant risque de voir, pas seulement la page juridique |
| Un moyen pratique de corriger les renseignements inexacts ou incomplets, et la possibilité de supprimer entièrement les renseignements personnels | La capacité réelle d’un adolescent à effacer l’historique de son compte, données inférées comprises |
| Aucun profilage d’enfants à des fins de marketing (dont la publicité ciblée ou comportementale) ni pour des décisions prises par l’IA | Les systèmes de recommandation, le ciblage publicitaire et le pointage automatisé qui touchent de jeunes utilisateurs |
| La confidentialité par défaut : géolocalisation, visibilité du profil et partage avec des tiers désactivés d’office | Les paramètres par défaut à l’inscription, pas la page de réglages |
Deux détails méritent un regard attentif. D’abord, le droit de suppression va au-delà de l’accès et de la correction : les enfants peuvent faire supprimer entièrement leurs renseignements personnels, « particulièrement à mesure qu’ils grandissent et que leurs opinions évoluent ». C’est un droit à l’oubli conçu pour des gens dont les opinions changent avec l’âge. Ensuite, l’interdiction du profilage nomme explicitement les décisions prises par l’IA, pas seulement la publicité. Les systèmes de recommandation sont la première chose que j’auditerais.
L’interdiction qui a du mordant : la conception trompeuse
Le langage le plus ferme du communiqué vise les interfaces trompeuses. Le Code prévoit que les sites Web et les applications mobiles ne peuvent pas utiliser des pratiques de conception trompeuse pour influencer, manipuler ou contraindre les enfants à fournir plus de renseignements personnels que nécessaire, ni utiliser leurs renseignements pour exploiter leurs vulnérabilités.
L’opération internationale de 2024 du Commissariat a constaté que 97 % des sites et applications examinés utilisaient au moins une pratique de conception trompeuse, et le communiqué rappelle que les sites visant les enfants recouraient le plus au langage émotif et au harcèlement. Sa récente enquête sur TikTok s’est conclue par l’engagement de l’entreprise à mieux garder les enfants hors de sa plateforme et à cesser d’utiliser des données d’intérêt granulaires pour cibler les moins de 18 ans. Le Code transforme maintenant cette énergie en norme écrite.
Une ligne directrice, pas une loi, et pourquoi elle compte quand même
Lisez bien le communiqué : les organisations « sont censées ». Le Code est une ligne directrice du Commissariat, pas une règle contraignante. Dufresne ne peut pas écrire de loi, et rien dans ce document ne change cela.
Mais la boîte à outils du Commissariat dans le secteur privé, en vertu de la LPRPDE, ce sont les enquêtes et les conclusions publiées, et ces conclusions mesurent les organisations à l’aune de ses lignes directrices. La ligne directrice sur les fournisseurs de services du 6 octobre a fait exactement cela pour les dossiers de fournisseurs; le Code pour enfants fait la même chose pour les produits destinés aux jeunes. La menace n’est pas une amende demain; c’est une conclusion publiée qui vous mesure à une norme reçue aujourd’hui.
Le paradoxe de la vérification de l’âge que personne n’a résolu
Voici la tension que le Code laisse ouverte. Le consentement parental des moins de 13 ans exige de savoir quels utilisateurs ont moins de 13 ans. Cela demande une vérification de l’âge, donc la collecte de plus de données, peut-être des données d’identité sensibles, sur exactement la population que le Code veut protéger par la minimisation. Le Commissariat a publié ses lignes directrices sur la vérification de l’âge au début du mois, et le Code aborde le même problème sous un autre angle. Personne n’a encore publié de réponse nette : comment vérifier l’âge sans alimenter le problème de minimisation que le Code cherche à régler. C’est la question de conception à surveiller jusqu’au 20 janvier.
Mesure concrète : Reprenez les parcours d’inscription et les réglages de tout produit que les enfants peuvent utiliser. Notez-les contre le tableau ci-dessus avant le 20 janvier 2027, et envoyez au Commissariat vos commentaires sur ce qui est inapplicable à cpvp-opcconsultation1@priv.gc.ca. Une ligne directrice a vite fait de devenir la mesure, et celle-ci vient de sortir avec un formulaire de commentaires joint.