Le Children’s Online Privacy Protection Act (COPPA) : guide de conformité pour les opérateurs

Le Children’s Online Privacy Protection Act (COPPA) est une loi fédérale américaine sur la protection de la vie privée des enfants en ligne. Elle encadre la manière dont les sites web, les applications et d’autres services en ligne collectent, utilisent et divulguent les informations personnelles d’enfants de moins de 13 ans. La Federal Trade Commission (FTC), autorité fédérale américaine de protection des consommateurs, la fait appliquer au moyen de la COPPA Rule (16 CFR Part 312). Les opérateurs doivent fournir une information claire, obtenir un consentement parental vérifiable avant de collecter les informations personnelles d’un enfant, donner aux parents la maîtrise de ces données, les sécuriser et les supprimer lorsqu’elles ne sont plus raisonnablement nécessaires. La FTC a finalisé en 2025 des modifications de la règle qui ajoutent un consentement distinct pour les divulgations à des tiers, un programme écrit de sécurité de l’information, une politique de conservation des données et des définitions élargies des informations personnelles. La date limite de mise en conformité à ces modifications était le 22 avril 2026.

Les organisations qui collectent des données d’enfants, ou qui peuvent le faire sans s’en rendre compte, doivent savoir de quel côté de la ligne elles se situent. Kiteworks fournit un plan de contrôle pour l’échange sécurisé de données, qui aide les organisations à protéger les informations personnelles des enfants grâce au chiffrement, au contrôle d’accès et à la journalisation d’audit, et à les collecter par des formulaires web sécurisés.

Cette page fournit des informations générales et ne constitue pas un avis juridique. Pour savoir comment la COPPA s’applique à votre organisation, adressez-vous à votre équipe juridique ou chargée de la protection de la vie privée.

Points clés à retenir

1. La COPPA couvre bien plus que les sites web pour enfants

Un service grand public est couvert s’il a connaissance effective qu’il collecte des informations personnelles auprès d’un enfant de moins de 13 ans. Les opérateurs de services destinés aux enfants sont couverts dès le départ, de même que les tiers, comme les régies publicitaires et les modules d’extension, qui collectent sciemment des données par l’intermédiaire d’un service destiné aux enfants.

2. Le consentement doit être vérifiable, et non présumé

Les opérateurs doivent obtenir un consentement parental vérifiable avant de collecter, d’utiliser ou de divulguer les informations personnelles d’un enfant. La règle modifiée exige un consentement distinct pour les divulgations à des tiers, sauf si la divulgation est indispensable au service.

3. La sécurité et la conservation sont désormais des exigences écrites

La règle modifiée exige un programme écrit de sécurité de l’information et une politique de conservation des données. Les opérateurs ne peuvent plus conserver indéfiniment les données des enfants, et ils doivent démontrer comment elles sont protégées.

4. Les informations personnelles sont définies au sens large

Les identifiants persistants, les photos, les enregistrements vocaux et la géolocalisation comptent tous, et les modifications y ajoutent les identifiants biométriques. Les cookies et les identifiants d’appareil qui suivent un enfant d’un service à l’autre peuvent déclencher l’application de la COPPA même sans nom ni adresse électronique.

5. Les sanctions sont évaluées par violation

Chaque violation peut donner lieu à une sanction civile, et certaines affaires de grande ampleur ont atteint des centaines de millions de dollars. La FTC et les procureurs généraux des États font tous deux appliquer la COPPA.

Qu’est-ce que la COPPA ? Définition et champ d’application

Le Congrès américain a adopté la COPPA en 1998 (15 U.S.C. 6501 à 6506), et la règle d’application de la FTC est entrée en vigueur le 21 avril 2000. La loi s’applique aux opérateurs de sites web commerciaux et de services en ligne, y compris les applications mobiles, les jouets connectés et d’autres produits connectés à internet, qui sont :

• Destinés aux enfants de moins de 13 ans et qui collectent des informations personnelles auprès d’eux.
• Des services grand public qui ont connaissance effective qu’ils collectent des informations personnelles auprès d’un enfant de moins de 13 ans.
• Des services à public mixte qui visent les enfants comme l’un de plusieurs publics. La règle modifiée ajoute une définition autonome et permet à ces services de vérifier l’âge des utilisateurs avant de collecter des informations personnelles, puis d’appliquer les protections de la COPPA à ceux qui déclarent avoir moins de 13 ans.

La COPPA s’étend aux opérateurs établis à l’étranger qui destinent des services à des enfants aux États-Unis ou collectent sciemment leurs données. La FTC prend en compte des facteurs tels que le sujet traité, le contenu visuel, les personnages animés, les activités destinées aux enfants, la musique, l’âge des modèles, la publicité et les éléments probants sur la composition de l’audience. La règle modifiée ajoute les supports marketing, les déclarations faites à des tiers, les avis d’utilisateurs et l’âge des utilisateurs de services similaires.

Qui la COPPA protège-t-elle ?

La COPPA protège les enfants de moins de 13 ans. Dès qu’un utilisateur atteint 13 ans, la COPPA ne s’applique plus à ses données, même si d’autres lois, dont les lois des États sur la vie privée, peuvent encore exiger une protection supplémentaire pour les adolescents. Les opérateurs ne peuvent généralement pas échapper à la loi en affirmant qu’aucun enfant n’utilise leur service si leur contenu, leur marketing ou leur base d’utilisateurs suggèrent le contraire.

Qu’entend-on par informations personnelles dans la COPPA ?

La règle définit les informations personnelles de manière large. Elles comprennent :

• Un prénom et un nom, une adresse postale, une adresse électronique ou d’autres coordonnées en ligne, et un numéro de téléphone.
• Un pseudonyme ou un nom d’utilisateur qui fait office de coordonnées en ligne.
• Un identifiant persistant qui permet de reconnaître un utilisateur dans le temps et d’un service à l’autre, comme un cookie, une adresse IP ou un identifiant d’appareil.
• Une photo, une vidéo ou un fichier audio qui contient l’image ou la voix d’un enfant.
• Des informations de géolocalisation suffisamment précises pour identifier le nom d’une rue et d’une ville.
• Des informations sur un enfant ou un parent, collectées et combinées avec l’un de ces identifiants.
• Selon les modifications, des identifiants biométriques tels que les empreintes digitales, les empreintes vocales, les modèles faciaux et les démarches, ainsi que des identifiants délivrés par l’administration au-delà des numéros de sécurité sociale, notamment les numéros de passeport et les actes de naissance.

Notre fiche sur les PII et PHI (informations personnelles identifiables et informations de santé protégées, notions américaines) explique comment ces catégories se rattachent à des termes de protection de la vie privée plus larges.

Qu’exige la COPPA des opérateurs ?

La règle fixe un socle d’obligations :

1. Publier une notice de confidentialité en ligne claire qui décrit les informations collectées auprès des enfants, la manière dont elles sont utilisées et si elles sont divulguées à des tiers.
2. Adresser une notification directe aux parents avant de collecter des informations auprès de leur enfant, en précisant les finalités et l’identité des tiers qui les recevront.
3. Obtenir un consentement parental vérifiable avant de collecter, d’utiliser ou de divulguer les informations personnelles d’un enfant, sous réserve d’exceptions limitées.
4. Donner aux parents la maîtrise : la possibilité de consulter les informations collectées, d’en demander la suppression et de refuser toute collecte ultérieure.
5. Limiter la collecte à ce qui est raisonnablement nécessaire à la participation de l’enfant à une activité. Les opérateurs ne peuvent pas exiger davantage de données comme condition de participation.
6. Protéger la confidentialité, la sécurité et l’intégrité des données, et ne les communiquer qu’à des parties capables d’en faire autant.
7. Ne conserver les données que le temps raisonnablement nécessaire à la finalité de leur collecte, puis les supprimer de manière sécurisée.

Ces obligations font écho à des principes d’autres lois sur la vie privée. Consultez nos guides sur la minimisation des données et sur le RGPD (règlement général sur la protection des données) à titre de comparaison.

Comment fonctionne le consentement parental vérifiable ?

Le consentement parental vérifiable consiste à déployer des efforts raisonnables, compte tenu de la technologie disponible, pour s’assurer que la personne qui donne son consentement est bien le parent de l’enfant. La méthode adaptée dépend de l’utilisation prévue des données. Les méthodes acceptées comprennent un formulaire de consentement signé, une transaction par carte bancaire qui avertit le titulaire du compte, un appel gratuit ou une visioconférence avec du personnel formé, et la vérification d’une pièce d’identité délivrée par l’administration. Les modifications ajoutent trois méthodes : l’authentification fondée sur la connaissance, au moyen de questions à choix multiples difficiles, la transmission d’une pièce d’identité officielle avec photo, et un message texte associé à une étape de confirmation, comme un second message texte, un courrier ou un appel.

Les opérateurs qui souhaitent divulguer des données d’enfants à des tiers à des fins non indispensables au service doivent obtenir un consentement distinct pour cette divulgation. Les parents doivent pouvoir accepter la collecte et l’utilisation sans accepter la divulgation à des tiers.

Dans quels cas le consentement parental n’est-il pas requis ?

La règle prévoit des exceptions étroites. Dans chaque cas, l’opérateur ne peut collecter que ce que l’exception requiert, ne doit pas l’utiliser à d’autres fins et doit en principe le supprimer ensuite :

• Collecter les coordonnées en ligne d’un parent ou d’un enfant uniquement pour obtenir le consentement parental.
• Répondre une seule fois à une demande précise d’un enfant, après quoi les coordonnées doivent être supprimées.
• Répondre plus d’une fois à la demande d’un enfant, comme pour une lettre d’information, avec notification au parent et possibilité de s’y opposer.
• Protéger la sécurité d’un enfant.
• Protéger la sécurité et l’intégrité du service, prendre des précautions contre la mise en cause de sa responsabilité, répondre à une procédure judiciaire ou coopérer avec les forces de l’ordre.
• Utiliser un identifiant persistant uniquement pour soutenir le fonctionnement interne du service, sans contacter l’enfant.
• Selon les modifications, collecter un fichier audio contenant la voix d’un enfant uniquement pour répondre à une demande, puis le supprimer immédiatement.

Comment la COPPA est-elle appliquée ?

La FTC fait appliquer la COPPA par des enquêtes, des actions en sanction civile et des ordonnances par consentement qui comportent souvent la suppression des données, des programmes de conformité et des obligations de rapport à long terme. Les procureurs généraux des États peuvent aussi engager des actions fondées sur la COPPA devant les juridictions fédérales. Les opérateurs peuvent adhérer à un programme de safe harbor approuvé par la FTC, c’est-à-dire un programme d’autorégulation dont les lignes directrices égalent ou dépassent la règle. La participation ne crée pas d’immunité, mais la FTC considère en général que le respect des lignes directrices d’un programme de safe harbor vaut respect de la règle. La règle modifiée oblige les programmes approuvés à publier la liste de leurs membres et à rendre compte à la FTC.

La COPPA et les écoles

Les écoles ne sont pas des opérateurs, mais les fournisseurs qui les servent le sont. Les orientations de la FTC permettent à une école d’autoriser la collecte de données d’élèves au nom des parents lorsque ces données sont utilisées uniquement pour les finalités éducatives de l’école et non à des fins commerciales. La FTC n’a pas finalisé en 2025 les dispositions qu’elle proposait sur les technologies éducatives, et les a reportées dans l’attente d’éventuelles évolutions liées au Family Educational Rights and Privacy Act (FERPA), loi américaine qui protège les dossiers scolaires des élèves. Lisez nos guides sur la conformité FERPA et sur les bonnes pratiques FERPA pour le volet des dossiers d’élèves.

La COPPA, les réseaux sociaux et les contenus générés par les utilisateurs

Les fonctionnalités qui permettent aux enfants de publier des commentaires, des photos, des vidéos ou des enregistrements vocaux peuvent exposer publiquement des informations personnelles. Les opérateurs qui les autorisent doivent obtenir un consentement parental vérifiable avant de collecter ces informations, ou recourir à des mesures raisonnables pour détecter et supprimer les informations personnelles avant leur publication. Les services qui s’appuient sur des filtres d’âge devraient les concevoir de manière neutre, sans inciter les enfants à saisir un faux âge.

Quel lien entre la COPPA et les règles internationales de protection de la vie privée ?

La COPPA est l’un des régimes qui protègent les données des enfants. Le RGPD fixe par défaut à 16 ans l’âge du consentement numérique, que les États membres peuvent abaisser à 13 ans. Des lois d’États américains, comme le California Privacy Rights Act (loi californienne sur les droits en matière de vie privée), ajoutent des exigences d’adhésion préalable (opt-in) pour la vente de données de mineurs, et le Royaume-Uni a ses propres exigences de conception adaptée à l’âge. Les organisations qui s’adressent à un public mondial devraient comparer les obligations entre régimes à l’aide de notre présentation des lois mondiales sur la confidentialité des données.

Liste de contrôle de conformité à la COPPA

1. Déterminez si votre service est destiné aux enfants, à public mixte, ou grand public avec une possible connaissance effective.
2. Inventoriez les informations personnelles que vous collectez auprès des enfants, y compris les identifiants persistants, et chaque tiers qui les reçoit.
3. Publiez une notice de confidentialité en ligne claire et complète, et préparez des notifications directes aux parents.
4. Choisissez une méthode de consentement parental vérifiable adaptée à votre utilisation des données.
5. Obtenez un consentement distinct avant de divulguer des données d’enfants à des tiers à des fins non indispensables au service.
6. Offrez aux parents un moyen simple de consulter les données, de demander leur suppression et d’arrêter toute collecte ultérieure.
7. Limitez la collecte à ce que chaque activité requiert raisonnablement.
8. Adoptez un programme écrit de sécurité de l’information, désignez les personnes responsables, évaluez les risques et testez les mesures de protection au moins une fois par an.
9. Établissez un calendrier de conservation des données et supprimez les données des enfants lorsqu’elles ne sont plus raisonnablement nécessaires.
10. Conservez les preuves des notifications, des consentements, des revues de fournisseurs et des demandes de suppression, et formez le personnel qui traite les données des enfants.

Situation actuelle et évolutions récentes

Cette section est revue et mise à jour séparément du reste de la page. Dernière revue : octobre 2026.

Règle COPPA modifiée. La FTC a publié ses modifications finales de la COPPA Rule au Federal Register le 22 avril 2025. Les modifications sont entrées en vigueur le 23 juin 2025, et les opérateurs avaient jusqu’au 22 avril 2026 pour s’y conformer, avec des calendriers différents pour certaines dispositions relatives aux programmes de safe harbor. Les opérateurs sont désormais tenus de respecter les nouvelles exigences.

Sanctions civiles. Les violations de la COPPA sont traitées comme des violations d’une règle de la FTC, et la FTC peut demander des sanctions civiles par violation. Le plafond par violation est ajusté chaque année en fonction de l’inflation, et le montant indiqué dans la réglementation de la FTC au moment de cette revue était de 53 088 dollars. La FTC a indiqué qu’elle continuerait d’appliquer les niveaux de sanction de 2025 pour 2026.

Exemples de sanctions. De grandes affaires montrent comment les sanctions s’accumulent. En 2019, Google et YouTube ont accepté de verser 170 millions de dollars pour clore les allégations de violation de la COPPA formulées par la FTC et le procureur général de l’État de New York. En 2022, Epic Games a accepté de verser 275 millions de dollars dans le cadre d’un règlement amiable avec la FTC au titre de la COPPA.

Comment Kiteworks aide les organisations à protéger les données des enfants

Kiteworks fournit un plan de contrôle pour l’échange sécurisé de données, qui encadre la circulation des données sensibles entre les personnes, les machines et les systèmes. Pour les organisations qui collectent et partagent des informations personnelles d’enfants, la plateforme aide à soutenir les exigences de sécurité et de responsabilité de la COPPA :

• Collecte sécurisée. Les formulaires web sécurisés permettent aux organisations de collecter le consentement et d’autres informations avec des mentions personnalisables.
• Chiffrement. Les données sont protégées par un double chiffrement, avec des clés distinctes au niveau du fichier et du disque, et les clients détiennent leurs clés de chiffrement. Pour en savoir plus, consultez nos fiches sur le double chiffrement et le chiffrement des courriels.
• Accès au moindre privilège. Des autorisations granulaires limitent qui peut consulter, télécharger ou partager des informations personnelles, ce qui aide à restreindre l’exposition aux personnes qui en ont besoin.
• Journalisation d’audit. Un journal d’audit unique enregistre l’activité des utilisateurs, des données et du système, et fournit aux organisations des éléments attestant comment les données des enfants ont été consultées et partagées. Consultez notre guide sur le journal d’audit.

Découvrez Kiteworks pour la conformité à la COPPA, informez-vous sur le partage de fichiers sécurisé, ou consultez le plan de contrôle des données Kiteworks.

 

Retour au Glossaire des Risques et de la Conformité