Filtrer le contenu qu'un enfant regarde est une chose ; savoir ce que la plateforme apprend sur lui pendant ce temps en est une autre. C'est la deuxième couche de l'approche par couches de la sécurité numérique des enfants, et la moins visible : rien ne s'affiche à l'écran quand des données sont collectées. Cette page décrit le cadre légal applicable aux mineurs, ce qu'un service de streaming enregistre, l'usage qui en est fait, et les moyens d'en réduire la portée.
En Europe, le Règlement général sur la protection des données (RGPD) considère les enfants comme des personnes méritant une protection spécifique, parce qu'ils mesurent moins bien les risques et les conséquences d'un traitement de leurs données. Son article 8 encadre les services en ligne proposés directement à un enfant : en dessous d'un âge fixé par chaque pays entre treize et seize ans, le consentement doit être donné ou autorisé par le titulaire de l'autorité parentale. En France, cet âge est de quinze ans ; en dessous, l'inscription d'un mineur à un service suppose l'accord d'un parent.
La CNIL a précisé ces principes dans des recommandations dédiées aux droits numériques des mineurs : information adaptée à l'âge, collecte minimale, prudence sur le profilage, et facilité à revenir en arrière. Aux États-Unis, la loi COPPA impose depuis longtemps un régime particulier pour les moins de treize ans. Ces textes n'empêchent pas la collecte ; ils l'encadrent et ouvrent des droits.
Au-delà des informations du compte, un service de vidéo à la demande enregistre pendant l'usage :
Prises ensemble, ces données dessinent un portrait précis : les goûts, mais aussi les horaires de coucher, les jours d'école, les périodes de vacances, l'humeur qu'on peut associer à certains choix.
Le premier usage est la recommandation : le classement des titres, les rangées de la page d'accueil, les vignettes affichées sont personnalisés à partir de l'historique. Le deuxième est la mesure d'audience et l'orientation des productions futures. Le troisième, sur les offres qui en comportent, est la publicité.
Sur ce dernier point, le droit européen s'est durci. Le règlement sur les services numériques interdit la publicité ciblée fondée sur le profilage lorsqu'elle vise des mineurs sur les très grandes plateformes. Cela ne supprime pas toute publicité dans un contenu jeunesse, mais cela limite le ciblage personnalisé. Le profilage, lui, subsiste pour les recommandations même en l'absence de publicité : un profil de goûts et d'habitudes est constitué dans tous les cas.
Un quatrième usage, moins visible, mérite l'attention : le partage avec des tiers. Certains services transmettent des données — souvent présentées comme « agrégées » ou « pseudonymisées » — à des partenaires de mesure, des régies ou des prestataires techniques. La formule « données anonymisées » est trompeuse quand elle recouvre en réalité des identifiants qui permettent de recroiser les informations. La politique de confidentialité du service précise, dans sa section sur les destinataires, qui reçoit quoi.
La recherche vocale sur une télécommande ou une enceinte connectée envoie un extrait audio aux serveurs du fabricant pour transcription. Pour un enfant, cela signifie que sa voix, ses formulations, parfois des propos tenus autour du micro sont enregistrés. La plupart des systèmes permettent de consulter et de supprimer cet historique vocal, et de désactiver l'enregistrement des extraits pour amélioration du service. Sur une enceinte, couper physiquement le micro quand elle n'est pas utilisée est la mesure la plus simple.
Quatre points se repèrent rapidement, même dans un document long. Les catégories de données collectées : la liste est-elle proportionnée à un service de streaming, ou déborde-t-elle vers la localisation précise, les contacts, la navigation hors du service ? Les destinataires : des tiers sont-ils cités, à quelles fins ? La durée de conservation : est-elle chiffrée, ou renvoyée à un vague « le temps nécessaire » ? Les mentions spécifiques aux mineurs : le service reconnaît-il traiter des données d'enfants et décrit-il un régime particulier ? Un service sérieux répond clairement à ces quatre questions.
Le téléviseur connecté lui-même collecte des données de visionnage, indépendamment des applications. La reconnaissance automatique de contenu analyse ce qui est affiché à l'écran — y compris depuis une source externe — pour alimenter des mesures d'audience et de la publicité. Cette fonction est fréquemment activée par défaut et se désactive dans les réglages de confidentialité du téléviseur.
Le RGPD impose une durée de conservation limitée à ce qui est nécessaire, mais « nécessaire » est interprété largement : l'historique est généralement gardé tant que le compte existe, et une partie des données peut subsister après la résiliation pour des raisons comptables ou de lutte contre la fraude. Une suppression automatique à échéance fixe est rare. C'est pourquoi les droits décrits ci-dessous ont un intérêt concret.
Toute personne dispose de droits sur ses données, et un parent peut les exercer pour son enfant mineur :
La demande se fait auprès du service, souvent via un formulaire dédié ou l'adresse du délégué à la protection des données. Le service dispose d'un mois pour répondre. En cas d'absence de réponse ou de refus non motivé, une réclamation peut être adressée à la CNIL.
Ces gestes ne rendent pas la collecte nulle, mais ils en réduisent l'ampleur et la durée. Ils se combinent avec la sécurisation du réseau du foyer, qui agit sur un autre plan — celui de ce qui transite entre les appareils et internet.
Une dernière remarque de méthode : la protection des données d'un enfant ne se joue pas seulement dans les réglages, mais dans une habitude — n'ouvrir un compte que lorsque c'est nécessaire, ne renseigner que les informations indispensables, et considérer chaque service supplémentaire comme un dépositaire de plus. Moins il y a de comptes, moins il y a de données dispersées, et plus il est simple d'exercer un droit d'effacement le jour où on le souhaite.