Code des enfants du Commissariat : ce qu'il attend

Le 20 octobre 2026, le Commissaire à la protection de la vie privée du Canada, Philippe Dufresne, a publié le premier Code sur la protection des renseignements personnels des enfants au Canada. Le document dit ce que le Commissariat attend des organisations dont les services en ligne sont destinés aux enfants ou susceptibles d'être consultés par eux : consentement parental sous 13 ans, réglages les plus protecteurs par défaut, pas de publicité comportementale. Le Commissariat reçoit des observations jusqu'au 20 janvier 2027.

Ce que disent les sources

Le statut du Code. Ce n'est pas une nouvelle loi. Le Code « s'appuie sur la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), en déterminant de quelle manière les mesures de protection qu'elle prévoit s'appliquent aux enfants », et il « reflète le point de vue du Commissariat quant aux obligations des organisations ». Les obligations restent celles de la LPRPDE ; le Code dit comment le Commissariat les lit quand un enfant est en cause. Il a été élaboré après une consultation exploratoire et avec le Conseil jeunesse du Commissariat, composé de 7 élèves de 14 à 17 ans.

Qui est visé. Toute organisation assujettie à la LPRPDE qui recueille, utilise ou communique des renseignements personnels dans le cadre d'une activité commerciale liée à un service en ligne (site Web, application, plateforme, outil numérique) destiné aux enfants ou susceptible d'être consulté par eux. Tous les enfants de moins de 18 ans sont couverts. Le Code s'applique même si les enfants ne sont pas le public cible, et l'organisation qui conclut le contraire « devrait documenter sa décision et les motifs de celle-ci ».

Consentement. Sous 13 ans, sauf exception, le consentement vient d'un parent ou d'un tuteur. De 13 à 18 ans, l'organisation évalue si l'enfant comprend ce à quoi il consent, surtout pour les renseignements sensibles. Les utilisations non essentielles exigent un consentement explicite, choix par choix. Le consentement ne se déduit ni de l'inaction ni de l'usage continu, un refus ne doit pas dégrader le service de base, et le retrait doit être aussi simple que l'acceptation.

Réglages par défaut. Le réglage le plus protecteur, sauf raison impérieuse documentée : géolocalisation désactivée, profil privé et non indexé par les moteurs de recherche, communication à des tiers désactivée, profilage désactivé.

Minimisation, transparence, rectification. Ne recueillir que le nécessaire, fonction par fonction ; fixer des durées de conservation ; informer en langage simple, adapté à l'âge et dans les 2 langues officielles ; offrir un moyen simple de corriger ou de supprimer. L'évaluation des facteurs relatifs à la vie privée (EFVP) est fortement encouragée avant de lancer ou de modifier un service à risque élevé.

Profilage et pratiques interdites. Les organisations ne devraient pas utiliser les renseignements des enfants pour leur présenter de la publicité ciblée ou comportementale, ni communiquer leurs profils à des tiers à des fins de marketing. Le Code range enfin certaines pratiques parmi celles qui ne peuvent être « justifiées par la démonstration d'une fin légitime, atténuées par des mesures de protection renforcées, ni autorisées par l'obtention d'un consentement » : conception trompeuse, consentement obtenu par manipulation (qui n'est pas valide), mécanismes d'engagement comme les séries quotidiennes servant à étendre la collecte, et inférence de l'état émotionnel d'un enfant pour en tirer plus de renseignements. Le Commissariat les rattache au paragraphe 5(3) de la LPRPDE.

Pourquoi ça compte

Le critère « susceptible d'être consulté par des enfants » élargit beaucoup le champ : jeux, réseaux sociaux, outils éducatifs, mais aussi des services grand public que des adolescents utilisent. Ne pas viser les enfants ne suffit plus ; il faut l'avoir évalué et documenté.

Au Québec, le cadre est différent. Selon le Commissariat, les organisations soumises à une loi provinciale essentiellement similaire, comme celle du Québec, sont habituellement exonérées de la LPRPDE pour ce qui se passe dans la province, mais les renseignements qui franchissent les frontières provinciales ou nationales restent soumis à la LPRPDE. Or la Loi sur la protection des renseignements personnels dans le secteur privé place le seuil à 14 ans. Son article 4.1 prévoit que les renseignements d'un mineur de moins de 14 ans « ne peuvent être recueillis auprès de celui-ci sans le consentement du titulaire de l'autorité parentale ou du tuteur, sauf lorsque cette collecte est manifestement au bénéfice de ce mineur ». L'article 14 confie le consentement du mineur de moins de 14 ans au titulaire de l'autorité parentale ou au tuteur. L'article 9.1 exige déjà, pour un produit ou service technologique offert au public, des paramètres de confidentialité réglés par défaut au plus haut niveau, témoins de connexion exclus. Le Code cite d'ailleurs ces 3 articles comme exemple de la même direction prise dans les provinces.

Une entreprise québécoise qui sert aussi des utilisateurs ailleurs au Canada se retrouve donc avec 2 seuils : 14 ans dans la loi québécoise, 13 ans dans le Code fédéral.

Ce que nous en pensons chez Sentrix

1. Faire et documenter le test « susceptible d'être consulté ». Recherches sur vos utilisateurs, annonceurs, contenu attrayant pour les enfants, services comparables : consignez la conclusion et ses motifs, même quand elle est négative. Cette décision a sa place dans votre programme LPRPDE.
2. Retenir le seuil le plus strict. Si vous servez le Québec et ne pouvez pas distinguer la provenance de l'utilisateur, appliquez 14 ans partout. Une seule règle est plus simple à maintenir et respecte les 2 régimes, voir notre page Loi 25.
3. Inventorier les réglages par défaut. Géolocalisation, visibilité du profil, indexation, partage avec des tiers, profilage : chacun désactivé au départ, ou justifié par écrit.
4. Séparer l'essentiel de l'optionnel. Pour chaque fonction, la liste des renseignements nécessaires au service de base, puis un choix distinct pour le reste. Refuser ne doit rien briser.
5. Couper la publicité comportementale sur les comptes d'enfants. Revoyez les balises publicitaires et les ententes avec les tiers qui reçoivent des profils.
6. Mener une EFVP avant le prochain lancement. Le Code en énumère le contenu attendu : nécessité de chaque collecte, consentement adapté à l'âge, conservation, mesures de sécurité, profilage. Notre article sur l'évaluation des facteurs relatifs à la vie privée décrit la démarche.
7. Relire les parcours de consentement. Options précochées, libellés trompeurs, urgence artificielle : le Code les vise nommément, et un consentement obtenu ainsi ne vaut rien.

La prochaine étape

Dressez la liste de vos services en ligne, notez pour chacun s'il est susceptible d'être consulté par des enfants, quel seuil d'âge s'applique et quels réglages sont actifs par défaut. Les cases vides sont vos priorités avant le 20 janvier 2027. Si vous voulez faire cet exercice avec nous, contactez-nous.