Quand le produit devient la preuve

Ce qui est établi — et ce qui reste allégué

Les procureurs généraux de Californie, du Colorado, du Kentucky et du New Jersey plaident devant le tribunal fédéral du Northern District of California. Le procès a débuté le 18 août 2026 après le rejet d’une demande de jugement sommaire de Meta.

La plainte affirme que Meta a conçu certaines fonctions de Facebook et Instagram pour favoriser un usage excessif par des mineurs, a collecté ou utilisé des données d’enfants de moins de treize ans et a minimisé des risques. Ce sont des allégations litigieuses, pas des faits judiciairement constatés.

Le rejet du jugement sommaire signifie que l’affaire pouvait aller au procès. Il ne décide ni la responsabilité ni les dommages. À la date de gel, le jury n’avait pas rendu de verdict.

Une plainte expose ce qu’une partie affirme pouvoir prouver. Un verdict dira, le cas échéant, ce qui a été juridiquement établi. Entre les deux, le droit organise la contradiction : il ne distribue pas des certitudes par communiqué de presse.

Le procès rend surtout visible la matérialité du produit. Un réglage par défaut, une recommandation, une notification, une séquence de sortie ou une vérification de l’âge ont un auteur, un objectif, des indicateurs de succès et, normalement, une trace. Le bouton « continuer » a parfois un curriculum vitæ beaucoup plus long qu’il n’en a l’air.

Le droit regarde désormais le plan de l’architecte

Le dossier croise COPPA, droit de la consommation et choix de conception. En Europe, le RGPD et le Digital Services Act conduisent à poser une question voisine : le service protège-t-il réellement le mineur ou lui confie-t-il toute la charge de se protéger ?

L’âge déclaré, le réglage par défaut, la recommandation, la friction de sortie et la publicité sont des choix de produit. Ils deviennent des éléments de gouvernance, de preuve et, parfois, de responsabilité.

La COPPA protège les données des enfants de moins de treize ans et impose notamment, lorsqu’elle s’applique, une information des parents et un consentement parental vérifiable. La règle révisée renforce aussi les exigences touchant certains usages publicitaires, la conservation et la sécurité.

Les lignes directrices européennes traduisent l’article 28 du DSA en choix concrets : comptes privés par défaut, recommandations moins propices aux spirales de contenus, désactivation de fonctions favorisant l’usage excessif, outils de blocage réellement utilisables et assurance de l’âge proportionnée. Elles restent non contraignantes et ne garantissent pas automatiquement la conformité.

Un enfant ne devrait pas devoir comprendre seul le modèle économique du service pour réussir à s’en protéger. La protection se joue dans l’ordre des écrans, la simplicité du refus, le silence des notifications et la possibilité de partir sans parcours d’obstacles.

Ce que l’accord dit vraiment

Le 21 août, le Department of Justice a annoncé un accord avec TikTok et ByteDance au sujet d’allégations relatives aux données d’enfants de moins de treize ans et au respect de la COPPA.

La structure est précise : 300 millions de dollars doivent être payés ; 100 millions supplémentaires le seraient si le tribunal accède à la demande de TikTok d’annuler l’ancienne injonction visant Musical.ly. Écrire simplement « amende de 400 millions » effacerait cette condition.

Le communiqué décrit aussi des contrôles que TikTok dit avoir améliorés. Il ne faut pas les présenter comme autant de nouvelles obligations imposées par l’accord. Le règlement ne contient pas de constat de responsabilité.

La structure financière doit être lue avant le titre : 300 millions de dollars sont immédiatement payables. Les 100 millions restants ne le deviennent qu’à l’entrée d’une décision annulant l’ancienne injonction imposée à Musical.ly, prédécesseur de TikTok.

La plainte alléguait notamment que des enfants pouvaient créer des comptes ordinaires, que leurs données étaient collectées ou conservées sans information et consentement parental adéquats et que certaines demandes d’effacement avaient été mal exécutées. TikTok contestait ces griefs ; l’accord évite qu’un tribunal les tranche.

Pourquoi l’Europe doit regarder

COPPA est américaine. Le problème de conception ne l’est pas. Le RGPD accorde une protection particulière aux enfants ; le Digital Services Act ajoute des exigences de sécurité et encadre notamment certaines publicités fondées sur le profilage des mineurs.

L’assurance de l’âge doit être proportionnée : assez solide pour protéger, assez sobre pour ne pas créer une base de surveillance supplémentaire.

Un champ « date de naissance » n’est pas une barrière ; c’est une porte avec une pancarte. L’assurance de l’âge doit répondre au risque sans devenir un prétexte à collecter l’identité de tous.

Le Comité européen de la protection des données insiste sur la nécessité, la proportionnalité, la minimisation, la limitation des finalités, la sécurité et un recours effectif. Protéger les mineurs ne justifie pas de constituer une nouvelle base de données sur l’ensemble des utilisateurs.

Ce que l’autorité a décidé

Plus de 170 chauffeurs français ont saisi la CNIL par l’intermédiaire de la Ligue des droits de l’Homme. Le dossier a été traité par l’autorité néerlandaise comme autorité chef de file.

Le 21 août, cette autorité a annoncé une amende de 824 990 000 euros. Elle considère que certains blocages temporaires ou définitifs, déclenchés par une suspicion de fraude ou une note insuffisante, constituaient des décisions entièrement automatisées aux effets importants sur le revenu.

Elle estime aussi que l’intervention humaine invoquée n’était pas suffisamment réelle et que l’information donnée aux chauffeurs était insuffisante. Uber rejette ces constats et a annoncé faire appel. Aucun arrêt d’appel n’était disponible le 25 août.

Le montant saisit. Mais la question tient en une phrase : qui peut décider qu’une personne ne travaillera plus demain matin ? Selon l’autorité, fermer le compte supprimait l’accès aux courses et affectait directement le revenu tiré de la plateforme.

Uber conteste les constatations et a annoncé un recours. Cette précision fait partie de l’information : une autorité a décidé, tandis que le contrôle juridictionnel reste ouvert.

Le mot décisif : intervention

L’article 22 du RGPD protège contre certaines décisions fondées exclusivement sur un traitement automatisé. Lorsqu’une exception s’applique, la personne doit notamment pouvoir obtenir une intervention humaine, exposer son point de vue et contester la décision.

Un humain qui valide un score sans disposer du dossier ni du pouvoir de changer l’issue ne constitue pas nécessairement une intervention significative.

Tous les algorithmes ne relèvent pas de l’article 22 : il faut une décision exclusivement automatisée produisant un effet juridique ou un effet similaire significatif. Couper l’outil qui permet de gagner sa vie n’est toutefois pas une recommandation de film un peu maladroite.

Dans SCHUFA, la Cour de justice a admis qu’un score peut déjà constituer une décision automatisée lorsqu’un tiers lui donne un rôle déterminant. Dans Dun & Bradstreet Austria, elle exige une explication concise et intelligible de la procédure et des principes effectivement appliqués au cas individuel.

Une intervention humaine utile suppose la compétence pour examiner les faits, le temps de le faire et le pouvoir de changer le résultat. Sans ces trois pouvoirs, l’humain reste un décor.