Qu’est-ce que la COPPA
Qu’est-ce que la COPPA (Children’s Online Privacy Protection Act)?
La COPPA (Children’s Online Privacy Protection Act) est la loi américaine qui protège les renseignements personnels des enfants de moins de 13 ans en ligne. La Federal Trade Commission l’applique au moyen de la Children’s Online Privacy Protection Rule (la règle COPPA, 16 CFR Part 312), qui a été modifiée en profondeur en 2025. La conformité aux modifications est exigée depuis le 22 avril 2026.
Cartographiez vos contrôles de la COPPA Voir ce qui recoupe votre programme de protection de la vie privée
Enfants de moins de 13 ans · consentement parental vérifiable · programme de sécurité écrit · politique de conservation publiée
Définition
La COPPA (Children’s Online Privacy Protection Act de 1998, 15 U.S.C. 6501 à 6506) est la loi fédérale américaine qui encadre la façon dont les exploitants de sites Web commerciaux, d’applications et de services en ligne recueillent, utilisent et communiquent les renseignements personnels des enfants de moins de 13 ans. La Children’s Online Privacy Protection Rule, 16 CFR Part 312, est le règlement de la FTC qui précise ce que les exploitants doivent concrètement faire.
Elle s’applique à l’exploitant dont le service est destiné aux enfants de moins de 13 ans, à un service à public mixte dont font partie des enfants, et à tout exploitant qui sait réellement qu’il recueille des renseignements personnels auprès d’un enfant de moins de 13 ans. La FTC détermine si un service est destiné aux enfants en examinant son sujet, ses visuels, ses personnages animés, sa musique, sa publicité et l’âge de son public réel.
La COPPA vise aussi les exploitants hors des États-Unis. Une entreprise canadienne, britannique ou australienne dont le service est destiné aux enfants aux États-Unis, ou qui sait qu’elle recueille des renseignements auprès d’eux, est visée.
Les « renseignements personnels » au sens de la règle sont vastes : noms, adresses, courriel et autres coordonnées en ligne, numéros de téléphone, photos, vidéo et audio contenant l’image ou la voix d’un enfant, géolocalisation, identifiants persistants comme les témoins (cookies) et les identifiants d’appareil et, depuis 2025, identifiants biométriques comme les empreintes digitales, les empreintes vocales et les gabarits faciaux.
Composantes principales
Avis (312.4)
Un avis de confidentialité en ligne clair, accessible partout où des renseignements sur les enfants sont recueillis, et un avis direct aux parents avant la collecte, indiquant ce qui est recueilli, pourquoi et qui le reçoit.
Consentement parental vérifiable (312.5)
Le consentement d’un parent, obtenu par une méthode raisonnablement conçue pour confirmer qu’il s’agit du parent, avant de recueillir, d’utiliser ou de communiquer les renseignements d’un enfant, sauf exceptions limitées.
Consentement distinct pour les tiers (312.5(a)(2))
Nouveau en 2025 : la communication des renseignements d’un enfant à des tiers, y compris à des fins de publicité ciblée, exige son propre consentement parental, sauf si la communication fait partie intégrante du service.
Examen et suppression par les parents (312.6)
Les parents peuvent examiner ce qui a été recueilli, refuser toute collecte ultérieure et en demander la suppression, une fois que l’exploitant a confirmé qu’ils sont bien les parents.
Aucune condition (312.7)
La participation d’un enfant à un jeu, à un concours ou à une activité ne peut pas dépendre de la communication de plus de renseignements que l’activité n’en exige raisonnablement.
Programme de sécurité écrit (312.8)
Nouveau en 2025 : un programme écrit de sécurité de l’information avec un coordonnateur désigné, une évaluation annuelle des risques, des mesures de protection, des tests et une évaluation annuelle, ainsi que des garanties écrites de la part des prestataires de services.
Politique de conservation écrite (312.10)
Nouveau en 2025 : une politique écrite qui indique pourquoi les renseignements des enfants sont conservés et quand ils sont supprimés, publiée dans l’avis en ligne. La conservation indéfinie n’est pas permise.
Identifiants persistants (312.5(c)(7))
Les témoins et les identifiants d’appareil peuvent être recueillis sans consentement uniquement pour soutenir les opérations internes, jamais pour établir un profil ou cibler la publicité, et l’avis doit préciser de quelles opérations il s’agit.
Programmes de refuge (safe harbor) (312.11)
L’exploitant qui suit un programme de refuge approuvé par la FTC est réputé se conformer à la plupart de la règle. Les programmes transmettent désormais plus de renseignements à la FTC.
Pourquoi c’est important
Les affaires de COPPA comptent parmi les mesures d’application les plus actives de la FTC en matière de vie privée. Les sanctions civiles atteignent 53 088$ par violation en 2026 et, comme chaque enfant touché peut constituer une violation distincte, les règlements conclus avec des développeurs d’applications, des éditeurs de jeux et des fournisseurs de technologies éducatives atteignent souvent des millions de dollars. Les procureurs généraux des États peuvent aussi intenter des poursuites en vertu de la COPPA.
Les modifications de 2025 ont fait passer la COPPA d’une règle d’avis et de consentement à une règle de sécurité et de gouvernance des données. Depuis le 22 avril 2026, un exploitant doit avoir un programme écrit de sécurité de l’information, un calendrier de conservation publié et un consentement distinct avant de communiquer les données d’un enfant à des annonceurs. Ce sont les mêmes disciplines que suit déjà un programme de protection de la vie privée et de sécurité, appliquées aux données des enfants.
Pour les FSG, l’exposition se situe habituellement chez les clients : éditeurs de logiciels pour les écoles, plateformes de sport et de loisirs pour les jeunes, entreprises de tutorat et de technologies éducatives, et toute application grand public qu’utilisent à la fois des adolescents et de plus jeunes enfants. Les mesures de protection et les contrats du FSG font partie des preuves de COPPA de ce client.
Ce que la COPPA partage avec votre programme de protection de la vie privée
La majeure partie de la COPPA correspond à des contrôles que vous exécutez déjà pour d’autres lois. Dans Lavawall®, la COPPA est associée aux mêmes contrôles partagés que la LPRPDE et la Loi sur la protection de la vie privée et des données des consommateurs (PPCDA) proposée, de sorte qu’un contrôle que vous mettez en œuvre et dont vous conservez la preuve une seule fois compte pour chacune d’elles.
| Ce que vous faites une seule fois | Règle COPPA | PIPEDA (en vigueur) | PPCDA (projet de loi C-36, proposé) |
|---|---|---|---|
| Exécuter un programme écrit de sécurité de l’information avec un coordonnateur désigné | 312.8(b) | Principes 4.1 et 4.7 | art. 8 et 56 |
| Chiffrer les données stockées et transmises; exiger l’authentification multifacteur | 312.8(a) | Principe 4.7 | art. 56 |
| Évaluer les prestataires de services et obtenir des garanties écrites | 312.8(c) | Principe 4.1.3 | art. 11 |
| Fixer des durées de conservation et supprimer de façon sécuritaire | 312.10 | Principe 4.5 | art. 52 et 54 |
| Ne recueillir que ce que la finalité exige | 312.7 | Principe 4.4 | art. 13 |
| Conserver les dossiers de consentement | 312.5 | Principe 4.3 | art. 15 |
| Vérifier l’identité avant d’accorder l’accès ou de supprimer | 312.6 | Principe 4.9 | art. 56(3) |
| Publier une politique de confidentialité exacte | 312.4(d) | Principe 4.8 | art. 62 |
Le travail propre à la COPPA s’ajoute par-dessus : déterminer si chaque service est destiné aux enfants, vérifier l’âge de façon neutre, envoyer l’avis direct aux parents, appliquer des méthodes de consentement vérifiable, obtenir un consentement distinct pour la communication à des tiers, limiter les identifiants persistants et permettre l’examen par les parents. Lavawall® offre à chacun de ces éléments son propre contrôle, sa propre question et son propre modèle.
Lorsque vous comparez des outils, vérifiez si la COPPA est préconçue et déjà associée aux contrôles qui sous-tendent vos autres cadres, ou si vous devrez la construire et l’associer vous-même. Lavawall® livre la COPPA, la LPRPDE et la PPCDA préconçues sur le même ensemble de contrôles et inclut tous les cadres dans le forfait Intégral.
La COPPA et le droit canadien
Le Canada n’a pas de COPPA aujourd’hui. La LPRPDE ne fixe pas de seuil d’âge, mais le Commissariat à la protection de la vie privée considère les renseignements sur les enfants comme sensibles et s’attend à un consentement valable d’un parent lorsqu’un enfant ne peut pas le donner. La Loi 25 du Québec exige le consentement du titulaire de l’autorité parentale pour les enfants de moins de 14 ans.
Cela est susceptible de changer. Le projet de loi C-36, la Loi sur la protection de la vie privée et des données des consommateurs proposée, définit un enfant comme toute personne de moins de 18 ans, range les renseignements d’un enfant parmi les renseignements sensibles et permet à un parent ou à un tuteur d’exercer les droits de l’enfant. Une organisation canadienne qui compte de jeunes utilisateurs peut bâtir un seul programme de protection de la vie privée des enfants qui répond à la COPPA pour les enfants américains et prépare la PPCDA au pays.
Comment Lavawall® vous aide avec la COPPA
- Évaluez votre conformité à la règle COPPA modifiée, article par article, avec des questions sur la portée, l’avis, le consentement, les droits des parents, la sécurité et la conservation.
- Documentez avec des modèles pour l’avis de confidentialité destiné aux enfants, l’avis direct aux parents, la procédure de consentement parental, le programme écrit de sécurité de l’information, la politique de conservation et les garanties des prestataires de services.
- Prouvez les mesures de protection avec des preuves recueillies sur vos postes de travail, dans Microsoft 365 et dans Google Workspace : chiffrement, authentification multifacteur, application des correctifs, révision des accès et détection des intrusions.
- Formez le personnel avec un court cours sur la règle modifiée.
Commencez votre évaluation de la COPPA →
Cette page résume la règle COPPA à des fins de planification. Elle ne constitue pas un avis juridique; confirmez le texte actuel de la règle et les lignes directrices de la FTC avant de vous y fier.
Questions fréquentes
- La COPPA s’applique-t-elle à une entreprise canadienne?
- Elle peut s’appliquer. La COPPA s’applique à tout exploitant d’un site Web commercial, d’une application ou d’un service en ligne destiné aux enfants de moins de 13 ans aux États-Unis, ou qui sait qu’il recueille des renseignements personnels auprès d’eux, où que l’exploitant soit établi. Une entreprise canadienne dont les utilisateurs comptent des enfants américains devrait évaluer la question.
- Qu’est-ce qui a changé dans les modifications de 2025 de la COPPA?
- La FTC a publié des modifications le 22 avril 2025, entrées en vigueur le 23 juin 2025, avec une conformité exigée au plus tard le 22 avril 2026. Elles ont ajouté les identifiants biométriques aux renseignements personnels, défini les services à public mixte, exigé un consentement parental distinct avant de communiquer les renseignements d’un enfant à des tiers, exigé un programme écrit de sécurité de l’information et une politique de conservation des données écrite et publiée, ajouté de nouvelles méthodes de consentement et accru la production de rapports des programmes de refuge (safe harbor).
- Quelles sont les sanctions en cas de violation de la COPPA?
- Des sanctions civiles pouvant atteindre 53 088$ par violation, le montant ajusté à l’inflation que la FTC applique pour 2026. La FTC et les procureurs généraux des États peuvent tous deux faire appliquer la COPPA, et chaque enfant touché peut compter comme une violation distincte.
- Existe-t-il un équivalent canadien de la COPPA?
- Pas aujourd’hui. La LPRPDE ne fixe pas de seuil d’âge, mais le commissaire à la protection de la vie privée considère les renseignements sur les enfants comme sensibles, et la Loi 25 du Québec exige le consentement du titulaire de l’autorité parentale pour les enfants de moins de 14 ans. Le projet de loi C-36, la Loi sur la protection de la vie privée et des données des consommateurs proposée, définirait un enfant comme toute personne de moins de 18 ans et considérerait les renseignements d’un enfant comme sensibles.
- Pouvons-nous recueillir une date de naissance pour vérifier l’âge d’un utilisateur?
- Oui, si c’est fait de façon neutre. La règle exige une vérification de l’âge qui n’impose pas d’âge par défaut et n’encourage pas les enfants à mentir. En février 2026, la FTC a indiqué qu’elle n’intentera pas de poursuites en vertu de la COPPA pour des renseignements recueillis uniquement afin de vérifier l’âge, pourvu qu’ils ne servent à rien d’autre et qu’ils soient supprimés rapidement.