Le RGPD entrera en application le 25 mai 2018. Le texte d’application directe exigera néanmoins des adaptations internes en particulier sur un point sensible : l’âge à partir duquel un mineur peut valablement consentir à ce que ses données soient traitées par Facebook ou Twitter. En France, la question est soumise à arbitrage gouvernemental. 

Le futur cadre du règlement général sur la protection des données personnelles « doit permettre à l’Europe de s’adapter aux nouvelles réalités du numérique », dixit la CNIL. Et pour cause, un texte unique à l’ensemble des États membres assurera, en théorie, la suppression des brèches législatives dans lesquelles se faufilaient jusqu’à présent les géants de l’industrie notamment.

Toutefois, les États membres n’auront pas à se contenter d’attendre patiemment le terme du 25 mai. Plusieurs dizaines de dispositions du RGPD vont exiger une remise à niveau de la législation interne ou des choix. Dans le corps même du texte, il y a ainsi quinze occurrences « les États membres peuvent » (prévoir, adopter, intégrer, empêcher, etc.), laissant chacune des options d’adaptation, sans compter les dispositions relatives à l’indépenance des autorités de contrôle.

L’exemple symptomatique est celui de l’âge à partir duquel un mineur pourra validement donner son consentement à ce que ses données personnelles puissent être avalées par les estomacs de Facebook, Instagram ou Twitter. L’article 8 du règlement fixe ce seuil à 16 ans, mais il laisse aux États membres la liberté de descendre jusqu’à 13 ans.  

Une Europe divisée sur le seuil du consentement des mineurs