Les leçons du rapport TikTok – Partie 1 : Mécanismes de vérification de l’âge

Par Sabrina Roy, Avocate

Dans un contexte où la surveillance numérique s’intensifie, un climat de préoccupations documentées fait surface quant aux effets des réseaux sociaux sur les jeunes, notamment en raison de mécanismes de design persuasif et d’algorithmes conçus pour maximiser l’engagement, avec des risques corrélatifs pour leur santé mentale[1] et pour la protection de leurs renseignements personnels. Dans ce cadre, la plupart des plateformes imposent un âge minimal et restreignent l’ouverture de comptes aux enfants. Les réseaux sociaux les plus prisés par les jeunes, dont TikTok, se retrouvent ainsi de plus en plus sous la loupe des autorités de protection des renseignements personnels.

En novembre dernier, le Commissariat à la protection de la vie privée du Canada (« CPVPC ») annonçait sa participation à une initiative internationale inédite menée par le Global Privacy Enforcement Network[2], visant à examiner les pratiques de collecte de données sur les sites et applications utilisés par les enfants, une préoccupation réitérée plus récemment lors de la Semaine de la protection des données de janvier 2026, au cours de laquelle le CPVPC a diffusé des ressources comprenant une section dédiée aux enfants et aux jeunes[3].

Le rapport d’enquête sur TikTok Pte. Ltd.^[4] (« TikTok »), publié à la fin 2025, révèle plusieurs enjeux de conformité graves, qui soulèvent des questions fondamentales en lien avec les Lois canadiennes applicables en matière de protection des renseignements personnels^[5]. Le présent article, présenté en deux parties, propose de revenir sur quatre points soulevés par le CPVPC, la Commission d’accès à l’information du Québec (« CAI »), le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique et le Commissariat à l’information et à la protection de la vie privée de l’Alberta (collectivement, les « Commissaires ») et d’examiner certaines conclusions qui y sont tirées. La première partie, soit la présente, porte sur les mécanismes de vérification de l’âge et les enjeux liés à la validité du consentement à la collecte de renseignements personnels des enfants. La seconde s’intéressera à l’utilisation de technologies d’estimation de l’âge fondées sur l’analyse des traits faciaux et à leur qualification juridique comme renseignements biométriques, mettant en lumière les tensions entre innovation technologique et protection de la vie privée.

1. Le contrôle de l’âge comme enjeu de conformité

Dans ce contexte, les Commissaires débutent leur analyse en examinant le caractère acceptable, raisonnable et légitime des fins poursuivies par TikTok, accordant une attention particulière à l’efficacité des mécanismes de vérification de l’âge. L’objectif est de déterminer si l’entreprise respecte ses propres conditions d’utilisation, qui réservent la plateforme aux personnes de plus de 13 ans, ou 14 ans au Québec (« Enfants ») et si les mesures mises en place suffisent à soutenir son affirmation selon laquelle toute collecte de renseignements personnels d’Enfants serait « involontaire ».

Au soutien de ses prétentions, TikTok affirme avoir mis en place plusieurs mesures pour restreindre l’accès aux Enfants, reposant principalement sur la vérification de l’âge.

Le premier mécanisme de vérification d’âge s’impose à l’inscription, sous la forme d’une autodéclaration : l’utilisateur est invité à entrer sa date de naissance, et si celle-ci respecte l’âge minimal requis, le compte est créé sans vérification additionnelle. Une fois le compte créé, un second mécanisme peut être déclenché, basé sur le signalement d’utilisateurs ou la détection automatisée de certains mots-clés associés à un jeune âge. Ce processus peut ainsi entraîner la suppression du compte. Selon TikTok, près de 500 000 comptes d’Enfants sont supprimés chaque année au Canada; un chiffre qui, selon les Commissaires, « soulèverai[t] des préoccupations supplémentaires quant à l’efficacité des mesures de contrôle de l’âge »^[6].

Toutefois, ce mécanisme est jugé intrinsèquement limité, notamment puisque 73,5 % des utilisateurs adoptent un comportement passif et ne publient aucun contenu. Ainsi, les Commissaires concluent qu’une partie importante des Enfants échappe nécessairement à ce contrôle^[7].

Sachant que la création d’un compte entraîne immédiatement la collecte et l’utilisation de renseignements personnels, y compris « à des fins qui comprennent le ciblage publicitaire, la personnalisation de contenu et l’élaboration des outils d’apprentissage automatique »^[8],  l’efficacité des mécanismes de contrôle de l’âge devient un élément déterminant dans la collecte auprès d’Enfants.

L’analyse des Commissaires met en perspective les limites de ces mécanismes avec les capacités technologiques déjà utilisées par TikTok pour d’autres fins commerciales. L’entreprise utilise des outils sophistiqués pour modéliser le comportement des utilisateurs, personnaliser leur fil de contenu ou diffuser des publicités ciblées. Elle admet cependant ne pas avoir envisagé d’appliquer ces technologies au contrôle de l’âge, sauf dans certains cas particuliers, comme TikTok LIVE^[9].

Les Commissaires soulèvent donc un écart entre les moyens déployés pour des objectifs à caractère commercial et ceux visant la prévention de l’accès à la plateforme aux Enfants :

« Étant donné que TikTok sait que des centaines de milliers d’utilisateurs n’ayant pas l’âge minimum requis accèdent à sa plateforme chaque année au Canada seulement […] nous sommes profondément préoccupés par les mesures limitées que l’entreprise a mises en place pour empêcher les enfants d’utiliser la plateforme. Nous sommes particulièrement troublés par le fait que, même si TikTok a mis en œuvre de nombreux outils d’analyse sophistiqués pour estimer l’âge des utilisateurs à diverses fins commerciales, notre enquête a permis de déterminer que l’entreprise n’a même pas envisagé d’utiliser ces outils ou des outils semblables pour empêcher les utilisateurs n’ayant pas l’âge minimum requis d’accéder à la plateforme… »^[10]

[Mes soulignements]

À la lumière de ces constats, les Commissaires remettent en question l’argument d’une collecte « involontaire » de renseignements d’Enfants. Si l’accès à la plateforme est interdit à ces derniers, les mécanismes en place ne permettent pas d’en assurer le respect, ni de prévenir le traitement subséquent de leurs renseignements personnels.

Dans cette optique, les fins poursuivies ne sont pas jugées acceptables ou légitimes au regard des Lois canadiennes applicables. L’analyse ne porte pas sur l’intention de l’entreprise, mais sur sa responsabilisation^[11]: elle doit mettre en place des pratiques concrètes afin de respecter les engagements qu’elle prend. Cette logique de responsabilisation rappelle la décision Facebook, où la Cour d’appel fédérale a jugé qu’une entreprise ne peut s’exonérer de ses obligations en invoquant les limites de ses propres systèmes. Elle doit adapter ses mesures de protection aux risques de son propre modèle d’affaires, y compris lorsque ceux-ci découlent de sa propre conception du service^[12].

À noter, toutefois, que TikTok s’est engagée, en réponse aux recommandations des Commissaires, à revoir son approche en matière de vérification de l’âge, notamment en évaluant la possibilité d’utiliser des outils déjà déployés ailleurs dans son infrastructure technologique^[13].

• Vérifier l’âge sans sur-collecter : un équilibre délicat

L’engagement pris par TikTok de revoir ses mécanismes de vérification de l’âge soulève d’ailleurs une question plus large, encore ouverte : jusqu’où une plateforme peut-elle aller pour vérifier l’âge de ses utilisateurs sans excéder ce qui est strictement nécessaire en vertu des Lois canadiennes applicables?

La question des mécanismes de vérification de l’âge dépasse le seul respect des conditions d’utilisation d’une plateforme. Elle devient centrale notamment lorsque le cadre législatif applicable fait dépendre la validité du consentement à l’obtention de l’âge de l’utilisateur. À cet égard, la Loi sur la protection des renseignements personnels dans le secteur privé^[14] au Québec impose l’obtention du consentement du titulaire de l’autorité parentale pour recueillir les renseignements personnels concernant un Enfant. Une telle exigence suppose nécessairement que l’organisation soit en mesure de déterminer si le consentement exprimé est juridiquement suffisant ou s’il doit plutôt être obtenu auprès d’un parent. Ainsi, indépendamment de l’affirmation selon laquelle la collecte de renseignements personnels d’Enfants serait involontaire, l’obligation légale d’obtenir un consentement valide implique l’existence d’un mécanisme permettant d’évaluer l’âge réel des utilisateurs.

Dans une consultation exploratoire de 2024, le CPVPC distingue trois types de systèmes : l’autodéclaration, la vérification (ex. par la présentation et vérification de pièces d’identité) et l’estimation (ex. une évaluation fondée sur des indices biométriques ou comportementaux). Chacun implique un équilibre différent entre efficacité et respect de la vie privée^[15]. Comme le souligne la CAI, plus un tel système est probant, plus il implique un traitement important de renseignements personnels, parfois sensibles^[16].

Or, contrairement à une vérification en personne, les mécanismes numériques impliquent souvent la consultation, l’analyse ou la conservation de renseignements sensibles pour l’ensemble des utilisateurs.

S’agissant de TikTok, l’autodéclaration de l’âge est jugée insuffisante au regard des fins pour lesquelles les renseignements personnels sont collectés et utilisés, ainsi que de la nature sensible de certains de ces renseignements. Cette appréciation appelle toutefois une réflexion plus large : la même conclusion s’imposerait-elle si les fins poursuivies étaient plus limitées? Autrement dit, dans quels cas peut-on, en droit, justifier le recours à des mécanismes de vérification de l’âge plus intrusifs, comme la vérification par pièce d’identité ou le traitement de données biométriques ? Ces enjeux, notamment ceux relatifs aux renseignements biométriques, seront examinés dans la Partie 2.

Le texte intégral du rapport est disponible ici.

__

Pour le rapport cité précédemment, la rédaction pourrait inscrire : Protection des renseignements personnels, droit des technologies, droits et libertés

Vérification de l’âge, consentement parental et données des enfants : que révèle le rapport TikTok des autorités canadiennes ? À lire sur le blogue.

---

[1] Voir, entre autres: ASSEMBLÉE NATIONALE DU QUÉBEC, Rapport de la Commission spéciale sur les impacts des écrans et des réseaux sociaux sur la santé et le développement des jeunes, 2025, en ligne: <https://www.assnat.qc.ca/fr/document/211813.html>, p. 59. :

« Au cours de son audition, Patricia Conrod, professeure au Département de psychiatrie et d’addictologie de l’Université de Montréal, a exposé plusieurs effets préoccupants que les réseaux sociaux peuvent avoir sur la santé mentale des jeunes. Une étude à laquelle elle a contribué révèle que l’utilisation des réseaux sociaux est corrélée à des symptômes d’anxiété chez les adolescents et les adolescentes. Chaque heure additionnelle par jour passée sur les réseaux sociaux est associée à un accroissement des symptômes d’anxiété. Ses travaux montrent en outre qu’un usage intensif des réseaux sociaux peut être associé à court terme à une augmentation des comportements agressifs et, durablement, à des comportements antisociaux. »

[2] Voir, entre autres : COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, Semaine de la protection des données, 26 janvier 2026, en ligne : <https://www.priv.gc.ca/fr/a-propos-du-commissariat/ce-que-nous-faisons/campagnes-et-activites-de-sensibilisation/semaine-de-la-protection-des-donnees/> (voir notamment la section « Conseils pour protéger la vie privée des enfants et des jeunes »).

[3] Voir, entre autres : COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, Le CPVP participe au ratissage de 2025 pour la protection de la vie privée des enfants du Global Privacy Enforcement Network, 3 novembre 2025, en ligne : <https://www.priv.gc.ca/fr/nouvelles-du-commissariat/nouvelles-et-annonces/2025/nr-c_251103/>.

^[4] COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, Enquête conjointe sur TikTok Pte. Ltd. menée par le Commissariat à la protection de la vie privée du Canada, la Commission d’accès à l’information du Québec, le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique et le Commissariat à l’information et à la protection de la vie privée de l’Alberta, 23 septembre 2025, en ligne: <https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/

enquetes/enquetes-visant-les-entreprises/2025/lprpde-2025-003/#fn23-rf>.

^[5] Le rapport d’enquête évalue la conformité de TikTok à la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 1985, c. 5 (la loi au fédéral), à la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1 (la loi du Québec), à la Personal Information Protection Act, SBC 2003, c. 63 (la loi de la Colombie-Britannique) et à la Personal Information Protection Act, SA 2003, c. P-6.5 (la loi de l’Alberta), (ci-après, les « Lois canadiennes applicables »).

^[6] Op. cit. note 4, par. 49-51.

^[7] Ibid., par. 59 :

« En réponse à notre demande de statistiques sur les interactions des utilisateurs au Canada avec la plateforme, TikTok a signalé que la plupart des utilisateurs ne font que visionner et évaluer du contenu (on parle ici d’utilisateurs passifs ou de badauds); 73,5 % des utilisateurs ne publient pas de vidéos, tandis que 59,2 % ne font pas de commentaires. Dans les cas où les utilisateurs sont des enfants, ils pourraient visionner d’innombrables vidéos et ainsi faire l’objet d’un suivi, d’un profilage et d’un ciblage sans que les mécanismes de modération de TikTok détectent qu’ils n’ont pas l’âge minimum requis. »

^[8] Op. cit. note 4, par. 65.

^[9] Ibid., par. 62 et 63.

^[10] Op. cit. note 4, par. 68.

^[11] Voir, entre autres: Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 1985, c. 5, Annexe 1, 4.1 Premier principe — Responsabilité ; COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, Bulletin d’interprétation : Responsabilité, 2012, en ligne : <https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/lois-sur-la-

protection-des-renseignements-personnels-au-canada/la-loi-sur-la-protection-des-renseignements-personnels-et-les-documents-electroniques-lprpde/aide-sur-la-facon-de-se-conformer-a-la-lprpde/bulletins-sur-l-interpretation-de-la-lprpde/interpretations_02_acc/>.

^[12] Privacy Commissioner of Canada c. Facebook, Inc, 2024 FCA 140. Voir aussi : Jessie MCKINNON, « La Cour d’appel fédérale précise les obligations des réseaux sociaux en matière d’obtention du consentement et de mesures de sécurité », BlogueduCRL, 25 septembre 2024, en ligne : <https://www.blogueducrl.com/2024/09/reseaux-sociaux-consentement-2024/>.

^[13] Op. cit. note 4, par. 177-179.

^[14] RLRQ, c. P-39.1, art. 4.1.

^[15] COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, Protection de la vie privée et confirmation de l’âge – Consultation exploratoire, 2024, en ligne: <https://www.priv.gc.ca/fr/a-propos-du-commissariat/ce-que-nous-faisons/consultations/

consultations-terminees/consultation-age/expl_gd_age/>.

^[16] Voir, entre autres: Op. cit. note 1, p. 58 et ss. ; COMMISSION D’ACCÈS À L’INFORMATION, Mieux protéger les renseignements personnels des jeunes pour assurer leur bien-être numérique, 2024, p. 3-5, en ligne: <https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_ME_PRP_Jeunes_CSESJ.pdf>.