Droit de la protection des données et de la vie privée des enfants pour Math Challenge

Résultats

États-Unis — COPPA et la règle amendée de 2025

La COPPA (15 U.S.C. §§6501–6506 ; 16 CFR Part 312) couvre les opérateurs de services « destinés aux enfants » de moins de 13 ans, ou ayant connaissance effective de collecter des données auprès d’un enfant de moins de 13 ans. Les amendements de la FTC ont été annoncés en janvier 2025, publiés au Federal Register le 22 avril 2025 (Doc. 2025-05904), entrés en vigueur le 23 juin 2025, avec une conformité générale exigée au 22 avril 2026 (les programmes de zone de sécurité (safe-harbor) font face à des délais plus courts de 90 jours/6 mois) [6][7][8]. Les consultations directes de ftc.gov et federalregister.gov ont été bloquées (403/porte anti-bot) pendant cette session ; ces dates sont confirmées de manière croisée par cinq résumés indépendants de cabinets d’avocats citant le même document du Federal Register [8].

Ce qui a changé : (1) « l’information personnelle » inclut désormais explicitement les identifiants biométriques (empreintes digitales, rétine, démarche, données faciales/vocales) et les pièces d’identité gouvernementales ; (2) une catégorie « audience mixte » raffinée permet à un service à audience générale de collecter des données limitées lors du pré-filtrage pour des finalités spécifiques (consentement parental, opérations internes) ; (3) les opérateurs doivent nommer quels tiers reçoivent les données d’un enfant et pourquoi, et obtenir un VPC séparé avant toute divulgation à des tiers (par exemple, la publicité ciblée) sauf si elle est intégrale au service ; (4) une politique écrite de conservation des données est obligatoire — pas de conservation indéfinie ; (5) un programme écrit de sécurité de l’information, calibré selon la taille/sensibilité, est obligatoire [8]. Les méthodes de VPC préalablement acceptées (16 CFR §312.5(b)) : formulaire signé, débit de carte, appel gratuit avec personnel, vidéoconférence avec personnel, correspondance pièce d’identité gouvernementale plus photo en direct (approuvée le 19 novembre 2015). Des rapports secondaires indiquent que 2025 ajoute des méthodes par questions de connaissance et « texte-plus », mais la sous-section exacte du CFR n’a pas été confirmée de manière indépendante [unverified]. Un rapport de 2025 a également noté que le président entrant de la FTC avait signalé certaines parties de la règle pour révision — vérifier à nouveau le calendrier de conformité au moment de la mise en œuvre.

Union européenne — GDPR article 8 et âges par État membre

L’article 8 fixe l’âge par défaut du consentement propre à 16 ans pour les services de la société de l’information offerts directement à un enfant ; en dessous, le consentement doit être « donné ou autorisé par le titulaire de la responsabilité parentale », vérifié par des « efforts raisonnables… compte tenu de la technologie disponible ». Les États peuvent abaisser ce seuil jusqu’à un plancher de 13 ans [1][2]. Seuils nationaux couramment publiés (recoupés via plusieurs traceurs, non revérifiés individuellement par journal officiel — à confirmer avant de se fier à un chiffre isolé) : Autriche 14, Belgique 13, Bulgarie 14, Croatie 16, Chypre 14, République tchèque 15, Danemark 13, Estonie 13, Finlande 13, France 15, Allemagne 16, Grèce 15, Hongrie 16, Irlande 16, Italie 14, Lettonie 13, Lituanie 14, Luxembourg 16, Malte 13, Pays-Bas 16, Pologne 16, Portugal 13, Roumanie 16, Slovaquie 16, Slovénie 15, Espagne 14, Suède 13. La France a été confirmée de manière indépendante et en direct : la CNIL exige à la fois le consentement de l’enfant et celui des parents en dessous de 15 ans, renforcé par une loi sur la « majorité numérique » pleinement effective depuis le 1er janvier 2026 [12]. Puisque Math Challenge est conçu parent d’abord — l’enfant ne consent jamais de manière indépendante — cette division affecte principalement l’éligibilité future à l’auto-inscription, pas la v1.

Royaume-Uni — Age Appropriate Design Code et UK GDPR

Le Royaume-Uni a maintenu 13 ans en vertu du DPA 2018 §9 après le Brexit (stable, largement rapporté, non revérifié cette session) [unverified]. L’Age Appropriate Design Code de l’ICO s’applique à tout service « susceptible d’être accédé par des enfants » au Royaume-Uni, en vigueur depuis le 2 septembre 2020 (transition de 12 mois avant l’application). Ses 15 normes (recoupées via un résumé juridique secondaire de la propre liste de l’ICO ; la consultation directe d’ico.org.uk a été bloquée, 403) [5] : (1) Intérêt supérieur de l’enfant ; (2) Application adaptée à l’âge ; (3) Transparence ; (4) Usage préjudiciable des données ; (5) Politiques et normes communautaires ; (6) Réglages par défaut (confidentialité maximale) ; (7) Minimisation des données ; (8) Partage de données ; (9) Géolocalisation (désactivée par défaut) ; (10) Contrôles parentaux ; (11) Profilage (désactivé par défaut) ; (12) Techniques de sollicitation (interdites) ; (13) Jouets et appareils connectés ; (14) Outils en ligne ; (15) Analyses d’impact relatives à la protection des données. L’Online Safety Act 2023 du Royaume-Uni pourrait imposer séparément des obligations de vérification d’âge selon la façon dont les tableaux de classement/surfaces communautaires sont catégorisés — non vérifié cette session, à vérifier auprès des directives de l’Ofcom avant le lancement au Royaume-Uni.

Digital Services Act de l’UE — mineurs et publicité fondée sur le profilage

Le DSA (Règlement 2022/2065) est devenu généralement applicable le 17 février 2024 (plus tôt pour les VLOPs/VLOSEs) [10]. L’article 28 traite de la « protection en ligne des mineurs », exigeant des mesures appropriées de confidentialité/sécurité ; une disposition largement rapportée (confirmée conceptuellement via les amendements du Parlement européen du 20 janvier 2022 introduisant « une interdiction d’utiliser les données d’un mineur pour de la publicité ciblée » — le texte au niveau de l’article sur EUR-Lex n’a pas été récupéré en direct, retournant un contenu vide lors de deux tentatives) interdit la publicité fondée sur le profilage envers un utilisateur que la plateforme sait raisonnablement être mineur [10][9]. Confirmer l’article/paragraphe exact sur EUR-Lex avant de le citer comme droit en vigueur — le fond est de haute confiance, la citation précise ne l’est pas.

Californie — Age-Appropriate Design Code Act et son contentieux

L’AB 2273 (2022) exige une DPIA avant d’offrir des fonctionnalités susceptibles d’être accédées par des enfants, des réglages par défaut à haute confidentialité, aucun dark pattern, et aucune utilisation de données « matériellement préjudiciable » à un mineur. NetChoice v. Bonta (déposé au N.D. Cal., décembre 2022) a produit une injonction préliminaire pour motifs de premier amendement ciblant l’exigence de DPIA/reporting ; l’avis du neuvième circuit d’août 2024 a confirmé cette injonction spécifiquement tout en annulant et renvoyant d’autres dispositions pour analyse de sécabilité — certaines dispositions bloquées, d’autres potentiellement applicables. Des rapports secondaires ultérieurs (un contentieux NetChoice connexe contestant les dispositions sur les « flux addictifs » du SB 976, jugement du tribunal de district en décembre 2024, décision du neuvième circuit en septembre 2025 ; et une nouvelle décision du neuvième circuit vers mars 2026 « restreignant » une injonction préliminaire) n’ont pas pu être réconciliés en une chronologie cohérente pendant cette session [11]. Il s’agit d’un droit véritablement non stabilisé, en contentieux actif — ne pas coder en dur la conformité contre une disposition spécifique de la CAADCA sans qu’un conseil juridique ne confirme son applicabilité actuelle.

Mexique — LFPDPPP et la réforme post-INAI de 2025

La LFPDPPP (2010) exige des avis de confidentialité clairs et, selon la doctrine générale de capacité civile, un consentement parental/du représentant légal pour les données d’un mineur — elle ne semble pas contenir d’article dédié aux données d’enfants dans le style GDPR/LGPD ; ceci n’a pas été confirmé contre le texte consolidé actuel [unverified]. Mieux corroboré : une réforme constitutionnelle éliminant plusieurs organes autonomes, dont l’INAI, a été publiée au Diario Oficial de la Federación en décembre 2024, avec une législation de mise en œuvre en mars 2025 ; la Secretaría Anticorrupción y Buen Gobierno a absorbé la fonction de protection des données de l’INAI, tandis qu’un nouvel organisme, « Transparencia para el Pueblo », a repris les fonctions d’accès à l’information [13]. Cette transition est trop récente pour disposer d’une posture d’application mature sur les données d’enfants spécifiquement.

Brésil — LGPD article 14

Le texte intégral de la traduction officielle a été obtenu directement [3]. Le traitement des données des enfants/adolescents doit servir leur intérêt supérieur (chapeau) ; exige un consentement spécifique et mis en évidence d’au moins un parent ou représentant légal (§1) ; les responsables de traitement doivent divulguer publiquement les types de données, leur usage et les procédures de droits (§2) ; la collecte sans ce consentement n’est autorisée que pour contacter le parent, utilisée une fois et non stockée, ou pour la protection de l’enfant, et ne peut jamais atteindre des tiers sans le consentement du §1 (§3) ; les responsables de traitement ne doivent pas conditionner la participation aux jeux/applications à des données au-delà du strictement nécessaire (§4) ; les responsables de traitement doivent employer tous les efforts raisonnables, « compte tenu des technologies disponibles », pour vérifier que celui qui donne le consentement est réellement le représentant (§5) ; l’information doit être présentée de manière simple et accessible, en tenant compte des caractéristiques de l’enfant, avec des aides audiovisuelles lorsque utile (§6). C’est la clause sur les données d’enfants la plus directement citable et détaillée trouvée, se rapprochant étroitement de la règle de la COPPA « ne peut conditionner la participation » et de la norme d’effort de vérification commune au GDPR/à la LGPD.

Canada — PIPEDA et la Loi 25 du Québec

La LPRPDE fédérale (PIPEDA) n’a pas d’âge de consentement numérique dans la loi ; les directives du CPVP sur le « consentement valable » sont comprises comme traitant le consentement propre d’un jeune enfant comme généralement non valable, évalué contextuellement — non confirmé indépendamment cette session [unverified]. La Loi 25 du Québec est concrète et a été confirmée en direct : les renseignements personnels concernant un mineur de moins de 14 ans ne peuvent être recueillis auprès du mineur sans le consentement du titulaire de l’autorité parentale ou du tuteur, sous réserve d’une exception de « bénéfice manifeste pour l’enfant ». Elle est entrée en vigueur progressivement de septembre 2022 à une phase finale de septembre 2024 (incluant un droit à la portabilité des données) ; les sanctions peuvent atteindre 10 millions de dollars canadiens ou 2 % du chiffre d’affaires mondial.

Mode classe — FERPA et le (retiré) Student Privacy Pledge

Le FERPA (20 U.S.C. §1232g ; 34 CFR Part 99) donne aux parents des droits d’accès, de rectification et de contrôle de la divulgation des « dossiers scolaires » d’un enfant, transférés à l’étudiant à 18 ans/dans l’enseignement postsecondaire [16]. Il lie les écoles financées fédéralement, pas directement les fournisseurs — un fournisseur comme Math Challenge ne devient typiquement lié que via l’exception « fonctionnaire scolaire » (34 CFR §99.31(a)(1)(i)(B)), qui exige un contrôle direct de l’école sur l’usage des dossiers, ordinairement via un accord de traitement de données avec chaque école/district ; un simple code de classe dans l’application par un enseignant n’établit pas cela à lui seul (sous-section non revérifiée en direct, à vérifier avant usage contractuel). Fait important : le Student Privacy Pledge, l’auto-certification d’alignement FERPA du secteur edtech, a été retiré par le Future of Privacy Forum le 25 avril 2025 après dix ans ; le FPF a maintenu une liste publique de signataires jusqu’au 31 juillet 2025, mais n’accepte plus de nouveaux signataires, et les anciens signataires restent liés uniquement pour les données collectées durant leur période de signature [15]. Traiter toute revendication de « Student Privacy Pledge » comme obsolète.

Mécanique du VPC, minimisation des données, pseudonymes, transfert international

Coût du VPC : les méthodes de référence internes entraînent une friction/un coût par transaction ; des fournisseurs spécialisés (PRIVO, Yoti, k-ID) vendent la vérification à l’unité comme un service de consentement — les prix n’ont pas été obtenus cette session, demander des devis directs avant de budgétiser. La minimisation des données apparaît de manière quasi identique partout : la LGPD art. 14 §4 et le §312.7 de la COPPA interdisent tous deux de conditionner la participation à des données excessives ; le GDPR art. 5(1)(c) énonce le principe général. Les pseudonymes de tableau de classement sont des données personnelles tant que Math Challenge (le responsable de traitement) conserve la correspondance pseudonyme→identité — le considérant 26 du GDPR traite la pseudonymisation réversible comme une information sur une personne identifiable, indépendamment du fait qu’un observateur extérieur puisse ou non réidentifier quelqu’un. Transfert international / périphérie Cloudflare : R2 permet de lier un bucket à une juridiction UE (ou FedRAMP) à la création, fixée par la suite, via des points de terminaison S3 spécifiques à la juridiction [17]. D1 a obtenu un réglage de juridiction équivalent par base de données (sortie de novembre 2025), en plus d’indications de localisation non contraignantes depuis 2023 [19]. La Data Localization Suite de Cloudflare, réservée aux entreprises (Geo Key Manager, Customer Metadata Boundary, Regional Services), ajoute une résidence au niveau réseau/métadonnées mais nécessite une relation commerciale entreprise payante [17]. La situation de résidence de Workers KV n’a pas été confirmée (sa page de documentation a renvoyé une 404) — à vérifier directement auprès de Cloudflare avant d’y stocker des données personnelles d’enfants UE/UK. Pour les transferts vers les États-Unis, la décision d’adéquation du cadre EU-US Data Privacy Framework (juillet 2023) est le mécanisme pertinent — stable, bien documenté, mais non revérifié en direct cette session [unverified this session, high training-knowledge confidence].

Matrice des obligations

Juridiction	Âge de consentement	Méthode de consentement requise	Règle de conservation	Ne doit PAS faire
États-Unis — COPPA (eff. 2025-06-23)	Moins de 13 ans	VPC (formulaire signé, débit de carte, téléphone/vidéo avec personnel, pièce d’identité gouvernementale + photo, ou nouvelle méthode approuvée par la FTC) ; consentement séparé avant divulgation à des tiers pour la publicité	Calendrier de conservation écrit ; pas de conservation indéfinie	Conditionner le jeu à des données excessives ; divulguer à des tiers sans consentement séparé ; se passer du programme de sécurité écrit
UE — GDPR art. 8	16 par défaut, 13–16 selon l’État (ES 14, FR 15, DE/IE 16, PT 13)	Consentement parental, « efforts raisonnables » de vérification	Limitation de la conservation (art. 5(1)(e))	Se fier au consentement propre d’un enfant en dessous de l’âge national applicable
Royaume-Uni — AADC + UK GDPR	13 ans (DPA 2018 §9)	Consentement parental en dessous de 13 ans ; les 15 normes de l’AADC s’appliquent dès que le service est « susceptible d’être accédé par des enfants »	Minimisation des données (norme 7)	Profilage, géolocalisation ou techniques de sollicitation par défaut
Californie — CAADCA	Pas d’âge numérique unique ; la DPIA couvre largement les moins de 18 ans	DPIA + confidentialité élevée par défaut (pas de nouveau mécanisme de consentement en tant que tel)	S.O. (confidentialité dès la conception, pas une loi de conservation)	Dark patterns ; profilage par défaut ; usage de données « matériellement préjudiciable » à un mineur — parties actuellement suspendues ; à confirmer
Mexique — LFPDPPP (post-2025)	Aucun âge statutaire explicite trouvé [unverified]	Consentement général + la doctrine de capacité civile implique un consentement parental	« Nécessaire à la finalité » de façon générale	Non établi avec confiance — obtenir un avis de conseil mexicain
Brésil — LGPD art. 14	Aucun âge numérique indiqué	Consentement parental/du tuteur spécifique et mis en évidence ; effort de vérification raisonnable	Suppression une fois la finalité atteinte (art. 15/16)	Conditionner la participation à des données excessives (§4) ; divulguer à des tiers sans le consentement du §1
Canada fédéral — PIPEDA	Aucun âge numérique [unverified]	Contextuel ; consentement parental attendu pour les jeunes enfants	« Aussi longtemps que nécessaire » de façon générale	Se fier au consentement propre d’un jeune enfant comme valable
Québec — Loi 25	14 ans	Consentement parental/du tuteur en dessous de 14 ans	« Nécessaire » de façon générale, droit à la portabilité des données (phase de septembre 2024)	Recueillir des données directement auprès d’un mineur de moins de 14 ans sans consentement, hors exception de bénéfice manifeste
Classe / FERPA	S.O.	La relation « fonctionnaire scolaire » nécessite un accord de contrôle direct, pas seulement un code de classe	Refléter contractuellement la propre politique de conservation de l’école	Se fier au Student Privacy Pledge retiré comme signal de confiance

Implications de conception pour Math Challenge

1. Création de compte uniquement par le parent — aucun flux d’inscription indépendant pour l’enfant nulle part, satisfaisant simultanément COPPA/GDPR art. 8/LGPD art. 14.
2. Standardiser sur une seule méthode de VPC. Commencer par une méthode de référence listée par la FTC (formulaire signé ou débit de carte) ; reconsidérer un fournisseur safe-harbor (PRIVO/Yoti/k-ID) une fois que le volume justifie les frais récurrents par vérification. Ne pas construire de modèle propriétaire d’estimation d’âge — cela nécessite le processus d’approbation §312.12 de la FTC.
3. Champs minimaux du profil enfant : pseudonyme, année et mois de naissance ou tranche d’âge, pas de photo, pas de nom d’école sauf lien avec une classe, pas de numéro de téléphone. Ne jamais demander de pièce d’identité à l’enfant ; seulement au parent, uniquement via la méthode de VPC choisie.
4. Traiter les pseudonymes de tableau de classement comme des données personnelles en interne (considérant 26 du GDPR). Générer automatiquement à partir d’une liste de mots, permettre la régénération, ne jamais placer un vrai nom à côté d’un pseudonyme publiquement.
5. Par défaut, chaque tableau de classement est limité à la classe/famille, pas public global ; verrouiller tout tableau global derrière un opt-in parental séparé par enfant.
6. Pas de profilage, pas de technologie publicitaire comportementale, pas d’analytique tierce sur les profils d’enfants. Satisfait l’art. 28 du DSA, s’aligne sur l’intention de la CAADCA malgré son contentieux non stabilisé, et évite l’exigence de consentement à la divulgation tierce de COPPA-2025 en ne la déclenchant jamais.
7. Publier dès maintenant un calendrier interne écrit de conservation des données, avant la date de conformité de COPPA-2025 : calendrier de suppression après un retrait initié par le parent, suppression douce des comptes inactifs avec préavis, suppression immédiate de l’appartenance à une classe lors du retrait.
8. Réglages par défaut à confidentialité maximale : participation au tableau de classement désactivée par défaut, pas de géolocalisation au-delà du pays/de la langue, pas de profilage, pas de sollicitations basées sur la contrainte d’engagement.
9. Séparer les deux consentements du mode classe : (a) le consentement parental pour rejoindre une classe spécifique, révocable à tout moment ; (b) tout flux de données vers l’école elle-même nécessite son propre accord FERPA « fonctionnaire scolaire » — un code de classe seul ne l’établit pas.
10. Ne pas utiliser le Student Privacy Pledge comme signal de confiance — retiré le 25 avril 2025. Utiliser à la place une certification actuellement maintenue ou un langage contractuel direct avec le district.
11. Épingler la juridiction des données UE/UK au moment de l’inscription via la juridiction de bucket eu de R2 et le réglage de juridiction par base de données de D1 — les deux fixés à la création, si bien que la décision doit intervenir à l’inscription, pas être rétroactive. Vérifier d’abord directement auprès de Cloudflare la situation de résidence de KV.
12. Ne pas s’appuyer sur la Data Localization Suite entreprise de Cloudflare comme limite de conformité à l’échelle actuelle — c’est un module payant ; l’épinglage de juridiction R2/D1 est le contrôle de palier gratuit qui doit porter le poids réel.
13. Localiser la vérification de l’âge de consentement numérique selon le pays déclaré par le parent plutôt qu’un nombre codé en dur — pertinent principalement pour un futur palier d’auto-inscription adolescent, puisque la v1 ne demande jamais à l’enfant de consentir lui-même.
14. Ne jamais conditionner le jeu de base à des données au-delà de ce dont le jeu libre a besoin (LGPD art. 14 §4, COPPA §312.7) — tout élément supplémentaire doit être optionnel et lié à une fonctionnalité spécifique destinée au parent qu’il débloque.

Décisions à plus haut risque que le porteur du projet doit prendre

• Si le mode classe est lancé sur les marchés UE/UK en v1, compte tenu de la charge de l’accord de traitement de données au niveau scolaire, par rapport à le limiter d’abord aux États-Unis/Canada.
• Si le tableau de classement sera un jour global/inter-familles ou strictement limité à la classe/famille — le levier le plus important sur l’exposition DSA/CAADCA.
• Construire le VPC en interne (moins coûteux, plus de responsabilité) contre un fournisseur safe-harbor payant (coût récurrent, moins de responsabilité, entrée sur le marché plus rapide).
• Combien d’effort d’ingénierie consacrer à la CAADCA de Californie tant que ses dispositions principales restent en contentieux actif non résolu.
• Traiter le Mexique comme un risque équivalent au GDPR ou comme institutionnellement non stabilisé et actuellement sous-appliqué, compte tenu de la récence de la transition INAI vers la Secretaría.
• Épingler la juridiction par défaut pour tout le monde contre ne l’épingler que lorsqu’un client entreprise ou scolaire UE/UK spécifique l’exige.

Questions ouvertes pour le porteur du projet

1. Prendre en charge un palier « auto-inscription adolescent » à l’âge local de consentement numérique avant la v1, ou reporter à la v2 ?
2. Un tableau de classement public global est-il une exigence produit stricte, ou la portée classe/famille suffit-elle pour le lancement ?
3. Quel est l’ordre de marché du lancement initial — il détermine si le contentieux CAADCA, la transition du Mexique, ou la Loi 25 du Québec devient la première échéance stricte ?
4. Budgéter un fournisseur de VPC payant au lancement, ou un flux DIY formulaire signé/débit de carte avec réexamen des fournisseurs après la traction obtenue ?
5. Le mode classe ciblera-t-il directement les écoles/districts (nécessitant un modèle de DPA) ou restera-t-il informel (codes de classe générés par l’enseignant uniquement) pour l’instant ?
6. Épingler la juridiction des données UE/UK pour chaque famille dès le premier jour, ou seulement lorsqu’un client l’exige contractuellement ?