1 CHAMBRE DES DÉPUTÉS le : 2 1 JAN. 2026 Proposition de loi relative à la protection des mineurs sur les réseaux sociaux Document de dépôt Dépôt : (Monsieur Ben Polidori et Madame Francine Closener) : 21.1.2026 * EXPOSÉ DES MOTIFS La présente proposition s'inscrit dans le respect des principes fondamentaux consacrés par la Convention internationale des droits de l'enfant, notamment ses articles 3, 16 et 17 relatifs à l'intérêt supérieur de l'enfant, au droit à la vie privée et à la protection contre les contenus préjudiciables. Elle s'appuie également sur l'article 24 de la Charte des droits fondamentaux de l'Union européenne, qui garantit les droits de l'enfant et impose que son intérêt supérieur soit une considération primordiale. Dans ce cadre, et compte tenu de l’évolution rapide des usages numériques, la présente proposition de loi vise à établir un cadre juridique spécifique et proportionné pour l’accès des mineurs aux services de réseaux sociaux en ligne. Elle répond à une préoccupation largement partagée au niveau européen et international quant à la nécessité de mieux protéger les enfants et les adolescents face aux risques liés à l’exposition précoce et non encadrée aux plateformes sociales numériques. La proposition de loi poursuit un objectif d’intérêt général majeur, à savoir la protection de la santé physique, mentale et sociale des mineurs concernés. Les mesures prévues reposent sur une approche graduée et proportionnée, tenant compte du développement progressif de l’autonomie des enfants, tout en respectant les droits fondamentaux, notamment la liberté d’expression, le droit à l’information et la protection des données à caractère personnel. Le présent texte s’inscrit dans le cadre fixé par le règlement (UE) 2016/679 (RGPD), et en particulier par son article 8, qui laisse aux États membres une marge d’appréciation pour déterminer l’âge à partir duquel un mineur peut consentir seul au traitement de ses données à caractère personnel dans le cadre de services de la société de l’information. Le Luxembourg a fixé cet âge à seize ans. La présente proposition en tire les conséquences pratiques pour les plateformes sociales numériques. Elle précise les conditions d’accès et les obligations de vérification applicables en dessous de cet âge, sans instaurer de régime autonome de consentement numérique pour les mineurs de seize à dix-sept ans, qui restent pleinement régis par le RGPD. Par ailleurs, la proposition est conçue en cohérence avec le règlement (UE) 2022/2065 relatif aux services numériques (DSA), notamment en ce qui concerne la protection renforcée des mineurs et l’absence d’obligation générale de surveillance. Elle respecte également les principes issus de la directive 2000/31/CE sur le commerce électronique, en particulier le principe de libre prestation des services de la société de l’information, les mesures restrictives 2 prévues étant strictement nécessaires, ciblées, proportionnées et justifiées par l’objectif de protection des mineurs. Concrètement, la présente proposition de loi vise à : - interdire l’accès aux services de réseaux sociaux en ligne pour les mineurs de moins de treize ans, conformément aux recommandations internationales ainsi qu’à la résolution du Parlement européen relative à la protection des enfants en ligne ; - soumettre l’accès des mineurs âgés de treize à quinze ans au consentement vérifiable du titulaire de l'autorité parentale ; - renforcer le régime de consentement autonome à partir de seize ans ; - mettre en place des mécanismes robustes de vérification de l'âge et de consentement parental, dans le respect du RGPD et des principes de protection des données ; - confier à l'Autorité luxembourgeoise indépendante de l’audiovisuel la responsabilité de veiller au respect de la présente loi, en cohérence avec ses missions de protection des utilisateurs dans l'écosystème des médias et services numériques. Le Luxembourg a déjà fixé à seize ans l'âge à partir duquel un mineur peut consentir seul au traitement de ses données à caractère personnel dans le contexte de services de la société de l'information, conformément à l'article 8 du RGPD. Cependant, la législation luxembourgeoise ne prévoit actuellement pas un régime explicite et contraignant pour régir l'accès des enfants de moins de treize ans aux réseaux sociaux, et encadrer les conditions du traitement des données et du consentement parental pour les mineurs de treize à quinze ans. Les études scientifiques et les observations empiriques démontrent que l'exposition précoce des mineurs aux réseaux sociaux est associée à des risques accrus pour leur santé mentale, leur sommeil ainsi que leur développement cognitif et émotionnel. En outre, les mineurs sont particulièrement vulnérables au harcèlement, à la dépendance comportementale et à la manipulation algorithmique en ligne. Selon l'Eurobaromètre 2025, plus de 95 % des Luxembourgeois estiment qu'il est urgent de prendre des mesures pour protéger les enfants en ligne, notamment en raison de l'impact négatif des réseaux sociaux sur la santé mentale (97 %), du cyberharcèlement (97 %) et de la nécessité de disposer de moyens efficaces pour restreindre l'accès aux contenus inappropriés pour leur âge (95 %). Cette préoccupation est également partagée par les jeunes eux-mêmes : selon le rapport « Bee Secure Radar 2025 », 69 % des adolescents et 88 % des jeunes adultes soutiennent l'instauration d'un système de vérification de l'âge sur les plateformes de réseaux sociaux. Au niveau européen, le Parlement européen a appelé, par plusieurs initiatives récentes, à l'adoption de mesures harmonisées visant à protéger les mineurs, notamment par l'instauration d'un âge minimum d'accès aux réseaux sociaux fixé à 16 ans, le renforcement des mécanismes de vérification de l'âge, l'interdiction de certaines pratiques algorithmiques addictives, et la garantie du droit à l'oubli numérique pour les mineurs. 3 Il convient enfin de mentionner que plusieurs juridictions ont récemment adopté des législations nationales similaires à celles proposées ici, afin de protéger les mineurs face aux risques des réseaux sociaux. L'Australie a ainsi adopté fin 2024 une loi interdisant l'accès aux réseaux sociaux pour les mineurs de moins de seize ans (Social Media Minimum Age Act 2024), assortie de sanctions substantielles pouvant atteindre 50 millions de dollars australiens pour les plateformes ne respectant pas leurs obligations de vérification. Plusieurs États américains, dont l'Utah (Social Media Régulation Act, 2023) et l'Arkansas (Social Media Safety Act, 2023), ont instauré des régimes de consentement parental obligatoire pour les mineurs, avec des mécanismes de vérification d'âge et des restrictions sur les fonctionnalités addictives. La France a renforcé son cadre de protection avec la loi n° 2023-566 du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne. En décembre 2025, le Sénat a adopté une proposition de loi établissant une majorité numérique à 13 ans avec interdiction totale d'accès aux réseaux sociaux en dessous de cet âge et autorisation parentale obligatoire pour les 13-16 ans. La Norvège envisage actuellement de porter l'âge minimum à quinze ans, tandis que le Royaume-Uni a adopté l'Online Safety Act 2023 imposant des obligations strictes aux plateformes. Les expériences de ces pays fournissent des enseignements précieux sur les modalités pratiques de mise en œuvre, notamment en matière de technologies de vérification d'âge respectueuses de la vie privée et d'effectivité des sanctions. L'urgence de la situation impose une action législative immédiate. Les impacts documentés sur la santé mentale des jeunes - augmentation des cas d'anxiété, de dépression, de troubles du sommeil et de comportements suicidaires - s'aggravent chaque jour. Les données de l'Organisation mondiale de la santé et de plusieurs études longitudinales récentes confirment une corrélation significative entre l'utilisation intensive des réseaux sociaux chez les mineurs et la détérioration de leur bien-être psychologique. Sachant que des initiatives européennes sont en cours pour harmoniser la protection des mineurs en ligne, la présente proposition de loi devrait s’avérer être plus adaptée à l’urgence de la situation. Car elle offre une protection immédiate et ciblée dans l'attente d'une harmonisation européenne, évitant ainsi que les enfants luxembourgeois restent exposés aux risques identifiés pendant cette période transitoire. 4 * TEXTE DE LA PROPOSITION DE LOI Art. 1er. Champ d’application et objet
(1)La présente loi a pour objet de protéger les enfants de moins de seize ans contre les risques liés à l’utilisation des services de réseaux sociaux en ligne, en établissant des conditions d’accès et des exigences relatives à la vérification de l’âge et, le cas échéant, à la vérification du consentement du titulaire de l’autorité parentale ou du représentant légal du mineur.
(2)La présente loi fixe, pour l’application de l’article 8 du règlement, paragraphe 2, du règlement (UE) 2016/679, un cadre de référence relatif aux mesures permettant au responsable du traitement de s’efforcer raisonnablement de vérifier que le consentement est donné ou autorisé par le titulaire de l’autorité parentale ou le représentant légal du mineur, compte tenu des moyens technologiques disponibles, en ce qui concerne spécifiquement les services de réseaux sociaux en ligne.
(3)La présente loi s’applique aux traitements de données à caractère personnel effectués dans le cadre de la fourniture de services de réseaux sociaux en ligne à des utilisateurs, quel que soit le lieu d’établissement du fournisseur du service, dans la mesure du droit de l’Union européenne.
(4)La présente loi s’applique sans préjudice : 1° du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ci-après désigné comme « le règlement (UE) n° 2016/679 » ; 2° du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques, notamment en ce qui concerne les obligations de diligence et de transparence imposées aux fournisseurs de services intermédiaires, ci-après désigné comme « le règlement (UE) n° 2022/2065 » ; 3° de la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010 visant à la coordination de certaines dispositions législatives, réglementaires et administratives des États membres relatives à la fourniture de services de médias audiovisuels, ainsi que des dispositions nationales qui la transposent. 4° de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment de son article 3. 5 Art. 2. Définitions
(1)Aux fins de la présente loi, on entend par : 1° «utilisateur» : toute personne physique qui utilise, ou sollicite l’accès à, un service de réseau social en ligne depuis le territoire du Grand-Duché de Luxembourg ; 2° « enfant de moins de treize ans » : tout mineur n’ayant pas encore atteint l’âge de treize ans ; 3° « enfant de treize à quinze ans » : tout mineur ayant atteint l'âge de treize ans et n'ayant pas atteint l'âge de seize ans ; 4° « service de réseau social en ligne » : une plateforme en ligne au sens du règlement (UE) 2022/2065 permettant aux utilisateurs de créer un profil et d’établir des connexions avec d’autres utilisateurs, ainsi que de mettre à disposition du public des contenus, à la demande d’un utilisateur, notamment au moyen de publications, de contenus audiovisuels, d’un fil d’actualité ou de fonctionnalités de recommandation, à l’exclusion des services de communication interpersonnelle au sens de la directive (UE) 2018/1972 ; 5° « fournisseur de service de réseau social en ligne » : toute personne physique ou morale qui, en qualité de responsable du traitement ou de coresponsable du traitement, fournit au public un service de réseau social en ligne ; 6° « consentement du titulaire de l’autorité parentale ou du représentant légal du mineur » : toute manifestation de volonté, libre, spécifique, éclairée et univoque, donnée ou autorisée par le titulaire de l’autorité parentale ou, à défaut, par le représentant légal du mineur, par laquelle celui-ci accepte, au nom du mineur, le traitement de données à caractère personnel concernant le mineur, aux fins de l’offre directe d’un service de la société de l’information au mineur, conformément à l’article 8, paragraphe 1, du règlement (UE) 2016/679 ; 7° « système de vérification de l’âge » : l’ensemble des mesures organisationnelles et techniques mises en œuvre par un fournisseur de service de réseau social en ligne afin d’établir, avec un degré de fiabilité approprié et proportionné aux risques pour les droits et libertés des mineurs, si l’utilisateur a atteint l’âge requis pour accéder au service ou à certaines fonctionnalités, aux fins de restreindre ou de conditionner cet accès, conformément à la présente loi ; 8° « système de vérification du consentement du représentant du mineur » : l’ensemble des mesures organisationnelles et techniques mises en œuvre par un fournisseur de service de réseau social en ligne afin d’établir, avec un degré de fiabilité approprié et proportionné aux risques pour les droits et libertés des mineurs, qu’un consentement au traitement de données à caractère personnel concernant un mineur a été donné ou autorisé par le titulaire de l’autorité parentale ou, à défaut, par le représentant légal du mineur.
(2)Pour l’application de la présente loi, lorsque les notions utilisées ne sont pas définies au paragraphe 1er, les définitions du règlement (UE) 2016/679, sont applicables. Art. 3. Conditions d’accès et régime du consentement 6
(1)Enfants de moins de treize ans 1° Il est interdit à tout fournisseur de service de réseau social en ligne de fournir, directement ou indirectement, un tel service à un enfant de moins de treize ans. 2° En application de cette interdiction, le fournisseur de service de réseau social en ligne :
- a)ne permet pas la création ou l’activation d’un compte par un enfant de moins de treize ans ;
- b)désactive, à partir du moment où il en prend connaissance, compte tenu des systèmes de vérification de l’âge mis en place conformément à l’article 4, tout compte utilisé par un enfant de moins de treize ans ;
- c)supprime les données à caractère personnel collectées auprès d’un enfant de moins de treize ans en violation du point 1°, dans les conditions prévues à l’article 17 du règlement (UE) 2016/679.
(2)Enfants de treize à quinze ans 1° L’offre d’un service de réseau social en ligne à un enfant de treize à quinze ans est subordonnée à l’obtention préalable d’un consentement vérifiable du titulaire de l’autorité parentale ou, à défaut, du représentant légal du mineur. 2° Aux fins de l’accès visé au point 1°, le fournisseur de service de réseau social en ligne :
- a)met en place un système de vérification de l’âge au sens de l’article 2, point 8°, permettant d’établir que l’utilisateur relève de la tranche d’âge de treize à quinze ans ;
- b)veille à ce que l’activation du compte de l’enfant de treize à quinze ans soit subordonnée à l’obtention préalable du consentement du titulaire de l’autorité parentale ou, à défaut, du représentant légal du mineur, au moyen du système de vérification du consentement du représentant du mineur visé à l’article 2, point 9°. 3° En cas de retrait de ce consentement par le titulaire de l’autorité parentale ou, à défaut, par le représentant légal du mineur, le fournisseur de service :
- a)désactive, dans un délai raisonnable, l’accès au compte de l’enfant ;
- b)supprime les données à caractère personnel collectées auprès de l’enfant, dans les conditions prévues à l'article 17 du règlement (UE) 2016/679, sauf obligation légale contraire de conservation. Art. 4. Système de vérification de l’âge
(1)Les fournisseurs de services de réseaux sociaux en ligne mettent en œuvre un système de vérification de l’âge au sens de l’article 2, point 8°, permettant d’établir si un utilisateur relève des catégories d’âge visées à l’article 2, points 3° et 4. 7
(2)Le système de vérification de l’âge est conçu et mis en œuvre de manière à, au minimum :
- a)atteindre un degré de fiabilité adapté aux risques pour les droits et libertés des mineurs résultant de l’utilisation du service ;
- b)ne pas conduire à une collecte ou un traitement de données à caractère personnel excédant ce qui est nécessaire à cette finalité ;
- c)ne pas aboutir à une identification généralisée des utilisateurs au-delà de ce qui est requis pour la vérification de l’âge.
(3)Les obligations prévues par le présent article ne constituent pas, en elles-mêmes, une obligation générale de surveillance des informations fournies par les utilisateurs ni une obligation générale de recherche active de contenus illicites.
(4)Un règlement grand-ducal peut, aux fins, dans les conditions et suivant les modalités prévues aux paragraphes
(1)et
(2), préciser les modalités techniques de mise en œuvre du système de vérification de l’âge, notamment :
- a)les méthodes permettant d’établir l’appartenance à une catégorie d’âge, en privilégiant les solutions assurant le plus haut niveau de protection des données ;
- b)les exigences minimales de sécurité applicables aux données traitées à cette fin ;
- c)les durées maximales de conservation des données traitées exclusivement à cette fin ;
- d)les exigences de documentation permettant de démontrer le respect des obligations prévues par le présent article. Art. 5. Système de vérification du consentement du représentant du mineur
(1)Le fournisseur met en œuvre un système de vérification du consentement du représentant du mineur de treize à quinze ans au sens de l’article 2, point 9°, permettant d’établir, en faisant des efforts raisonnables, que le consentement a été donné ou autorisé par le titulaire de l’autorité parentale ou, à défaut, par le représentant légal du mineur, compte tenu des technologies disponibles, de la nature du service et des risques pour les droits et libertés des mineurs.
(2)Le système de vérification du consentement est conçu et mis en œuvre de manière à, au minimum :
- a)permettre de recueillir et de conserver une preuve du consentement et, le cas échéant, de son retrait, limitée aux éléments strictement nécessaires à cette finalité ;
- b)offrir au titulaire de l’autorité parentale ou, à défaut, au représentant légal du mineur, des moyens aisément accessibles permettant de retirer le consentement ; 8
- c)ne pas conduire à une collecte ou à un traitement de données à caractère personnel excédant ce qui est nécessaire à la vérification du consentement ;
- d)garantir que les données traitées sont utilisées exclusivement aux fins de la vérification du consentement ;
- e)garantir que les données traitées exclusivement aux fins de la vérification du consentement sont conservées pendant une durée n’excédant pas celle strictement nécessaire à cette finalité ;
- f)mettre en œuvre des mesures techniques et organisationnelles appropriées assurant la confidentialité, l’intégrité et la sécurité des données traitées à cette fin.
(3)Un règlement grand-ducal peut, dans les conditions et suivant les modalités prévues aux paragraphes
(1)et
(2), préciser les modalités techniques de mise en œuvre du système de vérification du consentement, en ce qui concerne :
- a)les méthodes permettant d’établir la traçabilité du consentement et de son retrait, en privilégiant les solutions assurant le plus haut niveau de minimisation des données ;
- b)les exigences minimales de sécurité applicables aux données traitées à cette fin ;
- c)les durées maximales de conservation des données traitées exclusivement à cette fin ;
- d)les exigences de documentation permettant de démontrer le respect des obligations prévues par le présent article. Art. 6. Autorité compétente
(1)La surveillance de l’application de la présente loi et le contrôle du respect des obligations qu’elle impose aux fournisseurs de services de réseaux sociaux en ligne relèvent de la compétence de l’Autorité luxembourgeoise indépendante de l’audiovisuel, désigné comme ciaprès « l’Autorité ».
(2)L’exercice des compétences de l’Autorité en vertu de la présente loi s’effectue sans préjudice des missions et pouvoirs conférés à la Commission nationale pour la protection des données par le règlement (UE) 2016/679 et par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et mise en œuvre dudit règlement. L’Autorité n’exerce pas les pouvoirs de contrôle et de sanction relevant du règlement (UE) 2016/679.
(3)Lorsque les faits dont l’Autorité est saisie ou qu’elle constate relèvent du règlement (UE) 2016/679, l’Autorité en informe sans délai la Commission nationale pour la protection des données et, le cas échéant, lui transmet les informations pertinentes dont elle dispose.
(4)L'exercice des compétences de l'Autorité en vertu de la présente loi s'entend sans préjudice des missions et pouvoirs conférés à l'Autorité de la concurrence en sa qualité de coordinateur 9 pour les services numériques aux fins de l'application du règlement (UE) 2022/2065, en vertu de la loi du 4 avril 2025 portant mise en œuvre dudit règlement.
(4)L'Autorité coopère avec l'Autorité de la concurrence, notamment par l'échange d'informations pertinentes et la coordination de leurs actions, lorsque l'application de la présente loi soulève des questions entrant dans le champ du règlement (UE) 2022/2065. Art. 7. Saisine de l’Autorité
(1)L’Autorité peut être saisie : 1° par tout utilisateur, ou son représentant légal, s’estimant lésé par une violation des dispositions de la présente loi par un fournisseur de service de réseau social en ligne ; 2° par les associations ou organisations actives dans la protection des droits de l’enfant ou de la protection des données à caractère personnel, lorsqu’elles justifient d’un intérêt à agir ; 3° par toute autorité publique concernée ; 4° de sa propre initiative, lorsqu’elle dispose d’indices laissant présumer une violation de la présente loi.
(2)L’Autorité statue sur la recevabilité des saisines. Elle examine la recevabilité des saisines et décide de ne pas donner suite lorsqu’une est manifestement infondée. Elle informe le plaignant de sa décision et en indique sommairement les motifs. Art. 8. Pouvoirs de contrôle et d’enquête
(1)Aux fins de l’application de la présente loi, l’Autorité dispose, à l’égard des fournisseurs de services de réseaux sociaux en ligne concernés, des pouvoirs suivants : 1° demander au fournisseur toute information et tout document, sous quelque forme que ce soit, nécessaires à l’accomplissement de ses missions, y compris les éléments de documentation relatifs aux systèmes mis en place pour respecter les obligations de la présente loi ; 2° procéder à des contrôles documentaires et réaliser, le cas échéant, des audits, y compris à distance, des systèmes et procédures mis en place par le fournisseur pour respecter les obligations de la présente loi, notamment en matière de vérification de l’âge et de vérification du consentement du représentant du mineur ; 3° entendre toute personne dont l’audition paraît utile et recueillir des observations écrites du fournisseur ; 4° demander, le cas échéant, aux autorités judiciaires compétentes d’ordonner les inspections qu’elle estime nécessaire afin d’examiner, de saisir, de prendre ou d’obtenir copie de toute information relative à une infraction présumée, sous quelque forme et sur quelque support de stockage que ce soit, conformément au droit national applicable ; 10
(2)Les informations et documents obtenus par l’Autorité dans l’exercice des pouvoirs prévus au présent article ne peuvent être utilisés qu’aux fins du contrôle et de l’application de la présente loi, sans préjudice des obligations de transmission prévues par la présente loi ;
(3)Les fournisseurs de service de réseau social en ligne coopèrent avec l’Autorité. Ils répondent aux demandes formulées en vertu du paragraphe
(1)dans les délais impartis et s’abstiennent de tout acte de nature à entraver l’exercice des pouvoirs de contrôle et d’enquête. Art. 9. Mises en demeure et mesures correctrices
(1)Lorsque l’Autorité constate une violation des dispositions de la présente loi, elle peut, préalablement au prononcé d’une sanction administrative, adresser au fournisseur de services de réseau social en ligne concerné une mise en demeure motivée l’enjoignant de se conformer aux dispositions enfreintes dans un délai déterminé.
(2)La mise en demeure précise : 1° les faits reprochés et les dispositions légales violées ; 2° les mesures correctrices attendues du fournisseur concerné ; 3° le délai dans lequel ces mesures doivent être adoptées ; 4° l’indication qu’à défaut de mise en conformité dans le délai imparti, l’Autorité pourra prononcer une ou plusieurs sanctions administratives conformément aux articles 10 et 11 de la présente loi. Art. 10. Sanctions administratives
(1)L’Autorité peut, par décision motivée, infliger les sanctions administratives prévues au paragraphe
(2)aux fournisseurs de services de réseaux sociaux en ligne lorsqu’ils ont commis une violation des dispositions suivantes de la présente loi : 1° article 3, paragraphe
(1); 2° article 3, paragraphe
(2); 3° article 4, paragraphe
(1); 4° article 4, paragraphe
(2); 5° article 5, paragraphe
(1); 6° article 5, paragraphe
(2); 7° article 8, paragraphe
(4).
(2)Pour les violations visées au paragraphe 1 er, l’Autorité peut infliger les sanctions administratives suivantes : 1° un avertissement ; 11 2° un blâme, qui peut être assorti d’une obligation de publication du blâme par le fournisseur concerné, selon les modalités fixées par l’Autorité dans sa décision ; 3° une amende d’ordre de 250 à 250 000 euros.
(3)Lorsque l’Autorité prononce une sanction administrative en application des paragraphes 1 er et 2, elle tient dûment compte, pour fixer la nature et le niveau de la sanction, des éléments suivants, appréciés au cas par cas : 1° la nature, la gravité, la récurrence et la durée de la violation ; 2° le fait que la violation a été commise délibérément ou par négligence ; 3° toute mesure prise par le fournisseur pour atténuer le dommage éventuellement subi par les mineurs concernés ; 4° toute violation pertinente commise précédemment par le fournisseur et toute autre circonstance aggravante ou atténuante applicable au cas concerné ; 5° le degré de coopération avec l’Autorité pour remédier à la violation et en atténuer les effets ; 6° la taille et la capacité économique du fournisseur.
(4)Le non-respect des obligations de coopération avec l’Autorité, notamment le défaut de réponse aux demandes d’informations dans les délais impartis ou l’entrave à l’exercice de ses pouvoirs de contrôle et d’enquête, peut être pris en considération comme circonstance aggravante lors de la fixation du montant de l’amende d’ordre.
(5)Les décisions de sanction prises en application du présent article sont publiées sur le site internet de l’ Autorité, dans des conditions assurant un juste équilibre entre la transparence, l’effet dissuasif de la sanction et le respect des droits des personnes concernées, notamment au regard des données à caractère personnel. La publication mentionne, le cas échéant, les voies et délais de recours. Art. 11. Sanction du non-respect des décisions de l’Autorité et récidive
(1)Lorsqu’un fournisseur de services de réseaux sociaux en ligne ne se conforme pas, dans le délai imparti, à une décision exécutoire de l’Autorité prise en vertu de la présente loi, ou lorsqu’il commet une nouvelle violation de la même disposition dans un délai de six mois à compter du prononcé d’une amende d’ordre devenue exécutoire, l’Autorité peut, par décision motivée : 1° porter le maximum de l’amende d’ordre applicable au double du maximum prévu à l’article 10, paragraphe
(2), point 3° ; 12 2° ordonner, lorsque cela est strictement nécessaire et proportionné au regard de la gravité de la violation et des risques encourus par les mineurs, une ou plusieurs mesures complémentaires destinées à faire cesser la violation, notamment :
- a)la suspension temporaire de l’inscription de nouveaux comptes sur le service concerné ;
- b)la suspension temporaire d’une ou de plusieurs fonctionnalités présentant un risque particulier pour les mineurs.
(2)Les décisions prononçant de telles mesures sont publiées au Journal officiel du GrandDuché de Luxembourg lorsqu'elles emportent suspension ou interdiction d'un service sur le territoire luxembourgeois. Art.
- Recouvrement des amendes Le recouvrement des amendes prononcées par l’Autorité en application de la présente loi est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. Art.
- Prescription en matière d’imposition des sanctions
(1)Le pouvoir conféré à l’Autorité en de la présente loi est soumis à un délai de prescription de six mois.
(2)Le délai de prescription court à compter du jour où la violation a été commise. Toutefois, pour les violations continues ou répétées, le délai de prescription ne court qu’à compter du jour où la violation a pris fin.
(3)Le délai de prescription est interrompu par les actes de l’ Autorité suivants : 1° la notification d’une demande de renseignements ; 2° la notification d’une convocation à un entretien ; 3° l’institution d’une expertise ; 4° la notification d’une communication des griefs. Art. 14. Prescription en matière d’exécution des sanctions
(1)Les amendes prononcées par l’Autorité se prescrivent par cinq années révolues.
(2)Le délai de prescription court à compter du jour où la décision est devenue définitive.
(3)La prescription en matière d’exécution des sanctions est interrompue : 1° par la notification d’une décision modifiant le montant initial de l’amende ou rejetant une demande tendant à obtenir une telle modification ; 2° par tout acte de l’Administration de l’enregistrement, des domaines et de la TVA visant au recouvrement forcé de l’amende ou de l’astreinte. 13
(4)Le délai de prescription court à nouveau à partir de chaque interruption.
(5)La prescription en matière d’exécution des sanctions est suspendue : 1° aussi longtemps qu’un délai de paiement est accordé ; 2° aussi longtemps que l’exécution forcée du paiement est suspendue en vertu d’une décision juridictionnelle. Art.
- Recours gracieux Un recours gracieux peut être introduit contre les décisions de l’Autorité prises en vertu de la présente loi. Art.
- Recours contentieux Un recours en annulation devant le Tribunal administratif est ouvert contre les décisions de l’Autorité prises en vertu de la présente loi. Art.
- Entrée en vigueur La présente loi entre en vigueur le premier jour du mois qui suit l’expiration d’un délai d’une année à compter de sa publication au Journal officiel du Grand-Duché de Luxembourg. 14 * COMMENTAIRE DES ARTICLES Ad article 1er L'article 1er définit le champ d'application et l'objet de la présente loi, qui vise à établir un cadre juridique spécifique pour l'utilisation des services de réseaux sociaux en ligne par les enfants et les jeunes de moins de seize ans au Luxembourg. Le paragraphe
(1)définit la finalité principale de la loi : protéger les mineurs contre les risques inhérents à l'utilisation des réseaux sociaux en ligne, en fixant des conditions d’accès et des exigences relatives à la vérification de l’âge et, le cas échéant, à la vérification du consentement du titulaire de l’autorité parentale ou du représentant légal du mineur. Cette protection s'inscrit dans une démarche de prévention des dangers auxquels les mineurs peuvent être exposés dans l'environnement numérique. Le paragraphe
(2)établit le lien avec le cadre européen de protection des données, en précisant que la loi luxembourgeoise spécifie les modalités d'application de l’article 8, paragraphe 2, du RGPD concernant spécifiquement les réseaux sociaux en ligne. Cette disposition garantit la cohérence avec le droit européen en matière de protection des données. Les paragraphes
(3)et
(4)déterminent respectivement le champ d'application territorial et l'articulation avec d'autres instruments juridiques européens pertinents, notamment le règlement général sur la protection des données (RGPD), le règlement sur les services numériques (DSA) et la directive services de médias audiovisuels, sans porter préjudice à ces dispositions. Le paragraphe
(3)précise que l’application s’opère dans la mesure permise par le droit de l’Union européenne. Le paragraphe
(4)inclut également la directive 2000/31/CE, notamment son article 3, afin de situer l’articulation avec le cadre européen relatif au marché intérieur des services de la société de l’information. Ad article 2 L'article 2 établit les définitions essentielles à l'application de la présente loi, en assurant la cohérence terminologique avec le cadre juridique européen et en précisant les catégories d'âge pertinentes pour la protection des mineurs. Les points 1° à 3° fixent les notions de base nécessaires à l’application du dispositif, en particulier la notion d’« utilisateur » et les deux catégories d’âge pertinentes. Les points 2° et 3° introduisent une structuration en deux catégories d'âge distinctes : les enfants de moins de treize ans et les enfants de treize à quinze ans. Cette différenciation permet 15 d’adapter le niveau de protection et les exigences de consentement aux différents stades de développement et de maturité des mineurs concernés. Le point 4° définit le « service de réseau social en ligne » sur la base du concept de plateforme en ligne au sens du règlement (UE) 2022/2065 (DSA), en y ajoutant des critères matériels (profil, connexions, diffusion publique de contenus, fil et recommandations). Cette définition vise des services tels que Facebook, Instagram, TikTok ou Snapchat. En revanche, elle n'englobe pas les outils de messagerie instantanée qui, bien qu'offrant accessoirement certaines fonctionnalités de partage de contenus, ne constituent pas des réseaux sociaux en ligne au sens de la présente loi, dès lors que leur objet principal demeure la communication interpersonnelle privée. Cette exclusion est opérée par renvoi aux services de communication interpersonnelle au sens de la directive (UE) 2018/1972. Le point 5° définit le « fournisseur de service de réseau social en ligne » en renvoyant aux notions de responsable du traitement ou de coresponsable du traitement au sens du RGPD, soulignant ainsi le lien entre la fourniture du service et la responsabilité en matière de protection des données. Le point 6° précise les caractéristiques du consentement du titulaire de l’autorité parentale ou du représentant légal du mineur, conformément aux exigences de validité du consentement prévues par le RGPD : libre, spécifique, éclairé et univoque. Les points 7° et 8° définissent les systèmes techniques et organisationnels de vérification de l'âge et du consentement du représentant du mineur, éléments centraux du dispositif de protection mis en place par la présente loi, en soulignant l'exigence d'un degré de fiabilité approprié et proportionné aux risques pour les droits et libertés des mineurs. Le paragraphe
(2)prévoit que, lorsque les notions utilisées ne sont pas définies au paragraphe
(1), les définitions de l’article 4 du RGPD s’appliquent. Ad article 3 L'article 3 établit un régime différencié d'accès aux services de réseaux sociaux en ligne en fonction de l'âge du mineur, reflétant une approche graduée qui tient compte du développement progressif des capacités cognitives et de la maturité des enfants et adolescents. Le paragraphe
(1)instaure une interdiction d'accès aux réseaux sociaux en ligne pour les enfants de moins de treize ans. Cette interdiction s'accompagne d'obligations pour les fournisseurs, notamment l'obligation de désactiver les comptes existants et de supprimer les données collectées en violation de cette interdiction, conformément au droit à l'effacement prévu par l'article 17 du RGPD. La formulation « pour le compte d’un enfant » vise à couvrir 16 également les contournements consistant à créer ou activer un compte par l’intermédiaire d’un tiers. Le paragraphe
(2)adopte une approche intermédiaire pour les enfants âgés de treize à quinze ans, en autorisant leur accès aux réseaux sociaux sous condition d'obtention du consentement parental. Ce système à double palier reconnaît que les mineurs de cette tranche d'âge se trouvent dans une phase de développement où ils acquièrent progressivement une plus grande autonomie et maturité, tout en ayant encore besoin d'un encadrement parental approprié. Le mécanisme de vérification de l'âge et du consentement parental constitue la pierre angulaire du dispositif, imposant aux fournisseurs des obligations techniques et organisationnelles précises pour garantir l'effectivité de cette protection différenciée. La double obligation de contrôle, portant à la fois sur l'âge et sur le consentement parental, impose aux fournisseurs de mettre en place deux vérifications distinctes. Cette double exigence devrait idéalement encourager le recours à des solutions techniques intégrées permettant de vérifier simultanément ces deux éléments au sein d'un même processus. Dans cette perspective, les systèmes numériques sécurisés utilisant des technologies de double aveugle ou de preuve à divulgation nulle de connaissance apparaissent comme la solution privilégiée, permettant de concilier efficacement les exigences de vérification avec une protection renforcée de la vie privée tant des mineurs que de leurs parents, en évitant que le fournisseur n'accède directement aux données d'identité sous-jacentes. Ad article 4 L'article 4 établit le cadre technique et organisationnel du système de vérification de l’âge, constituant un élément opérationnel central de la protection des mineurs prévue par la présente loi. Le paragraphe
(1)impose aux fournisseurs la mise en place de systèmes de vérification de l'âge appropriés, efficaces et proportionnés. Ces systèmes doivent respecter un triple équilibre : garantir un degré de fiabilité adapté aux risques encourus par les mineurs, minimiser la collecte de données à caractère personnel, et éviter une identification généralisée des utilisateurs allant au-delà de la stricte vérification d'âge requise. Le paragraphe
(2)précise les exigences minimales : garantir un degré de fiabilité adapté aux risques encourus par les mineurs, minimiser la collecte de données à caractère personnel, et éviter une identification généralisée des utilisateurs allant au-delà de la stricte vérification d'âge requise. Le paragraphe
(3)clarifie que ces mécanismes de vérification ne constituent pas une obligation générale de surveillance, préservant ainsi la distinction entre vérification ciblée de l'âge et modération générale des contenus. 17 Le paragraphe
(4)prévoit la possibilité d'adopter un règlement grand-ducal pour préciser les modalités techniques de mise en œuvre, permettant ainsi une adaptation flexible aux évolutions technologiques rapides et aux standards européens émergents. Ad article 5 L'article 5 établit le cadre technique et organisationnel du système de vérification du consentement du représentant du mineur lorsque l’accès au service est subordonné à un consentement. Le paragraphe
(1)impose, pour les enfants de treize à quinze ans, la mise en place d’un système permettant d’établir, en faisant des efforts raisonnables, que le consentement a été donné ou autorisé par le titulaire de l’autorité parentale ou, à défaut, par le représentant légal du mineur. La notion d’« efforts raisonnables » consacre une obligation de moyens renforcée, adaptée aux technologies disponibles et proportionnée aux risques, sans exiger une vérification absolument infaillible qui serait disproportionnée. Le paragraphe
(2)précise les exigences minimales relatives à la preuve du consentement et de son retrait, à l’accessibilité du retrait, à la minimisation des données, à l’interdiction de réutilisation à des fins incompatibles et aux garanties de confidentialité, d’intégrité et de sécurité. Le paragraphe
(3)prévoit la possibilité d'adopter un règlement grand-ducal pour préciser les modalités techniques de mise en œuvre. Ad article 6 L'article 6 désigne l'autorité compétente pour la surveillance et le contrôle de l'application de la présente loi, tout en organisant un cadre de coopération interinstitutionnelle visant à garantir la cohérence et l'efficacité de l'action des autorités concernées. Le paragraphe
(1)confie la compétence principale de surveillance et de contrôle à l'Autorité luxembourgeoise indépendante de l’audiovisuel (ALIA). Ce choix s'explique par l'expertise de l'ALIA en matière de régulation des services de médias en ligne et par sa familiarité avec les enjeux de protection des mineurs dans l'environnement numérique. Les paragraphes
(2)et
(3)organisent les rapports entre l'ALIA et la Commission nationale pour la protection des données (CNPD). Le paragraphe
(2)préserve expressément les compétences de la CNPD découlant du RGPD et de la loi du 1er août 201 8.Le paragraphe
(3)prévoit un mécanisme de notification à la CNPD lorsque les faits relèvent principalement du règlement (UE) 2016/679, afin de favoriser une répartition cohérente des interventions et d’éviter des démarches parallèles inutiles. 18 Cette coopération vise notamment à éviter toute duplication des procédures et tout risque de double sanction pour les mêmes faits, garantissant ainsi la sécurité juridique des opérateurs et le respect du principe non bis in idem. Les paragraphes
(4)et
(5)établissent un mécanisme de coordination similaire avec l'Autorité de la concurrence en sa qualité de coordinateur pour les services numériques (Digital Services Coordinator) au titre du règlement (UE) 2022/2065. Cette disposition reconnaît les interfaces possibles entre les obligations prévues par la présente loi et celles imposées par le règlement sur les services numériques, notamment en matière de protection des mineurs en ligne. L'ensemble de ces dispositions reflète une approche collaborative et coordonnée de la régulation, essentielle pour assurer l'effectivité de la protection des mineurs et en évitant les incohérences réglementaires. Ad article 7 Le paragraphe
(1)définit les modalités de saisine de l'Autorité luxembourgeoise indépendante de l’audiovisuel, en reprenant les règles de saisine applicables aux autres domaines de compétence de l'Autorité, notamment en matière de services de médias audiovisuels et de plateformes de partage de vidéos. Ainsi ces dispositions s'inscrivent dans la continuité des procédures déjà établies pour les autres domaines de régulation relevant de la compétence de l'Autorité, assurant ainsi une cohérence procédurale et une prévisibilité pour les justiciables. Le cas du mineur est traité par l’exercice de la saisine par son représentant légal. Le paragraphe
(2)encadre le traitement des plaintes en permettant à l’Autorité de ne pas donner suite aux plaintes manifestement infondées, tout en imposant une information du plaignant et une motivation sommaire, dans un objectif d’efficacité administrative et de prévention des abus. Ad article 8 et 9 Les articles 8 et 9 définissent les pouvoirs de contrôle, d'enquête et de mise en conformité de l'Autorité luxembourgeoise indépendante de l’audiovisuel. A l'instar des modalités de saisine prévues à l'article 7, ces dispositions reprennent les mécanismes de contrôle et de sanction applicables aux autres domaines de régulation relevant de la compétence de l'Autorité, garantissant ainsi une approche cohérente et harmonisée de l'exercice de ses missions. Ad article 10 L'article 10 établit le régime des sanctions administratives applicables en cas de violation des dispositions de la présente loi. Ce régime vise à assurer l'effectivité des obligations imposées 19 aux fournisseurs de services de réseaux sociaux en ligne, en combinant différents types de mesures graduées. Le paragraphe
(1)détermine le champ d'application des sanctions administratives en énumérant les dispositions dont la violation peut donner lieu à sanction. Sont ainsi visées les obligations relatives à l'interdiction d'accès pour les enfants de moins de treize ans, au régime du consentement parental pour les enfants de treize à quinze ans, aux systèmes de vérification de l'âge et du consentement parental, à la limitation des finalités de traitement, et à l'obligation de coopération avec l'Autorité. Le caractère sanctionnable de ces violations essentielles vise à garantir l'effet dissuasif du dispositif et à assurer une protection effective des mineurs. Le paragraphe
(2)prévoit une palette de sanctions administratives allant de l'avertissement à l'amende d'ordre, en passant par le blâme. Cette graduation permet à l'Autorité d'adapter la réponse administrative à la gravité de la violation constatée. L'échelle des amendes, fixée entre 250 et 250 000 euros, correspond à la fourchette habituelle des sanctions administratives prévues dans l'ordre juridique luxembourgeois, assurant ainsi une cohérence avec les autres régimes sanctionnateurs applicables aux services de médias et plateformes numériques. Le paragraphe
(3)établit une liste de critères que l'Autorité doit prendre en compte pour déterminer la nature et le niveau de la sanction. Ces critères, qui incluent notamment la gravité et la durée de la violation, le caractère intentionnel ou négligent du manquement, les efforts de mise en conformité, et la capacité économique du fournisseur, garantissent une individualisation de la sanction et le respect du principe de proportionnalité. Le paragraphe
(4)prévoit que le défaut de coopération avec l'Autorité peut constituer une circonstance aggravante, soulignant l'importance de la collaboration des fournisseurs dans l'exercice des missions de contrôle de l'Autorité. Le paragraphe
(5)organise la publication des sanctions sur le site internet de l'Autorité, afin d’assurer la transparence de l’action administrative et de renforcer l’effet dissuasif des sanctions, tout en préservant un juste équilibre avec les droits des personnes concernées. Ad article 11 L'article 11 instaure un régime de sanctions renforcées applicables en cas de non-respect des décisions de l'Autorité ou de récidive, complétant ainsi le dispositif sanctionnateur prévu à l'article 10 par des mesures à effet dissuasif accru. Le paragraphe
(1)prévoit deux hypothèses déclenchant l'application de sanctions aggravées : d'une part, le défaut de mise en conformité avec une décision exécutoire de l'Autorité, et d'autre part, la récidive constatée dans un délai de six mois suivant la première sanction pour violation de la même disposition. Ces deux situations témoignant d'une attitude persistante de nonrespect des obligations légales justifient une réponse administrative plus ferme. 20 Ad article 12 L’article 12 confie le recouvrement des amendes prononcées par l'Autorité à l'Administration de l'enregistrement, des domaines et de la TVA, selon les règles applicables en matière d'enregistrement. Cette disposition reprend les mécanismes de recouvrement habituellement utilisés pour les sanctions administratives au Luxembourg, garantissant ainsi l'efficacité du processus de collecte et la cohérence avec les autres procédures de recouvrement de créances publiques. Ad article 13 L’article 13 fixe la prescription applicable au pouvoir de l’Autorité d’imposer une sanction administrative. Le paragraphe
(1)prévoit un délai de prescription de six mois, qui vise à assurer la célérité de l’action administrative et la sécurité juridique des opérateurs. Le paragraphe
(2)précise le point de départ du délai. Pour les violations instantanées, il court à compter du jour où la violation a été commise. Pour les violations continues ou répétées, le délai ne commence à courir qu’à compter du jour où la violation a pris fin, ce qui évite qu’un manquement persistant ne puisse échapper à toute sanction. Le paragraphe
(3)prévoit les actes interruptifs de prescription. En listant de manière limitative les actes d’instruction considérés comme interruptifs (demande de renseignements, convocation à un entretien, expertise, communication des griefs), la loi garantit la prévisibilité du régime. Ad article 14 L’article 14 règle la prescription en matière d’exécution des sanctions pécuniaires prononcées par l’Autorité, distincte de la prescription du pouvoir de sanction prévue à l’article 13. Le paragraphe
(1)fixe un délai de cinq ans, cohérent avec les délais usuellement applicables à l’exécution des créances publiques. Le paragraphe
(2)précise que le délai court à compter du jour où la décision est devenue définitive, garantissant que la prescription n’atteint pas une sanction encore susceptible de recours. Le paragraphe
(3)énumère les causes d’interruption, en distinguant les décisions modifiant le montant de l’amende (ou rejetant une demande de modification) et les actes de recouvrement forcé accomplis par l’administration compétente. Le paragraphe
(4)précise qu’un nouveau délai court à partir de chaque interruption. 21 Le paragraphe
(5)prévoit des causes de suspension du délai, notamment lorsqu’un délai de paiement est accordé ou lorsque l’exécution forcée est suspendue par une décision juridictionnelle. Ad article 15 et 16 Les articles 15 et 16 organisent les voies de recours contre les décisions de l'Autorité. L'article 14 prévoit la possibilité d'un recours gracieux auprès de l'Autorité elle-même, permettant un règlement amiable avant toute procédure contentieuse. L’article 16 prévoit un recours contentieux contre les décisions de l’Autorité devant le Tribunal administratif, garantissant un contrôle juridictionnel effectif des décisions de l'Autorité. Ad article 17 L'article 17 fixe l'entrée en vigueur de la présente loi au premier jour du mois qui suit l'expiration d'un délai d'une année à compter de sa publication au Journal officiel du GrandDuché de Luxembourg. Ce délai transitoire d'un an vise à accorder aux fournisseurs de services de réseaux sociaux en ligne le temps nécessaire pour se mettre en conformité avec les nouvelles obligations, notamment pour déployer les systèmes de vérification de l'âge et les mécanismes de vérification du consentement parental requis par la loi. * Ben Polidori Député Francine Closener Députée