Protéger les enfants en ligne
Avis de proposition de règlement
Le 15 septembre 2025, le bureau du procureur général de l'État de New York (OAG) a publié un avis de proposition de réglementation (NPRM) pour la loi "Stop Addictive Feeds Exploitation (SAFE) for Kids Act".. Le NPRM fait partie de la procédure formelle d'élaboration des règles requise par la loi sur les procédures administratives de l'État de New York (NYS Administrative Procedures Act), par laquelle le public peut faire part à l'OAG de ses commentaires sur la règle proposée.
Le BVG a sollicité une large participation du public et a reçu des commentaires de nombreuses parties prenantes. La période de consultation publique en réponse à la règle proposée s'est achevée le 1er décembre 2025.
Les agences d'État doivent suivre une procédure formelle
La loi sur les procédures administratives de l'État de New York définit une procédure formelle que chaque agence de l'État doit suivre avant qu'une règle n'entre en vigueur. L'agence commence par soumettre une proposition de règlement au secrétaire d'État en vue de sa publication dans le registre de l'État. Le public dispose d'au moins 60 jours à compter de la date de publication pour formuler des observations sur la règle proposée. Avant qu'une règle ne devienne définitive, l'agence doit fournir une évaluation des commentaires publics reçus à propos de la règle.
Loi SAFE pour les enfants
Vue d'ensemble
L'Assemblée législative de New York a adopté la loi SAFE for Kids (ci-après dénommée "la loi") parce que les mineurs new-yorkais traversent une crise de santé mentale causée par l'utilisation néfaste des médias sociaux. La législature a constaté que les entreprises de médias sociaux ont créé des flux personnalisés par des algorithmes. Ces flux peuvent suivre des dizaines ou des centaines de milliers de points de données sur les utilisateurs pour créer un flux de médias qui peut faire défiler les mineurs pendant des périodes dangereusement longues. Conformément aux recherches solides menées par les experts en santé mentale des enfants, la législature a constaté que ces heures passées sur les médias sociaux ont causé des dommages aux mineurs new-yorkais, notamment la dépression, l'anxiété, les idées suicidaires et l'automutilation.
La loi interdit aux plateformes en ligne couvertes de fournir aux mineurs un flux addictif qui utilise des données concernant ce mineur (ou l'appareil du mineur) pour personnaliser le matériel que le mineur voit, une fonctionnalité qui est liée à un comportement addictif et à l'allongement du temps passé sur les médias sociaux à des niveaux dangereux. Elle interdit également aux plateformes couvertes de fournir des notifications nocturnes entre minuit et 6 heures du matin en rapport avec les flux de dépendance. La loi autorise le consentement parental et comprend un certain nombre d'autres dispositions visant à garantir que toutes les parties prenantes puissent bénéficier des avantages de la loi sans compromettre leur expérience ou leur vie privée.
Le législateur a chargé le Bureau du Procureur général - qui a une grande expérience des méfaits des médias sociaux, de la protection de la vie privée et des questions techniques complexes grâce à ses enquêtes et à ses litiges, ainsi qu'à son équipe interne de recherche et d'analyse - de promulguer des réglementations pour :
- Identifier des "méthodes commercialement raisonnables et techniquement réalisables" pour déterminer qu'un utilisateur n'est pas mineur avant de lui fournir un flux addictif ou une notification nocturne (G.B.L. section 1501(1)(a), (2)).
- Identifier les méthodes permettant d'obtenir un consentement parental vérifiable pour une alimentation addictive ou une notification nocturne (G.B.L. section 1501(1)(b), (4)).
- Mettre en œuvre et faire respecter l'Acte dans son ensemble.
La règle proposée définit des termes et des normes pour garantir que les plateformes en ligne couvertes ne fournissent pas de flux de dépendance ou de notifications nocturnes aux mineurs, y compris des normes pour une garantie de l'âge efficace, sûre et protégeant la vie privée. Pour les opérateurs qui choisissent de mettre en place une procédure de consentement parental, la proposition décrit les normes que les opérateurs doivent respecter pour obtenir un consentement parental valide.
La période de consultation s'est achevée le 1er décembre 2025. Les commentaires soumis pendant la période de consultation seront versés au dossier officiel.
Précédemment, le 1er août 2024, l'OAG a publié deux avis avancés de proposition de réglementation (ANPRM) pour la loi SAFE for Kids et la loi sur la protection des données des enfants de New York. Ces ANPRM ne font pas partie de la procédure formelle d'élaboration de règles requise par la loi sur les procédures administratives de l'État de New York. Toutefois, cette étape a permis à notre bureau de rechercher des informations auprès des parties prenantes avant de proposer des règles formelles.
- La loi SAFE for Kids exige que les plateformes de médias sociaux utilisent des "méthodes commercialement raisonnables et techniquement réalisables" pour déterminer si un utilisateur est âgé de moins de 18 ans (article 1501(1)(a) de la GBL). Quelles sont les principales caractéristiques souhaitées d'une méthode de détermination de l'âge ? Quels sont les principaux défis liés à l'évaluation de toute méthode de détermination de l'âge ?
- Actuellement, la détermination de l'âge peut être effectuée par un certain nombre de méthodes, notamment l'évaluation biométrique, l'évaluation basée sur l'analyse de l'activité de l'utilisateur, la pièce d'identité délivrée par le gouvernement, l'attestation d'une entreprise tierce fiable disposant d'informations préexistantes sur l'âge, telle qu'une banque via une carte de crédit émise, l'attestation d'autres utilisateurs, l'auto-attestation et les tests cognitifs.
- Quelle est la précision de chacune de ces méthodes pour déterminer si un utilisateur est âgé de moins de 18 ans ?
- Quel est le risque de falsification pour chacun d'entre eux ?
- Quel est le coût de chacun d'entre eux et comment est-il évalué ?
- Comment ces méthodes garantissent-elles la préservation de la confidentialité des données des utilisateurs ?
- De quelles données ont-ils besoin pour fonctionner ?
- Quels sont les risques de biais pour chacune de ces méthodes ?
- Ces réponses sont-elles potentiellement différentes pour les plateformes de médias sociaux, ou pour certains types de plateformes de médias sociaux ? Serait-il plus ou moins fiable d'avoir d'autres utilisateurs attestant de votre âge dans le contexte des médias sociaux que dans d'autres contextes en ligne ?
- Existe-t-il d'autres méthodes de détermination de l'âge actuellement disponibles ? Qu'est-ce que c'est ? Comment se situent-ils par rapport à ceux qui ont été cités précédemment ?
- Quelles sont les méthodes de détermination de l'âge susceptibles d'être disponibles dans un avenir proche ? Comment se comparent-elles aux méthodes que nous avons énumérées ?
- L'OAG envisage un cadre qui offrirait aux utilisateurs une variété d'options à choisir, y compris l'évaluation biométrique, l'évaluation basée sur l'analyse de l'activité de l'utilisateur, la pièce d'identité délivrée par le gouvernement, l'attestation d'une entreprise tierce fiable disposant d'informations préexistantes sur l'âge, telle qu'une banque via une carte de crédit émise, l'attestation d'autres utilisateurs, l'auto-attestation et les tests cognitifs. Si une telle approche est adoptée, qu'est-ce qui la rendrait efficace, sûre, privée, abordable, rapide et facile à utiliser ?
- Les services existants de détermination de l'âge par des tiers peuvent-ils être utilisés par une plateforme de médias sociaux sans que celle-ci n'ait à déployer d'efforts supplémentaires ? Sur quelles données ces services s'appuient-ils ? Quelles données conservent-ils après la détermination de l'âge ? Comment ces services démontrent-ils à des tiers qu'ils ont supprimé des informations, lorsqu'ils affirment qu'une telle suppression a eu lieu ?
- Quelles méthodes les plateformes de médias sociaux utilisent-elles actuellement pour déterminer (ou tenter de déterminer) l'âge ? Ces méthodes varient-elles en fonction du secteur d'activité ou de l'objectif de la plateforme de médias sociaux, ou sont-elles basées sur d'autres facteurs ?
- Certaines plateformes de médias sociaux tentent actuellement de déterminer l'âge des utilisateurs à diverses fins internes sur la base d'informations autres que l'auto-attestation. À quelles fins ces plateformes tentent-elles actuellement de déterminer l'âge ? Quels sont les procédés utilisés pour tenter de déterminer l'âge ? Quelles données ces méthodes utilisent-elles pour déduire l'âge ? Quel est le degré d'exactitude et de précision de ces tentatives de détermination ? Quels sont les facteurs qui augmentent ou diminuent la précision de ces tentatives de détermination ?
- De nombreux utilisateurs des plateformes de médias sociaux ont déjà déclaré avoir 18 ans ou plus. Quelles sont les données disponibles sur l'exactitude de ces auto-attestations ? Comment cela se compare-t-il à la précision des utilisateurs qui s'auto-attestent actuellement comme étant âgés de 13 ans ?
- Un certain nombre d'entités ont actuellement accès à des informations susceptibles d'indiquer l'âge de manière fiable, notamment les banques, les fournisseurs de courrier électronique (qui peuvent connaître l'âge d'une adresse électronique), les entreprises de télécommunications et les opérateurs de téléphones intelligents. Comment la réglementation du BVG pourrait-elle garantir que la détermination de l'âge sur la base de l'attestation de ces entités est sûre et protège la vie privée des utilisateurs ?
- Comment, le cas échéant, les réglementations du BVG devraient-elles intégrer des limites claires (bright lines) autour des niveaux de précision spécifiés pour évaluer quelles méthodes de détermination de l'âge sont commercialement raisonnables et techniquement réalisables ? Quelles sont les limites à ne pas dépasser ? Ces limites claires doivent-elles varier en fonction des caractéristiques de la plateforme en question ? Si oui, comment et pourquoi ?
- Quelles obligations la réglementation du BVG devrait-elle préciser concernant la manière dont les plateformes de médias sociaux peuvent demander une détermination de l'âge ? Comment le BVG peut-il s'assurer que les utilisateurs sont effectivement informés du contenu du processus de détermination de l'âge sans créer une charge excessive ?
- Les règlements du BVG devraient-ils exiger la publication d'un avis sur les effets néfastes des aliments pour animaux qui créent une dépendance ? Dans l'affirmative, quelle forme doit prendre l'avis ? Quel doit être son contenu ?
- Les règlements du BVG devraient-ils exiger la notification d'informations spécifiques concernant les méthodes, telles que la rapidité de la méthode, les données requises, le taux d'erreur et les biais éventuels ?
- Comment les règlements du BVG devraient-ils tenir compte des changements technologiques dans les méthodes de détermination de l'âge disponibles, ou des changements dans la volonté des utilisateurs d'utiliser certaines méthodes ?
- Si la réglementation du BVG exige que les plateformes de médias sociaux contrôlent les signaux du navigateur ou de l'appareil concernant l'âge ou le statut de mineur d'un utilisateur (similaires aux signaux "do-not-track" ou "universal-opt-out" que certains navigateurs ou appareils utilisent actuellement), quels facteurs le BVG devrait-il prendre en compte pour spécifier une norme appropriée pour ces signaux du navigateur ou de l'appareil ?
- Comment, le cas échéant, les plateformes en ligne déterminent-elles actuellement l'âge pour se conformer aux lois contre les jeux d'argent en ligne ? Comment les plateformes déterminent-elles actuellement l'âge pour se conformer aux lois relatives à la pornographie en ligne, ou la capacité à conclure des contrats ?
- La législation new-yorkaise exige la détermination de l'âge ou la vérification de l'identité dans de nombreux contextes hors ligne, tels que les jeux d'argent, l'accès à certains services de bibliothèque ou l'achat d'alcool. Quelle est la précision de ces méthodes de détermination de l'âge ? Quelles protections garantissent que les données collectées dans le cadre de la détermination de l'âge et de l'identité ne sont pas utilisées à d'autres fins ?
- Si certaines plateformes de médias sociaux sont ouvertes au grand public pour tous les usages, beaucoup sont destinées à un public spécifique, comme les réseaux professionnels ou les discussions sur des passe-temps particuliers. Dans certains cas, les utilisateurs peuvent être beaucoup plus susceptibles d'être adultes ou de déclarer correctement leur âge. Comment la réglementation du BVG doit-elle évaluer l'audience d'une plateforme de médias sociaux donnée lors de l'évaluation du coût et de l'efficacité des méthodes de détermination de l'âge ?
- Les capacités commerciales et techniques des plateformes de médias sociaux varient considérablement. Quelles informations le BVG doit-il prendre en compte aux fins de la notion de "commercialement raisonnable et techniquement faisable" concernant la taille, les ressources financières et les capacités techniques d'une plateforme de médias sociaux pour utiliser certaines ou toutes les méthodes de détermination de l'âge ?
- Comment, le cas échéant, les réglementations du BVG devraient-elles intégrer des limites claires concernant la taille, les ressources financières ou les capacités techniques d'une plateforme de médias sociaux lors de l'évaluation des méthodes de détermination de l'âge qui sont commercialement raisonnables et techniquement réalisables ? Quelles sont les limites à ne pas dépasser ?
- Quel impact, le cas échéant, l'utilisation de méthodes de détermination de l'âge aurait-elle sur la sécurité, l'utilité et l'expérience des New-Yorkais qui utilisent les plateformes de médias sociaux ?
- Certaines méthodes de détermination de l'âge présentent-elles des risques plus ou moins importants ?
- Certaines méthodes de détermination de l'âge présentent-elles des risques de falsification plus élevés ?
- Cela varie-t-il en fonction de la nature de la plateforme de médias sociaux ?
- Existe-t-il des catégories d'utilisateurs, tels que les immigrants ou les utilisateurs LGBTQ+, qui pourraient être affectés différemment par certaines ou toutes les méthodes de détermination de l'âge par rapport à d'autres communautés de New Yorkais ? Comment les règlements du BVG peuvent-ils atténuer ces effets ?
- Certains New-Yorkais, tels que les immigrants et les utilisateurs LGBTQ+, peuvent être inquiets à l'idée de fournir des informations personnelles sensibles pour la détermination de l'âge. Comment les règlements du BVG peuvent-ils garantir à ces New-Yorkais que ces informations seront immédiatement supprimées en toute sécurité ?
- Quelles sont les considérations que le BVG devrait prendre en compte pour garantir la sécurité des données utilisées dans la détermination de l'âge ?
- Existe-t-il des mécanismes techniques permettant à un utilisateur de vérifier que ses informations ont bien été supprimées ?
- Lors de l'élaboration des réglementations, quel est le meilleur moyen de se protéger contre la mauvaise gestion des données de première partie ?
- Quelle est la meilleure façon d'élaborer des réglementations pour se protéger contre la mauvaise gestion des données par des tiers ?
- Qu'avons-nous appris de l'expérience d'autres États et de l'Europe sur la manière la plus efficace de garantir que les données collectées dans un but donné ne soient pas utilisées dans un autre but ?
- Qu'avons-nous appris des autres régimes de minimisation des données sur les règles les plus efficaces et les plus applicables en matière de conservation des données au-delà des finalités spécifiées ? Dans quels autres contextes les services en ligne sont-ils tenus de supprimer immédiatement les données après une seule utilisation ?
- Si la réglementation du BVG obligeait les plateformes de médias sociaux à divulguer qu'elles s'exposent à une amende pouvant aller jusqu'à 5 000 dollars chaque fois qu'elles ne suppriment pas immédiatement les informations utilisées pour déterminer l'âge, cela permettrait-il d'assurer aux utilisateurs que leurs informations personnelles seront supprimées ?
- Compte tenu de tout ce qui précède, quelles sont les méthodes actuelles les plus efficaces, sûres, privées, abordables, rapides et faciles à utiliser, commercialement raisonnables et techniquement réalisables pour toute forme de détermination de l'âge en ligne ?
- La loi SAFE for Kids Act autorise les plateformes de médias sociaux à fournir aux enfants un fil d'actualité addictif ou des notifications nocturnes uniquement lorsque la plateforme a obtenu un "consentement parental vérifiable" (GBL sections 1501(2), 1502). Quelles méthodes les sites web, les services en ligne, les applications en ligne, les applications mobiles ou les dispositifs connectés utilisent-ils actuellement pour déterminer si une personne est le parent ou le tuteur légal d'un utilisateur donné ? Quels sont les coûts - pour les parents ou pour le site web, le service en ligne, l'application en ligne, l'application mobile ou l'appareil connecté - associés à ces méthodes ? Sur quelles informations s'appuient-ils ?
- Quelles méthodes les sites web, les services en ligne, les applications en ligne, les applications mobiles ou les appareils connectés utilisent-ils actuellement pour traiter et vérifier les demandes des parents concernant la suppression des données relatives à leur enfant ? Comment ces procédures peuvent-elles s'avérer efficaces ou inefficaces pour obtenir un consentement parental vérifiable ?
- Quelles obligations les règlements du BVG devraient-ils préciser concernant la manière dont les plateformes de médias sociaux demandent un consentement parental vérifiable ? Comment le BVG peut-il s'assurer que les parents sont effectivement informés de ce qu'on leur demande de consentir sans que cela ne les gêne indûment ?
- Comment le BVG peut-il s'assurer que les parents sont susceptibles de comprendre les risques avant de donner leur consentement ?
- Les règlements du BVG devraient-ils exiger la publication d'un avis sur les effets néfastes des aliments pour animaux qui créent une dépendance ?
- Quels enseignements peut-on tirer des réglementations relatives à d'autres produits nocifs, tels que les cigarettes, l'alcool et les jeux d'argent, en ce qui concerne la communication des effets nocifs et la limitation de la promotion auprès des enfants ?
- La réglementation du BVG devrait-elle exiger que le consentement soit demandé de manière autonome, indépendamment de toute autre demande ?
- La réglementation du BVG devrait-elle exiger que les parents puissent donner, rejeter ou retirer leur consentement sans avoir à créer un compte sur les médias sociaux ?
- Quelles méthodes les règlements du BVG devraient-ils spécifier comme pouvant ou devant être mises à la disposition des parents pour fournir, rejeter ou retirer leur consentement ?
- Comment les règlements du BVG peuvent-ils garantir que les demandes de consentement vérifiable et les informations qui les accompagnent sont compréhensibles et efficaces pour les parents de toutes les communautés de New York ?
- Les mêmes préoccupations concernant la protection de la vie privée de l'utilisateur tout en déterminant l'âge existent pour le consentement parental. Comment les réglementations de l'OAG peuvent-elles garantir aux New-Yorkais que les informations fournies pour obtenir le consentement des parents seront immédiatement supprimées en toute sécurité ?
- Quelles sont les méthodes les plus efficaces et les plus sûres qui existent actuellement pour toute forme d'obtention du consentement parental ?
- Y a-t-il d'autres facteurs ou considérations liés à l'obtention d'un consentement parental vérifiable que les règlements du BVG devraient prendre en compte ?
- La définition d'un flux addictif dans la section 1500(1)(c)-(d) de la GBL inclut des exceptions pour la personnalisation en réponse à "des paramètres de confidentialité ou d'accessibilité choisis par l'utilisateur, ou des informations techniques concernant l'appareil de l'utilisateur". Existe-t-il des types spécifiques de paramètres ou d'informations techniques d'une importance particulière qui pourraient nécessiter une autorisation expresse dans les règlements du BVG ?
- La section 1506(1) de la GBL, qui exige que les demandes de consentement parental soient disponibles dans les 12 langues les plus couramment parlées à New York, confère à l'OAG le pouvoir de promulguer des règlements ajoutant des exigences supplémentaires. Quels règlements, le cas échéant, le BVG devrait-il élaborer concernant l'accès aux langues. Pourquoi ?
- Le BVG devrait-il exiger la divulgation dans des dialectes spécifiques ? Si oui, quels dialectes ? Pourquoi ?
- Quelles informations concernant les dommages causés aux mineurs par les aliments addictifs devraient être prises en compte par le BVG lors de l'élaboration de sa réglementation ?
- Quels facteurs ou considérations le BVG devrait-il prendre en compte pour préserver les garanties existantes pour les enfants sur les plateformes de médias sociaux ?
Loi sur la protection des données des enfants
Avis avancé de proposition de réglementation conformément à la section 899-ee du New York General Business Law et suivants.
Le bureau du procureur général de l'État de New York (OAG) publie cette notification avancée de proposition de réglementation (ANPRM) afin de solliciter des commentaires, des données et d'autres informations pour l'aider à élaborer des règles visant à protéger la vie privée des enfants conformément à la section 899-ee de la loi générale sur les affaires de l'État de New York (General Business Law). et suivants. (GBL section 899-ee).[2]
Conscient des besoins particuliers des enfants en matière de protection de la vie privée, le corps législatif de New York a adopté la loi sur la protection des données des enfants (Child Data Protection Act - CDPA) afin de garantir la confidentialité et la sécurité des données personnelles des New-Yorkais âgés de moins de 18 ans. La CDPA s'applique principalement aux opérateurs d'un "site web, d'un service en ligne, d'une application en ligne, d'une application mobile ou d'un appareil connecté, ou d'une partie de ceux-ci" qui "seuls ou conjointement avec d'autres, contrôlent les objectifs et les moyens de traitement... des données qui identifient ou pourraient raisonnablement être liées, directement ou indirectement, à une personne physique ou à un appareil spécifique" lorsque les deux conditions suivantes sont réunies (GBL section 899-ee(1)-(4)) :
- L'opérateur sait en fait que les données proviennent d'un utilisateur mineur.
- Les données sont collectées à partir d'un site web, d'un service en ligne, d'une application en ligne, d'une application mobile ou d'un appareil connecté, ou d'une partie de ceux-ci, qui est "principalement destiné aux mineurs".
Si l'appareil d'un utilisateur "communique ou signale que l'utilisateur est ou doit être traité comme un mineur", l'opérateur doit "traiter cet utilisateur" comme un mineur (GBL section 899-ii(1)).
La CDPA exige de ces opérateurs qu'ils traitent, et autorise la plupart des tiers à traiter, les informations personnelles de mineurs connus, ou les données provenant de services principalement destinés aux mineurs, uniquement lorsqu'ils sont autorisés par la loi fédérale sur la protection de la vie privée des enfants en ligne (Children's Online Privacy Protection Act) et son règlement d'application (U.S.C. section 6502) pour les enfants de moins de 13 ans, ou pour les enfants de 13 à 17 ans, lorsque cela est "strictement nécessaire" pour un certain nombre d'objectifs spécifiés, ou que l'opérateur a obtenu un "consentement éclairé" (GBL section 899-ff(1)).
Ces objectifs spécifiques comprennent (GBL section 899-ff(2)) :
- "fournir ou maintenir un produit ou un service spécifique demandé par l'[utilisateur]"
- "la conduite des opérations commerciales internes de l'opérateur...".
- "identifier et réparer les erreurs techniques qui nuisent à la fonctionnalité existante ou prévue".
- "Protection contre les activités malveillantes, frauduleuses ou illégales
- "l'enquête, l'établissement, l'exercice, la préparation ou la défense de réclamations légales"
- "se conformer aux lois, règles ou réglementations fédérales, étatiques ou locales".
- "se conformer à une enquête civile, criminelle ou réglementaire, à une citation à comparaître ou à une assignation par les autorités fédérales, étatiques, locales ou d'autres autorités gouvernementales".
- "détecter, répondre ou prévenir les incidents ou les menaces en matière de sécurité".
- "protection des intérêts vitaux d'une personne physique"
Les demandes de "consentement éclairé" doivent être effectuées conformément à un certain nombre d'exigences visant à garantir que les utilisateurs sont en mesure d'évaluer efficacement la finalité du traitement et de comprendre leurs droits (article 899-ff(3)(a) de la GBL). Le consentement doit être librement révocable et les demandes de consentement ne peuvent être faites plus d'une fois par an (GBLsection 899-ff(3)(b)-(c)). En outre, si l'appareil d'un utilisateur "communique ou signale" que l'utilisateur ne consent pas au traitement, l'opérateur doit respecter cette communication ou ce signal (GBL section 899-ff(3)(d), (ii)(2)). Les opérateurs ne peuvent pas "refuser, dégrader, diminuer la qualité ou augmenter le prix" de leurs services en raison de l'impossibilité d'obtenir le consentement (GBL section 899-ff(4)).
Les opérateurs ne peuvent pas acheter ou vendre, ou permettre à un tiers d'acheter ou de vendre, les données personnelles de mineurs (GBL section 899-ff(5)).
Lorsqu'un opérateur fait appel à un "sous-traitant" pour traiter les données de mineurs en son nom, il doit conclure un "accord écrit et contraignant" exigeant du sous-traitant qu'il ne traite les données de mineurs que conformément aux directives de l'opérateur ou à la loi, et qu'il aide l'opérateur à se conformer à la CDPA (GBL section 899-gg).
Lorsqu'un utilisateur mineur atteint l'âge de 18 ans ou plus, les protections de la vie privée prévues par la CDPA continuent de s'appliquer à toutes les données collectées lorsque l'utilisateur était mineur, à moins que l'opérateur ne reçoive un consentement éclairé pour un traitement supplémentaire (GBL section 899-hh).
Les opérateurs tiers - tels que l'opérateur d'un pixel ou d'une API qui collecte des données à partir d'un site web géré par un autre opérateur - sont traités comme des opérateurs en vertu de la CDPA et ne peuvent traiter les informations personnelles des mineurs qu'avec le consentement éclairé de l'utilisateur (s'il est âgé de 13 ans ou plus) ou de ses parents (s'il est âgé de moins de 13 ans), à trois exceptions près (article 899-jj du GBL) :
- lorsque les données sont strictement nécessaires à une finalité spécifiée dans la section 899-ff(2) de la GBL
- lorsque l'opérateur tiers "a reçu des déclarations écrites raisonnables de l'opérateur par l'intermédiaire duquel il collecte les données, selon lesquelles l'utilisateur a donné son consentement éclairé pour ce traitement"
- lorsqu'ils ne savent pas que l'utilisateur est mineur et qu'ils ne savent pas qu'ils collectent des données à partir d'un site web, d'un service en ligne, d'une application en ligne, d'une application mobile ou d'un appareil connecté, ou d'une partie de ceux-ci, qui s'adressent principalement à des mineurs.
Questions pour les commentaires du public
L'OAG publie cet ANPRM pour solliciter des commentaires, y compris des expériences personnelles, des recherches, des normes technologiques et des informations sur l'industrie qui aideront l'OAG à déterminer quelle réglementation sera la plus importante pour atteindre les objectifs de la CDPA. L'OAG souhaite une participation aussi large que possible au processus d'élaboration des règles et encourage toutes les parties intéressées à soumettre des commentaires écrits. En particulier, l'OAG demande aux parties intéressées - y compris les parents et les enfants de New York, les groupes de défense des consommateurs, les groupes de défense de la vie privée, les participants de l'industrie et d'autres membres du public - de faire part de leurs commentaires sur les questions suivantes. Veuillez fournir, le cas échéant, des exemples, des données et des analyses pour étayer vos commentaires.
La période de consultation de l'ANPRM est maintenant terminée.
- La loi sur la protection des données relatives aux enfants s'applique lorsque les opérateurs ont effectivement connaissance du fait qu'un utilisateur donné est mineur, ou lorsque les sites web ou les services en ligne des opérateurs sont "principalement destinés aux mineurs" (GBL section 899-ee(1)). Quels facteurs les règlements du BVG devraient-ils évaluer pour déterminer si un site web ou un service en ligne est principalement destiné aux mineurs ?
- Actuellement, le règlement d'application de la loi fédérale sur la protection de la vie privée des enfants en ligne (Children's Online Privacy Protection Act) détermine si un site web ou un service en ligne est "destiné à des enfants" de moins de 13 ans en se fondant sur les facteurs non exclusifs suivants : "le sujet, le contenu visuel, l'utilisation de personnages animés ou d'activités et d'incitations axées sur les enfants, la musique ou d'autres contenus audio, l'âge des mannequins, la présence d'enfants célèbres ou de célébrités qui attirent les enfants, la langue ou d'autres caractéristiques du site web ou du service en ligne, ainsi que la question de savoir si la publicité promouvant ou apparaissant sur le site web ou le service en ligne s'adresse aux enfants...". [et] prendre en considération les preuves empiriques compétentes et fiables concernant la composition du public et les preuves concernant le public visé" (16 CFR section 312.2). Les OAG devraient-ils évaluer un ensemble différent de facteurs lorsqu'ils évaluent ce qui est attrayant pour les mineurs de moins de 13 ans ? Pourquoi ou pourquoi pas ?
- Les intérêts des adolescents plus âgés sont susceptibles d'être largement identiques à ceux de nombreux adultes, de sorte que les sites web et les services en ligne destinés aux adultes présenteront également un intérêt significatif pour de nombreux adolescents plus âgés. Comment la réglementation du BVG devrait-elle garantir que les sites web et les services en ligne destinés aux adultes ne sont pas considérés comme "principalement destinés aux mineurs" sur la base de ce chevauchement d'intérêts ?
- Quels sont les facteurs à prendre en compte pour déterminer si des sites web ou des services en ligne s'adressent principalement à des mineurs ou à des adolescents plus âgés ?
- Quels sont les facteurs à prendre en compte pour déterminer si des sites web ou des services en ligne s'adressent principalement à des mineurs ou à de jeunes adolescents ?
- Les règlements du BVG devraient-ils prévoir des tests distincts pour les différents groupes d'âge, ou un test unique dont les facteurs s'étendent à tous les groupes d'âge ? Si les règlements doivent traiter les groupes d'âge différemment, comment et pourquoi ?
- Certains facteurs sont-ils plus pertinents que d'autres pour déterminer si un site web ou un service en ligne est principalement destiné aux mineurs ? Lesquels ? Pourquoi ? Existe-t-il des recherches ou des données qui montrent l'importance de ces facteurs ? Comment les règlements du BVG devraient-ils mettre l'accent sur ces facteurs ?
- La réglementation du BVG doit-elle traiter différemment les sites web ou les services en ligne qui s'adressent principalement aux mineurs en raison de changements indépendants de leur volonté - comme le fait que les mineurs sont attirés par de nouveaux types de contenu ou qu'un grand nombre de mineurs découvrent le service de manière indépendante - par rapport à ceux qui se sont toujours adressés principalement aux mineurs ou qui recherchaient des mineurs pour leur audience ?
- Que disent ou suggèrent les recherches actuelles sur le marketing, la psychologie du développement ou d'autres domaines quant aux types de contenus ou d'expériences qui attirent particulièrement les mineurs ? Que disent ou suggèrent les recherches actuelles sur les types de contenus ou d'expériences conçus principalement pour les mineurs ? Comment la recherche différencie-t-elle les mineurs d'âges ou de groupes d'âge différents ? Comment cette recherche devrait-elle être intégrée dans les règlements du BVG ?
- Quelles sont les autres lois, réglementations ou normes industrielles en vigueur qui permettent de déterminer si le matériel peut être destiné à des mineurs ? Ces règles imposent-elles des restrictions au ciblage des mineurs, quel que soit leur âge, ou ne s'appliquent-elles qu'à certains âges ou groupes d'âge ? Sur quoi se fondent-elles ? Dans quelle mesure ont-ils été efficaces pour capter le comportement empirique des mineurs ?
- Les obligations de la loi sur la protection des données de l'enfant comprennent les sites web ou les services en ligne, "ou des parties de ceux-ci", qui sont principalement destinés aux mineurs. La réglementation du BVG doit-elle établir une distinction entre les parties créées par un opérateur et celles créées par les utilisateurs du site web ou du service en ligne ? Si oui, comment ?
- Comment la réglementation du BVG concernant la définition des données à caractère personnel devrait-elle tenir compte des données anonymes ou dépersonnalisées qui pourraient encore être reliées à une personne spécifique (article 899-ee(4) de la GBL) ?
- La définition de "vente" de la CDPA inclut le partage de données à caractère personnel pour "une contrepartie monétaire ou d'une autre valeur" (article 899-ee(7) de la loi britannique sur les droits de l'homme). Existe-t-il des exemples d'échanges de données à caractère personnel entre opérateurs qui ne constituent pas une vente et qui devraient être explicitement mentionnés dans les règlements du BVG ?
- Quels facteurs le BVG doit-il prendre en compte pour définir le traitement "strictement nécessaire" pour être autorisé sans nécessiter de consentement spécifique ? N.Y. GBL sections 899-ff(1)(b), 899-ff(2).
- La CDPA permet aux opérateurs de traiter des données à caractère personnel sans avoir à obtenir le consentement de l'utilisateur lorsqu'ils "fournissent ou maintiennent un produit ou un service spécifique demandé par l'utilisateur concerné". GBL section 899-ff(2)(a). De nombreux services en ligne modernes regroupent des produits ou des services, ou incluent des produits ou des services auxiliaires en réponse à une demande de l'utilisateur : par exemple, une application culinaire peut afficher automatiquement les épiceries proches contenant les ingrédients appropriés lorsqu'un utilisateur recherche une recette, ce qui nécessite le traitement des informations de géolocalisation de l'utilisateur. Quels facteurs le BVG doit-il prendre en considération pour déterminer si les produits ou services groupés sont incorporés dans le "produit ou service demandé par l'utilisateur couvert" ?
- La CDPA autorise le traitement pour des "opérations commerciales internes". Existe-t-il des exemples de traitements autorisés dans le cadre d'opérations commerciales internes qui devraient être explicitement mentionnés dans les règlements du BVG ? Section 899-ff(2)(b) du GBL.
- La CDPA permet aux adolescents (mineurs âgés de 13 à 17 ans) de donner leur consentement éclairé au traitement en leur nom propre (GBL section 899-ff(3)). Quelles obligations les règlements du BVG devraient-ils préciser concernant la manière dont les opérateurs peuvent demander ce consentement éclairé ?
- Comment le BVG peut-il s'assurer que les adolescents reçoivent des avis qui les informent efficacement des risques, des coûts ou des avantages potentiels du traitement demandé ?
- Comment la réglementation du BVG concernant les demandes de consentement éclairé devrait-elle trouver un équilibre entre la fourniture aux utilisateurs des informations nécessaires et pertinentes et le fait de ne pas submerger les utilisateurs avec trop d'informations ou trop de choix ?
- Comment les règlements du BVG devraient-ils traiter les demandes de consentement éclairé à plusieurs types de traitement différents en même temps ou dans une courte succession ?
- Quelles méthodes les règlements du BVG devraient-ils spécifier comme pouvant ou devant être mises à disposition pour retirer le consentement éclairé lorsqu'il est donné ?
- Comment les réglementations de l'OAG peuvent-elles garantir que les demandes de consentement éclairé et les informations qui les accompagnent sont compréhensibles et efficaces pour les adolescents new-yorkais de toutes les communautés ?
- Quelles normes les règlements du BVG devraient-ils fixer pour les communications ou les signaux acceptables d'un appareil indiquant qu'un utilisateur est mineur ou qu'il consent ou refuse de consentir au traitement des données ? Articles 899-ff et 899-ii du GBL.
- Y a-t-il d'autres facteurs ou considérations liés à l'obtention du consentement éclairé que les règlements du BVG devraient prendre en compte ?
- Quelles méthodes les sites web, les services en ligne, les applications en ligne, les applications mobiles ou les dispositifs connectés utilisent-ils actuellement pour déterminer si une personne est le parent ou le tuteur légal d'un utilisateur donné ? Quels sont les coûts - pour le parent ou le site web, le service en ligne, l'application en ligne, l'application mobile ou l'appareil connecté - associés à ces méthodes ? Sur quelles informations s'appuient-ils ?
- Lorsqu'un dispositif indique qu'un utilisateur est âgé de moins de 13 ans conformément à la section 899-ii(1) de la GBL, comment les réglementations du BVG peuvent-elles garantir que toute communication consentant au traitement en vertu de la section 899-ii(2) de la GBL satisfait aux exigences en matière de consentement parental de la section 6502 du 15 U.S.C. et de ses réglementations d'application ?
- Quelles sont les méthodes les plus efficaces et les plus sûres qui existent actuellement pour toute forme d'obtention du consentement parental ?
- Y a-t-il d'autres facteurs ou considérations liés à l'obtention du consentement parental que les règlements du BVG devraient prendre en compte ?
[La loi SAFE for Kids confère également à l'OAG le pouvoir de "promulguer les règles et règlements nécessaires à la mise en œuvre et à l'application" de la loi. GBL section 1505.
[La loi autorise l'OAG à "promulguer les règles et règlements nécessaires pour appliquer et faire respecter les dispositions du présent article". GBL section 899-kk.
Comprendre le suivi des internautes pour assurer la sécurité de votre famille
Les sites web et les applications utilisent souvent des cookies et d'autres technologies pour générer des publicités personnalisées et suivre votre activité et celle de vos enfants. Nous avons créé ce guide pour vous aider à comprendre comment les entreprises peuvent vous surveiller, afin que vous puissiez mieux protéger votre vie privée.
Guide du consommateur sur le suivi des sites web
Protégez votre vie privée en contrôlant la manière dont les entreprises vous surveillent en ligne.