Ce qui a changé
Depuis le 15 septembre 2026 la CNPD traite comme urgents trois types de signalement portant sur les données personnelles d'enfants et de jeunes. L'annonce date du 17 septembre. Le canal ne remplace pas la notification de violation de données de l'article 33 du RGPD, ne remplace pas les formulaires généraux de réclamation et n'est pas une interprétation du droit : c'est une autre manière de travailler de l'autorité.
La première chose à saisir est le sens, car c'est lui qui détermine s'il y a quelque chose à faire. Le canal ne crée aucune obligation nouvelle pour le responsable du traitement : c'est un outil entre les mains des citoyens, fait pour signaler et non pour notifier. Ce qui change, pour qui traite des données de mineurs, n'est pas une tâche de plus. C'est la vitesse à laquelle un signalement le concernant parvient à l'autorité et est pris en charge.
- Accès indu aux données de mineurs.
- Collecte et diffusion d'images ou d'enregistrements au contenu sensible ou violent, sans consentement.
- Publicité ciblant les mineurs.
Le canal peut être utilisé par les enfants et les jeunes eux-mêmes, et par tout citoyen qui constate le partage illicite de ces contenus. Il n'est pas nécessaire d'être la personne concernée ni le parent : il suffit de le voir. Ce choix élargit considérablement le cercle de ceux qui peuvent ouvrir un dossier.
Ce que la CNPD déclare pouvoir faire une fois le signalement reçu pèse plus que le canal lui-même : adopter des mesures urgentes pour limiter la diffusion illicite en ligne de contenus mettant gravement en péril droits et libertés ; communiquer les informations aux autorités publiques compétentes, notamment judiciaires ; et, en cas de traitement transfrontalier, transmettre les données aux autorités de l'Espace économique européen via le système IMI. Ce dernier point explique pourquoi la nouvelle ne concerne pas que le Portugal : un responsable italien ou espagnol traitant des données de mineurs peut se retrouver dans un échange IMI ouvert par un signalement portugais.
Là où l'on se trompe
La présence de mineurs parmi les personnes concernées par un traitement ne suffit pas à dire que cette nouvelle le vise. Si cela suffisait, l'école, le pédiatre, le club sportif et la colonie s'allumeraient ensemble, et le DPO cesserait de lire les alertes. Ce qui compte est l'opération concrète : prises de vue et photographies d'enfants, plateformes utilisées par des mineurs, publicité comportementale avec des mineurs parmi les destinataires, accès aux données de mineurs ouverts à des profils trop larges.
En pratique, pour chaque client traitant des données de mineurs, mieux vaut relire le registre en cherchant ces opérations plutôt que le mot « mineurs ». Là où elles existent, ce qui mérite d'être consigné est bref : que l'applicabilité du canal a été appréciée, la date, la référence de la CNPD et l'éventuel renvoi. Le formulaire officiel se remplit sur le site de l'autorité et ne doit pas être reproduit ailleurs, ne serait-ce que parce qu'il comporte un captcha et refuse certains caractères : une copie diverge au premier ajustement. Les preuves se conservent en accès restreint, sans dupliquer les contenus sensibles plus que nécessaire.
Les deux voies peuvent coexister
Dans une affaire impliquant des données de mineurs, le Canal Prioritário et la notification de violation de l'article 33 du RGPD peuvent s'appliquer en même temps. Le premier est un signalement qui parvient à l'autorité de l'extérieur ; la seconde est une obligation du responsable. Ils ne s'excluent ni ne se remplacent.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement