TRIBUNAL ADMINISTRATIF

DE PARIS

N° 2523204/5-3 RÉPUBLIQUE FRANÇAISE ___________

SOCIETE NKL ASSOCIATES SRO

___________ AU NOM DU PEUPLE FRANÇAIS

M. B… C…

Rapporteur

___________ Le Tribunal administratif de Paris

M. D… E…

(5ème Section – 3ème Chambre) Rapporteur public ___________

Audience du 10 octobre 2025 Décision du 15 octobre 2025

__________ 01-015-03-02 51-02-03 56-01 C

Vu la procédure suivante :

Par une requête et un mémoire, enregistrés les 8 août et 24 septembre 2025, la société NKL Associates SRO, représentée par la SCP Spinosi, avocat au Conseil d’Etat et à la Cour de cassation, demande au tribunal :

1°) d’annuler la décision n° 2025-561 du 1er août 2025 par laquelle l’autorité de régulation de la communication électronique (ARCOM) l’a mise en demeure de prendre toute mesure de nature à empêcher l’accès des mineurs à du contenu à caractère pornographique sur le service XNXX, dans un délai de trois semaines à compter de sa notification ;

2°) de mettre à la charge de l’Etat une somme de 4 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Elle soutient, dans le dernier état de ses écritures, que :

- irrégulièrement motivée au regard des articles 5 et 6 du décret n° 2024-1181 du 16 décembre 2024 faute d’indiquer le nom et la qualité de l’agent ayant procédé au contrôle qui a donné lieu au procès-verbal du 31 juillet 2025, la décision attaquée est entachée d’un vice de forme ;

- la décision attaquée, prise pour l’application de l’arrêté du 26 février 2025 qui, pris pour l’application des articles 10, 10-1 et 10-2 de la loi n° 2004-575 du 21 juin 2004 qui, méconnaissant les articles 35 et 56 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 (règlement sur les services numériques) en n’aménageant pas l’exclusion de leur champ d’application des très grandes plateformes en ligne, cet aménagement

N° 2523204 2

ayant été illégalement délégué à l’ARCOM, sont dépourvus de base légale, est dépourvu de base légale, est elle-même dépourvue de base légale ;

- la décision attaquée, prise pour l’application de l’arrêté du 26 février 2025 pris pour l’application des articles 10, 10-1 et 10-2 de la loi n° 2004-575 du 21 juin 2004 qui, méconnaissant les articles 35 et 56 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 qui confèrent une compétence exclusive à la Commission européenne pour adopter des mesures ciblées visant à la vérification de l’âge des utilisateurs de très grandes plateformes en ligne comme le site XNXX qu’elle édite, est entaché d’incompétence et d’erreur de droit, est dépourvue de base légale ;

- la décision attaquée, prise pour l’application de l’arrêté du 26 février 2025 pris pour l’application des articles 10, 10-1 et 10-2 de la loi n° 2004-575 du 21 juin 2004 qui, méconnaissant les articles 56 et 28 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 qui confèrent une compétence exclusive à l’Etat membre de l’Union européenne dans lequel se situe le fournisseur de service pour surveiller et faire respecter la mise en place par les plateformes en lignes accessibles aux mineurs des mesures appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service, est entaché d’incompétence et d’erreur de droit, est dépourvue de base légale ;

- la décision attaquée, prise pour l’application de l’arrêté du 26 février 2025 pris pour l’application des articles 10, 10-1 et 10-2 de la loi n° 2004-575 du 21 juin 2004 qui, méconnaissant les dispositions de l’article 1er du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 qui en fait un cadre normatif autosuffisant, est incompatible avec lui, est entachée d’incompétence et dépourvue de base légale ;

- la décision attaquée, prise pour l’application de l’arrêté du 26 février 2025 pris pour l’application des articles 10, 10-1 et 10-2 de la loi n° 2004-575 du 21 juin 2004 qui, présentant le caractère d’une décision individuelle défavorable constituant une mesure de police devant être motivée sur le fondement tant de l’article 41 de la charte des droits fondamentaux de l’Union européenne et de l’article 296 du traité sur le fonctionnement de l’Union européenne que de l’article L. 211-2 du code des relations entre le public et l’administration est, faute de motivation, illégal, est elle-même dépourvue de base légale et donc entachée d’illégalité ;

- la décision attaquée, prise pour l’application de l’arrêté du 26 février 2025 pris pour l’application des articles 10, 10-1 et 10-2 de la loi n° 2004-575 du 21 juin 2004 qui, édicté sans respecter la procédure prévue au point b du paragraphe 4 de l’article 3 de la directive du Parlement européen et du Conseil du 8 juin 2000 (directive sur le commerce électronique) et rappelée à l’article 10-2 de cette loi et sans viser les actes que cette disposition prévoit, est entachée d’un vice de procédure et d’un vice de forme, est elle-même dépourvue de base légale et entachée d’incompétence ;

- la décision attaquée, prise pour l’application de l’arrêté du 26 février 2025 qui, pris pour l’application des articles 10-1 de la loi n° 2004-575 du 21 juin 2004 et 227-24 du code pénal obligeant les fournisseurs à implémenter un contrôle de l’âge qui ne repose pas uniquement sur le principe déclaratif mais qui, également fondé sur l’article 10 et étendant son application de manière indivisible aux fournisseurs visés par la décision attaquée, même si elle ne vise que l’article 10-1, et les exigences énoncés par le référentiel adopté le 9 octobre 2024 par l’ARCOM sur son fondement, qui, aisément contournables par l’utilisation d’un VPN ne sont pas adaptées au but poursuivi, qui, au regard des dispositions législatives en vigueur permettant la vérification de l’âge des internautes, ne sont pas nécessaires pour atteindre ce but et qui, au regard de l’importance des risques qu’elles font porter aux utilisateurs en matière de vie privée, de cybersécurité et d’inclusion et aux fournisseurs en termes de coût, sont disproportionnées, méconnaît les dispositions de l’article 3 de la directive du Parlement européen et du Conseil du 8 juin 2000 et le principe de la libre circulation des services de la société de l’information, est elle-même dépourvue de base légale.

N° 2523204 3

Par des mémoires en défense, enregistrés les 12 et 26 septembre 2025, l’ARCOM, représentée par Gury et Maître, société d’avocats au Conseil d’Etat et à la Cour de cassation, conclut au rejet de la requête et à ce qu’il soit mis à la charge de la société NKL Associates SRO la somme de 3 000 euros en application de l’article L. 761-1 du code de justice administrative.

Elle soutient que les moyens soulevés par la société NKL Associates SRO ne sont pas fondés.

Vu les pièces du dossier.

Vu :

- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

- la charte des droits fondamentaux de l’Union européenne ;

- le traité sur le fonctionnement de l’Union européenne ;

- la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique ») ;

- la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010 visant à la coordination de certaines dispositions législatives, réglementaires et administratives des États membres relatives à la fourniture de services de médias audiovisuels (« directive services de médias audiovisuels » ou directive SMA), telle que modifiée par la directive (UE) 2018/1808 du Parlement européen et du Conseil du 14 novembre 2018 ;

- la directive (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d’information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l’information ;

- le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (« règlement sur les services numériques » ou RSN ou DSA) ;

- le code pénal ;

- le code des relations entre le public et l’administration ;

- la loi n° 86-1067 du 30 septembre 1986 ;

- la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique ;

- la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique ;

- le décret n° 2021-1306 du 7 octobre 2021 relatif aux modalités de mise en œuvre des mesures visant à protéger les mineurs contre l’accès à des sites diffusant un contenu pornographique ;

- le décret n° 2024-1181 du 16 décembre 2024 relatif à la procédure d’habilitation des agents de l’Autorité de régulation de la communication audiovisuelle et numérique et portant application des articles 6-8, 10-1 et 11 de la loi n° 2004-575 du 21 juin 2004 ;

- l’arrêté du 26 février 2025 désignant les services de communication au public en ligne et les services de plateforme de partage de vidéos établis dans un autre Etat membre de l’Union européenne soumis aux articles 10 et 10-1 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique ;

- la délibération n° 2024-20 du 9 octobre 2024 relative au référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l’âge mis en place pour l’accès à certains services de communication au public en ligne et aux plateformes de partage de vidéos qui mettent à disposition du public des contenus pornographiques ;

- le code de justice administrative.

N° 2523204 4

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :

- le rapport de M. C…, premier conseiller ;

- les conclusions de M. E…, rapporteur public ;

- les observations de M^e Spinosi, représentant la société NKL Associates SRO ;

- et les observations de M^e Gury, représentant l’ARCOM.

Une note en délibéré, présentée pour la société NKL Associates SRO, a été enregistrée le 10 octobre 2025.

Considérant ce qui suit :

Sur le cadre juridique national :

1. Aux termes de l’article 10 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, dans sa rédaction résultant du I de l’article 1 de la loi du 21 mai 2024 visant à réguler l’espace numérique : « I.- L’Autorité de régulation de la communication audiovisuelle et numérique veille à ce que les contenus pornographiques mis à la disposition du public par un éditeur de service de communication au public en ligne, sous sa responsabilité éditoriale, ou fournis par un service de plateforme de partage de vidéos, au sens de l’article 2 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, ne soient pas accessibles aux mineurs. / Elle établit et publie à cette fin, après avis de la Commission nationale de l’informatique et des libertés, un référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l’âge. Ces exigences portent sur la fiabilité du contrôle de l’âge des utilisateurs et sur le respect de leur vie privée. Ce référentiel est actualisé en tant que de besoin dans les mêmes conditions. L’Autorité de régulation de la communication audiovisuelle et numérique peut exiger des éditeurs et des fournisseurs de services mentionnés au premier alinéa du présent I qu’ils conduisent un audit des systèmes de vérification de l’âge qu’ils mettent en œuvre afin d’attester de la conformité de ces systèmes avec les exigences techniques définies par le référentiel. Ledit référentiel précise les modalités de réalisation et de publicité de cet audit, qui est confié à un organisme indépendant disposant d’une expérience avérée. / L’éditeur de service de communication au public en ligne et le fournisseur d’un service de plateforme de partage de vidéos mentionnés au même premier alinéa prévoient l’affichage d’un écran ne comportant aucun contenu à caractère pornographique tant que l’âge de l’utilisateur n’a pas été vérifié. / II.- L’Autorité de régulation de la communication audiovisuelle et numérique peut, le cas échéant après avis du président de la Commission nationale de l’informatique et des libertés, mettre en demeure les personnes mentionnées au premier alinéa du I qui permettent l’accès à un contenu pornographique de se conformer, dans un délai d’un mois, au référentiel mentionné au deuxième alinéa du même I. Elle rend publiques ces mises en demeure. / Lorsque la personne ne se conforme pas à la mise en demeure à l’expiration de ce délai, l’Autorité de régulation de la communication audiovisuelle et numérique peut, après avis de la Commission nationale de l’informatique et des libertés, prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 précitée. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / La sanction prononcée ne peut excéder 150 000 euros ou 2 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 300 000 euros ou à 4 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est

N° 2523204 5

devenue définitive. / (…) ». Aux termes du II de l’article 1 de la loi du 21 mai 2024 : « L’Autorité de régulation de la communication audiovisuelle et numérique établit et publie le référentiel mentionné au I de l’article 10 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, dans sa rédaction résultant de la présente loi, dans un délai de deux mois à compter de sa promulgation. Elle rend compte, dans le rapport d’activité mentionné au IV de l’article 10-1 de la loi n° 2004-575 du 21 juin 2004 précitée, des actualisations du référentiel et des audits des systèmes de vérification de l’âge mis en œuvre par les services concernés ». Aux termes du III du même article : « Les personnes mentionnées au I de l’article 10 de la loi n° 2004-575 du 21 juin 2004 précitée dont le service permet l’accès à des contenus pornographiques mettent en œuvre un système de vérification de l’âge conforme aux caractéristiques techniques du référentiel mentionné au même I dans un délai de trois mois à compter de la publication du référentiel par l’Autorité de régulation de la communication audiovisuelle et numérique ».

2. Aux termes de l’article 10-1 de la loi du 21 juin 2004, créé par l’article 2 de la loi du 21 mai 2024 : « I.- Lorsqu’une personne dont l’activité est de fournir un service de communication au public en ligne sous sa responsabilité éditoriale ou de fournir un service de plateforme de partage de vidéos permet à des mineurs d’avoir accès à un contenu pornographique en violation de l’article 227-24 du code pénal, l’Autorité de régulation de la communication audiovisuelle et numérique lui fait part de ses observations motivées par une lettre, remise par tout moyen propre à en établir la date de réception. A compter de la date de sa réception, le destinataire de cette lettre dispose d’un délai de quinze jours pour présenter ses observations. / A l’expiration de ce délai, l’Autorité de régulation de la communication audiovisuelle et numérique peut mettre en demeure la personne mentionnée au premier alinéa du présent I de prendre, dans un délai de quinze jours, toute mesure de nature à empêcher l’accès des mineurs à ces contenus. L’Autorité de régulation de la communication audiovisuelle et numérique rend publique cette mise en demeure. / II.- Lorsque la personne mentionnée au I ne se conforme pas à la mise en demeure à l’expiration du délai de quinze jours mentionné au second alinéa du même I, l’Autorité de régulation de la communication audiovisuelle et numérique peut prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / La sanction prononcée ne peut excéder 250 000 euros ou 4 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 500 000 euros ou à 6 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / (…) / III.- En cas d’inexécution de la mise en demeure prévue au I du présent article, l’Autorité de régulation de la communication audiovisuelle et numérique peut notifier aux fournisseurs de services d’accès à internet ou aux fournisseurs de systèmes de résolution de noms de domaine mentionnés au II de l’article 12, par tout moyen propre à en établir la date de réception, les adresses électroniques des services de communication au public en ligne ou des services de plateforme de partage de vidéos ayant fait l’objet de la procédure prévue au I du présent article ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle, et qui présentent les mêmes modalités d’accès. Ces fournisseurs doivent alors empêcher l’accès à ces adresses dans un délai de quarante-huit heures. Toutefois, en l’absence de mise à disposition des informations mentionnées aux I et II de l’article 1er-1, l’Autorité de régulation de la communication audiovisuelle et numérique peut procéder à la notification prévue au présent III sans avoir mis en œuvre la procédure prévue au I du présent article. / Les utilisateurs des services de communication au public en ligne et des services de plateforme de partage de vidéos auxquels l’accès est empêché

N° 2523204 6

sont avertis par une page d’information de l’Autorité de régulation de la communication audiovisuelle et numérique indiquant les motifs de la mesure de blocage. / L’Autorité de régulation de la communication audiovisuelle et numérique peut également notifier les adresses électroniques de ces services ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle, et qui présentent les mêmes modalités d’accès aux moteurs de recherche ou aux annuaires, lesquels disposent d’un délai de quarante-huit heures afin de faire cesser le référencement des services concernés. / Une copie des notifications adressées aux fournisseurs de services d’accès à internet, aux fournisseurs de systèmes de résolution de noms de domaine et aux moteurs de recherche ou aux annuaires est adressée simultanément à la personne dont l’activité est d’éditer le service de communication au public en ligne ou de fournir un service de plateforme de partage de vidéos concernée. / Les mesures prévues au présent III sont prononcées pour une durée maximale de deux ans. Leur nécessité est réévaluée, d’office ou sur demande, au moins une fois par an. Lorsque les faits mentionnés au premier alinéa du I ne sont plus constitués, l’Autorité de régulation de la communication audiovisuelle et numérique avise sans délai les destinataires des notifications prévues au présent III de la levée de ces mesures. / IV.- L’Autorité de régulation de la communication audiovisuelle et numérique rend public chaque année un rapport d’activité sur les conditions d’exercice et les résultats de son activité, qui précise notamment le nombre de décisions d’injonction, les suites qui y ont été données, les éventuelles décisions de justice prises sur les recours engagés contre ces décisions d’injonction et le nombre d’adresses électroniques qui ont fait l’objet d’une mesure de blocage d’accès ou de déréférencement. Ce rapport est remis au Gouvernement et au Parlement. / V.- Sans préjudice des articles L. 521-1 et L. 521-2 du code de justice administrative, les personnes mentionnées aux I à III du présent article peuvent demander au président du tribunal administratif ou au magistrat délégué par celui-ci l’annulation des mesures mentionnées aux mêmes I à III dans un délai de cinq jours à compter de leur réception. / Il est statué sur la légalité de la mesure de blocage ou de déréférencement dans un délai d’un mois à compter de la saisine. L’audience est publique. / Les jugements rendus en application des deux premiers alinéas du présent V sont susceptibles d’appel dans un délai de dix jours à compter de leur notification. Dans ce cas, la juridiction d’appel statue dans un délai de trois mois à compter de sa saisine. / VI.- Pour tout manquement aux obligations définies au III du présent article, l’Autorité de régulation de la communication audiovisuelle et numérique peut prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 précitée. / Toutefois, aucune sanction ne peut être prononcée lorsque, en raison de motifs de force majeure ou d’impossibilité de fait qui ne lui sont pas imputables, la personne concernée est placée dans l’impossibilité de respecter l’obligation qui lui a été faite ou, lorsque la procédure prévue au V du présent article a été engagée, tant qu’elle n’a pas fait l’objet d’une décision devenue définitive. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / Le montant de la sanction ne peut excéder la somme de 75 000 euros ou 1 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 150 000 euros ou à 2 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / (…) / VII.- Les agents de l’Autorité de régulation de la communication audiovisuelle et numérique peuvent, s’ils ont été spécialement habilités à cet effet par l’autorité et assermentés dans les conditions prévues au 2° du I de l’article 19 de la loi n° 86-1067 du 30 septembre 1986 précitée, constater par procès-verbal qu’un service de communication au public en ligne ou un service de plateforme de partage de vidéos permettant l’accès à des contenus pornographiques ne met pas en œuvre un système de vérification de l’âge conforme aux exigences techniques minimales du référentiel mentionné à l’article 10 de la présente loi ou permet à des mineurs d’avoir accès à un contenu pornographique en violation de l’article 227-24

N° 2523204 7

du code pénal. / VIII.- Les conditions d’application du présent article sont précisées par décret en Conseil d’Etat ».

3. Aux termes de l’article 10-2 de la loi du 21 juin 2004, créé par l’article 2 de la loi du 21 mai 2024 : « I.- Les articles 10 et 10-1 s’appliquent aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos établis en France ou hors de l’Union européenne. / II.- Lorsque les conditions mentionnées au a du paragraphe 4 de l’article 3 de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique ») sont remplies et au terme de la procédure prévue au b du paragraphe 4 ou, le cas échéant, au paragraphe 5 du même article 3, les articles 10 et 10-1 de la présente loi s’appliquent également aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos établis dans un autre Etat membre de l’Union européenne, trois mois après la publication de l’arrêté conjoint du ministre chargé de la culture et de la communication et du ministre chargé du numérique les désignant. L’Autorité de régulation de la communication audiovisuelle et numérique peut proposer aux ministres la désignation de ces personnes et fournit à l’appui tous les éléments de nature à justifier sa proposition. L’arrêté est pris après avis de l’Autorité de régulation de la communication audiovisuelle et numérique, sauf lorsqu’il fait suite à une proposition de l’Autorité portant sur chacun des fournisseurs désignés par cet arrêté ».

4. Aux termes de l’article 227-24 du code pénal, tel que modifié par la loi n° 2020-936 du 30 juillet 2020 qui transcrit en cela une jurisprudence constante de la Cour de cassation : « Le fait soit de fabriquer, de transporter, de diffuser par quelque moyen que ce soit et quel qu’en soit le support un message à caractère (…) pornographique (…) soit de faire commerce d’un tel message, est puni de trois ans d’emprisonnement et de 75 000 euros d’amende lorsque ce message est susceptible d’être vu ou perçu par un mineur. / (…) / Les infractions prévues au présent article sont constituées y compris si l’accès d’un mineur aux messages mentionnés au premier alinéa résulte d’une simple déclaration de celui-ci indiquant qu’il est âgé d’au moins dix-huit ans ».

5. Il résulte de ces dispositions combinées qu’un fournisseur de service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos ne peut pas permettre à un mineur d’avoir accès à un contenu pornographique, y compris si cet accès résulte d’une simple déclaration du mineur indiquant qu’il est âgé d’au moins dix-huit ans. Lorsque le prestataire ne se conforme pas au référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l’âge établi par l’ARCOM, cette autorité peut, en application de l’article 10 de la loi du 21 juin 2004, mettre en demeure le fournisseur de se conformer dans un délai d’un mois à ce référentiel, sous peine de se voir infliger une sanction pécuniaire. En outre, lorsque l’accès des mineurs aux contenus pornographiques proposés par le fournisseur est caractérisé en violation de l’article 227-24 du code pénal, l’ARCOM peut, en application de l’article 10-1 de la loi du 21 juin 2004, faire part de ses observations motivées au fournisseur qui dispose d’un délai de quinze jours pour lui répondre puis le mettre en demeure de prendre toute mesure autre qu’une simple déclaration d’âge par l’utilisateur de nature à empêcher l’accès des mineurs à ces contenus dans un nouveau délai de quinze jours, sous peine de se voir infliger une sanction pécuniaire. Il en résulte également qu’en cas d’inexécution de la mise en demeure adressée au fournisseur d’un service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos qui permet à des mineurs d’avoir accès à un contenu pornographique en méconnaissance de l’article 227-24 du code pénal, l’ARCOM peut demander en outre aux

N° 2523204 8

fournisseurs de services d’accès à internet ou de systèmes de résolution de noms de domaine d’empêcher l’accès à l’adresse électronique de ce service pour une durée maximale de deux ans, dans un délai de quarante-huit heures, sous peine de se voir infliger eux-mêmes une sanction pécuniaire. Les agents habilités et assermentés de l’ARCOM constatent par procès-verbal qu’un prestataire ne met pas en œuvre un système de vérification de l’âge conforme aux exigences techniques minimales du référentiel mentionné à l’article 10 ou permet à des mineurs d’avoir accès à un contenu pornographique en méconnaissance de l’article 227-24 du code pénal. Ces dispositions s’appliquent aux fournisseurs de service de communication au public en ligne ou de plateforme de partage de vidéos établis en France ou hors de l’Union européenne. Elles ne s’appliquent à ceux établis dans un autre Etat membre de l’Union européenne qu’après qu’ils ont été individuellement désignés par un arrêté conjoint du ministre chargé de la culture et de la communication et du ministre chargé du numérique pris sur proposition ou avis de l’ARCOM et après l’expiration d’un délai de trois mois à compter de la publication de cet arrêté.

6. Par un arrêté du 26 février 2025, la ministre de la culture et la ministre déléguée auprès du ministre de l’économie, des finances et de la souveraineté industrielle et numérique, chargée de l’intelligence artificielle et du numérique, ont désigné, en application de l’article 10-2 de la loi du 21 juin 2024, dix-sept services de communication au public en ligne et de plateforme de partage de vidéos dont le fournisseur est établi dans un autre Etat membre de l’Union européenne auxquels s’appliqueront les dispositions des article 10 et 10-1 de la même loi, au nombre desquels figure le service de plateforme de partage de vidéos XNXX fourni par la société requérante.

Sur les conclusions à fin d’annulation :

7. Par la décision n° 2025-561 du 1er août 2025 dont la société NKL Associates SRO, établie en République tchèque, demande l’annulation, l’ARCOM l’a mise en demeure de prendre toute mesure de nature à empêcher l’accès des mineurs à du contenu à caractère pornographique sur le service XNXX, dans un délai de trois semaines à compter de sa notification.

En ce qui concerne le moyen tiré du vice de forme :

8. S’il résulte des dispositions de l’article 5 du décret du 16 décembre 2024 relatif à la procédure d’habilitation des agents de l’ARCOM et portant application des articles 6-8, 10-1 et 11 de la loi n° 2004-575 du 21 juin 2004 que le procès-verbal par lequel un agent de l’ARCOM constate, en application du VII de l’article 10-1 de la loi du 21 juin 2004, qu’un service de communication au public en ligne ou un service de plateforme de partage de vidéos permettant l’accès à des contenus pornographiques permet à des mineurs d’avoir accès à un contenu pornographique en violation de l’article 227-24 du code pénal doit comporter le nom, la qualité et la signature de l’agent ayant procédé au contrôle et des dispositions de l’article 6 du même décret que la lettre d’observations motivée et la mise en demeure adressées par l’ARCOM, en application du I de l’article 10-1 de la même loi, au fournisseur d’un service de communication au public en ligne ou d’un service de plateforme de partage de vidéos doivent exposer les faits relevés et les raisons pour lesquelles ils contreviennent à l’article 227-24 du code pénal, ni ces dispositions ni aucune autre n’imposent que la mise en demeure mentionne le nom et la qualité de l’agent ayant procédé au contrôle. Par suite, l’absence de cette mention dans la mise en demeure est sans incidence sur sa régularité en la forme. Dès lors, le moyen tiré du vice de forme de la décision attaquée au regard des articles 5 et 6 du décret du 16 décembre 2024 est inopérant et doit être écarté.

N° 2523204 9

En ce qui concerne les moyens tirés, par voie d’exception, de l’incompatibilité des articles 10, 10-1 et 10-2 de la loi du 21 juin 2004 et de l’arrêté du 26 février 2025 avec le droit de l’Union européenne :

S’agissant du cadre juridique européen :

9. Aux termes de l’article 1er de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique ») : « 1. La présente directive a pour objectif de contribuer au bon fonctionnement du marché intérieur en assurant la libre circulation des services de la société de l’information entre les États membres. / 2. La présente directive rapproche, dans la mesure nécessaire à la réalisation de l’objectif visé au paragraphe 1, certaines dispositions nationales applicables aux services de la société de l’information et qui concernent le marché intérieur, l’établissement des prestataires, les communications commerciales, les contrats par voie électronique, la responsabilité des intermédiaires, les codes de conduite, le règlement extrajudiciaire des litiges, les recours juridictionnels et la coopération entre États membres ». Aux termes de l’article 2 de la même directive : « Aux fins de la présente directive, on entend par : / a) « services de la société de l’information » : les services au sens de l’article 1er, paragraphe 2, de la directive 98/34/CE, telle que modifiée par la directive 98/48/CE ; /(…) / h) « domaine coordonné » : les exigences prévues par les systèmes juridiques des États membres et applicables aux prestataires des services de la société de l’information ou aux services de la société de l’information, qu’elles revêtent un caractère général ou qu’elles aient été spécifiquement conçues pour eux. / i) Le domaine coordonné a trait à des exigences que le prestataire doit satisfaire et qui concernent : / – l’accès à l’activité d’un service de la société de l’information, telles que les exigences en matière de qualification, d’autorisation ou de notification, / – l’exercice de l’activité d’un service de la société de l’information, telles que les exigences portant sur le comportement du prestataire, la qualité ou le contenu du service, y compris en matière de publicité et de contrat, ou sur la responsabilité du prestataire ». Aux termes de l’article 3 de ladite directive : « 1. Chaque État membre veille à ce que les services de la société de l’information fournis par un prestataire établi sur son territoire respectent les dispositions nationales applicables dans cet État membre relevant du domaine coordonné. / 2. Les États membres ne peuvent, pour des raisons relevant du domaine coordonné, restreindre la libre circulation des services de la société de l’information en provenance d’un autre État membre. / (…) / 4. Les États membres peuvent prendre, à l’égard d’un service donné de la société de l’information, des mesures qui dérogent au paragraphe 2 si les conditions suivantes sont remplies : / a) les mesures doivent être : / i) nécessaires pour une des raisons suivantes :

- l’ordre public, en particulier la prévention, les investigations, la détection et les poursuites en matière pénale, notamment la protection des mineurs et la lutte contre l’incitation à la haine pour des raisons de race, de sexe, de religion ou de nationalité et contre les atteintes à la dignité de la personne humaine, / – la protection de la santé publique, / – la sécurité publique, y compris la protection de la sécurité et de la défense nationales, / – la protection des consommateurs, y compris des investisseurs ; / ii) prises à l’encontre d’un service de la société de l’information qui porte atteinte aux objectifs visés au point i) ou qui constitue un risque sérieux et grave d’atteinte à ces objectifs ; / iii) proportionnelles à ces objectifs ; / b) l’État membre a préalablement et sans préjudice de la procédure judiciaire, y compris la procédure préliminaire et les actes accomplis dans le cadre d’une enquête pénale : / – demandé à l’État membre visé au paragraphe 1 de prendre des mesures et ce dernier n’en a pas pris ou elles n’ont pas été suffisantes, / – notifié à la Commission et à l’État membre visé au paragraphe 1 son intention de prendre de telles mesures. (…) ».

N° 2523204 10

10. Par son arrêt du 9 novembre 2023, Google Ireland Limited, Meta Platforms Ireland Limited, Tik Tok Technology Limited c/ Kommunikationsbehörde Austria (KommAustria) (C-376/22), la Cour de justice de l’Union européenne a retenu, aux paragraphes 42 à 44 de cet arrêt, que « la directive 2000/31 repose (…) sur l’application des principes de contrôle dans l’État membre d’origine et de la reconnaissance mutuelle, de telle sorte que, dans le cadre du domaine coordonné défini à l’article 2, sous h), de cette directive, les services de la société de l’information sont réglementés dans le seul État membre sur le territoire duquel les prestataires de ces services sont établis », pour en déduire que « par conséquent, d’une part, il incombe à chaque État membre en tant qu’État membre d’origine de services de la société de l’information de réglementer ces services et, à ce titre, de protéger les objectifs d’intérêt général mentionnés à l’article 3, paragraphe 4, sous a), i), de la directive 2000/31 » et que « d’autre part, conformément au principe de reconnaissance mutuelle, il appartient à chaque État membre, en tant qu’État membre de destination de services de la société de l’information, de ne pas restreindre la libre circulation de ces services en exigeant le respect d’obligations supplémentaires, relevant du domaine coordonné, qu’il aurait adoptées ». La Cour a, pour ces motifs, dit pour droit que « l’article 3, paragraphe 4, de la directive 2000/31/CE (…) doit être interprété en ce sens que des mesures générales et abstraites visant une catégorie de services donnés de la société de l’information décrite en des termes généraux et s’appliquant indistinctement à tout prestataire de cette catégorie de services ne relèvent pas de la notion de « mesures prises à l’encontre d’un service donné de la société de l’information », au sens de cette disposition ».

11. Aux termes de l’article 1er de la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010, telle que modifiée par la directive (UE) 2018/1808 du Parlement européen et du Conseil du 14 novembre 2018 visant à la coordination de certaines dispositions législatives, réglementaires et administratives des États membres relatives à la fourniture de services de médias audiovisuels (« directive services de médias audiovisuels » ou directive SMA) : « 1. Aux fins de la présente directive, on entend par : / a) « service de médias audiovisuels » : / i) un service (…) pour lequel l’objet principal du service (…) est la fourniture de programmes au grand public, sous la responsabilité éditoriale d’un fournisseur de services de médias (…) ; un tel service de médias audiovisuels est soit une émission télévisée (…), soit un service de médias audiovisuels à la demande (…) ; / (…) / a bis) « service de plateformes de partage de vidéos » : un service (…) pour lequel l’objet principal du service (…) est la fourniture au grand public de programmes, de vidéos créées par l’utilisateur, ou des deux, qui ne relèvent pas de la responsabilité éditoriale du fournisseur de la plateforme de partage de vidéos (…) ; / (…) ». Aux termes de l’article 6 bis de la même directive : « 1. Les États membres prennent les mesures appropriées pour garantir que les services de médias audiovisuels fournis par des fournisseurs de services de médias relevant de leur compétence qui pourraient nuire à l’épanouissement physique, mental ou moral des mineurs ne soient mis à disposition que dans des conditions telles que les mineurs ne puissent normalement pas les entendre ni les voir. Ces mesures peuvent comprendre le choix de l’heure de l’émission, l’utilisation d’outils permettant de vérifier l’âge ou d’autres mesures techniques. Elles sont proportionnées au préjudice que pourrait causer le programme. / Les contenus les plus préjudiciables, tels que la pornographie et la violence gratuite, font l’objet des mesures les plus strictes. / (…) ». Aux termes de l’article 28 bis de la même directive : « 1. Aux fins de la présente directive, un fournisseur de plateformes de partage de vidéos établi sur le territoire d’un État membre au sens de l’article 3, paragraphe 1, de la directive 2000/31/CE relève de la compétence dudit État membre. / (…) ». Aux termes de l’article 28 ter de cette directive : « 1. Sans préjudice des articles 12 à 15 de la directive 2000/31/CE, les États membres veillent à ce que les fournisseurs de plateformes de partage de vidéos relevant de leur compétence prennent les mesures appropriées pour protéger : / a) les mineurs des programmes, vidéos créées par l’utilisateur et communications commerciales

N° 2523204 11

audiovisuelles susceptibles de nuire à leur épanouissement physique, mental ou moral, conformément à l’article 6 bis, paragraphe 1 ; (…) / 3. Aux fins de l’application des paragraphes 1 et 2, les mesures appropriées sont déterminées en prenant en considération la nature du contenu en question, le préjudice qu’il pourrait causer, les caractéristiques de la catégorie des personnes à protéger ainsi que les droits et les intérêts légitimes en jeu, y compris ceux des fournisseurs de plateformes de partage de vidéos et ceux des utilisateurs qui ont créé le contenu ou l’ont mis en ligne, ainsi que l’intérêt public général. / Les États membres veillent à ce que tous les fournisseurs de plateformes de partage de vidéos relevant de leur juridiction appliquent ces mesures. Ces mesures sont réalisables et proportionnées, compte tenu de la taille du service de plateformes de partage de vidéos et de la nature du service fourni. (…) Aux fins de la protection des mineurs prévue au paragraphe 1, point a), du présent article, les contenus les plus préjudiciables sont soumis aux mesures de contrôle d’accès les plus strictes. / Ces mesures consistent, selon ce qui est approprié, à : / a) inclure et appliquer, dans les conditions des services de plateformes de partage de vidéos, les exigences visées au paragraphe 1 ; / (…) / f) mettre en place et utiliser des systèmes permettant de vérifier l’âge des utilisateurs des plateformes de partage de vidéos en ce qui concerne les contenus susceptibles de nuire à l’épanouissement physique, mental ou moral des mineurs ; / (…) ». Aux termes de l’article 89 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 : « 1. Les articles 12 à 15 de la directive 2000/31/CE sont supprimés. / 2. Les références aux articles 12 à 15 de la directive 2000/31/CE s’entendent comme étant faites respectivement aux articles 4, 5, 6 et 8 du présent règlement ».

12. Aux termes de l’article 1er du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (« règlement sur les services numériques » ou RSN ou DSA) : « 1. Le présent règlement a pour objectif de contribuer au bon fonctionnement du marché intérieur des services intermédiaires en établissant des règles harmonisées pour un environnement en ligne sûr, prévisible et fiable qui facilite l’innovation et dans lequel les droits fondamentaux consacrés par la Charte, y compris le principe de protection des consommateurs, sont efficacement protégés. / Le présent règlement établit des règles harmonisées applicables à la fourniture de services intermédiaires au sein du marché intérieur. En particulier, il établit : / a) un cadre pour l’exemption conditionnelle de responsabilité des fournisseurs de services intermédiaires ; / b) des règles relatives à des obligations de diligence spécifiques, adaptées à certaines catégories spécifiques de fournisseurs de services intermédiaires ; / c) des règles relatives à la mise en œuvre et à l’exécution du présent règlement, y compris en ce qui concerne la coopération et la coordination entre les autorités compétentes ». Aux termes de l’article 2 du même règlement : « (…) / 2. Le présent règlement ne s’applique pas aux services qui ne sont pas des services intermédiaires ou aux exigences imposées à l’égard de tels services, que ces services soient ou non fournis par le biais d’un service intermédiaire. / 3. Le présent règlement n’a pas d’incidence sur l’application de la directive 2000/31/CE. / 4. Le présent règlement s’entend sans préjudice des règles établies par d’autres actes juridiques de l’Union régissant d’autres aspects de la fourniture de services intermédiaires dans le marché intérieur ou précisant et complétant le présent règlement, en particulier les actes suivants : / a) la directive 2010/13/UE ; (…) ». Aux termes de l’article 3 dudit règlement : « Aux fins du présent règlement, on entend par : / b) « destinataire du service » : toute personne physique ou morale utilisant un service intermédiaire, notamment pour rechercher une information ou la rendre accessible; / g) « service intermédiaire » : un des services de la société de l’information suivants : / (…) / iii) un service d'«hébergement», consistant à stocker des informations fournies par un destinataire du service à sa demande ; / h) « contenu illicite » : toute information qui, en soi ou par rapport à une activité, y compris la vente de produits ou la fourniture de services, n’est pas conforme au droit de l’Union ou au droit d’un État membre qui est conforme au droit de

N° 2523204 12

l’Union, quel que soit l’objet précis ou la nature précise de ce droit ; / i) « plateforme en ligne » : un service d’hébergement qui, à la demande d’un destinataire du service, stocke et diffuse au public des informations (…) ; / (…) ». Aux termes de l’article 6 de ce règlement : « 1. En cas de fourniture d’un service de la société de l’information consistant à stocker des informations fournies par un destinataire du service, le fournisseur de services n’est pas responsable des informations stockées à la demande d’un destinataire du service à condition que le fournisseur : / a) n’ait pas effectivement connaissance de l’activité illégale ou du contenu illicite et, en ce qui concerne une demande en dommages et intérêts, n’ait pas conscience de faits ou de circonstances selon lesquels l’activité illégale ou le contenu illicite est apparent ; ou / b) dès le moment où il en prend connaissance ou conscience, agisse promptement pour retirer le contenu illicite ou rendre l’accès à celui-ci impossible. (…) / 4. Le présent article n’affecte pas la possibilité, pour une autorité judiciaire ou administrative, conformément au système juridique d’un État membre, d’exiger du fournisseur de services qu’il mette fin à une infraction ou qu’il prévienne une infraction ». Aux termes de l’article 8 de ce règlement : « Les fournisseurs de services intermédiaires ne sont soumis à aucune obligation générale de surveiller les informations qu’ils transmettent ou stockent ou de rechercher activement des faits ou des circonstances révélant des activités illégales ». Aux termes de l’article 9 de ce règlement : « 1. Dès réception d’une injonction d’agir contre un ou plusieurs éléments spécifiques de contenu illicite, émise par les autorités judiciaires ou administratives nationales compétentes sur la base du droit de l’Union ou du droit national conforme au droit de l’Union applicable, le fournisseur de services intermédiaires informe dans les meilleurs délais l’autorité qui a émis l’injonction, ou toute autre autorité spécifiée dans l’injonction, de la suite éventuelle donnée à l’injonction, en précisant si et quand une suite a été donnée à l’injonction. / (…) 5. Au plus tard lorsqu’une suite est donnée à l’injonction ou, le cas échéant, au moment indiqué par l’autorité d’émission dans son injonction, les fournisseurs de services intermédiaires informent le destinataire du service concerné de l’injonction reçue et de la suite qui lui est donnée. (…) / (…) ». Aux termes de l’article 28 de ce règlement : « 1. Les fournisseurs de plateformes en ligne accessibles aux mineurs mettent en place des mesures appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service. / (…) / 4. La Commission (…) peut publier des lignes directrices pour aider les fournisseurs de plateformes en ligne à appliquer le paragraphe 1 ». Aux termes de l’article 33 de ce règlement : « 1. La présente section s’applique aux plateformes en ligne et aux moteurs de recherche en ligne qui ont un nombre mensuel moyen de destinataires actifs du service dans l’Union égal ou supérieur à 45 millions, et qui sont désignés comme des très grandes plateformes en ligne ou des très grands moteurs de recherche en ligne en vertu du paragraphe 4. / (…) / 4. La Commission (…) adopte une décision désignant comme une très grande plateforme en ligne (…) aux fins du présent règlement la plateforme en ligne (…) dont le nombre mensuel moyen de destinataires actifs du service est égal ou supérieur au nombre visé au paragraphe 1 du présent article. (…) / 6. La Commission notifie, sans retard injustifié, les décisions qu’elle prend en vertu des paragraphes 4 et 5 au fournisseur de la plateforme en ligne (…) concerné, au comité et au coordinateur pour les services numériques de l’État membre d’établissement. / La Commission veille à ce que la liste des très grandes plateformes en ligne (…) désignés soit publiée au Journal officiel de l’Union européenne et tient cette liste à jour. Les obligations établies dans la présente section s’appliquent ou cessent de s’appliquer aux très grandes plateformes en ligne (…) concernés quatre mois après la notification adressée au fournisseur concerné visée au premier alinéa ». Aux termes de l’article 34 de ce règlement : « 1. Les fournisseurs de très grandes plateformes en ligne (…) recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l’Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, y compris des systèmes algorithmiques, ou de l’utilisation faite de leurs services. / (…) Cette évaluation des risques est spécifique à leurs services et proportionnée aux risques systémiques, de la gravité et de la

N° 2523204 13

probabilité desquels elle tient compte, et comprend les risques systémiques suivants : / a) la diffusion de contenus illicites par l’intermédiaire de leurs services ; / (…) / d) tout effet négatif réel ou prévisible lié aux violences sexistes et à la protection de la santé publique et des mineurs et les conséquences négatives graves sur le bien-être physique et mental des personnes. / 2. Lorsqu’ils procèdent à des évaluations des risques, les fournisseurs de très grandes plateformes en ligne (…) examinent notamment si et comment les facteurs suivants influencent les risques systémiques visés au paragraphe 1 et en tiennent compte : / (…) / c) les conditions générales applicables et leur mise en application ; / (…) ». Aux termes de l’article 35 de ce règlement : « 1. Les fournisseurs de très grandes plateformes en ligne (…) mettent en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés conformément à l’article 34, en tenant compte en particulier de l’incidence de ces mesures sur les droits fondamentaux. Ces mesures peuvent inclure, le cas échéant : / j) l’adoption de mesures ciblées visant à protéger les droits de l’enfant, y compris la vérification de l’âge et des outils de contrôle parental (…) ; / (…) / 3. La Commission (…) peut publier des lignes directrices sur l’application du paragraphe 1 par rapport à des risques spécifiques, notamment en vue de présenter les bonnes pratiques et de recommander des mesures possibles, en tenant dûment compte des conséquences possibles des mesures sur les droits fondamentaux de toutes les parties concernées consacrés dans la Charte. (…) ». Aux termes de l’article 56 de ce règlement : « 1. L’État membre dans lequel se situe l’établissement principal du fournisseur de services intermédiaires dispose de pouvoirs exclusifs pour surveiller et faire respecter le présent règlement, à l’exception des pouvoirs prévus aux paragraphes 2, 3 et 4. / 2. La Commission dispose de pouvoirs exclusifs pour surveiller et faire respecter le chapitre III, section 5 [relative aux obligations supplémentaires de gestion des risques systémiques imposées aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne et comprenant les articles 33 à 43]. / 3. La Commission dispose de pouvoirs pour surveiller et faire respecter le présent règlement, autres que ceux fixés au chapitre III, section 5, à l’encontre des fournisseurs de très grandes plateformes en ligne (…). / 4. Lorsque la Commission n’a pas engagé de procédure pour la même infraction, l’État membre dans lequel se situe l’établissement principal du fournisseur de très grandes plateformes en ligne (…) dispose, à l’encontre desdits fournisseurs, de pouvoirs pour surveiller et faire respecter les obligations fixées dans le présent règlement, autres que ceux fixés au chapitre III, section 5. / (…) ».

S’agissant de l’incompatibilité des articles 10, 10-1 et 10-2 de la loi du 21 juin 2004 et de l’arrêté du 26 février 2025 avec l’article 1er du règlement (UE) 2022/2065 :

13. Il résulte des dispositions précitées des articles 1 à 3 du règlement (UE) 2022/2065 du 19 octobre 2022 que ce règlement, s’il a pour objectif de contribuer au bon fonctionnement du marché intérieur des services intermédiaires en établissant des règles harmonisées applicables à la fourniture de ces services au sein du marché intérieur, comme les plateformes de vidéos en ligne dont les fournisseurs sont établis dans un Etat membre de l’UE, n’a pas d’incidence sur l’application de la directive 2000/31/CE et s’entend sans préjudice des règles établies par d’autres actes juridiques de l’Union régissant d’autres aspects de la fourniture de services intermédiaires dans le marché intérieur, notamment par la directive 2010/13/UE. Par suite, le législateur et le pouvoir réglementaire pouvaient adopter des dispositions législatives et règlementaires sur le fondement de ces directives, notamment de l’article 3 de la directive 2000/31/CE et de l’article 28 ter de la directive 2010/13/UE, sans nécessairement méconnaître les dispositions de l’article 1er et l’objectif de ce règlement.

N° 2523204 14

S’agissant de l’incompatibilité des articles 10, 10-1 et 10-2 de la loi du 21 juin 2004 et de l’arrêté du 26 février 2025 avec l’article 3 de la directive 2000/31/CE du 8 juin 2000 :

14. En premier lieu, d’une part, les mises en demeure attaquées n’ont pas été prises sur le fondement de l’article 227-24 du code pénal qui se borne à définir et réprimer une infraction sans prévoir, contrairement à ce que soutient la société requérante, l’obligation pour les fournisseurs de services de la société de l’information proposant des contenus pornographiques de mettre en place un dispositif de nature à empêcher l’accès des mineurs à ces contenus mais sur celui de l’article 10-2 de la loi du 21 juin 2004 et de l’arrêté du 26 février 2025 pris pour son application et désignant les sociétés susceptibles de faire l’objet d’une mise en demeure de prendre toute mesure de nature à empêcher l’accès des mineurs à ces contenus, qui instituent ce dispositif. Par suite, la circonstance que l’article 227-24 du code pénal constitue une mesure générale et abstraite visant une catégorie de services donnés de la société de l’information décrite en des termes généraux et s’appliquant indistinctement à tout prestataire de cette catégorie de services, incompatible avec le paragraphe 4 de l’article 3 de la directive sur le commerce électronique qui ne permet de prendre que des mesures précises et ciblées à l’encontre d’un service donné de la société de l’information, n’est pas utilement invoquée. Pour le même motif, et contrairement à ce que soutient la société requérante, l’article 227-24 du code pénal n’avait pas à être notifié à la Commission européenne ni, en tout état de cause, à la République tchèque. Dès lors, le moyen tiré, par voie d’exception, de l’incompatibilité de l’article 277-24 du code pénal avec l’article 3 de la directive 2000/31/CE du 8 juin 2000 doit être écarté. D’autre part, si la société NKL Associates SRO fait valoir qu’il appartient au tribunal de statuer sur la question de la compatibilité de l’article 10-1 de la loi du 21 juin 2004 avec les dispositions de cette directive en l’absence de réponse de la Cour de justice de l’Union européenne aux questions préjudicielles relatives à la compatibilité de certaines dispositions aujourd’hui abrogées de l’article 23 de la loi du 30 juillet 2020 visant à protéger les victimes de violences conjugales et du décret du 7 octobre 2021 relatif aux modalités de mise en œuvre des mesures visant à protéger les mineurs contre l’accès à des sites diffusant un contenu pornographique pris sur leur fondement avec la directive 2000/31/CE que le Conseil d’Etat lui a transmises par sa décision avant dire droit n^os 461193 et 461195 du 6 mars 2024 alors que la décision attaquée est fondée sur les dispositions, postérieures, du II de l’article 10-2 de la loi du 21 juin 2004, issues de la loi du 21 mai 2024 et notifiées à la Commission européenne en application de la directive (UE) 2015/1535 du 9 septembre 2015, par lesquelles le législateur a entendu organiser, en vue de l’application éventuelle des dispositions des articles 10 et 10-1 de la même loi à des fournisseurs de services donnés de la société de l’information établis dans d’autres États membres de l’Union européenne, le recours à la possibilité de déroger au principe de la compétence du pays d’origine prévue par les paragraphes 4 et 5 de l’article 3 de la même directive, cette demande n’est, en tout état de cause, pas assortie des précisions permettant d’en apprécier la portée et le bien-fondé.

15. En deuxième lieu, par la décision attaquée, prise d’ailleurs au visa des seuls articles 10-1 et 10-2 de la loi du 21 juin 2004 et non pas également de son article 10, l’ARCOM se borne à mettre la société NKL Associates SRO en demeure, en application de l’article 10-1 qui lui a été rendu applicable, en application de l’article 10-2, par l’arrêté du 26 février 2025, de prendre toute mesure de nature à empêcher l’accès des mineurs à du contenu à caractère pornographique sur le service XNXX et non de se conformer, en application de l’article 10, et alors même que celui-ci lui a aussi été rendu applicable par l’arrêté du 26 février 2025, au référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l’âge qu’elle a, en application du même article, établi et publié par sa délibération du 9 octobre 2024. Par suite, le moyen tiré, par voie d’exception, de l’incompatibilité de l’arrêté du 26 février 2025 avec le point a du paragraphe 4 de l’article 3 de la directive 2000/31/CE du 8 juin 2000 au motif que ce référentiel ne serait pas adapté, nécessaire et proportionné à

N° 2523204 15

l’objectif de protection des mineurs est en tout état de cause inopérant. A supposer que les critiques formulées à l’encontre du référentiel de l’ARCOM le soient également pour démontrer que la mise en demeure attaquée n’est pas adaptée et proportionnée à l’objectif de protection des mineurs, il ressort des pièces du dossier qu’alors même que les dispositifs visant à empêcher l’accès des mineurs à des contenus pornographiques peuvent être contournés et ne sont pas imposés à toutes les plateformes de partage de vidéos et que certains mineurs trouveront le moyen d’accéder aux plateformes concernées ou à d’autres sites, ces dispositifs, qui ont au demeurant vocation à être étendu aux autres sites ayant ou acquérant une certaine visibilité, en rendant plus difficile la consultation de contenus pornographiques par les mineurs ou au moins par une grande partie d’entre eux, contribuent toutefois efficacement à cet objectif et y sont ainsi adaptés. Il en ressort également qu’il sont complémentaires aux mécanismes de blocage d’accès au niveau de l’appareil comme les dispositifs de blocage parental, dont l’efficacité n’est pas démontrée, et sont ainsi nécessaires pour l’atteindre, tant que la Commission européenne n’a pas mis en œuvre les pouvoirs que lui confèrent les dispositions de l’article 56 du règlement (UE) 2022/2065 du 19 octobre 2022 pour faire respecter les obligations de gestion des risques systémiques spécifiquement imposées aux fournisseurs de très grandes plateformes en ligne par les dispositions de l’article 35 de ce règlement. Enfin si la société NKL Associates SRO, d’une part, se prévaut des risques pour la vie privée et la sécurité des utilisateurs générés par les technologies actuelles de vérification de l’âge, elle n’établit pas qu’il n’existerait aucune technologie disponible sur le marché permettant d’assurer à la fois la vérification fiable de l’âge des utilisateurs et la protection de leur vie privée et de leurs données, alors au demeurant que les détenteurs de données personnelles sont soumis au respect des autres dispositions du droit de l’Union, notamment du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données ou RGPD, et, d’autre part, affirme que la mise en œuvre d’un dispositif de vérification de l’âge est extrêmement coûteuse et conduira à une baisse de la fréquentation de sa plateforme et partant de son chiffre d’affaires, elle ne produit aucune donnée chiffrée de nature à démontrer que la mise en œuvre d’un tel dispositif exigerait pour elle, au regard par ailleurs des profits générés par son activité, des sacrifices insupportables. Par suite, il ne ressort pas des pièces du dossier que la mise en demeure attaquée est disproportionnée à l’objectif de protection des mineurs qu’elle poursuit.

16. En troisième lieu, d’une part, l’arrêté du 26 février 2025 se borne, en application de l’article 10-2 de la loi du 21 juin 2004, à rendre applicable notamment à la société NKL Associates SRO les dispositions de l’article 10-1 de la même loi sans prendre à son égard une quelconque mesure dérogeant au paragraphe 2 de l’article 3 de la directive 2000/31/CE et ainsi ne restreint pas par lui-même la libre circulation d’un service de l’information en provenance d’un autre Etat membre. Par suite, il n’avait pas à être précédé d’une demande à cet Etat de prendre des mesures et du constat que ce dernier n’en a pas pris ou qu’elles n’ont pas été suffisantes. Dès lors, le moyen tiré, par voie d’exception, de ce que la procédure d’adoption de l’arrêté du 26 février 2025 a méconnu les dispositions du point b du paragraphe 4 de l’article 3 de la directive 2000/31/CE est inopérant. En tout état de cause, il ressort des pièces du dossier que, par un courrier du 19 décembre 2024, les autorités françaises ont demandé à la République tchèque de prendre des mesures afin d’empêcher l’accès des mineurs français à trois services diffusant des contenus pornographiques établis sur son territoire, dont le service XNXX fourni par la société NKL Associates SRO, que le ministre tchèque de l’industrie et du commerce y a répondu par un courrier du 24 janvier 2025 et que les autorités françaises, estimant les mesures annoncées insuffisantes, l’ont informé par un courrier du 6 février 2025 qu’en conséquence, les dispositions des articles 10 et 10-1 seraient étendues à ces trois services. Il en ressort également que les autorités tchèques se sont seulement engagées à ce que le conseil tchèque de la

N° 2523204 16

radiodiffusion et de la télévision réexamine le comportement des entreprises énumérées dans le courrier des autorités françaises et à ce que, s’il parvenait à la même conclusion qu’elles sur l’absence d’un système approprié de vérification de l’âge, il entamerait des négociations directes avec ces entreprises pour remédier au problème, mesures non contraignantes que les autorités françaises pouvaient regarder comme insuffisantes. Par suite, le moyen tiré, par voie d’exception, de ce que la procédure d’adoption de l’arrêté du 26 février 2025 a méconnu les dispositions du point b du paragraphe 4 de l’article 3 de la directive 2000/31/CE manque en fait. D’autre part, ces dispositions n’imposent pas à l’Etat membre qui les met en œuvre de viser ces actes de procédure. Par suite, le moyen tiré, par voie d’exception, de ce que l’arrêté du 26 février 2025 est entaché d’un vice de forme est inopérant. Il résulte de ce qui précède que le moyen tiré, par voie d’exception, de ce que l’arrêté du 26 février 2025 méconnaît les dispositions du point b du paragraphe 4 de l’article 3 de la directive 2000/31/CE du 8 juin 2000 doit être écarté.

S’agissant de l’incompatibilité des articles 10, 10-1 et 10-2 de la loi du 21 juin 2004 et de l’arrêté du 26 février 2025 avec les articles 35 et 56 du règlement (UE) 2022/2065 du 19 octobre 2022 :

17. Les dispositions précitées des articles 34 et 35 du règlement (UE) 2022/2065 prévoient que les fournisseurs de très grandes plateformes en ligne recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l’Union européenne découlant de la conception, du fonctionnement ou de l’utilisation faite de leurs services, évaluation spécifique à leurs services et proportionnée à ces risques, à leur gravité et à leur probabilité, notamment le risque systémique d’effets négatifs réels ou prévisibles liés à la protection des mineurs, et mettent en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées à ces risques, notamment des mesures ciblées visant à protéger les droits de l’enfant, y compris la vérification de l’âge, la Commission européenne pouvant publier des lignes directrices par rapport à des risques spécifiques, notamment en vue de présenter les bonnes pratiques et de recommander des mesures possibles, ce qu’elle n’a d’ailleurs pas fait sur ce fondement. L’article 28 ter de la directive 2010/13/UE prévoit déjà de telles mesures à la charge des fournisseurs de plateforme de partage de vidéos et confie la surveillance de leur mise en œuvre aux Etats membres de la compétence desquels relève ces fournisseurs, soit les Etats membres dans lesquels ils sont établis, conformément au principe de la compétence exclusive du pays d’origine pour réglementer les services de la société de l’information posé par le paragraphe 2 de l’article 3 de la directive 2000/31/CE. Pour sa part, l’article 56 du règlement (UE) 2022/2065 réaffirme en son paragraphe 1 ce principe pour les obligations imposées par ce règlement aux services intermédiaires, notamment aux plateformes en ligne, tout en prévoyant en son paragraphe 2 une exception au bénéfice de la Commission européenne pour les obligations supplémentaires de gestion des risques systémiques imposées aux fournisseurs de très grandes plateformes en ligne. Ce règlement n’ayant pas d’incidence sur l’application de la directive 2000/31/CE et s’entendant sans préjudice des règles établies par la directive 2010/13/UE, cet article doit être regardé comme ayant pour seul objet d’organiser cette exception et comme n’ayant ni pour objet ni pour effet d’interdire la mise en œuvre de la dérogation prévue par le paragraphe 4 de l’article 3 de la directive 2000/31/CE au profit des autres Etats membres quand les conditions qu’il pose sont remplies. Par suite, les moyens tirés, par voie d’exception, de la méconnaissance par les articles 10, 10-1 et 10-2 de la loi du 21 juin 2024 des articles 35 et 56 du règlement (UE) 2022/2065 du 19 octobre 2022 faute d’avoir exclus de leur champ d’application les très grandes plateformes en ligne et du vice d’incompétence et de l’erreur de droit entachant l’arrêté interministériel du 26 février 2025 pour avoir été pris en méconnaissance de la compétence de la Commission européenne doivent être écartés.

N° 2523204 17

S’agissant de l’incompatibilité des articles 10, 10-1 et 10-2 de la loi du 21 juin 2004 avec les articles 28 et 56 du règlement (UE) 2022/2065 du 19 octobre 2022 :

18. Les dispositions de l’article 28 du règlement (UE) 2022/2065 du 19 octobre 2022 imposent aux seuls fournisseurs de plateformes en ligne accessibles aux mineurs de mettre en place des mesures appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service et permettent à la Commission européenne de publier des lignes directrices pour les aider à les déterminer. Par suite, elles ne sont pas applicables aux plateformes en ligne de partage de vidéos pornographiques, dont les conditions d’utilisation interdisent l’accès aux mineurs. Dès lors, le moyen tiré, par voie d’exception, de la méconnaissance par les articles 10, 10-1 et 10-2 de la loi du 21 juin 2024 de l’article 56 du règlement (UE) 2022/2065 du 19 octobre 2022 en ce qu’il organise la répartition des compétences pour faire appliquer ces dispositions est inopérant et doit être écarté.

S’agissant du moyen tiré, par voie d’exception, du défaut de motivation de l’arrêté du 26 février 2025 :

19. En désignant la plateforme de partage de vidéos XNXX dans l’arrêté du 26 février 2025, les ministres chargées de la culture et de la communication et du numérique se sont bornées, en application des dispositions de l’article 10-2 de la loi du 21 juin 2004, à rendre applicable à la société NKL Associates SRO les articles 10 et 10-1 de cette loi et le paragraphe 4 de l’article 3 de la directive 2000/31/ CE du 8 juin 2000. Par suite, cet arrêté ne présente pas le caractère d’une décision administrative individuelle défavorable alors même qu’il ouvre la possibilité pour l’ARCOM de prendre, trois mois après sa publication, une telle décision. Dès lors, le moyen tiré, par voie d’exception, du défaut de motivation de l’arrêté du 26 février 2025 au regard de l’article 41 de la charte des droits fondamentaux de l’Union européenne et de l’article 296 du traité sur le fonctionnement de l’Union européenne et de l’article L. 211-2 du code des relations entre le public et l’administration au motif qu’il présente le caractère d’une décision administrative individuelle défavorable constituant une mesure de police est inopérant et doit être écarté.

20. Il résulte de tout ce qui précède que la société NKL Associates SRO n’est pas fondée à soutenir que la mise en demeure de l’ARCOM du 1er août 2025 est illégale et à en demander l’annulation.

Sur les frais liés au litige :

21. Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce que soit mise à la charge de l’Etat, qui n’est pas dans la présente instance la partie perdante, la somme demandée par la société NKL Associates SRO au titre des frais exposés par elle et non compris dans les dépens. Il n’y a pas lieu, dans les circonstances de l’espèce, de mettre à la charge de la société NKL Associates SRO la somme demandée par l’ARCOM au même titre.

D E C I D E :

Article 1er : La requête de la société NKL Associates SRO est rejetée.

N° 2523204 18

Article 2 : Les conclusions présentées par l’ARCOM sur le fondement de l’article L. 761-1 du code de justice administrative sont rejetées.

Article 3 : Le présent jugement sera notifié à la société NKL Associates SRO et à l’autorité de régulation de la communication électronique (ARCOM).

Une copie en sera adressée, pour information, à la ministre de la culture.

Délibéré après l’audience du 10 octobre 2025, à laquelle siégeaient :

M^me F…, présidente, M. C…, premier conseiller, M. G…, premier conseiller.

Rendu public par mise à disposition au greffe le 15 octobre 2025.

Le rapporteur,

La présidente,

B. C…

S. F…

La greffière,

A. J…

La République mande et ordonne à la ministre de la culture en ce qui la concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution du présent jugement.