Vu la procédure suivante :

Par une requête et un mémoire, enregistrés les 1er et 27 avril 2026, la société Cloudflare, Inc., représentée par M^es Marc Schuler et Julie Dumontet, avocats, demande au tribunal :

1°) à titre principal, d’annuler la décision du 27 mars 2026 par laquelle l’autorité de régulation de la communication électronique (ARCOM) lui a notifié l’adresse électronique https://xgroovy.com/ afin qu’elle empêche l’accès au service xgroovy.com dans un délai de quarante­huit heures pour une durée de deux ans ;

2°) à titre subsidiaire, de surseoir à statuer et de saisir la Cour de justice de l’Union européenne de la question préjudicielle suivante : les dispositions du Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques, et en particulier son article 28 et son article 51, doivent-elles être interprétées en ce sens qu’un Etat membre tel que la B… peut adopter et/ou maintenir des dispositions (i) qui imposent à des fournisseurs de plateformes en ligne de mettre en œuvre un mécanisme de contrôle de l’âge de leurs utilisateurs et d’empêcher l’accès à leurs services aux utilisateurs mineurs et (ii) permettre d’ordonner des mesures de restriction d’accès à une plateforme en ligne qui ne respecterait pas cette obligation dans des conditions autres que celles posées à l’article 51 du Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques ?

3°) de mettre à la charge de l’Etat une somme de 5 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Elle soutient, dans le dernier état de ses écritures, que :

- la décision attaquée est insuffisamment motivée ;

- constituant une règle technique qui n’a pas été notifiée à la Commission européenne conformément à la directive (UE) 2015/1535 du 9 septembre 2015, l’obligation de vérification de l’âge des utilisateurs imposée aux plateformes de partage de vidéos pornographiques découlant de l’article 227-24 du code pénal et de l’article 10-1 de la loi du 21 juin 2004 ne lui est pas opposable et ne peut constituer le fondement de la décision attaquée ;

- l’obligation faite aux fournisseurs de plateforme de partage de vidéos pornographiques d’implémenter un mécanisme de vérification de l’âge des utilisateurs constitue une exigence nationale supplémentaire prohibée, concernant une matière relevant du champ d’application du règlement (UE) 2022/2065 du 19 octobre 2022, lequel harmonise pleinement les règles applicables aux services intermédiaires dans le marché intérieur, notamment définies à son article 28 concernant les plateformes de partage de vidéos en ligne normalement accessibles aux mineurs, la B… ne disposant pas à ce titre d’une compétence transitoire qu’il n’appartient pas à la Commission européenne de lui accorder et ne pouvant fonder cette obligation sur la directive 2010/13/UE du 10 mars 2010 ;

- en prévoyant que l’obligation de vérification de l’âge prévue par les dispositions des articles 10 et 10-1 de la loi du 21 juin 2004 s’applique aux opérateurs établis en B… ou hors de l’Union européenne et qu’elle n’est applicable aux opérateurs établis dans un autre Etat membre de l’Union européenne que si certaines conditions sont remplies et s’ils ont été désignés par un arrêté conjoint du ministre chargé de la culture et de la communication et du ministre chargé du numérique, l’article 10-2 de cette loi méconnaît les principes d’égalité et de non­discrimination garantis par les articles 20 et 21 de la charte des droits fondamentaux de l’Union européenne, méconnaissance qui ne saurait être justifiée par les dispositions de la directive 2000//31/CE du Parlement européen et du Conseil du 8 juin 2000 ;

- en prévoyant une injonction de blocage sous forme d’une obligation de résultat, une sanction pouvant aller jusqu’à 1% du chiffre d’affaires mondial hors taxe réalisé au cours de l’exercice précédent si le fournisseur de systèmes de résolution de noms de domaine ne parvient pas à atteindre ce résultat et qu’il ne peut échapper à une sanction que s’il a été confronté à un cas de force majeure ou à une impossibilité de fait qui ne lui est pas imputable, et en ne lui laissant pas le choix des mesures à prendre pour y parvenir, l’article 10-1 de la loi du 21 juin 2004 porte atteinte à la liberté d’entreprise et méconnaît le principe de proportionnalité, garantis par les articles 16 et 52 de la charte des droits fondamentaux de l’Union européenne ;

- le contenu pornographique accessible via le site xgroovy.com n’étant pas par nature illicite, le blocage prévu par l’article 10-1 de la loi du 21 juin 2004 au seul motif que le site n’implémente pas un mécanisme de vérification de l’âge et, qui plus est, pour une durée de deux ans, constitue une atteinte disproportionnée à la liberté d’expression garantie par l’article 10 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

- en lui imposant de prendre une mesure qu’elle n’a pas les moyens techniques d’implémenter compte tenu des contraintes et caractéristiques de son service DNS et des infrastructures sur lesquelles il repose, la décision attaquée porte une atteinte caractérisée à sa liberté d’entreprendre ;

- n’incluant aucune mention quant à la portée territoriale de la mesure qu’elle ordonne et ne la limitant pas au territoire français, la décision attaquée n’est pas conforme à l’article 9 du règlement (UE) 2022/2065 du 19 octobre 2022.

Par un mémoire en défense, enregistré le 10 avril 2026, l’ARCOM, représentée par son président, conclut au rejet de la requête.

Elle soutient que les moyens soulevés par la société Cloudflare, Inc. ne sont pas fondés.

Vu les pièces du dossier.

Vu :

- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

- la charte des droits fondamentaux de l’Union européenne ;

- le traité sur le fonctionnement de l’Union européenne ;

- la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 ;

- la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010, telle que modifiée par la directive (UE) 2018/1808 du Parlement européen et du Conseil du 14 novembre 2018 ;

- la directive (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 ;

- le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 ;

- le code civil ;

- le code pénal ;

- le code des relations entre le public et l’administration ;

- la loi n° 86-1067 du 30 septembre 1986 ;

- la loi n° 2004-575 du 21 juin 2004 ;

- la loi n° 2024-449 du 21 mai 2024 ;

- le décret n° 2021-1306 du 7 octobre 2021 ;

- le décret n° 2024-1181 du 16 décembre 2024 ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :

- le rapport de M. Julinet, premier conseiller ;

- les conclusions de M. Medjahed, rapporteur public ;

- et les observations de M^e Dumontet, représentant la société Cloudflare, Inc.

Considérant ce qui suit :

Sur le cadre juridique national :

1. A… termes de l’article 10 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, dans sa rédaction résultant du I de l’article 1er de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique : « I.- L’Autorité de régulation de la communication audiovisuelle et numérique veille à ce que les contenus pornographiques mis à la disposition du public par un éditeur de service de communication au public en ligne, sous sa responsabilité éditoriale, ou fournis par un service de plateforme de partage de vidéos, au sens de l’article 2 de la loi n° 86­1067 du 30 septembre 1986 relative à la liberté de communication, ne soient pas accessibles aux mineurs. / Elle établit et publie à cette fin, après avis de la Commission nationale de l’informatique et des libertés, un référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l’âge. Ces exigences portent sur la fiabilité du contrôle de l’âge des utilisateurs et sur le respect de leur vie privée. Ce référentiel est actualisé en tant que de besoin dans les mêmes conditions. L’Autorité de régulation de la communication audiovisuelle et numérique peut exiger des éditeurs et des fournisseurs de services mentionnés au premier alinéa du présent I qu’ils conduisent un audit des systèmes de vérification de l’âge qu’ils mettent en œuvre afin d’attester de la conformité de ces systèmes avec les exigences techniques définies par le référentiel. Ledit référentiel précise les modalités de réalisation et de publicité de cet audit, qui est confié à un organisme indépendant disposant d’une expérience avérée. / L’éditeur de service de communication au public en ligne et le fournisseur d’un service de plateforme de partage de vidéos mentionnés au même premier alinéa prévoient l’affichage d’un écran ne comportant aucun contenu à caractère pornographique tant que l’âge de l’utilisateur n’a pas été vérifié. / II.- L’Autorité de régulation de la communication audiovisuelle et numérique peut, le cas échéant après avis du président de la Commission nationale de l’informatique et des libertés, mettre en demeure les personnes mentionnées au premier alinéa du I qui permettent l’accès à un contenu pornographique de se conformer, dans un délai d’un mois, au référentiel mentionné au deuxième alinéa du même I. Elle rend publiques ces mises en demeure. / Lorsque la personne ne se conforme pas à la mise en demeure à l’expiration de ce délai, l’Autorité de régulation de la communication audiovisuelle et numérique peut, après avis de la Commission nationale de l’informatique et des libertés, prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86­1067 du 30 septembre 1986 précitée. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / La sanction prononcée ne peut excéder 150 000 euros ou 2 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 300 000 euros ou à 4 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / (…) ». A… termes du II de l’article 1er de la loi du 21 mai 2024 : « L’Autorité de régulation de la communication audiovisuelle et numérique établit et publie le référentiel mentionné au I de l’article 10 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, dans sa rédaction résultant de la présente loi, dans un délai de deux mois à compter de sa promulgation. Elle rend compte, dans le rapport d’activité mentionné au IV de l’article 10-1 de la loi n° 2004-575 du 21 juin 2004 précitée, des actualisations du référentiel et des audits des systèmes de vérification de l’âge mis en œuvre par les services concernés ». A… termes du III du même article : « Les personnes mentionnées au I de l’article 10 de la loi n° 2004­575 du 21 juin 2004 précitée dont le service permet l’accès à des contenus pornographiques mettent en œuvre un système de vérification de l’âge conforme aux caractéristiques techniques du référentiel mentionné au même I dans un délai de trois mois à compter de la publication du référentiel par l’Autorité de régulation de la communication audiovisuelle et numérique ».

2. A… termes de l’article 10-1 de la loi du 21 juin 2004, créé par l’article 2 de la loi du 21 mai 2024 : « I.- Lorsqu’une personne dont l’activité est de fournir un service de communication au public en ligne sous sa responsabilité éditoriale ou de fournir un service de plateforme de partage de vidéos permet à des mineurs d’avoir accès à un contenu pornographique en violation de l’article 227-24 du code pénal, l’Autorité de régulation de la communication audiovisuelle et numérique lui fait part de ses observations motivées par une lettre, remise par tout moyen propre à en établir la date de réception. A compter de la date de sa réception, le destinataire de cette lettre dispose d’un délai de quinze jours pour présenter ses observations. / A l’expiration de ce délai, l’Autorité de régulation de la communication audiovisuelle et numérique peut mettre en demeure la personne mentionnée au premier alinéa du présent I de prendre, dans un délai de quinze jours, toute mesure de nature à empêcher l’accès des mineurs à ces contenus. L’Autorité de régulation de la communication audiovisuelle et numérique rend publique cette mise en demeure. / II.- Lorsque la personne mentionnée au I ne se conforme pas à la mise en demeure à l’expiration du délai de quinze jours mentionné au second alinéa du même I, l’Autorité de régulation de la communication audiovisuelle et numérique peut prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86­1067 du 30 septembre 1986 relative à la liberté de communication. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / La sanction prononcée ne peut excéder 250 000 euros ou 4 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 500 000 euros ou à 6 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / (…) / III.- En cas d’inexécution de la mise en demeure prévue au I du présent article, l’Autorité de régulation de la communication audiovisuelle et numérique peut notifier aux fournisseurs de services d’accès à internet ou aux fournisseurs de systèmes de résolution de noms de domaine mentionnés au II de l’article 12, par tout moyen propre à en établir la date de réception, les adresses électroniques des services de communication au public en ligne ou des services de plateforme de partage de vidéos ayant fait l’objet de la procédure prévue au I du présent article ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle, et qui présentent les mêmes modalités d’accès. Ces fournisseurs doivent alors empêcher l’accès à ces adresses dans un délai de quarante-huit heures. Toutefois, en l’absence de mise à disposition des informations mentionnées aux I et II de l’article 1er-1, l’Autorité de régulation de la communication audiovisuelle et numérique peut procéder à la notification prévue au présent III sans avoir mis en œuvre la procédure prévue au I du présent article. / Les utilisateurs des services de communication au public en ligne et des services de plateforme de partage de vidéos auxquels l’accès est empêché sont avertis par une page d’information de l’Autorité de régulation de la communication audiovisuelle et numérique indiquant les motifs de la mesure de blocage. / L’Autorité de régulation de la communication audiovisuelle et numérique peut également notifier les adresses électroniques de ces services ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle, et qui présentent les mêmes modalités d’accès aux moteurs de recherche ou aux annuaires, lesquels disposent d’un délai de quarante-huit heures afin de faire cesser le référencement des services concernés. / Une copie des notifications adressées aux fournisseurs de services d’accès à internet, aux fournisseurs de systèmes de résolution de noms de domaine et aux moteurs de recherche ou aux annuaires est adressée simultanément à la personne dont l’activité est d’éditer le service de communication au public en ligne ou de fournir un service de plateforme de partage de vidéos concernée. / Les mesures prévues au présent III sont prononcées pour une durée maximale de deux ans. Leur nécessité est réévaluée, d’office ou sur demande, au moins une fois par an. Lorsque les faits mentionnés au premier alinéa du I ne sont plus constitués, l’Autorité de régulation de la communication audiovisuelle et numérique avise sans délai les destinataires des notifications prévues au présent III de la levée de ces mesures. / IV.- L’Autorité de régulation de la communication audiovisuelle et numérique rend public chaque année un rapport d’activité sur les conditions d’exercice et les résultats de son activité, qui précise notamment le nombre de décisions d’injonction, les suites qui y ont été données, les éventuelles décisions de justice prises sur les recours engagés contre ces décisions d’injonction et le nombre d’adresses électroniques qui ont fait l’objet d’une mesure de blocage d’accès ou de déréférencement. Ce rapport est remis au Gouvernement et au Parlement. / V.­ Sans préjudice des articles L. 521-1 et L. 521-2 du code de justice administrative, les personnes mentionnées aux I à III du présent article peuvent demander au président du tribunal administratif ou au magistrat délégué par celui-ci l’annulation des mesures mentionnées aux mêmes I à III dans un délai de cinq jours à compter de leur réception. / Il est statué sur la légalité de la mesure de blocage ou de déréférencement dans un délai d’un mois à compter de la saisine. L’audience est publique. / Les jugements rendus en application des deux premiers alinéas du présent V sont susceptibles d’appel dans un délai de dix jours à compter de leur notification. Dans ce cas, la juridiction d’appel statue dans un délai de trois mois à compter de sa saisine. / VI.- Pour tout manquement aux obligations définies au III du présent article, l’Autorité de régulation de la communication audiovisuelle et numérique peut prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 précitée. / Toutefois, aucune sanction ne peut être prononcée lorsque, en raison de motifs de force majeure ou d’impossibilité de fait qui ne lui sont pas imputables, la personne concernée est placée dans l’impossibilité de respecter l’obligation qui lui a été faite ou, lorsque la procédure prévue au V du présent article a été engagée, tant qu’elle n’a pas fait l’objet d’une décision devenue définitive. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / Le montant de la sanction ne peut excéder la somme de 75 000 euros ou 1 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 150 000 euros ou à 2 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / (…) / VII.- Les agents de l’Autorité de régulation de la communication audiovisuelle et numérique peuvent, s’ils ont été spécialement habilités à cet effet par l’autorité et assermentés dans les conditions prévues au 2° du I de l’article 19 de la loi n° 86-1067 du 30 septembre 1986 précitée, constater par procès-verbal qu’un service de communication au public en ligne ou un service de plateforme de partage de vidéos permettant l’accès à des contenus pornographiques ne met pas en œuvre un système de vérification de l’âge conforme aux exigences techniques minimales du référentiel mentionné à l’article 10 de la présente loi ou permet à des mineurs d’avoir accès à un contenu pornographique en violation de l’article 227-24 du code pénal. / VIII.- Les conditions d’application du présent article sont précisées par décret en Conseil d’Etat ».

3. A… termes de l’article 10-2 de la loi du 21 juin 2004, créé par l’article 2 de la loi du 21 mai 2024 : « I.- Les articles 10 et 10-1 s’appliquent aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos établis en B… ou hors de l’Union européenne. / II.- Lorsque les conditions mentionnées au a du paragraphe 4 de l’article 3 de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique ») sont remplies et au terme de la procédure prévue au b du paragraphe 4 ou, le cas échéant, au paragraphe 5 du même article 3, les articles 10 et 10-1 de la présente loi s’appliquent également aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos établis dans un autre Etat membre de l’Union européenne, trois mois après la publication de l’arrêté conjoint du ministre chargé de la culture et de la communication et du ministre chargé du numérique les désignant. L’Autorité de régulation de la communication audiovisuelle et numérique peut proposer aux ministres la désignation de ces personnes et fournit à l’appui tous les éléments de nature à justifier sa proposition. L’arrêté est pris après avis de l’Autorité de régulation de la communication audiovisuelle et numérique, sauf lorsqu’il fait suite à une proposition de l’Autorité portant sur chacun des fournisseurs désignés par cet arrêté ».

4. A… termes de l’article 227-24 du code pénal, tel que modifié par la loi n° 2020-936 du 30 juillet 2020 qui transcrit en cela une jurisprudence constante de la Cour de cassation : « Le fait soit de fabriquer, de transporter, de diffuser par quelque moyen que ce soit et quel qu’en soit le support un message à caractère (…) pornographique (…) soit de faire commerce d’un tel message, est puni de trois ans d’emprisonnement et de 75 000 euros d’amende lorsque ce message est susceptible d’être vu ou perçu par un mineur. / (…) / Les infractions prévues au présent article sont constituées y compris si l’accès d’un mineur aux messages mentionnés au premier alinéa résulte d’une simple déclaration de celui-ci indiquant qu’il est âgé d’au moins dix-huit ans ».

5. Il résulte de ces dispositions combinées qu’un fournisseur de service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos ne peut pas permettre à un mineur d’avoir accès à un contenu pornographique, y compris si cet accès résulte d’une simple déclaration du mineur indiquant qu’il est âgé d’au moins dix-huit ans. Lorsque le prestataire ne se conforme pas au référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l’âge établi par l’ARCOM, cette autorité peut, en application de l’article 10 de la loi du 21 juin 2004, mettre en demeure le fournisseur de se conformer dans un délai d’un mois à ce référentiel, sous peine de se voir infliger une sanction pécuniaire. En outre, lorsque l’accès des mineurs aux contenus pornographiques proposés par le fournisseur est caractérisé en violation de l’article 227-24 du code pénal, l’ARCOM peut, en application de l’article 10-1 de la loi du 21 juin 2004, faire part de ses observations motivées au fournisseur qui dispose d’un délai de quinze jours pour lui répondre puis le mettre en demeure de prendre toute mesure autre qu’une simple déclaration d’âge par l’utilisateur de nature à empêcher l’accès des mineurs à ces contenus dans un nouveau délai de quinze jours, sous peine de se voir infliger une sanction pécuniaire. Il en résulte également qu’en cas d’inexécution de la mise en demeure adressée au fournisseur d’un service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos qui permet à des mineurs d’avoir accès à un contenu pornographique en méconnaissance de l’article 227-24 du code pénal, l’ARCOM peut demander en outre aux fournisseurs de services d’accès à internet ou de systèmes de résolution de noms de domaine d’empêcher l’accès à l’adresse électronique de ce service pour une durée maximale de deux ans, dans un délai de quarante-huit heures, sous peine de se voir infliger eux-mêmes une sanction pécuniaire. Les agents habilités et assermentés de l’ARCOM constatent par procès-verbal qu’un prestataire ne met pas en œuvre un système de vérification de l’âge conforme aux exigences techniques minimales du référentiel mentionné à l’article 10 ou permet à des mineurs d’avoir accès à un contenu pornographique en méconnaissance de l’article 227-24 du code pénal. Ces dispositions s’appliquent aux fournisseurs de service de communication au public en ligne ou de plateforme de partage de vidéos établis en B… ou hors de l’Union européenne. Elles ne s’appliquent à ceux établis dans un autre Etat membre de l’Union européenne qu’après qu’ils ont été individuellement désignés par un arrêté conjoint du ministre chargé de la culture et de la communication et du ministre chargé du numérique pris sur proposition ou avis de l’ARCOM et après l’expiration d’un délai de trois mois à compter de la publication de cet arrêté.

Sur les conclusions à fin d’annulation :

6. Par la décision du 27 mars 2026 dont la société Cloudflare, Inc. demande l’annulation, l’autorité de régulation de la communication électronique (ARCOM) lui a notifié l’adresse électronique https://xgroovy.com/ afin qu’elle empêche l’accès au service xgroovy.com dans un délai de quarante-huit heures pour une durée de deux ans.

En ce qui concerne le moyen tiré du vice de forme :

7. A… termes de l’article L. 211-2 du code des relations entre le public et l’administration : « Les personnes physiques ou morales ont le droit d’être informées sans délai des motifs des décisions administratives individuelles défavorables qui les concernent. / A cet effet, doivent être motivées les décisions qui : / 1° Restreignent l’exercice des libertés publiques ou, de manière générale, constituent une mesure de police ; / (…) ». L’article L. 221-5 du même code précise en outre que : « La motivation exigée par le présent chapitre doit être écrite et comporter l’énoncé des considérations de droit et de fait qui constituent le fondement de la décision ».

8. La décision attaquée se réfère au constat, effectué le 6 mars 2026 par un agent assermenté de l’ARCOM, d’un manquement à l’article 227-24 du code pénal résultant de l’accès sans vérification de l’âge de l’utilisateur aux contenus à caractère pornographique diffusés sur le service xgroovy.com, accessible depuis l’adresse https://xgroovy.com/. Elle mentionne le III de l’article 10-1 de cette loi, qui permet à l’ARCOM de notifier aux fournisseurs de systèmes de résolution de noms de domaine, au nombre desquels se trouve la société Cloudflare, Inc., les adresses électroniques des services de communication au public en ligne ou des services de plateforme de partage de vidéos permettant l’accès de mineurs à du contenu à caractère pornographique, et le décret du 16 décembre 2024 relatif à la procédure d’habilitation des agents de l’Autorité de régulation de la communication audiovisuelle et numérique et portant application des articles 6-8, 10-1 et 11 de la loi n° 2004-575 du 21 juin 2004. Par suite, cette décision, qui n’avait pas à détailler le contenu du procès-verbal établi en application des dispositions du VII de l’article 10-1 de la loi du 21 juin 2004 par l’agent habilité et assermenté pour constater qu’un service de communication au public en ligne ou un service de plateforme de partage de vidéos à contenus pornographiques permet l’accès à des mineurs à ces contenus en méconnaissance de l’article 227-24 du code pénal, comporte, de manière suffisante, les considérations de fait et de droit qui la fondent, alors même qu’elle ne précise pas si le fournisseur du service a fait l’objet d’une mise en demeure ou si l’absence de mise à disposition des informations mentionnées aux I et II de l’article 1-1 de la loi du 21 juin 2004 permettant de l’identifier dispensait l’ARCOM de cette procédure. Dès lors, le moyen tiré de l’insuffisance de motivation de cette décision doit être écarté.

En ce qui concerne les moyens tirés, par voie d’exception, de l’incompatibilité des articles 227-24 du code pénal et 10-1 de la loi du 21 juin 2004 avec le droit de l’Union européenne :

S’agissant du cadre juridique européen :

9. A… termes de l’article 1er de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique ») : « 1. La présente directive a pour objectif de contribuer au bon fonctionnement du marché intérieur en assurant la libre circulation des services de la société de l’information entre les États membres. / 2. La présente directive rapproche, dans la mesure nécessaire à la réalisation de l’objectif visé au paragraphe 1, certaines dispositions nationales applicables aux services de la société de l’information et qui concernent le marché intérieur, l’établissement des prestataires, les communications commerciales, les contrats par voie électronique, la responsabilité des intermédiaires, les codes de conduite, le règlement extrajudiciaire des litiges, les recours juridictionnels et la coopération entre États membres ». A… termes de l’article 2 de la même directive : « A… fins de la présente directive, on entend par : / a) « services de la société de l’information » : les services au sens de l’article 1er, paragraphe 2, de la directive 98/34/CE, telle que modifiée par la directive 98/48/CE ; /(…) / h) « domaine coordonné » : les exigences prévues par les systèmes juridiques des États membres et applicables aux prestataires des services de la société de l’information ou aux services de la société de l’information, qu’elles revêtent un caractère général ou qu’elles aient été spécifiquement conçues pour eux. / i) Le domaine coordonné a trait à des exigences que le prestataire doit satisfaire et qui concernent : / – l’accès à l’activité d’un service de la société de l’information, telles que les exigences en matière de qualification, d’autorisation ou de notification, / – l’exercice de l’activité d’un service de la société de l’information, telles que les exigences portant sur le comportement du prestataire, la qualité ou le contenu du service, y compris en matière de publicité et de contrat, ou sur la responsabilité du prestataire ». A… termes de l’article 3 de ladite directive : « 1. Chaque État membre veille à ce que les services de la société de l’information fournis par un prestataire établi sur son territoire respectent les dispositions nationales applicables dans cet État membre relevant du domaine coordonné. / 2. Les États membres ne peuvent, pour des raisons relevant du domaine coordonné, restreindre la libre circulation des services de la société de l’information en provenance d’un autre État membre. / (…) / 4. Les États membres peuvent prendre, à l’égard d’un service donné de la société de l’information, des mesures qui dérogent au paragraphe 2 si les conditions suivantes sont remplies : / a) les mesures doivent être : / i) nécessaires pour une des raisons suivantes : ­ l’ordre public, en particulier la prévention, les investigations, la détection et les poursuites en matière pénale, notamment la protection des mineurs et la lutte contre l’incitation à la haine pour des raisons de race, de sexe, de religion ou de nationalité et contre les atteintes à la dignité de la personne humaine, / – la protection de la santé publique, / – la sécurité publique, y compris la protection de la sécurité et de la défense nationales, / – la protection des consommateurs, y compris des investisseurs ; / ii) prises à l’encontre d’un service de la société de l’information qui porte atteinte aux objectifs visés au point i) ou qui constitue un risque sérieux et grave d’atteinte à ces objectifs ; / iii) proportionnelles à ces objectifs ; / b) l’État membre a préalablement et sans préjudice de la procédure judiciaire, y compris la procédure préliminaire et les actes accomplis dans le cadre d’une enquête pénale : / – demandé à l’État membre visé au paragraphe 1 de prendre des mesures et ce dernier n’en a pas pris ou elles n’ont pas été suffisantes, / – notifié à la Commission et à l’État membre visé au paragraphe 1 son intention de prendre de telles mesures. (…) ».

10. Par son arrêt du 9 novembre 2023, Google Ireland Limited, Meta Platforms Ireland Limited, Tik Tok Technology Limited c/ Kommunikationsbehörde Austria (KommAustria) (C­376/22), la Cour de justice de l’Union européenne a retenu, aux paragraphes 42 à 44 de cet arrêt, que « la directive 2000/31 repose (…) sur l’application des principes de contrôle dans l’État membre d’origine et de la reconnaissance mutuelle, de telle sorte que, dans le cadre du domaine coordonné défini à l’article 2, sous h), de cette directive, les services de la société de l’information sont réglementés dans le seul État membre sur le territoire duquel les prestataires de ces services sont établis », pour en déduire que « par conséquent, d’une part, il incombe à chaque État membre en tant qu’État membre d’origine de services de la société de l’information de réglementer ces services et, à ce titre, de protéger les objectifs d’intérêt général mentionnés à l’article 3, paragraphe 4, sous a), i), de la directive 2000/31 » et que « d’autre part, conformément au principe de reconnaissance mutuelle, il appartient à chaque État membre, en tant qu’État membre de destination de services de la société de l’information, de ne pas restreindre la libre circulation de ces services en exigeant le respect d’obligations supplémentaires, relevant du domaine coordonné, qu’il aurait adoptées ». La Cour a, pour ces motifs, dit pour droit que « l’article 3, paragraphe 4, de la directive 2000/31/CE (…) doit être interprété en ce sens que des mesures générales et abstraites visant une catégorie de services donnés de la société de l’information décrite en des termes généraux et s’appliquant indistinctement à tout prestataire de cette catégorie de services ne relèvent pas de la notion de « mesures prises à l’encontre d’un service donné de la société de l’information », au sens de cette disposition ».

11. A… termes de l’article 1er de la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010 visant à la coordination de certaines dispositions législatives, réglementaires et administratives des États membres relatives à la fourniture de services de médias audiovisuels, telle que modifiée par la directive (UE) 2018/1808 du Parlement européen et du Conseil du 14 novembre 2018 (« directive services de médias audiovisuels » ou directive SMA) : « 1. A… fins de la présente directive, on entend par : / a) « service de médias audiovisuels » : / i) un service (…) pour lequel l’objet principal du service (…) est la fourniture de programmes au grand public, sous la responsabilité éditoriale d’un fournisseur de services de médias (…) ; un tel service de médias audiovisuels est soit une émission télévisée (…), soit un service de médias audiovisuels à la demande (…) ; / (…) / a bis) « service de plateformes de partage de vidéos » : un service (…) pour lequel l’objet principal du service (…) est la fourniture au grand public de programmes, de vidéos créées par l’utilisateur, ou des deux, qui ne relèvent pas de la responsabilité éditoriale du fournisseur de la plateforme de partage de vidéos (…) ; / (…) ». A… termes de l’article 6 bis de la même directive : « 1. Les États membres prennent les mesures appropriées pour garantir que les services de médias audiovisuels fournis par des fournisseurs de services de médias relevant de leur compétence qui pourraient nuire à l’épanouissement physique, mental ou moral des mineurs ne soient mis à disposition que dans des conditions telles que les mineurs ne puissent normalement pas les entendre ni les voir. Ces mesures peuvent comprendre le choix de l’heure de l’émission, l’utilisation d’outils permettant de vérifier l’âge ou d’autres mesures techniques. Elles sont proportionnées au préjudice que pourrait causer le programme. / Les contenus les plus préjudiciables, tels que la pornographie et la violence gratuite, font l’objet des mesures les plus strictes. / (…) ». A… termes de l’article 28 bis de la même directive : « 1. A… fins de la présente directive, un fournisseur de plateformes de partage de vidéos établi sur le territoire d’un État membre au sens de l’article 3, paragraphe 1, de la directive 2000/31/CE relève de la compétence dudit État membre. / (…) ». A… termes de l’article 28 ter de cette directive : « 1. Sans préjudice des articles 12 à 15 de la directive 2000/31/CE, les États membres veillent à ce que les fournisseurs de plateformes de partage de vidéos relevant de leur compétence prennent les mesures appropriées pour protéger : / a) les mineurs des programmes, vidéos créées par l’utilisateur et communications commerciales audiovisuelles susceptibles de nuire à leur épanouissement physique, mental ou moral, conformément à l’article 6 bis, paragraphe 1 ; (…) / 3. A… fins de l’application des paragraphes 1 et 2, les mesures appropriées sont déterminées en prenant en considération la nature du contenu en question, le préjudice qu’il pourrait causer, les caractéristiques de la catégorie des personnes à protéger ainsi que les droits et les intérêts légitimes en jeu, y compris ceux des fournisseurs de plateformes de partage de vidéos et ceux des utilisateurs qui ont créé le contenu ou l’ont mis en ligne, ainsi que l’intérêt public général. / Les États membres veillent à ce que tous les fournisseurs de plateformes de partage de vidéos relevant de leur juridiction appliquent ces mesures. Ces mesures sont réalisables et proportionnées, compte tenu de la taille du service de plateformes de partage de vidéos et de la nature du service fourni. (…) A… fins de la protection des mineurs prévue au paragraphe 1, point a), du présent article, les contenus les plus préjudiciables sont soumis aux mesures de contrôle d’accès les plus strictes. / Ces mesures consistent, selon ce qui est approprié, à : / a) inclure et appliquer, dans les conditions des services de plateformes de partage de vidéos, les exigences visées au paragraphe 1 ; / (…) / f) mettre en place et utiliser des systèmes permettant de vérifier l’âge des utilisateurs des plateformes de partage de vidéos en ce qui concerne les contenus susceptibles de nuire à l’épanouissement physique, mental ou moral des mineurs ; / (…) ». A… termes de l’article 89 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 : « 1. Les articles 12 à 15 de la directive 2000/31/CE sont supprimés. / 2. Les références aux articles 12 à 15 de la directive 2000/31/CE s’entendent comme étant faites respectivement aux articles 4, 5, 6 et 8 du présent règlement ».

12. A… termes de l’article 1er du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (« règlement sur les services numériques » ou RSN ou DSA) : « 1. Le présent règlement a pour objectif de contribuer au bon fonctionnement du marché intérieur des services intermédiaires en établissant des règles harmonisées pour un environnement en ligne sûr, prévisible et fiable qui facilite l’innovation et dans lequel les droits fondamentaux consacrés par la Charte, y compris le principe de protection des consommateurs, sont efficacement protégés. / Le présent règlement établit des règles harmonisées applicables à la fourniture de services intermédiaires au sein du marché intérieur. En particulier, il établit : / a) un cadre pour l’exemption conditionnelle de responsabilité des fournisseurs de services intermédiaires ; / b) des règles relatives à des obligations de diligence spécifiques, adaptées à certaines catégories spécifiques de fournisseurs de services intermédiaires ; / c) des règles relatives à la mise en œuvre et à l’exécution du présent règlement, y compris en ce qui concerne la coopération et la coordination entre les autorités compétentes ». A… termes de l’article 2 du même règlement : « 1. Le présent règlement s’applique aux services intermédiaires proposés aux destinataires du service dont le lieu d’établissement est situé dans l’Union ou qui sont situés dans l’Union, quel que soit le lieu d’établissement des fournisseurs de ces services intermédiaires / 2. Le présent règlement ne s’applique pas aux services qui ne sont pas des services intermédiaires ou aux exigences imposées à l’égard de tels services, que ces services soient ou non fournis par le biais d’un service intermédiaire. / 3. Le présent règlement n’a pas d’incidence sur l’application de la directive 2000/31/CE. / 4. Le présent règlement s’entend sans préjudice des règles établies par d’autres actes juridiques de l’Union régissant d’autres aspects de la fourniture de services intermédiaires dans le marché intérieur ou précisant et complétant le présent règlement, en particulier les actes suivants : / a) la directive 2010/13/UE ; (…) ». A… termes de l’article 3 dudit règlement : « A… fins du présent règlement, on entend par : / (…) / b) « destinataire du service » : toute personne physique ou morale utilisant un service intermédiaire, notamment pour rechercher une information ou la rendre accessible ; / (…) / e) « lien étroit avec l’Union » : un lien qu’un fournisseur de services intermédiaires a avec l’Union résultant soit de son établissement dans l’Union, soit de critères factuels spécifiques, tels que : / – un nombre significatif de destinataires du service dans un ou plusieurs États membres par rapport à sa ou à leur population ; ou / – le ciblage des activités sur un ou plusieurs États membres ; / (…) / g) « service intermédiaire » : un des services de la société de l’information suivants : / i) un service de « simple transport », consistant à transmettre, sur un réseau de communication, des informations ; / ii) un service de « mise en cache », consistant à transmettre, sur un réseau de communication, des informations fournies par un destinataire du service, impliquant le stockage automatique, intermédiaire et temporaire de ces informations, effectué dans le seul but de rendre plus efficace la transmission ultérieure de ces informations à d’autres destinataires à leur demande fournies par un destinataire du service ou à fournir l’accès à un réseau de communication / iii) un service d’«hébergement», consistant à stocker des informations fournies par un destinataire du service à sa demande ; / h) « contenu illicite » : toute information qui, en soi ou par rapport à une activité, y compris la vente de produits ou la fourniture de services, n’est pas conforme au droit de l’Union ou au droit d’un État membre qui est conforme au droit de l’Union, quel que soit l’objet précis ou la nature précise de ce droit ; / i) « plateforme en ligne » : un service d’hébergement qui, à la demande d’un destinataire du service, stocke et diffuse au public des informations (…) ; / (…) ». A… termes de l’article 6 de ce règlement : « 1. En cas de fourniture d’un service de la société de l’information consistant à stocker des informations fournies par un destinataire du service, le fournisseur de services n’est pas responsable des informations stockées à la demande d’un destinataire du service à condition que le fournisseur : / a) n’ait pas effectivement connaissance de l’activité illégale ou du contenu illicite et, en ce qui concerne une demande en dommages et intérêts, n’ait pas conscience de faits ou de circonstances selon lesquels l’activité illégale ou le contenu illicite est apparent ; ou / b) dès le moment où il en prend connaissance ou conscience, agisse promptement pour retirer le contenu illicite ou rendre l’accès à celui-ci impossible. (…) / 4. Le présent article n’affecte pas la possibilité, pour une autorité judiciaire ou administrative, conformément au système juridique d’un État membre, d’exiger du fournisseur de services qu’il mette fin à une infraction ou qu’il prévienne une infraction ». A… termes de l’article 8 de ce règlement : « Les fournisseurs de services intermédiaires ne sont soumis à aucune obligation générale de surveiller les informations qu’ils transmettent ou stockent ou de rechercher activement des faits ou des circonstances révélant des activités illégales ». A… termes de l’article 9 de ce règlement : « 1. Dès réception d’une injonction d’agir contre un ou plusieurs éléments spécifiques de contenu illicite, émise par les autorités judiciaires ou administratives nationales compétentes sur la base du droit de l’Union ou du droit national conforme au droit de l’Union applicable, le fournisseur de services intermédiaires informe dans les meilleurs délais l’autorité qui a émis l’injonction, ou toute autre autorité spécifiée dans l’injonction, de la suite éventuelle donnée à l’injonction, en précisant si et quand une suite a été donnée à l’injonction. / 2. Lorsqu’une injonction visée au paragraphe 1 est transmise au fournisseur, les États membres veillent à ce qu’elle remplisse au minimum les conditions suivantes : a) ladite injonction comprend les éléments suivants : / (…) / ii) un exposé des motifs expliquant pourquoi les informations constituent un contenu illicite (…) ; (…) / iv) des informations claires permettant au fournisseur de services intermédiaires d’identifier et de localiser le contenu illicite concerné, telles qu’un ou plusieurs URL exacts et, si nécessaire, des informations supplémentaires ; / (…) / b) le champ d’application territorial de ladite injonction, sur la base des règles applicables du droit de l’Union et du droit national, y compris de la Charte, et, le cas échéant, des principes généraux du droit international, est limité à ce qui est strictement nécessaire pour atteindre son objectif ; (…) / 5. Au plus tard lorsqu’une suite est donnée à l’injonction ou, le cas échéant, au moment indiqué par l’autorité d’émission dans son injonction, les fournisseurs de services intermédiaires informent le destinataire du service concerné de l’injonction reçue et de la suite qui lui est donnée. (…) / (…) ». A… termes de l’article 28 de ce règlement : « 1. Les fournisseurs de plateformes en ligne accessibles aux mineurs mettent en place des mesures appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service. / (…) / 4. La Commission (…) peut publier des lignes directrices pour aider les fournisseurs de plateformes en ligne à appliquer le paragraphe 1 ». A… termes de l’article 33 de ce règlement : « 1. La présente section s’applique aux plateformes en ligne et aux moteurs de recherche en ligne qui ont un nombre mensuel moyen de destinataires actifs du service dans l’Union égal ou supérieur à 45 millions, et qui sont désignés comme des très grandes plateformes en ligne ou des très grands moteurs de recherche en ligne en vertu du paragraphe 4. / (…) / 4. La Commission (…) adopte une décision désignant comme une très grande plateforme en ligne (…) aux fins du présent règlement la plateforme en ligne (…) dont le nombre mensuel moyen de destinataires actifs du service est égal ou supérieur au nombre visé au paragraphe 1 du présent article. (…) / 6. La Commission notifie, sans retard injustifié, les décisions qu’elle prend en vertu des paragraphes 4 et 5 au fournisseur de la plateforme en ligne (…) concerné, au comité et au coordinateur pour les services numériques de l’État membre d’établissement. / La Commission veille à ce que la liste des très grandes plateformes en ligne (…) désignés soit publiée au Journal officiel de l’Union européenne et tient cette liste à jour. Les obligations établies dans la présente section s’appliquent ou cessent de s’appliquer aux très grandes plateformes en ligne (…) concernés quatre mois après la notification adressée au fournisseur concerné visée au premier alinéa ». A… termes de l’article 34 de ce règlement : « 1. Les fournisseurs de très grandes plateformes en ligne (…) recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l’Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, y compris des systèmes algorithmiques, ou de l’utilisation faite de leurs services. / (…) Cette évaluation des risques est spécifique à leurs services et proportionnée aux risques systémiques, de la gravité et de la probabilité desquels elle tient compte, et comprend les risques systémiques suivants : / a) la diffusion de contenus illicites par l’intermédiaire de leurs services ; / (…) / d) tout effet négatif réel ou prévisible lié aux violences sexistes et à la protection de la santé publique et des mineurs et les conséquences négatives graves sur le bien-être physique et mental des personnes. / 2. Lorsqu’ils procèdent à des évaluations des risques, les fournisseurs de très grandes plateformes en ligne (…) examinent notamment si et comment les facteurs suivants influencent les risques systémiques visés au paragraphe 1 et en tiennent compte : / (…) / c) les conditions générales applicables et leur mise en application ; / (…) ». A… termes de l’article 35 de ce règlement : « 1. Les fournisseurs de très grandes plateformes en ligne (…) mettent en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés conformément à l’article 34, en tenant compte en particulier de l’incidence de ces mesures sur les droits fondamentaux. Ces mesures peuvent inclure, le cas échéant : / j) l’adoption de mesures ciblées visant à protéger les droits de l’enfant, y compris la vérification de l’âge et des outils de contrôle parental (…) ; / (…) / 3. La Commission (…) peut publier des lignes directrices sur l’application du paragraphe 1 par rapport à des risques spécifiques, notamment en vue de présenter les bonnes pratiques et de recommander des mesures possibles, en tenant dûment compte des conséquences possibles des mesures sur les droits fondamentaux de toutes les parties concernées consacrés dans la Charte. (…) ». A… termes de l’article 56 de ce règlement : « 1. L’État membre dans lequel se situe l’établissement principal du fournisseur de services intermédiaires dispose de pouvoirs exclusifs pour surveiller et faire respecter le présent règlement, à l’exception des pouvoirs prévus aux paragraphes 2, 3 et 4. / 2. La Commission dispose de pouvoirs exclusifs pour surveiller et faire respecter le chapitre III, section 5 [relative aux obligations supplémentaires de gestion des risques systémiques imposées aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne et comprenant les articles 33 à 43]. / 3. La Commission dispose de pouvoirs pour surveiller et faire respecter le présent règlement, autres que ceux fixés au chapitre III, section 5, à l’encontre des fournisseurs de très grandes plateformes en ligne (…). / 4. Lorsque la Commission n’a pas engagé de procédure pour la même infraction, l’État membre dans lequel se situe l’établissement principal du fournisseur de très grandes plateformes en ligne (…) dispose, à l’encontre desdits fournisseurs, de pouvoirs pour surveiller et faire respecter les obligations fixées dans le présent règlement, autres que ceux fixés au chapitre III, section 5. / (…) ».

S’agissant de l’inopposabilité des articles 227-24 du code pénal et 10-1 de la loi du 21 juin 2004 :

13. En application de l’article 5 de la directive 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015, tout Etat membre qui souhaite adopter une nouvelle règle technique au sens de cette directive ou modifier une règle technique existante doit, sauf s’il s’agit d’une simple transposition intégrale d’une norme internationale ou européenne, en informer la Commission européenne dans les conditions prévues par cet article. Le f) du 1 de l’article 1er de cette directive définit une « règle technique » comme : « une spécification technique ou autre exigence ou une règle relative aux services, y compris les dispositions administratives qui s’y appliquent, dont l’observation est obligatoire de jure ou de facto, pour la commercialisation, la prestation de services, l’établissement d’un opérateur de services ou l’utilisation dans un État membre ou dans une partie importante de cet État, de même que, sous réserve de celles visées à l’article 7, les dispositions législatives, réglementaires et administratives des États membres interdisant la fabrication, l’importation, la commercialisation ou l’utilisation d’un produit ou interdisant de fournir ou d’utiliser un service ou de s’établir comme prestataire de services ». La « règle relative aux services » est définie au e) du même article comme : « une exigence de nature générale relative à l’accès aux activités de services (…) et à leur exercice, notamment les dispositions relatives au prestataire de services, aux services et au destinataire de services, à l’exclusion des règles qui ne visent pas spécifiquement les services définis audit point. / A… fins de la présente définition : / une règle est considérée comme visant spécifiquement les services de la société de l’information lorsque, au regard de sa motivation et du texte de son dispositif, elle a pour finalité et pour objet spécifiques, dans sa totalité ou dans certaines dispositions ponctuelles, de réglementer de manière explicite et ciblée ces services ». Enfin, selon le b) du même article, on entend par « service », pour l’application de la directive : « tout service de la société de l’information, c’est-à-dire tout service presté normalement contre rémunération, à distance par voie électronique et à la demande individuelle d’un destinataire de services ».

14. Si le dispositif de blocage décrit au point 5 ci-dessus résultant de la combinaison de l’article 10-1 de la loi du 21 juin 2004 et de l’article 227-24 du code pénal n’impose pas de spécifications techniques aux prestataires d’un service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos pour vérifier l’âge des utilisateurs autre qu’une simple déclaration d’âge, il constitue néanmoins une exigence de nature générale relative à l’accès et à l’exercice d’un service de la société de l’information et, par suite, une règle technique au sens et pour l’application des dispositions précitées de la directive du 9 septembre 2015. Il ressort toutefois des pièces du dossier que ce dispositif a été communiqué, préalablement à son adoption, à la Commission européenne sur le fondement de l’article 5 de cette directive. Par suite, la société Cloudflare, Inc. n’est pas fondée à soutenir que ce dispositif ne lui est pas opposable faute d’avoir été notifié à la Commission européenne. Dès lors, ce moyen doit être écarté.

S’agissant du moyen tiré de l’incompatibilité avec le règlement (UE) 2022/2065 du 19 octobre 2022 de l’instauration d’une exigence nationale supplémentaire par les articles 227­24 du code pénal et 10-1 de la loi du 21 juin 2004 :

15. En premier lieu, il résulte des dispositions précitées des articles 1 à 3 du règlement (UE) 2022/2065 du 19 octobre 2022 que ce règlement a pour objectif de contribuer au bon fonctionnement du marché intérieur des services intermédiaires, comme les plateformes de partage de vidéos en ligne, en établissant des règles harmonisées applicables à la fourniture de ces services au sein du marché intérieur et qu’il s’applique aux services intermédiaires proposés aux destinataires du service dont le lieu d’établissement est situé dans l’Union ou qui sont situés dans l’Union, quel que soit le lieu d’établissement des fournisseurs de ces services intermédiaires, y compris à des fournisseurs ayant leur siège en dehors de l’Union s’ils ont un lien étroit avec l’Union au regard de critères factuels tels qu’un nombre significatif de destinataires du service dans un ou plusieurs États membres par rapport à sa ou à leur population ou le ciblage des activités sur un ou plusieurs États membres. Il résulte du point 9 de l’exposé des motifs de ce règlement qu’il « harmonise pleinement les règles applicables aux services intermédiaires dans le marché intérieur dans le but de garantir un environnement en ligne sûr, prévisible et de confiance, en luttant contre la diffusion de contenus illicites en ligne et contre les risques pour la société que la diffusion d’informations trompeuses ou d’autres contenus peuvent produire, et dans lequel les droits fondamentaux consacrés par la Charte sont efficacement protégés et l’innovation est facilitée », qu’« en conséquence, les États membres ne devraient pas adopter ou maintenir des exigences nationales supplémentaires concernant les matières relevant du champ d’application du présent règlement, sauf si le présent règlement le prévoit expressément, car cela porterait atteinte à l’application directe et uniforme des règles pleinement harmonisées applicables aux fournisseurs de services intermédiaires conformément aux objectifs du présent règlement » mais que cela « ne devrait pas empêcher l’application éventuelle d’une autre législation nationale applicable aux fournisseurs de services intermédiaires, dans le respect du droit de l’Union, y compris la directive 2000/31/CE, et notamment son article 3, lorsque les dispositions du droit national poursuivent d’autres objectifs légitimes d’intérêt général que ceux poursuivis par le présent règlement ».

16. Il résulte des dispositions du règlement (UE) 2022/2065 du 19 octobre 2022 qu’il encadre de manière exhaustive, sans prévoir la possibilité d’acte national complémentaire, le régime de protection des mineurs en ligne imposé, d’une part, aux fournisseurs de plateformes en ligne accessibles aux mineurs visés à l’article 28 du règlement du 19 octobre 2022 éclairé par le point 71 de l’exposé de ses motifs, en leur imposant de mettre en œuvre des mesures appropriées et proportionnées qu’ils déterminent eux-mêmes, en se référant au besoin à des lignes directrices publiées par la Commission européenne, pour garantir un niveau élevé de protection des mineurs sur leur service et qui ne consistent pas à recueillir l’âge du destinataire du service avant l’utilisation de ces plateformes et, d’autre part, aux fournisseurs de très grandes plateformes en ligne visés à ses articles 34 et 35 éclairés par le point 89 de l’exposé de ses motifs, en leur imposant de mettre en œuvre des mesures ciblées qu’ils déterminent eux-mêmes, en se référant au besoin à des lignes directrices publiées par la Commission européenne, visant à protéger les droits de l’enfant, y compris la vérification de l’âge et des outils de contrôle parental, pour éviter tout effet négatif réel ou prévisible lié à la protection des mineurs et les conséquences négatives graves sur leur bien-être physique et mental. Une plateforme en ligne peut être considérée, au sens du point 71 précité de l’exposé des motifs du règlement, comme accessible aux mineurs lorsque ses conditions générales permettent aux mineurs d’utiliser le service, lorsque son service s’adresse aux mineurs ou est utilisé de manière prédominante par des mineurs, ou lorsque le fournisseur sait par ailleurs que certains des destinataires de son service sont des mineurs, par exemple parce qu’il traite déjà des données à caractère personnel des destinataires de son service révélant leur âge à d’autres fins. Une très grande plateforme en ligne est, au sens des 1 et 4 de l’article 33 du règlement du 19 octobre 2022, une plateforme en ligne qui a un nombre mensuel moyen de destinataires actifs du service dans l’Union égal ou supérieur à 45 millions et qui est désignée comme telle par une décision de la Commission européenne. L’harmonisation complète opérée par ces dispositions s’oppose ainsi à ce qu’un Etat membre édicte une mesure nationale méconnaissant ou allant au-delà du régime de protection des mineurs qu’elles prévoient.

17. En revanche, il résulte des articles 9 et 10 du règlement (UE) 2022/2065 du 19 octobre 2022 éclairés par le point 31 de l’exposé de ses motifs qu’il encadre, de manière partielle, les injonctions d’agir contre les contenus illicites ou de fournir des informations adressées aux fournisseurs de services intermédiaires et émises par les autorités judiciaires ou administratives nationales compétentes sur la base du droit de l’Union ou du droit national conforme au droit de l’Union applicable, en permettant aux autorités nationales de fixer des exigences complémentaires relatives au traitement de ces injonctions dans le respect des conditions minimales spécifiques prévues par les dispositions précitées du règlement. Un service intermédiaire est, au sens du g) de l’article 3 du règlement du 19 octobre 2022 éclairé par le point 29 de l’exposé de ses motifs, un des services de la société de l’information tel qu’un service de « simple transport », consistant à transmettre, sur un réseau de communication, des informations fournies par un destinataire du service ou à fournir l’accès à un réseau de communication, comme par exemple les services de DNS et de résolution de noms de domaine, un service de « mise en cache », consistant à transmettre, sur un réseau de communication, des informations fournies par un destinataire du service, impliquant le stockage automatique, intermédiaire et temporaire de ces informations, effectué dans le seul but de rendre plus efficace la transmission ultérieure de ces informations à d’autres destinataires à leur demande ou un service d’« hébergement », consistant à stocker des informations fournies par un destinataire du service à sa demande.

18. Par ailleurs, le règlement (UE) 2022/2065 du 19 octobre 2022 ne fixe aucun âge légal minimal pour accéder à des contenus pornographiques ni n’autorise ou n’interdit l’accès à ces contenus à des mineurs. Il dispose toutefois, à son article 2, qu’il s’entend sans préjudice des règles établies par d’autres actes juridiques de l’Union régissant d’autres aspects de la fourniture de services intermédiaires dans le marché intérieur ou précisant et complétant le présent règlement, en particulier la directive 2010/13/UE du 10 mars 2010 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur, telle que modifiée par la directive 2018/1808 du 14 novembre 2018, dont l’article 28 ter précité prévoit que les États membres veillent à ce que tous les fournisseurs de plateformes de partage de vidéos relevant de leur compétence prennent et appliquent les mesures appropriées pour protéger les mineurs des programmes, vidéos créées par l’utilisateur et communications commerciales audiovisuelles susceptibles de nuire à leur épanouissement physique, mental ou moral, déterminées en prenant en considération la nature du contenu en question, le préjudice qu’il pourrait causer, les caractéristiques de la catégorie des personnes à protéger ainsi que les droits et les intérêts légitimes en jeu, y compris ceux des fournisseurs de plateformes de partage de vidéos et ceux des utilisateurs qui ont créé le contenu ou l’ont mis en ligne, ainsi que l’intérêt public général, réalisables et proportionnées, compte tenu de la taille du service de plateformes de partage de vidéos et de la nature du service fourni, n’entraînant pas de mesures de contrôle ex ante ni de filtrage de contenus au moment de la mise en ligne et précise que les contenus les plus préjudiciables sont soumis aux mesures de contrôle d’accès les plus strictes pouvant consister à mettre en place et utiliser des systèmes permettant de vérifier l’âge des utilisateurs des plateformes de partage de vidéos en ce qui concerne les contenus susceptibles de nuire à l’épanouissement physique, mental ou moral des mineurs.

19. Il résulte ainsi de l’ensemble des dispositions combinées du règlement (UE) 2022/2065 du 19 octobre 2022 et de la directive 2010/13/UE du 10 mars 2010 que ce règlement n’encadre pas le régime de protection des mineurs pour les contenus pornographiques proposés par des plateformes de partage de vidéos en ligne qui ne sont pas accessibles aux mineurs au sens de son article 28 éclairé par le point 71 de l’exposé de ses motifs ou qui ne sont pas des très grandes plateformes au sens des 1 et 4 de son article 33 et renvoie aux Etats membres, pour ces plateformes, la compétence pour édicter les mesures de contrôle d’accès appropriées les plus strictes, notamment en mettant en place des systèmes permettant de vérifier l’âge des utilisateurs des plateformes.

20. Il ressort des pièces du dossier et n’est pas contesté par la société Cloudflare, Inc. que la plateforme de partage de vidéos en ligne xgroovy.com, dont il est constant qu’elle propose des contenus pornographiques, n’est pas une plateforme accessible aux mineurs ou une très grande plateforme au sens du règlement (UE) 2022/2065 du 19 octobre 2022. Par suite, les dispositions des articles 227-24 du code pénal et 10-1 de la loi du 21 juin 2004 ne sont pas incompatibles avec ce règlement, notamment ses articles 28 et 51, en tant qu’elles édictent un régime de protection des mineurs spécifique pour les plateformes de partage de vidéos à contenus pornographiques qui ne sont pas accessibles aux mineurs ou des très grandes plateformes au sens du règlement. Dès lors, le moyen tiré de l’incompatibilité avec le règlement (UE) 2022/2065 du 19 octobre 2022 de l’instauration d’une exigence nationale supplémentaire par les articles 227-24 du code pénal et 10-1 de la loi du 21 juin 2004 doit, sans qu’il soit besoin de saisir la Cour de justice de l’Union européenne d’une question préjudicielle, être écarté.

S’agissant de la méconnaissance des principes d’égalité et de non-discrimination :

21. A… termes de l’article 20 de la charte des droits fondamentaux de l’Union européenne : « Toutes les personnes sont égales en droit ». A… termes de l’article 21 de la même charte : « (…) / 2. Dans le domaine d’application des traités et sans préjudice de leurs dispositions particulières, toute discrimination exercée en raison de la nationalité est interdite ». Il résulte de la jurisprudence constante de la Cour de justice de l’Union européenne que le principe d’égalité, en tant que principe général du droit de l’Union européenne garanti par les articles 20 et 21 de la charte des droits fondamentaux, exige que des situations comparables ne soient pas traitées de manière différente et que des situations différentes ne soient pas traitées de manière égale, à moins qu’un tel traitement ne soit objectivement justifié.

22. Les dispositions de l’article 10-2 de la loi du 21 juin 2004 citées au point 3 ont pour objet d’appliquer le dispositif de blocage décrit au point 5, d’une part, à tous les fournisseurs de plateforme de partage de vidéos établis en B… ou hors de l’Union européenne et, d’autre part, à ceux établis dans un autre Etat membre de l’Union sous réserve qu’ils remplissent certaines conditions mentionnées au II de cet article 10-2. Si ces dispositions impliquent une différence de traitement entre les fournisseurs établis en B… ou hors de l’Union européenne et ceux établis dans un autre Etat membre de l’Union, cette différence est justifiée par l’obligation pour la B… de respecter les dispositions précitées de la directive du 8 juin 2000, telles qu’interprétées par la Cour de justice de l’Union européenne, qui interdisent à un Etat membre de prendre des mesures restreignant la libre circulation des services de la société de l’information en provenance d’un autre Etat membre, sauf à cibler un secteur spécifique ou certains prestataires de services en ligne en provenance d’un autre Etat membre, ainsi que le fait le II de l’article 10-2 de la loi du 21 juin 2004 en ciblant certains fournisseurs établis dans un autre Etat membre de l’Union. Dans ces conditions, ces entreprises sont placées dans des situations différentes. Par suite, le moyen tiré de ce que l’instauration de règles différentes pour les fournisseurs de plateformes de partage de vidéos établis, d’une part, en B… ou hors de l’Union européenne et, d’autre part, dans un autre Etat membre de l’Union, porte atteinte aux principes d’égalité et de non-discrimination en méconnaissance des articles 20 et 21 de la charte des droits fondamentaux de l’Union européenne doit être écarté.

S’agissant de l’atteinte disproportionnée à la liberté d’entreprise et à la liberté d’expression :

23. A… termes de l’article 10 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales : « 1. Toute personne a droit à la liberté d’expression. Ce droit comprend la liberté d’opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontière. Le présent article n’empêche pas les Etats de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d’autorisations. / 2. L’exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l’intégrité territoriale ou à la sûreté publique, à la défense de l’ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d’autrui, pour empêcher la divulgation d’informations confidentielles ou pour garantir l’autorité et l’impartialité du pouvoir judiciaire ». A… termes de l’article 11 de la charte des droits fondamentaux de l’Union européenne : « 1. Toute personne a droit à la liberté d’expression. Ce droit comprend la liberté d’opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontières. / (…) ». A… termes de l’article 16 de la même charte : « La liberté d’entreprise est reconnue conformément au droit de l’Union et aux législations et pratiques nationales ». A… termes de l’article 52 de ladite charte : « 1. Toute limitation de l’exercice des droits et libertés reconnus par la présente Charte doit être prévue par la loi et respecter le contenu essentiel desdits droits et libertés. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui. / (…) ». Il résulte de ces dispositions que les restrictions apportées à la liberté d’entreprise et à la liberté d’expression ne peuvent être autorisées que si elles sont prévues par la loi, répondent à des finalités légitimes et sont adaptées, nécessaires et proportionnées à l’objectif poursuivi.

24. D’une part, le dispositif de blocage résultant de la combinaison de l’article 10-1 de la loi du 21 juin 2004 et de l’article 227-24 du code pénal décrit au point 5 a pour objectif légitime d’empêcher l’accès des mineurs à des contenus à caractère pornographique en ligne par tous moyens autre qu’une simple déclaration de l’âge de l’utilisateur afin de garantir la protection de l’intérêt supérieur de l’enfant consacrée à l’article 24 de la charte des droits fondamentaux de l’Union européenne.

25. D’autre part, si les mesures de blocage peuvent être prononcées pour une durée maximale de deux ans, elles ne s’appliquent qu’à des sites internet qui n’empêchent pas l’accès effectif des mineurs à un contenu pornographique en violation de l’article 227-24 du code pénal et il ne ressort pas des pièces du dossier que d’autres dispositifs, impliquant une ingérence dans l’exercice des droits des individus moins forte, permettraient d’atteindre les objectifs poursuivis. De plus, il résulte des dispositions contestées que la nécessité de ces mesures doit être réévaluée lorsque la personne intéressée en fait la demande et, y compris d’office, au moins une fois par an et que l’autorité administrative compétente est tenue d’en donner mainlevée lorsque les faits en considération desquels ces mesures ont été ordonnées ne sont plus constitués.

26. En outre, l’autorité administrative compétente ne peut ordonner de telles mesures qu’après avoir adressé à la personne exploitant le ou les sites litigieux, si cela lui est possible, des observations motivées, à compter desquelles celle-ci dispose d’un délai de quinze jours pour présenter ses propres observations, puis une mise en demeure, restée infructueuse, de prendre, dans un délai de quinze jours, toute mesure de nature à empêcher cet accès.

27. Enfin, il est laissé le soin au fournisseur d’accès à internet ou de systèmes de résolution de noms de domaine concerné de déterminer les mesures concrètes à prendre. De plus, d’une part, il résulte du VI de l’article 10-1 de la loi du 21 juin 2004 que la sanction infligée à ce fournisseur en cas d’inexécution de l’injonction de blocage n’est pas automatique, d’autre part, il ne résulte d’aucune disposition de la loi du 21 juin 2004 qu’il ne peut pas s’exonérer de sa responsabilité en prouvant qu’il a pris toutes les mesures raisonnables à cet effet ou en démontrant que les mesures ordonnées exigeraient qu’il consente à des sacrifices insupportables au sens de la jurisprudence de la Cour de justice de l’Union européenne et, enfin, il est prévu au VI de l’article 10-1 qu’aucune sanction ne peut être prononcée lorsque, en raison de motifs de force majeure ou d’impossibilité de fait qui ne lui sont pas imputables, la personne concernée est placée dans l’impossibilité de respecter l’obligation qui lui a été faite ou, lorsqu’une contestation en justice a été engagée, tant qu’elle n’a pas fait l’objet d’une décision devenue définitive. Compte tenu de l’ensemble de ces éléments et en l’absence de précisions suffisantes sur les coûts résultant du blocage lui-même ou du ralentissement impliqué par ce blocage, allégué par la requérante, une injonction de blocage de l’ARCOM prise sur le fondement de l’article 10-1 de la loi du 21 juin 2004 ne porte pas atteinte à la substance même du droit à la liberté d’entreprise.

28. Il résulte de ce qui précède que le dispositif de blocage résultant de la combinaison de l’article 10-1 de la loi du 21 juin 2004 et de l’article 227-24 du code pénal décrit au point 5, est adapté, nécessaire et proportionné à l’objectif poursuivi. En outre, il n’est pas fondé sur le caractère illicite du contenu pornographique qu’il vise. Par suite, la société Cloudflare, Inc. n’est pas fondée à soutenir que les dispositions sur lesquelles repose la décision de blocage attaquée et cette décision méconnaissent la liberté d’entreprise et la liberté d’expression. Dès lors, ces moyens doivent être écartés.

En ce qui concerne le moyen tiré de la méconnaissance par la décision attaquée de l’article 9 du règlement (UE) 2022/2065 du 19 octobre 2022 :

29. Il résulte des termes mêmes de l’article 9 du règlement du 19 octobre 2022 qu’il ne concerne que l’« injonction d’agir contre un ou plusieurs éléments spécifiques de contenu illicite », catégorie dans laquelle n’entre pas la mesure attaquée, celle-ci portant injonction de blocage d’un service de plateforme de partage de vidéos à contenu pornographique accessible sans vérification de l’âge de ses utilisateurs. Par suite, la société Cloudflare, Inc. ne peut utilement soutenir que, n’incluant aucune mention quant à sa portée territoriale et ne se limitant pas au territoire français, cette décision méconnaît l’article 9 de ce règlement. En tout état de cause, la décision a été prise sur le fondement des dispositions de l’article 10-1 de la loi du 21 juin 2004, lesquelles constituent une loi de police au sens de l’article 3 du code civil qui dispose que « les lois de police et de sûreté obligent tous ceux qui habitent le territoire. / (…) ». Or, il ne résulte pas des dispositions de l’article 10-1 que ces mesures de blocage visent à empêcher l’accès à ce type de service par des mineurs situés en dehors du territoire français. Dans ces conditions, alors même qu’elles visent des plateformes de partage de vidéos pouvant avoir leur siège hors de B…, ces dispositions doivent nécessairement être regardées comme visant limitativement l’accès à ces services par des mineurs situés sur le territoire français. Par suite, la décision de blocage attaquée doit implicitement mais nécessairement être elle-même regardée comme ne s’appliquant que sur le territoire français. Dès lors, le moyen invoqué doit être écarté.

30. Il résulte de tout ce qui précède que la société Cloudflare, Inc. n’est pas fondée à soutenir que la décision de l’ARCOM du 27 mars 2026 est illégale et à en demander l’annulation.

Sur les frais liés au litige :

31. Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce que soit mise à la charge de l’Etat, qui n’est pas dans la présente instance la partie perdante, la somme demandée par la société Cloudflare, Inc. au titre des frais exposés par elle et non compris dans les dépens.

D E C I D E :

Article 1er : La requête de la société Cloudflare, Inc. est rejetée.

Article 2 : Le présent jugement sera notifié à la société Cloudflare, Inc. et à l’autorité de régulation de la communication électronique (ARCOM).

Une copie en sera adressée, pour information, à la ministre de la culture.

Délibéré après l’audience du 15 mai 2026, à laquelle siégeaient :

M^me Aubert, présidente,

M. Julinet, premier conseiller,

M. Prost, premier conseiller.

Rendu public par mise à disposition au greffe le 22 mai 2026.

Le rapporteur,

S. JULINET

La présidente,

S. AUBERT

La greffière,

A. LOUART

La République mande et ordonne à la ministre de la culture en ce qui la concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution du présent jugement.