Tribunal Administratif de Paris — Décision N° TA75-2506972

Vu la procédure suivante :

Par une requête et un mémoire, enregistrés les 12 mars et 3 avril 2025, la société Cloudflare, représentée par Me Marc Schuler et Me Julie Dumontet, demande au tribunal :

1°) à titre principal, d'annuler la décision du 6 mars 2025 par laquelle le président de l'autorité de régulation de la communication audiovisuelle et numérique (Arcom) lui a notifié l'adresse électronique https://camschat.net/ afin qu'elle empêche l'accès à cette adresse dans un délai de quarante-huit heures pour une durée de deux ans et l'informe que les utilisateurs souhaitant accéder à l'adresse sont redirigés vers une page d'information de l'Arcom accessible à l'adresse 91.134.78.244 ;

2°) à titre subsidiaire, de surseoir à statuer et saisir la Cour de justice de l'Union européenne des questions préjudicielles suivantes :

1. Des dispositions nationales d'un Etat membre qualifiant certains agissements comme constitutifs d'une infraction pénale et imposant, de jure ou de facto, à certains fournisseurs de services de la société de l'information, tels que les éditeurs de sites pornographiques et les fournisseurs de plateforme de partage de vidéos pornographiques, fournissant leurs services sur le territoire de cet Etat Membre, de mettre en place un mécanisme de vérification de l'âge de leurs utilisateurs ne reposant pas sur une simple déclaration de majorité, doivent-elles être interprétées comme une règle technique au sens de l'article 5 de la Directive (UE) 2015/1535 du 9 septembre 2015 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information, dont le projet aurait dû être communiqué à la Commission européenne '

2/ Les dispositions du Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques doivent-elles être interprétées en ce sens qu'un Etat membre tel que la France peut adopter et/ou maintenir des dispositions qui imposent à des fournisseurs de plateformes en ligne de mettre en œuvre un mécanisme de contrôle de l'âge de leurs utilisateurs et d'empêcher l'accès à leurs services aux utilisateurs mineurs '

3/ Les droits et libertés protégés par la charte des droits fondamentaux, notamment ses articles 47, 48 et 49, doivent-ils être interprétés comme s'opposant à ce qu'une autorité administrative d'un Etat membre puisse, à la fois (i) édicter les règles applicables à des fournisseurs de services de la société de l'information et dont le non-respect est constitutif d'une infraction pénale et (ii) poursuivre, qualifier et sanctionner une telle infraction pénale '

4/ Les droits et libertés protégés par la charte des droits fondamentaux, notamment ses articles 20 et 21, doivent-ils être interprétés comme s'opposant à ce que des dispositions nationales d'un Etat membre imposent des obligations aux seuls fournisseurs de services de la société de l'information établis sur le territoire de celui-ci ou en dehors du territoire de l'Union Européenne et soumettent le respect de ces mêmes obligations par les fournisseurs de services de la société de l'information établis sur le territoire d'un autre Etat membre de l'Union Européenne à des conditions supplémentaires '

5/ Les droits et libertés protégés par la charte des droits fondamentaux, notamment ses articles 16 et 52, doivent-ils être interprétés comme s'opposant à ce que des dispositions nationales prévoyant la possibilité pour une autorité administrative d'émettre des injonctions à l'encontre de certains fournisseurs de services intermédiaires d'empêcher l'accès à des sites internet, sous forme d'une obligation de résultat, et ne permettant à ces fournisseurs d'échapper à la sanction en cas de non-respect de l'injonction, qu'en démontrant un cas de force majeure ou une impossibilité de fait qui ne leur est pas imputable '

6/ Les droits et libertés protégés par la charte des droits fondamentaux, notamment son article 47, doivent-ils être interprétés comme s'opposant à ce que des dispositions nationales prévoient la possibilité pour une autorité administrative d'enjoindre à certains fournisseurs de services intermédiaires d'empêcher l'accès à des sites Internet, sans intervention d'un juge, sans débat contradictoire préalable et en permettant simplement au destinataire de l'injonction de contester cette injonction a posteriori dans un délai de cinq jours suivant la réception de l'injonction '

7/ Les droits et libertés protégés par la charte des droits fondamentaux, notamment son article 10, doivent-ils être interprétés comme s'opposant à ce que des dispositions nationales prévoient la possibilité pour une autorité administrative d'émettre des injonctions à l'encontre de certains fournisseurs de services intermédiaires visant à empêcher l'accès à des sites Internet diffusant du contenu pornographique licite, dès lors que l'éditeur du site ne contrôle pas l'âge de ses utilisateurs, sans intervention d'un juge et pour une durée pouvant aller jusqu'à deux années '

8/ Les dispositions de l'article 9 du Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques doivent-elles être interprétées comme s'opposant à ce qu'une autorité administrative enjoigne à un fournisseur de services intermédiaires d'empêcher l'accès à un contenu en ligne contraire au droit national, sans préciser le champ d'application territorial de cette injonction et/ou en prévoyant un champ d'application plus large que le seul territoire national sur lequel le contenu en ligne est considéré illicite '

3°) de mettre à la charge de l'Etat la somme de 5 000 euros à lui verser en application de l'article L. 761-1 du code de justice administrative.

Elle soutient, dans le dernier état de ses écritures, que :

S'agissant de la légalité externe :

- la décision attaquée est insuffisamment motivée ;

- elle méconnaît l'article L. 212-1 du code des relations entre le public et l'administration en l'absence de précision de la qualité de son auteur et de signature lisible et s'apparentant à une signature manuscrite ou à une signature électronique par un procédé en garantissant l'intégrité ; sa version en anglais, qui est exigée par l'article 9 du règlement (UE) 2022/2065 (règlement DSA), ne précise pas la qualité de son auteur ;

S'agissant de la légalité interne :

- en premier lieu, étant fondée sur les dispositions de l'article 227-24 du code pénal et de l'article 10-1 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique qui méconnaissent le droit européen, la décision de blocage est illégale ;

- les obligations de vérification d'âge imposées aux éditeurs de sites et plateformes de partage de vidéos pornographiques découlant de ces dispositions qui ne reposent pas sur une simple déclaration de majorité constituent une règle technique qui n'a pas été notifiée à la Commission européenne conformément à la directrice (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 et sont, par suite, inopposables ;

- ces obligations méconnaissent le règlement DSA, la protection des mineurs sur les plateformes en ligne, y compris les plateformes de partage de vidéos, entrant dans le champ de ce règlement et l'obligation pour les fournisseurs de plateforme de partage de vidéos en ligne d'implémenter un mécanisme pour contrôler l'âge de leurs utilisateurs constituant une exigence nationale supplémentaire interdite au titre de ce règlement ; la France ne dispose pas à ce titre d'une compétence transitoire qu'il n'appartient pas à la Commission européenne de lui accorder ; la mise en œuvre d'une telle compétence, à la supposer possible, ne devrait pas contrevenir au DSA et devrait préciser les modalités de son application dans le temps ;

- le dispositif prévu par les articles 227-24 du code pénal et 10-1 de la loi du 21 juin 2004 porte atteinte aux droits à un recours effectif et à un procès équitable garantis par les articles 6 et 13 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales et l'article 47 de la charte des droits fondamentaux de l'Union européenne et méconnaît le droit à accéder à un tribunal impartial, les droits de la défense et le principe de légalité et de proportionnalité des délits et des peines garantis par les articles 47, 48 et 49 de cette charte ;

- ces dispositions prévoient que l'Arcom est chargée à la fois d'établir le référentiel déterminant les exigences techniques minimales pour qu'un système de vérification d'âge implémenté par un éditeur de site pornographique et/ou un fournisseur de plateforme de partage de vidéos pornographiques soit considéré comme suffisant pour ne pas donner lieu à une violation de l'article 227-24 du code pénal et de permettre de caractériser et sanctionner les infractions résultant d'une violation de cet article 227-24 ;

- les éditeurs des sites ou les fournisseurs des plateformes concernés sont privés des garanties procédurales liées au procès pénal, notamment de la séparation des fonctions de poursuite et de jugement, la qualification de l'infraction pénale et l'interprétation d'une disposition du code pénal relevant d'une autorité administrative et non d'un juge ;

- en prévoyant que l'obligation de vérification d'âge prévue par les dispositions des articles 10 et 10-1 de la loi du 21 juin 2004 s'applique aux opérateurs établis en France ou hors de l'Union européenne et qu'elle n'est applicable aux opérateurs établis dans un autre Etat membre de l'Union européenne que si certaines conditions sont remplies et s'ils ont été désignés par un arrêté conjoint du ministre chargé de la culture et de la communication et du ministre chargé du numérique, l'article 10-2 de cette loi méconnaît le principe d'égalité et de non-discrimination garanti par l'article 14 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, l'article 1er du protocole n° 12 à cette convention et les articles 20 et 21 de la charte des droits fondamentaux de l'Union européenne ;

- en deuxième lieu, le dispositif de l'article 10-1 de la loi du 21 juin 2004 permettant à l'Arcom d'enjoindre aux fournisseurs de systèmes de résolution de noms de domaine d'empêcher l'accès à des sites et/ou plateformes ne contrôlant pas l'âge de leur utilisateur en violation de l'article 227-24 du code pénal méconnaît le droit européen ;

- en prévoyant une injonction de blocage sous forme d'une obligation de résultat, une sanction pouvant aller jusqu'à 1% du chiffre d'affaires mondial hors taxe réalisé au cours de l'exercice précédent si le fournisseur de systèmes de résolution de noms de domaine ne parvient pas à atteindre ce résultat et qu'il ne peut échapper à une sanction que s'il a été confronté à un cas de force majeure ou à une impossibilité de fait qui ne lui est pas imputable, l'article 10-1 de la loi du 21 juin 2004 porte atteinte à la liberté d'entreprise et méconnaît le principe de proportionnalité garantis par les articles 16 et 52 de la charte des droits fondamentaux de l'Union européenne ;

- en prévoyant une injonction de blocage sans débat contradictoire préalable et avec un simple recours a posteriori dans un délai de cinq jours, alors que la décision de blocage doit être exécutée dans un délai de quarante-huit heures, l'article 10-1 de la loi du 21 juin 2004 porte atteinte aux droits à un recours effectif et à un procès équitable garantis par les articles 6 et 13 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales et l'article 47 de la charte des droits fondamentaux de l'Union européenne ;

- le contenu pornographique accessible via le site " camschat.net " n'étant pas par nature illicite, le blocage prévu par l'article 10-1 de la loi du 21 juin 2004 au seul motif que le site n'implémente pas un mécanisme de vérification de l'âge et, qui plus est, pour une durée de deux ans, constitue une atteinte disproportionnée à la liberté d'expression garantie par l'article 10 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;

- il ne lui est techniquement pas possible de procéder à la mesure de blocage sans compromettre l'efficacité de la totalité de son système ;

- en troisième lieu, la décision de blocage méconnaît l'article 9 du règlement DSA dès lors qu'elle n'inclut aucune mention quant à la portée territoriale de la mesure et ne la limite notamment pas au territoire français ; elle méconnaît l'article 28 bis de la directive 2010/13/UE visant à la coordination de certaines dispositions législatives, réglementaires et administratives des Etats membres relatives à la fourniture de services de médias audiovisuels (directive SMA), le fournisseur de la plateforme étant établi aux Etats-Unis ;

- en quatrième lieu, en prévoyant que " les utilisateurs souhaitant accéder au service dont l'accès est empêché sont redirigés vers une page d'information de l'Arcom () accessible à l'adresse suivante : 91.134.78.244. ", elle méconnaît l'article 10-1 de la loi du 21 juin 2004 qui ne prévoit pas la possibilité pour l'Arcom d'enjoindre aux fournisseurs du service de résolution de noms de domaine de rediriger les utilisateurs vers la page concernée de l'Arcom ;

- en cas de doute sur la conformité des dispositions de l'article 227-24 du code pénal et de l'article 10-1 de la loi du 21 juin 2004 et de la décision attaquée au droit de l'Union européenne, elle demande au tribunal de poser à la Cour de justice de l'Union européenne les huit questions préjudicielles précitées et de surseoir à statuer dans l'attente de la réponse de la Cour.

Par un mémoire en défense, enregistré le 19 mars 2025, l'autorité de régulation de la communication audiovisuelle et numérique (Arcom), représentée par la société Gury et Maître, conclut au rejet de la requête et à ce qu'il soit mis à la charge de la société Cloudflare la somme de 3 000 euros en application de l'article L. 761-1 du code de justice administrative.

Elle fait valoir que les moyens soulevés par la société requérante ne sont pas fondés.

Vu les pièces du dossier.

Vu :

- la Constitution, notamment son Préambule ;

- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;

- le traité sur le fonctionnement de l'Union européenne ;

- la charte des droits fondamentaux de l'Union européenne ;

- la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l'information, et notamment du commerce électronique, dans le marché intérieur (" directive sur le commerce électronique ") ;

- la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010 visant à la coordination de certaines dispositions législatives, réglementaires et administratives des États membres relatives à la fourniture de services de médias audiovisuels (directive Services de médias audiovisuels), telle que modifiée par la directive (UE) 2018/1808 du Parlement européen et du Conseil du 14 novembre 2018 ;

- la directive (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information ;

- le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) ;

- le code civil ;

- le code pénal ;

- le code des relations entre le public et l'administration ;

- la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;

- le décret n° 2021-1306 du 7 octobre 2021 relatif aux modalités de mise œuvre des mesures visant à protéger les mineurs contre l'accès à des sites diffusant un contenu pornographique ;

- le décret n° 2024-1181 du 16 décembre 2024 relatif à la procédure d'habilitation des agents de l'Autorité de régulation de la communication audiovisuelle et numérique et portant application des articles 6-8, 10-1 et 11 de la loi n° 2004-575 du 21 juin 2004 ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l'audience.

Ont été entendus au cours de l'audience publique du 11 avril 2025 :

- le rapport de M. Medjahed, premier conseiller ;

- les conclusions de Mme Kanté, rapporteure publique ;

- et les observations de Me Schuler, représentant la société Cloudflare, et de Me Gury, représentant l'Arcom.

Considérant ce qui suit :

1. Par une décision du 6 mars 2025, le président de l'autorité de régulation de la communication audiovisuelle et numérique (Arcom) a notifié à la société Cloudflare l'adresse électronique https://camschat.net/ afin qu'elle empêche l'accès à cette adresse dans un délai de quarante-huit heures pour une durée de deux ans et l'a informée que les utilisateurs souhaitant accéder à l'adresse sont redirigés vers une page d'information de l'Arcom accessible à l'adresse 91.134.78.244. Par la présente requête, la société Cloudflare demande au tribunal, à titre principal, l'annulation de cette décision du 6 mars 2025 ou, à titre subsidiaire, de surseoir à statuer et de saisir la Cour de justice de l'Union européenne de huit questions préjudicielles.

Sur les conclusions à fin d'annulation :

En ce qui concerne la légalité externe :

2. En premier lieu, aux termes de l'article L. 211-2 du code des relations entre le public et l'administration : " Les personnes physiques ou morales ont le droit d'être informées sans délai des motifs des décisions administratives individuelles défavorables qui les concernent. / A cet effet, doivent être motivées les décisions qui : / 1° Restreignent l'exercice des libertés publiques ou, de manière générale, constituent une mesure de police ; / () ". L'article L. 221-5 du même code précise en outre que : " La motivation exigée par le présent chapitre doit être écrite et comporter l'énoncé des considérations de droit et de fait qui constituent le fondement de la décision ".

3. La décision attaquée mentionne notamment qu'il a été constaté, d'une part, le 12 février 2025 par un agent habilité et assermenté de l'Arcom, que l'accès aux contenus à caractère pornographique diffusés sur le service " Camschat " accessible depuis l'adresse https://camschat.net/ n'est pas conditionné à une vérification de l'âge de l'utilisateur et que cette situation constitue un manquement à l'article 227-24 du code pénal et, d'autre part, l'absence des informations mentionnées aux I et II de l'article 1-1 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique et qu'en conséquence, en application du III de l'article 10-1 de cette loi, l'Arcom a décidé de notifier cette adresse électronique à la requérante afin qu'elle empêche l'accès au service " Camschat " pour une durée de deux ans, dans un délai de quarante-huit heures, et l'informe que les utilisateurs souhaitant accéder à l'adresse sont redirigés vers une page d'information de l'Arcom accessible à l'adresse 91.134.78.244. Par suite, cette décision, qui n'avait pas à détailler le contenu du procès-verbal établi en application des dispositions du VII de l'article 10-1 de la loi du 21 juin 2004 par l'agent habilité et assermenté pour constater qu'un service de communication au public en ligne ou un service de plateforme de partage de vidéos à contenus pornographiques permet l'accès à des mineurs à ces contenus en méconnaissance de l'article 227-24 du code pénal, comporte l'énoncé suffisant des considérations de droit et de fait sur lesquelles elle est fondée. Dès lors, le moyen tiré de l'insuffisance de motivation doit être écarté.

4. En second lieu, aux termes de l'article L. 212-1 du code des relations entre le public et l'administration : " Toute décision prise par une administration comporte la signature de son auteur ainsi que la mention, en caractères lisibles, du prénom, du nom et de la qualité de celui-ci. () ".

5. Contrairement à ce que soutient la société Cloudflare, il ressort des mentions lisibles de la décision attaquée, notamment de son en-tête, que M. C B est l'auteur de cette décision en sa qualité de président de l'Arcom. En outre, il ne ressort pas des pièces du dossier que la décision a été signée par l'apposition d'une signature scannée et non signée de la main de son auteur. Par ailleurs, aucun élément du dossier ne permet de considérer que le président de l'Arcom n'est pas le signataire de cette décision. Enfin, la circonstance que la version anglaise de la notification de la décision attaquée ne précise pas son auteur, qui est postérieure à l'édiction de celle-ci, est sans incidence sur sa légalité. Dès lors, le moyen tiré de la méconnaissance de l'article L. 212-1 du code des relations entre le public et l'administration doit être écarté.

6. En outre, les contenus proposés par la société Camschat n'étant pas illicites, la société Cloudflare ne peut utilement se prévaloir, en tout état de cause, des dispositions de l'article 9 du règlement (UE) 2022/2065 du 19 octobre 2022 qui ne concerne que les injonctions d'agir contre les contenus illicites émises par les autorités nationales.

En ce qui concerne la légalité interne :

S'agissant du cadre juridique national :

7. Aux termes de l'article 10 de la loi du 21 juin 2004 pour la confiance dans l'économie numérique : " I. - L'Autorité de régulation de la communication audiovisuelle et numérique veille à ce que les contenus pornographiques mis à la disposition du public par un éditeur de service de communication au public en ligne, sous sa responsabilité éditoriale, ou fournis par un service de plateforme de partage de vidéos, au sens de l'article 2 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, ne soient pas accessibles aux mineurs. / Elle établit et publie à cette fin, après avis de la Commission nationale de l'informatique et des libertés, un référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l'âge. Ces exigences portent sur la fiabilité du contrôle de l'âge des utilisateurs et sur le respect de leur vie privée. Ce référentiel est actualisé en tant que de besoin dans les mêmes conditions. L'Autorité de régulation de la communication audiovisuelle et numérique peut exiger des éditeurs et des fournisseurs de services mentionnés au premier alinéa du présent I qu'ils conduisent un audit des systèmes de vérification de l'âge qu'ils mettent en œuvre afin d'attester de la conformité de ces systèmes avec les exigences techniques définies par le référentiel. Ledit référentiel précise les modalités de réalisation et de publicité de cet audit, qui est confié à un organisme indépendant disposant d'une expérience avérée. / L'éditeur de service de communication au public en ligne et le fournisseur d'un service de plateforme de partage de vidéos mentionnés au même premier alinéa prévoient l'affichage d'un écran ne comportant aucun contenu à caractère pornographique tant que l'âge de l'utilisateur n'a pas été vérifié. / II. - L'Autorité de régulation de la communication audiovisuelle et numérique peut, le cas échéant après avis du président de la Commission nationale de l'informatique et des libertés, mettre en demeure les personnes mentionnées au premier alinéa du I qui permettent l'accès à un contenu pornographique de se conformer, dans un délai d'un mois, au référentiel mentionné au deuxième alinéa du même I. Elle rend publiques ces mises en demeure. / Lorsque la personne ne se conforme pas à la mise en demeure à l'expiration de ce délai, l'Autorité de régulation de la communication audiovisuelle et numérique peut, après avis de la Commission nationale de l'informatique et des libertés, prononcer une sanction pécuniaire dans les conditions prévues à l'article 42-7 de la loi n° 86-1067 du 30 septembre 1986 précitée. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / La sanction prononcée ne peut excéder 150 000 euros ou 2 % du chiffre d'affaires mondial hors taxes réalisé au cours de l'exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 300 000 euros ou à 4 % du chiffre d'affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / () / III. - Les personnes mentionnées au I de l'article 10 de la loi n° 2004-575 du 21 juin 2004 précitée dont le service permet l'accès à des contenus pornographiques mettent en œuvre un système de vérification de l'âge conforme aux caractéristiques techniques du référentiel mentionné au même I dans un délai de trois mois à compter de la publication du référentiel par l'Autorité de régulation de la communication audiovisuelle et numérique ".

8. Aux termes de l'article 10-1 de cette loi : " I. - Lorsqu'une personne dont l'activité est de fournir un service de communication au public en ligne sous sa responsabilité éditoriale ou de fournir un service de plateforme de partage de vidéos permet à des mineurs d'avoir accès à un contenu pornographique en violation de l'article 227-24 du code pénal, l'Autorité de régulation de la communication audiovisuelle et numérique lui fait part de ses observations motivées par une lettre, remise par tout moyen propre à en établir la date de réception. A compter de la date de sa réception, le destinataire de cette lettre dispose d'un délai de quinze jours pour présenter ses observations. / A l'expiration de ce délai, l'Autorité de régulation de la communication audiovisuelle et numérique peut mettre en demeure la personne mentionnée au premier alinéa du présent I de prendre, dans un délai de quinze jours, toute mesure de nature à empêcher l'accès des mineurs à ces contenus. L'Autorité de régulation de la communication audiovisuelle et numérique rend publique cette mise en demeure. / II. - Lorsque la personne mentionnée au I ne se conforme pas à la mise en demeure à l'expiration du délai de quinze jours mentionné au second alinéa du même I, l'Autorité de régulation de la communication audiovisuelle et numérique peut prononcer une sanction pécuniaire dans les conditions prévues à l'article 42-7 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / La sanction prononcée ne peut excéder 250 000 euros ou 4 % du chiffre d'affaires mondial hors taxes réalisé au cours de l'exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 500 000 euros ou à 6 % du chiffre d'affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / Les sanctions pécuniaires sont recouvrées comme les créances de l'Etat étrangères à l'impôt et au domaine. / III. - En cas d'inexécution de la mise en demeure prévue au I du présent article, l'Autorité de régulation de la communication audiovisuelle et numérique peut notifier aux fournisseurs de services d'accès à internet ou aux fournisseurs de systèmes de résolution de noms de domaine mentionnés au II de l'article 12, par tout moyen propre à en établir la date de réception, les adresses électroniques des services de communication au public en ligne ou des services de plateforme de partage de vidéos ayant fait l'objet de la procédure prévue au I du présent article ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle, et qui présentent les mêmes modalités d'accès. Ces fournisseurs doivent alors empêcher l'accès à ces adresses dans un délai de quarante-huit heures. Toutefois, en l'absence de mise à disposition des informations mentionnées aux I et II de l'article 1er-1, l'Autorité de régulation de la communication audiovisuelle et numérique peut procéder à la notification prévue au présent III sans avoir mis en œuvre la procédure prévue au I du présent article. / Les utilisateurs des services de communication au public en ligne et des services de plateforme de partage de vidéos auxquels l'accès est empêché sont avertis par une page d'information de l'Autorité de régulation de la communication audiovisuelle et numérique indiquant les motifs de la mesure de blocage. / L'Autorité de régulation de la communication audiovisuelle et numérique peut également notifier les adresses électroniques de ces services ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle, et qui présentent les mêmes modalités d'accès aux moteurs de recherche ou aux annuaires, lesquels disposent d'un délai de quarante-huit heures afin de faire cesser le référencement des services concernés. / 1. Une copie des notifications adressées aux fournisseurs de services d'accès à internet, aux fournisseurs de systèmes de résolution de noms de domaine et aux moteurs de recherche ou aux annuaires est adressée simultanément à la personne dont l'activité est d'éditer le service de communication au public en ligne ou de fournir un service de plateforme de partage de vidéos concernée. / Les mesures prévues au présent III sont prononcées pour une durée maximale de deux ans. Leur nécessité est réévaluée, d'office ou sur demande, au moins une fois par an. Lorsque les faits mentionnés au premier alinéa du I ne sont plus constitués, l'Autorité de régulation de la communication audiovisuelle et numérique avise sans délai les destinataires des notifications prévues au présent III de la levée de ces mesures. / () / V. - Sans préjudice des articles L. 521-1 et L. 521-2 du code de justice administrative, les personnes mentionnées aux I à III du présent article peuvent demander au président du tribunal administratif ou au magistrat délégué par celui-ci l'annulation des mesures mentionnées aux mêmes I à III dans un délai de cinq jours à compter de leur réception. / Il est statué sur la légalité de la mesure de blocage ou de déréférencement dans un délai d'un mois à compter de la saisine. L'audience est publique. / Les jugements rendus en application des deux premiers alinéas du présent V sont susceptibles d'appel dans un délai de dix jours à compter de leur notification. Dans ce cas, la juridiction d'appel statue dans un délai de trois mois à compter de sa saisine. / VI. - Pour tout manquement aux obligations définies au III du présent article, l'Autorité de régulation de la communication audiovisuelle et numérique peut prononcer une sanction pécuniaire dans les conditions prévues à l'article 42-7 de la loi n° 86-1067 du 30 septembre 1986 précitée. / Toutefois, aucune sanction ne peut être prononcée lorsque, en raison de motifs de force majeure ou d'impossibilité de fait qui ne lui sont pas imputables, la personne concernée est placée dans l'impossibilité de respecter l'obligation qui lui a été faite ou, lorsque la procédure prévue au V du présent article a été engagée, tant qu'elle n'a pas fait l'objet d'une décision devenue définitive. / Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement, les avantages tirés de ce manquement et les manquements commis précédemment. / Le montant de la sanction ne peut excéder la somme de 75 000 euros ou 1 % du chiffre d'affaires mondial hors taxes réalisé au cours de l'exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 150 000 euros ou à 2 % du chiffre d'affaires mondial hors taxes, le plus élevé des deux montants étant retenu, en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première sanction est devenue définitive. / Les sanctions pécuniaires sont recouvrées comme les créances de l'Etat étrangères à l'impôt et au domaine. / VII. - Les agents de l'Autorité de régulation de la communication audiovisuelle et numérique peuvent, s'ils ont été spécialement habilités à cet effet par l'autorité et assermentés dans les conditions prévues au 2° du I de l'article 19 de la loi n° 86-1067 du 30 septembre 1986 précitée, constater par procès-verbal qu'un service de communication au public en ligne ou un service de plateforme de partage de vidéos permettant l'accès à des contenus pornographiques ne met pas en œuvre un système de vérification de l'âge conforme aux exigences techniques minimales du référentiel mentionné à l'article 10 de la présente loi ou permet à des mineurs d'avoir accès à un contenu pornographique en violation de l'article 227-24 du code pénal. ".

9. Aux termes de l'article 227-24 du code pénal, tel que modifié par la loi n° 2020-936 du 30 juillet 2020 qui transcrit en cela une jurisprudence constante de la Cour de cassation : " Le fait soit de fabriquer, de transporter, de diffuser par quelque moyen que ce soit et quel qu'en soit le support un message à caractère () pornographique () soit de faire commerce d'un tel message, est puni de trois ans d'emprisonnement et de 75 000 euros d'amende lorsque ce message est susceptible d'être vu ou perçu par un mineur. / () / Les infractions prévues au présent article sont constituées y compris si l'accès d'un mineur aux messages mentionnés au premier alinéa résulte d'une simple déclaration de celui-ci indiquant qu'il est âgé d'au moins dix-huit ans ".

10. Il résulte de la combinaison de ces dispositions qu'un prestataire d'un service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos ne peut pas permettre à un mineur d'avoir accès à un contenu pornographique, y compris si cet accès résulte d'une simple déclaration du mineur indiquant qu'il est âgé d'au moins dix-huit ans. Lorsque le prestataire ne se conforme pas au référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l'âge établi par l'Arcom, cette autorité peut, en application de l'article 10 de la loi du 21 juin 2004, mettre en demeure le prestataire de se conformer dans un délai d'un mois à ce référentiel, sous peine de se voir infliger une sanction pécuniaire. En outre, lorsque l'accès des mineurs aux contenus pornographiques proposés par le prestataire est caractérisé en violation de l'article 227-24 du code pénal, l'Arcom peut, en application de l'article 10-1 de la loi du 21 juin 2004, mettre en demeure ce prestataire de prendre toute mesure autre qu'une simple déclaration d'âge par l'utilisateur de nature à empêcher l'accès des mineurs à ces contenus dans un délai de quinze jours, sous peine de se voir infliger une sanction pécuniaire. Il en résulte également qu'en cas d'inexécution de la mise en demeure adressée au prestataire d'un service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos, l'Arcom peut demander en outre aux fournisseurs de services d'accès à internet ou de systèmes de résolution de noms de domaine d'empêcher l'accès à l'adresse électronique de ce service pour une durée maximale de deux ans, dans un délai de quarante-huit heures, sous peine de se voir infliger eux-mêmes une sanction pécuniaire. Les agents habilités et assermentés de l'Arcom constatent par procès-verbal qu'un prestataire ne met pas en œuvre un système de vérification de l'âge conforme aux exigences techniques minimales du référentiel mentionné à l'article 10 ou permet à des mineurs d'avoir accès à un contenu pornographique en méconnaissance de l'article 227-24 du code pénal.

11. La décision de blocage du 6 mars 2025 adressée à la société Cloudflare, fournisseur de systèmes de résolution de noms de domaine, a été prise sur le fondement de l'article 10-1 de la loi du 21 juin 2004 après qu'il a été constaté, d'une part, le 12 février 2025 par un agent habilité et assermenté de l'Arcom que l'accès aux contenus à caractère pornographique diffusés sur le service " Camschat " accessible depuis l'adresse https://camschat.net/ n'est pas conditionné à une vérification de l'âge de l'utilisateur et que cette situation constitue un manquement à l'article 227-24 du code pénal et, d'autre part, l'absence des informations mentionnées aux I et II de l'article 1-1 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique.

S'agissant des exigences inhérentes à la hiérarchie des normes :

12. En vertu des dispositions de l'article 55 de la Constitution, il appartient au juge administratif de contrôler la compatibilité entre les traités internationaux et les lois françaises même postérieures.

13. En vertu de l'article 88-1 de la Constitution : " La République participe à l'Union européenne constituée d'Etats qui ont choisi librement d'exercer en commun certaines de leurs compétences en vertu du traité sur l'Union européenne et du traité sur le fonctionnement de l'Union européenne, tels qu'ils résultent du traité signé à Lisbonne le 13 décembre 2007 ". Selon le paragraphe 3 de l'article 4 du traité sur l'Union européenne : " En vertu du principe de coopération loyale, l'Union et les États membres se respectent et s'assistent mutuellement dans l'accomplissement des missions découlant des traités. / Les États membres prennent toute mesure générale ou particulière propre à assurer l'exécution des obligations découlant des traités ou résultant des actes des institutions de l'Union. / Les États membres facilitent l'accomplissement par l'Union de sa mission et s'abstiennent de toute mesure susceptible de mettre en péril la réalisation des objectifs de l'Union ". La seconde phrase du paragraphe 1 de l'article 19 du même traité assigne à la Cour de justice de l'Union européenne la mission d'assurer " le respect du droit dans l'interprétation et l'application des traités ".

14. Lorsqu'il est saisi d'un recours contre un acte administratif relevant du champ d'application du droit de l'Union et qu'est invoqué devant lui le moyen tiré de ce que cet acte, ou les dispositions législatives qui en constituent la base légale ou pour l'application desquelles il a été pris, sont contraires à une directive ou un règlement européen, il appartient au juge administratif, après avoir saisi le cas échéant la Cour de justice d'une question préjudicielle portant sur l'interprétation ou la validité de la disposition du droit de l'Union invoquée, d'écarter ce moyen ou d'annuler l'acte attaqué, selon le cas.

S'agissant de la compatibilité avec le droit européen des dispositions de l'article 10-1 de la loi du 21 juin 2004 et de l'article 227-24 du code pénal :

15. En premier lieu, en application de l'article 5 de la directive 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015, tout Etat membre qui souhaite adopter une nouvelle règle technique au sens de cette directive ou modifier une règle technique existante doit, sauf s'il s'agit d'une simple transposition intégrale d'une norme internationale ou européenne, en informer la Commission européenne dans les conditions prévues par cet article. Le f) du 1 de l'article 1er de cette directive définit une " règle technique " comme : " une spécification technique ou autre exigence ou une règle relative aux services, y compris les dispositions administratives qui s'y appliquent, dont l'observation est obligatoire de jure ou de facto, pour la commercialisation, la prestation de services, l'établissement d'un opérateur de services ou l'utilisation dans un État membre ou dans une partie importante de cet État, de même que, sous réserve de celles visées à l'article 7, les dispositions législatives, réglementaires et administratives des États membres interdisant la fabrication, l'importation, la commercialisation ou l'utilisation d'un produit ou interdisant de fournir ou d'utiliser un service ou de s'établir comme prestataire de services ". La " règle relative aux services " est définie au e) du même article comme : " une exigence de nature générale relative à l'accès aux activités de services () et à leur exercice, notamment les dispositions relatives au prestataire de services, aux services et au destinataire de services, à l'exclusion des règles qui ne visent pas spécifiquement les services définis audit point./ Aux fins de la présente définition :/ une règle est considérée comme visant spécifiquement les services de la société de l'information lorsque, au regard de sa motivation et du texte de son dispositif, elle a pour finalité et pour objet spécifiques, dans sa totalité ou dans certaines dispositions ponctuelles, de réglementer de manière explicite et ciblée ces services ". Enfin, selon le b) du même article, on entend par " service ", pour l'application de la directive : " tout service de la société de l'information, c'est-à-dire tout service presté normalement contre rémunération, à distance par voie électronique et à la demande individuelle d'un destinataire de services ".

16. Si le dispositif de blocage décrit au point 10 ci-dessus résultant de la combinaison de l'article 10-1 de la loi du 21 juin 2004 et de l'article 227-24 du code pénal n'impose pas de spécifications techniques aux prestataires d'un service de communication au public en ligne sous sa responsabilité éditoriale ou de plateforme de partage de vidéos pour vérifier l'âge des utilisateurs autre qu'une simple déclaration d'âge, il constitue néanmoins une exigence de nature générale relative à l'accès et à l'exercice d'un service de la société de l'information et, par suite, une règle technique au sens et pour l'application des dispositions précitées de la directive du 9 septembre 2015. Il ressort toutefois des pièces du dossier que ce dispositif a été communiqué, préalablement à son adoption, à la Commission européenne sur le fondement de l'article 5 de cette directive. Par suite, la société Cloudflare n'est pas fondée à soutenir que ce dispositif ne lui est pas opposable faute d'avoir été notifié à la Commission européenne. Dès lors, ce moyen doit être écarté.

17. En deuxième lieu, il résulte des dispositions de l'article 1er du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 qu'il " a pour objectif de contribuer au bon fonctionnement du marché intérieur des services intermédiaires en établissant des règles harmonisées pour un environnement en ligne sûr, prévisible et fiable qui facilite l'innovation et dans lequel les droits fondamentaux consacrés par la Charte, y compris le principe de protection des consommateurs, sont efficacement protégés ". En outre, il résulte des dispositions du 1 de l'article 2 et du e) de l'article 3 du même règlement qu'il s'applique aux services intermédiaires proposés aux destinataires du service dont le lieu d'établissement est situé dans l'Union ou qui sont situés dans l'Union, quel que soit le lieu d'établissement des fournisseurs de ces services intermédiaires, y compris à des fournisseurs ayant leur siège en dehors de l'Union s'il y a un lien étroit avec l'Union eu égard à des critères factuels tels qu'un nombre significatif de destinataires du service dans un ou plusieurs États membres par rapport à sa ou à leur population ou le ciblage des activités sur un ou plusieurs États membres.

18. Il résulte du point 9 de l'exposé des motifs de ce règlement qu'il " harmonise pleinement les règles applicables aux services intermédiaires dans le marché intérieur dans le but de garantir un environnement en ligne sûr, prévisible et de confiance, en luttant contre la diffusion de contenus illicites en ligne et contre les risques pour la société que la diffusion d'informations trompeuses ou d'autres contenus peuvent produire, et dans lequel les droits fondamentaux consacrés par la Charte sont efficacement protégés et l'innovation est facilitée ", qu'" en conséquence, les États membres ne devraient pas adopter ou maintenir des exigences nationales supplémentaires concernant les matières relevant du champ d'application du présent règlement, sauf si le présent règlement le prévoit expressément, car cela porterait atteinte à l'application directe et uniforme des règles pleinement harmonisées applicables aux fournisseurs de services intermédiaires conformément aux objectifs du présent règlement " mais que cela " ne devrait pas empêcher l'application éventuelle d'une autre législation nationale applicable aux fournisseurs de services intermédiaires, dans le respect du droit de l'Union, y compris la directive 2000/31/CE, et notamment son article 3, lorsque les dispositions du droit national poursuivent d'autres objectifs légitimes d'intérêt général que ceux poursuivis par le présent règlement ".

19. Il résulte des dispositions du règlement du 19 octobre 2022 qu'il encadre, de manière exhaustive sans prévoir la possibilité d'acte national complémentaire, le régime de protection des mineurs en ligne imposé, d'une part, aux fournisseurs de plateformes en ligne accessibles aux mineurs visés à l'article 28 du règlement du 19 octobre 2022 éclairé par le point 71 de l'exposé de ses motifs, en leur imposant de mettre en œuvre des mesures appropriées et proportionnées qu'ils déterminent eux-mêmes, en se référant au besoin à des lignes directrices publiées par la Commission européenne, pour garantir un niveau élevé de protection des mineurs sur leur service et qui ne consistent pas à recueillir l'âge du destinataire du service avant l'utilisation de ces plateformes et, d'autre part, aux fournisseurs de très grandes plateformes en ligne visés à ses articles 34 et 35 éclairés par le point 89 de l'exposé de ses motifs, en leur imposant de mettre en œuvre des mesures ciblées qu'ils déterminent eux-mêmes, en se référant au besoin à des lignes directrices publiées par la Commission européenne, visant à protéger les droits de l'enfant, y compris la vérification de l'âge et des outils de contrôle parental, pour éviter tout effet négatif réel ou prévisible lié à la protection des mineurs et les conséquences négatives graves sur leur bien-être physique et mental. Une plateforme en ligne peut être considérée, au sens du point 71 précité de l'exposé des motifs du règlement, comme accessible aux mineurs lorsque ses conditions générales permettent aux mineurs d'utiliser le service, lorsque son service s'adresse aux mineurs ou est utilisé de manière prédominante par des mineurs, ou lorsque le fournisseur sait par ailleurs que certains des destinataires de son service sont des mineurs, par exemple parce qu'il traite déjà des données à caractère personnel des destinataires de son service révélant leur âge à d'autres fins. Une très grande plateforme en ligne est, au sens des 1 et 4 de l'article 33 du règlement du 19 octobre 2022, une plateforme en ligne qui a un nombre mensuel moyen de destinataires actifs du service dans l'Union égal ou supérieur à 45 millions ou qui est désignée comme telle par une décision de la Commission européenne. L'harmonisation complète opérée par ces dispositions s'oppose ainsi à ce qu'un Etat membre édicte une mesure nationale méconnaissant ou allant au-delà du régime de protection des mineurs qu'elles prévoient.

20. En revanche, il résulte des articles 9 et 10 du règlement du 19 octobre 2022 éclairés par le point 31 de l'exposé de ses motifs qu'il encadre, de manière partielle, les injonctions d'agir contre les contenus illicites ou de fournir des informations adressées aux fournisseurs de services intermédiaires et émises par les autorités judiciaires ou administratives nationales compétentes sur la base du droit de l'Union ou du droit national conforme au droit de l'Union applicable, en permettant aux autorités nationales de fixer des exigences complémentaires relatives au traitement de ces injonctions dans le respect des conditions minimales spécifiques prévues par les dispositions précitées du règlement. Un service intermédiaire est, au sens du g) de l'article 3 du règlement du 19 octobre 2022 éclairé par le point 29 de l'exposé de ses motifs, un des services de la société de l'information tel qu'un service de " simple transport ", consistant à transmettre, sur un réseau de communication, des informations fournies par un destinataire du service ou à fournir l'accès à un réseau de communication, comme par exemple les services de DNS et de résolution de noms de domaine, un service de " mise en cache ", consistant à transmettre, sur un réseau de communication, des informations fournies par un destinataire du service, impliquant le stockage automatique, intermédiaire et temporaire de ces informations, effectué dans le seul but de rendre plus efficace la transmission ultérieure de ces informations à d'autres destinataires à leur demande ou un service d'" hébergement ", consistant à stocker des informations fournies par un destinataire du service à sa demande.

21. Par ailleurs, le règlement du 19 octobre 2022 ne fixe aucun âge légal minimal pour accéder à des contenus pornographiques ni n'autorise ou n'interdit l'accès à ces contenus à des mineurs. Il dispose toutefois, à son article 2, qu'il s'entend sans préjudice des règles établies par d'autres actes juridiques de l'Union régissant d'autres aspects de la fourniture de services intermédiaires dans le marché intérieur ou précisant et complétant le présent règlement, en particulier la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010 relative à certains aspects juridiques des services de la société de l'information, et notamment du commerce électronique, dans le marché intérieur, telle que modifiée par la directive 2018/1808 du 14 novembre 2018, qui prévoit à son article 28 ter que : " 1. Sans préjudice des articles 12 à 15 de la directive 2000/31/CE, les États membres veillent à ce que les fournisseurs de plateformes de partage de vidéos relevant de leur compétence prennent les mesures appropriées pour protéger : / a) les mineurs des programmes, vidéos créées par l'utilisateur et communications commerciales audiovisuelles susceptibles de nuire à leur épanouissement physique, mental ou moral, conformément à l'article 6 bis, paragraphe 1 ; / () / 3. Aux fins de l'application des paragraphes 1 et 2, les mesures appropriées sont déterminées en prenant en considération la nature du contenu en question, le préjudice qu'il pourrait causer, les caractéristiques de la catégorie des personnes à protéger ainsi que les droits et les intérêts légitimes en jeu, y compris ceux des fournisseurs de plateformes de partage de vidéos et ceux des utilisateurs qui ont créé le contenu ou l'ont mis en ligne, ainsi que l'intérêt public général. / Les États membres veillent à ce que tous les fournisseurs de plateformes de partage de vidéos relevant de leur juridiction appliquent ces mesures. Ces mesures sont réalisables et proportionnées, compte tenu de la taille du service de plateformes de partage de vidéos et de la nature du service fourni. Ces mesures n'entraînent pas de mesures de contrôle ex ante ni de filtrage de contenus au moment de la mise en ligne qui ne soient pas conformes à l'article 15 de la directive 2000/31/CE. Aux fins de la protection des mineurs prévue au paragraphe 1, point a), du présent article, les contenus les plus préjudiciables sont soumis aux mesures de contrôle d'accès les plus strictes. / Ces mesures consistent, selon ce qui est approprié, à : / () / f) mettre en place et utiliser des systèmes permettant de vérifier l'âge des utilisateurs des plateformes de partage de vidéos en ce qui concerne les contenus susceptibles de nuire à l'épanouissement physique, mental ou moral des mineurs ".

22. A résulte ainsi de l'ensemble des dispositions combinées du règlement du 19 octobre 2022 et de la directive du 10 mars 2010, telle que modifiée par la directive du 14 novembre 2018, que le règlement du 19 octobre 2022 n'encadre pas le régime de protection des mineurs pour les contenus pornographiques licites proposés par des plateformes de partage de vidéos en ligne qui ne sont normalement pas accessibles aux mineurs au sens de l'article 28 du règlement du 19 octobre 2022 éclairé par le point 71 de l'exposé de ses motifs ou qui ne sont pas des très grandes plateformes au sens des 1 et 4 de l'article 33 du règlement du 19 octobre 2022 et renvoie aux Etats membres, pour ces plateformes, la compétence pour édicter les mesures de contrôle d'accès appropriées les plus strictes, notamment en mettant en place des systèmes permettant de vérifier l'âge des utilisateurs des plateformes relevant de leur juridiction.

23. Il ressort des pièces du dossier et n'est pas contesté par la société Cloudflare que le fournisseur de la plateforme de partage de vidéos proposant le service " Camschat ", dont il est constant qu'il contient des contenus pornographiques licites, n'est pas une plateforme normalement accessible aux mineurs ou une très grande plateforme au sens du règlement du 19 octobre 2022. Dans ces conditions, dès lors que les dispositions de l'article 10-1 de la loi du 21 juin 2004 ne sont pas incompatibles avec le règlement du 19 octobre 2022 en tant qu'elles édictent un régime de protection des mineurs spécifique pour les plateformes de partage de vidéos à contenus pornographiques licites qui ne sont pas normalement accessibles aux mineurs ou des très grandes plateformes au sens du règlement, la société Cloudlfare n'est pas fondée à soutenir que ces dispositions sur lesquelles repose la décision de blocage attaquée, méconnaissent ce règlement. Dès lors, ce moyen doit être écarté.

24. En troisième lieu, aux termes de l'article 10-2 de la loi du 21 juin 2004 pour la confiance dans l'économie numérique : " I. - Les articles 10 et 10-1 s'appliquent aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos établis en France ou hors de l'Union européenne. / II. - Lorsque les conditions mentionnées au a du paragraphe 4 de l'article 3 de la directive 2000/31/ CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l'information, et notamment du commerce électronique, dans le marché intérieur (" directive sur le commerce électronique " ) sont remplies et au terme de la procédure prévue au b du paragraphe 4 ou, le cas échéant, au paragraphe 5 du même article 3, les articles 10 et 10-1 de la présente loi s'appliquent également aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos établis dans un autre Etat membre de l'Union européenne, trois mois après la publication de l'arrêté conjoint du ministre chargé de la culture et de la communication et du ministre chargé du numérique les désignant. L'Autorité de régulation de la communication audiovisuelle et numérique peut proposer aux ministres la désignation de ces personnes et fournit à l'appui tous les éléments de nature à justifier sa proposition. L'arrêté est pris après avis de l'Autorité de régulation de la communication audiovisuelle et numérique, sauf lorsqu'il fait suite à une proposition de l'Autorité portant sur chacun des fournisseurs désignés par cet arrêté ".

25. En outre, aux termes de l'article 1er de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 : " 1. La présente directive a pour objectif de contribuer au bon fonctionnement du marché intérieur en assurant la libre circulation des services de la société de l'information entre les États membres. / 2. La présente directive rapproche, dans la mesure nécessaire à la réalisation de l'objectif visé au paragraphe 1, certaines dispositions nationales applicables aux services de la société de l'information et qui concernent le marché intérieur, l'établissement des prestataires, les communications commerciales, les contrats par voie électronique, la responsabilité des intermédiaires, les codes de conduite, le règlement extrajudiciaire des litiges, les recours juridictionnels et la coopération entre États membres ".

26. Aux termes de l'article 2 de la même directive : " Aux fins de la présente directive, on entend par : / () / h) " domaine coordonné " : les exigences prévues par les systèmes juridiques des États membres et applicables aux prestataires des services de la société de l'information ou aux services de la société de l'information, qu'elles revêtent un caractère général ou qu'elles aient été spécifiquement conçues pour eux. / i) Le domaine coordonné a trait à des exigences que le prestataire doit satisfaire et qui concernent : / - l'accès à l'activité d'un service de la société de l'information, telles que les exigences en matière de qualification, d'autorisation ou de notification, / - l'exercice de l'activité d'un service de la société de l'information, telles que les exigences portant sur le comportement du prestataire, la qualité ou le contenu du service, y compris en matière de publicité et de contrat, ou sur la responsabilité du prestataire ".

27. Selon l'article 3 de la même directive : " 1. Chaque État membre veille à ce que les services de la société de l'information fournis par un prestataire établi sur son territoire respectent les dispositions nationales applicables dans cet État membre relevant du domaine coordonné. / 2. Les États membres ne peuvent, pour des raisons relevant du domaine coordonné, restreindre la libre circulation des services de la société de l'information en provenance d'un autre État membre. / () / 4. Les États membres peuvent prendre, à l'égard d'un service donné de la société de l'information, des mesures qui dérogent au paragraphe 2 si les conditions suivantes sont remplies : / a) les mesures doivent être : / i) nécessaires pour une des raisons suivantes : / - l'ordre public, en particulier la prévention, les investigations, la détection et les poursuites en matière pénale, notamment la protection des mineurs et la lutte contre l'incitation à la haine pour des raisons de race, de sexe, de religion ou de nationalité et contre les atteintes à la dignité de la personne humaine, / - la protection de la santé publique, / - la sécurité publique, y compris la protection de la sécurité et de la défense nationales, / - la protection des consommateurs, y compris des investisseurs ; / ii) prises à l'encontre d'un service de la société de l'information qui porte atteinte aux objectifs visés au point i) ou qui constitue un risque sérieux et grave d'atteinte à ces objectifs ; / iii) proportionnelles à ces objectifs ; / b) l'État membre a préalablement et sans préjudice de la procédure judiciaire, y compris la procédure préliminaire et les actes accomplis dans le cadre d'une enquête pénale : / - demandé à l'État membre visé au paragraphe 1 de prendre des mesures et ce dernier n'en a pas pris ou elles n'ont pas été suffisantes, / - notifié à la Commission et à l'État membre visé au paragraphe 1 son intention de prendre de telles mesures. () ".

28. Par son arrêt du 9 novembre 2023, Google Ireland Limited, Meta Platforms Ireland Limited, Tik Tok Technology Limited c/ Kommunikationsbehörde Austria (KommAustria) (C-376/22), la Cour de justice de l'Union européenne a retenu, aux paragraphes 42 à 44 de cet arrêt, que " la directive 2000/31 repose () sur l'application des principes de contrôle dans l'État membre d'origine et de la reconnaissance mutuelle, de telle sorte que, dans le cadre du domaine coordonné défini à l'article 2, sous h), de cette directive, les services de la société de l'information sont réglementés dans le seul État membre sur le territoire duquel les prestataires de ces services sont établis ", pour en déduire que " par conséquent, d'une part, il incombe à chaque État membre en tant qu'État membre d'origine de services de la société de l'information de réglementer ces services et, à ce titre, de protéger les objectifs d'intérêt général mentionnés à l'article 3, paragraphe 4, sous a), i), de la directive 2000/31 " et que " d'autre part, conformément au principe de reconnaissance mutuelle, il appartient à chaque État membre, en tant qu'État membre de destination de services de la société de l'information, de ne pas restreindre la libre circulation de ces services en exigeant le respect d'obligations supplémentaires, relevant du domaine coordonné, qu'il aurait adoptées ". La Cour a, pour ces motifs, dit pour droit que " l'article 3, paragraphe 4, de la directive 2000/31/CE () doit être interprété en ce sens que des mesures générales et abstraites visant une catégorie de services donnés de la société de l'information décrite en des termes généraux et s'appliquant indistinctement à tout prestataire de cette catégorie de services ne relèvent pas de la notion de " mesures prises à l'encontre d'un service donné de la société de l'information ", au sens de cette disposition ".

29. Enfin, il ressort de la jurisprudence constante de la Cour de justice de l'Union européenne que le principe d'égalité, en tant que principe général du droit de l'Union européenne garanti par les articles 20 et 21 de la charte des droits fondamentaux, exige que des situations comparables ne soient pas traitées de manière différente et que des situations différentes ne soient pas traitées de manière égale, à moins qu'un tel traitement ne soit objectivement justifié.

30. En l'espèce, les dispositions précitées de l'article 10-2 de la loi du 21 juin 2004 ont pour objet d'appliquer le dispositif de blocage décrit au point 10, d'une part, à tous les fournisseurs de plateforme de partage de vidéos établis en France ou hors de l'Union européenne et, d'autre part, à ceux établis dans un autre Etat membre de l'Union sous réserve qu'ils remplissent certaines conditions mentionnées au II de cet article 10-2. Si ces dispositions impliquent clairement une différence de traitement entre les fournisseurs établis en France ou hors de l'Union européenne et ceux établis dans un autre Etat membre de l'Union, cette différence se justifie par l'obligation pour la France de respecter les dispositions précitées de la directive du 8 juin 2000, telles qu'interprétées par la Cour de justice de l'Union européenne, qui interdisent à un Etat membre de prendre des mesures restreignant la libre circulation des services de la société de l'information en provenance d'un autre Etat membre, sauf à cibler un secteur spécifique ou certains prestataires de services en ligne en provenance d'un autre Etat membre, ainsi que le fait le II de l'article 10-2 de la loi du 21 juin 2004 en ciblant certains fournisseurs établis dans un autre Etat membre de l'Union. Dans ces conditions, ces entreprises sont placées dans des situations différentes. Par suite, le moyen tiré de ce que l'instauration de règles différentes pour les fournisseurs de plateformes de partage de vidéos établis, d'une part, en France ou hors de l'Union européenne et, d'autre part, dans un autre Etat membre de l'Union, porte atteinte au principe d'égalité en méconnaissance des articles 20 et 21 de la charte des droits fondamentaux de l'Union européenne doit être écarté ainsi qu'en tout état de cause et pour les mêmes motifs, celui tiré du caractère discriminatoire de la décision en méconnaissance du protocole n° 12 à la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales et de l'article 14 de cette convention.

31. En quatrième lieu, les décisions de blocage résultant de la combinaison de l'article 10-1 de la loi du 21 juin 2004 et de l'article 227-24 du code pénal constituent des mesures de police administrative et non des sanctions. La décision attaquée constitue ainsi une mesure de police qui, contrairement à ce que soutient la requérante, ne nécessite pas la qualification d'une infraction pénale ni l'interprétation d'une disposition pénale et ne fait pas application du référentiel technique de l'Arcom visé à l'article 10 de la loi 21 juin 2004, et elle n'a pas pour objet de sanctionner la société Cloudflare pour ne pas avoir mis en œuvre la mesure de blocage qui lui a été notifiée. Par suite et en tout état de cause, la société Cloudflare ne peut utilement invoquer les droits à un recours effectif et à un procès équitable garantis par l'article 47 de la charte des droits fondamentaux de l'Union européenne et les articles 6 et 13 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ni le droit à accéder à un tribunal impartial, les droits de la défense et le principe de légalité et de proportionnalité des délits et des peines garantis par les articles 47, 48 et 49 de cette charte pour contester la compatibilité avec le droit européen des dispositions nationales prévoyant la procédure de ces mesures de blocage devant l'Arcom. Dès lors, ces moyens doivent être écartés comme inopérants.

32. En cinquième lieu, les dispositions du V de l'article 10-1 de la loi du 21 juin 2004 encadrant les modalités de contestation en justice des mesures de blocage prévues à son III ne constituent pas la base légale de la décision de blocage attaquée. Dans ces conditions, le moyen tiré de ce que ces modalités de contestation, dont la mise en œuvre est au demeurant postérieure à la date de la décision attaquée, portent atteinte aux droits à un recours effectif et à un procès équitable garantis par l'article 47 de la charte des droits fondamentaux de l'Union européenne et les articles 6 et 13 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales est sans incidence sur la légalité de la décision attaquée. Dès lors, il doit être écarté comme inopérant.

33. En dernier lieu, aux termes de l'article 10 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales : " 1. Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les Etats de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations. / 2. L'exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l'intégrité territoriale ou à la sûreté publique, à la défense de l'ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d'autrui, pour empêcher la divulgation d'informations confidentielles ou pour garantir l'autorité et l'impartialité du pouvoir judiciaire ". Aux termes de l'article 11 de la charte des droits fondamentaux de l'Union : " 1. Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontières. / () ". Aux termes de l'article 16 de cette charte : " La liberté d'entreprise est reconnue conformément au droit de l'Union et aux législations et pratiques nationales ". Aux termes de l'article 52 de la même charte : " 1. Toute limitation de l'exercice des droits et libertés reconnus par la présente Charte doit être prévue par la loi et respecter le contenu essentiel desdits droits et libertés. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d'intérêt général reconnus par l'Union ou au besoin de protection des droits et libertés d'autrui. / () ".

34. Il résulte de ces textes que les restrictions apportées à la liberté d'entreprise et d'expression ne peuvent être autorisées que si elles sont prévues par la loi, répondent à des finalités légitimes et sont adaptées, nécessaires et proportionnées à l'objectif poursuivi.

35. D'une part, le dispositif de blocage décrit au point 10 ci-dessus résultant de la combinaison de l'article 10-1 de la loi du 21 juin 2004 et de l'article 227-24 du code pénal a pour objectif légitime d'empêcher l'accès des mineurs à des contenus à caractère pornographique en ligne par tous moyens autre qu'une simple déclaration d'âge de l'utilisateur afin de garantir la protection de l'intérêt supérieur de l'enfant consacrée à l'article 24 de la charte des droits fondamentaux de l'Union européenne.

36. D'autre part, si les mesures de blocage peuvent être prononcées pour une durée maximale de deux ans, elles ne s'appliquent qu'à des sites internet qui n'empêchent pas l'accès effectif des mineurs à un contenu pornographique en violation de l'article 227-24 du code pénal et il ne ressort pas des pièces du dossier que d'autres dispositifs, impliquant une ingérence dans l'exercice des droits des individus moins forte, permettraient d'atteindre les objectifs poursuivis. De plus, il résulte des dispositions contestées que la nécessité de ces mesures doit être réévaluée lorsque la personne intéressée en fait la demande et, y compris d'office, au moins une fois par an et l'autorité administrative compétente est tenue d'en donner mainlevée lorsque les faits en considération desquels ces mesures ont été ordonnées ne sont plus constitués.

37. En outre, l'autorité administrative compétente ne peut ordonner de telles mesures qu'après avoir adressé, si cela lui est possible, à la personne exploitant le ou les sites litigieux des observations motivées, à compter desquelles celle-ci dispose d'un délai de quinze jours pour présenter ses propres observations, puis une mise en demeure, restée infructueuse, de prendre, dans un délai de quinze jours, toute mesure de nature à empêcher cet accès.

38. Enfin, il est laissé le soin au fournisseur d'accès à internet ou de systèmes de résolution de noms de domaine concerné de déterminer les mesures concrètes à prendre. De plus, il résulte du VI de l'article 10-1 de la loi du 21 juin 2004 que la sanction infligée à ce fournisseur en cas d'inexécution de l'injonction de blocage n'est pas automatique, il ne résulte d'aucune disposition de la loi du 21 juin 2004 qu'il ne peut pas s'exonérer de sa responsabilité en prouvant qu'il a pris toutes les mesures raisonnables à cet effet ou en démontrant que les mesures ordonnées exigeraient qu'il consente à des sacrifices insupportables au sens de la jurisprudence de la Cour de justice de l'Union européenne et il est prévu au VI de l'article 10-1 qu'aucune sanction ne peut être prononcée lorsque, en raison de motifs de force majeure ou d'impossibilité de fait qui ne lui sont pas imputables, la personne concernée est placée dans l'impossibilité de respecter l'obligation qui lui a été faite ou, lorsqu'une contestation en justice a été engagée, tant qu'elle n'a pas fait l'objet d'une décision devenue définitive. Compte tenu de l'ensemble de ces éléments et en l'absence de précisions suffisantes sur les coûts résultant du blocage lui-même ou du ralentissement impliqué par ce blocage, allégué par la requérante, une injonction de blocage de l'Arcom prise sur le fondement de l'article 10-1 de la loi du 21 juin 2004 ne porte pas atteinte à la substance même du droit à la liberté d'entreprise.

39. Il résulte de ce qui précède que le dispositif de blocage décrit au point 10 est adapté, nécessaire et proportionné à l'objectif poursuivi. Par suite, la société Cloudflare n'est pas fondée à soutenir que ces dispositions sur lesquelles repose la décision de blocage attaquée méconnaissent la liberté d'entreprise et, pour les mêmes motifs et en tout état de cause, la liberté d'expression. Dès lors, ces moyens doivent être écartés.

S'agissant de la méconnaissance par la décision attaquée de l'article 9 du règlement (UE) 2022/2065 du 19 octobre 2022 et de l'article 28 bis de la directive 2010/13/UE du 10 mars 2010 :

40. En premier lieu, ainsi qu'il est dit au point 20 ci-dessus, l'article 9 du règlement du 19 octobre 2022 ne concerne que les injonctions d'agir contre les contenus illicites. Par suite, les contenus proposés par la société Camschat n'étant pas illicites, la société Cloudflare ne peut utilement soutenir que la mesure attaquée portant injonction de blocage d'un service de plateforme de partage de vidéos proposant des contenus pornographiques licites, prise sur le fondement des dispositions de l'article 10-1 de la loi du 21 juin 2004, méconnaît l'article 9 de ce règlement. En tout état de cause, les dispositions de l'article 10-1 de la loi du 21 juin 2004 constituent une loi de police au sens de l'article 3 du code civil qui dispose que " les lois de police et de sûreté obligent tous ceux qui habitent le territoire. / () ". Or, il ne résulte pas des dispositions de l'article 10-1 que ces mesures de blocage visent à empêcher l'accès à ce type de service par des mineurs situés en dehors du territoire français. Dans ces conditions, alors même qu'elles visent des plateformes de partage de vidéos pouvant avoir leur siège hors de France, ces dispositions doivent nécessairement être regardées comme visant limitativement l'accès à ces services par des mineurs situés sur le territoire français. Par suite, la décision de blocage attaquée doit implicitement mais nécessairement être elle-même regardée comme ne s'appliquant que sur le territoire français. Dès lors, ce moyen doit être écarté.

41. En second lieu, aux termes de l'article 2 de la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010, telle que modifiée par la directive (UE) 2018/1808 du 14 novembre 2018 : " 1. Chaque État membre veille à ce que tous les services de médias audiovisuels diffusés par des fournisseurs de services de médias relevant de sa compétence respectent les règles du droit applicable aux services de médias audiovisuels destinés au public dans cet État membre. / () ". Aux termes de l'article 3 de cette même directive : " 1. Les États membres assurent la liberté de réception et n'entravent pas la retransmission sur leur territoire de services de médias audiovisuels en provenance d'autres États membres pour des raisons qui relèvent des domaines coordonnés par la présente directive. / () ". Aux termes de son article 28 bis : " 1. Aux fins de la présente directive, un fournisseur de plateformes de partage de vidéos établi sur le territoire d'un État membre au sens de l'article 3, paragraphe 1, de la directive 2000/31/CE relève de la compétence dudit État membre. / () ".

42. Il résulte des dispositions précitées de cette directive qu'elle donne compétence à chaque Etat membre pour veiller à ce que les fournisseurs de plateforme de partage de vidéos établis sur son territoire et relevant par suite de sa compétence respectent les règles du droit applicable à ces plateformes destinés au public dans cet Etat membre, sans entraver les services en provenance d'un autre Etat membre sauf dérogation prévue par la directive elle-même. Elle ne contient en revanche aucune disposition faisant obstacle en elle-même à ce qu'un Etat membre précise les règles de protection des mineurs applicables aux plateformes de partage de vidéos en ligne établis en dehors de l'Union européenne et fournissant des services sur le territoire français. Dès lors, le moyen tiré de la méconnaissance de l'article 28 bis de cette directive doit être écarté.

S'agissant de la méconnaissance par la décision attaquée de l'article 10-1 de la loi du 21 juin 2004 :

43. Contrairement à ce que soutient la société Cloudflare, l'Arcom n'a pas, en se bornant à indiquer dans sa décision que " le deuxième alinéa du III précité prévoit que les utilisateurs souhaitant accéder au service dont l'accès est empêché sont redirigés vers une page d'information de l'Arcom " et que " celle-ci est accessible à l'adresse suivante : 91.134.78.244 ", mis à sa charge une obligation de rediriger les utilisateurs souhaitant accéder au service proposé par la société Camschat vers cette page d'information de l'Arcom. Par suite, en l'absence de décision mettant à sa charge une telle obligation, le moyen tiré de la méconnaissance par la décision du 6 mars 2025 de l'article 10-1 de la loi du 21 juin 2004 doit être écarté comme inopérant.

44. Il résulte de tout ce qui précède, et sans qu'il soit besoin de saisir la Cour de justice de l'Union européenne d'une question préjudicielle, que les conclusions à fin d'annulation doivent être rejetées.

Sur les frais liés au litige :

45. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce que soit mise à la charge de l'Arcom, qui n'est pas la partie perdante dans la présente instance, la somme que la société Cloudflare demande au titre des frais exposés et non compris dans les dépens. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire application de ces dispositions et de mettre à la charge de la société Cloudflare la somme que l'Arcom demande au même titre.

D E C I D E :

Article 1er : La requête de la société Cloudflare est rejetée.

Article 2 : Les conclusions présentées par l'Arcom sur le fondement de l'article L. 761-1 du code de justice administrative sont rejetées.

Article 3 : Le présent jugement sera notifié à la société Cloudflare et à l'autorité de régulation de la communication audiovisuelle et numérique (ARCOM).

Délibéré après l'audience du 11 avril 2025, à laquelle siégeaient :

Mme Aubert, présidente,

M. Julinet, premier conseiller,

M. Medjahed, premier conseiller.

Rendu public par mise à disposition au greffe le 15 avril 2025.

Le rapporteur,

Signé

N. MEDJAHED

La présidente,

Signé

S. AUBERT

La greffière,

Signé

A. LOUART

La République mande et ordonne à la ministre de la culture, en ce qui la concerne, ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.