Reprise en main administrative des contenus pornographiques accessibles aux mineurs sur internet

(1) V. not., ARCOM, 6 avr. 2023, déc. n° 2023-P-04, 2023-P-05 et 2023-P-06, Légipresse 2023. 193.

(2) Le TJ de Paris a ordonné une médiation, assez peu conforme à l'esprit du texte initial et qui a fort logiquement échoué (TJ Paris, 8 sept. 2022, n° 22/55687). Ensuite, il a transmis une QPC à la Cour de cassation qui a refusé son renvoi au Conseil constitutionnel (TJ Paris, 4 oct. 2022, n° 22/55795, Légipresse 2022. 526). Enfin, il a décidé de surseoir à statuer dans l'attente de la décision à venir du Conseil d'État sur la légalité du décret d'application (TJ Paris, 7 juill. 2023, n° 22/55687, Légipresse 2023. 385 et les obs.). Le Conseil d’État s'est, quant à lui, déclaré incompétent pour connaître de la légalité des mises en demeure ainsi délivrées au motif qu'elles étaient indissociables de la procédure susceptible d'être engagée à la suite devant le TJ (CE 29 nov. 2022, n° 463163, MG Freesites Ltd,Lebon ; Légipresse 2022. 657 et les obs. ; ibid. 2023. 241, étude N. Mallet-Poujol ; AJDA 2022. 2328 ; JCP 2023. 553, n° 17, obs. P. Idoux et L. Calandri).

(3) Le rapport de MM. Chaize et Hervé souligne que le dispositif antérieur est resté « lettre morte sur internet » (doc. Sénat n° 777, déposé le 27 juin 2023, p. 42).

(4) ARCOM, La fréquentation des sites « adultes » par les mineurs, mai 2023. Cette étude laisse apparaître une progression de 36 % en 5 ans de la fréquentation des sites réservés aux adultes par des mineurs. En 2022, chaque mois, 30 % des mineurs se seraient ainsi rendus au moins une fois sur ce type de site. Le temps moyen qu'ils y ont passé serait de 50 min par mois (7 min par jour). L'accès s'opérerait à 75 % par le téléphone mobile. Les garçons seraient deux fois plus nombreux que les filles.

(5) D. Cohen et a., Accès à la pornographie chez l'enfant et l'adolescent : conséquences et recommandations, Rapport et recommandations de l’ANM, Elsevier, 24 janv. 2023.

(6) Étude d'impact. Projet de loi SREN, 9 mai 2023, p. 36, art. 1, § 4.5.

(7) Rapport d'information n° 900 sur l'industrie de la pornographie (sous-titré : Porno : l'enfer du décor), fait au nom de la délégation aux droits des femmes du Sénat, déposé le 27. 2022. Il dénonce une « consommation massive, banalisée et toxique » de pornographie chez les enfants et adolescents (p. 76) qui propage une vision déformée et violente de la sexualité posant d'autant plus problème qu'elle est essentiellement le fait de garçons qui l'intériorisent dans leurs relations avec les filles.

(8) Génératrice de coûts (les manquements des sites devant être constatés par huissiers car les agents de l'ARCOM n'étaient pas habilités à les relever), et de délais trop importants (plus de 2 mois lorsqu'il s'agit d'assigner une personne morale à l'étranger : C. pr. civ., art. 643), cette procédure est apparue inefficace (Étude d'impact, préc., p. 47, art. 2, § 3.2). À noter qu'elle avait été créée à l'image de celle existant déjà en matière de jeux d'argent en ligne (Loi n° 2010-476 du 12 mai 2010, art. 61 ; v. E. Dreyer, Droit de la communication, 2e éd., LexisNexis, 2022, p. 391, n° 691) qui a également été transformée en procédure entièrement administrative (le blocage relevant désormais du président de l'ANJ : Loi n° 2022-296, 22 mars 2022, art. 49). Le gain d'efficacité serait d'ores et déjà mesurable (Rapport Sénat, préc., p. 49).

(9) CE, ass. avis, 27 avr. 2023, n° 406991, Loi SREN, § 8, évoquant le précédent de l'ord. n° 2005-1516 du 8 déc. 2005, art. 9.

(10) Cons. const. 17 mai 2024, n° 2024-866 DC, § 13, Légipresse 2024. 386, obs. G. Lécuyer ; Dalloz IP/IT 2024. 314, obs. C. Lamy.

(11) La passivité de l'ARCOM (faute de moyens dédiés ?) mérite également d'être notée. Non seulement, elle n'est pas à l'origine des premières mises en demeure délivrées sur le fondement de la loi du 30 juill. 2020 (sollicitées par 3 associations de défense des mineurs), mais elle n'a pas adopté les lignes directrices concernant la fiabilité de ces procédés techniques qui étaient envisagées, mais pas rendues obligatoires, à l'art. 3, al. 2, du décr. n° 2021-1306 du 7 oct. 2021 adopté pour préciser l'application de cette loi.

(12) Elle affirma que « sont suffisamment clairs et précis pour exclure tout risque d'arbitraire » les dispositions de l'art. 23 de la loi du 30 juill. 2020, ce qui ne répondait pas à la question posée (Civ. 1re, 5 janv. 2023, n° 22-40.017, Légipresse 2023. 10 et les obs. ; ibid. 241, étude N. Mallet-Poujol ; ibid. 2024. 257, obs. N. Mallet-Poujol ; D. 2023. 69 ; ibid. 1615, obs. P. Bonfils et A. Gouttenoire ; Dalloz IP/IT 2023. 603, obs. V. Younès-Fellous ; CCE 2023. Comm. 10, obs. A. Lepage).

(13) L'étroitesse de cette compétence normative s'avère compatible avec les exigences constitutionnelles en la matière (E. Dreyer, préc., p. 263, n° 479).

(14) La loi n° 2023-566 du 7 juill. 2023 prévoit d'ajouter un art. 6-7 LCEN dont l'al. 4 dispose déjà qu’« afin de vérifier l'âge des utilisateurs finaux et l'autorisation de l'un des titulaires de l'autorité parentale, les fournisseurs de services de réseaux sociaux en ligne utilisent des solutions techniques conformes à un référentiel élaboré par l'Autorité de régulation de la communication audiovisuelle et numérique, après consultation de la Commission nationale de l'informatique et des libertés ». Antérieure à la présente loi, cette disposition n'est pourtant toujours pas entrée en vigueur.

(15) À l'instar de l'ancien CSA (avis n° 2021-11 du 23 juin 2021), la CNIL a été sollicitée pour donner un avis sur le projet de décr. pris en application de la loi précédente (délib. n° 2021-069 du 3 juin 2021). Elle a poursuivi ensuite ses travaux avec un professeur de l'École polytechnique et le PEReN (Vérification de l'âge en ligne : trouver un équilibre entre protection des mineurs et respect de la vie privée, cnil.fr, 26 juill. 2022). Sur cette base, une expérimentation a été réalisée dès mars 2023 (Contrôle de l'âge pour l'accès aux sites pornographiques, cnil.fr, 21 fév. 2023). Des tests ont même été entrepris par la société Dorcel (J. Groffe-Charrier, Contrôle de l'âge du public de contenus pornographiques, CCE 2023. Étude 18, n° 13).

(16) Le risque de stigmatisation des internautes à qui est demandée une preuve d'âge est relativisé par le fait que celle-ci s'avère nécessaire non seulement pour accéder à des sites pornographiques, mais aussi pour acquérir de l'alcool, participer à des jeux d'argent ou paris en ligne, ainsi que pour accéder à certains services bancaires en ligne.

(17) La décis. automatisée prise par l'éditeur ou l'opérateur de plateforme sur le fondement de cette preuve d'âge relève de l'art. 22 RGPD dont le 2.b impose de prévoir une possibilité de contestation en cas de refus. Toutefois, si ce refus tient à une erreur dans la vérification de l'âge, le recours offert à l'utilisateur doit plutôt être dirigé contre le fournisseur d'une telle preuve. La loi ne comporte aucune disposition spécifique, ce qui est dommage.

(18) Une période transitoire est prévue, a priori de 6 mois, à compter de la publication du référentiel par l'ARCOM.

(19) À défaut, il appartient à ces éditeurs et opérateurs de plateforme d'afficher un écran, que certains parlementaires auraient voulu « noir » mais qui risque de se réduire à un simple floutage de la page d'accueil, ne comportant aucun contenu à caractère pornographique tant que l'âge de l'utilisateur n'a pas été vérifié (LCEN, art. 10-I, al. 3).

(20) En l'état, l'art. 10 LCEN contient 2 « II », ce qui signifie que le 2e est en réalité un III qui s'ignore et l'actuel III évoqué ici un IV. Ces coquilles mériteraient d'être corrigées d'urgence.

(21) LCEN, art. 10-1, VII.  Cela permettra d'accélérer le constat des manquements et d'en réduire les coûts. Cette assermentation n'a rien d'exceptionnel. Elle existait déjà dans la loi n° 86-1067 du 30 sept. 1986 s'agissant d'infractions à la diffusion de certains services audiovisuels (art. 19-I, 2° et 78, III).

(22) Solliciter un tel avis paraît essentiellement justifié lorsque la mise en demeure tient à l'adoption par l'éditeur d'un système de vérification d'âge non conforme au référentiel : l'avis de la CNIL peut être utile pour apprécier si la solution adoptée est suffisamment respectueuse de la vie privée des internautes. Il peut s'ensuivre le constat d'une protection insuffisante des données personnelles que l'obligation légale d'agir envisagée ici ne saurait justifier. À défaut, cet avis paraît sans objet.

(23) V. sur cette exigence classique, E. Dreyer, préc., p. 281, n° 513.

(24) Encore faudrait-il qu'elle puisse l'être, ce qui ne sera sans doute pas le cas contre des exploitants installés en dehors de l'UE.

(25) C'est le Conseil constitutionnel lui-même qui parle ici de « mesures de police administrative » (Cons. const. 17 mai 2024, n° 2024-866 DC, préc., § 30) afin d'écarter le grief tiré de la méconnaissance du principe de légalité des délits et des peines.

(26) LCEN, art. 10-1, I. Ce n'est plus là une prérogative du prés. de l'ARCOM : la décis. est prise par son collège, donc après un échange de vues qui doit permettre d'en mesurer la nécessité et la proportionnalité. On peut y voir une garantie supplémentaire.

(27) La procédure ainsi mise en œuvre n'est pas sans rappeler d'autres qui se multiplient dans la LCEN afin de permettre la mise en œuvre du DSA (art. 6-1-4, 9-2, 11). Leur éclatement laisse désormais à désirer, d'autant que le blocage par l'OCLCTIC des sites diffusant des contenus terroristes ou pédopornographiques est modernisé mais pas remis en cause (LCEN, art. 6-1 et s.). Penser à l'instauration d'un régime commun devient nécessaire.

(28) Ce n'est pourtant pas ce que les parlementaires croyaient faire : ils s'enorgueillissaient d'avoir introduit une modulation de la sanction pécuniaire en fonction du degré de coopération des éditeurs, qui ne résulte nullement de ces textes. L'idée était d'appliquer les sanctions les plus lourdes aux éditeurs n'ayant pas mis en place de système de vérification d'âge et des sanctions plus modérées aux éditeurs ayant mis en place un système de vérification d'âge ne répondant pas entièrement aux exigences du référentiel (P. Midy et a., Rapport AN n° 1674, enregistré le 21 sept. 2023, p. 31). Ils n'ont pas exprimé correctement cette idée dans la loi.

(29) V., le reconnaissant formellement, Rapport Sénat, préc., p. 51. Cela rend assez vaine la question supplémentaire du cumul de telles sanctions avec les peines fulminées à l'art. 227-24 c. pén. A priori, ces sanctions peuvent s'additionner sans limites, car elles n'ont pas la même cause : les sanctions pécuniaires trouvent leur origine dans la persistance d'un manquement administratif constaté après mise en demeure (manquement à une obligation de moyens) alors que les sanctions pénales trouvent directement leur origine dans la commission des faits incriminés (manquement à une obligation de résultat). Toutefois, la sanction des manquements administratifs en question ayant pour but de prévenir la perpétuation de tels faits, il existe un lien logique entre eux qui pourrait rendre excessif ce cumul de sanctions de même nature. Il n'aurait pas été inutile de prévoir là-aussi que le montant global des amendes prononcées ne puisse dépasser le maximum légal le plus élevé encouru.

(30) Le Conseil constitutionnel a estimé que « la durée maximale des mesures de blocage et de déréférencement que peut prononcer l'autorité administrative n'est pas disproportionnée au regard de l'objectif poursuivi par le législateur » (Cons. const. 17 mai 2024, n° 2024-866 DC, préc., § 26). Une telle appréciation semble notamment justifiée par le fait qu'il s'agit de mettre fin à la consommation d'une infraction pénale (C. pén., art. 227-24), en l'absence de mesure alternative proposée dans le cadre de la procédure contradictoire préalable et alors que la mesure peut être contestée (en référé et dans le cadre d'un recours spécifique) ou réévaluée lorsque la personne intéressée en fait la demande et, y compris d'office, au moins une fois par an.

(31) N'a, semble-t-il, jamais été envisagé l'argument selon lequel les mécanismes déjà existants rendraient ce contrôle trop lourd par rapport à l'enjeu. En effet, la loi n° 2022-300 du 2 mars 2022 a imposé aux fabricants d'installer sur les appareils connectés à internet vendus en France des dispositifs de contrôle par les parents facilement accessibles et compréhensibles (CPCE, art. L. 34-9-3). Les importateurs, distributeurs et commerçants vendant des appareils d'occasion doivent vérifier que les produits sont certifiés par les fabricants à cet égard. La généralisation de ce contrôle parental n'est-elle pas une mesure suffisante ? La question se pose car, s'agissant au contraire du contrôle de la majorité numérique (LCEN, art. 6-VII, à venir), seule une sanction pécuniaire et non un blocage a été envisagé dès lors qu’« un tel dispositif aurait été disproportionné, compte tenu du nombre d'utilisateurs de tels sites » (Rapport AN, préc., p. 34). En d'autres termes, les réseaux sociaux ne peuvent être bloqués au seul motif qu'ils ne contrôlent pas l'âge de ceux qui s'y inscrivent car on ne veut pas empêcher l'accès des majeurs à ces réseaux. Pourquoi en irait-il différemment ici ? Parce que permettre l'accès de mineurs à des contenus pornographiques est considéré comme intrinsèquement illicite alors que permettre l'inscription sur un réseau social sans contrôle de la majorité numérique des internautes ne constitue pas une infraction.

(32) Cons. const. 17 mai 2024, n° 2024-866 DC, préc., § 29. L'avis du Conseil d'État sur le projet de loi allait dans le même sens (§ 13).

(33) C'est du moins ce qu'a estimé la Cour de cassation en refusant de renvoyer au Conseil constitutionnel une QPC concernant le texte antérieur : « L'atteinte portée à la liberté d'expression, en imposant de recourir à un dispositif de vérification de l'âge de la personne accédant à un contenu pornographique, autre qu'une simple déclaration de majorité, est nécessaire, adaptée et proportionnée à l'objectif de protection des mineurs » (Civ. 1re, 5 janv. 2023, n° 22-40.017, préc.).

(34) On notera tout de même que la définition de la pornographie est la grande absente de ces débats qui partent du principe que les éditeurs concernés se reconnaîtront nécessairement. Cela ne fait aucun doute pour ceux qui revendiquent mettre à la disposition du public un tel contenu. Les autres trouveront peut-être les obligations découlant de la présente loi un peu trop lourdes, a fortiori si leur objet principal n'est pas de diffuser de tels contenus. Quid de l'internaute qui prétend filmer ses ébats et en faire profiter chacun sur son blog ?

(35) Évidemment, ces dispositions « s'appliquent aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos établis en France ou hors de l'Union européenne » (LCEN, art. 10-2, I). La situation est plus complexe pour les prestataires établis dans un autre État membre de l'UE. Néanmoins, l'art. 10-2, II, LCEN dispose que la loi française leur est également applicable dès lors qu'il s'agit de protéger les mineurs, que les mesures envisagées restent proportionnées à un tel objectif (car il ne s'agit pas d'interdire toute mise en ligne de contenus pornographiques) et que la procédure prévue au b) de l'art. 3 de la dir. n° 2000/31 a été respectée (demande infructueuse adressée à l'État membre sur le territoire duquel le prestataire est établi, notification de la mesure envisagée à la Commission et à l'État concerné), sauf urgence (permettant une notification a posteriori).

(36) Souvenons-nous qu'à la suite de l'arrêt Google et a. de la CJUE du 9 nov. 2023 (CJUE 9 nov. 2023, aff. C-376/22, Légipresse 2023. 653 et les obs. ; ibid. 2024. 257, obs. N. Mallet-Poujol ; D. 2023. 2007 ; ibid. 2024. 19, point de vue T. Douville ; Dalloz IP/IT 2023. 613, obs. A.-L. Pasquet ; ibid. 2024. 237, obs. J. Charpenet), le Conseil d'État, saisi d'une contestation portant sur le décr. n° 2021-1306 du 7 oct. 2021 pris en application de la loi précédente, a estimé nécessaire d'adresser différentes questions préjudicielles à la juridiction de Luxembourg pour vérifier dans quelles conditions le dispositif ainsi mis en œuvre était conforme au droit de l'Union (CE 6 mars 2024, n° 461193,Lebon ; Légipresse 2024. 142 et les obs. ; AJ fam. 2024. 181, obs. L. Mary ; CCE 2024. Comm. 57, obs. E. Raschel).

(37) Rappelons que l'art. 28, I, DSA se contente d'énoncer que « les fournisseurs de plateformes en ligne accessibles aux mineurs mettent en place des mesures appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service », alors que son III ajoute : « Le respect des obligations énoncées dans le présent article n'impose pas aux fournisseurs de plateformes en ligne de traiter des données à caractère personnel supplémentaires afin de déterminer si le destinataire du service est un mineur. » Au titre de l'atténuation des risques devant être opérée par les très grandes plateformes, l'art. 35, I, se contente, lui, d'envisager l'éventualité (j) de « l'adoption de mesures ciblées visant à protéger les droits de l'enfant, y compris la vérification de l'âge et des outils de contrôle parental, ou des outils permettant d'aider les mineurs à signaler les abus ou à obtenir un soutien, s'il y a lieu ».

(38) Un autre problème tient à l'intervention de l'ARCOM pour empêcher le téléchargement d'applications permettant l'accès aux sites bloqués : les boutiques d'applications logicielles en question (Google Play et Appel Store, essentiellement) appartiennent à deux TGP en ligne, qui relèvent à ce titre prioritairement du DSA. Les obligations supplémentaires qui leurs sont imposées en France sont-elles légitimes ?