Plateformes numériques : l’État de destination n’impose que des mesures ciblées

L’État d’établissement contrôle ; les autres ne dérogent que service par service

La directive sur le commerce électronique pose la règle depuis 2000. Chaque État veille à ce que les services en ligne fournis par les prestataires établis sur son territoire respectent son droit ; les autres États ne peuvent, pour des raisons relevant du « domaine coordonné », restreindre la libre circulation de ces services. Un État de destination peut déroger à cette règle à l’égard d’« un service donné », par une mesure proportionnée et nécessaire pour un motif tel que la protection des mineurs. Il doit au préalable demander à l’État d’établissement d’agir, puis notifier son intention à la Commission et à cet État ; en cas d’urgence, il peut se dispenser de ces formalités préalables et notifier la mesure après coup (dir. 2000/31/CE, art. 3).

Deux arrêts excluent les lois visant toute une catégorie de services

La Cour de justice a jugé en 2023, à propos d’une loi autrichienne, que des mesures « générales et abstraites visant une catégorie de services donnés » et s’appliquant indistinctement à tout prestataire ne sont pas des mesures prises à l’encontre d’un service donné (CJUE, 9 nov. 2023, C-376/22, Google Ireland e.a.). Saisie par le Conseil d’État français, la Cour, en grande chambre, a précisé le 16 juin 2026 que le domaine coordonné peut couvrir des règles pénales générales et abstraites, et qu’un État ne peut appliquer aux prestataires établis dans un autre État membre une obligation générale visant à empêcher l’accès des mineurs aux contenus pornographiques. Elle admet en revanche qu’un État impose un système de vérification de l’âge à un service donné établi ailleurs, lorsque ce service n’a pas pris les mesures appropriées prévues par le droit de l’Union. Elle qualifie en outre les obligations préalables de demande et de notification d’« exigences procédurales de nature substantielle » : leur méconnaissance rend la mesure inopposable aux particuliers (CJUE, gde ch., 16 juin 2026, C-188/24 et C-190/24, WebGroup Czech Republic e.a., pt 98 et dispositif). La note d’analyse de XXI Institut du 1er novembre 2026 sur les réseaux sociaux avant 15 ans applique ces solutions à la loi du 24 août 2026.

La notification à la Commission suspend l’adoption du texte national

Une seconde procédure s’ajoute. Tout projet de règle technique, catégorie qui comprend les règles relatives aux services de la société de l’information, doit être communiqué à la Commission, et son adoption est reportée de trois mois ; ce délai passe à quatre mois si la Commission ou un État émet un avis circonstancié, et à douze mois si la Commission constate que le projet porte sur une matière couverte par une proposition d’acte de l’Union (dir. (UE) 2015/1535, art. 5 et 6). Depuis 1996, sous l’empire de la directive alors applicable, la Cour de justice retient que le juge national doit refuser d’appliquer une règle technique qui n’a pas été notifiée (CJCE, 30 avr. 1996, C-194/94, CIA Security International).

La proposition de loi sur l’âge minimal, notifiée le 9 avril 2026, a reçu un avis circonstancié de la Commission et des observations de l’Italie ; la fin du statu quo a été reportée du 10 juillet au 10 août 2026 (TRIS 2026/0185/FR). Le nouveau projet, reçu le 14 septembre 2026, ne peut être adopté avant le 15 décembre 2026. Selon sa fiche de notification, il s’appliquerait aux fournisseurs établis en France, dans un autre État membre ou hors de l’Union (TRIS 2026/0500/FR). Trois jours plus tard, la Commission a présenté une proposition de règlement fixant un âge harmonisé de 15 ans pour l’ouverture d’un compte autonome sur certains réseaux sociaux et services de partage de vidéos (COM(2026) 681 final, 17 sept. 2026).

La surveillance des très grandes plateformes revient d’abord à la Commission

Le règlement sur les services numériques (DSA) répartit la surveillance de ses propres obligations. L’État de l’établissement principal du fournisseur dispose de pouvoirs exclusifs, sauf pour les très grandes plateformes, celles qui comptent au moins 45 millions d’utilisateurs actifs mensuels dans l’Union et sont désignées par la Commission. Pour celles-ci, la Commission contrôle seule les obligations de gestion des risques systémiques ; pour leurs autres obligations, l’État d’établissement n’intervient que si la Commission n’a pas engagé de procédure pour la même infraction (règl. (UE) 2022/2065, art. 33 et 56). L’Autorité de régulation de la communication audiovisuelle et numérique (Arcom), coordinateur français pour les services numériques (L. n° 2004-575, art. 7), n’a donc pas compétence pour faire respecter le DSA à l’égard d’un réseau social établi en Irlande ou aux Pays-Bas.

La France ne dispose que d’instruments visant un service ou un contenu déterminé

La loi permet d’étendre les obligations de vérification de l’âge des sites pornographiques à des services établis dans un autre État membre, désignés nommément par arrêté ministériel, au terme de la procédure de l’article 3 de la directive (L. n° 2004-575, art. 10-2). Un arrêté du 26 février 2025 a mis en œuvre cette faculté. Avant de mettre en demeure l’éditeur d’un de ces sites, l’Arcom a interrogé le régulateur tchèque, qui a répondu le 30 juin 2025 ne pas disposer des moyens légaux suffisants pour contraindre le fournisseur (Arcom, décision n° 2025-562, 1er août 2025). Le DSA permet en outre à toute autorité judiciaire ou administrative nationale d’enjoindre à un fournisseur de services intermédiaires d’agir contre des éléments déterminés de contenu illicite, dans un champ territorial limité au strict nécessaire (règl. (UE) 2022/2065, art. 9).

Une obligation générale d’âge minimal opposable à toutes les plateformes reste hors de portée d’une loi nationale ; elle relève du DSA ou de la proposition de règlement en discussion.