Par Laura CAPOTOSTO, étudiante du Master 2 Droit des communications électroniques

Deux décisions de justice rendues à un mois d’intervalle dessinent les limites des pouvoirs de l’Arcom, le « gendarme » de l’audiovisuel et d’internet en France.
Le 15 juillet 2026, le Conseil d’État, qui est la plus haute juridiction pour les litiges administratifs, a confirmé qu’une entreprise comme Cloudfare, faisant fonctionner une partie de l’infrastructure d’internet, peut être obligée de bloquer des sites depuis la France. 

Le 14 août, le Conseil constitutionnel, qui vérifie qu’une loi respecte la Constitution, a refusé l’interdiction des réseaux sociaux aux moins de 15 ans. Les juges permettent donc à l’Arcom de bloquer des contenus illicites précis, mais pas de mettre en place un contrôle qui touche tous les internautes sans limites. 

Une autorité aux pouvoirs de blocage croissants 

L’Arcom, l’autorité de régulation de la communication audiovisuelle et numérique, est née le 1er janvier 2022 de la fusion de deux organismes : le CSA, le conseil supérieur de l’audiovisuel et la Hadopi, la haute autorité pour la diffusion des œuvres et la protection des droits sur internet. Elle veille au respect des règles à la télévision, à la radio et sur internet, notamment pour protéger les mineurs. 

Longtemps, elle s’en tenait à un rôle d’incitation et d’avertissement. Ses pouvoirs ont été renforcés par la loi du 25 octobre 2021 sur la protection de l’accès aux œuvres culturelles à l’ère numérique, puis par la loi SREN du 21 mai 2024 visant à sécuriser et réguler l’espace numérique. 

Son principal outil est le blocage DNS, Domain Name System, qui est l’annuaire d’Internet, il traduit le nom d’un site en une adresse numérique que les ordinateurs comprennent. Ce qui signifie que bloquer un site consiste à supprimer cette entrée de l’annuaire, de sorte qu’on ne peut plus l’atteindre en tapant son nom. 

Le streaming sportif illégal : la voie judiciaire, jusqu’aux résolveurs DNS 

Pour le piratage sportif, il faut tout d’abord saisir un juge comme le prévoit l’article L333-10 du Code du sport, le juge rend alors une ordonnance qui peut imposer le blocage des sites déterminés. Les pirates en réponse à ce blocage, peuvent recréer ensuite des sites miroirs, des copies d’un site bloqué placées sous une adresse légèrement différente. L’Arcom peut alors faire bloquer ces nouvelles adresses sans retourner devant le juge, grâce à un mécanisme d’actualisation prévu par l’ordonnance. 

Les internautes contournaient d’abord les blocages des fournisseurs d’accès à Internet que sont Orange, SFR, Bouygues et Free en chantant de DNS. Les ayants droit ont alors visé les résolveurs DNS publics, annuaires alternatifs utilisés par tous, comme ceux de Google, Cloudflare et Cisco. Ces entreprises ont été condamnées en 2024 à filtrer environ 117 domaines sportifs. La Cour d’appel de Paris a d’ailleurs confirmé ces blocages le 27 mai 2026. Selon l’Arcom, 81% des demandes de blocage adressées aux fournisseurs d’accès en 2025 ont aussi été envoyées à des DNS alternatifs. 

Cloudflare c/ Arcom : un blocage sans juge validé 

L’Arcom peut aussi faire seule, sans décision de justice préalable. Le 9 juillet 2025, elle a notifié à Cloudflare, via sa filiale portugaise, l’obligation de rendre inaccessibles depuis la France 19 adresses diffusant des contenus d’organisations visées par les sanctions européennes contre la Russie, dans un délai de 72 heures. 

Par sa décision du 15 juillet 2026, le Conseil d’État rejette la requête de Cloudflare. Cette décision est d’ailleurs mentionnée aux tables du recueil Lebon, qui est la collection officielle des décisions les plus importantes rendues par cette juridiction, qui la signale alors comme étant importante pour les décisions futures. 

Le Conseil d’État juge d’abord qu’une mise en demeure de l’éditeur du site qui laisse un délai pour se mettre en règle n’est pas nécessaire quand les adresses sont celles des sites officiels d’entités déjà sanctionnées par l’Union européenne. Il estime ensuite que la mesure n’est pas disproportionnée, excessive par rapport au but poursuivi, puisque Cloudflare dispose déjà d’outils de blocage géographique et de filtrage. Il ajoute que le fait qu’un internaute puisse contourner la mesure n’enlève rien à sa légalité. 

Cloudflare invoquait aussi sa liberté d’entreprendre et contestait la comptabilité du dispositif avec le DSA, le règlement européen sur les services numériques, qui encadre les plateformes et les intermédiaires. Elle demandait que la Cour de justice de l’Union européenne soit consultée par des questions préjudicielles. Le Conseil d’État a refusé, faute de doute suffisant. 

Le contrôle d’âge : d’abord pour les sites pornographiques. 

La loi SREN oblige les sites pornographiques à vérifier l’âge de leurs visiteurs selon un référentiel de l’Arcom. Il repose sur le double anonymat : un tiers de confiance atteste que l’internaute est majeur sans savoir quel site il visite et le site reçoit la confirmation sans connaître l’identité de la personne.
Depuis janvier 2025, l’Arcom peut bloquer ces sites et les faire retirer des résultats des moteurs de recherche, elle a d’ailleurs visé 31 éditeurs en juillet 2026. 

Le Parlement a voulu étendre cette logique aux réseaux sociaux, avec une loi visant à protéger les mineurs des risques auxquels l’utilisation des réseaux sociaux les expose, adoptée le 21 juillet 2026, interdisant leur accès au moins de quinze ans. Interdiction prenant effet dès le 1er septembre 2026 pour les nouveaux comptes et au 1er janvier 2027 pour les comptes existants. En revanche, la loi ne disait pas comment vérifier l’âge, cette absence d’encadrement sera l’un des reproches du Conseil constitutionnel, pour qui les mécanismes de vérification ne garantissaient pas suffisamment la vie privée. 

Le Conseil constitutionnel : protéger les enfants ne justifie pas tout 

Dans sa décision du 14 août 2026, le Conseil constitutionnel a déclaré contraire à la Constitution l’article 1er de la loi de 2026 posant l’interdiction. Il reconnaît que protéger les enfants est un objectif légitime. Mais il juge l’interdiction générale et uniforme contraire à la liberté d’expression et de communication, protégée par l’article 11 de la Déclaration des droits de l’homme et du citoyen de 1789. En effet, une telle restriction doit être nécessaire, adaptée et proportionnée. 

Il retient plusieurs motifs : 

• L’interdiction s’appliquait à des services dont les risques pour les mineurs ne sont pas établis 
• Elle ne laissait pas aux parents la possibilité d’autoriser leur enfant 
• Elle impliquait que toute personne, même majeure pourvoir son âge, sans protection suffisante de sa vie privée. 

Pour le juge, il faut protéger les mineurs mais pas de cette façon-là. 

Un blocage efficace, mais jamais étanche   

Techniquement, le blocage reste contournable. Les protocoles DoH et DoT chiffrent les requêtes DNS, ce qui empêche de les repérer et de les filtrer. Et le blocage par adresse IP partagée risque de rendre inaccessibles des sites légitimes hébergés sur les mêmes serveurs, c’est le surblocage. Selon l’Arcom, seul 12% des internautes face à un site bloqué passent par un VPN, un service qui masque la connexion, ou un DNS alternatif, mais la plupart cherchent simplement un autre site pirate. Le blocage limite donc les contournements techniques sans supprimer la consommation illicite. 

Bloquer OUI, interdire à tous NON 

Les juges soutiennent les blocages ciblés sur des contenus clairement illicites, comme les flux sportifs pirates, y compris à l’encontre des résolveurs DNS, que la voie soit judiciaire ou administrative. Ils arrêtent en revanche une interdiction générale dont le contrôle d’âge est la conséquence pour tous les internautes y compris les adultes. Reste à savoir par quelle voie le législateur reviendra sur la protection des mineurs, un objectif que le Conseil constitutionnel a reconnu légitime. 

Sources

Conseil d’État, 15 juillet 2026, n°509579. https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2026-07-15/509579

Loi visant à protéger les mineurs des risques auxquels l’utilisation des réseaux sociaux les expose :   https://questions.assemblee-nationale.fr/dyn/17/comptes-rendus/seance/session-extraordinaire-de-2025-2026/premiere-seance-du-mardi-21-juillet-2026-annexe.pdf

DSA, digital services act, règlement (UE) 2022/2065 : https://eur-lex.europa.eu/eli/reg/2022/2065/oj

Règlement (UE) 269/2014 :  https://eur-lex.europa.eu/eli/reg/2014/269/oj

Règlement (UE) 833/2014 : https://eur-lex.europa.eu/eli/reg/2014/833/oj

Décision n°2026-911 DC du 14 août 2026 : https://droit-technologie.org/wp-content/uploads/2026/08/Decision-Conseil-constitutionnel.pdf

https://www.astuces-aide-informatique.info/28394/rapport-arcom-vpn

Article L333-10 Code du sport https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT000006071318/LEGISCTA000044247627?fonds=ALL&init=true&page=1&query=Code+du+sport,+article+L.+333-10.&searchField=ALL&anchor=LEGIARTI000054616722#LEGIARTI000054616722

Loi SREN https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000049563368

Loi LCEN , loi pour la confiance dans l’économie numérique https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000801164

Article 11 Déclaration des droits de l’homme et du citoyen https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000006527437