Pornhub, Stripchat, XNXX et XVideos face au DSA : ce que risquent vraiment ces sites en Europe
et où en est la procédure aujourd’hui.

La chronologie compte, parce qu’elle explique le degré d’avancement du dossier. Dès juin 2024, la Commission adressait des demandes d’informations à Pornhub, Stripchat et XVideos sur leurs mécanismes de vérification de l’âge et leur organisation interne de conformité. Le 27 mai 2025, elle ouvrait des procédures formelles contre quatre plateformes, ajoutant XNXX à la liste.

Dix mois plus tard, le 26 mars 2026, elle notifie ses conclusions préliminaires. Le vocabulaire est important : la Commission a « conclu à titre préliminaire » que les quatre services enfreignent le règlement sur les services numériques en ne protégeant pas les mineurs de l’exposition à des contenus pornographiques. Aucune amende n’a été prononcée, aucune décision définitive n’a été publiée à ce jour.

S’ouvre alors une phase dite des droits de la défense. Les quatre opérateurs peuvent consulter les pièces du dossier d’instruction et répondre par écrit aux griefs. Ils peuvent aussi proposer des engagements correctifs. Cette étape n’est pas une formalité : elle détermine si la Commission maintient ses griefs, les ajuste ou clôt la procédure.

Une précision utile sur les entreprises visées. Pornhub appartient au groupe Aylo. Les éditeurs des quatre services ont leur siège à Chypre et en République tchèque. Stripchat, initialement désigné comme très grande plateforme en ligne, a obtenu de la Commission son retrait de cette liste faute d’un nombre d’utilisateurs suffisant, ce qui n’a pas mis fin à la procédure engagée pour la période antérieure.

Le règlement sur les services numériques, en vigueur pour l’ensemble des acteurs depuis février 2024, ne fixe pas de méthode technique de vérification. Il impose une obligation de résultat assortie d’une obligation de démonstration, ce qui est plus exigeant qu’une norme prescriptive.

Les très grandes plateformes, celles dépassant quarante-cinq millions d’utilisateurs mensuels dans l’Union, doivent évaluer chaque année les risques systémiques que leurs services engendrent, y compris les effets négatifs sur les droits de l’enfant et la santé physique et mentale des mineurs. Elles doivent ensuite déployer des mesures d’atténuation proportionnées, se soumettre à un audit indépendant et publier des rapports de transparence.

L’article 28 du règlement impose plus spécifiquement aux plateformes accessibles aux mineurs un niveau élevé de protection de la vie privée, de sûreté et de sécurité. En juillet 2025, la Commission a publié des lignes directrices précisant ses attentes en matière de protection des mineurs. Elles ne sont pas contraignantes en elles-mêmes, mais elles définissent le standard sur lequel l’exécutif européen fonde désormais ses appréciations.

Le point qui échappe souvent à la lecture rapide est le suivant : dans les quatre dossiers concernés, une part importante des griefs porte sur la qualité des analyses de risques et sur leur documentation, pas seulement sur l’absence de contrôle d’âge. Une plateforme qui installerait demain un dispositif efficace sans revoir sa méthodologie d’évaluation resterait exposée.

L’idée d’une interdiction européenne prononcée par la Commission circule beaucoup. Elle mérite d’être corrigée, parce qu’elle décrit mal l’architecture du règlement.

Le premier levier est financier : en cas de manquement confirmé, l’amende peut atteindre 6 % du chiffre d’affaires annuel mondial de l’entreprise. La Commission peut également imposer des astreintes périodiques, calculées sur le chiffre d’affaires journalier moyen, pour contraindre à l’exécution d’une décision. Ces montants sont des plafonds, pas des tarifs automatiques.

La restriction d’accès existe bien, mais elle constitue une mesure de dernier recours et n’appartient pas à la Commission seule. Le règlement prévoit qu’en cas de manquement persistant causant un préjudice grave, l’exécutif européen peut demander à l’autorité judiciaire compétente de l’État membre d’établissement d’ordonner une restriction temporaire d’accès au service, pour une durée limitée et renouvelable sous conditions. C’est une procédure lourde, encadrée, et jamais mise en œuvre à ce jour dans l’histoire du règlement.

Entre les deux, la voie la plus probable reste l’engagement. Les plateformes peuvent proposer des mesures correctives que la Commission rend contraignantes en clôturant la procédure. C’est le scénario le plus fréquent en droit européen de la régulation, et c’est celui qui explique pourquoi une notification de griefs ne se transforme pas mécaniquement en amende.

C’est l’événement le plus important survenu depuis la notification de mars, et il ne concerne pas directement la Commission. Il change pourtant l’équilibre du dossier.

Le contexte remonte à 2021 : deux éditeurs tchèques contestaient devant le Conseil d’État le décret confiant à l’Arcom le pouvoir de faire respecter l’interdiction d’accès des mineurs aux contenus pornographiques. Leur argument reposait sur le principe du pays d’origine posé par la directive sur le commerce électronique : une société établie en République tchèque devrait relever du seul droit tchèque. Le Conseil d’État a saisi la Cour de justice d’une question préjudicielle en mars 2024.

La réponse est tombée le 16 juin 2026, dans les affaires jointes C-188/24 et C-190/24. La Cour confirme que le principe du pays d’origine reste le cadre de référence, mais juge qu’il ne fait pas obstacle à ce qu’un État membre impose, sous conditions, une obligation de vérification de l’âge à des prestataires établis ailleurs dans l’Union. Elle rattache explicitement la protection des mineurs à l’ordre public et retient le caractère proportionné d’une telle mesure au regard de l’objectif poursuivi.

La portée pratique est double. Elle valide l’approche française et sécurise l’action de l’Arcom à l’égard de sites établis dans un autre État membre. Et elle ferme l’argument juridique principal dont disposaient les plateformes concernées. La décision ne clôt pas tout : il revient au Conseil d’État de vérifier que les mesures françaises contestées remplissent chacune des conditions posées par la Cour.

Les quatre plateformes pornographiques ne constituent qu’une partie d’un mouvement plus large. La même journée du 26 mars 2026, la Commission a ouvert une procédure formelle contre Snapchat, portant notamment sur la vérification de l’âge et sur la protection contre les tentatives d’approche de mineurs. Le réseau revendique autour de quatre-vingt-dix-sept millions d’utilisateurs mensuels dans l’Union.

Le dossier Meta a suivi. Fin avril 2026, la Commission a conclu à titre préliminaire qu’Instagram et Facebook enfreignaient le règlement en n’empêchant pas les moins de treize ans d’accéder à leurs services, alors que leurs propres conditions d’utilisation l’interdisent. Le grief central est identique à celui opposé aux sites pornographiques : une déclaration d’âge sans vérification réelle. La Commission a estimé qu’une proportion significative d’enfants de moins de treize ans accède malgré tout à ces plateformes. Meta a publiquement contesté ces conclusions.

Un second volet du dossier Meta porte sur la conception addictive des applications, la Commission demandant notamment la désactivation de la lecture automatique et du défilement infini par défaut, ainsi que des outils de pause réellement efficaces. Ces exigences prolongent des ajustements déjà engagés par les plateformes, comme la nouvelle classification des contenus adoptée par Instagram pour les adolescents.

En octobre 2025, la Commission avait par ailleurs adressé des demandes d’informations à Snapchat, YouTube, l’App Store d’Apple et Google Play sur leurs systèmes de vérification de l’âge et sur la prévention de l’accès des mineurs à des produits illégaux. En parallèle, les autorités nationales coordonnent une action contre des plateformes pornographiques de plus petite taille. Ce resserrement général alimente le débat public sur l’effet des réseaux sociaux sur les plus jeunes.

C’est l’objection sérieuse, et elle n’est pas seulement défendue par les plateformes. Contrôler l’âge suppose de traiter une donnée personnelle à l’entrée d’un service dont la consultation relève de l’intimité. Mal conçu, un tel dispositif crée un registre reliant des identités à des consultations.

La réponse technique existe et porte un nom en France : le double anonymat. Le site consulté reçoit une preuve de majorité sans connaître l’identité de l’internaute ; le tiers vérificateur connaît l’identité mais ignore quel site est consulté. Aucun des deux ne peut reconstituer le lien. Le principe a été validé par la CNIL, qui alertait dès 2021 sur les risques de traçage indirect, et il figure au référentiel de l’Arcom comme méthode obligatoire parmi celles proposées.

Au niveau européen, la Commission a fait développer une application de vérification de l’âge en marque blanche, alignée sur l’architecture du futur portefeuille européen d’identité numérique et reposant sur des preuves à divulgation nulle de connaissance. Déclarée techniquement prête en avril 2026, elle doit être mise à disposition des citoyens par les États membres d’ici la fin de l’année. Elle prive les plateformes de l’argument selon lequel aucune solution respectueuse de la vie privée n’existerait.

Pour toute entreprise qui traite des données personnelles, la leçon dépasse le secteur concerné. Un dispositif conforme se construit sur la minimisation, la non-conservation et la traçabilité documentée des choix, principes détaillés dans notre guide des bonnes pratiques RGPD appliquées à la gestion des données clients. Demander une pièce d’identité complète là où un attribut suffit expose au même reproche que celui adressé aux plateformes, dans l’autre sens.