La Loi sur la Sécurité en Ligne au Banc des Accusés : Les Amendes d’Ofcom Passent à l’Acte

De la Sanction Royale à l’Exécution Réelle

L’Online Safety Act 2023 du Royaume-Uni a reçu la sanction royale en octobre 2023 après des années de débat parlementaire, mais ses dispositions les plus importantes ne sont entrées en vigueur qu’en juillet 2025. La première obligation qui a frappé les plateformes de contenu adulte était sans ambiguïté : déployer une « assurance d’âge hautement efficace » pour empêcher les mineurs d’accéder à du contenu pornographique — ou faire face à des mesures d’exécution.

L’Ofcom, le régulateur des communications britannique, a lancé des enquêtes sur les fournisseurs de contenu adulte dans les jours qui ont suivi l’entrée en vigueur du 25 juillet 2025. Dès octobre 2025, il avait déjà publié sa première décision de confirmation — une amende de 20 000 livres contre 4chan pour défaut de réponse à une demande d’information, marquant la première sanction financière en vertu de la législation. Une action d’exécution en décembre 2025 contre un opérateur non nommé a produit une amende d’un million de livres plus 50 000 livres pour non-respect de la demande d’information.

Mais ce sont les amendes de février et mai 2026 qui ont signalé qu’Ofcom était passé des tirs d’avertissement à une pression d’exécution soutenue. La pénalité contre 8579 LLC — 1,35 million de livres pour violations de la Section 12 plus 50 000 livres pour manquements à la Section 102(8) — est devenue la plus haute amende individuelle de cette vague d’exécution. Trois mois plus tard, la pénalité de 600 000 livres de Youngtek Solutions a confirmé qu’Ofcom entendait progresser systématiquement dans le secteur.

Ce que « Hautement Efficace » Exige Réellement

Comprendre où les opérateurs échouent nécessite de comprendre ce qu’Ofcom exige réellement. Le régulateur ne prescrit pas une technologie unique — il publie plutôt une liste non exhaustive de méthodes qu’il considère capables de satisfaire un test à quatre critères : précision technique, robustesse contre le contournement, fiabilité et équité.

Les méthodes approuvées comprennent la vérification par open banking, la correspondance de pièce d’identité photo, l’estimation d’âge faciale et les services d’identité numérique. Ce qui n’est pas admissible est explicite : la déclaration sur l’honneur (« Je confirme avoir 18 ans ») et les simples restrictions d’âge contractuelles dans les conditions générales sont catégoriquement exclues comme inefficaces.

Le cas de 8579 LLC illustre ce qu’un échec ressemble à l’échelle. La société exploitait plusieurs sites adultes — dont crazyporn.xxx, hoes.tube, love4porn.com et justpornflix.com — et permettait l’accès sans aucune vérification d’âge qualifiante du 25 juillet 2025 au moins jusqu’au 19 novembre 2025. L’enquête d’Ofcom a couvert l’ensemble du portefeuille, un signal délibéré que les régulateurs traiteront les opérateurs multi-sites comme une seule unité de conformité. La pénalité journalière de 1 000 livres imposée après la décision de confirmation reste en vigueur jusqu’à la mise en conformité.

Youngtek Solutions Ltd a exploité quatre sites adultes sans assurance d’âge qualifiante du 25 juillet au 22 septembre 2025 — une fenêtre de moins de deux mois. Sa pénalité de 500 000 livres au titre de la Section 12 était accompagnée d’une amende de 100 000 livres au titre de la Section 102(8) parce que la société n’avait fourni les informations requises à Ofcom qu’après le délai légal. Ofcom a confirmé qu’il continuerait à surveiller les sites même après que la société ait mis en place des vérifications d’âge, signalant que la surveillance post-exécution fait partie du régime.

Suzanne Cater, directrice de l’exécution d’Ofcom, a déclaré publiquement que « disposer de vérifications d’âge hautement efficaces sur les sites adultes est non négociable » et que les entreprises qui ne respectent pas les règles doivent s’attendre à « des amendes significatives ». L’expression « non négociable » est un langage réglementaire d’une franchise inhabituelle — elle dissipe toute ambiguïté quant au fait qu’Ofcom tolérerait une conformité partielle ou des excuses de déploiement progressif.

L’Architecture d’Exécution Derrière les Amendes

La structure de ces pénalités est tout aussi significative que les montants. Chaque cas combine généralement deux charges : une amende substantielle en vertu de la Section 12 pour défaut de mise en œuvre de l’assurance d’âge, et une amende procédurale en vertu de la Section 102(8) pour défaut de réponse aux demandes d’information légales. L’approche stratifiée signifie que les opérateurs sont doublement exposés — une fois pour le manquement sous-jacent à la sécurité, et à nouveau s’ils ne coopèrent pas lors de l’enquête.

Les pénalités à taux journalier imposent une troisième couche. Ofcom ajoute régulièrement 200 à 1 000 livres par jour jusqu’à l’obtention de la conformité ou jusqu’à une date limite. Pour un opérateur de taille moyenne générant des revenus à partir de plusieurs domaines adultes, une pénalité journalière de 60 jours à 1 000 livres/jour ajoute 60 000 livres en plus de l’amende de base.

Comme analysé dans le commentaire juridique d’Alexandros Antoniou sur la plateforme inforrm.org, Ofcom applique une surveillance au niveau du portefeuille — lançant des enquêtes sur tous les domaines qu’un opérateur contrôle, plutôt que de traiter chaque site comme un cas isolé. Cela rend structurellement impossible pour un opérateur de se conformer sur son site le plus visité tout en laissant des domaines secondaires sans vérification.

Au-delà des plateformes de contenu adulte, le filet d’exécution d’Ofcom s’élargit. Le régulateur a émis des décisions d’exécution provisoires contre 4chan pour violations des Sections 9, 10 et 12 — ajoutant des obligations relatives aux contenus illicites à la vague d’assurance d’âge. D’ici février 2026, Ofcom avait également élargi son examen à quatre opérateurs de réseau supplémentaires exploitant collectivement 20 plateformes adultes, dont Fapello, Porntrex, XXBrits et Sun Social Media.

Ce que les Opérateurs de Plateformes Doivent Faire Maintenant

Le bilan d’exécution rend la carte de conformité claire. Les opérateurs dans toute juridiction qui reproduit ou reproduira le cadre OSA — ce qui inclut une grande partie de l’UE et du Commonwealth — doivent traiter cela comme un dossier de préparation.

1. Auditez l’Ensemble de Votre Portefeuille de Plateformes par Rapport au Test à Quatre Critères

N’évaluez pas seulement votre domaine principal. Comme le démontre le cas de 8579 LLC, Ofcom enquêtera sur chaque site du portefeuille d’un opérateur comme une seule unité de conformité. Cartographiez chaque domaine que vous exploitez qui porte du contenu soumis aux obligations d’assurance d’âge — cela inclut les sites secondaires, les environnements de test avec des URL publiques et les propriétés récemment acquises. Exécutez ensuite chaque domaine par rapport au test à quatre critères d’Ofcom : précision technique, robustesse contre le contournement, fiabilité et équité. La déclaration sur l’honneur et les restrictions d’âge contractuelles échouent aux quatre critères et doivent être immédiatement retirées de votre argumentation de conformité. Les orientations d’Ofcom sur l’assurance d’âge répertorient les catégories de technologies acceptées ; associez chaque domaine à au moins une d’entre elles.

2. Construisez un Protocole de Réponse aux Demandes d’Information Avant d’en Recevoir Une

La pénalité de 100 000 livres de Youngtek et la pénalité de 50 000 livres de 8579 LLC n’étaient pas dues à des manquements sous-jacents à la sécurité — elles étaient dues à la fourniture d’informations après les délais légaux. Les régulateurs traitent ces manquements procéduraux comme une catégorie distincte de non-conformité, et ils s’ajoutent automatiquement aux amendes de base. Créez maintenant un chemin d’escalade documenté : qui reçoit une demande d’information légale, qui est responsable de l’examen juridique, quel délai de service interne s’applique à la réponse, et qui approuve la soumission. Le délai de réception à réponse est généralement court — construire ce flux de travail avant une enquête est bien moins coûteux qu’expliquer une réponse tardive à un régulateur qui enquête déjà sur une violation sous-jacente.

3. Mettez en Place une Surveillance Continue de la Conformité, et non des Audits Ponctuels

La surveillance post-amende par Ofcom de Youngtek — confirmant qu’il « continuera à surveiller ces sites pour s’assurer que leurs méthodes de vérification d’âge sont hautement efficaces » — signifie que la conformité n’est pas établie une fois pour toutes. La technologie de vérification d’âge se dégrade ou peut être contournée ; les contrats avec les fournisseurs changent ; de nouveaux domaines sont mis en ligne. Construisez une boucle de surveillance : des contrôles ponctuels mensuels vérifiant qu’un utilisateur réel tentant d’accéder sans identifiants valides est bloqué, une révision trimestrielle pour s’assurer que le fournisseur de vérification choisi satisfait toujours au seuil de précision technique en évolution d’Ofcom, et un mécanisme d’alerte lié à tout changement de configuration de domaine. L’analyse de la stratégie d’exécution d’Ofcom dans la National Law Review note que l’intensité de l’exécution devrait augmenter tout au long de 2026.

4. Surveillez les Cadres Réglementaires Parallèles pour des Opportunités de Conformité Mutuelle

Le bilan d’exécution au Royaume-Uni façonne déjà la législation ailleurs. L’Online Safety Act australienne exige des « mesures raisonnables » pour empêcher l’accès aux moins de 16 ans, avec des pénalités pouvant atteindre 49,5 millions AUD. La loi française SREN mandate la vérification d’âge pour les sites adultes et les réseaux sociaux. L’UE intègre l’assurance d’âge dans les obligations du Digital Services Act via le « mini portefeuille » du portefeuille d’identité numérique européen — une couche de vérification interopérable et respectueuse de la vie privée attendue pour standardiser dans les États membres d’ici fin 2026. Le Canada a publié CAN/DGSI 127:2025, une norme nationale d’assurance d’âge, en août 2025. Les opérateurs construisant une pile d’assurance d’âge conforme au Royaume-Uni devraient évaluer si la même solution fournisseur peut satisfaire simultanément aux « mesures raisonnables » australiennes, à la SREN française et au chemin d’identité numérique européen émergent.

La Question Réglementaire : Modèle ou Exception ?

La question plus profonde pour les observateurs politiques est de savoir si le modèle d’exécution d’Ofcom est un modèle transférable ou un produit spécifique au Royaume-Uni d’une décennie de travail législatif. La réponse semble être : les deux.

La définition technique de l’« assurance d’âge hautement efficace » — un test à quatre critères avec une liste blanche de technologies non exhaustive — est suffisamment précise pour que d’autres régulateurs puissent l’adopter directement. Le Digital Services Act de l’UE contient déjà des obligations de vérification d’âge pour les très grandes plateformes en ligne. La loi SREN française, l’Online Safety Act australien et la norme CAN/DGSI 127:2025 canadienne convergent tous vers la même exigence : que la déclaration sur l’honneur soit insuffisante et que les opérateurs doivent déployer une infrastructure de vérification d’âge techniquement certifiée.

Ce qui est plus difficile à exporter, c’est l’architecture d’exécution elle-même — la capacité d’Ofcom à lancer 21 enquêtes en quelques mois suivant l’entrée en vigueur d’une loi, sa volonté d’imposer des pénalités journalières et son utilisation de la surveillance au niveau du portefeuille pour fermer la brèche multi-domaines. La plupart des régulateurs hors du Royaume-Uni manquent soit du personnel, soit du cadre juridique pour agir à cette vitesse. Mais la direction est claire : l’amende séparée de 14,47 millions de livres de l’ICO contre Reddit en février 2026 pour des manquements à la protection de la vie privée des enfants — émise en vertu du UK GDPR plutôt que de l’OSA — montre que plusieurs régulateurs britanniques convergent indépendamment vers la même culture d’exécution. Les régulateurs ailleurs observent à la fois la vitesse et la stratégie.

Pour les opérateurs d’entreprise, l’implication pratique est que toute plateforme portant du contenu qu’une juridiction pourrait classer comme nuisible pour les mineurs devrait désormais traiter l’assurance d’âge comme une exigence d’infrastructure de base — non pas un commutateur de fonctionnalité, non pas une case de conformité, et non pas un problème à résoudre après réception d’une notification. Les amendes sont réelles. Les pénalités journalières s’accumulent. Et le modèle réglementaire se répand.

Questions Fréquemment Posées

Sources et lectures complémentaires

• complémentaires
• Ofcom inflige une amende de 600 000 £ à une société pornographique — Ofcom
• Ofcom inflige une amende de 1,35 million £ à 8579 LLC pour défaut de vérification d’âge — ThinkBroadband
• Ofcom intensifie l’exécution de l’Online Safety Act avec deux nouvelles amendes d’assurance d’âge — inforrm.org / Alexandros Antoniou
• Ofcom inflige une amende à Kick, menace 4chan alors que l’exécution OSA s’intensifie — Biometric Update
• Obligations d’assurance d’âge en vertu de l’Online Safety Act — Ofcom
• Ofcom inflige une amende de 600 000 £ à Youngtek Solutions pour violations de l’Online Safety Act — DataGuidance
• Vérification d’âge en ligne en 2026 : qui est sur la feuille de route ? — IDScan
• Les lourdes amendes d’Ofcom pour les manquements à l’assurance d’âge — National Law Review