Bloquer les VPN pour vérifier l’âge, un juge fédéral y voit une impossibilité

Le fait

Signée en 2026, SB 73 devait s’appliquer dès mai 2026. Elle demandait aux sites pour adultes l’une de deux choses : bloquer les utilisateurs de VPN, ou identifier la position physique des visiteurs qui masquent leur trafic. Le texte leur interdisait aussi d’expliquer comment se servir d’un VPN pour franchir un contrôle d’âge. L’Utah devenait, d’après l’Electronic Frontier Foundation, le premier État américain à viser l’usage des VPN sur ce terrain.

Aylo, maison mère de Pornhub, a attaqué la loi le 22 avril 2026 devant le tribunal fédéral du district de l’Utah. Cinq mois plus tard, le juge Barlow a accordé une injonction préliminaire visant un seul article, le 78B-3-1002(3) du code de l’Utah, dit « actual-location provision ».

La décision du tribunal tient en une impossibilité assortie d’une sanction. Le texte, après amendement, « impose pour l’essentiel une responsabilité sans faute » dès qu’il s’agit de déterminer où se trouve un internaute, écrit le juge, et il oblige les sites à géolocaliser leurs visiteurs « avec perfection » pour échapper à toute responsabilité. La géolocalisation parfaite n’existe pas. Sur ce constat, la décision juge probable que la loi viole l’interdiction faite aux États de peser lourdement sur des acteurs établis ailleurs.

La procédure s’est jouée en cinq dates.

Notre regard

La loi SREN du 21 mai 2024 impose aux sites pornographiques de vérifier l’âge de leurs visiteurs. L’Arcom a adopté le 9 octobre 2024 le référentiel technique qui en fixe les exigences minimales, publié deux jours plus tard. Deux objectifs le structurent : la fiabilité du contrôle de l’âge et le respect de la vie privée, avec un niveau renforcé pour les solutions dites à double anonymat. Selon l’Arcom, environ 2,3 millions de mineurs accèdent chaque mois à ces contenus.

Le droit européen a déjà tranché une question très proche, et dans l’autre sens. Dans son arrêt du 9 juillet 2026 (affaire C-788/24), la Cour de justice de l’Union européenne retient qu’un blocage géographique reste efficace même s’il peut être contourné. Elle écrit qu’« une telle possibilité de contournement ne saurait constituer, en soi et en toute circonstance, un élément déterminant » pour conclure à l’inefficacité de la mesure. Le blocage doit être à la pointe de la technologie, sans avoir à être infaillible.

L’écart entre les deux standards est net. L’Utah réclamait la perfection sous peine de responsabilité, quand l’Union se contente de l’état de l’art. La Cour ajoute que si le filtrage est insuffisant, la responsabilité revient à l’éditeur du site et non au fournisseur de VPN. L’usage d’un VPN reste licite en France, où contourner un géoblocage n’expose pas l’internaute à une sanction.

La nuance

L’injonction ne supprime pas SB 73. Elle suspend une disposition le temps du procès, et rien de plus. Le reste du dispositif demeure applicable, vérification d’âge comprise. L’interdiction faite aux sites de diffuser des modes d’emploi de VPN n’est pas visée et tient toujours.

Le fondement retenu compte autant que le résultat. Le juge s’appuie sur les règles du commerce entre États et écarte l’argument de l’extraterritorialité, sans se prononcer sur le commerce avec l’étranger. Il relève aussi que l’Utah dispose de moyens moins lourds d’empêcher ses mineurs d’accéder à ces sites que d’imposer sa loi au reste du pays.

L’État se défendait en expliquant que son texte réclamait des efforts raisonnables, et non la perfection. Le tribunal a constaté que cette qualification manquait dans la rédaction. Aylo a d’ailleurs déclaré que, rédigée ainsi, la loi ne l’aurait pas conduite au tribunal. Aylo avait d’abord bloqué les adresses IP de l’Utah, avant d’y rouvrir ses sites gratuits limités aux contenus hors du champ de la loi.

À surveiller

Le 1er septembre 2026, la division de la protection des consommateurs de l’Utah a publié ses projets de règles, qui exigeaient des sites des systèmes « commercialement raisonnables » de détection du masquage de localisation. Ces règles pouvaient prendre effet dès le 8 octobre 2026. L’injonction les prive de portée jusqu’à une nouvelle décision du tribunal.

Les méthodes de détection envisagées méritent un œil : latence de la connexion, fuseau horaire de l’appareil. L’EFF, qui a déposé des observations auprès du ministère du commerce de l’Utah, les décrit comme peu fiables et facilement faussées par des conditions de réseau ordinaires, avec un risque de blocages injustifiés loin au-delà des frontières de l’État.

La suite est politique. Selon l’EFF, les parlementaires de l’Utah pourraient réécrire le texte à la prochaine session, et d’autres États examinent des propositions comparables contre les VPN. Il leur manque un mot, et le juge Barlow l’a nommé : raisonnable.