Loi sur les services numériques : définition, portée et obligations pour les plateformes de l'UE

La Loi sur les services numériques (DSA) est le Règlement (UE) 2022/2065, également connu sous le nom de Règlement sur les services numériques. Elle établit un cadre commun pour les services intermédiaires opérant dans l'Union européenne et fixe des obligations de diligence, de transparence et de redevabilité. Son objectif est de favoriser un environnement en ligne plus sûr et de protéger les droits fondamentaux des utilisateurs, sans transformer la réglementation en une obligation indiscriminée de revoir préalablement chaque publication.

La DSA se comprend mieux comme une norme sur la manière dont les services en ligne sont fournis et gouvernés, et non comme une liste unique de contenus autorisés. Ses règles couvrent les services d'intermédiation, d'hébergement et les plateformes en ligne, avec des devoirs qui augmentent selon la fonction du service et, dans certains cas, son échelle. Il ne suffit donc pas de demander si une entreprise est un réseau social : il importe aussi qu'elle héberge des contenus d'utilisateurs, facilite des transactions ou agisse comme moteur de recherche.

Le règlement a été approuvé en 2022, est entré en vigueur cette même année et est devenu applicable de manière générale le 17 février 2024. Cette différence entre entrée en vigueur et application compte : la première indique que la norme fait partie de l'ordre juridique ; la seconde, à partir de quand ses dispositions sont exigées de manière générale. Les plateformes en ligne et les moteurs de recherche désignés comme très grands avaient des obligations plus tôt, dès août 2023.

La DSA complète, mais ne remplace pas, d'autres normes européennes. En particulier, elle ne doit pas être confondue avec la Loi sur les marchés numériques (DMA) : la DSA aborde la sécurité, la transparence et les responsabilités d'intermédiation ; la DMA réglemente certaines pratiques de grandes plateformes désignées comme gardiennes d'accès. Une même société peut être soumise aux deux pour des raisons différentes, mais l'étiquette de gardienne d'accès ne détermine pas à elle seule sa catégorie sous la DSA.

Le champ d'application inclut les services utilisés pour connecter les personnes à des biens, des services ou des contenus en ligne. Parmi les exemples habituels figurent les réseaux sociaux, les marchés numériques, les boutiques d'applications, l'hébergement web et les moteurs de recherche. La classification juridique dépend de la fonction concrète du service : un fournisseur d'hébergement stocke des informations fournies par les utilisateurs ; une plateforme en ligne diffuse ces informations au public ; et un marché en ligne permet aux consommateurs et aux vendeurs de conclure des contrats à distance.

L'obligation ne se limite pas aux sociétés constituées dans l'UE. Le point pratique est de savoir si le service est offert à des utilisateurs de l'Union, même si le fournisseur a son siège ailleurs. Dans ces cas, la DSA prévoit des obligations de contact et de coopération avec les autorités, en plus des autres devoirs applicables. Pour une entreprise, la première vérification consiste donc à délimiter les services qu'elle offre dans l'UE et à documenter le rôle que chacun joue.

La DSA distribue les obligations par couches. Il y a des devoirs de base pour les services intermédiaires et des exigences supplémentaires pour l'hébergement, les plateformes en ligne, les marchés, les plateformes de très grande taille et les moteurs de recherche de très grande taille. Il n'existe pas de catégorie générale de « plateforme moyenne » équivalente aux étiquettes informelles qui apparaissent parfois dans les résumés : le seuil pertinent pour la désignation de très grande taille est de plus de 45 millions de destinataires actifs mensuels dans l'UE, soumis aux critères et procédures établis par le règlement.

Les petites et micro-entreprises bénéficient d'exemptions de certaines obligations supplémentaires, mais cela ne les exclut pas automatiquement de toute la DSA. L'exemption dépend de la catégorie du service et de la taille de l'entreprise, et cesse de s'appliquer à certains devoirs lorsque la plateforme est désignée de très grande taille. Il convient d'éviter la simplification « petite, donc non réglementée » : l'analyse correcte consiste à identifier le service, l'activité, la taille et l'obligation concrète.

Devoirs de base des intermédiaires

Parmi les obligations générales figurent la disposition d'un point de contact pour les autorités et, le cas échéant, pour les utilisateurs ; l'explication dans leurs conditions de service de la manière dont ils gèrent les restrictions de contenu ; et la publication de rapports de transparence avec des informations sur la modération. Ces devoirs transforment des décisions qui pouvaient auparavant rester opaques en processus qui doivent pouvoir s'expliquer et se documenter.

Les services d'hébergement doivent offrir des mécanismes pour notifier le contenu présumé illicite. À la réception d'une notification suffisamment précise, le fournisseur doit la traiter avec diligence et communiquer la décision de manière motivée à la partie concernée. Notifier n'équivaut pas à démontrer automatiquement une infraction : l'obligation est d'établir une procédure accessible et d'agir avec diligence, et non de retirer sans analyse tout matériel signalé.

Plateformes en ligne et marchés

Les plateformes en ligne doivent offrir des mécanismes internes de réclamation pour certaines décisions de modération et faciliter des options de résolution extrajudiciaire. Elles ont également des obligations en matière de transparence publicitaire et de systèmes de recommandation. Dans les marchés, la DSA ajoute des mesures de traçabilité des commerçants : l'opérateur doit collecter et vérifier des informations pertinentes sur les vendeurs avant de leur permettre d'offrir des produits ou services aux consommateurs, dans les limites fixées par la norme.

Pour une boutique numérique, cela change la gestion opérationnelle des vendeurs et des avis : il ne suffit pas de disposer d'un formulaire de contact générique. Elle doit pouvoir identifier le commerçant, conserver les informations exigées et réagir face à des produits ou services illicites. Dans un réseau social, en revanche, le focus quotidien peut porter sur la notification de contenu, la motivation des décisions et les outils pour réclamer. Les obligations se superposent lorsqu'un même service remplit plusieurs fonctions.

Publicité, recommandations et risques

La DSA exige que les annonces soient identifiées comme publicité et qu'il soit indiqué qui les présente et, le cas échéant, qui les finance. En outre, elle interdit de présenter de la publicité basée sur des profils via des catégories spéciales de données personnelles et restreint la publicité ciblée vers les mineurs lorsque la plateforme sait avec une certitude raisonnable que l'utilisateur est mineur. La réglementation ne se résume pas correctement comme une interdiction générale de toute publicité personnalisée : il faut prêter attention à la base et aux conditions concrètes de segmentation.

Les plateformes de très grande taille et les moteurs de recherche de très grande taille doivent évaluer et atténuer les risques systémiques liés à leurs services. L'évaluation considère, entre autres aspects, la diffusion de contenus illicites, les effets sur les droits fondamentaux, les processus civiques et la sécurité publique. Des audits indépendants et des obligations renforcées de transparence sont également ajoutés. Toutes les plateformes n'ont pas à réaliser cette évaluation systémique : c'est une couche spécifique pour les services désignés de très grande taille.

La DSA maintient le principe selon lequel aucune obligation générale de surveiller toute l'information transmise ou stockée n'est imposée aux intermédiaires. Cela ne les exonère pas d'agir face à la connaissance d'une illégalité ni de respecter des procédures concrètes. La distinction pratique est entre la surveillance générale préalable —qui n'est pas exigée comme règle universelle— et les devoirs de réponse, de transparence et d'atténuation qui s'appliquent selon le service.

Le tableau résume des exemples d'obligations ; il ne remplace pas la classification juridique ni ne prétend énumérer chaque article. « Petit », « moyen » et « grand » ne sont pas trois niveaux généraux avec des paquets automatiques : ce qui est déterminant est la catégorie fonctionnelle du service, les exemptions applicables et, pour la couche la plus stricte, la désignation formelle de très grande taille. Les obligations indiquées sont basées sur les couches décrites par la DSA.

Un exemple aide à lire le tableau. Une entreprise offrant l'hébergement de publications peut devoir disposer d'un canal de notification, même si son service n'est pas un réseau social. Si elle organise en outre ces publications dans un espace accessible au public et remplit la définition de plateforme en ligne, des obligations propres à cette fonction s'ajoutent. La classification se fait par activité, et non par l'étiquette commerciale que l'entreprise choisit.

Une plateforme qui dépasse 45 millions de destinataires actifs mensuels dans l'UE ne doit pas s'autodéclarer automatiquement de très grande taille à partir d'un calcul informel. La Commission européenne désigne les services qui remplissent les critères du règlement et publie ces désignations. Le chiffre oriente sur le seuil légal, mais le statut et ses obligations renforcées dépendent de la désignation prévue par la norme.

Pour les utilisateurs, l'effet le plus visible est que certaines décisions sur le contenu ou les comptes doivent être accompagnées d'une explication et peuvent être contestées via les mécanismes prévus. Il existe également des voies pour notifier le contenu présumé illicite et, dans les plateformes de très grande taille, des options liées aux recommandations non personnalisées. La DSA élargit les outils et la transparence ; elle ne garantit pas que chaque réclamation aboutisse ni ne transforme chaque décision de modération en une résolution judiciaire.

Un exemple : si une plateforme restreint une publication, la personne concernée peut consulter la motivation et, le cas échéant, utiliser le mécanisme interne de réclamation. Si elle estime que le matériel d'un autre compte est illégal, elle peut utiliser le canal de notification. Ce sont des processus distincts : contester une décision propre n'est pas la même chose que signaler du contenu d'autrui, et aucun ne supprime la possibilité de recourir à d'autres voies légales applicables.

Pour une entreprise, l'application pratique commence par un inventaire des services, une matrice des obligations et des responsables internes. Selon l'activité, il peut être nécessaire d'établir des flux pour la modération, le traitement des réclamations, la transparence publicitaire, la vérification des commerçants ou l'évaluation des risques. La décision utile n'est pas d'embaucher un outil de conformité générique sans diagnostic, mais d'identifier d'abord quelles obligations sont activées et quelle preuve opérationnelle permettra de démontrer qu'elles sont respectées.

Les autorités nationales supervisent la plupart des services sous la coordination du système européen, tandis que la Commission a des compétences spécifiques, en particulier concernant les plateformes et moteurs de recherche de très grande taille. Le design cherche une coopération transfrontalière car un service peut opérer dans de nombreux États à la fois. Pour les entreprises, cela signifie que les consultations et les exigences ne doivent pas être traitées comme des incidents isolés : il convient de conserver une documentation cohérente sur les décisions, les avis et les mesures adoptées.

Le règlement prévoit des amendes pour non-conformité pouvant atteindre jusqu'à 6 % du chiffre d'affaires annuel mondial du fournisseur, avec des conditions et procédures définies dans la norme. Ce n'est pas une sanction automatique ni un tarif uniforme pour toute erreur. La gravité, la nature de la non-conformité et le processus de supervision comptent ; c'est pourquoi, présenter le pourcentage maximal sans contexte exagérerait ce que cela signifie dans une situation concrète.

Une révision initiale peut être organisée comme un flux de décision, utile pour les équipes juridiques, de produit et d'opérations :

1. Identifier le service offert aux utilisateurs de l'UE et décrire ses fonctions réelles.
2. Classer la fonction : intermédiation, hébergement, plateforme en ligne, marché ou moteur de recherche, parmi d'autres catégories pertinentes.
3. Vérifier la taille et les exemptions, y compris s'il existe une désignation officielle de très grande taille.
4. Cartographier les obligations applicables et assigner des responsables, des procédures, des registres et des canaux de réclamation.
5. Réviser et mettre à jour l'analyse lorsque le service, l'échelle ou les décisions réglementaires changent.

Dans une entreprise qui vend des produits via un marché propre, la première étape n'est pas de supposer que « c'est juste du commerce électronique ». Elle doit déterminer si le service permet également à des commerçants tiers d'offrir des produits et de conclure des contrats avec des consommateurs ; si c'est le cas, les devoirs de traçabilité peuvent être pertinents. Une application qui permet de publier du contenu peut également être de l'hébergement, même si son nom commercial ne contient pas le mot plateforme.

La source normative principale est le Règlement (UE) 2022/2065 publié au Journal officiel de l'Union européenne. La Commission européenne offre des explications sur la portée, les droits des utilisateurs et le fonctionnement général de la DSA. Pour une décision de conformité, il est préférable de se référer au texte du règlement et aux orientations officielles, car les résumés promotionnels peuvent simplifier les catégories ou mélanger les règles de la DSA avec celles de la DMA, de la protection des données ou d'autres normes.

La DSA est, en somme, un cadre gradué pour rendre vérifiables les responsabilités d'intermédiation : quel service est offert, comment le contenu est traité, quelles informations sont livrées et quels risques sont évalués. La lecture pratique consiste à classifier l'activité avant d'appliquer une liste d'obligations. Cela évite à la fois de sous-estimer les devoirs d'un service petit et d'attribuer à toutes les plateformes les exigences réservées aux très grandes.