Le DSA — Digital Services Act

Vue d’ensemble

Le Digital Services Act (Règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques) est le pilier européen de la régulation des intermédiaires en ligne. Il complète et modernise le cadre hérité de la directive 2000/31/CE (eCommerce), sans en bouleverser le régime de responsabilité, en ajoutant une surcouche d’obligations positives (diligence, transparence, modération encadrée).

Dates clés :

• Adoption : 19 octobre 2022.
• Application immédiate aux VLOP/VLOSE désignés : 25 août 2023.
• Entrée en vigueur pleine et entière pour tous les acteurs : 17 février 2024.

Logique de base : « ce qui est illégal hors ligne est illégal en ligne », traduit non par un alourdissement de la responsabilité des hébergeurs, mais par une approche systémique — « dites ce que vous faites, faites ce que vous dites ».

Plan du cours

1. Étapes successives dans l’encadrement de la modération par les plateformes (NetzDG, loi Avia, censure du Conseil constitutionnel).
2. Le DSA : une approche moderne (systémique, transparence, dispositifs de modération, garanties d’expression, risques systémiques).
3. Le DSA vise une responsabilisation des plateformes :
   • A. Objectifs.
   • B. Acteurs visés.
   • C. Que va changer le DSA ? (lutte contenus illicites, transparence, atténuation des risques et réponse aux crises).
   • D. Surveillance et sanctions.

Notions clés

• Dichotomie historique éditeur / hébergeur : éditeur pleinement responsable des contenus tiers, hébergeur sous régime de responsabilité allégée (LCEN 2004 transposant la directive eCommerce). Ce schéma binaire s’est trouvé en décalage avec l’évolution des fonctionnalités des plateformes (recommandation algorithmique, mise en avant), qui les éloigne du paradigme de l’acteur neutre et passif.
• Censure privée : les plateformes appliquent leurs propres CGU, qui peuvent prohiber des contenus pourtant licites (ex. nudité), sans contrôle institutionnel externe — d’où le besoin d’un cadre obligeant à la cohérence et à la transparence.
• Approche systémique : on ne révise pas le régime de responsabilité, on impose des obligations de diligence, de moyens et de transparence, supervisées par un régulateur doté de pouvoirs d’accès aux données et de sanctions dissuasives.
• Risques systémiques : risques liés non au contenu en lui-même, mais au modèle d’activité (popularité, comparaison sociale, publicité ciblée, contenus clivants, pièges à clic).

Champ d’application

• S’applique à toutes les entreprises fournissant des services dits « intermédiaires » aux internautes européens, qu’elles soient établies dans ou hors de l’Union européenne (effet extraterritorial fondé sur le critère du marché européen).
• Obligation pour tous les acteurs de désigner un point de contact unique, ou, s’ils sont hors UE, un représentant légal dans l’Union, et de coopérer avec les autorités nationales en cas d’injonction.
• Les exigences sont graduées selon la nature et la taille du service : plus l’acteur est large et structurant, plus les obligations sont lourdes (principe de proportionnalité).

Catégories d’acteurs

Architecture en poupées russes (chaque catégorie cumule les obligations de la précédente) :

• Services intermédiaires (catégorie générique) :
  • Simple transport (mere conduit) : FAI.
  • Mise en cache (caching).
  • Hébergement (hosting) : services d’informatique en nuage (cloud), hébergeurs au sens classique.
• Plateformes en ligne (sous-catégorie d’hébergeurs qui stockent et diffusent au public les contenus tiers — réseaux sociaux, places de marché, app stores).
• VLOP / VLOSE : Very Large Online Platforms / Very Large Online Search Engines, soit les très grandes plateformes en ligne et très grands moteurs de recherche utilisés par plus de 45 millions d’Européens / mois, désignés par décision de la Commission européenne.

17 VLOP désignées : Alibaba AliExpress, Amazon Store, Apple AppStore, Booking.com, Facebook, Google Play, Google Maps, Google Shopping, Instagram, LinkedIn, Pinterest, Snapchat, TikTok, X (ex-Twitter), Wikipedia, YouTube, Zalando.

2 VLOSE désignés : Bing, Google Search.

Obligations par catégorie

Tronc commun (tous services intermédiaires)

• Désignation d’un point de contact unique / représentant légal hors UE.
• Coopération avec les autorités nationales (injonctions d’agir contre les contenus illicites, fourniture d’informations).
• Mise à jour transparente des conditions générales d’utilisation (cohérence avec la pratique de modération).
• Rapports de transparence sur la modération.

Hébergeurs (et donc plateformes)

• Mécanisme de notification et action (notice and action) : outil permettant aux internautes de signaler facilement les contenus illicites.
• Retrait ou blocage rapide de l’accès au contenu illégal après signalement.
• Exposé des motifs (statement of reasons) à l’utilisateur dont le contenu est modéré.

Plateformes en ligne (sauf micro et petites entreprises)

• Système interne de traitement des réclamations permettant aux utilisateurs (compte suspendu, contenu retiré) de contester la décision.
• Recours à des organismes de règlement extrajudiciaire des litiges indépendants et certifiés dans les États membres, ou saisine des juges nationaux.
• Signaleurs de confiance (trusted flaggers) : leurs notifications sont traitées en priorité.
• Marketplaces (Airbnb, Amazon, etc.) : devoir de traçabilité des vendeurs professionnels (recueil et vérification des informations avant autorisation de vendre — Know Your Business Customer) et information renforcée des consommateurs.
• Interdiction de la publicité ciblée pour les mineurs sur toutes les plateformes.
• Interdiction de la publicité fondée sur des données sensibles (opinions politiques, religion, orientation sexuelle), sauf consentement explicite.
• Interdiction des dark patterns (« pièges à utilisateurs », interfaces trompeuses, mise en avant biaisée des choix).
• Explication du fonctionnement des algorithmes de recommandation publicitaire.

VLOP / VLOSE (obligations renforcées)

• Évaluation annuelle des risques systémiques générés par leurs services :
  • haine et violence en ligne ;
  • droits fondamentaux ;
  • discours civique et processus électoraux ;
  • santé publique, santé mentale (notamment des mineurs).
• Mesures d’atténuation des risques identifiés : codes de conduite, suppression des faux comptes, visibilité accrue des sources d’information faisant autorité.
• Audits indépendants annuels de réduction des risques, sous contrôle de la Commission européenne.
• Mise à disposition des algorithmes à la Commission et aux autorités nationales compétentes.
• Accès aux données clés pour les chercheurs agréés (compréhension de l’évolution des risques en ligne).
• Système de recommandation non fondé sur le profilage proposé en option à l’utilisateur.
• Registre public des publicités (qui parraine, ciblage, durée, paramètres).
• Protection renforcée des mineurs.
• Mécanisme de réaction aux crises touchant la sécurité ou la santé publique.

Mécanismes (signalements, trusted flaggers, transparence, audits)

• Signalement utilisateur (notice and action) : outil facile d’accès, retrait/blocage rapide après signalement, justification de la décision.
• Signaleurs de confiance (trusted flaggers) : entités certifiées par le coordinateur national pour la qualité, l’objectivité et la diligence de leurs notifications — traitement prioritaire.
• Réclamations internes : procédure gratuite et accessible permettant la contestation des décisions de modération (suspension, résiliation, retrait, démonétisation).
• ODR / règlement extrajudiciaire : organismes indépendants certifiés dans chaque État membre.
• Transparence algorithmique : explication des critères de recommandation, registre public de publicités pour les VLOP/VLOSE.
• Audits indépendants annuels des très grandes plateformes (méthodologie supervisée par la Commission).
• Réponse aux crises : la Commission peut, sur recommandation du comité européen des services numériques, demander aux VLOP/VLOSE une analyse des risques en cas de crise (cf. agression russe contre l’Ukraine) et imposer des mesures d’urgence pour une durée limitée.

Gouvernance & sanctions

Architecture institutionnelle

• Coordinateur des services numériques (DSC, Digital Services Coordinator) : autorité indépendante désignée par chaque État membre.
  • En France : l’Arcom (prévu par la loi visant à sécuriser et réguler l’espace numérique — SREN).
  • Dans d’autres États : souvent l’autorité des médias.
• 27 coordinateurs nationaux : contrôlent le respect du règlement sur leur territoire, reçoivent les plaintes contre les intermédiaires.
• Comité européen des services numériques (European Board for Digital Services) :
  • rend des analyses ;
  • mène des enquêtes conjointes transfrontalières ;
  • émet des recommandations sur l’application du règlement ;
  • recommande à la Commission l’activation du mécanisme de réponse aux crises.
• Commission européenne : surveillance directe des VLOP/VLOSE, financée par des frais de supervision plafonnés à 0,05 % du chiffre d’affaires annuel mondial des plateformes concernées.

Sanctions

• Astreintes et amendes prononcées par les autorités compétentes.
• Pour les VLOP/VLOSE : amendes jusqu’à 6 % du chiffre d’affaires mondial annuel.
• En cas de violations graves et répétées : possibilité d’interdiction d’activité sur le marché européen.

Articulation avec autres textes

• Directive 2000/31/CE eCommerce : le DSA conserve son régime de responsabilité limitée des intermédiaires (mere conduit, caching, hosting) — un hébergeur ne devient pas éditeur ; il y ajoute des obligations positives.
• DMA — Digital Markets Act (Règlement (UE) 2022/1925) : texte jumeau, adopté en même temps, mais visant les gatekeepers (contrôleurs d’accès) sous l’angle concurrentiel (interopérabilité, auto-préférence, lock-in). Le DSA, lui, s’attaque au marché des contenus et services intermédiaires, sous l’angle de la sécurité et des droits fondamentaux.
• RGPD (Règlement (UE) 2016/679) : socle pour le traitement des données personnelles, complété par le DSA sur les usages publicitaires (interdiction publicité ciblée mineurs, données sensibles).
• Droit national : en France, LCEN 2004 (régime hébergeur), loi Avia 2019 (largement censurée par le Conseil constitutionnel), loi SREN 2024 désignant l’Arcom comme coordinateur DSC.

Définitions importantes

• Service intermédiaire : service de la société de l’information consistant à transmettre, mettre en cache ou héberger des informations fournies par les destinataires du service.
• Plateforme en ligne : hébergeur qui, à la demande d’un destinataire, stocke et diffuse au public des informations (sauf si fonctionnalité accessoire et négligeable d’un autre service).
• VLOP / VLOSE : plateforme / moteur dépassant 45 M utilisateurs actifs mensuels dans l’UE, désigné formellement par la Commission.
• Contenu illicite : toute information qui, en elle-même ou par ses modalités, n’est pas conforme au droit de l’Union ou au droit national d’un État membre.
• Signaleur de confiance : entité certifiée par le coordinateur national, aux notifications traitées prioritairement.
• Risque systémique : risque inhérent à la conception, au fonctionnement ou à l’utilisation des services VLOP/VLOSE (droits fondamentaux, discours civique, processus électoraux, mineurs, santé publique).
• Dark pattern / piège à utilisateur : interface conçue pour induire l’utilisateur en erreur ou contraindre ses choix.
• Coordinateur des services numériques (DSC) : autorité nationale indépendante chargée de l’application du DSA dans son État membre.

Références juridiques

• Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques (Digital Services Act). Articles structurants typiquement étudiés :
  • art. 4 à 6 — exonérations de responsabilité (mere conduit, caching, hosting), reprenant la directive eCommerce.
  • art. 7 — enquêtes volontaires, clause du Bon Samaritain.
  • art. 9 — injonctions d’agir contre les contenus illicites.
  • art. 14 — conditions générales d’utilisation.
  • art. 16 — mécanisme de notification et d’action.
  • art. 17 — exposé des motifs (statement of reasons).
  • art. 20 — système interne de traitement des réclamations.
  • art. 21 — règlement extrajudiciaire des litiges.
  • art. 22 — signaleurs de confiance.
  • art. 25 — interfaces trompeuses (dark patterns).
  • art. 26-28 — publicité, transparence, protection des mineurs.
  • art. 33 — désignation des VLOP / VLOSE (seuil de 45 M).
  • art. 34-35 — évaluation et atténuation des risques systémiques.
  • art. 37 — audit indépendant annuel.
  • art. 38-39 — systèmes de recommandation, registre des publicités.
  • art. 40 — accès aux données pour les chercheurs.
  • art. 48 — protocoles de crise.
  • art. 49 et s. — coordinateurs des services numériques.
  • art. 74 — amendes (jusqu’à 6 % du CA mondial pour les VLOP/VLOSE).
• Directive 2000/31/CE (eCommerce) — articulation.
• Règlement 2022/1925 (DMA) — articulation.
• Conseil constitutionnel, décision n° 2020-801 DC du 18 juin 2020 (loi Avia) — censure majeure.
• NetzDG (Allemagne, 2017) — antécédent national.
• Loi n° 2024-449 du 21 mai 2024 dite SREN — désignation de l’Arcom comme DSC en France.

Points à retenir / Pièges

• Le DSA ne touche pas au régime de responsabilité des hébergeurs (issu de la directive eCommerce / LCEN). Il ajoute des obligations positives : confondre les deux est l’erreur classique.
• Les exigences sont graduées en cascade (intermédiaire → hébergeur → plateforme → VLOP/VLOSE) ; bien cartographier dans quelle case se trouve l’acteur étudié.
• 45 M d’utilisateurs / mois UE = seuil VLOP/VLOSE, désigné formellement par la Commission (la désignation est un acte juridique, pas un seuil automatique).
• Compétence de la Commission sur les VLOP/VLOSE / compétence des coordinateurs nationaux sur les autres acteurs : architecture à deux étages, ne pas confondre.
• 6 % CA mondial pour les VLOP/VLOSE (à comparer aux 4 % du RGPD) ; possible bannissement du marché en cas de violations graves et répétées.
• Censure de la loi Avia par le Conseil constitutionnel : délai de 24 h jugé incompatible avec la liberté d’expression — explique la préférence du DSA pour une approche systémique plutôt que pour des délais couperets.
• 95-99 % des suppressions de contenus relèvent de la détection algorithmique spontanée, pas des notifications utilisateurs : le DSA encadre donc autant la modération à l’initiative de la plateforme que le notice and action.
• Trusted flaggers ≠ modérateurs : ils signalent, ils ne décident pas — la décision finale reste à la plateforme, sous contrôle juridictionnel.
• Publicité ciblée mineurs : interdiction absolue (pas de consentement qui sauve) ; pour les données sensibles, consentement explicite possible.
• Audit indépendant annuel : obligation de moyens et de résultat partiel (efficacité contrôlée par la Commission).

Questions ouvertes

• Articulation pratique entre Commission (VLOP/VLOSE) et coordinateurs nationaux : risques de conflits de compétence, en particulier pour des plateformes proches du seuil ou opérant via filiales locales.
• Effectivité des audits indépendants : indépendance réelle des cabinets choisis et financés par la plateforme auditée ?
• Transparence algorithmique vs secret des affaires : jusqu’où ouvrir les modèles de recommandation aux chercheurs et autorités sans empiéter sur la propriété intellectuelle / le savoir-faire ?
• Liberté d’expression vs modération privée : le DSA limite-t-il vraiment la censure privée, ou la légitime-t-il en l’encadrant procéduralement ?
• Responsabilité algorithmique : la « neutralité » de l’hébergeur est-elle encore tenable lorsque la mise en avant algorithmique reflète des choix éditoriaux implicites ? Vers une troisième voie hébergeur-éditeur ?
• Application extraterritoriale effective sur des acteurs non européens (ex. plateformes établies aux USA, Chine).
• Articulation DSA / DMA sur les acteurs gatekeepers ET VLOP simultanément (Meta, Google, Amazon, Apple) : double obligation, double sanction possible ?

Sources

• PDF original : Téléchargements/droit/Le_DSA.pdf