DMA 2026 : le règlement sur les marchés numériques

La Commission européenne a publié le 28 avril 2026 son premier rapport de réexamen du DMA (COM(2026) 178 final). Conclusion : le règlement « reste adapté à sa finalité » et n’a pas besoin d’être révisé. Mais le même rapport pointe un problème que je constate dans presque tous mes dossiers — les entreprises bénéficiaires, « en particulier les PME, ne sont souvent pas suffisamment conscientes des opportunités créées par le DMA ».

C’est l’angle mort du sujet. Le DMA n’impose aucune obligation à votre entreprise. Il vous ouvre des droits opposables à sept plateformes dont vous dépendez probablement au quotidien. Et l’exercice de ces droits, lui, engage votre propre conformité RGPD. Voici la cartographie complète.

Le DMA en une page : ce qu’il est, ce qu’il n’est pas

Le règlement (UE) 2022/1925 du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique est entré en vigueur le 1er novembre 2022 et s’applique depuis le 2 mai 2023. Les premières désignations datent du 5 septembre 2023 ; les obligations de fond ne sont opposables aux plateformes que depuis le 7 mars 2024, chaque contrôleur d’accès disposant de six mois après sa désignation pour se conformer.

Sa logique est celle d’une régulation ex ante : au lieu de sanctionner un abus après coup comme le fait le droit de la concurrence, le DMA interdit d’emblée une vingtaine de pratiques aux plus grandes plateformes.

Trois points à retenir avant tout le reste :

1. Le DMA ne s’applique qu’aux contrôleurs d’accès désignés. Il ne crée aucune obligation directe pour les PME et les start-up. Le rapport de réexamen l’écrit noir sur blanc.
2. Il ne remplace pas le RGPD. L’article 8(1) du DMA impose au contraire au contrôleur d’accès que ses mesures de conformité respectent le droit applicable, « en particulier le RGPD ».
3. Il est appliqué exclusivement par la Commission européenne. Ni la CNIL, ni l’Autorité de la concurrence ne peuvent sanctionner un manquement au DMA. J’y reviens plus bas, parce que la nuance a des conséquences pratiques.

Qui est contrôleur d’accès en 2026 ?

Sept entreprises, pour 23 services de plateforme essentiels (SPE), au 21 mai 2026 :

Contrôleur d’accès	Services de plateforme essentiels désignés
Alphabet	Google Search, Google Maps, Google Play, Google Shopping, Google Ads, YouTube, Chrome, Android
Amazon	Amazon Marketplace, Amazon Ads
Apple	App Store, Safari, iOS, iPadOS
Booking	Booking.com
ByteDance	TikTok
Meta	Facebook, Instagram, WhatsApp, Messenger, Meta Ads
Microsoft	LinkedIn, Windows PC OS

Deux mouvements notables. Facebook Marketplace a été « dé-désigné » par décision du 23 avril 2025 : Meta ayant écarté les utilisateurs professionnels du service, celui-ci est passé sous le seuil des 10 000 entreprises utilisatrices actives par an. C’est le premier retrait d’un SPE depuis l’entrée en application du texte. À l’inverse, le 5 février 2026, la Commission a considéré qu’Apple Ads et Apple Maps ne constituaient pas des points d’accès importants et n’avaient donc pas à être désignés, malgré le dépassement des seuils quantitatifs notifié par Apple le 27 novembre 2025.

Deux enquêtes de marché ouvertes le 18 novembre 2025 examinent par ailleurs une désignation qualitative d’AWS et d’Azure pour leurs services d’informatique en nuage — un sujet à suivre de près si vous négociez des contrats SaaS ou si vous travaillez sur vos obligations de sécurité cloud.

Les seuils de l’article 3(2) donnent l’ordre de grandeur : 7,5 milliards d’euros de chiffre d’affaires annuel dans l’Union sur chacun des trois derniers exercices (ou 75 milliards d’euros de capitalisation boursière au dernier exercice), avec fourniture du même service de plateforme essentiel dans au moins trois États membres ; au moins 45 millions d’utilisateurs finaux actifs par mois dans l’Union et au moins 10 000 entreprises utilisatrices actives par an, ces derniers seuils devant être atteints lors de chacun des trois derniers exercices. Autant dire que la question « suis-je concerné en tant qu’entreprise assujettie ? » ne se pose pas.

Article 5(2) : le point de contact le plus chaud avec le RGPD

C’est la disposition qui a produit l’une des deux premières amendes DMA, et celle qui structure aujourd’hui l’économie de la publicité en ligne dans l’Union.

L’article 5(2) interdit au contrôleur d’accès quatre opérations, sauf consentement de l’utilisateur final :

• traiter les données personnelles d’utilisateurs de services tiers qui recourent au SPE à des fins de publicité en ligne ;
• combiner les données personnelles issues du SPE avec celles issues d’autres services ;
• utiliser de manière croisée les données du SPE dans d’autres services fournis séparément, et inversement ;
• connecter automatiquement l’utilisateur à d’autres services du contrôleur d’accès pour combiner ses données.

Le consentement visé est celui des articles 4, point 11), et 7 du RGPD — pas un consentement au rabais. Et le texte ajoute une garantie que l’on oublie souvent : en cas de refus, le contrôleur d’accès ne peut pas réitérer sa demande plus d’une fois par an.

L’affaire Meta « consent or pay » : 200 millions d’euros

Le 23 avril 2025, la Commission a infligé à Meta une amende de 200 millions d’euros (décision d’exécution C(2025) 2091 final) pour son modèle binaire annoncé le 30 octobre 2023 : consentir à la combinaison des données pour la publicité personnalisée, ou payer un abonnement mensuel sans publicité.

Le raisonnement mérite d’être lu attentivement, parce qu’il ne recoupe pas exactement celui du RGPD. La Commission n’a pas dit que le paiement était par principe illicite. Elle a retenu deux griefs :

• Meta n’offrait pas le choix spécifique prévu par l’article 5(2), c’est-à-dire un service utilisant moins de données personnelles mais par ailleurs équivalent au service avec publicité personnalisée ;
• le modèle ne permettait pas aux utilisateurs d’exercer leur droit de consentir librement à la combinaison de leurs données.

Le 8 décembre 2025, Meta a annoncé qu’à partir de 2026 les utilisateurs européens de Facebook et Instagram auraient une troisième voie : partager moins de données en échange d’une publicité moins personnalisée. La Commission a indiqué qu’elle recueillerait des retours sur l’impact réel de ce nouveau modèle. Meta a par ailleurs formé un recours en annulation contre la décision de non-conformité le 4 juillet 2025 (aff. T-432/25) : le dossier n’est pas juridiquement clos.

À noter que trois autorités ont travaillé en parallèle sur le même modèle — la Commission au titre du DMA, la Data Protection Commission irlandaise au titre du RGPD, et le réseau CPC au titre du droit de la consommation. C’est exactement la configuration que le cookie wall connaît en droit français, et l’avis 08/2024 du CEPD du 17 avril 2024 sur les modèles « consentir ou payer » des grandes plateformes reste la référence côté protection des données.

Ce que cela change pour vous, annonceur

Rien sur le plan des obligations. Beaucoup sur le plan opérationnel.

La Commission constate qu’« un pourcentage significatif d’utilisateurs finaux a décidé de refuser son consentement » aux écrans de choix déployés par des contrôleurs d’accès comme Microsoft et Alphabet. Traduction concrète : les audiences adressables en ciblage comportemental cross-services se contractent, mécaniquement, sans qu’aucune décision CNIL ne soit intervenue. Si votre acquisition repose sur le retargeting ou sur des audiences similaires construites à partir de données combinées, l’effet est déjà mesurable dans vos campagnes.

La réponse n’est pas juridique, elle est stratégique : reconstruire une base de données de première main, avec un consentement valablement recueilli et documenté, et un bandeau cookies conforme qui ne relève pas des dark patterns.

Les six droits que le DMA vous ouvre réellement

Voici la partie que presque personne n’exploite. Le tableau suivant résume les dispositions directement mobilisables par une entreprise utilisatrice française.

Article DMA	Droit ouvert	Qui peut l’exercer
5(9) et 5(10)	Information quotidienne et gratuite sur le prix payé, les frais prélevés et la rémunération versée à l’éditeur (cette dernière sous réserve du consentement de la contrepartie)	Annonceurs et éditeurs
6(8)	Accès gratuit, sur demande, aux outils de mesure de performance du contrôleur d’accès et aux données nécessaires à une vérification indépendante de l’inventaire publicitaire	Annonceurs et éditeurs
6(9)	Portabilité effective des données fournies ou générées par l’utilisateur sur le SPE, y compris accès continu et en temps réel	Utilisateurs finaux et tiers autorisés par eux
6(10)	Accès gratuit, de qualité, continu et en temps réel aux données agrégées et non agrégées générées par votre activité et celle de vos clients sur le SPE	Entreprises utilisatrices et tiers qu’elles autorisent
6(11)	Accès aux données de classement, de requête, de clic et de vue, anonymisées, à conditions FRAND	Fournisseurs de moteurs de recherche tiers
6(12)	Conditions générales d’accès équitables, raisonnables et non discriminatoires aux boutiques d’applications, moteurs de recherche et réseaux sociaux	Entreprises utilisatrices

Trois d’entre eux méritent un développement.

La transparence publicitaire (art. 5(9), 5(10) et 6(8))

Le rapport de réexamen est explicite : les annonceurs et les éditeurs peuvent désormais « accéder aux informations relatives au prix, aux frais, à la rémunération et à la performance des publicités », dans un domaine « auparavant connu comme une boîte noire ». Les contrôleurs d’accès ont dû déployer des API permettant de télécharger des rapports détaillés.

Si vous dépensez plus de quelques milliers d’euros par mois chez Google Ads, Meta Ads ou Amazon Ads, c’est le droit le plus immédiatement rentable du DMA. Une réserve toutefois : l’article 5(9)(b) subordonne la communication de la rémunération versée à l’éditeur au consentement de celui-ci ; à défaut, l’annonceur n’obtient que le montant journalier moyen. La chaîne de valeur n’est donc pas reconstituable ligne à ligne dans tous les cas — mais elle l’est bien mieux qu’avant mars 2024.

L’accès aux données de l’article 6(10)

Le contrôleur d’accès doit donner à l’entreprise utilisatrice un accès aux données agrégées et non agrégées, y compris à caractère personnel, générées dans le contexte de l’utilisation du SPE par cette entreprise et par ses clients.

Deux limites structurent l’exercice :

• l’accès ne porte que sur des données directement liées à l’utilisation par le client final des produits ou services que vous proposez via le SPE ;
• pour les données à caractère personnel, le client final doit avoir opté pour ce partage en donnant son consentement.

C’est là que se joue le vrai sujet de conformité — j’y consacre une section entière plus bas.

La portabilité de l’article 6(9), plus large que l’article 20 du RGPD

C’est le point que le projet de lignes directrices conjointes clarifie le mieux, et il est contre-intuitif.

	Article 20 RGPD	Article 6(9) DMA
Base légale du traitement	Le droit ne joue que si le traitement repose sur le consentement ou le contrat	Le droit joue quelle que soit la base légale, y compris l’intérêt légitime
Périmètre des données	Données fournies par la personne concernée, traitées de façon automatisée	Données fournies ou générées par l’activité de l’utilisateur sur le SPE, y compris des données relatives à des tiers lorsqu’elles ont été fournies par l’utilisateur ou générées par son activité
Continuité	Transmission ponctuelle	Accès continu et en temps réel, avec possibilité de requêtes récurrentes
Débiteur	Tout responsable de traitement	Les seuls contrôleurs d’accès désignés

Concrètement, Alphabet permet désormais de formuler une demande unique pour recevoir des données de façon récurrente — quotidienne, hebdomadaire ou mensuelle — et de définir la période historique demandée. Meta a fusionné en août 2025 ses outils DYI et TYI en un outil unique d’export. Une solution de portabilité entre appareils Android et iPhone est en cours de déploiement. Le rapport de réexamen indique que plus de 40 entreprises, majoritairement des PME, ont déjà intégré ces solutions de portabilité pour lancer de nouveaux services.

Pour la mécanique de fond, notre guide sur la portabilité des données et notre décryptage de l’article 20 du RGPD restent le socle : le DMA élargit, il ne remplace pas.

Le piège : exercer un droit DMA fait de vous un responsable de traitement

Voici l’erreur que je vois arriver, et qu’il vaut mieux anticiper.

Le projet de lignes directrices conjointes de la Commission et du CEPD, publié le 9 octobre 2025, est clair sur ce point : lorsqu’une entreprise utilisatrice obtient l’accès à des données personnelles au titre de l’article 6(10), le contrôleur d’accès et le tiers autorisé agissent comme responsables de traitement distincts, et le contrôleur d’accès doit informer les utilisateurs finaux des traitements opérés par chacun.

Autrement dit : le jour où vous récupérez le flux de données de vos clients depuis une marketplace ou une boutique d’applications, vous héritez de la totalité du dispositif RGPD.

À vérifier avant d’émettre la demande :

1. Une base légale propre pour vos traitements en aval. Le partage lui-même repose sur le consentement de l’utilisateur final, que le projet de lignes directrices met à la charge de l’entreprise utilisatrice : il n’y a pas d’alternative sur ce point. Mais toute finalité nouvelle que vous poursuivrez ensuite avec ces données appelle sa propre qualification au titre de la base légale — contrat, consentement ou intérêt légitime selon le cas.
2. Une inscription au registre. Nouvelle source, nouvelles catégories de données, nouvelle finalité : c’est un traitement nouveau au sens de l’article 30 du RGPD.
3. Une information des personnes. Vos mentions d’information doivent citer la plateforme comme source des données.
4. Une durée de conservation. Un flux « continu et en temps réel » n’a pas de durée par nature : il faut la fixer. Voir nos repères sur les durées de conservation.
5. Une AIPD si le traitement le justifie. Croisement de données comportementales à grande échelle, profilage, scoring : les critères de l’article 35 sont vite atteints.
6. Un contrôle des transferts. Si vous êtes établi ou hébergé hors de l’EEE, le flux qui vous est adressé est un transfert. Le projet de lignes directrices traite la question sur le terrain de la portabilité de l’article 6(9) et met la charge sur le contrôleur d’accès exportateur : à destination d’un pays sans décision d’adéquation, il doit recueillir le consentement explicite de l’utilisateur après l’avoir informé des risques, selon la mécanique de l’article 49(1)(a) du RGPD. Côté destinataire, vérifiez que votre propre chaîne d’hébergement et de sous-traitance tient. Voir notre guide des transferts de données hors UE.
7. Une vigilance sur l’anonymisation. Pour l’article 6(11), le projet de lignes directrices exige que l’anonymisation atteigne le standard du RGPD : l’appréciation se fait au regard des moyens raisonnablement susceptibles d’être mis en œuvre par le destinataire, l’altération technique de la donnée est indispensable et les mesures contractuelles ou organisationnelles ne peuvent que la compléter. Ne prenez donc pas pour argent comptant l’étiquette « anonymisé » apposée par un fournisseur : voir pseudonymisation ou anonymisation.

C’est typiquement le genre de chaîne — base légale, registre, information, durées, AIPD, transferts — que Legiscope automatise, pour éviter qu’un nouveau flux de données entre dans l’entreprise sans jamais avoir été qualifié.

Où en sont les lignes directrices conjointes DMA-RGPD ?

Un peu d’histoire administrative, parce qu’elle détermine le calendrier.

Le 9 octobre 2025, le CEPD et la Commission européenne ont adopté conjointement un premier projet de lignes directrices sur l’articulation entre le DMA et le RGPD. C’est une première : jamais le Comité et la Commission n’avaient élaboré de lignes directrices communes. La base juridique est double : l’article 47 du DMA, qui habilite la Commission à adopter des orientations, et l’article 70(1)(e) du RGPD pour le CEPD.

La consultation publique s’est tenue du 9 octobre au 4 décembre 2025 et a recueilli plus d’une centaine de contributions — PME, associations professionnelles, contrôleurs d’accès, société civile, associations de consommateurs, universitaires, cabinets d’avocats et citoyens. Les contributions ont été publiées le 13 mars 2026. L’adoption du texte final est annoncée pour 2026, sans date plus précise à ce jour.

Le projet couvre six blocs : le consentement de l’article 5(2), la distribution de boutiques et d’applications tierces (art. 6(4)), la portabilité (art. 6(9)), l’accès aux données (art. 6(10)), l’anonymisation des données de recherche (art. 6(11)) et l’interopérabilité des messageries (art. 7). Sur ce dernier point, il recommande la réalisation d’une AIPD et le partage des seules données strictement nécessaires — ce qui intéresse directement quiconque travaille sur WhatsApp et le RGPD.

Un projet de lignes directrices n’a pas de valeur contraignante. Mais il reflète la position d’enforcement de deux régulateurs et crée une confiance légitime. En 20 ans de pratique, je n’ai jamais vu un projet du CEPD être renversé sur le fond entre la consultation et l’adoption : les ajustements portent sur les exemples et la rédaction, rarement sur la doctrine.

Le CEPD et la Commission européenne — via le Bureau de l’IA — préparent par ailleurs des lignes directrices conjointes sur l’articulation entre l’AI Act et le droit de la protection des données. Même méthode, même logique de décloisonnement, dans le prolongement de l’omnibus numérique.

Qui applique le DMA, et que risquent les plateformes

C’est la question qui revient systématiquement en formation, et la réponse surprend toujours.

La Commission européenne dispose d’une compétence exclusive pour appliquer le DMA. Les autorités nationales de concurrence peuvent, au titre de l’article 38, mener des investigations sur un manquement présumé lorsque leur droit national le leur permet, et doivent informer la Commission. Mais elles ne peuvent adopter aucune décision ni infliger aucune amende au titre du DMA, et se dessaisissent dès que la Commission ouvre une procédure. En 2025, la Commission a reçu neuf notifications d’affaires nationales sur ce fondement, et les autorités belge, italienne et néerlandaise ont détaché du personnel pour appuyer ses enquêtes.

La CNIL, de son côté, n’a pas de compétence DMA. Elle reste pleinement compétente sur le volet RGPD des mêmes pratiques — la coopération entre la Commission et la Data Protection Commission irlandaise sur le modèle Meta l’illustre. Les rapports d’audit sur les techniques de profilage des consommateurs, que les contrôleurs d’accès doivent produire chaque année au titre de l’article 15 du DMA, sont d’ailleurs transmis au CEPD et peuvent servir à l’application du RGPD.

Le barème des sanctions, pour situer les ordres de grandeur :

Fondement	Plafond
Art. 30(1) — manquement aux obligations	10 % du chiffre d’affaires mondial total de l’exercice précédent
Art. 30(2) — manquement identique ou similaire à une obligation des art. 5, 6 ou 7, pour le même service de plateforme essentiel, constaté dans les 8 années précédentes	20 % du chiffre d’affaires mondial total
Art. 31 — astreintes	5 % du chiffre d’affaires journalier mondial moyen
Art. 18 — non-conformité systématique (au moins 3 décisions en 8 ans)	Enquête de marché pouvant déboucher sur des mesures structurelles, y compris la cession d’activités

À ce jour, deux décisions de non-conformité et deux amendes : 500 millions d’euros pour Apple au titre de l’article 5(4) (restrictions au steering hors de l’App Store) et 200 millions pour Meta au titre de l’article 5(2). Une enquête visant Apple sur l’article 6(3) a été close sans constat de manquement le 23 avril 2025, après qu’Apple a amélioré ses écrans de choix et rendu désinstallables Safari et l’App Store. Quatre procédures restent ouvertes, dont celle ouverte le 13 novembre 2025 contre la politique de site reputation abuse de Google Search, qui déclasse certaines pages d’éditeurs contenant du contenu de partenaires commerciaux.

Enfin, deux voies souvent ignorées :

• Le contentieux devant le juge national. Le considérant 92 du DMA reconnaît que le règlement est sans préjudice des actions engagées devant les juridictions nationales par les entreprises et utilisateurs lésés. L’article 39 organise la coopération entre ces juridictions et la Commission : celle-ci peut leur transmettre des informations, rendre un avis, présenter des observations écrites ou orales, et le juge national ne peut statuer à l’encontre d’une décision de la Commission. Ce private enforcement en est à ses débuts, mais la Commission suit les contentieux nationaux.
• L’action représentative. L’article 42 rend applicable la directive (UE) 2020/1828 aux actions représentatives dirigées contre les manquements des contrôleurs d’accès qui portent ou sont susceptibles de porter atteinte aux intérêts collectifs des consommateurs. En France, ce sont donc les entités qualifiées au sens du régime de l’action de groupe — les associations de consommateurs agréées au premier chef — qui ont qualité pour agir, et non une association d’entreprises utilisatrices.

Plan d’action : ce qu’une entreprise française peut faire dès maintenant

1. Inventoriez votre exposition. Listez les SPE dont dépend votre activité : régie publicitaire, marketplace, boutique d’applications, moteur de recherche, système d’exploitation. Chaque dépendance correspond à un jeu de droits.
2. Activez les rapports publicitaires. Demandez l’accès aux API de reporting des articles 5(9), 5(10) et 6(8) auprès de chaque régie. C’est gratuit et de droit.
3. Testez la portabilité avant d’en avoir besoin. Un export récurrent au titre de l’article 6(9) se paramètre en quelques minutes, et vous dit immédiatement ce que la plateforme détient réellement sur vos clients.
4. Qualifiez juridiquement toute demande d’accès à des données personnelles avant de l’émettre : les sept points de la section précédente.
5. Lisez les rapports de conformité. Les contrôleurs d’accès publient chaque année un rapport de conformité et une synthèse publique de leurs techniques de profilage, accessibles sur le site DMA de la Commission. C’est une source de veille sous-exploitée, y compris pour instruire un dossier CNIL.
6. Signalez. Si une plateforme refuse un droit prévu par les articles 5, 6 ou 7, la Commission recueille les signalements de tiers ; les ateliers de conformité annuels sont ouverts au public et aux associations professionnelles.
7. Ne confondez pas les textes. Le DMA régule la contestabilité et l’équité ; le DSA régule les contenus et la transparence des plateformes ; le Data Act régule l’accès aux données des objets connectés ; le RGPD régule les données personnelles. Les quatre s’appliquent en même temps.

Cinq erreurs fréquentes

• Croire que le DMA impose des obligations à votre PME. Il n’en impose aucune. Les seuils de l’article 3(2) placent la barre à 7,5 milliards d’euros de chiffre d’affaires européen — ou 75 milliards de capitalisation.
• Considérer le consentement DMA comme distinct du consentement RGPD. Le projet de lignes directrices recommande au contraire un parcours de consentement unique, lisible, lorsque la même opération requiert un consentement au titre des deux textes.
• Traiter la portabilité DMA comme une simple extension de l’article 20. Le périmètre matériel et l’indifférence à la base légale en font un droit distinct, plus large.
• Réutiliser des données obtenues via l’article 6(10) pour une finalité nouvelle sans nouvelle base légale. Le consentement au partage n’est pas un blanc-seing sur l’usage.
• Se fier à l’étiquette « anonymisé » pour les données de recherche de l’article 6(11). Le standard est celui du RGPD, apprécié au regard des moyens raisonnablement susceptibles d’être mis en œuvre par le destinataire — une barre nettement plus haute qu’un simple retrait d’identifiants.

Ce qu’il faut retenir

• Le règlement (UE) 2022/1925 s’applique depuis le 2 mai 2023 et ses obligations sont opposables aux plateformes depuis le 7 mars 2024. Sept contrôleurs d’accès, 23 services de plateforme essentiels au 21 mai 2026.
• Le DMA n’impose rien aux PME : il leur ouvre des droits opposables aux plateformes — transparence publicitaire (art. 5(9), 5(10), 6(8)), portabilité (art. 6(9)), accès aux données (art. 6(10)), conditions FRAND (art. 6(12)).
• La portabilité de l’article 6(9) est plus large que l’article 20 du RGPD : elle joue quelle que soit la base légale, couvre les données générées par l’activité et ouvre un accès continu et en temps réel.
• Exercer un droit d’accès aux données personnelles fait de vous un responsable de traitement distinct : base légale, registre, information, durées, AIPD et transferts sont à traiter avant la première demande.
• Les lignes directrices conjointes Commission-CEPD sur l’articulation DMA-RGPD, en projet depuis le 9 octobre 2025, doivent être adoptées en 2026. Elles ne sont pas contraignantes mais reflètent la position des deux régulateurs.
• Seule la Commission européenne applique le DMA. Deux amendes à ce jour : 500 M€ (Apple, art. 5(4)) et 200 M€ (Meta, art. 5(2)), le 23 avril 2025. Plafond de 10 % du chiffre d’affaires mondial, 20 % en cas de récidive, mesures structurelles en cas de non-conformité systématique.
• Le rapport de réexamen du 28 avril 2026 conclut que le DMA n’a pas besoin d’être révisé, et identifie l’IA et le cloud comme les deux chantiers prioritaires.

FAQ

Mon entreprise doit-elle se mettre en conformité avec le DMA ?

Non, sauf à être l’une des sept entreprises désignées contrôleurs d’accès. Le DMA n’impose aucune obligation aux entreprises non désignées, et le rapport de réexamen du 28 avril 2026 le confirme explicitement. En revanche, il vous ouvre des droits que vous pouvez exercer, et l’exercice de certains d’entre eux déclenche vos propres obligations RGPD.

Quelle différence entre le DMA et le DSA ?

Les deux règlements ont été adoptés dans le même paquet, mais leurs objets sont distincts. Le DMA (règlement 2022/1925) vise la contestabilité et l’équité des marchés numériques, et ne s’applique qu’aux contrôleurs d’accès désignés. Le DSA (règlement 2022/2065) vise la modération des contenus, la transparence et la protection des utilisateurs, et s’applique à tous les services intermédiaires, y compris les places de marché et de nombreux acteurs français. Voir notre guide des obligations DSA des plateformes.

Puis-je saisir la CNIL d’un manquement au DMA ?

Non. La CNIL n’a aucune compétence au titre du DMA, dont l’application relève exclusivement de la Commission européenne. Vous pouvez en revanche la saisir si les mêmes faits caractérisent un manquement au RGPD — un consentement non valable, une information insuffisante, un traitement sans base légale. Les deux voies sont cumulables, comme l’a montré le traitement parallèle du modèle « consentir ou payer » de Meta par la Commission, l’autorité irlandaise et le réseau CPC.

Le DMA va-t-il s’appliquer aux fournisseurs de cloud et d’IA ?

Ce n’est pas tranché. Deux enquêtes de marché ouvertes le 18 novembre 2025 examinent une désignation qualitative d’AWS et d’Azure, et une troisième porte sur l’efficacité des obligations existantes dans le secteur du cloud ; son rapport est attendu dans les 18 mois suivant son ouverture et pourrait proposer des adaptations par acte délégué ou par voie législative. Sur l’IA, la Commission examine si certains services devraient être désignés comme assistants virtuels, et deux procédures de spécification ouvertes le 27 janvier 2026 visant Alphabet comportent une dimension IA.

Comment récupérer les données que Google ou Meta détiennent sur mes clients ?

Par l’article 6(10) si ces données sont générées par votre activité et celle de vos clients sur le service concerné, et si vos clients ont consenti au partage. La demande s’adresse au contrôleur d’accès, l’accès doit être gratuit, continu et en temps réel. Attention : vous devenez alors responsable de traitement distinct pour les données reçues. Si la demande émane de la personne elle-même, c’est l’article 6(9) — ou l’article 20 du RGPD hors du champ du DMA — qui s’applique.

---

Thiébaut Devergranne, docteur en droit, 20 ans d’expérience en protection des données. Cet article présente une analyse générale du cadre applicable et ne constitue pas une consultation juridique.

Vous suivez ces sujets de près ? Recevez nos analyses conformité chaque semaine — décryptages des textes européens, décisions CNIL et méthodes applicables.