DSA : les obligations des plateformes en ligne en 2026

Le 20 juillet 2026, la Commission européenne a infligé 550 millions d’euros à AliExpress pour manquement au règlement sur les services numériques — après 200 millions à Temu en mai et 120 millions à X le 5 décembre 2025. Ces chiffres ont installé une idée fausse dans la tête de la plupart des dirigeants français : le DSA serait une affaire de géants. C’est exactement l’inverse. Depuis le 17 février 2024, le texte s’applique à tout fournisseur de service intermédiaire — y compris au site e-commerce de trente salariés qui publie des avis clients, au forum de votre média, à votre place de marché B2B. Voici ce que le règlement impose réellement, et à qui.

Ce que le DSA régule vraiment

Le règlement (UE) 2022/2065 du 19 octobre 2022, dit Digital Services Act ou règlement sur les services numériques (RSN), ne régule pas « les plateformes ». Il régule les services intermédiaires, une notion beaucoup plus large, définie par emboîtement à l’article 3.

Quatre catégories se superposent comme des poupées russes :

Catégorie	Ce qu’elle recouvre	Exemples
Simple transport / mise en cache	Infrastructure de réseau ou d’accès	Fournisseurs d’accès, registres et bureaux d’enregistrement de noms de domaine
Hébergement	Stockage d’informations fournies par un destinataire, à sa demande	Hébergeurs web, services d’informatique en nuage
Plateforme en ligne	Hébergement + diffusion publique de ces informations	Réseaux sociaux, sites de partage de vidéos, applications de rencontre, places de marché, sites d’annonces
Moteur de recherche en ligne	Requêtes sur l’ensemble du web et restitution de résultats	Moteurs généralistes

Le point de bascule décisif est celui de la troisième ligne. Une plateforme en ligne, au sens de l’article 3, i), est un hébergeur qui diffuse publiquement les informations stockées à la demande d’un utilisateur — sauf lorsque cette diffusion n’est qu’une fonctionnalité mineure et purement accessoire d’un autre service, ou une fonctionnalité mineure du service principal, qui ne peut, pour des raisons techniques objectives, être utilisée indépendamment de ce service.

Cette réserve est déterminante et beaucoup de synthèses l’oublient. Le considérant 13 en donne l’exemple canonique : l’espace de commentaires d’un site d’information en ligne n’emporte pas, à lui seul, la qualification de plateforme pour l’éditeur du site. En revanche, une section d’avis clients structurante, un forum, un mur d’annonces entre professionnels ou un espace de contributions autonome franchissent en général le seuil. La qualification suppose donc une analyse au cas par cas — mais elle ne dépend ni de votre taille, ni de votre modèle économique, ni de ce que vous écrivez dans vos conditions générales.

Le champ territorial suit la même logique extensive que celui du RGPD. L’article 2 vise les services intermédiaires proposés à des destinataires ayant leur lieu d’établissement ou leur localisation dans l’Union, quel que soit le lieu d’établissement du fournisseur. La mécanique est cousine de celle de l’article 3 du RGPD : c’est le marché visé qui déclenche l’application, pas le siège social. Un fournisseur non établi dans l’Union doit d’ailleurs désigner un représentant légal sur le territoire de l’Union (art. 13) — obligation distincte, ne l’oubliez pas, du représentant de l’article 27 du RGPD, même si la même personne peut cumuler les deux mandats.

Les quatre étages d’obligations

Le chapitre III du DSA est construit en strates cumulatives, auxquelles s’ajoutent les obligations de traitement des injonctions du chapitre II. Chaque catégorie de service supporte les obligations de sa strate et de toutes celles des catégories plus générales. C’est la clé de lecture du texte, et c’est aussi ce que la plupart des synthèses commerciales ratent.

Étage 1 — Tous les fournisseurs de services intermédiaires (art. 9 et 10, puis 11 à 15)

• Art. 9 et 10 (chapitre II) : traitement des injonctions administratives et judiciaires d’agir contre un contenu illicite ou de fournir des informations, avec obligation d’informer l’autorité émettrice de la suite donnée.
• Art. 11 et 12 : désignation d’un point de contact unique pour les autorités et d’un point de contact pour les destinataires du service, permettant une communication directe, rapide et par voie électronique.
• Art. 13 : représentant légal dans l’Union pour les fournisseurs non établis dans l’UE.
• Art. 14 : conditions générales claires, intelligibles et aisément accessibles, précisant les politiques, procédures et outils utilisés pour la modération, y compris le recours à des moyens algorithmiques. L’article 14(3) ajoute une exigence souvent ignorée : lorsque le service s’adresse principalement à des mineurs ou est majoritairement utilisé par eux, ces conditions doivent être expliquées d’une manière qu’un mineur peut comprendre. J’y reviens dans notre guide des conditions générales d’utilisation.
• Art. 15 : rapport annuel de transparence sur la modération.

Étage 2 — Fournisseurs d’hébergement, plateformes incluses (art. 16 à 18)

• Art. 16 : mécanisme de notification et d’action. Il doit être facile d’accès, convivial et exclusivement électronique. Il doit permettre de recueillir quatre éléments : une explication suffisamment motivée des raisons pour lesquelles le contenu est allégué illicite, l’indication de la localisation électronique exacte (URL précise), le nom et l’adresse électronique du notifiant — sauf pour les infractions visées aux articles 3 à 7 de la directive 2011/93/UE —, et une déclaration de bonne foi. Le fournisseur doit accuser réception sans retard indu, puis notifier sa décision en indiquant les voies de recours, et signaler l’usage éventuel de moyens automatisés.
• Art. 17 : exposé des motifs. Toute restriction imposée à un utilisateur — retrait, blocage, déclassement, suspension de la monétisation, suspension ou fermeture de compte — doit être motivée de façon claire et spécifique.
• Art. 18 : information des autorités judiciaires ou répressives en cas de soupçon d’infraction pénale menaçant la vie ou la sécurité de personnes.

L’article 16(3) mérite une attention particulière. Une notification est réputée donner connaissance effective au sens de l’article 6 dès lors qu’elle permet à un hébergeur diligent de constater l’illicéité sans examen juridique approfondi. Autrement dit : à partir de la réception d’une notification conforme et manifeste, l’exonération de responsabilité tombe si vous n’agissez pas promptement. La qualité de votre formulaire de signalement n’est pas une question de confort d’interface, c’est le curseur de votre exposition.

Étage 3 — Fournisseurs de plateformes en ligne (art. 20 à 28)

• Art. 20 : système interne de traitement des réclamations, gratuit, accessible pendant au moins six mois après la décision contestée.
• Art. 21 : droit du destinataire de saisir l’organe de règlement extrajudiciaire des litiges certifié de son choix, la plateforme devant coopérer de bonne foi avec cet organe et informer de cette voie de recours de manière aisément accessible sur son interface.
• Art. 22 : traitement prioritaire des notifications émanant des signaleurs de confiance.
• Art. 23 : mesures contre les usages abusifs — suspension, pour une durée raisonnable et après avertissement préalable, des comptes publiant fréquemment des contenus manifestement illicites, mais aussi suspension du traitement des notifications et réclamations manifestement infondées. La décision suppose une appréciation au cas par cas au regard des critères de l’article 23(3), et la politique doit être exposée dans les conditions générales avec des exemples (art. 23(4)).
• Art. 24 : compléments au rapport de transparence, publication semestrielle du nombre moyen mensuel de destinataires actifs dans l’Union, et transmission à la Commission des décisions et exposés des motifs pour alimenter la base de données publique de transparence (art. 24(5)).
• Art. 25 : interdiction des interfaces trompeuses. C’est le fondement DSA des dark patterns, et c’est notamment sur cette base que la Commission a qualifié le badge bleu payant de X de conception trompeuse. Attention à sa portée : l’article 25(2) écarte son application aux pratiques déjà couvertes par la directive 2005/29/CE ou par le RGPD — il joue donc à titre résiduel.
• Art. 26 : transparence de la publicité — identification claire de l’annonceur et des principaux paramètres de ciblage — et interdiction de la publicité fondée sur le profilage utilisant des catégories particulières de données au sens de l’article 9 du RGPD (art. 26(3)).
• Art. 27 : transparence des systèmes de recommandation, dont les principaux paramètres doivent être exposés dans les conditions générales, en des termes clairs.
• Art. 28 : protection des mineurs. Les plateformes accessibles aux mineurs doivent mettre en place des mesures appropriées et proportionnées garantissant un niveau élevé de vie privée, de sûreté et de sécurité (art. 28(1)), et la publicité fondée sur le profilage est interdite lorsque la plateforme sait avec une certitude raisonnable que l’utilisateur est mineur (art. 28(2)). À croiser avec notre guide sur les données des mineurs sous RGPD.

Étage 4 — Places de marché (art. 30 à 32)

Pour les plateformes permettant à des consommateurs de conclure des contrats à distance avec des professionnels s’ajoutent la traçabilité des vendeurs professionnels (art. 30 : collecte d’un socle d’informations avant mise en ligne, avec obligation de faire tous les efforts raisonnables pour en apprécier la fiabilité et la complétude, la responsabilité de l’exactitude restant celle du vendeur), la conformité dès la conception (art. 31, l’interface devant permettre au vendeur de respecter ses obligations d’information précontractuelle et de sécurité des produits) et le droit à l’information des consommateurs (art. 32, information des acheteurs lorsqu’un produit illégal a été identifié après la vente). Ces trois articles s’articulent directement avec les obligations développées dans notre guide des CGV marketplace et avec les informations obligatoires en vente en ligne.

Enfin, la section 5 du chapitre III impose aux très grandes plateformes et très grands moteurs de recherche (VLOP et VLOSE) — désignés par la Commission au seuil de 45 millions de destinataires actifs mensuels moyens dans l’Union (art. 33(1)) — un régime spécifique : analyse des risques systémiques (art. 34), mesures d’atténuation (art. 35), audit indépendant annuel (art. 37), accès des chercheurs aux données (art. 40), fonction de conformité (art. 41), rapports semestriels (art. 42) et redevance de surveillance (art. 43). La Commission dispose de pouvoirs exclusifs sur cette section.

L’exemption PME : ce qu’elle couvre, et surtout ce qu’elle ne couvre pas

C’est le sujet sur lequel je vois passer le plus d’approximations. Non, une PME n’est pas « exemptée du DSA ». L’exemption est ciblée et se lit dans trois dispositions : les articles 15(2), 19 et 29.

Le périmètre de l’exemption correspond à la définition de la recommandation 2003/361/CE : moins de 50 personnes occupées et chiffre d’affaires annuel ou total du bilan annuel n’excédant pas 10 millions d’euros.

Disposition	Ce qui est écarté pour les micro et petites entreprises
Art. 15(2)	Rapport annuel de transparence sur la modération
Art. 19	Toute la section 3 (art. 20 à 28), à l’exception de l’article 24(3)
Art. 29	Toute la section 4 (art. 30 à 32) pour les places de marché

Trois précisions décident du sort de nombreux dossiers.

Premièrement, l’exemption ne touche jamais les étages 1 et 2. Une petite plateforme reste intégralement tenue des articles 9 et 10, 11 à 14 et 16 à 18 : injonctions, points de contact, représentant légal le cas échéant, conditions générales conformes, mécanisme de notification et d’action, exposé des motifs, signalement des infractions pénales graves. C’est le socle, et il ne se négocie pas.

Deuxièmement, la réserve de l’article 24(3) est réelle. Même dispensée de publier son nombre de destinataires actifs, une petite plateforme doit communiquer cette information au coordinateur pour les services numériques et à la Commission, sur demande et sans retard indu, avec les explications sur la méthode de calcul.

Troisièmement, la perte du statut n’est pas immédiate — mais la transition ne couvre pas tout. L’article 19(1) accorde une période de douze mois à compter de la perte de la qualité de micro ou petite entreprise, sauf pour les très grandes plateformes. Attention : cette fenêtre ne vaut que pour la section 3 (art. 20 à 28). L’exemption de rapport de transparence de l’article 15(2) tombe, elle, dès la perte du statut, sans période de transition. Douze mois pour construire un système de réclamation interne et une politique de suspension, ce n’est pas de trop — mais la collecte des métriques de transparence, elle, doit être opérationnelle tout de suite.

Le point aveugle français : la notification LCEN n’est plus la référence

Voilà vingt ans que les praticiens français rédigent des notifications de contenus illicites sur le fondement du formalisme de l’article 6-I-5 de la LCEN — date, identité du notifiant, description des faits, mention des dispositions légales, copie de la démarche préalable auprès de l’auteur.

Ce n’est plus le texte applicable. Depuis le 17 février 2024, la notification de contenus illicites aux hébergeurs relève de l’article 16 du DSA. La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (dite loi SREN) a restructuré l’article 6 de la LCEN et abrogé les dispositions devenues redondantes ou contraires au règlement — notamment celles relatives à la présomption de connaissance des faits litigieux et à l’absence d’obligation générale de surveillance, désormais couvertes par les articles 6 et 8 du DSA.

Les conséquences pratiques sont doubles. Côté notifiant, le formalisme s’allège : quatre éléments suffisent, et la démarche préalable auprès de l’auteur du contenu n’est plus une condition de recevabilité. Côté hébergeur, le curseur se déplace vers l’aval : ce n’est plus la conformité formelle de la notification reçue qui protège, mais la diligence du traitement — accusé de réception, décision motivée, information sur les recours, absence d’arbitraire. Si votre procédure interne de retrait a été écrite avant 2024, elle est à reprendre.

Qui contrôle en France : Arcom, CNIL, DGCCRF

Le DSA impose à chaque État membre de désigner une autorité indépendante comme coordinateur pour les services numériques. La loi SREN a confié ce rôle à l’Arcom, aux côtés de deux autres autorités compétentes : la CNIL et la DGCCRF.

La répartition est plus précise qu’il n’y paraît :

Autorité	Périmètre
Arcom	Coordinateur national ; contrôle de l’ensemble des obligations, sauf celles confiées aux deux autres autorités
CNIL	Obligations liées au profilage publicitaire : art. 26(1)(d), 26(3) et 28(2)
DGCCRF	Conception et organisation de l’interface en ligne (art. 25 et 31), traçabilité des vendeurs professionnels (art. 30) et information des consommateurs (art. 32)

En tant que coordinateur, l’Arcom reçoit et traite les plaintes (art. 53), désigne les signaleurs de confiance, certifie les organes de règlement extrajudiciaire des litiges établis en France, centralise les injonctions émises par les autorités françaises et les transmet à ses homologues européens, et siège au Comité européen pour les services numériques.

À la date du 4 juin 2026, neuf signaleurs de confiance étaient désignés en France : e-Enfance (protection des mineurs), l’ALPA (piraterie audiovisuelle), l’IFAW (cybercriminalité liée aux espèces sauvages), INDECOSA-CGT (défense des consommateurs), Point de contact (cyberviolences), Addictions France, le Crif et la Licra (lutte contre le racisme et la haine en ligne) et le Comité national contre le tabagisme. Leurs signalements doivent être traités en priorité par toutes les plateformes utilisées en France, quel que soit leur lieu d’établissement. Pour une plateforme en ligne au-dessus du seuil PME, c’est une obligation opérationnelle concrète : il faut un canal identifié et un circuit de traitement accéléré.

Sanctions : 6 %, et ce que la pratique montre déjà

L’article 52(3) fixe le plafond que les États membres doivent retenir : 6 % du chiffre d’affaires annuel mondial de l’exercice précédent pour un manquement à une obligation du règlement, et 1 % pour la fourniture d’informations inexactes, incomplètes ou trompeuses, le défaut de réponse ou de rectification et le refus de se soumettre à une inspection. L’article 52(4) prévoit en outre des astreintes plafonnées à 5 % du chiffre d’affaires mondial journalier moyen.

En droit français, ces pouvoirs ont été logés à l’article 9-1 de la LCEN par la loi SREN, dont un décret du 30 décembre 2024, entré en vigueur le 1er janvier 2025, a précisé les modalités d’investigation, d’exécution et de sanction. Le plafond de 6 % du chiffre d’affaires mondial de l’exercice précédent y est repris. La loi ménage aussi une voie amiable : l’Arcom peut accepter des engagements proposés par l’opérateur pour remédier au manquement.

Côté Commission, les trois premières décisions donnent le ton :

Date	Plateforme	Montant	Griefs
5 décembre 2025	X	120 M€	Badge bleu payant qualifié d’interface trompeuse (art. 25), registre publicitaire insuffisant, accès des chercheurs aux données
28 mai 2026	Temu	200 M€	Défaillance dans l’évaluation et l’atténuation des risques liés aux produits illégaux
20 juillet 2026	AliExpress	550 M€	Contrefaçons, jouets dangereux et cosmétiques nocifs ; produits signalés restés en ligne plusieurs semaines ; vérification insuffisante des autorisations de marque ; sanctions inefficaces contre les vendeurs fautifs

Un enseignement se dégage : aucune de ces décisions ne sanctionne l’existence de contenus ou de produits illicites en tant que telle. Elles sanctionnent la défaillance du dispositif — la lenteur du retrait après signalement, l’inefficacité des mesures contre les récidivistes, l’opacité du registre publicitaire. C’est une logique d’obligation de moyens documentée, très proche de celle de l’accountability du RGPD. Ce qui vous protège, ce n’est pas l’absence d’incident, c’est la preuve du processus.

---

Recevez nos analyses conformité chaque semaine. RGPD, DSA, AI Act, droit de la consommation : une lecture par semaine pour suivre la réglementation européenne sans y passer vos soirées. Inscrivez-vous à la newsletter.

---

DSA et RGPD : deux régimes qui se superposent

Les deux textes ne se substituent pas l’un à l’autre, ils s’empilent — et c’est précisément aux points de contact que les erreurs se logent.

Trois zones de recouvrement méritent d’être cartographiées.

La publicité ciblée. L’article 26(3) du DSA interdit aux plateformes en ligne la publicité fondée sur le profilage utilisant des catégories particulières de données au sens de l’article 9(1) du RGPD. L’article 28(2) l’interdit à l’égard des mineurs. Ces interdictions sont autonomes : elles jouent quel que soit le fondement invoqué sous le RGPD. Obtenir un consentement valide ne rend pas licite une publicité que le DSA prohibe. Le sujet croise directement celui du profilage sous RGPD et celui de la décision automatisée.

La loyauté des interfaces. Contrairement à une idée reçue, l’article 25 du DSA ne se superpose pas aux deux autres : son paragraphe 2 écarte expressément son application aux pratiques déjà couvertes par la directive 2005/29/CE sur les pratiques commerciales déloyales ou par le RGPD. Une bannière de consentement mal conçue relève donc en principe du RGPD et du Code de la consommation, l’article 25 venant combler les interstices. L’enjeu pratique n’en disparaît pas pour autant : il devient un enjeu de qualification, et il vaut mieux auditer ses parcours une bonne fois pour identifier quel régime s’applique à quoi, plutôt que texte par texte.

Les données dans les obligations de transparence. L’article 24(5) impose de transmettre à la Commission les décisions de modération et leurs exposés des motifs pour alimentation d’une base publique, en garantissant l’absence de données à caractère personnel. C’est une contrainte de conception : votre outil de modération doit produire des motifs exploitables et anonymisables. Ce type de traitement doit par ailleurs figurer dans votre registre des activités de traitement et être couvert par votre politique de confidentialité.

Notez enfin que le DSA n’épuise pas la conformité numérique d’un site marchand. Il se combine avec les obligations d’information de la LCEN sur les mentions légales, avec le contrôle des clauses abusives, avec les dix obligations RGPD du vendeur en ligne et, depuis 2025, avec les exigences d’accessibilité numérique.

Plan d’action : sept étapes de qualification et de mise en conformité

1. Qualifier le service. Stockez-vous des informations fournies par des utilisateurs ? Sont-elles diffusées publiquement, et cette diffusion est-elle autre chose qu’une fonctionnalité mineure et accessoire ? Permettez-vous la conclusion de contrats à distance entre consommateurs et professionnels ? Trois questions, trois strates. Documentez la réponse : c’est la première pièce de votre dossier.
2. Mesurer le seuil PME. Effectif et chiffre d’affaires ou total de bilan, appréciés selon la recommandation 2003/361/CE, le changement de statut supposant deux exercices consécutifs de dépassement (art. 4(2)). Si vous en sortez, calez un rétroplanning sur les douze mois de l’article 19(1) — sans oublier que le rapport de transparence, lui, est dû immédiatement.
3. Nommer les points de contact. Un point de contact autorités (art. 11) et un point de contact utilisateurs (art. 12), publiés, avec des adresses réellement relevées. C’est le manquement le moins coûteux à corriger et le plus facile à constater de l’extérieur.
4. Réécrire les conditions générales. Politiques de modération, outils utilisés, recours aux moyens algorithmiques, paramètres des systèmes de recommandation le cas échéant, langage adapté si le public est mineur.
5. Construire le mécanisme de notification et d’action. Formulaire électronique recueillant les quatre éléments de l’article 16(2), accusé de réception automatique, traçabilité des décisions, notification motivée au notifiant et à l’auteur du contenu, mention des voies de recours.
6. Écrire la procédure de modération. Délais cibles, critères, chaîne de décision, traitement des signaleurs de confiance, politique de suspension des récidivistes et des notifications abusives (art. 23), conservation des preuves. C’est ce corpus documentaire que l’Arcom demandera en premier — exactement la même logique de cartographie et de preuve que celle du registre des activités de traitement, et c’est ce type de documentation vivante que Legiscope automatise côté RGPD.
7. Préparer le rapport de transparence. Un règlement d’exécution adopté le 4 novembre 2024 impose un modèle harmonisé, obligatoire depuis le second semestre 2025. Si vous êtes assujetti, la collecte des métriques doit être instrumentée en amont : on ne reconstitue pas a posteriori un volume de signalements traités.

Ce qu’il faut retenir

• Le DSA ne vise pas que les géants. Applicable à tous les services intermédiaires depuis le 17 février 2024, il qualifie de plateforme en ligne tout hébergeur qui diffuse publiquement des contenus fournis par des utilisateurs — sauf lorsque cette diffusion n’est qu’une fonctionnalité mineure et purement accessoire du service principal (art. 3, i).
• Les obligations sont cumulatives par strates. Injonctions (art. 9-10), services intermédiaires (art. 11-15), hébergeurs (art. 16-18), plateformes en ligne (art. 20-28), places de marché (art. 30-32), très grandes plateformes (art. 33-43).
• L’exemption micro/petite entreprise est ciblée, pas générale. Elle résulte des articles 15(2), 19 et 29 et écarte le rapport annuel de transparence ainsi que les sections 3 et 4 — jamais le socle des articles 9 à 14 et 16 à 18. Et l’article 24(3) reste dû sur demande du coordinateur.
• La notification LCEN a vécu. Depuis le 17 février 2024, la notification de contenu illicite relève de l’article 16 du DSA. Les procédures internes rédigées avant cette date sont à reprendre.
• En France, le contrôle est tripartite : l’Arcom comme coordinateur, la CNIL sur le profilage publicitaire (art. 26(1)(d), 26(3), 28(2)), la DGCCRF sur la conception des interfaces et les places de marché (art. 25, 30, 31 et 32). Le plafond de sanction est de 6 % du chiffre d’affaires mondial (art. 52(3)).

FAQ

Mon site e-commerce avec des avis clients est-il une plateforme en ligne au sens du DSA ?

Cela dépend de la place qu’occupent ces avis. Vous stockez à la demande d’utilisateurs une information que vous diffusez au public, ce qui correspond à la définition de l’article 3, i) — mais ce même article exclut les cas où la diffusion n’est qu’une fonctionnalité mineure et purement accessoire du service principal. Un module d’avis marginal peut rester en deçà du seuil ; une section d’avis structurante, indissociable du parcours d’achat, le franchit en général. Dans tous les cas, vous restez hébergeur : les conditions générales de l’article 14, le mécanisme de notification de l’article 16 et l’exposé des motifs de l’article 17 — qui couvre la motivation du rejet d’un avis — vous sont dus, quelle que soit votre taille.

Une entreprise de moins de 50 salariés doit-elle publier un rapport de transparence DSA ?

Non. L’article 15(2) écarte l’obligation de rapport annuel pour les fournisseurs qualifiés de micro ou petite entreprise au sens de la recommandation 2003/361/CE, sous réserve de ne pas être une très grande plateforme. Attention toutefois : l’article 15(2) ne prévoit aucune période de transition. Dès que vous cessez d’être une micro ou petite entreprise — ce qui suppose, selon l’article 4(2) de la recommandation, le dépassement des seuils sur deux exercices consécutifs —, le rapport redevient dû. La fenêtre de douze mois de l’article 19(1) ne vaut, elle, que pour la section 3 (art. 20 à 28).

Le DSA remplace-t-il le RGPD pour les plateformes ?

Non, les deux règlements s’appliquent cumulativement. Le DSA régule la modération, la transparence et la conception des interfaces ; le RGPD régule le traitement des données à caractère personnel. Certaines dispositions du DSA renvoient d’ailleurs explicitement au RGPD, comme l’article 26(3) qui interdit la publicité fondée sur le profilage utilisant les catégories particulières de données de l’article 9 du RGPD.

Quelle autorité saisir en France en cas de manquement d’une plateforme ?

L’Arcom, en tant que coordinateur pour les services numériques, reçoit et traite les plaintes au titre de l’article 53 du DSA. Elle peut transmettre au coordinateur compétent lorsque le fournisseur est établi dans un autre État membre. Pour les griefs relevant du profilage publicitaire, la CNIL est compétente ; pour ceux relevant de la conception des interfaces et des places de marché, la DGCCRF.

Un fournisseur établi hors de l’Union européenne est-il concerné ?

Oui, dès lors que le service est proposé à des destinataires situés dans l’Union, indépendamment du lieu d’établissement du fournisseur. Il doit alors désigner par écrit un représentant légal dans l’un des États membres où il propose ses services (art. 13), qui peut être tenu responsable du non-respect des obligations du règlement. Cette désignation est indépendante de celle du représentant de l’article 27 du RGPD, même si les deux fonctions peuvent être confiées à la même entité.

Que risque concrètement une PME qui ignore le DSA ?

Le plafond légal est de 6 % du chiffre d’affaires annuel mondial (art. 52(3), repris à l’article 9-1 de la LCEN), mais la sanction doit rester proportionnée. Dans la pratique observée jusqu’ici, l’entrée en matière du régulateur passe par des demandes d’information, puis par des injonctions, et la loi SREN privilégie explicitement la voie des engagements. Le risque immédiat pour une PME est moins l’amende que l’injonction assortie d’un délai court, avec un dispositif à construire dans l’urgence.