Le Loi sur les services numériques

Au plus tard en 2020, le cadre juridique de la directive e-Commerce de 2000 était resté largement inchangé pendant deux décennies, alors que l'environnement en ligne avait subi une transformation radicale. Les réseaux sociaux, les moteurs de recherche, les boutiques d'applications et les marchés en ligne étaient devenus des infrastructures centrales pour le débat public, le commerce et l'accès à l'information. Parallèlement, les États membres commençaient à adopter des règles nationales divergentes en matière de modération de contenu et de désinformation, menaçant de fragmenter le marché intérieur. La proposition de la Commission de décembre 2020 visait à résoudre ces deux préoccupations : harmoniser les règles, mettre à jour les obligations et veiller à ce que l'impact d'une plateforme sur la société soit proportionnel à son niveau de responsabilité.

Le résultat est une réglementation, et non une directive. Elle est directement applicable dans tous les États membres à partir du 17 février 2024 (avec les VLOP et les VLOSE étant applicables antérieurement) et harmonise pleinement les domaines qu’elle couvre. Les États membres ne peuvent pas imposer des exigences supplémentaires concernant les domaines régulés par le DSA (Article 1(5) et le paragraphe d’introduction 9).

Le DSA repose sur… Article 114 du TFUE (harmonisation du marché intérieur). Il a été adopté par codécision le 19 octobre 2022 et publié dans le Journal officiel L 277 du 27 octobre 2022. Il est entré en vigueur le 16 novembre 2022. Le texte compte 93 articles et 93 considérants, regroupés en cinq chapitres. Le chapitre II établit le cadre de responsabilité. Le chapitre III définit les obligations de diligence raisonnable en quatre niveaux. Le chapitre IV concerne la mise en œuvre, la coopération et l'application. Le chapitre V contient des dispositions finales, notamment les frais de supervision pour les VLOPs/VLOSEs.

Le DSA intègre expressément les dispositions relatives à la responsabilité (articles 12 à 15) de la Directive e-Commerce, qu'il modifie. Le principe du pays d'origine et les règles de dérogation de l'article 3 de la Directive e-Commerce restent applicables. Le DSA ne saurait affecter le RGPD, la Directive AVMS, le droit d'auteur et le droit de protection des consommateurs, lesquels continuent de s'appliquer parallèlement.

Le DSA s'applique aux prestataires de… services d'intermédiaire Ils offrent leurs services aux bénéficiaires situés dans l'Union, quelle que soit la localisation du prestataire (Article 2(1)). Le concept juridique clé est celui d'un « lien significatif avec l'Union » : un nombre important de bénéficiaires dans un ou plusieurs États membres, ou des activités ciblant l'Union. Les prestataires non-UE doivent désigner un représentant légal dans un État membre. Trois types de services d'intermédiaire sont concernés : simple transmission, stockage et hébergement, et plateformes en ligne. Plus précisément, le DSA distingue les plateformes en ligne (qui hébergent et diffusent également du contenu au public) et les marchés en ligne (qui facilitent les contrats entre consommateurs et vendeurs). Les très grandes plateformes en ligne (VLOP) et les très grands moteurs de recherche en ligne (VLOSE) occupent le niveau le plus élevé.

La DSA ne couvre pas les services qui ne relèvent pas de services d'intermédiaire (par exemple, les fournisseurs de contenu original sous responsabilité éditoriale). Les services de communication interpersonnelle entre un groupe restreint (messagerie privée, email) ne sont pas considérés comme des plateformes en ligne, car ils ne sont pas diffusés à un public potentiellement illimité. Les groupes et canaux ouverts sur les applications de messagerie peuvent être considérés comme des plateformes si ils sont accessibles à un public illimité. Les fournisseurs d'infrastructure, tels que les services de cloud computing ou d'hébergement web, ne sont pas considérés comme des plateformes en ligne simplement parce qu'ils diffusent du contenu à un public.

Un prestataire dont le service consiste à transmettre des informations dans un réseau de communication ou à fournir l’accès à celui-ci, n’est pas responsable de ces informations, à condition que : (a) il ne lance pas la transmission ; (b) il ne choisit pas le destinataire ; et (c) il ne sélectionne ni ne modifie le contenu. L’utilisation automatique, intermédiaire et temporaire, uniquement dans le but de réaliser la transmission, est autorisée et ne modifie pas cette exemption. Cette exemption ne porte pas atteinte à la possibilité pour un tribunal ou une autorité de demander la suspension ou la prévention d’une violation.

Un prestataire effectuant un stockage automatique, intermédiaire et temporaire dans le but d’améliorer l’efficacité de la transmission ultérieure n’est pas responsable, à condition de : ne pas modifier les informations ; respecter les conditions d’accès ; se conformer aux règles de mise à jour standards de l’industrie ; ne pas interférer avec les technologies légales pour obtenir les données d’utilisation ; et agir rapidement pour supprimer le contenu mis en cache dès qu’il est informé que la source a supprimé le contenu ou a été ordonnée de le faire.

Un fournisseur qui conserve des informations à la demande d'un utilisateur n'est pas responsable de ces informations si : (a) il n'a pas de connaissance réelle du contenu illégal ou n'est pas conscient des circonstances qui révèlent son illégalité ; ou (b) il agit rapidement pour supprimer ou empêcher l'accès dès qu'il en a connaissance. Cette exemption est perdue si le destinataire agit sous l'autorité ou le contrôle du fournisseur. Pour les plateformes de vente en ligne, cette exemption est également perdue si la plateforme présente des informations sur les produits de tiers d'une manière qui amène un consommateur moyen à croire que la plateforme fournit elle-même le produit ou le service (Art 6(3)). Un avis qui répond aux exigences de l'Art 16 donne lieu à une "connaissance réelle ou une prise de conscience" concernant l'élément spécifié.

Tous les services d’hébergement doivent offrir un mécanisme électronique simple et accessible à tous les individus ou entités, permettant de signaler tout contenu présumé illégal. Un signalement valide doit inclure : (a) une explication étayée justifiant la présomption d’illégalité du contenu ; (b) l’URL exacte (et toute autre information permettant d’identifier le contenu) ; (c) le nom et l’adresse e-mail de la personne qui signale (sauf pour les contenus impliquant des abus sexuels sur mineur) ; et (d) une déclaration confirmant la bonne foi et la conviction de l’exactitude du signalement. Un signalement qui répond à ces exigences donne lieu à l’exemption prévue par l’article 6, en considérant que le fournisseur a « connaissance effective ou conscience » de la situation. Le fournisseur doit : confirmer la réception dans les meilleurs délais et informer la personne qui a signalé de sa décision (ainsi que des options de recours disponibles). Si des moyens automatisés sont utilisés pour traiter les signalements, le signalement doit clairement indiquer cela.

Lorsqu’un fournisseur d’hébergement restreint la visibilité du contenu, supprime du contenu, désactive l’accès, suspend ou résilie le compte d’un utilisateur, ou restreint les paiements, il doit fournir à la personne concernée une explication claire et précise des motifs. Cette explication doit être fournie au plus tard au moment où la restriction entre en vigueur et doit inclure : les fondements factuels et légaux ou contractuels de la décision ; l’utilisation de moyens automatisés ; et les options de recours disponibles, notamment les réclamations internes, les règlements extrajudiciaires et les recours judiciaires. Cette obligation s’applique quelle que soit la manière dont le fournisseur est devenu au courant du problème, à l’exception des ordres d’autorité prévus à l’article 9 (qui comportent leurs propres exigences en matière de justification). Cette obligation ne s’applique pas aux contenus commerciaux à très haute volumétrie et trompeurs (spam).

Les plateformes en ligne ne doivent pas concevoir, organiser ou exploiter leurs interfaces de manière à tromper, manipuler ou déformer de manière significative la capacité des utilisateurs à prendre des décisions libres et éclairées. Il s’agit d’un standard large et axé sur les résultats. La Commission a notamment identifié les pratiques suivantes comme exemples relevant de cette interdiction :

• Mettre trop d'emphase sur certains choix lors de la présentation d'une décision à l'utilisateur.
• Demander à plusieurs reprises un choix alors que l'utilisateur a déjà pris sa décision, notamment par le biais de pop-ups qui nuisent à l'expérience utilisateur.
• Rendre la procédure de résiliation d'un service considérablement plus complexe que son abonnement.
• En utilisant des paramètres par défaut qui sont très difficiles à modifier et qui introduisent un biais déraisonnable dans la prise de décisions.
• Manipuler les utilisateurs pour qu'ils réalisent des transactions par le biais d'une conception ou d'une architecture d'interface trompeuse.

La prohibition des schémas de manipulation est une mesure supplémentaire, et non pas une alternative, à la Directive sur les pratiques commerciales déloyales (2005/29/CE) et au RGPD. La Commission peut publier des lignes directrices concernant des pratiques spécifiques.

Pour chaque publicité affichée à un utilisateur, la plateforme doit clairement et en temps réel afficher : (a) une étiquette claire indiquant qu’il s’agit d’une publicité ; (b) la personne physique ou morale qui est à l’origine de la publicité ; (c) la personne physique ou morale qui a payé pour la publicité, le cas échéant, et différente de (b) ; et (d) des informations pertinentes concernant les principaux paramètres utilisés pour déterminer que cette publicité a été spécifiquement adressée à cet utilisateur, y compris comment modifier ces paramètres. Les plateformes doivent également offrir une fonctionnalité permettant aux utilisateurs de déclarer que leur propre contenu est ou contient une communication commerciale.

Interdiction de cibler des données spécifiques (Article 26(3)): Les plateformes ne doivent pas afficher de publicités basées sur un profilage utilisant les données personnelles relatives aux catégories spéciales prévues par l'article 9(1) du RGPD : données de santé, croyances religieuses ou philosophiques, origine ethnique ou raciale, opinions politiques, adhésion à un syndicat, données génétiques, données biométriques, orientation sexuelle. Cette interdiction s'applique quel que soit le consentement de l'utilisateur et s'ajoute aux obligations du RGPD.

Les VLOPs et les VLOSEs doivent systématiquement identifier, analyser et évaluer au moins une fois par an tout risque systémique au sein de l'Union qui découle de leurs activités. Cette évaluation couvre quatre catégories :

• Contenu illégal: Diffusion de matériel à caractère sexuel impliquant des enfants, de discours haineux, de contenus terroristes, de produits contrefaits, de services illégaux et d'autres activités illégales via le service.
• Droits fondamentaux: effets négatifs réels ou prévisibles sur la dignité humaine, la liberté d'expression, le pluralisme des médias, la vie privée, la protection des données, l'égalité, les droits de l'enfant ou la protection des consommateurs.
• Dialogue civique et élections : effets négatifs réels ou prévisibles sur les processus démocratiques, l'intégrité des élections, le débat public et la sécurité.
• Santé publique et bien-être. impacts négatifs sur la santé publique, protection des mineurs, violence basée sur le genre, et bien-être physique et mental, y compris par le biais de campagnes de désinformation coordonnées.

L’évaluation doit analyser comment les systèmes de recommandation, les systèmes publicitaires, la modération de contenu, le respect des conditions d’utilisation, les pratiques de gestion des données et la manipulation intentionnelle (bots, faux comptes, comportements coordonnés et inauthentiques) contribuent à chaque risque. Les fournisseurs doivent conserver les documents justificatifs pendant au moins trois ans. Une fois l’évaluation terminée, ils doivent mettre en place des mesures de réduction des risques raisonnables, proportionnées et efficaces (Article 35).

Les VLOPs et les VLOSEs doivent mettre en place une fonction de conformité indépendante, distincte des fonctions opérationnelles, et dotée d'officiers de conformité qualifiés. Le responsable de la fonction de conformité rend directement compte au conseil de gestion, a le droit de soulever des préoccupations sans autorisation préalable, et ne peut être révoqué que sur approbation du conseil de gestion. Les officiers de conformité doivent coopérer avec le DSC de l'établissement et la Commission, identifier et signaler les risques, organiser des audits indépendants, et veiller au respect des codes de conduite et des protocoles de crise.

La Commission peut : demander des informations à VLOPs/VLOSEs et à toute autre personne physique ou morale susceptible de détenir des informations pertinentes ; mener des entretiens ; réaliser des inspections sur site (y compris des systèmes algorithmiques, des pratiques de gestion des données et les pratiques commerciales) ; nommer des experts externes et auditeurs indépendants ; et imposer des mesures provisoires dans les cas d'urgence, lorsque des dommages graves aux utilisateurs sont à craindre. Avant d'adopter une décision de non-conformité, la Commission doit communiquer ses conclusions préliminaires et donner au fournisseur au moins 14 jours pour soumettre ses observations. Toutes les décisions de la Commission sont soumises à révision par la Cour de Justice de l'Union Européenne, qui dispose d'une compétence illimitée pour annuler, réduire ou augmenter les amendes (Art 81).

Pour les services d'intermédiation inférieurs au niveau VLOP/VLOSE, l'autorité compétente est celle du pays membre où le prestataire a son siège social (siège principal ou siège enregistré où les fonctions financières et le contrôle opérationnel sont exercés). Les prestataires non-UE sont supervisés par le pays membre où réside leur représentant légal. Si un prestataire n'a pas d'établissement dans l'UE ni de représentant légal, toute DSC peut exercer sa compétence. Pour les VLOP/VLOSE, la Commission détient une compétence exclusive en matière d'obligations liées au risque systémique, tandis que la DSC de l'établissement conserve sa compétence pour les autres obligations, sauf si la Commission exerce sa compétence partagée.

Oui, si le forum est considéré comme un service d’hébergement, le DSA s’applique à partir du 17 février 2024. Cependant, les obligations les plus lourdes – notamment la catégorie de plateformes en ligne concernant les schémas de manipulation, la transparence des publicités, les plaintes internes, etc. – ne s’appliquent pas aux petites et moyennes entreprises telles que définies dans la Recommandation de la Commission 2003/361/CE. Les obligations de base : répondre aux demandes des autorités, désigner un point de contact et publier un rapport annuel de transparence sur la modération du contenu, ne bénéficient pas de l'exemption pour les PME et s'appliquent à tous les services d'hébergement.

Oui. Un avis valable selon l'article 16 implique une "connaissance ou conscience réelle" de l'élément notifié. Cependant, cette connaissance réelle engendre l'obligation d'évaluer la situation et d'agir rapidement si le contenu est effectivement illégal. Le fournisseur peut conclure que le contenu n'est pas illégal, auquel cas il doit informer la personne qui a envoyé l'avis de sa décision, accompagnée des motifs et des options de recours disponibles. L'exemption de responsabilité du fournisseur (article 6) n'est pas automatiquement perdue simplement parce qu'un avis a été reçu ; elle est perdue si le fournisseur ne réagit pas rapidement après avoir effectivement pris connaissance d'un contenu illégal.

La DSA (règlement 2022/2065) définit les obligations des intermédiaires en ligne envers les utilisateurs et les autorités publiques, en se concentrant sur la modération du contenu, la transparence, la responsabilité et la gestion des risques systémiques. Elle s'applique à tous les services d'intermédiaire, avec des obligations supplémentaires proportionnelles au niveau de service. Le Digital Markets Act (règlement 2022/1925) encadre la conduite concurrentielle des "acteurs de marché clés" : les plateformes désignées qui constituent un accès essentiel à l'économie en ligne. Les obligations du DMA comprennent l'interopérabilité, la portabilité des données, l'accès équitable et l'absence de discrimination en matière de préférence. Les deux réglementations peuvent s'appliquer simultanément à la même grande plateforme.

Cela dépend de la fonctionnalité. Les services de communication interpersonnelle, qui consistent en l'échange de messages entre un groupe limité déterminé par l'expéditeur (messages privés, conversations en groupe restreintes), ne sont pas considérés comme des plateformes en ligne au titre du DSA, car ils ne sont pas diffusés à "un nombre potentiellement illimité de tiers". Cependant, si une application de messagerie héberge également des groupes publics, des canaux ou des fonctionnalités de diffusion accessibles à un public illimité, ces fonctionnalités spécifiques peuvent être considérées comme faisant partie de l'activité d'une plateforme en ligne. La même application peut ainsi servir de service d'hébergement pour sa fonctionnalité de messagerie privée et de plateforme en ligne pour ses fonctionnalités de diffusion publique.

L'exemption liée à l'article 6 concernant l'hébergement est perdue de trois manières : (a) le fournisseur dispose de connaissances réelles concernant du contenu illégal et ne prend pas de mesures rapides pour le supprimer ou le désactiver ; (b) la personne qui a fourni le contenu agit sous l'autorité ou le contrôle du fournisseur ; ou (c) pour les plateformes de vente en ligne, la présentation d'informations sur les produits provenant de tiers incite un consommateur moyen à croire que la plateforme fournit elle-même le produit ou le service. La modération volontaire du contenu, conformément à l'article 7, ne donne pas à elle seule des connaissances réelles suffisantes pour perdre cette exemption.

Non, si la plateforme entretient un « lien substantiel avec l'Union » : que ce soit par la présence d'un établissement de l'UE, un nombre significatif de destinataires de l'UE par rapport à la population du membre, ou en ciblant les utilisateurs de l'UE (en acceptant les devises de paiement de l'UE, en utilisant les langues ou les noms de domaine de l'UE, en offrant des services adaptés). Les fournisseurs non-UE qui n'ont pas d'établissement dans l'UE doivent désigner un représentant légal dans un État membre. Le non-respect de cette obligation constitue une violation en soi. En cas de refus de coopération de la part d'un fournisseur non-UE, la Commission peut demander aux coordinateurs des services numériques (DSC) d'interdire l'accès au service fautif sur leur territoire, en dernier recours comme mesure de contrôle.