Guide DSA (Digital Services Act) : comment se mettre en conformité ?

Qu'est-ce que le DSA ?

Le DSA modernise la responsabilité des services numériques dans l'UE. Il maintient le principe historique d'exemption de responsabilité des hébergeurs tant qu'ils ignorent le caractère illicite d'un contenu, mais ajoute des obligations positives de diligence, de transparence et de protection des utilisateurs.

Il crée un système de contrôle avec des coordinateurs pour les services numériques dans chaque État (l'Arcom en France) et une supervision européenne directe des très grandes plateformes, jugées systémiques.

Son objectif : un espace numérique plus sûr, où ce qui est illégal hors ligne l'est aussi en ligne, sans transformer les plateformes en juges des contenus.

La pyramide des obligations

Le DSA empile les obligations par catégorie : chaque niveau ajoute ses exigences à celles du niveau inférieur. Situer votre service est donc la première étape.

Les micro et petites entreprises sont exemptées de plusieurs obligations propres aux plateformes.

Qui est concerné ?

Le champ est large et dépasse largement les grandes plateformes. Beaucoup de PME opérant une place de marché ou un service en ligne sont concernées, même si elles échappent aux obligations les plus lourdes.

• Services intermédiaires (transport, cache, hébergement) : obligations de base.
• Plateformes en ligne (places de marché, réseaux sociaux) : signalement, traçabilité des vendeurs, transparence publicitaire.
• Très grandes plateformes et moteurs (plus de 45 millions d'utilisateurs dans l'UE) : évaluation des risques systémiques, audits, mesures renforcées.
• Acteurs hors UE proposant des services dans l'Union : soumis au DSA et devant désigner un représentant légal.

Quelles obligations concrètes ?

Voici les obligations les plus courantes pour une plateforme en ligne de taille standard.

• Désigner un point de contact et, pour les acteurs hors UE, un représentant légal.
• Mettre en place un mécanisme de notification et d'action sur les contenus illicites (« notice and action »).
• Motiver les décisions de modération et offrir un recours interne et extrajudiciaire.
• Assurer la transparence des systèmes de recommandation et de la publicité.
• Interdire la publicité ciblée fondée sur des données sensibles et celle visant les mineurs.
• Publier des rapports de transparence sur la modération.
• Pour les places de marché : tracer et vérifier l'identité des vendeurs professionnels.

Quelles sanctions en cas de non-conformité ?

Le DSA prévoit des sanctions dissuasives, particulièrement lourdes pour les grandes plateformes, avec une supervision directe de la Commission européenne pour les acteurs systémiques.

Comment se mettre en conformité : la feuille de route en 7 étapes

Étape 1 — Qualifier votre service

Déterminez votre catégorie (intermédiaire, hébergeur, plateforme, place de marché) et votre taille. Cette qualification conditionne l'étendue exacte de vos obligations et l'éventuelle exemption micro/petite entreprise.

Comptez vos utilisateurs actifs mensuels dans l'UE : ce chiffre peut faire basculer dans la catégorie des très grandes plateformes.

• Identifiez précisément la nature de votre service.
• Comptez vos utilisateurs actifs dans l'UE.
• Vérifiez l'exemption micro/petite entreprise.

Étape 2 — Mettre en place les points de contact

Désignez un point de contact unique pour les autorités et un autre pour les utilisateurs, et un représentant légal si vous êtes établi hors UE.

Ces points d'entrée doivent être facilement accessibles et opérationnels.

• Désignez les points de contact autorités et utilisateurs.
• Nommez un représentant légal si établi hors UE.
• Publiez ces informations de façon accessible.

Étape 3 — Déployer le mécanisme de signalement

Créez un dispositif clair de notification des contenus illicites (« notice and action ») et un processus de traitement documenté, avec des délais raisonnables.

Prévoyez un traitement prioritaire des signalements provenant de « signaleurs de confiance ».

• Offrez un formulaire de signalement clair et accessible.
• Documentez le processus et les délais de traitement.
• Traitez en priorité les signaleurs de confiance.

Étape 4 — Structurer la modération et les recours

Motivez vos décisions de modération, informez les utilisateurs concernés et offrez un mécanisme de réclamation interne ainsi qu'un règlement extrajudiciaire des litiges.

La transparence des décisions est aussi importante que la décision elle-même.

• Motivez et notifiez chaque décision de modération.
• Mettez en place un recours interne.
• Prévoyez le règlement extrajudiciaire des litiges.

Étape 5 — Assurer la transparence

Documentez le fonctionnement de vos systèmes de recommandation, la transparence publicitaire (qui paie, pourquoi ce ciblage) et publiez les rapports de transparence requis.

Ces obligations renforcent la confiance des utilisateurs et la conformité vis-à-vis des autorités.

• Expliquez les critères de vos systèmes de recommandation.
• Rendez la publicité transparente et traçable.
• Publiez les rapports de transparence exigés.

Étape 6 — Encadrer la publicité et protéger les mineurs

Supprimez la publicité ciblée fondée sur des données sensibles et celle visant les mineurs, et renforcez la protection des utilisateurs mineurs (paramètres par défaut protecteurs, absence de ciblage).

Ce volet croise directement le RGPD : sécurisez les bases légales et le consentement.

• Interdisez le ciblage publicitaire sur données sensibles et mineurs.
• Renforcez les protections par défaut pour les mineurs.
• Articulez ces mesures avec le RGPD.

Étape 7 — Gérer les risques systémiques (grandes plateformes)

Pour les VLOP/VLOSE, réalisez l'évaluation annuelle des risques systémiques (désinformation, atteinte aux droits, effets sur les mineurs), mettez en place des mesures d'atténuation et faites réaliser des audits indépendants.

Ces obligations lourdes ne concernent que les acteurs systémiques désignés.

• Évaluez annuellement les risques systémiques.
• Mettez en place des mesures d'atténuation.
• Faites réaliser des audits indépendants.

Les erreurs fréquentes à éviter

• Croire que le DSA ne concerne que les géants du numérique : de nombreuses plateformes et places de marché sont concernées.
• Négliger la traçabilité des vendeurs sur les places de marché (« know your business customer »).
• Sous-estimer l'articulation avec le RGPD sur la publicité ciblée et les données des utilisateurs.
• Oublier de publier les rapports de transparence exigés.
• Rendre le mécanisme de signalement difficile d'accès ou opaque.
• Ne pas désigner de représentant légal lorsqu'on est établi hors UE.