Règlement sur les services numériques (DSA) : premiers éléments de présentation

(1) En revanche, le règlement laisse intacts la plupart des autres directives ou réglements sectoriels déjà adoptés en matière de fourniture de services intermédiaires dans le marché intérieur (s'agissant not. de la protection des consommateurs, des droits d'auteur, des données personnelles, des plateformes de partage de vidéos), ce qui pourra poser problème à raison des différences de définition et de régime qui en découlent. A fortiori, la coopération judiciaire en matière pénale n'est pas affectée.

(2) La justification du règlement est donc essentiellement économique (art. 1, § 1). Son exposé des motifs dénonce ainsi des initiatives nationales ayant eu une « incidence négative sur le marché intérieur » (§ 2). Il s'agit de réduire l'insécurité juridique résultant d'initiatives dispersées avec le souci d'instaurer un cadre « sûr, prévisible et fiable » qui devrait profiter aux droits fondamentaux, notamment à la liberté d'expression.

(3) En l'occurrence, il est précisé qu'un tel lien existe « lorsque le fournisseur de services dispose d'un établissement dans l'Union ou, dans le cas contraire, lorsque le nombre de destinataires du service dans un ou plusieurs États membres est significatif au regard de leur population ou sur la base du ciblage des activités sur un ou plusieurs États membres » (§ 8). En pratique, le critère est donc celui d'un établissement dans l'Union ou d'un ciblage des activités sur un ou plusieurs États. La seule accessibilité technique d'un site internet à partir de l'Union ne peut être considérée comme établissant un lien étroit avec l'Union (art. 3, e).

(4) En toute hypothèse, un réexamen est programmé au plus tard le 18 févr. 2027 et des rapports d'évaluation prévus entretemps (art. 91).

(5) En réalité, pourront être adoptées ou maintenues des dispositions qui « poursuivent d'autres objectifs légitimes d'intérêt général que ceux poursuivis par le présent règlement », ce qui peut être compris de différentes façons et risque d'être source de contentieux (consid. 9).

(6) Les contenus illicites en cause doivent être envisagés largement. Ils correspondent à « toute information qui, en soi ou par rapport à une activité, y compris la vente de produits ou la fourniture de services, n'est pas conforme au droit de l'Union ou au droit d'un État membre qui est conforme au droit de l'Union, quel que soit l'objet précis ou la nature précise de ce droit » (art. 3, h). Cette illicéité est la même en ligne et hors ligne (consid. 12).

(7) L'exposé des motifs évoque l'hypothèse où une plateforme en ligne ne fait pas apparaître clairement l'identité du professionnel, était l'identité ou les coordonnées de celui-ci jusqu'à ce que le contrat soit conclu ou commercialise le produit ou le service en son nom propre plutôt qu'au nom du professionnel qui le fournira (§ 24).

(8) « Les règles en matière de responsabilité des fournisseurs de services intermédiaires énoncées dans le présent règlement ne devraient établir que les cas dans lesquels le fournisseur de services intermédiaires concerné ne peut pas être tenu pour responsable du contenu illicite fourni par les destinataires du service. Ces règles ne devraient pas être interprétées comme constituant une base positive pour établir les cas dans lesquels la responsabilité d'un fournisseur peut être engagée, ce que les règles applicables du droit de l'Union ou du droit national doivent déterminer » (consid. 17). En toute hypothèse, le caractère subsidiaire du recours contre ces intermédiaires est rappelé (consid. 27), les destinataires des services litigieux (éditeurs des contenus en cause) ayant principalement vocation à répondre de leur activité.

(9) V., par ex., Règl. (UE) 2021/784 du 29 avr. 2021, relatif à la lutte contre la diffusion des contenus à caractère terroriste en ligne, art. 3.

(10) L'exposé des motifs précise que les informations en question sont celles qui portent « sur des destinataires particuliers du service intermédiaire concerné qui sont identifiés dans ces injonctions aux fins de déterminer si les destinataires du service respectent les règles de l'Union ou les règles nationales applicables » (consid. 37). Ce qui exclut toute demande d'identification globale.

(11) Il peut même être tenu pour responsable du non-respect des obligations prévues dans le règlement, « sans préjudice de la responsabilité du fournisseur de services intermédiaires et des actions en justice qui pourraient être intentées contre lui » (art. 13, § 3), ce qui semble plus évident en matière civile qu'en matière pénale.

(12) Au contraire, l'exposé des motifs laisse entendre qu'une notification régulière commande le retrait : « Lorsqu'une notification contient suffisamment d'informations pour permettre à un fournisseur diligent de services d'hébergement de déterminer, sans examen juridique détaillé, que le contenu est clairement illicite, la notification devrait être réputée donner lieu à la connaissance ou à la prise de conscience effective de l'illégalité » (consid. 53).

(13) A priori, le délai dans lequel le retrait doit intervenir peut varier en fonction du contenu, donc de l'urgence à le supprimer (consid. 52).

(14) Il convient d'ajouter que les fournisseurs de plateformes en ligne sont par ailleurs tenus d'accorder un traitement spécial aux notifications émises par des « signaleurs de confiance » reconnus comme tels par le coordinateur pour les services numériques de l'État membre dans lequel ces signaleurs sont établis (art. 22). Ces signaleurs sont tenus de rendre compte et peuvent voir leur statut contesté en cas d'abus.

(15) Sur le fondement de l'art. 23, les fournisseurs de plateformes en ligne peuvent suspendre, « pendant une période raisonnable et après avoir émis un avertissement préalable, la fourniture de leurs services aux destinataires du service qui fournissent fréquemment des contenus manifestement illicites » (§ 1), comme ils peuvent suspendre le traitement de notifications et réclamations qui s'avèrent fréquemment infondées (§ 2). Ces prestataires sont, en effet, incités à lutter contre une utilisation abusive de leurs services alors qu'il « est évident pour un profane, sans aucune analyse de fond, que le contenu est illicite ou que les notifications ou réclamations sont infondées, respectivement » (consid. 63).

(16) « La restriction de la visibilité peut prendre la forme d'une rétrogradation dans les systèmes de classement ou de recommandation, ainsi que d'une limitation de l'accessibilité pour un ou plusieurs destinataires du service ou du blocage de l'utilisateur sur une communauté en ligne à l'insu de ce dernier (“bannissement par l'ombre”). La monétisation via les recettes publicitaires générées par les informations fournies par le destinataire du service peut être restreinte au moyen de la suspension ou la fin des paiements monétaires ou des recettes associées aux informations concernées » (consid. 55).

(17) Cette diffusion au public s'entend du « fait de mettre des informations à la disposition d'un nombre potentiellement illimité de tiers, à la demande du destinataire du service ayant fourni ces informations » (art. 3, k).

(18) « Les fournisseurs de services d'hébergement ne devraient pas être considérés comme des plateformes en ligne lorsque la diffusion au public n'est qu'une caractéristique mineure et purement accessoire qui est intrinsèquement liée à un autre service, ou une fonctionnalité mineure du service principal, et que cette caractéristique ou fonctionnalité ne peut, pour des raisons techniques objectives, être utilisée sans cet autre service ou ce service principal, et que l'intégration de cette caractéristique ou fonctionnalité n'est pas un moyen de se soustraire à l'applicabilité des règles du présent règlement relatives aux plateformes en ligne » (consid. 13).

(19) Le critère économique, auquel il est renvoyé ici, a été pertinemment contesté. V., S. Merabet, Le Digital Services Act : permanence des acteurs, renouvellement des qualifications, JCP 2022, no 12.

(20) « Étant donné que l'issue de la procédure de règlement extrajudiciaire des litiges n'est pas contraignante, les parties ne devraient pas être empêchées d'engager une procédure judiciaire concernant le même litige » (consid. 59).

(21) Elles se voient aussi interdire de concevoir, organiser ou exploiter « leurs interfaces en ligne de façon à tromper ou à manipuler les destinataires de leur service ou de toute autre façon propre à altérer ou à entraver substantiellement la capacité des destinataires de leur service à prendre des décisions libres et éclairées » (art. 25), ce qui relève davantage d'une obligation de loyauté que de transparence.

(22) Les « très grandes plateformes » sont tenues d'ajouter dans ces rapports des informations spécifiques relatives notamment aux ressources humaines affectées à la modération des contenus ainsi qu'au nombre mensuel moyen de destinataires de leur service dans chaque État membre (art. 42).

(23) De même, les plateformes ne doivent pas présenter sur leur interface de publicité qui repose sur du profilage en utilisant des données à caractère personnel leur permettant de savoir avec une certitude raisonnable que le destinataire du service est un mineur (art. 28, § 2). Par ailleurs, elles sont tenues de mettre en œuvre « des mesures appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service » (§ 1).

(24) Les très grandes plateformes sont, en outre, tenues de proposer au moins une option pour chacun de leurs systèmes de recommandation qui ne repose pas sur du profilage (art. 38). Toutefois, aucune précision n'est donnée quant à cette alternative, qui pourrait bien se révéler illusoire en pratique.

(25) Les microentreprises et petites entreprises en sont exonérées (art. 29).

(26) L'idée est que « les très grandes plateformes en ligne et les très grands moteurs de recherche en ligne peuvent engendrer des risques pour la société, qui diffèrent, par leur ampleur et leur incidence, de ceux qui sont imputables aux plateformes de plus petite taille […]. Lorsque le nombre de destinataires actifs d'une plateforme en ligne ou de destinataires actifs d'un moteur de recherche en ligne, calculé comme une moyenne sur une période de six mois, représente une part significative de la population de l'Union, les risques systémiques présentés par la plateforme en ligne ou le moteur de recherche en ligne peuvent produire des effets disproportionnés dans l'Union » (consid. 36).

(27) Un moteur de recherche est défini comme « un service intermédiaire qui permet aux utilisateurs de formuler des requêtes afin d'effectuer des recherches sur, en principe, tous les sites internet ou tous les sites internet dans une langue donnée, sur la base d'une requête lancée sur n'importe quel sujet sous la forme d'un mot-clé, d'une demande vocale, d'une expression ou d'une autre entrée, et qui renvoie des résultats dans quelque format que ce soit dans lesquels il est possible de trouver des informations en rapport avec le contenu demandé » (art. 3, j).

(28) « Le nombre moyen de destinataires mensuels actifs d'une plateforme en ligne devrait refléter tous les destinataires utilisant effectivement le service au moins une fois au cours d'une période donnée, en étant exposés à des informations diffusées sur l'interface en ligne de la plateforme en ligne, par exemple en les regardant ou en les écoutant, ou en fournissant des informations, comme les professionnels sur des plateformes en ligne permettant aux consommateurs de conclure des contrats à distance avec des professionnels » (consid. 77).

(29) En effet, « compte tenu des effets de réseau qui caractérisent l'économie des plateformes, la base d'utilisateurs d'une plateforme en ligne ou d'un moteur de recherche en ligne peut rapidement s'accroître et atteindre la dimension d'une très grande plateforme en ligne ou d'un très grand moteur de recherche en ligne, avec une incidence correspondante sur le marché intérieur » (consid. 78). Une actualisation en temps quasi réel est ainsi recherchée.

(30) Sont cités à ce titre, avec référence à la Charte, les droits fondamentaux à la dignité humaine, au respect de la vie privée et familiale, à la protection des données à caractère personnel, à la liberté d'expression et d'information, et à la non-discrimination. Sont ajoutés les droits fondamentaux propres aux enfants et le droit fondamental à un niveau élevé de protection des consommateurs.

(31) Par ailleurs, on l'a vu, les très grandes plateformes sont tenues de proposer au moins une option pour chacun de leurs systèmes de recommandation qui ne repose pas sur du profilage (art. 38).

(32) « Ces fournisseurs devraient envisager de prendre des mesures correctives consistant par exemple à mettre fin aux revenus publicitaires pour des informations déterminées ou d'autres mesures, telles que les mesures visant à accroître la visibilité des sources d'information faisant autorité, ou à adapter leurs systèmes publicitaires davantage sur le plan structurel » (consid. 88). Par ailleurs, l'art. 39 impose aux très grandes plateformes de garantir l'accès du public aux registres des publicités présentées sur leurs interfaces en ligne afin de faciliter la surveillance et les recherches relatives aux risques émergents engendrés par la diffusion de celles-ci (spécialement lorsque ces publicités s'avèrent illégales ou qu'il y a mise en œuvre de techniques de manipulation et de désinformation).

(33) « Ces mesures devraient être proportionnées à la capacité économique du fournisseur de la très grande plateforme en ligne ou du très grand moteur de recherche en ligne et à la nécessité d'éviter des restrictions inutiles à l'utilisation de leur service, compte devant dûment être tenu des effets négatifs potentiels sur les droits fondamentaux » (consid. 86). Lors de cette évaluation, il leur est particulièrement demandé « d'accorder une attention particulière au droit à la liberté d'expression » (consid. 90).

(34) Par ailleurs, des réactions particulières peuvent être attendues d'eux en cas de crise (art. 36), c'est-à-dire « lorsque des circonstances extraordinaires peuvent entraîner une menace grave pour la sécurité publique ou la santé publique dans l'Union ou dans des parties importantes de l'Union » (consid. 91). La mise en place de protocoles de crise est encouragée (art. 48).

(35) La Commission encourage également l'adoption et la mise en œuvre de normes volontaires établies par des organismes de normalisation européens et internationaux (art. 44), ainsi que l'élaboration de codes de bonne conduite (art. 45), dans une logique de corégulation devant aller au-delà de ce qui existe déjà (protocole d'accord sur la vente de contrefaçons sur l'internet, code de conduite pour la lutte contre les discours haineux illégaux en ligne, code de bonnes pratiques en matière de désinformation, etc.). Elle entend tout spécialement promouvoir des codes de conduite pour la publicité en ligne afin d'encourager la transparence en la matière (art. 46). Devrait également être adopté un code de conduite relatif à l'accessibilité aux services en ligne des personnes handicapées (art. 47).

(36) V., plus gén., l'art. 87, sur le pouvoir d'adopter des actes délégués conféré à la Commission.

(37) L'exposé des motifs ajoute que « les États membres devraient être autorisés à imposer une redevance de surveillance aux fournisseurs établis sur leur territoire pour les tâches de surveillance et d'exécution exercées par leurs autorités » (§ 101).

(38) On signalera spécialement à ce titre les règles de prescription applicables tant à l'infliction des sanctions (art. 77) qu'à leur exécution (art. 78), actes interruptifs compris, qui nous semblent être une nouveauté en droit de l'Union et qui témoignent de l'ancrage de la discipline dans une matière répressive parfaitement assumée derrière des mécanismes relevant en principe de la compliance.

(39) Cette désignation doit intervenir au plus tard le 17 févr. 2024. Si on peut imaginer qu'en France, la CNIL ou l'ARCEP soient ponctuellement désignées comme autorités compétentes, il serait assez logique, au regard de l'évolution générale du droit de la communication, que l'ARCOM soit désignée coordinatrice pour les services numériques, v. E. Dreyer, Droit de la communication, 2e éd., LexisNexis, 2022, p. 468, no 820. Ce qui posera, plus que jamais, la question des moyens dont elle dispose. La Commission et le comité devront être informés de la façon de la contacter.

(40) Ce coordinateur doit pouvoir accomplir ses missions, au titre du règlement, « de manière impartiale, transparente et en temps utile » (art. 50). En toute hypothèse, son indépendance doit être garantie.

(41) À défaut, cette compétence appartient à l'État membre sur le territoire duquel réside le représentant légal du FSI. Lorsqu'un prestataire n'a pas d'établissement principal dans l'Union et n'a pas désigné de représentant légal, tous les États membres peuvent agir.

(42) Des enquêtes conjointes peuvent également être initiées (art. 60).

(43) Ce recours n'exclut pas la possibilité pour les destinataires du service ayant subi un préjudice, du fait d'une violation par un FSI de ses obligations découlant du règlement, de demander une indemnisation selon le droit national en vigueur (art. 54).

(44) Montant ramené à 1 % des revenus ou du chiffre d'affaires mondial annuels du FSI concerné (ou de la personne concernée), au cours de l'exercice précédent, en cas de fourniture d'informations inexactes, incomplètes ou trompeuses, en cas d'absence de réponse ou de non-rectification d'informations inexactes, incomplètes ou trompeuses, et en cas de manquement à l'obligation de se soumettre à une inspection.

(45) Cette critique est à peine atténuée par l'exposé des motifs rappelant que le montant de l'amende doit être fixé « en fonction de la nature, de la gravité, de la récurrence et de la durée de l'infraction, compte tenu de l'objectif d'intérêt général poursuivi, de l'ampleur et de la nature des activités menées, ainsi que de la capacité économique de l'auteur de l'infraction » (§ 117).

(46) À ce sujet, il est précisé : « D'une part, la Commission pourrait très souvent être mieux placée pour remédier aux infractions systémiques commises par ces fournisseurs, comme les infractions qui touchent plusieurs États membres, les infractions graves répétées ou l'absence de mise en place des mécanismes efficaces requis par le présent règlement. D'autre part, les autorités compétentes de l'État membre dans lequel se trouve l'établissement principal d'un fournisseur d'une très grande plateforme en ligne ou d'un très grand moteur de recherche en ligne pourraient être mieux placées pour remédier aux infractions particulières commises par ces fournisseurs lorsqu'elles ne soulèvent pas de questions systémiques ou transfrontières » (§ 125).

(47) De même, lorsque les décisions de la Commission sont restées sans suite, elle peut demander au coordinateur pour les services numériques de l'État membre d'établissement du « très grand » concerné de saisir l'autorité judiciaire compétente pour qu'elle ordonne une restriction temporaire de l'accès des destinataires au service en question ou à son interface en ligne (art. 82, § 1). Il est assez troublant de constater que le dernier mot revient ainsi aux juridictions nationales ; il n'est pas certain qu'elles soient réellement en mesure d'agir (spécialement lorsque le prestataire n'a ni établissement, ni représentant dans l'Union).

(48) D'une manière générale, l'art. 81 permet à la CJUE de statuer avec compétence de pleine juridiction sur les recours formés contre toutes les décisions par lesquelles la Commission inflige des amendes ou des astreintes.

(49) A priori, un tel mécanisme n'est pas nouveau : il aurait été créé sur le modèle d'autres autorités européennes de surveillance, telles que l'AEMF, l'ABE ou encore l'AEPP. V., S. Merabet, préc.