Le Digital Services Act, ou DSA, est le règlement européen qui fixe depuis le 17 février 2024 les obligations des hébergeurs, réseaux sociaux et places de marché. Ses obligations varient selon la taille et le rôle de chaque service, du simple point de contact jusqu’à l’audit annuel des très grandes plateformes. Il donne aussi aux utilisateurs de nouveaux droits pour contester une modération ou faire retirer un contenu.
Qu’est-ce que le DSA ?
Le règlement (UE) 2022/2065 sur les services numériques, dit DSA, s’applique à tous les intermédiaires en ligne depuis le 17 février 2024. Il poursuit un objectif simple : ce qui est illégal hors ligne doit l’être en ligne, et les services qui hébergent les contenus des autres doivent s’organiser pour les traiter de manière rapide, transparente et contestable.
En France, la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (loi SREN) a adapté notre droit au DSA. L’Arcom coordonne son application, avec la CNIL et la DGCCRF.
Qui est concerné par le DSA ?
Le DSA fonctionne comme une pyramide : chaque niveau ajoute des obligations à celles du niveau inférieur.
- Les services intermédiaires : fournisseurs d’accès, services de transmission, de mise en cache, noms de domaine.
- Les hébergeurs : services qui stockent les informations de leurs utilisateurs (hébergement web, stockage en nuage, espaces de commentaires).
- Les plateformes en ligne : hébergeurs qui diffusent ces informations au public (réseaux sociaux, forums, sites d’annonces, places de marché).
- Les très grandes plateformes et très grands moteurs de recherche : plus de 45 millions d’utilisateurs mensuels dans l’Union, contrôlés directement par la Commission européenne.
Les micro et petites entreprises sont dispensées de plusieurs obligations propres aux plateformes. Le DSA s’applique aussi aux services établis hors de l’Union qui s’adressent aux utilisateurs européens ; ils doivent alors désigner un représentant légal dans l’Union.
Quelles grandes règles du droit du numérique découlent du DSA ?
Une responsabilité limitée, mais conditionnée
L’hébergeur n’est pas responsable des contenus de ses utilisateurs tant qu’il n’en connaît pas le caractère illicite. Dès qu’il en a connaissance, notamment par un signalement précis, il doit agir promptement pour les retirer ou en bloquer l’accès. Cette exonération suppose un rôle neutre : un service qui sélectionne, met en avant ou s’approprie les contenus peut la perdre.
Pas d’obligation générale de surveillance
Un intermédiaire ne peut pas être tenu de surveiller l’ensemble des contenus qu’il héberge. En revanche, il peut faire l’objet d’injonctions d’une autorité ou d’un juge, lui ordonnant d’agir contre un contenu précis ou de communiquer des informations sur un utilisateur.
Une modération transparente et contestable
Toute restriction (retrait, déréférencement, suspension d’un compte, suppression de revenus) doit être motivée et pouvoir être contestée. C’est la contrepartie de la liberté laissée aux plateformes.
Quelles sont les obligations du DSA, niveau par niveau ?
Pour tous les services intermédiaires
- désigner un point de contact pour les autorités et un autre pour les utilisateurs ;
- rédiger des conditions générales claires, qui décrivent les règles de modération, y compris le recours à des outils automatisés ;
- publier un rapport de transparence annuel sur la modération (sauf micro et petites entreprises).
Pour les hébergeurs
- mettre en place un mécanisme de signalement des contenus illicites, facile d’accès et utilisable par voie électronique ;
- adresser un exposé des motifs à l’utilisateur dont le contenu est retiré ou restreint ;
- signaler aux autorités les soupçons d’infraction pénale menaçant la vie ou la sécurité des personnes.
Pour les plateformes en ligne
- offrir un système interne de traitement des réclamations, gratuit, pendant au moins six mois après la décision ;
- informer les utilisateurs de la possibilité de saisir un organe de règlement extrajudiciaire certifié ;
- traiter en priorité les signalements des signaleurs de confiance ;
- suspendre les utilisateurs qui publient fréquemment des contenus manifestement illicites ou abusent des signalements ;
- ne pas recourir à des interfaces trompeuses qui poussent l’utilisateur à des choix qu’il n’aurait pas faits ;
- identifier chaque publicité, son annonceur et les principaux critères de ciblage ; ne pas cibler la publicité à partir de données sensibles, ni à partir du profil des mineurs ;
- expliquer les principaux paramètres des systèmes de recommandation ;
- assurer un haut niveau de protection des mineurs.
Pour les places de marché
Les places de marché doivent en plus vérifier l’identité des vendeurs professionnels avant de les accepter, concevoir leur interface pour permettre aux vendeurs de respecter leurs obligations d’information, et prévenir les acheteurs lorsqu’un produit illégal leur a été vendu. Voir Marketplace : quelles obligations pour les éditeurs ?.
Pour les très grandes plateformes
Elles doivent évaluer chaque année les risques systémiques de leur service (désinformation, atteinte aux droits fondamentaux, protection des mineurs), prendre des mesures pour les réduire, se soumettre à un audit indépendant et ouvrir leurs données aux chercheurs agréés.
Le DSA dispense-t-il de respecter le RGPD ?
Non. Le DSA précise lui-même qu’il s’applique sans préjudice du RGPD. La Cour de justice de l’Union européenne l’a confirmé avec force dans son arrêt Russmedia du 2 décembre 2025 : l’exploitant d’une place de marché est responsable du traitement des données personnelles contenues dans les annonces publiées par ses utilisateurs. Il ne peut pas invoquer l’exonération de responsabilité des hébergeurs pour échapper à ses obligations au titre du RGPD.
Concrètement, la Cour exige de l’exploitant qu’il repère, avant publication, les annonces contenant des données sensibles, qu’il vérifie que l’annonceur est bien la personne concernée ou dispose de son consentement explicite, et qu’il refuse la publication à défaut. Il doit aussi prendre des mesures de sécurité pour limiter la reprise de ces annonces sur d’autres sites.
Une mise en conformité DSA doit donc toujours s’accompagner d’une analyse RGPD. Voir Mise en conformité RGPD.
Quels droits le DSA donne-t-il aux utilisateurs ?
Le DSA ne s’adresse pas qu’aux plateformes. Il donne aux utilisateurs, particuliers comme entreprises, des moyens concrets d’agir :
- faire retirer un contenu illicite (diffamation, contrefaçon, harcèlement, discours de haine) par un signalement précis, que la plateforme doit traiter ;
- connaître les motifs d’une suppression de contenu ou d’une suspension de compte ;
- contester une modération par le système interne de réclamation, puis devant un organe de règlement extrajudiciaire certifié, et enfin devant le juge ;
- saisir l’Arcom d’une plainte contre une plateforme qui ne respecte pas le DSA.
Votre compte professionnel a été suspendu ? Voir Rétablir un compte suspendu sur un réseau social et Engager une procédure en droit du numérique.
Quelles sanctions en cas de non-respect du DSA ?
Les amendes peuvent atteindre 6 % du chiffre d’affaires annuel mondial, et 1 % pour la fourniture d’informations inexactes. Des astreintes jusqu’à 5 % du chiffre d’affaires journalier moyen peuvent s’y ajouter. Les utilisateurs lésés peuvent aussi demander réparation de leur préjudice.
Comment se mettre en conformité avec le DSA ?
- Qualifier le service : intermédiaire, hébergeur, plateforme ou place de marché, et vérifier si l’entreprise bénéficie des dispenses réservées aux micro et petites entreprises.
- Auditer l’existant : conditions générales, circuit de signalement, procédures de modération, interface, publicité, recommandations, protection des mineurs, traitement des données personnelles.
- Produire les documents : conditions générales, politique de modération, formulaires de signalement, modèles d’exposés des motifs, procédure de réclamation, registre des décisions, trame du rapport de transparence.
- Former les équipes chargées de la modération et du service client.
- Attester la conformité par un pack documentaire daté et une attestation signée électroniquement.
Combien coûte une mise en conformité DSA ?
L’audit DSA est proposé à partir de 3 000 € HT. La mise en conformité fait ensuite l’objet d’un devis, selon la nature du service et le volume de documents à produire.
RÉFÉRENCES :
- Règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques (DSA), notamment articles 2, 6, 8, 9 à 18, 20 à 28, 30 à 32, 34 à 37 et 74
- Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (SREN)
- CJUE, grande chambre, 2 décembre 2025, Russmedia Digital et Inform Media Press, C-492/23
- Règlement (UE) 2016/679 (RGPD), articles 4, 9, 24, 25 et 32
