Introduction
Il s’agit du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE sur les services numériques (aussi appelée « directive sur le commerce électronique »). Attention, le DSA ne remplace pas la directive commerce électronique, mais modifie seulement ses articles 12 à 15 (concernant la responsabilité extracontractuelle des acteurs), ou la complète.
Depuis la directive commerce électronique, les acteurs d’Internet ont énormément changé et se sont multipliés. Notamment, les plateformes en ligne sont apparues (Facebook en 2004, YouTube en 2005, Instagram en 2010, etc.). Avec leur apparition, de nouveaux risques ont émergé : publication de contenus illicites, désinformation (fake news), manipulation des internautes, atteinte à la liberté d’expression… Il fallait donc encadrer ces plateformes.
Art. 2§1 : « Le présent règlement s’applique aux services intermédiaires proposés aux destinataires du service dont le lieu d’établissement est situé dans l’Union ou qui sont situés dans l’Union, quel que soit le lieu d’établissement des fournisseurs de ces services intermédiaires », pour autant qu’un lien étroit existe avec l’Union (cons. 7). On retrouve ici le critère de l’activité dirigée, mais attention, un « lien étroit » est réclamé (nombre d’utilisateurs, langue utilisée…).
Selon l’article 1er, ce règlement « a pour objectif de contribuer au bon fonctionnement du marché intérieur des services intermédiaires en établissant des règles harmonisées pour un environnement en ligne sûr, prévisible et fiable qui facilite l’innovation et dans lequel les droits fondamentaux consacrés par la Charte, y compris le principe de protection des consommateurs, sont efficacement protégés ». Art. 3, g) « un des services de l’informations suivants :
- Un service de « simple transport » consistant à transmettre, sur un réseau de communication, des informations fournies par un destinataire du service ou à fournir l’accès à un réseau de communication ;
- Un service de « mise en cache », consistant à transmettre, sur un réseau de communication, des informations fournies par un destinataire de service, impliquant le stockage automatique, intermédiaire et temporaire de ces informations, effectué dans le seul but de rendre plus efficace la transmission ultérieure de ces informations à d’autres destinataires à leur demande.
- Un service « d’hébergement » consistant à stocker des informations fournies par un destinataire du service à sa demande ». à les réseaux sociaux, les plateformes d’intermédiation, les moteurs de recherche…
Les plateformes constituent donc une sous-catégorie des services d’hébergement. Concrètement, il s’agit, selon le DSA, des hébergeurs qui, outre le stockage d’informations, permettent leur mise à disposition au public à la demande d’un destinataire du service.
Le règlement DSA a donc pour but de réguler l’activité des plateformes en ligne. Il s’emploie notamment à lutter contre les contenus illicites sur internet, lesquels sont définis très largement. En effet, selon l’article 3, h), il s’agit de « toute information qui, en soi ou par rapport à une activité, y compris la vente de produits ou la fourniture de services, n’est pas conforme au droit de l’Union ou au droit d’un État membre qui est conforme au droit de l’Union, quel que soit l’objet précis ou la nature précise de ce droit ». À cet égard, le DSA a une portée très générale et complète des textes relatifs à des contenus plus spécifiques : le règlement 2017/784 du 29 avril 2021 relatif à la lutte contre la diffusion de contenus à caractère terroriste ou encore le règlement 2021/1223 du 14 juillet 2021 relatif à la lutte contre la pédopornographie sur internet.
Pour réguler le secteur, le règlement DSA vient réaffirmer l’irresponsabilité conditionnée des acteurs (I), tout en leur imposant d’importantes obligations de compliance (II).
I) L’irresponsabilité conditionnée des services intermédiaires
Si l’irresponsabilité est maintenue (A), les services intermédiaires doivent toutefois coopérer avec les autorités compétentes en cas de contenus illicites (B).
A) Le maintien de l’irresponsabilité
Chapitre II du règlement DSA. Le règlement DSA poursuit la logique de la directive commerce électronique à les plateformes n’ont pas à avoir une démarche proactive en surveillant les informations qu’elles transmettent ou qu’elles stockent, ou en recherchant activement des faits ou des circonstances révélant des activités illicites.
Assez logiquement, le règlement distingue selon les acteurs.
Selon l’article 4, trois conditions subordonne cette irresponsabilité. Le fournisseur ne doit pas :
a) être à l’origine de la transmission ;
b) en sélectionner les destinataires ;
c) sélectionner ou modifier les informations objet de la transmission. => Il doit rester passif.
L’article 5 pose une irresponsabilité de principe des services de mise en cache, à cinq conditions :
a) ne modifie pas les informations ;
b) respecte les conditions d’accès aux informations ;
c) respecte les règles concernant la mise à jour des informations ;
d) n’entrave pas l’utilisation licite de la technologie ;
e) agit promptement pour retirer les informations qu’il a stockées ou rend l’accès à ces informations impossible dès qu’il a effectivement connaissance du fait que les informations à l’origine de la transmission ont été retirés du réseau ou que l’accès aux informations a été rendu impossible, ou du fait qu’une autorité judiciaire ou administrative, a ordonné de retirer les informations ou de rendre l’accès à ces informations impossible.
L’article 6 maintient l’irresponsabilité de principe des hébergeurs, à condition :
a) que l’hébergeur n’ait pas effectivement connaissance de l’activité illégale ou du contenu illicite ;
b) qu’il ait agi, dès le moment où il en a connaissance ou conscience, promptement pour retirer le contenu illicite ou rendre l’accès à celui-ci impossible.
Il faut déduire de tout cela que rien ne change, sur ce point, en comparaison à la directive commerce électronique. Rien, ou presque. En effet, le règlement précise que l’hébergeur n’engage pas sa responsabilité s’il agit dès le moment où il en a connaissance ou, chose nouvelle, « conscience ». Il est possible de se demander, avec le Professeur Douville, « si cet ajout entraîne une réduction du champ de l’irresponsabilité des hébergeurs en prenant en compte la connaissance personnelle qu’a l’hébergeur du contenu illicite. La question se pose notamment en raison de la mise en place de mécanismes humains ou algorithmiques de filtrage » (article disponible sur Moodle), donc indépendamment de toute notification de contenu illicite.
B) L’obligation de coopération
Deux points de contact doivent être institués : l’un chargé de communiquer avec les autorités répressives, la Commission et le comité européen des services numériques ; l’autre avec les utilisateurs, par voie électronique.
De manière assez évidente, les services intermédiaires ont également l’obligation d’agir en cas de signalement, d’une autorité judiciaire ou administrative, ou d’un tiers.
Comme sous l’empire de la directive commerce électronique, les services intermédiaires auront l’obligation de répondre aux injonctions adressées par une autorité administrative ou une juridiction visant à bloquer le contenu illicite ou à fournir des informations permettant d’identifier un destinataire du service. Le règlement DSA, à cet égard, précise la procédure applicable, mais ne fixe aucun un délai pour agir. Le règlement prescrit seulement de traiter l’injonction et de prendre la décision « dans les meilleurs délais » (16§6).
Les hébergeurs doivent mettre en place un mécanisme suffisamment accessible de notification des contenus illicites. La notification doit être suffisamment précises et comporter des informations énumérées. Si elle remplit ces exigences, la notification sera réputée donner connaissance à l’hébergeur du caractère illicite des informations concernées, et donc pourra permettre l’engagement de sa responsabilité s’il n’agit pas promptement.
Signaleurs de confiance = statut particulier qu’il est prévu d’attribuer dans chaque État, à des entités ou à des organisation dites « de confiance » en raison de leur expertise et de leurs compétences. Les notifications auxquelles ils procèdent dans leur domaine d’expertise doivent être traitées en priorité et donner lieu à des décisions dans les meilleurs délais (Art. 22). Le statut de signaleur de confiance est délivré par l’ARCOM et il va s’agir le plus souvent d’associations de lutte contre la pédopornographie ou le racisme par exemple.
Clause du « bon samaritain » = les fournisseurs de services intermédiaires peuvent procéder, de leur propre initiative, à des « enquêtes volontaires » ou prendre « d’autres mesures » pour détecter, identifier et retirer ou rendre l’accès impossible aux contenus illicites.
II. Les obligations des services intermédiaires
Le DSA vient responsabiliser les plateformes en leur imposant des obligations. Il est possible d’identifier quatre niveaux d’exigences :
1) Le premier niveau, concerne l’ensemble des services intermédiaires : principalement des obligations d’information. Établissement de points de contact ; désignation d’un représentant légal dans l’un des États membres de l’Union dans le cas où le service n’a pas d’établissement au sein de l’Union ; obligation de communiquer certaines informations sur les conditions générales, notamment les restrictions qu’ils imposent en ce qui concerne l’utilisation de leur service ; publication d’un rapport annuel clair et facilement compréhensible s’agissant de la politique de modération (les microentreprises sont exonérées de cette obligation).
2) Le deuxième niveau concerne les hébergeurs : il faut ajouter aux obligations précédentes d’autres obligations particulières à mettre en place des mécanismes de notification des contenus illicites en ligne. Ils doivent également alerter « promptement » les autorités compétentes en fournissant les informations pertinentes disponibles lorsqu’ils ont connaissance d’informations conduisant à soupçonner qu’une infraction pénale présentant une menace pour la vie ou la sécurité des personnes a été commise, va se commettre ou est en train de se commettre.
3) Le troisième niveau concerne les plateformes : on retrouve toutes les obligations des niveaux 1 et 2 + mise en œuvre d’un système de traitement des réclamations sur les suites données aux notifications émises par des particuliers ; elles doivent protéger plus efficacement les mineurs ; elles doivent être transparentes s’agissant de la publicité ; elles doivent être transparente s’agissant de la recommandation, dans leurs conditions générales.
4) Le troisième niveau concerne les très grandes plateformes et les très grands moteurs de recherche : plateformes ou moteurs de recherche dont le nombre de « destinataires actifs » mensuels dépasse les 45 millions d’utilisateurs (33§1). Les plateformes et moteurs de recherche concernés doivent être désigné par la Commission de l’Union européenne, sur décision individuelle. Plusieurs ont déjà été désignés par la Commission (AliExpress, Amazon, Apple, LinkedIn, YouTube, Facebook, Instagram, Google, Bing…). Pour ces plateformes et moteurs de recherche, on retrouve toutes les obligations précédentes + des obligations qui s’inscrivent dans une logique de Compliance. Ils doivent ainsi évaluer, au moins une fois par an, les risques systémiques de leurs activités et, une fois les risques identifiés, ils doivent prendre des mesures pour les atténuer. Ils doivent également mettre en place un mécanisme de réaction aux crises : selon le texte, il y a crise lorsque « des circonstances extraordinaires entraînent une menace grave pour la sécurité publique ou la santé publique dans l’Union ou dans des parties importantes de l’Union ». Permettre la réalisation d’audits indépendants : au moins une fois par an, à leurs frais. Ils doivent également assurer une transparence accrue des systèmes de recommandations, doivent proposer au destinataire une formule de recommandation qui ne repose pas sur le profilage, c’est-à-dire qui ne repose pas sur les caractéristiques individuelles de l’internaute.
Le DSA vient imposer aux États membres d’instituer un coordinateur pour les services numériques (Arcom en France), dont le rôle est d’assurer l’effectivité des droits et obligations prévus par le règlement et la réalisation de ses objectifs. Doté d’un pouvoir d’enquête, d’injonction et d’amende. De même, pour assurer la coopération, un comité européen pour les services numériques est mis en place, chargé d’adopter des avis et des recommandations aux coordinateurs nationaux et d’élaborer des lignes directrices, des codes de conduite…
Si le règlement précise que les obligations doivent être sanctionnées, il n’est pas très précis sur le quantum de ces sanctions. En effet, selon l’article 52 du règlement, « Les sanctions doivent être effectives, proportionnées et dissuasives ». Plus précisément, tout de même, il ajoute que « Les États membres veillent à ce que le montant maximal des amendes qui peuvent être imposées pour non-respect d’une obligation établie dans le présent règlement représente 6 % du chiffre d’affaires mondial annuel du fournisseur de services intermédiaires concerné réalisé au cours de l’exercice précédent. Les États membres veillent à ce que le montant maximal de l’amende qui peut être imposée pour la fourniture d’informations inexactes, incomplètes ou trompeuses, l’absence de réponse ou la non-rectification d’informations inexactes, incomplètes ou trompeuses et le manquement à l’obligation de se soumettre à une inspection représente 1 % des revenus ou du chiffre d’affaires mondial annuels du fournisseur de services intermédiaires concerné ou de la personne concernée de l’exercice précédent ».
