Introduction
Adopté en 2022 et pleinement applicable depuis le 17 février 2024, le Digital Services Act (DSA) a instauré un cadre européen harmonisé destiné à responsabiliser les intermédiaires numériques, à mieux encadrer la diffusion de contenus, produits et services illicites et à renforcer la protection des utilisateurs en ligne.
En 2026, sa mise en œuvre entre dans une phase particulièrement concrète : après une première période consacrée à la mise en conformité, les autorités européennes renforcent désormais leurs contrôles et attendent des opérateurs qu’ils puissent démontrer l’efficacité réelle des dispositifs mis en place.
L’évolution du Digital Services Act
Après l’entrée en application généralisée du DSA en février 2024, les autorités européennes ont progressivement intensifié leurs contrôles du respect effectif des obligations imposées aux plateformes et intermédiaires numériques. L’enjeu n’est désormais plus seulement pour les entreprises d’avoir formellement mis en place les dispositifs prévus par le règlement, mais d’être capables d’en démontrer qu’ils sont effectivement appliqués, qu’ils permettent d’identifier et de traiter les risques visés par le DSA et qu’ils produisent, en pratique, les résultats attendus en matière de conformité.
Cette évolution se traduit notamment par plusieurs procédures et mesures adoptées par la Commission européenne à l’encontre de grandes plateformes numériques.
En juillet 2026, la Commission européenne a infligé à AliExpress une amende de 550 millions d’euros pour des insuffisances dans l’évaluation et l’atténuation des risques liés à la vente de produits illicites, dangereux ou contrefaisants. Elle a également adressé à TikTok des griefs préliminaires concernant les paramètres de sécurité applicables par défaut aux comptes de mineurs et accepté un plan d’action de X portant notamment sur son registre publicitaire et l’accès des chercheurs aux données.
Le message adressé aux opérateurs est clair. L’automatisation, la taille du service et la complexité technique ne dispensent pas d’identifier les risques ni de démontrer l’efficacité des mesures correctrices. Le DSA devient ainsi un sujet de gouvernance commun aux directions juridiques, conformité, produit, informatique et propriété intellectuelle.
Quelles entreprises sont concernées par le Digital Services Act ?
Une qualification service par service
Le DSA prévoit plusieurs niveaux de qualification selon la nature et le rôle du service numérique concerné. Il distingue notamment les services de simple transport, de mise en cache et d’hébergement. Parmi les services d’hébergement, certains peuvent également être qualifiés de plateformes en ligne et, lorsqu’ils permettent à des professionnels de conclure des contrats à distance avec des consommateurs, de places de marché en ligne.
Les obligations applicables se renforcent progressivement selon la qualification retenue. Des exigences supplémentaires s’appliquent en outre aux très grandes plateformes en ligne et aux très grands moteurs de recherche, VLOP et VLOSE, atteignant au moins 45 millions de destinataires actifs mensuels moyens dans l’Union.
Un même produit numérique peut proposer plusieurs fonctionnalités relevant de qualifications différentes. Une application SaaS peut, par exemple, comporter un espace privé d’hébergement, un forum public et une marketplace proposant des modules développés par des tiers. Chaque fonctionnalité doit donc être examinée séparément afin d’identifier précisément les obligations applicables.
Une portée directe pour les prestataires non européens
L’absence de filiale européenne n’écarte pas l’application du DSA. Le règlement peut concerner un prestataire qui offre ses services à des destinataires situés dans l’Union et présente un lien substantiel avec son marché.
Les langues utilisées, l’affichage de prix en euros, les moyens de paiement proposés, les campagnes publicitaires ciblées, l’importance de la clientèle européenne, les livraisons dans l’Union ou la présence dans des boutiques d’applications localisées constituent autant d’indices. La simple accessibilité technique d’un site depuis l’Union ne suffit cependant pas.
Le prestataire concerné qui ne dispose d’aucun établissement dans l’Union doit désigner par écrit un représentant légal DSA dans un État membre où il offre ses services. Ce mandat doit être distingué de la représentation prévue par l’article 27 du RGPD, même lorsque les deux fonctions sont confiées au même opérateur.
En France, l’Arcom exerce les fonctions de coordinateur pour les services numériques. Elle intervient aux côtés de la DGCCRF et de la CNIL, dont les compétences respectives sont organisées par la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique.
Quelles obligations doivent être rendues opérationnelles ?
Notification, retrait et recours : sécuriser la chaîne de décision
L’article 16 impose aux fournisseurs d’hébergement un mécanisme de notification et d’action facilement accessible. Une notification suffisamment précise et étayée peut leur conférer une connaissance effective de l’illégalité alléguée.
Le prestataire doit alors instruire le signalement avec diligence, documenter son analyse et, lorsqu’il retire ou restreint un contenu, communiquer un exposé des motifs intelligible. Les plateformes doivent également mettre en place un recours interne et informer les utilisateurs des possibilités de règlement extrajudiciaire des litiges.
En propriété intellectuelle, le formulaire doit permettre d’identifier :
- le droit invoqué et son titulaire ;
- le représentant éventuellement mandaté ;
- l’adresse exacte du contenu ou de l’offre litigieuse ;
- les éléments établissant l’atteinte alléguée ;
- la déclaration de bonne foi du notifiant.
Un retrait entièrement automatisé peut ignorer les exceptions, les licences ou les limites territoriales d’un droit. À l’inverse, l’inaction face à une notification circonstanciée peut fragiliser le bénéfice de l’exonération conditionnelle de responsabilité de l’hébergeur.
Transparence, publicité et systèmes de recommandation
Les conditions générales doivent expliquer clairement les restrictions appliquées aux contenus, les outils automatisés utilisés et la place du contrôle humain.
Les plateformes doivent également :
- identifier clairement les publicités et leur annonceur ;
- présenter les principaux paramètres du ciblage publicitaire ;
- expliquer les paramètres essentiels de leurs systèmes de recommandation ;
- transmettre leurs exposés des motifs à la base européenne de transparence.
Les rapports de transparence utilisent désormais des modèles harmonisés obligatoires depuis le second semestre 2025. La page professionnelle de l’Arcom consacrée au DSA précise les modalités applicables aux prestataires français.
Les VLOP et VLOSE doivent en outre conduire des évaluations de risques systémiques, adopter des mesures d’atténuation, se soumettre à des audits indépendants et tenir un registre publicitaire. Depuis le 29 octobre 2025, le dispositif européen d’accès aux données permet également à des chercheurs agréés de demander certaines données internes utiles à l’étude des risques systémiques.
Protection des mineurs : concevoir la sécurité par défaut
L’article 28 impose aux plateformes accessibles aux mineurs de garantir un niveau élevé de vie privée, de sûreté et de sécurité. Les lignes directrices publiées par la Commission en juillet 2025 précisent les attentes relatives à l’assurance de l’âge, aux paramètres protecteurs par défaut, aux recommandations, aux contacts non sollicités, aux designs addictifs et aux pratiques commerciales préjudiciables.
Une clause réservant formellement le service aux personnes de plus de treize ou seize ans ne suffit pas lorsqu’aucun mécanisme crédible ne la rend effective. Les autorités examinent la composition réelle du public, les données dont dispose l’opérateur, le contenu proposé et l’efficacité des dispositifs d’assurance de l’âge.
Comment construire une feuille de route DSA défendable ?
Il est recommandé de :
- cartographier les fonctionnalités concernés par le DSA, et les flux de contenus provenant de tiers ;
- vérifier si le service entre dans le champ d’application territorial du DSA et documenter le nombre d’utilisateurs actifs dans l’Union européenne ;
- tester les formulaires, les délais, les exposés des motifs et les recours ;
- auditer la vérification des vendeurs et les contrôles sur les produits contrefaisants ;
- intégrer les exigences relatives aux mineurs, à la publicité et aux systèmes de recommandation dès la conception des service ;
conserver les journaux de décision, statistiques et responsabilités attendus par les autorités
Conclusion
Le cabinet Dreyfus accompagne ses clients dans la gestion de dossiers de propriété intellectuelle complexes, en proposant des conseils personnalisés et un soutien opérationnel complet pour la protection intégrale de la propriété intellectuelle.
Nathalie Dreyfus, avec l'aide de toute l'équipe du cabinet Dreyfus.
FAQ
Le DSA s’applique-t-il aux entreprises situées hors de l’Union européenne ?
Il peut s’appliquer lorsqu’une entreprise offre ses services à des destinataires dans l’Union et présente un lien substantiel avec le marché européen. Le prestataire non établi dans l’Union doit en principe désigner un représentant légal européen.
Toutes les entreprises en ligne sont-elles soumises aux mêmes obligations ?
Non. Les obligations dépendent de la qualification du service, de ses fonctionnalités, de sa taille et de son rôle éventuel dans la conclusion de transactions entre professionnels et consommateurs.
Une plateforme doit-elle retirer immédiatement tout contenu signalé ?
Non. Une notification suffisamment précise doit être examinée rapidement, objectivement et proportionnellement. Le DSA n’impose pas le retrait automatique de tout contenu contesté.
Quelles sanctions maximales le DSA prévoit-il ?
Une violation peut être sanctionnée par une amende atteignant 6 % du chiffre d’affaires mondial annuel du prestataire. Des amendes spécifiques et des astreintes journalières peuvent également sanctionner la fourniture d’informations inexactes ou l’inexécution d’une décision.
Le DSA remplace-t-il le RGPD ?
Non. Les deux règlements se cumulent. Le RGPD encadre les traitements de données personnelles, tandis que le DSA régit notamment les services intermédiaires, la modération, la publicité, les recommandations et certains risques systémiques.
Comment le DSA renforce-t-il la lutte contre la contrefaçon ?
Il améliore les mécanismes de notification, impose la traçabilité des vendeurs professionnels sur les marketplaces et oblige les plus grandes plateformes à évaluer et réduire les risques de diffusion de produits illicites ou contrefaisants.
Cette publication a pour objet de fournir des orientations générales au public et de mettre en lumière certaines problématiques. Elle n’a pas vocation à s’appliquer à des situations particulières ni à constituer un conseil juridique.