Le DSA en 2026 — lecture rapide pour les opérateurs e-commerce
Le Digital Services Act (règlement 2022/2065) est le corpus de règles horizontal de l'UE pour tout intermédiaire en ligne ciblant des utilisateurs européens — d'un partenaire d'hébergement WooCommerce de niche à Amazon Marketplace. Il est entré en vigueur le 16 novembre 2022, s'est appliqué aux VLOP désignées à partir du 25 août 2023 et est devenu pleinement applicable à tous les intermédiaires le 17 février 2024. Pour les places de marché en ligne, l'essentiel sur le plan opérationnel tient à la vérification des professionnels de l'article 30 « Know Your Business Customer », à la notification et action de l'article 16, à l'interdiction des dark patterns de l'article 25 et à la transparence publicitaire de l'article 26. Pour les VLOP, ajoutez l'évaluation des risques systémiques de l'article 34, l'audit indépendant de l'article 37, le registre publicitaire de l'article 39 et l'accès des chercheurs aux données de l'article 40. Les amendes atteignent 6 % du chiffre d'affaires annuel mondial ; l'application est partagée entre les coordinateurs nationaux pour les services numériques et la Commission européenne, le Comité européen des services numériques coordonnant les affaires transfrontalières.
Le DSA en un coup d'œil — dix obligations que les vendeurs en ligne doivent cartographier
Le DSA est un règlement unique, mais ses obligations s'empilent en couches selon le rôle que vous jouez. Les fiches ci-dessous résument les dix domaines couverts par ce guide — gardez cette carte à portée de main à mesure que vous lisez chaque analyse approfondie.
Règlement 2022/2065 — présentation du DSA
Régime horizontal de l'UE pour les intermédiaires · applicable à tous depuis le 17 févr. 2024 · JOUE L 277/1, 27.10.2022
VLOP et VLOSE — article 33
Plateformes au-delà de 45 M d'utilisateurs actifs mensuels dans l'UE · désignées par la Commission · fenêtre d'intégration de 4 mois
Transparence des professionnels KYBC — article 30
Les places de marché vérifient la dénomination légale, la TVA, le numéro d'immatriculation, l'adresse · publication avant mise en ligne
Contenus illicites et notification-action — articles 16-17
Mécanisme de notification électronique facile · exposé des motifs · action diligente et en temps utile
Dark patterns et transparence publicitaire — articles 25-28
Interfaces manipulatrices interdites · étiquetage des publicités · pas de ciblage des mineurs par profilage
Risques, audit, amendes — articles 34, 37, 74
Évaluation annuelle des risques systémiques · audit indépendant · amendes jusqu'à 6 % du chiffre d'affaires mondial
Prêt à aligner votre place de marché sur le DSA ?
Le module de conformité UE de Zunapro intègre la vérification des professionnels KYBC, le traitement des notifications de l'article 16, des modèles d'exposé des motifs et un exportateur de rapports de transparence — le tout raccordé à votre stack de place de marché existante.
1. Règlement DSA 2022/2065 — applicable à tous les vendeurs depuis le 17 février 2024
Ce qu'est le DSA — et pourquoi il a remplacé la directive e-commerce
Le Digital Services Act — formellement règlement (UE) 2022/2065 du 19 octobre 2022, publié au JOUE L 277/1 le 27 octobre 2022 — est entré en vigueur le 16 novembre 2022, s'est appliqué aux VLOP/VLOSE désignées à partir du 25 août 2023 et est devenu pleinement applicable à tous les services intermédiaires le 17 février 2024. En tant que règlement (et non directive), il s'applique directement dans chaque État membre sans transposition. La logique de bouclier de responsabilité de la directive e-commerce 2000/31/CE subsiste aux articles 4 à 6, mais le DSA ajoute un ensemble d'obligations de diligence en couches, modulées selon le type et la taille du service.
Qui entre dans le champ d'application ?
Tout service intermédiaire proposé à des destinataires dans l'Union entre dans le champ d'application, quel que soit le lieu d'établissement du fournisseur (article 2, paragraphe 1). Le DSA définit quatre catégories qui se recoupent : les services intermédiaires (simple transport, mise en cache, hébergement), les services d'hébergement (stockage à la demande de l'utilisateur), les plateformes en ligne (hébergement + diffusion publique — toute place de marché, réseau social, magasin d'applications) et les VLOP/VLOSE désignées par la Commission au-delà du seuil de 45 M d'utilisateurs mensuels dans l'UE (article 33).
Le modèle d'obligations en couches
Chaque couche ajoute des obligations à celles de la précédente. Une petite place de marché de plugins WordPress desservant 10 000 utilisateurs de l'UE remplit les conditions de l'exemption PME de l'article 19 ; Amazon Marketplace, VLOP désignée, se situe au sommet avec l'ensemble complet des obligations. Les intermédiaires hors UE doivent en outre désigner un représentant légal dans un État membre au titre de l'article 13 du DSA — solidairement responsable avec le fournisseur des décisions, amendes et demandes d'information relevant du DSA.
💡 Lisez le guide complet de cartographie du champ DSA
Arbre de décision PME vs plateforme vs VLOP, règles du pays d'établissement, modèles de représentant légal et questionnaire d'auto-classification.
2. Très grandes plateformes en ligne (VLOP) — le seuil des 45 M+ d'utilisateurs
Qu'est-ce qui rend une plateforme « très grande » ?
L'article 33 du DSA définit une VLOP comme une plateforme en ligne comptant au moins 45 millions de destinataires actifs mensuels moyens dans l'Union, calculés sur une moyenne de six mois. Le même seuil s'applique aux VLOSE. La notion de « destinataire actif » couvre toute personne ayant interagi avec le service au moins une fois — y compris les visiteurs non enregistrés. L'article 24, paragraphe 2, impose à toute plateforme en ligne de publier ses chiffres de destinataires actifs tous les six mois, donnant à la Commission les données nécessaires à la désignation.
Les premières vagues de désignation
La Commission a publié la première liste de VLOP/VLOSE le 25 avril 2023, désignant 17 VLOP et 2 VLOSE. Les désignations pertinentes pour l'e-commerce comprennent Amazon Store, AliExpress, Booking.com, Zalando, Google Shopping, Apple App Store, Google Play, et la vague de 2024 a ajouté Shein et Temu — toutes deux sous enquête formelle du DSA en 2025-2026. La liste totale a dépassé 25+ services à la mi-2026. Chaque nouvelle désignation ouvre à la plateforme une fenêtre d'intégration de quatre mois pour se conformer à l'ensemble complet des obligations VLOP.
Obligations renforcées pour les VLOP
Les VLOP sont soumises à un ensemble d'obligations renforcées venant s'ajouter aux obligations générales des plateformes en ligne :
- Article 34 — évaluation annuelle des risques systémiques (contenus illicites, droits fondamentaux, débat civique, santé publique et mineurs)
- Article 35 — mesures d'atténuation proportionnées, efficaces et raisonnables
- Article 36 — mécanisme de réponse aux crises (l'invasion de l'Ukraine par la Russie a déclenché le premier protocole de crise)
- Article 37 — audit annuel indépendant réalisé par une organisation externe
- Article 38 — possibilité pour les utilisateurs de désactiver le profilage des systèmes de recommandation
- Article 39 — registre publicitaire public et lisible par machine pendant au moins 12 mois
- Article 40 — accès aux données pour les chercheurs agréés et les coordinateurs pour les services numériques
- Article 41 — fonction de conformité indépendante rendant compte à l'organe de direction
- Article 42 — rapports de transparence étendus tous les six mois
- Article 43 — redevance de surveillance versée à la Commission (plafonnée à 0,05 % du revenu annuel net)
Effet de seuil pour les places de marché en forte croissance : si vous franchissez les 45 M d'utilisateurs actifs mensuels dans l'UE, la Commission peut vous désigner en quelques mois. Construire le dispositif de contrôle VLOP avant la désignation — rapport de transparence, registre publicitaire, désactivation du système de recommandation — coûte bien moins cher que de le rajouter dans un délai de quatre mois. Évaluation de préparation pré-VLOP →
3. Transparence des professionnels — KYBC pour les places de marché en ligne
Article 30 — le cœur de la conformité DSA des places de marché
L'article 30 du DSA introduit ce que les praticiens appellent le KYBC — Know Your Business Customer. Toute plateforme en ligne qui permet aux consommateurs de conclure des contrats à distance avec des professionnels doit obtenir, vérifier et publier les informations essentielles sur le professionnel avant de l'autoriser à proposer des produits. C'est la place de marché, et non le professionnel, qui porte l'obligation. L'ensemble fermé de données inclut le nom, l'adresse, le téléphone, l'e-mail du professionnel ; une copie du document d'identification ou de l'identité électronique au titre du règlement eIDAS 910/2014 ; les coordonnées du compte de paiement ; l'inscription au registre du commerce (HRB en DE, CCI en FR, KRS en PL) ; et une auto-certification de conformité en matière de sécurité des produits / de protection des consommateurs.
Vérification « au mieux »
L'article 30, paragraphe 2, exige une vérification « au mieux » par rapport à toute base de données officielle en ligne librement accessible. Les deux que la Commission attend de chaque place de marché européenne sont VIES — VAT Information Exchange System (validation en temps réel de la TVA de l'UE) et les registres du commerce nationaux (Handelsregister DE, Registre du commerce FR, KRS PL, Registro Mercantil ES, Registro Imprese IT) accessibles directement ou via le système d'interconnexion des registres du commerce (BRIS) de l'UE. Si les données ne peuvent être vérifiées, la place de marché doit en demander la correction ; si le professionnel n'y donne pas suite, la place de marché doit suspendre ses services (article 30, paragraphe 3). Les données vérifiées doivent être publiées sur une page « profil du professionnel » accessible depuis chaque annonce de produit (article 30, paragraphe 7).
Contrôle par échantillonnage aléatoire pour détecter les contrefaçons — article 31
L'article 31 du DSA ajoute que les places de marché doivent, à intervalles aléatoires, vérifier si des annonces ont été signalées dans des bases de données officielles lisibles par machine — au premier chef le système d'alerte rapide Safety Gate de la Commission pour les produits non alimentaires dangereux et les bases nationales d'application des DPI. Les correspondances doivent être retirées et le professionnel notifié.
📘 Lisez le guide complet de mise en œuvre du KYBC
Formulaires de collecte de données de l'article 30, schémas d'intégration VIES + BRIS, flux de suspension, modèles de page « profil du professionnel » et conception du cron Safety Gate de l'article 31.
4. Procédures de retrait des contenus illicites
Le bouclier de responsabilité subsiste — sous conditions
Les articles 4 à 6 du DSA reproduisent le bouclier de responsabilité de la directive e-commerce : les hébergeurs ne sont pas responsables des contenus stockés à condition de ne pas avoir connaissance effective de l'activité illicite et, dès notification, d'agir promptement pour retirer le contenu ou en bloquer l'accès. Le DSA superpose à ce bouclier un corpus de règles procédurales.
« Manifestement illicite » vs cas complexes
Le considérant 53 distingue les contenus manifestement illicites (contenus terroristes au titre du règlement 2021/784, pédopornographie, contrefaçons évidentes, illégalité tranchée par un tribunal) — attente : retrait en quelques heures ; le règlement TCO impose 1 heure à compter d'une injonction d'une autorité — des cas complexes ou contestés (violation présumée du droit d'auteur, diffamation, discours haineux contextuel) qui nécessitent un examen humain diligent.
Injonctions des autorités — articles 9 et 10
Les autorités nationales peuvent émettre deux types d'injonctions : les injonctions d'agir de l'article 9 contre des contenus illicites (doivent préciser la base juridique, l'URL exacte, la portée territoriale motivée, les informations sur les recours) et les injonctions de fournir des informations de l'article 10 sur des destinataires spécifiques. L'intermédiaire doit répondre sans retard injustifié et informer l'autorité émettrice de l'action entreprise. Les injonctions transfrontalières sont transmises via le réseau des DSC.
Signaleurs de confiance — article 22
Les DSC nationaux accordent le statut de signaleur de confiance à des organisations disposant d'une expertise avérée (INHOPE pour la pédopornographie, REACT pour la contrefaçon de DPI, organismes nationaux de protection des consommateurs pour les produits dangereux). Leurs notifications doivent être traitées en priorité et sans retard injustifié (article 22, paragraphe 1). Les places de marché qui échouent régulièrement à traiter les notifications de signaleurs de confiance s'exposent à un contrôle renforcé des DSC.
5. Mécanismes de notification et d'action
Article 16 — la cheville ouvrière opérationnelle
L'article 16 du DSA impose à tout hébergeur de mettre en place des mécanismes électroniques faciles d'accès et conviviaux permettant à quiconque de signaler des éléments spécifiques de contenus présumés illicites. Une notification conforme doit contenir une explication étayée des raisons pour lesquelles le contenu est illicite, la ou les URL exactes, le nom et l'e-mail du notifiant (avec des exceptions limitées pour la pédopornographie) et une déclaration de bonne foi quant à l'exactitude. Le fournisseur doit accuser réception sans retard injustifié, prendre une décision en temps utile, diligente, non arbitraire et objective, et indiquer où la décision a été automatisée (article 16, paragraphe 6).
Exposé des motifs — article 17
Lorsqu'un fournisseur restreint la visibilité, démonétise, suspend ou résilie un élément ou un compte d'utilisateur, l'article 17 exige un exposé des motifs clair et précis couvrant : la nature de la restriction ; les faits et circonstances invoqués ; le fondement juridique ou la clause des CG invoquée ; et les possibilités de recours (réclamation interne de l'article 20, règlement extrajudiciaire de l'article 21, recours juridictionnel). Chaque exposé doit également être soumis à la base de données de transparence du DSA gérée par la Commission — un référentiel public consultable qui a enregistré plus de 30 milliards d'exposés des motifs à la mi-2026.
Réclamation interne et règlement extrajudiciaire
L'article 20 impose aux plateformes en ligne de maintenir un système gratuit et facile d'accès de traitement interne des réclamations pendant au moins six mois après la décision, tranché sous supervision humaine. L'article 21 ouvre ensuite la voie à des organes certifiés de règlement extrajudiciaire des litiges ; la plateforme doit s'y engager de bonne foi.
📨 Lisez le playbook complet de notification et action
Schéma de formulaire web de l'article 16, triage automatisé avec files prioritaires de l'article 22, modèles d'exposé des motifs de l'article 17 et schémas d'API de soumission à la base de données de transparence.
6. Dark patterns interdits — article 25
Ce qu'interdit l'article 25
Article 25 du DSA : « Les fournisseurs de plateformes en ligne ne conçoivent, n'organisent ni n'exploitent leurs interfaces en ligne de manière à tromper ou à manipuler les destinataires de leur service ou d'une manière qui, d'une autre façon, altère ou compromet substantiellement la capacité des destinataires de leur service à prendre des décisions libres et éclairées. » C'est la première interdiction horizontale codifiée des dark patterns par l'UE. Exemples concrets du considérant 67 : de gros boutons « Tout accepter » associés à de minuscules liens « Refuser », des invites répétées lors d'une désinscription, des parcours asymétriques annulation/inscription, des cases précochées, de faux comptes à rebours et le confirmshaming.
Chevauchement avec l'UCPD et le RGPD
L'article 25, paragraphe 2, s'applique sans préjudice de la directive sur les pratiques commerciales déloyales 2005/29/CE (UCPD) et du RGPD. Un même dark pattern peut déclencher trois actions parallèles : par le DSC au titre du DSA, par l'autorité nationale de protection des consommateurs au titre de l'UCPD et par la DPA au titre de l'article 7 du RGPD pour les schémas liés au consentement. Les lignes directrices EDPB 03/2022 sur la conception trompeuse restent le texte de référence pour le chevauchement avec la protection des données.
Ce que les places de marché devraient auditer en premier
- Bandeau cookies — opt-in/opt-out symétriques, sans cases précochées
- Parcours d'annulation — même nombre de clics que l'inscription
- Ventes additionnelles de la place de marché — pas de faux comptes à rebours, pas d'allégations invérifiables « X personnes regardent »
- Retours et remboursements — même proéminence que la confirmation de commande
- Clôture de compte — accessible dans les paramètres, sans dédales de téléphone ou de chatbot
7. Transparence de la publicité en ligne — articles 26 et 39
Article 26 — l'obligation universelle d'étiquetage des publicités
L'article 26 du DSA impose à toute plateforme en ligne de faire en sorte que, pour chaque publicité, le destinataire puisse identifier de manière claire, concise et non ambiguë : (a) que l'information est une publicité (étiquette visible, éventuellement normalisée par acte de la Commission) ; (b) la personne physique ou morale pour le compte de laquelle la publicité est diffusée ; (c) la personne qui a payé la publicité si elle est différente ; (d) des informations utiles sur les principaux paramètres utilisés pour cibler le destinataire et sur la façon de les modifier. Le considérant 68 précise que les étiquettes doivent survivre à toute fenêtre d'affichage — pas de mention « sponsorisé » cachée révélée seulement après un clic.
Article 28 — protection des mineurs
L'article 28, paragraphe 2, du DSA interdit aux fournisseurs de présenter des publicités fondées sur le profilage (article 4, point 4), du RGPD) lorsqu'ils savent avec une certitude raisonnable que le destinataire est un mineur. Les places de marché disposant de comptes soumis à une vérification d'âge (jouets, fournitures scolaires, jeux vidéo) ont besoin d'une règle technique claire qui désactive le profilage pour les comptes de moins de 18 ans.
Article 26, paragraphe 3 — pas de profilage sur les données sensibles
L'article 26, paragraphe 3, interdit les publicités fondées sur le profilage utilisant des catégories particulières de données au sens de l'article 9, paragraphe 1, du RGPD (origine raciale, opinions politiques, religion, santé, vie sexuelle, orientation sexuelle, données biométriques, appartenance syndicale). Cela s'applique à toutes les plateformes en ligne, pas seulement aux VLOP.
Article 39 — registre publicitaire des VLOP
L'article 39 du DSA impose à toute VLOP de tenir un registre publicitaire public, consultable et lisible par machine couvrant toute la période d'affichage et jusqu'à un an après la dernière diffusion de la publicité — contenu de la publicité, identité de l'annonceur, période d'affichage, portée totale par État membre et paramètres de ciblage, avec un accès par API pour les chercheurs. La conclusion préliminaire de la Commission concernant X (Twitter) en juillet 2024 a explicitement cité des lacunes du registre publicitaire de l'article 39. Pour les places de marché proposant des produits d'annonces sponsorisées natifs, le registre de l'article 39 est l'élément le plus visible de la plomberie VLOP.
8. Exigences d'évaluation des risques pour les VLOP
Article 34 — les quatre catégories de risques
L'article 34 du DSA oblige chaque VLOP/VLOSE à recenser, analyser et évaluer avec diligence les risques systémiques découlant de la conception et du fonctionnement de leur service, au moins une fois par an et avant le déploiement de fonctionnalités susceptibles d'avoir une incidence critique. Quatre catégories sont obligatoires : (a) la diffusion de contenus illicites ; (b) les effets sur les droits fondamentaux (dignité, vie privée, protection des données, liberté d'expression, non-discrimination, droits de l'enfant, protection des consommateurs) ; (c) les effets sur le débat civique, les processus électoraux et la sécurité publique ; (d) les effets sur les violences fondées sur le genre, la santé publique, les mineurs et le bien-être physique et mental.
Mesures d'atténuation — article 35
L'article 35 exige des mesures d'atténuation raisonnables, proportionnées et efficaces adaptées aux risques identifiés — adaptation des systèmes de recommandation, démonétisation de catégories de contenus, resserrement du ciblage publicitaire, renforcement de la modération, approfondissement de la coopération avec les signaleurs de confiance. Le plan d'atténuation doit être documenté, réexaminé chaque année et partagé avec la Commission et le DSC d'établissement.
Audit indépendant — article 37
L'article 37 exige que chaque VLOP/VLOSE se soumette, à ses propres frais et au moins une fois par an, à des audits indépendants de conformité au chapitre III et aux engagements pris au titre des codes de conduite (articles 45 à 47). L'auditeur doit être exempt de conflit d'intérêts (aucune activité de conseil sur le même périmètre au cours des 12 mois précédents) et produire une opinion d'audit — positive, positive avec commentaires ou négative. Tout résultat autre qu'une opinion positive nette déclenche un rapport de mise en œuvre de l'audit exposant les mesures correctives.
Réponse aux crises — article 36
La Commission peut, sur recommandation du Comité, exiger des VLOP qu'elles appliquent des mesures spécifiques de réponse aux crises en cas de circonstance extraordinaire menaçant la sécurité publique ou la santé publique de l'UE. Le premier protocole de crise a été activé après l'invasion de l'Ukraine par la Russie en 2022 ; le conflit Israël-Hamas d'octobre 2023 a donné lieu à des courriers de la Commission à plusieurs VLOP invoquant les articles 34 à 36.
9. Amendes jusqu'à 6 % du chiffre d'affaires mondial
Le cadre des sanctions — article 74
L'article 74 du DSA habilite les États membres — et la Commission pour les VLOP — à infliger trois types de sanctions : des amendes jusqu'à 6 % du chiffre d'affaires annuel mondial pour les manquements de fond ; des amendes jusqu'à 1 % pour informations incorrectes ou trompeuses, absence de réponse ou refus d'inspection ; et des astreintes jusqu'à 5 % du chiffre d'affaires quotidien mondial moyen par jour jusqu'à la fin de l'infraction. Pour un hyperscaler affichant plus de 200 Md$ de chiffre d'affaires mondial, une astreinte quotidienne de 5 % représente des dizaines de millions d'euros par jour — conçue pour forcer une remédiation rapide.
Bilan de l'application par la Commission 2024-2026
- X (anciennement Twitter) — procédure ouverte en déc. 2023 ; conclusions préliminaires en juillet 2024 sur la tromperie liée à la coche bleue (art. 25), le registre publicitaire (art. 39), l'accès des chercheurs (art. 40)
- TikTok — procédure ouverte en févr. 2024 sur la protection des mineurs (art. 28), le registre publicitaire, l'accès des chercheurs, l'évaluation des risques
- Meta (Facebook, Instagram) — procédure ouverte en avril 2024 sur la publicité trompeuse, la transparence des publicités politiques, les lacunes du mécanisme de réclamation
- AliExpress — procédure ouverte en mars 2024 sur le risque de produits illicites (art. 34), la transparence publicitaire, l'accès des chercheurs, la traçabilité des produits
- Temu, Shein — procédures ouvertes en 2024-2025 sur les produits illicites, la conception addictive, le risque pour la protection des consommateurs
Application par les DSC nationaux
Les DSC nationaux gèrent l'application au quotidien à l'encontre des non-VLOP : ARCOM (France) sur les manquements aux notifications de l'article 16, BNetzA (Allemagne) sur les lacunes du KYBC de l'article 30, AGCOM (Italie) sur la qualité des exposés des motifs de l'article 17, Coimisiún na Meán (Irlande) coordonnant les affaires proches des VLOP pour les fournisseurs à siège américain établis à Dublin.
🛡️ Lisez la liste de surveillance de l'application du DSA
Suivi trimestriel de chaque procédure formelle, conclusion préliminaire et amende — avec les obligations citées et les mesures correctives imposées. Plus une checklist d'auto-évaluation pour les plateformes PME.
10. Checklist pratique DSA e-commerce 2026
Le socle universel (tout intermédiaire, articles 11 à 17)
- Art. 11 contact autorité + art. 12 contact destinataire — canaux publiés distincts
- Art. 13 représentant légal dans l'UE — fournisseurs hors UE uniquement ; nommé sur le site
- Art. 14 transparence des CG — langage clair ; résumé adapté aux enfants si des mineurs peuvent y accéder
- Art. 15 rapport de transparence — annuel, lisible par machine ; injonctions, notifications, modération d'initiative, réclamations
- Art. 16 notification-action — formulaire électronique facile ; accusé de réception ; divulgation des décisions automatisées
- Art. 17 exposé des motifs — couvre la visibilité, la monétisation, les restrictions de compte/de contenu ; soumission à la base de transparence
Couche plateforme en ligne (ajouter les articles 19 à 28 sauf exemption PME)
- Art. 19 auto-classification PME ; art. 20 traitement interne des réclamations (6 mois, gratuit, supervisé par un humain)
- Art. 21 règlement extrajudiciaire des litiges ; art. 22 file prioritaire des signaleurs de confiance
- Art. 23 mesures contre les usages abusifs — politique de suspension publiée pour les infracteurs récidivistes et les notifiants abusifs
- Art. 24 rapports de transparence semestriels avec la métrique des destinataires actifs
- Art. 25 audit des dark patterns ; art. 26 étiquetage et paramètres publicitaires ; art. 28 protection des mineurs (pas de publicités fondées sur le profilage)
Couche spécifique aux places de marché (articles 30 à 32)
- Art. 30 KYBC — collecter, vérifier (VIES + registre), publier, suspendre les professionnels non conformes
- Art. 31 — échantillonnage aléatoire Safety Gate + DPI ; art. 32 — notification directe aux acheteurs lorsqu'un produit dangereux est parvenu à des clients au cours des 6 derniers mois
Couche VLOP (articles 33 à 43, uniquement au-delà de 45 M d'utilisateurs actifs mensuels dans l'UE)
- Art. 34 évaluation des risques + art. 35 atténuation + art. 37 audit annuel indépendant
- Art. 38 désactivation du système de recommandation ; art. 39 registre publicitaire (conservation 12 mois) ; art. 40 accès des chercheurs aux données
- Art. 41 fonction de conformité indépendante ; art. 42 rapports semestriels renforcés ; art. 43 redevance de surveillance (≤ 0,05 % du revenu net)
Cadre juridique 2026 — le règlement 2022/2065 en contexte
DSA, DMA et l'effet Bruxelles
Le DSA n'est pas isolé. Le Digital Markets Act — règlement (UE) 2022/1925 — publié au JOUE L 265/1 le 12 octobre 2022 — est entré en application le 2 mai 2023 et complète le DSA en ciblant les contrôleurs d'accès avec des obligations ex ante sur les services de plateforme essentiels. En 2026, les contrôleurs d'accès désignés sont Alphabet, Amazon, Apple, Booking, ByteDance, Meta et Microsoft ; chacun a été désigné avec des services de plateforme essentiels spécifiques dans le champ (p. ex. Amazon Marketplace, Apple App Store, Google Search). Les deux règlements forment ensemble la « constitution numérique » de l'UE pour les services en ligne.
Règlements connexes que les places de marché doivent croiser
- RGPD — règlement (UE) 2016/679 — supervisé par les autorités nationales de protection des données et coordonné par l'EDPB ; chevauche les articles 26 à 28 du DSA sur le profilage et le consentement
- Directive vie privée et communications électroniques 2002/58/CE — cookies et communications électroniques ; toujours applicable en attendant le règlement e-Privacy
- UCPD — directive 2005/29/CE — pratiques commerciales déloyales ; outil principal contre les communications commerciales trompeuses, chevauche l'article 25 sur les dark patterns
- Directive relative aux droits des consommateurs 2011/83/UE — droit de rétractation de 14 jours, information précontractuelle, modèle de formulaire de rétractation
- Directive Omnibus 2019/2161 — protection modernisée des consommateurs, transparence des places de marché, divulgation du classement payant (pertinente pour la transparence des systèmes de recommandation de l'article 27 du DSA)
- Règlement sur la sécurité générale des produits 2023/988 — applicable à partir du 13 décembre 2024 ; les places de marché en ligne ont des obligations spécifiques de traçabilité et de notification
- Règlement TCO 2021/784 — contenus terroristes en ligne ; retrait en 1 heure sur injonction d'une autorité
- Règlement eIDAS 910/2014 (révisé par 2024/1183) — identification électronique ; source de la référence au document d'identification de l'article 30 du DSA
Autorités des États membres
Chaque État membre a désigné un coordinateur pour les services numériques. Parmi les exemples rencontrés par les places de marché en ligne en 2026 :
| Pays | Autorité DSC | Portée en 2026 dans l'application |
|---|---|---|
| Allemagne | Bundesnetzagentur (BNetzA) | KYBC, places de marché e-commerce |
| France | ARCOM | Notification-action, protection des mineurs |
| Italie | AGCOM | Exposé des motifs, transparence publicitaire |
| Espagne | CNMC | KYBC des places de marché, transparence des systèmes de recommandation |
| Irlande | Coimisiún na Meán | Coordination proche des VLOP (nombreux fournisseurs américains) |
| Pays-Bas | ACM | Affaires transfrontalières de places de marché |
| Pologne | UKE (Office des communications électroniques) | DSC national ; proche d'Allegro |
La conformité n'est pas facultative en 2026. La Commission est passée du dialogue préparatoire (2023) aux procédures formelles (2024), aux conclusions préliminaires (2024-2025), puis désormais aux premières amendes (2026). Zunapro regroupe un pack de conformité DSA — moteur KYBC, gestionnaire de notifications de l'article 16, modèles d'exposé des motifs de l'article 17 et exportateur pour la base de données de transparence — aux côtés des intégrations de places de marché. Voir le pack de conformité DSA →
Comment devenir conforme au DSA — étape par étape en 2026
1. Classez votre service
- Intermédiaire / hébergement / plateforme en ligne / VLOP — travaillez à partir des définitions de l'article 3
- Art. 19 exemption PME — < 50 salariés et < 10 M€ de chiffre d'affaires, et non désigné VLOP
- Proche de 45 M d'utilisateurs actifs mensuels dans l'UE ? — la préparation pré-VLOP devient urgente
2. Désignez les contacts obligatoires
- Art. 11 contact autorité + art. 12 contact destinataire — canaux publiés distincts
- Art. 13 représentant légal dans l'UE — fournisseurs hors UE uniquement ; contrat contraignant ; nommé sur le site
3. Publiez la couche de transparence
- Divulgations des CG de l'art. 14 (règles de modération, recours, usage de décisions algorithmiques)
- Art. 15 rapport de transparence annuel ; chiffre des destinataires actifs de l'art. 24, paragraphe 2 actualisé tous les six mois
4. Mettez en place la notification-action et l'exposé des motifs
- Déployez un formulaire web art. 16 avec le schéma à quatre champs ; triage (manifestement illicite vs complexe ; priorité aux signaleurs de confiance)
- Générez des exposés art. 17 pour chaque décision restrictive ; soumettez-les à la base de données de transparence de la Commission via l'API publique
5. Construisez le flux KYBC (places de marché)
- Collectez l'ensemble fermé de données de l'art. 30, paragraphe 1, à l'intégration du professionnel ; validez la TVA via VIES et le registre via BRIS
- Cycle de re-vérification tous les 30 jours ; publiez une page « profil du professionnel » depuis chaque annonce ; activez l'échantillonnage Safety Gate + DPI de l'art. 31
6. Connectez-vous via Zunapro (intégration en 10 minutes)
- Connectez-vous à Zunapro et ouvrez le module Europe / DSA
- Choisissez votre profil de rôle — PME, plateforme en ligne, place de marché, pré-VLOP
- Connectez les sources d'identité — VIES, BRIS, eIDAS, Safety Gate
- Activez l'ingestion des notifications et les métadonnées publicitaires — de simples interrupteurs par canal
- Passez en production — le premier rapport de transparence se génère en un cycle
Centralisez votre conformité DSA dans un seul panneau UE
Les articles 11 à 43 mis en correspondance avec des modules prêts à déployer — KYBC, ingestion des notifications, modèles d'exposé des motifs, soumission à la base de données de transparence, registre publicitaire (VLOP) et API chercheurs (VLOP). Un seul panneau, une seule piste d'audit, chaque État membre.
Activer la conformité DSA →FAQ Digital Services Act 2026
Quand le Digital Services Act s'applique-t-il aux vendeurs en ligne ?
Le règlement (UE) 2022/2065 — le Digital Services Act — est entré en vigueur le 16 novembre 2022 et est devenu pleinement applicable à tous les services intermédiaires dans l'UE le 17 février 2024. Les très grandes plateformes en ligne (VLOP) et les très grands moteurs de recherche en ligne (VLOSE) désignés sont soumis aux obligations renforcées depuis le 25 août 2023.
Toute place de marché, tout service d'hébergement ou tout intermédiaire qui cible des utilisateurs de l'UE — quel que soit le lieu d'établissement du fournisseur — relève du champ d'application depuis le 17 février 2024. Les fournisseurs hors UE doivent désigner un représentant légal au titre de l'article 13 dans un État membre.
Qu'est-ce qu'une très grande plateforme en ligne (VLOP) au sens du DSA ?
Une très grande plateforme en ligne (VLOP) est une plateforme en ligne comptant plus de 45 millions de destinataires actifs mensuels moyens dans l'UE, officiellement désignée comme telle par la Commission européenne au titre de l'article 33 du DSA. La première vague (avril 2023) a désigné 17 VLOP et 2 VLOSE, dont Amazon Store, AliExpress, Booking.com, Zalando, Google Shopping, Apple App Store et Google Play.
Les VLOP sont soumises à des obligations plus strictes : évaluations annuelles des risques systémiques (article 34), audits indépendants (article 37), réponse aux crises (article 36), accès aux données pour les chercheurs (article 40), registre publicitaire public (article 39) et une redevance de surveillance de 0,05 % versée à la Commission européenne.
Que signifie la transparence des professionnels (KYC) pour les places de marché en ligne ?
L'article 30 du DSA — connu sous le nom d'obligation « Know Your Business Customer » (KYBC) — impose à toute place de marché en ligne qui permet aux consommateurs de conclure des contrats à distance avec des professionnels de vérifier et publier les informations essentielles sur le professionnel avant de l'autoriser à utiliser la plateforme.
Les données requises comprennent la dénomination légale, le numéro d'immatriculation au registre du commerce, l'identifiant de TVA, l'adresse, le téléphone, l'e-mail, les coordonnées du compte de paiement et une auto-certification de conformité à la législation de l'UE sur la sécurité des produits. Les places de marché doivent faire de « leur mieux » pour vérifier ces données via des sources fiables (VIES, registres du commerce nationaux via BRIS) et suspendre les professionnels qui ne s'y conforment pas.
Dans quel délai les contenus illicites doivent-ils être retirés en vertu du DSA ?
Le DSA n'impose pas de délai de retrait légal unique, mais l'article 16 exige que les hébergeurs agissent « en temps utile, de manière diligente, non arbitraire et objective » dès réception d'une notification suffisamment étayée. Le règlement TCO 2021/784 exige séparément une action dans un délai d'1 heure pour les contenus terroristes sur injonction d'une autorité.
Dans la pratique, les contenus manifestement illicites (pédopornographie, contenus terroristes, contrefaçons évidentes) doivent être retirés en quelques heures ; les cas complexes (violation présumée du droit d'auteur, diffamation) nécessitent un examen humain en quelques jours. Les signaleurs de confiance (article 22) sont prioritaires — leurs notifications doivent être traitées sans retard injustifié et avant les notifications ordinaires.
Qu'est-ce qu'un mécanisme de notification et d'action ?
L'article 16 du DSA impose à tout hébergeur — y compris les places de marché en ligne — de mettre en place un mécanisme électronique de notification et d'action facile d'accès et convivial permettant à toute personne physique ou morale de signaler des éléments spécifiques de contenus présumés illicites. La notification doit contenir une explication des raisons pour lesquelles le contenu est illicite, l'URL/l'emplacement précis, les coordonnées du notifiant et une déclaration de bonne foi quant à son exactitude.
Les fournisseurs doivent accuser réception sans retard injustifié, prendre une décision en temps utile, communiquer la décision motivée au titre de l'article 17 (exposé des motifs) et informer l'utilisateur des voies de recours, y compris le traitement interne des réclamations (article 20) et le règlement extrajudiciaire des litiges (article 21).
Quels dark patterns sont interdits par le DSA ?
L'article 25 du DSA interdit aux plateformes en ligne de concevoir, d'organiser ou d'exploiter leurs interfaces d'une manière qui trompe ou manipule les destinataires ou qui altère ou compromet substantiellement leur capacité à prendre des décisions libres et éclairées.
Parmi les exemples cités par la Commission et les lignes directrices EDPB 03/2022 figurent : des boutons visuellement proéminents pour une option contre de minuscules liens pour l'option inverse, des invites répétées visant à revenir sur une désinscription, des activations par défaut du partage de données, de faux comptes à rebours et des parcours d'annulation déroutants. Le DSA complète les règles existantes de la directive sur les pratiques commerciales déloyales (UCPD) et s'applique même lorsque le dark pattern n'enfreint pas le RGPD.
Quelle transparence publicitaire le DSA exige-t-il ?
L'article 26 du DSA impose à toute plateforme en ligne d'étiqueter clairement chaque publicité, d'identifier la personne physique ou morale pour le compte de laquelle la publicité est diffusée, d'identifier la personne physique ou morale qui a payé la publicité (si elle est différente) et de divulguer les principaux paramètres utilisés pour cibler le destinataire concerné — y compris si un profilage au sens de l'article 4, point 4), du RGPD a été utilisé.
L'article 28 interdit les publicités ciblant les mineurs au moyen du profilage. L'article 39 impose une obligation supplémentaire aux VLOP : un registre publicitaire public et lisible par machine conservé pendant au moins un an après la dernière diffusion de la publicité, avec un accès par API pour les chercheurs.
Qu'est-ce qu'une évaluation des risques systémiques au titre du DSA ?
L'article 34 du DSA oblige chaque VLOP et VLOSE à évaluer, au moins une fois par an et avant le déploiement de nouvelles fonctionnalités importantes, les risques systémiques découlant de la conception, du fonctionnement et de l'utilisation de leur service.
Quatre catégories de risques sont obligatoires : (1) la diffusion de contenus illicites ; (2) les effets sur les droits fondamentaux (vie privée, liberté d'expression, non-discrimination, droits de l'enfant) ; (3) les effets sur le débat civique, les processus électoraux et la sécurité publique ; (4) les effets sur les violences fondées sur le genre, la santé publique, les mineurs et le bien-être physique et mental. L'article 35 exige des mesures d'atténuation raisonnables, proportionnées et efficaces. Des auditeurs indépendants au titre de l'article 37 vérifient à la fois l'évaluation et les mesures d'atténuation.
À combien s'élèvent les amendes prévues par le DSA ?
L'article 74 du DSA habilite le coordinateur pour les services numériques (ou la Commission européenne pour les VLOP) à infliger des amendes pouvant atteindre 6 % du chiffre d'affaires annuel mondial du fournisseur en cas de manquement à des obligations de fond. Des astreintes pouvant atteindre 5 % du chiffre d'affaires quotidien mondial moyen peuvent être imposées en cas de non-conformité persistante. Le fait de ne pas fournir des informations correctes entraîne des amendes pouvant atteindre 1 % du chiffre d'affaires mondial.
La Commission a déjà ouvert des procédures formelles contre plusieurs VLOP, dont X, TikTok, Meta, AliExpress, Temu et Shein ; X a reçu une conclusion préliminaire en juillet 2024 pour tromperie liée à la coche bleue, lacunes du registre publicitaire et blocages de l'accès des chercheurs aux données.
Le DSA s'applique-t-il aux petites places de marché et aux micro-entreprises ?
Oui — le DSA s'applique à tous les intermédiaires proposant des services dans l'UE, mais les obligations sont modulées selon la taille. L'article 19 exempte les micro et petites entreprises (moins de 50 salariés et 10 M€ de chiffre d'affaires) des obligations de « plateforme en ligne » les plus lourdes, telles que le traitement interne des réclamations (article 20), le règlement extrajudiciaire des litiges (article 21), les signaleurs de confiance (article 22), les mesures contre les usages abusifs (article 23) et le volet de traçabilité des professionnels de l'article 30.
Les obligations de base — points de contact (articles 11 et 12), représentants légaux pour les fournisseurs hors UE (article 13), transparence des conditions générales (article 14), notification et action (article 16) et exposés des motifs (article 17) — restent applicables à tous.
Comment le DSA s'articule-t-il avec le Digital Markets Act (DMA) ?
Le Digital Services Act (règlement 2022/2065) et le Digital Markets Act (règlement 2022/1925) forment un paquet réglementaire complémentaire. Le DSA régit la manière dont tous les intermédiaires traitent les contenus, la transparence et les droits des utilisateurs, indépendamment de leur pouvoir de marché. Le DMA impose des règles de concurrence ex ante à un ensemble plus restreint de « contrôleurs d'accès » — actuellement Alphabet, Amazon, Apple, Booking, ByteDance, Meta et Microsoft — qui contrôlent des « services de plateforme essentiels » tels que les places de marché, les magasins d'applications, les navigateurs, les moteurs de recherche et les services publicitaires.
Une place de marché e-commerce peut être à la fois une VLOP au sens du DSA et un contrôleur d'accès au sens du DMA (Amazon Marketplace est les deux) ; les équipes de conformité mènent généralement un programme unique et intégré couvrant les deux règlements et leur chevauchement avec le RGPD.
Qui fait appliquer le DSA dans chaque État membre ?
Chaque État membre de l'UE doit désigner un ou plusieurs coordinateurs pour les services numériques (DSC) — des régulateurs indépendants chargés de la supervision du DSA sur leur territoire. Parmi les exemples figurent l'ARCOM (France), la Bundesnetzagentur (Allemagne), l'AGCOM (Italie), la CNMC (Espagne), la Coimisiún na Meán (Irlande) et l'UKE (Pologne).
La Commission européenne supervise directement les VLOP et les VLOSE. Le Comité européen des services numériques — composé de tous les DSC et présidé par la Commission — coordonne l'application transfrontalière et règle les conflits de compétence. Pour le chevauchement avec la protection des données, le Comité européen de la protection des données (EDPB) et les autorités nationales coopèrent via les procédures de l'article 60 du RGPD.
Ai-je besoin d'un représentant légal dans l'UE ?
Si votre service est établi en dehors de l'UE mais proposé à des destinataires de l'UE, oui — l'article 13 du DSA vous impose de désigner un représentant légal établi dans l'un des États membres où vous proposez des services. Le représentant reçoit les décisions, amendes et demandes d'information relevant du DSA pour le compte du fournisseur et est solidairement responsable en cas de non-conformité.
Le représentant DSA est conceptuellement similaire au représentant de l'article 27 du RGPD, mais les deux rôles ne sont pas interchangeables. La plupart des vendeurs hors UE désignent deux représentants distincts ou un seul prestataire spécialisé offrant les deux services sous un même contrat.
Combien de temps prend l'intégration DSA avec Zunapro ?
Environ 10 minutes pour une configuration de base PME / plateforme en ligne — y compris les pages de contact des articles 11/12, l'audit des CG de l'article 14, le formulaire de notification de l'article 16 et les modèles d'exposé des motifs de l'article 17. La stack complète de place de marché avec le KYBC de l'article 30, la vérification VIES + BRIS et l'échantillonnage Safety Gate de l'article 31 se met généralement en place en un jour ouvré.
Pour les plateformes approchant le seuil des 45 M d'utilisateurs actifs mensuels dans l'UE, Zunapro pré-installe les modules VLOP — registre publicitaire, désactivation du système de recommandation, API chercheurs, modèles d'évaluation des risques prêts pour l'audit — afin qu'une désignation par la Commission puisse être intégrée dans le délai légal de 4 mois sans ingénierie en urgence.
Rendez votre place de marché conforme au DSA dans un seul panneau
Le règlement 2022/2065 mis en correspondance de bout en bout — vérification KYBC, notification-action, exposé des motifs, transparence publicitaire, modèles d'évaluation des risques et soumission à la base de données de transparence. Standard bleu et or de l'UE. Activez dès aujourd'hui.
🇪🇺 Activer la conformité DSA →Besoin d'aide ?
Service associé: E-Commerce