Règlement sur les services numériques : ce qu'il impose à votre entreprise, pas seulement aux grandes plateformes

Qui le DSA oblige

Le DSA s’applique aux services intermédiaires proposés aux destinataires établis dans l’Union européenne, quel que soit le lieu d’établissement du fournisseur. Le critère est le type de service, et non la taille de l’entreprise ou son chiffre d’affaires. Un indépendant qui gère un forum entre dans le champ d’application au même titre qu’une multinationale.

Ce qui varie avec la taille et la fonction, c’est le nombre d’obligations. Le règlement les organise en quatre niveaux cumulatifs, de sorte que chaque catégorie respecte ses propres obligations et toutes celles des niveaux précédents.

La plupart des entreprises espagnoles se situent au deuxième ou au troisième niveau sans le savoir.

Les obligations qui visent tout intermédiaire

Quatre devoirs s’appliquent à tous les fournisseurs, quelle que soit leur taille. Ce sont les plus négligés, car ils n’exigent pas de technologie mais de la diligence, et c’est précisément pour cela qu’une autorité les vérifie en premier.

Point de contact unique et représentant légal

Tout fournisseur doit désigner un point de contact unique et le publier de manière accessible, afin que les autorités comme les utilisateurs puissent s’adresser à lui. Un formulaire générique enfoui en bas de page ne suffit pas.

Si l’entreprise est située hors de l’Union européenne mais y propose des services, elle doit en outre désigner un représentant légal dans un État membre. Ce représentant peut être tenu responsable des manquements au règlement, ce qui en fait une décision lourde de conséquences, à ne pas prendre à la légère.

Conditions générales et rapports de transparence

Les conditions du service doivent expliquer clairement toute restriction imposée aux informations des utilisateurs, y compris les politiques de modération des contenus et les outils de prise de décision algorithmique utilisés. Une rédaction vague ne suffit plus.

S’y ajoute un rapport annuel public sur l’activité de modération, avec le nombre d’injonctions reçues des autorités et de réclamations traitées. Les micro et petites entreprises sont exemptées de ce rapport, première exemption notable du règlement.

Ce qui s’ajoute si vous hébergez des contenus de tiers

Les services d’hébergement doivent mettre en place le mécanisme de notification et d’action. Toute personne doit pouvoir signaler la présence d’un contenu présumé illicite par une voie électronique simple, et le fournisseur doit traiter ce signalement et statuer de manière diligente et non arbitraire.

Lorsqu’un contenu est retiré ou restreint, la personne concernée doit recevoir un exposé des motifs expliquant la décision et les voies de recours disponibles. Et si le fournisseur soupçonne une infraction pénale menaçant la vie ou la sécurité d’une personne, il doit en informer les autorités.

Ce qui s’ajoute si vous êtes une plateforme en ligne

Une plateforme en ligne est un service d’hébergement qui, en outre, diffuse au public les informations qu’il stocke. Les places de marché, les réseaux sociaux et les forums ouverts en font partie. Les obligations augmentent sensiblement.

• Un système interne de traitement des réclamations, gratuit et accessible pendant au moins six mois
• Le recours à des organes de règlement extrajudiciaire des litiges certifiés
• Le traitement prioritaire des notifications des signaleurs de confiance
• Des mesures contre l’utilisation abusive du service et contre les notifications manifestement infondées
• La transparence publicitaire, avec l’identification claire de chaque publicité et de son payeur
• L’interdiction des interfaces trompeuses et de la publicité fondée sur le profilage à partir de données sensibles ou ciblant des mineurs

C’est ici qu’apparaît l’exemption la plus importante. Les micro et petites entreprises sont dispensées de ces obligations propres aux plateformes en ligne, même si elles restent soumises à celles des intermédiaires et des hébergeurs. L’exemption tombe si l’entreprise grandit. Si vous exploitez une place de marché, le détail de la traçabilité des professionnels figure dans notre guide de la réglementation du commerce électronique en Espagne.

L’article 28 ajoute un devoir propre aux services accessibles aux mineurs : adopter des mesures proportionnées assurant un niveau élevé de protection de la vie privée, de sûreté et de sécurité. Ce que cela impose aujourd’hui, et ce qui peut venir avec la proposition européenne et une future loi organique espagnole, est développé dans la protection des mineurs dans l’environnement numérique.

Pourquoi personne ne peut encore vous sanctionner en Espagne

L’Espagne a désigné la Commission nationale des marchés et de la concurrence (CNMC) (en espagnol) comme coordinateur pour les services numériques en janvier 2024, mais la CNMC n’a aujourd’hui aucun pouvoir de sanction pour appliquer le DSA. La norme qui le lui conférait a été abrogée et la tentative de le rétablir a échoué au Parlement espagnol.

Il convient de bien comprendre ce que cela signifie. Le règlement est directement applicable et vos obligations existent depuis février 2024. Ce qui manque, c’est le bras exécutif national, et non l’obligation. La Commission européenne conserve une compétence exclusive sur les très grandes plateformes et a déjà engagé une procédure contre l’Espagne.

C’est le troisième cas consécutif du même schéma. On le retrouve avec la directive NIS2, non transposée, et avec le Cyber Resilience Act, dont le décret royal de désignation des autorités est toujours en cours d’élaboration. Une entreprise qui confond l’absence de superviseur avec l’absence d’obligation accumule des manquements documentés que quelqu’un examinera lorsque le superviseur existera.

Ce que signifie la désignation de ChatGPT, Reddit et Roblox

Le 31 août 2026, la Commission européenne a désigné (en anglais) ChatGPT comme très grand moteur de recherche en ligne, et Reddit et Roblox comme très grandes plateformes en ligne. Tous trois ont déclaré plus de 45 millions d’utilisateurs mensuels moyens dans l’Union européenne. Ils disposent de quatre mois pour se mettre en conformité, soit jusqu’en janvier 2027.

À partir de là, ils doivent évaluer et atténuer les risques systémiques de leurs services liés à la diffusion de contenus illicites, aux mineurs, au bien-être physique et mental, aux droits fondamentaux, aux processus électoraux et à la sécurité publique. Un audit indépendant annuel et l’ouverture de leurs systèmes algorithmiques aux chercheurs font partie du dispositif.

Pour votre entreprise, la désignation ne change rien directement. Elle montre en revanche où regarde la Commission, et que le seuil de 45 millions s’applique aussi à des services qui ne sont pas des réseaux sociaux classiques.