La deuxième séance de notre book club dédiée au Digital Services Act nous a permis de faire une lecture collective des articles 1 à 5.
Le Parlement européen a désigné la rapporteure du DSA. Il s’agit de Christel Schaldemose, une eurodéputée danoise du groupe S&D. La commission responsable du dossier législatif au Parlement européen est la commission IMCO (marché intérieur et protection des consommateurs). Deux groupes parlementaires ont publié une position détaillée : le Parti populaire européen, et les Verts. Le Contrôleur européen de la protection des données a également publié son avis.
Chapitre 1 : Dispositions générales
Article 1 : Objet et champ d’application
1.Le présent règlement établit les règles harmonisées applicables à la prestation de services intermédiaires au sein du marché intérieur. En particulier, il établit:
(a)un cadre pour l’exemption conditionnelle de responsabilité des fournisseurs de services intermédiaires;
(b)les règles relatives aux obligations spécifiques liées au devoir de diligence adaptées à certaines catégories données de fournisseurs de services intermédiaires;
(c)les règles relatives à la mise en œuvre et au contrôle de l’application du présent règlement, y compris en ce qui concerne la coopération et la coordination entre les autorités compétentes.
2.Le présent règlement vise à:
(a)contribuer au bon fonctionnement du marché intérieur des services intermédiaires;
(b)établir des règles uniformes pour un environnement en ligne sûr, prévisible et digne de confiance, dans lequel les droits fondamentaux consacrés par la Charte sont efficacement protégés.
3.Le présent règlement s’applique aux services intermédiaires fournis aux bénéficiaires du service dont le lieu d’établissement ou de résidence se situe dans l’Union, quel que soit le lieu d’établissement des fournisseurs de ces services.
4.Le présent règlement ne s’applique pas aux services qui ne sont pas des services intermédiaires ou aux exigences imposées au titre de tels services, que ces services soient ou non fournis par le biais d’un service intermédiaire.
5.Le présent règlement s’entend sans préjudice des règles établies par les actes suivants:
(a)la directive 2000/31/CE;
(b)la directive 2010/13/CE;
(c)le droit de l’Union sur le droit d’auteur et les droits voisins;
(d)le règlement (UE) …/… relatif à la prévention de la diffusion de contenus à caractère terroriste en ligne [une fois adopté];
(e)le règlement (UE) …/… relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale, et la directive (UE) …/… établissant des règles harmonisées concernant la désignation de représentants légaux aux fins de la collecte de preuves en matière pénale [une fois adoptés];
(f)le règlement (UE) 2019/1148;
(g)le règlement (UE) 2019/1150;
(h)le droit de l’Union en matière de protection des consommateurs et de sécurité des produits, notamment le règlement (UE) 2017/2394;
(i)le droit de l’Union en matière de protection des données à caractère personnel, en particulier le règlement (UE) 2016/679 et la directive 2002/58/CE.
Le paragraphe 3 donne des indications sur le champ d’application ratione materiæ et ratione loci.
Voir : considérant 8 (qui donne des indications complémentaires sur le champ d’application territorial.
Voir également : l’article 2 (d).
La France et l’Allemagne souhaitent aller plus loin sur l’extra-territorialité.
Le paragraphe 4 codifie la jurisprudence Uber de la CJUE (voir sa décision du 20 décembre 2017).
Voir : considérant 6.
Au sujet du paragraphe 5 : l’EDPS souhaite une modification du paragraphe 5 sous i) pour reprendre la terminologie de la directive e-commerce, en lien avec l’arrêt de la CJUE du 6 octobre 2020 dans l’affaire Quadrature du Net contre France (voir pt. 19 de l’avis de l’EDPS). En effet, l’article 1 (5) du DSA indique que les dispositions de ce projet de règlement s’entendent “sans préjudice” au RGPD, alors que l’article 1 (5) b) de la directive 2000 indique qu’elle n’est “pas applicable […] aux questions relatives aux services de la société de l’information couvertes par les directives 95/46/CE et 97/66/CE”.
Article 2 : Définitions
Aux fins du présent règlement, on entend par:
(a)«services de la société de l’information», des services au sens de l’article 1er, paragraphe 1, point b), de la directive (UE) 2015/1535;
(b)«bénéficiaire du service», toute personne morale ou physique utilisant le service intermédiaire concerné;
(c)«consommateur», toute personne physique agissant à des fins qui n’entrent pas dans le cadre de son activité commerciale, industrielle ou libérale;
(d)«fournir des services à l’intérieur de l’Union», permettre aux personnes physiques ou morales dans un ou plusieurs États membres d’utiliser les services du fournisseur de services de la société de l’information qui a un lien substantiel avec l’Union; un tel lien substantiel avec l’Union est réputé exister lorsque le fournisseur de services dispose d’un établissement dans l’Union; dans le cas contraire, l’appréciation d’un lien substantiel se fonde sur des critères factuels spécifiques, tels que:
–un nombre significatif d’utilisateurs dans un ou plusieurs États membres, ou;
–le ciblage des activités sur un ou plusieurs États membres.
(e)«professionnel», toute personne physique, ou toute personne morale, qu’elle soit publique ou privée, qui agit, y compris par l’intermédiaire d’une personne agissant en son nom ou pour son compte, aux fins qui entrent dans le cadre de son activité commerciale, industrielle, artisanale ou libérale;
(f)«service intermédiaire», un des services suivants:
–un service de «simple transport» consistant à transmettre, sur un réseau de communication, des informations fournies par un bénéficiaire du service ou à fournir un accès au réseau de communication;
–un service de «mise en cache» consistant à transmettre, sur un réseau de communication, des informations fournies par un bénéficiaire du service, impliquant le stockage automatique, intermédiaire et temporaire de cette information dans le seul but de rendre plus efficace la transmission ultérieure de l’information à la demande d’autres bénéficiaires;
–un service d’«hébergement» consistant à stocker des informations fournies par un bénéficiaire du service à la demande de ce dernier;
(g)«contenu illicite», toute information qui, en soi ou de par sa référence à une activité, y compris la vente de produits ou la prestation de services, n’est pas conforme au droit de l’Union ou au droit d’un État membre, quel qu’en soit l’objet précis ou la nature précise;
(h) «plateforme en ligne», tout fournisseur de service d’hébergement qui, à la demande d’un bénéficiaire du service, stocke et diffuse au public des informations, à moins que cette activité ne soit une caractéristique mineure et purement accessoire d’un autre service qui, pour des raisons objectives et techniques, ne peut être utilisée sans cet autre service, et pour autant que l’intégration de cette caractéristique à l’autre service ne soit pas un moyen de contourner l’applicabilité du présent règlement.
(i)«diffusion au public», le fait de mettre des informations à la disposition d’un nombre potentiellement illimité de tiers, à la demande du bénéficiaire du service ayant fourni ces informations;
(j)«contrat à distance», un contrat au sens de l’article 2, paragraphe 7, de la directive 2011/83/UE;
(k)«interface en ligne», tout logiciel, y compris un site internet ou une section de site internet, et des applications, notamment des applications mobiles;
(l)«coordinateur de l’État membre d’établissement pour les services numériques», le coordinateur pour les services numériques de l’État membre dans lequel le fournisseur d’un service intermédiaire est établi, ou dans lequel son représentant légal réside ou est établi;
(m)«coordinateur de l’État membre de destination pour les services numériques», le coordinateur pour les services numériques d’un État membre dans lequel le service intermédiaire est fourni;
(n)«publicité», les informations destinées à promouvoir le message d’une personne morale ou physique, qu’elles aient des visées commerciales ou non commerciales, et affichées par une plateforme en ligne sur son interface en ligne, moyennant rémunération, dans le but spécifique de promouvoir ces informations;
(o)«système de recommandation», un système entièrement ou partiellement automatisé utilisé par une plateforme en ligne pour suggérer dans son interface en ligne des informations spécifiques aux bénéficiaires du service, notamment à la suite d’une recherche lancée par le bénéficiaire ou en déterminant de toute autre manière l’ordre relatif d’importance des informations affichées;
(p)«modération des contenus», les activités entreprises par les fournisseurs de services intermédiaires destinées à détecter et à repérer les contenus illicites ou les informations incompatibles avec leurs conditions générales, fournis par les bénéficiaires du service, et à lutter contre ces contenus ou informations, y compris les mesures prises qui ont une incidence sur la disponibilité, la visibilité et l’accessibilité de ces contenus illicites ou informations, telles que leur rétrogradation, leur retrait ou le fait de les rendre inaccessibles, ou sur la capacité du bénéficiaire à fournir ces informations, telles que la suppression ou la suspension du compte d’un utilisateur;
(q)«conditions générales», toutes les conditions générales ou spécifications, quelle que soit leur dénomination ou leur forme, qui régissent la relation contractuelle entre le fournisseur de services intermédiaires et les bénéficiaires des services.
L’article 2 contient une liste de définitions.
La façon dont les articles 3, 4 et 5 sont rédigés fait penser que les services intermédiaires sont des services de la société de l’information. Mais ça n’est pas indiqué dans les définitions de l’article 2.
La définition à l’article 2 sous d) (« fournir des services à l’intérieur de l’Union ») peut être lue en lien avec le considérant 6 et l’article 1 (3) du DSA.
La définition de la notion de contenu illicite (art. 2 sous g))est complétée par le considérant 12. L’EDPS souhaite ajouter un rappel dans le considérant 12 un rappel aux droits et libertés fondamentaux.
Nous retrouvons dans la définition de la notion de plateforme en ligne (art. 2 sous h)) la codification de la jurisprudence Uber de la CJUE.
Au sujet de la définition de la notion de système de recommandation (art. 2 sous o)), l’EDPS a indiqué qu’un tel système ne fait pas que suggérer (voir pts. 71 à 77 de son avis). L’EDPS mentionne le fait que ces systèmes de recommandation consistent en des algorithmes qui peuvent constituer des risques de profilage et de micro-targeting. L’EDPS recommande au législateur européen de s’assurer que les systèmes de recommandation ne devraient pas, par défaut, être fondés sur du profilage / de la personnalisation individuelle (voir également : article 29 (1)).
Chapitre 2 : Responsabilité des fournisseurs de services intermédiaires
Voir : considérants 17, 19, 26 et 27.
Article 3 : Simple transport
1.En cas de fourniture d’un service de la société de l’information consistant à transmettre, sur un réseau de communication, des informations fournies par un bénéficiaire du service ou à fournir un accès au réseau de communication, le fournisseur de services n’est pas responsable des informations transmises, à condition que le fournisseur:
(a)ne soit pas à l’origine de la transmission;
(b)ne sélectionne pas le destinataire de la transmission, et;
(c)ne sélectionne et ne modifie pas les informations faisant l’objet de la transmission.
2.Les activités de transmission et de fourniture d’accès visées au paragraphe 1 englobent le stockage automatique, intermédiaire et transitoire des informations transmises, pour autant que ce stockage serve exclusivement à l’exécution de la transmission sur le réseau de communication et que sa durée n’excède pas le temps raisonnablement nécessaire à la transmission.
3.Le présent article n’affecte pas la possibilité, pour une juridiction ou une autorité administrative, conformément aux systèmes juridiques des États membres, d’exiger du fournisseur qu’il mette un terme à une infraction ou qu’il prévienne une infraction.
Voir : article 12 de la directive e-commerce 2000/31/CE, et considérant 21.
Article 4 : Mise en cache
1.En cas de fourniture d’un service de la société de l’information consistant à transmettre, sur un réseau de communication, des informations fournies par un bénéficiaire du service, le fournisseur n’est pas responsable du stockage automatique, intermédiaire et temporaire de cette information fait dans le seul but de rendre plus efficace la transmission ultérieure de l’information à la demande d’autres bénéficiaires du service, à condition que:
(a)le fournisseur ne modifie pas l’information;
(b)le fournisseur se conforme aux conditions d’accès à l’information;
(c)le fournisseur se conforme aux règles concernant la mise à jour de l’information, indiquées d’une manière largement reconnue et utilisées par les entreprises;
(d)le fournisseur n’entrave pas l’utilisation licite de la technologie, largement reconnue et utilisée par les entreprises, dans le but d’obtenir des données sur l’utilisation de l’information, et;
(e)le fournisseur agisse promptement pour retirer l’information qu’il a stockée ou pour en rendre l’accès impossible dès qu’il a effectivement connaissance du fait que l’information à l’origine de la transmission a été retirée du réseau ou que l’accès à l’information a été rendu impossible, ou du fait qu’une juridiction ou une autorité administrative a ordonné de retirer l’information ou d’en rendre l’accès impossible.
2.Le présent article n’affecte pas la possibilité, pour une juridiction ou une autorité administrative, conformément aux systèmes juridiques des États membres, d’exiger du fournisseur qu’il mette un terme à une infraction ou qu’il prévienne une infraction.
Voir : article 13 de la directive e-commerce 2000/31/CE, et considérant 21.
Nous avons eu une discussion sur le point e) du (1) de cet article. Que signifie “agir promptement” ? Généralement, en France, il s’agit de 24 à 48h (par exemple dans le cadre de la LCEN). Dans le projet de règlement sur les contenus terroristes, le délai pour agir est d’une heure.
Mais il n’y a pas de définition claire dans le projet de DSA. Est-ce à dire que chaque pays sera amené à proposer sa définition ? Cela peut constituer un point d’insécurité juridique selon certains, mais aussi un élément utile de flexibilité pour d’autres. Il y a des problèmes d’application à prévoir si un délai précis est fixé, et d’autres si aucun délai précis n’est fixé. Il est probable que la CJUE ait à trancher cette question si le texte est adopté tel quel.
L’Allemagne et la France sont pour un délai de 24h.
Le délai très court inscrit dans la loi Avia avait contribué à sa censure par le Conseil constitutionnel en juin 2020.
Article 5 : Hébergement
1.En cas de fourniture d’un service de la société de l’information consistant à stocker des informations fournies par un bénéficiaire du service, le fournisseur n’est pas responsable des informations stockées à la demande d’un bénéficiaire du service à condition que le fournisseur:
(a)n’ait pas effectivement connaissance de l’activité ou du contenu illicite et, en ce qui concerne une demande en dommages et intérêts, n’ait pas conscience de faits ou de circonstances révélant une activité ou un contenu illicite, ou;
(b)dès le moment où il en a connaissance ou conscience, agisse promptement pour retirer le contenu illicite ou rendre l’accès à celui-ci impossible.
2.Le paragraphe 1 ne s’applique pas lorsque le bénéficiaire du service agit sous l’autorité ou le contrôle du fournisseur.
3.Le paragraphe 1 ne s’applique pas en ce qui concerne la responsabilité au titre de la législation relative à la protection des consommateurs applicable aux plateformes en ligne permettant aux consommateurs de conclure des contrats à distance avec des professionnels lorsqu’une plateforme en ligne présente l’information spécifique ou permet de toute autre manière la transaction spécifique en question de telle sorte qu’un consommateur moyen et normalement informé peut être amené à croire que les informations, le produit ou service faisant l’objet de la transaction sont fournis soit directement par la plateforme en ligne, soit par un bénéficiaire du service agissant sous son autorité ou son contrôle.
4.Le présent article n’affecte pas la possibilité, pour une juridiction ou une autorité administrative, conformément aux systèmes juridiques des États membres, d’exiger du fournisseur qu’il mette un terme à une infraction ou qu’il prévienne une infraction.
Voir : article 14 de la directive 2000/31/CE.
Le paragraphe 3 constitue une innovation par rapport à la directive de 2000.
OpenEdition vous propose de citer ce billet de la manière suivante :
Julien Rossi (28 février 2021). #DSA2 : Articles 1 à 5. D.S.M.A. Book Club. Consulté le 10 février 2025 à l’adresse https://doi.org/10.58079/ny0x