Il y a une phrase qu'on entend en rendez-vous client au moins une fois par mois, souvent avec un petit sourire en coin : « Le DSA, ça ne me concerne pas, je ne suis pas Facebook. » Et pourtant. Le site en question affiche 340 avis clients sur ses fiches produits, un blog ouvert aux commentaires depuis 2019, et un espace membres où chacun peut renseigner une bio publique. Trois portes d'entrée. Trois raisons de relire le règlement.
Le Digital Services Act ne trie pas les sites par leur notoriété. Il les trie par leur fonction. Le déclencheur juridique tient en une ligne : dès qu'un service stocke un contenu fourni par un utilisateur et le rend accessible au public, il entre dans la catégorie des services d'hébergement. Peu importe le chiffre d'affaires, peu importe le nombre de visiteurs, peu importe que le webmaster soit une agence de trois personnes ou une direction technique de quarante.
Ce qui suit n'est pas un commentaire de texte. C'est une tentative de séparer trois choses que la plupart des articles mélangent allègrement : ce qui s'impose à tout le monde, ce qui ne concerne que les grandes plateformes, et ce qu'un prestataire digital doit effectivement coder, documenter et livrer. Parce qu'au fond, la vraie surprise du DSA n'est pas juridique. Elle est technique.
Comprendre la qualification : à partir de quand un site tombe sous le DSA
Avant de parler obligations, il faut savoir dans quelle case on se trouve. Et cette étape, franchement, est la plus souvent bâclée.
Les quatre couches du règlement
Le texte européen empile quatre régimes, chacun héritant des obligations du précédent.
La première couche, c'est le simple transport. Un fournisseur d'accès qui achemine des paquets sans les stocker ni les modifier. Très peu d'obligations, une responsabilité quasi nulle sur les contenus.
La deuxième, la mise en cache. Stockage temporaire et automatique pour accélérer la transmission. Les CDN vivent ici.
La troisième couche est celle qui fait basculer tout le monde : l'hébergement. Le service stocke une information fournie par un destinataire du service. C'est là qu'atterrissent, sans même le savoir, une grande partie des sites vitrines évolués et à peu près tous les e-commerces qui affichent des avis.
La quatrième, enfin, la plateforme en ligne. Un hébergeur qui, en plus de stocker, diffuse au public le contenu qu'il stocke. La nuance paraît subtile. Elle ne l'est pas du tout.
Chaque couche cumule. Une plateforme en ligne est aussi un hébergeur, et doit donc respecter le socle hébergeur en plus de ses obligations propres. Ce point d'architecture explique la moitié des contresens qu'on lit sur le sujet.
Le test concret en trois questions
Trois questions, pas plus. Elles suffisent dans la quasi-totalité des cas.
- Le site stocke-t-il un contenu produit par un utilisateur ? Un texte, une note, une image, un fichier, peu importe le format.
- Ce contenu est-il diffusé au public ? C'est-à-dire visible par un nombre potentiellement illimité de tiers, et pas seulement par son auteur ou par l'administrateur du site.
- Le service est-il proposé à des utilisateurs situés dans l'Union européenne ? Le critère est le marché visé, pas le lieu d'établissement de l'entreprise.
Deux « oui » sur les deux premières questions plus un « oui » sur la troisième : régime plateforme en ligne. Un « oui » au stockage sans diffusion publique : régime hébergeur simple. Aucun stockage de contenu tiers : le DSA passe à côté.
Le test en 30 secondes. Ouvrez votre site en navigation privée, déconnecté de tout compte. Voyez-vous du texte, une note ou une image que vous n'avez pas écrite vous-même ? Si oui, vous êtes une plateforme en ligne au sens du DSA. Il n'y a pas de seuil de trafic à franchir, pas de nombre minimum de contributions. Un seul commentaire suffit.
Les cas limites qui font débat
Dans la pratique, la frontière se joue sur des détails d'implémentation. Voici les situations qui reviennent le plus souvent.
Un formulaire de contact : non. Le message part vers une boîte mail, il n'est jamais publié. Pas de diffusion, pas de qualification.
Des avis clients affichés sur les fiches produits : oui, sans discussion possible. C'est le cas d'école.
Des commentaires de blog : oui également, même s'ils sont rares, même si la dernière contribution date de trois ans.
Un forum réservé aux membres : ça se discute vraiment. Le critère est la diffusion « au public », et la Commission a précisé qu'un groupe fermé et prédéterminé n'entre pas nécessairement dans cette définition. Mais si l'inscription est ouverte à quiconque remplit un formulaire, le groupe n'est ni fermé ni prédéterminé. Dans le doute, l'analyse penche vers la qualification.
Un espace membres avec profils publics : oui. La bio, l'avatar, la liste des contributions sont du contenu utilisateur diffusé.
Un chat de support : généralement non, la conversation reste entre l'utilisateur et l'équipe. Attention toutefois si les transcriptions alimentent une base de connaissances publique.
Et le cas qui surprend systématiquement : l'UGC modéré a priori, validé manuellement avant publication. On pourrait croire que le contrôle éditorial fait sortir du régime hébergeur. Il n'en est rien. La modération préalable ne transforme pas l'hébergeur en éditeur au sens du DSA, et le règlement prévoit même explicitement qu'un fournisseur ne perd pas le bénéfice de l'exonération de responsabilité au seul motif qu'il mène des enquêtes volontaires de bonne foi. Modérer en amont est une bonne pratique. Ce n'est pas une porte de sortie.
L'exemption PME et ce qu'elle ne couvre pas
Voilà probablement l'information la plus déformée de tout le règlement.
Les micro et petites entreprises au sens de la recommandation européenne, donc moins de 50 salariés et moins de 10 millions d'euros de chiffre d'affaires annuel ou de total de bilan, sont dispensées des obligations spécifiques aux plateformes en ligne. Traduction concrète : pas de système interne de réclamation obligatoire, pas de règlement extrajudiciaire des litiges, pas de traitement prioritaire des signaleurs de confiance, pas de rapport de transparence.
Mais, et ce « mais » vaut cher, l'exemption ne touche pas le socle hébergeur. Le mécanisme de notification et d'action reste obligatoire. L'exposé des motifs reste obligatoire. Les conditions générales lisibles restent obligatoires. Le point de contact reste obligatoire.
Autrement dit : une TPE de six personnes qui vend en ligne avec des avis clients doit mettre en place un formulaire de signalement structuré, motiver chaque suppression d'avis auprès de son auteur, et publier une adresse de contact dédiée. L'exemption allège la charge. Elle ne l'annule pas.
Un détail qui coûte cher, aussi : l'exemption se perd. Une entreprise qui franchit les seuils garde le bénéfice pendant douze mois, puis bascule. Et une entreprise qui a quitté le statut de PME depuis moins de douze mois ne le retrouve pas automatiquement.
Le socle obligatoire pour tout site avec de l'UGC
Passons à ce qui doit exister, dans le code et dans les process, quelle que soit la taille de la structure.
Le mécanisme de notification et d'action
C'est le cœur du dispositif. Le fameux notice and action.
L'exigence tient en quelques mots : un dispositif accessible, convivial, exclusivement électronique, permettant à n'importe qui de signaler un contenu jugé illicite. Pas une adresse mail perdue en bas des mentions légales. Un vrai formulaire, atteignable depuis le contenu concerné.
Quatre éléments doivent pouvoir être renseignés :
- une explication suffisamment motivée des raisons pour lesquelles le contenu est considéré comme illicite ;
- la localisation électronique exacte de ce contenu, typiquement l'URL, idéalement l'identifiant de la contribution ;
- le nom et l'adresse électronique du notifiant, sauf pour les infractions les plus graves visées par le règlement ;
- une déclaration de bonne foi confirmant que les informations fournies sont exactes et complètes.
Jusque-là, la plupart des équipes suivent. Le point que presque tout le monde rate est ailleurs : l'accusé de réception est obligatoire, et il doit être envoyé sans retard indu dès lors que l'adresse électronique du notifiant est connue. La décision prise ensuite doit elle aussi être notifiée, avec l'information sur les voies de recours disponibles.
Donc oui, techniquement, cela signifie deux e-mails automatiques et un identifiant unique de notification à générer. Ce n'est pas énorme. Encore faut-il l'avoir prévu au cahier des charges.
L'exposé des motifs
Deuxième pilier, et probablement le plus ignoré sur le terrain.
Toute décision de restriction doit être motivée auprès de la personne qui a produit le contenu. Et « restriction » se lit largement : suppression, blocage d'accès, déclassement dans un fil, suspension du compte, démonétisation, restriction de visibilité.
La motivation doit préciser la nature de la restriction et sa portée, les faits et circonstances qui ont conduit à la décision, l'usage éventuel d'un moyen automatisé dans le processus, la base légale ou contractuelle invoquée avec une explication du raisonnement, et les voies de recours ouvertes.
Prenons le cas concret le plus banal du monde. Un commentaire injurieux arrive sur un article de blog. L'administrateur le supprime en deux clics depuis son back-office. Fin de l'histoire ?
Non. En l'état, c'est une non-conformité caractérisée. L'auteur du commentaire aurait dû recevoir une notification indiquant que sa contribution a été retirée, pourquoi, sur quelle base, et comment contester. Sans exagérer la gravité de la chose, il faut mesurer ce que ça implique : la suppression silencieuse, geste réflexe de tout modérateur depuis vingt ans, n'est plus conforme.
Les conditions générales lisibles
Le règlement impose de décrire, dans des conditions générales accessibles, les règles applicables aux contenus, les procédures de modération, les outils employés, y compris les systèmes de décision algorithmique et de réexamen humain, ainsi que les règles de fonctionnement du système interne de traitement des réclamations lorsqu'il existe.
Un mot sur la forme, parce qu'il compte. Le texte exige un langage clair, simple, intelligible, aisément abordable et dépourvu d'ambiguïté. On est loin des CGU de dix mille signes copiées sur un modèle générique de 2016.
La distinction est nette : des CGU classiques protègent l'éditeur. Les conditions générales au sens du DSA informent l'utilisateur. Ce n'est pas le même exercice de rédaction, et il faut souvent deux documents plutôt qu'un.
Le point de contact unique
Deux points de contact, en réalité.
Le premier est destiné aux autorités des États membres, à la Commission et au comité européen des services numériques. Il doit permettre une communication directe et rapide, par voie électronique.
Le second est destiné aux destinataires du service, c'est-à-dire aux utilisateurs, et doit leur permettre de communiquer avec le fournisseur d'une manière qui ne repose pas uniquement sur des outils automatisés. Un chatbot seul ne suffit pas.
Ces deux adresses doivent être publiées, faciles à trouver, et tenues à jour. Précision qui a son importance : ce n'est pas forcément l'adresse commerciale du site, et ce n'est pas non plus la ligne « contact » du formulaire habituel. Beaucoup de sites se contentent de renvoyer vers leurs mentions légales. C'est insuffisant, on y revient plus loin.
La coopération avec les injonctions
Dernier étage du socle, moins fréquent mais à anticiper.
Quand une autorité judiciaire ou administrative nationale émet une injonction d'agir contre un contenu illicite, le fournisseur doit accuser réception et informer l'autorité de la suite donnée, sans retard indu. Même logique pour une injonction de fournir des informations sur un ou plusieurs destinataires du service.
Et il faut informer l'utilisateur concerné de l'existence de l'injonction et de la suite qui lui a été donnée, au plus tard au moment où l'effet prend effet, sauf si l'autorité demande explicitement le report pour des raisons de sécurité publique ou d'enquête pénale.
Un site de PME recevra rarement ce type de demande. Mais si elle arrive un lundi matin, il vaut mieux savoir qui la traite et sous quel délai.
Les obligations supplémentaires si le site est qualifié « plateforme en ligne »
Rappel du contexte : cette section ne s'applique qu'aux plateformes en ligne non exemptées, donc au-delà des seuils PME. Ce qui exclut, de fait, l'immense majorité des sites d'un portefeuille d'agence classique. Autant le savoir avant de vendre un chantier surdimensionné.
Le système interne de traitement des réclamations
Gratuit. Accessible pendant au moins six mois après la décision contestée. Facile d'utilisation. Et surtout : les décisions doivent être prises sous le contrôle de personnel qualifié, sans reposer uniquement sur des moyens automatisés.
Le périmètre couvre les décisions de retrait, de suspension de compte, de restriction de visibilité, mais aussi les décisions de ne pas donner suite à une notification. Ce dernier point est souvent oublié dans les spécifications fonctionnelles.
Le règlement extrajudiciaire des litiges
Les utilisateurs doivent être informés de la possibilité de saisir un organisme de règlement extrajudiciaire certifié par le coordinateur pour les services numériques. La plateforme est tenue de coopérer de bonne foi avec ces organismes.
Elle n'est pas liée par leur décision. Mais si l'organisme tranche en faveur de l'utilisateur, la plateforme supporte les frais.
Les signaleurs de confiance
Statut attribué par le coordinateur national à des entités disposant d'une expertise particulière dans la détection de contenus illicites, indépendantes et diligentes. Leurs notifications doivent être traitées et faire l'objet d'une décision en priorité, et sans retard indu.
Concrètement, cela suppose une file de modération capable d'identifier l'émetteur et de le remonter en tête de queue. Une simple boîte mail ne le permet pas.
Les mesures contre les usages abusifs
Double mécanisme, dans les deux sens.
D'un côté, suspension pendant une période raisonnable des comptes qui fournissent fréquemment des contenus manifestement illicites. De l'autre, suspension du traitement des notifications émanant de personnes qui soumettent fréquemment des signalements manifestement infondés.
Dans les deux cas, un avertissement préalable est exigé, et l'appréciation doit être proportionnée : nombre absolu de contenus concernés, proportion par rapport au total, gravité, intention apparente. Les critères doivent figurer dans les conditions générales.
L'interdiction des dark patterns
Le règlement interdit de concevoir, d'organiser ou d'exploiter les interfaces d'une manière qui trompe, manipule ou altère substantiellement la capacité des utilisateurs à prendre des décisions libres et éclairées.
Côté modération, les exemples ne manquent pas. Un bouton de signalement en gris clair sur fond blanc, en corps 9, planqué derrière un menu contextuel. Un parcours de signalement qui demande cinq écrans quand la publication d'un commentaire en demande un. Un désabonnement à trois clics de plus que l'abonnement. Une option « accepter » en vert vif et une option « refuser » en lien texte souligné.
Ce sont des choix de design. Ils deviennent des choix juridiques.
La transparence publicitaire
Chaque publicité affichée doit être identifiable comme telle de manière claire, concise et non ambiguë, en temps réel. L'utilisateur doit pouvoir savoir au nom de qui elle est diffusée, qui l'a payée si ce n'est pas la même entité, et quels paramètres principaux ont servi à le cibler, avec un moyen de modifier ces paramètres.
Deux interdictions fermes s'ajoutent : pas de ciblage fondé sur le profilage utilisant des catégories particulières de données au sens du RGPD, et pas de publicité ciblée fondée sur le profilage quand la plateforme sait avec une certitude raisonnable que l'utilisateur est mineur.
Le rapport de transparence
Publication au moins une fois par an, dans un format lisible par machine, facilement accessible.
Le contenu attendu : nombre d'injonctions reçues des autorités et délais de réponse, nombre de notifications reçues ventilées par type de contenu illicite, actions engagées en précisant si elles résultent d'une obligation légale ou des conditions générales, part des décisions prises par des moyens automatisés, nombre de réclamations reçues et leur issue, indicateurs de fiabilité des outils de modération automatisée.
Après l'exemption PME, la question devient simple : ce rapport n'est dû que par les plateformes en ligne au-delà des seuils. Une TPE n'a rien à publier. Mais elle a tout intérêt à journaliser quand même, parce que ce journal est sa seule preuve de conformité le jour où on la lui demande.
Le cas particulier des avis clients
Les avis méritent leur propre chapitre, parce qu'ils cumulent trois réglementations qui ne se parlent pas entre elles.
Superposition DSA, Omnibus et code de la consommation
Premier régime : la directive Omnibus, transposée en droit français, impose au professionnel qui donne accès à des avis de consommateurs d'indiquer si et comment il s'assure que ces avis émanent de consommateurs ayant effectivement utilisé ou acheté le produit. L'obligation porte sur l'information relative au processus de vérification.
Deuxième régime : le code de la consommation, qui range parmi les pratiques commerciales trompeuses le fait d'affirmer que des avis sont publiés par des consommateurs sans avoir pris de mesures raisonnables pour le vérifier, ainsi que le fait de publier ou de faire publier de faux avis.
Troisième régime : le DSA, qui ajoute par-dessus toute la couche modération, notification, exposé des motifs.
L'erreur classique consiste à traiter l'un en croyant couvrir les autres. Afficher un badge « avis vérifiés » satisfait Omnibus. Ça ne règle rien du côté DSA. Inversement, un formulaire de signalement impeccable ne dispense pas d'expliquer la méthode de vérification.
Les faux avis
Le sujet est devenu sensible, et pour de bonnes raisons.
Un faux avis n'est pas seulement une nuisance concurrentielle. C'est potentiellement une pratique commerciale trompeuse, avec les sanctions qui vont avec, y compris pénales. Les contrôles de la DGCCRF sur ce terrain se sont multipliés ces dernières années, et les manquements relevés touchent aussi bien des plateformes spécialisées que des sites marchands classiques.
Le point qui doit alerter tout prestataire, en revanche, c'est la suppression discrétionnaire d'un avis négatif. Une pratique encore courante, souvent demandée par le client en toute candeur : « Celui-là, virez-le, il est injuste. »
Le risque est désormais double. D'un côté, supprimer sélectivement les avis défavorables pour ne conserver que les élogieux caractérise une pratique commerciale trompeuse par omission. De l'autre, supprimer sans exposé des motifs constitue un manquement au DSA. Deux régimes, deux autorités, deux qualifications, pour un seul clic.
La bonne réponse tient en une phrase : un avis ne se supprime que sur un motif documenté, et la décision se notifie.
La norme NF Z74-501 et l'ISO 20488
La norme française, publiée en 2013, a servi de base à la norme internationale ISO 20488 parue en 2018. Toutes deux encadrent la collecte, la modération et la restitution des avis en ligne : traçabilité de l'auteur, absence de contrepartie, délai de publication, motifs de rejet, droit de réponse du professionnel.
Elles ne sont pas obligatoires. C'est important de le dire clairement, parce que certains prestataires les vendent comme telles.
Leur intérêt est ailleurs. Une certification NF Service Avis en ligne apporte un tiers de confiance auditable, elle structure le process bien au-delà du minimum légal, et elle constitue un argument commercial réel dans les secteurs où la réputation pèse lourd. Pour une entreprise dont les avis conditionnent le chiffre d'affaires, l'investissement se défend. Pour un blog à quinze commentaires par an, non.
Ce que cela change concrètement dans un projet web
On arrive à la partie qui intéresse vraiment les équipes techniques.
L'audit de qualification en amont
Première étape, toujours : cartographier les points d'entrée UGC. Sur un site existant, l'exercice réserve des surprises.
Les oublis les plus fréquents, dans l'ordre où on les découvre habituellement :
- les notes et étoiles sans texte, qu'on ne considère pas comme du contenu alors qu'elles en sont ;
- les uploads de photos joints aux avis produits ;
- les réponses du professionnel aux avis, qui sont elles aussi du contenu publié mais relèvent d'un autre régime ;
- les signatures de forum, souvent riches en liens ;
- les profils publics d'un espace membres, avec bio, avatar et site web ;
- les contributions à un annuaire ou à une carte collaborative ;
- les questions-réponses sur fiche produit, qui échappent au module d'avis ;
- les commentaires d'anciens articles, désactivés en front mais toujours présents en base et parfois toujours indexés.
Ce dernier point vaut son pesant d'or. Fermer les commentaires ne supprime pas ceux qui existent déjà.
Les briques techniques à livrer
Voici, en pratique, ce qu'il faut effectivement développer ou intégrer.
- Un formulaire de signalement structuré, accessible depuis chaque contenu utilisateur, générant un identifiant unique de notification et déclenchant un accusé de réception automatique.
- Une file de modération avec statuts, assignation, horodatage de chaque changement d'état et conservation de la décision motivée.
- Un journal horodaté et conservé. C'est le point central : sans journal, aucune preuve de conformité n'existe. Il consigne la notification, l'accusé, l'analyse, la décision, la notification de la décision, la réclamation éventuelle.
- Des modèles d'exposé des motifs, un par catégorie de restriction, avec les variables à injecter et la mention systématique du recours à un outil automatisé le cas échéant.
- Un circuit de réclamation interne pour les plateformes concernées, avec fenêtre de six mois et traçabilité du réexamen humain.
- Un système d'avertissement et de suspension progressive, paramétrable, avec historique par compte.
- Un export de données permettant d'alimenter le rapport de transparence, même si l'obligation ne s'applique pas : le jour où elle s'appliquera, la donnée historique sera là.
Rien d'exotique là-dedans. La difficulté n'est pas la complexité technique, elle est le fait que ces briques ne figurent jamais spontanément dans un devis de site vitrine.
Ce que les CMS proposent réellement
Soyons honnêtes, parce que le sujet est régulièrement enjolivé.
WordPress gère la file de commentaires, l'approbation, la corbeille, la détection de spam via des extensions. Il ne gère nativement ni le formulaire de notification structuré, ni l'accusé de réception normalisé, ni l'exposé des motifs envoyé à l'auteur. La suppression d'un commentaire est silencieuse par défaut.
PrestaShop et ses modules d'avis produits offrent la validation manuelle et parfois un motif de rejet interne, rarement notifié au client. Le signalement par un tiers est en général absent.
Shopify et les applications d'avis du marché sont dans une situation comparable, avec l'avantage d'une infrastructure de notification e-mail déjà en place, et l'inconvénient d'une personnalisation limitée des flux.
Ce qui manque partout, en résumé : le formulaire de notice and action conforme, l'identifiant unique, l'accusé automatique, l'exposé des motifs structuré, le journal exploitable. Il faut donc développer, ou intégrer une brique tierce, ou assumer la non-conformité en connaissance de cause. Les trois options se défendent selon le contexte. La troisième doit simplement être écrite noir sur blanc.
L'articulation avec le RGPD
Un dispositif de modération traite des données personnelles. Beaucoup, même.
La base légale du traitement des signalements est en principe l'obligation légale pour ce qui découle directement du DSA, et l'intérêt légitime pour ce qui relève des règles internes de la plateforme. Cette distinction doit apparaître dans le registre des traitements.
La durée de conservation des journaux de modération pose une vraie question, et le règlement ne fixe pas de durée. Une conservation alignée sur la période de réclamation, six mois, prolongée par la prescription applicable au contentieux potentiel, constitue un raisonnement défendable. À documenter, dans tous les cas.
L'utilisateur suspendu conserve son droit d'accès. Il peut demander les données ayant fondé la décision, ce qui suppose de pouvoir extraire proprement le dossier de modération le concernant.
Enfin, la politique de confidentialité doit mentionner le traitement lié à la modération, les destinataires éventuels comme les autorités, et les droits applicables. Un oubli fréquent, celui-là, y compris sur des sites par ailleurs bien tenus.
La répartition des responsabilités entre le client et le prestataire
Sujet inconfortable, mais qui décide de qui paie en cas de problème.
Qui est l'hébergeur au sens du DSA
Il faut distinguer trois acteurs qu'on confond allègrement.
L'hébergeur technique, celui qui loue le serveur ou l'infrastructure. Il est un fournisseur de services d'hébergement au sens du DSA pour son propre service, avec ses propres obligations.
L'exploitant du site, celui qui décide de sa mise en ligne, de ses fonctionnalités, de sa politique éditoriale. C'est lui qui fournit le service d'hébergement à ses utilisateurs quand il ouvre les commentaires ou les avis. C'est donc lui, le responsable au sens du règlement.
L'agence qui développe. Elle construit l'outil. Elle n'exploite pas le service, elle n'en décide pas les règles, elle n'en tire pas les revenus. Elle n'est en principe pas le fournisseur.
Cette clarification soulage souvent les prestataires en rendez-vous. Elle ne les exonère de rien pour autant, parce que le sujet se déplace simplement sur un autre terrain : celui du contrat.
Le devoir de conseil
Un prestataire qui livre un site avec des commentaires ouverts et qui n'a jamais évoqué le DSA s'expose. Pas à une sanction administrative, mais à une action en responsabilité contractuelle si le client se retrouve en difficulté.
Le devoir de conseil du professionnel envers un client profane est un classique du contentieux des prestations informatiques. Il porte sur l'adéquation de la solution aux besoins, sur les contraintes réglementaires connues du professionnel, sur les choix à arbitrer.
D'où une règle simple, presque bête : écrire. Un paragraphe dans la proposition commerciale, un point dans le compte rendu de réunion de cadrage, un e-mail récapitulatif. « Le site comporte un module d'avis clients. Ce module qualifie le service au regard du Digital Services Act et implique la mise en place d'un dispositif de signalement et de motivation des décisions de modération. Le devis inclut / n'inclut pas cette brique. »
Trois lignes. Elles protègent le prestataire, et elles protègent le client, ce qui est encore mieux.
Ce qui doit figurer au contrat et au cahier des charges
Quatre points à formaliser.
Le périmètre de conformité livré : quelles briques exactement, avec quelles limites fonctionnelles.
Les exclusions explicites : ce qui n'est pas couvert, notamment la rédaction des conditions générales, qui relève d'un conseil juridique, et l'exploitation quotidienne du dispositif, qui relève du client.
La maintenance évolutive face aux évolutions réglementaires. Le DSA vit, les lignes directrices de la Commission s'ajoutent, les décisions nationales précisent. Un contrat qui fige la conformité au jour de la recette vieillit mal.
La formation à l'usage. Un back-office de modération conforme mal utilisé produit exactement le même résultat qu'un back-office non conforme. Une demi-journée de prise en main change tout, et se facture.
Le risque commercial de l'omission
Il faut oser le formuler simplement. Livrer aujourd'hui un site à commentaires ou à avis sans dispositif de signalement ni motivation des décisions, c'est livrer un produit qui n'est pas conforme au cadre applicable.
Les conséquences ne sont pas théoriques : refus de paiement du solde, demande de reprise à titre gratuit, mise en cause en cas de contentieux subi par le client, dégradation de la relation commerciale quand le sujet ressurgit deux ans plus tard via un audit.
Une réserve honnête, tout de même : à ce jour, aucune vague de sanctions ne frappe les petits sites, et il serait malhonnête de vendre la conformité en agitant l'épouvantail des 6 %. Le vrai argument est ailleurs, on y arrive.
Sanctions, contrôle et réalité de l'application
Le régime de sanction
Le plafond fixé par le règlement s'établit à 6 % du chiffre d'affaires annuel mondial du fournisseur pour les manquements aux obligations, et à 1 % pour la fourniture d'informations inexactes ou le défaut de réponse à une demande. Des astreintes de 5 % du chiffre d'affaires quotidien moyen sont également prévues.
En France, l'Arcom exerce la fonction de coordinateur pour les services numériques. Elle centralise les plaintes, coordonne les autorités nationales, coopère avec la Commission et le comité européen des services numériques.
Elle n'agit pas seule. La DGCCRF intervient sur le volet consommation, notamment les faux avis, la publicité trompeuse et les pratiques commerciales déloyales. La CNIL intervient sur le volet données personnelles, notamment le ciblage publicitaire et les traitements liés à la modération.
Trois autorités, trois angles d'attaque possibles sur un même dispositif mal conçu.
Ce qui déclenche réellement un contrôle
Restons factuels, sans dramatiser ni minimiser.
Les grandes plateformes désignées font l'objet d'une surveillance directe de la Commission européenne, avec des procédures formelles déjà ouvertes et largement médiatisées. Ce n'est pas le sujet d'une PME.
Pour un site de taille modeste, trois déclencheurs réalistes. D'abord, la plainte utilisateur auprès du coordinateur national, typiquement après un compte suspendu sans explication ou un signalement resté sans réponse. Ensuite, le signalement concurrent, plus fréquent qu'on ne l'imagine dans les secteurs où les avis pèsent sur le chiffre d'affaires. Enfin, le contrôle sectoriel, notamment ceux de la DGCCRF sur les avis en ligne, qui ciblent des filières entières.
La probabilité qu'un blog régional avec quarante commentaires par an soit contrôlé reste faible. Ce serait malhonnête de prétendre le contraire. Mais la probabilité qu'un e-commerce avec deux mille avis et un concurrent agacé reçoive une demande d'explication est loin d'être nulle.
La perte du régime de responsabilité limitée
Et voilà le vrai sujet, celui qui devrait figurer en tête de tous les articles sur le DSA au lieu du plafond spectaculaire à 6 %.
Le régime d'exonération de responsabilité de l'hébergeur repose sur une condition : ne pas avoir connaissance du caractère illicite du contenu, ou, dès le moment où on en a connaissance, agir promptement pour le retirer ou en bloquer l'accès.
Une notification correctement formée, permettant à un opérateur diligent d'identifier l'illicéité sans examen juridique approfondi, donne cette connaissance. À partir de ce moment, l'horloge tourne.
Ne pas agir, c'est perdre l'exonération. Et perdre l'exonération, ce n'est pas risquer une amende administrative : c'est devenir responsable, civilement, du contenu publié par un tiers.
Traduisons. Un commentaire diffamatoire signalé et laissé en ligne engage l'exploitant du site devant les juridictions civiles. Une photo contrefaisante uploadée par un membre et signalée par l'ayant droit devient un contentieux en contrefaçon. Des propos haineux notifiés et maintenus exposent à des poursuites.
Pour un site de PME, ce contentieux-là est infiniment plus probable qu'une procédure de l'Arcom. Il est aussi plus rapide, plus personnel et, souvent, plus coûteux en temps qu'en argent. C'est l'argument à porter en rendez-vous, pas le pourcentage.
Une méthode de mise en conformité en cinq étapes
Assez de théorie. Voici l'enchaînement opérationnel, celui qu'un chef de projet peut dérouler.
- Qualifier. Inventaire exhaustif des points d'entrée UGC, y compris les modules dormants et les contenus historiques. Détermination du régime : hébergeur, plateforme en ligne, plateforme exemptée. Vérification des seuils PME et de leur évolution prévisible.
- Documenter. Rédaction des conditions générales de modération en langage clair, de la politique de contenu listant ce qui est interdit et pourquoi, et des modèles d'exposé des motifs, un par type de décision.
- Outiller. Développement ou intégration du formulaire de signalement, du back-office de modération, du système de notification automatique et de la journalisation horodatée.
- Publier. Mise en ligne des points de contact autorités et utilisateurs, information des utilisateurs sur les règles applicables, transparence sur l'usage éventuel d'outils automatisés de filtrage.
- Maintenir. Revue annuelle du dispositif, veille sur les lignes directrices et la jurisprudence, production du rapport de transparence si l'obligation s'applique, formation continue des personnes qui modèrent.
La checklist condensée
À reprendre telle quelle en réunion de cadrage.
- Tous les points d'entrée UGC sont inventoriés, y compris les modules désactivés en front
- Le régime applicable est déterminé et écrit
- Un formulaire de signalement existe et est accessible depuis chaque contenu utilisateur
- Le formulaire collecte les quatre éléments requis
- Un accusé de réception automatique part vers le notifiant
- La décision est notifiée au notifiant, avec mention des recours
- Un exposé des motifs est envoyé à l'auteur du contenu restreint
- L'usage d'outils automatisés est mentionné dans les décisions concernées
- Les conditions générales décrivent les règles et les procédures de modération en langage clair
- Deux points de contact sont publiés, autorités et utilisateurs
- Un journal horodaté conserve la chaîne complète de chaque dossier
- La politique de confidentialité couvre le traitement lié à la modération
- Le contrat précise le périmètre livré et les exclusions
- Les personnes qui modèrent ont été formées à l'outil et aux obligations
Le tableau de synthèse des trois régimes
Pour trancher rapidement, voici comment se répartissent les obligations principales.
Hébergeur simple, sans diffusion publique : conditions générales lisibles, points de contact, mécanisme de notification et d'action, exposé des motifs, coopération avec les injonctions.
Plateforme en ligne exemptée PME : exactement le même socle que ci-dessus. Rien de plus. C'est le cas de figure de l'immense majorité des sites clients d'une agence.
Plateforme en ligne non exemptée : le socle, plus le système interne de réclamation, le règlement extrajudiciaire des litiges, les signaleurs de confiance, les mesures anti-abus, l'interdiction des dark patterns, la transparence publicitaire et le rapport annuel de transparence.
Trois mini-cas pour ancrer tout ça
Le blog professionnel avec commentaires. Cabinet de conseil, une quinzaine d'articles par an, commentaires ouverts et modérés a priori. Régime : plateforme en ligne exemptée PME. À faire : un formulaire de signalement dans le pied de page et sous chaque zone de commentaires, un modèle d'e-mail de rejet motivé, un paragraphe dans les CGU décrivant la charte de modération, une adresse dsa@ publiée. Charge estimée : une journée de développement, une demi-journée de rédaction. Rien d'insurmontable.
L'e-commerce avec avis produits. Boutique PrestaShop, quatre cents références, module d'avis avec notes et photos. Régime : plateforme en ligne exemptée PME, mais cumul avec Omnibus. À faire : tout ce qui précède, plus la mention du processus de vérification des avis, plus un circuit de motivation systématique pour chaque avis rejeté, plus une règle interne interdisant la suppression sur simple demande du service commercial. C'est ce dernier point, culturel bien plus que technique, qui demande le plus d'énergie.
Le site associatif avec espace membres. Fédération sportive, profils publics, forum interne, galerie photo alimentée par les clubs. Régime : plateforme en ligne, avec une vraie question sur le forum réservé aux adhérents. À faire : la qualification d'abord, en distinguant les zones réellement fermées des zones publiques, puis le socle sur les zones publiques, et une attention particulière aux photos, dans lesquelles apparaissent souvent des mineurs, ce qui superpose immédiatement le RGPD et le droit à l'image.
Les erreurs les plus fréquentes observées sur le terrain
Un florilège, sans méchanceté, parce que ces erreurs sont toutes compréhensibles.
- Croire que fermer les commentaires règle le sujet. Le module d'avis produits, lui, tourne toujours. Et les commentaires historiques restent en base, souvent toujours affichés, parfois toujours indexés.
- Confondre mentions légales et point de contact DSA. Les mentions légales identifient l'éditeur. Le point de contact DSA est une adresse fonctionnelle destinée aux autorités et aux utilisateurs, avec une exigence de réactivité.
- Modérer par suppression silencieuse. Le geste le plus naturel du monde, désormais non conforme. Il faut motiver et notifier.
- Utiliser un filtre automatique sans le mentionner. Un anti-spam qui bloque des contributions est un outil de modération automatisée. Son existence doit figurer dans les conditions générales, et son intervention doit être signalée dans l'exposé des motifs.
- Appliquer l'exemption PME au socle hébergeur. L'erreur la plus coûteuse, parce qu'elle conduit à ne rien faire du tout en croyant être couvert.
- Traiter le DSA comme un chantier purement juridique. Un avocat rédigera d'excellentes conditions générales. Il ne développera ni le formulaire, ni la file de modération, ni la journalisation. L'essentiel de la charge est technique, et c'est justement pour ça que le prestataire digital est en première ligne.
La conformité comme argument, pas comme contrainte
Retournons la perspective, parce qu'à force de parler d'obligations on oublie l'évidence.
Un dispositif de modération propre, ce n'est pas seulement une case cochée. C'est un signalement facile qui fait remonter les faux avis avant qu'ils ne polluent la moyenne. C'est une décision motivée qui désamorce le client mécontent au lieu de l'envoyer déverser sa colère ailleurs. C'est un journal qui permet de répondre en dix minutes à une mise en demeure au lieu de passer trois jours à reconstituer l'historique.
Et puis il y a l'effet moins mesurable, mais réel : un site qui explique comment il modère inspire davantage confiance qu'un site qui ne dit rien. Les visiteurs le sentent, même sans lire les conditions générales. Les signaux de fiabilité perçus se construisent avec ce genre de détails.
Pour un prestataire digital, il y a là un vrai positionnement à prendre. Celui qui aborde le sujet spontanément en phase de cadrage passe pour quelqu'un qui maîtrise son métier. Celui qui le découvre deux ans plus tard, quand le client reçoit une plainte, passe pour quelqu'un qui a livré un travail incomplet. La différence de perception est considérable, et elle ne coûte qu'une question posée au bon moment.
Une précision pour finir, et elle a son importance. Le règlement est entré en application générale le 17 février 2024, après une première vague ciblant les très grandes plateformes en août 2023. Le cadre continue d'évoluer : lignes directrices de la Commission, décisions des coordinateurs nationaux, premières décisions de justice. Ce qui est écrit ici reflète l'état du sujet à sa rédaction, et mérite d'être revérifié avant tout arbitrage engageant.
Le point de départ reste le même dans tous les cas : l'audit de qualification. Une heure d'inventaire des points d'entrée UGC, une qualification écrite, et une décision claire sur ce qu'on met en place et ce qu'on assume de ne pas faire. C'est peu. C'est aussi ce qui sépare un site qu'on pilote d'un site qu'on subit.
