Après quatre mois d’intenses débats bruxellois sur les Digital Services Act (DSA) et Digital Markets Act (DMA), les choses avancent mais, selon Frédéric Sardain, associé responsable du pôle IP, tech & data au sein du cabinet Jeantet, il faut rester prudent car, pour l’heure, il ne s’agit encore que de propositions. « Néanmoins, il y a un changement de philosophie qu’on observait déjà au niveau du règlement général sur la protection des données (RGPD) », remarque l’avocat au sujet du DSA. Un texte qu’il juge plus ambitieux que le DMA, plutôt marqué par des enjeux de respect de la concurrence.

Changement de paradigme mais définitions nébuleuses

« La conformité devient le fil directeur de la régulation des plateformes. L’Europe veut faire peser sur les épaules des opérateurs le respect d’un certain nombre d’obligations, ce qui est assez nouveau, notamment pour les très grandes plateformes qui comptent plus de 45 millions d’utilisateurs actifs chaque mois, soit 10 % de la population de l’Union européenne. Ces dernières vont devoir limiter les risques systémiques liés à leurs activités et se soumettre à des audits indépendants réguliers », analyse l’expert. Pour l’instant, la définition d’une plateforme reste très proche de celle d’un hébergeur. Résultat d’un intense et fructueux travail de lobbying ? Google compte près de 250 personnes en permanence à Bruxelles. La formulation n’est pas innocente : un éditeur ne bénéficie pas d’un régime de responsabilité atténuée, contrairement à un hébergeur qui, lui, est assimilé à un intermédiaire technique. « Depuis la directive sur le commerce en ligne de 2000, toutes les plateformes en ligne cherchent à être qualifiées d’hébergeurs pour bénéficier de ce régime favorable », rappelle Frédéric Sardain.

Un des problèmes posés par le DSA tient au fait qu’il ne donne pas d’éclaircissements sur des points qui en auraient pourtant bien besoin, comme la définition des contenus illicites. A l’article 20 du projet, il est ainsi fait mention de « contenus manifestement illicites » sans les qualifier précisément. « Or, cela conditionne l’application du régime de responsabilité limitée des hébergeurs, d’où un débat jurisprudentiel erratique sur ce sujet depuis une vingtaine d’années », souligne l’avocat qui regrette que le nouveau texte ne soit pas l’occasion d’en donner justement une définition. Mais l’anonymat reste le vrai sujet à régler pour Frédéric Sardain. « Le secteur bancaire met en œuvre un système de KyC (Know your Customer) très abouti. Pourquoi ne pas lui emprunter cette solution en faisant certifier les utilisateurs qui veulent s’inscrire sur Facebook, Twitter ou YouTube par leur banque afin d’avoir un traçage efficace ? », suggère-t-il. « De plus, les plateformes américaines estiment souvent ne pas être liées par le droit local, donc le DSA ne réglera pas ce problème de champ d’application territoriale », complète Olivier Iteanu, fondateur du cabinet Iteanu Avocats, spécialisé en droit du numérique et de la data.

Une tour de contrôle européenne et des gendarmes nationaux

Le nouveau texte prévoit la création d’un « comité européen des services numériques ». Une vigie chargée du contrôle du respect de ces règlements par les acteurs du numérique, qui s’ajouterait aux autorités indépendantes nationales des Etats membres. « Je suis convaincu que le bon échelon reste celui du tribunal local. Ajouter un nouvel échelon de contrôle inaccessible aux citoyens, associations et TPE/PME mais proches des lobbys n’est pas un gage d’efficacité », estime Olivier Iteanu.

En France, le Conseil supérieur de l’audiovisuel (CSA), plutôt habitué à une régulation sectorielle (ex ante), et la Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet (Hadopi) sont censés fusionner pour créer l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom). Le projet de loi a été présenté par le gouvernement lors du conseil des ministres du 8 avril. Le DMA va faire évoluer la directive européenne sur le commerce électronique de juin 2000 transposée dans la loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004. « A posteriori, la loi LCEN, assez complexe dans sa structure, avait déjà instauré un bon équilibre en créant la notion de contenu illicite et en responsabilisant les intermédiaires techniques, dès lors qu’ils en avaient connaissance. La contrepartie de cette responsabilité atténuée était double. D’une part, on leur imposait une obligation de coopération avec les autorités judiciaires pour identifier les auteurs de contenus illicites et les informations qu’ils communiquaient étaient protégées par le secret professionnel, d’autre part, un avocat ne pouvait les obtenir qu’auprès d’un juge par requête ou référé », explique Olivier Iteanu. La France est donc déjà outillée. Mais Paris a décidé de pousser les feux en injectant dans le projet de loi confortant le respect des principes de la République des éléments issus du DSA (obligations de moyens pour les principales plateformes et attribution de nouvelles compétences au CSA). « Cette inflation législative que nous connaissons depuis une dizaine d’années (RGPD, réforme des contrats, DSA, DMA, etc.) crée une instabilité réglementaire pour les entreprises, dont elles se passeraient bien, en particulier les PME soumises aux mêmes exigences que les grands groupes », regrette Frédéric Sardain.