L'impact du Digital Services Act sur la directive e-commerce et la LCEN

Comme indiqué dans notre précédente alerte, le Conseil de l’Union Européenne a définitivement approuvé le Digital Services Act (DSA), le 4 octobre 2022. La nouvelle mouture du texte est disponible ici.

Prochaine étape : la publication du DSA au Journal Officiel. Il entrera ensuite en vigueur 20 jours après sa publication. La plupart des dispositions du DSA seront applicables 15 mois après son entrée en vigueur, sauf pour les fournisseurs de très grandes plateformes et de très grands moteurs de recherche à qui le DSA s’appliquera 4 mois après avoir été notifiés de leur statut par la Commission (article 92 du DSA).

La présente alerte se propose d’analyser l’impact du DSA sur le régime de responsabilité des intermédiaires techniques défini aux articles 12 à 15 de la directive e-commerce 2000/31/CE (Directive e-commerce), essentiellement transposés à l’article 6 de la loi pour la confiance dans l’économique numérique du 21 juin 2004 (LCEN).

Pour la nouvelle catégorisation des acteurs proposée par le DSA comparativement à la directive e-commerce et à la LCEN, nous vous renvoyons à notre précédente alerte sur le sujet.

1. Le DSA ne remet pas en cause les grands principes du régime de responsabilité actuel des fournisseurs de services intermédiaires

Au début des années 2000, l’Europe et la France, par le biais de la directive e-commerce et de la LCEN, ont instauré un régime de responsabilité allégée à l’égard des hébergeurs.

Dans le but d’une harmonisation des règles relatives à la responsabilité des fournisseurs de services intermédiaires et compte tenu de l’évolution des services proposés par ces derniers, le DSA vient modifier la Directive e-commerce¹.

Les articles 12 à 15 de la Directive e-commerce, relatifs à la responsabilité des prestataires intermédiaires (tels que définis par la directive) sont ainsi supprimés (article 89).

Si la suppression est radicale, les conséquences le sont moins. En effet, l’essence de ces articles défunts est immédiatement reprise dans les dispositions des articles 4, 5 et 6 du DSA.

Le régime de responsabilité allégée mis en place pour les fournisseurs de services intermédiaires, dont les hébergeurs, est maintenu aux mêmes conditions que celui actuellement en vigueur. Ainsi, s’agissant des hébergeurs, ils ne peuvent voir leur responsabilité engagée à raison des contenus qu’ils stockent si, après avoir été dument informés de leur caractère illicite, ils ont promptement agi pour les retirer ou en interdire l'accès.

L’obligation générale de surveillance demeure toujours exclue pour les fournisseurs de services intermédiaires (article 8).

Une nouveauté est en revanche à noter : ce régime de responsabilité allégée ne s’applique pas à la responsabilité au titre du droit de la consommation des marketplaces qui laissent croire au consommateur qu’elles sont à l’origine de la vente (article 6.3).

Au titre des nouveautés, le DSA introduit également une clause du bon samaritain selon laquelle un fournisseur de services intermédiaires ne perd pas le bénéfice des exemptions de responsabilité prévues ci-dessus s’il mène des investigations pour détecter, identifier et éliminer ou désactiver des contenus illicites (article 7).

En synthèse, le DSA n’opère pas de révolution majeure du régime de responsabilité des fournisseurs de services intermédiaires actuellement en vigueur.

2. Le DSA prévoit des modalités beaucoup plus précises pour le mécanisme de « notice and take down », ainsi que de nouvelles obligations en lien avec le retrait de contenus

Si le DSA ne remet pas en cause les grands principes établis depuis désormais plus de vingt ans, il n’est cependant pas dénué d’impact sur la responsabilité des fournisseurs de services intermédiaires. Il précise les mécanismes applicables en matière de notification et retrait des contenus illicites et introduit de nouvelles obligations graduées, selon les acteurs concernés.

Parmi ces nouvelles obligations, nous pouvons notamment relever pour tous les « hébergeurs » (pour une définition des « hébergeurs », voir alerte) :

• Mise en place d’une plateforme adéquate pour le signalement des contenus (article 16(1))
  
  

  Les fournisseurs de services d’hébergement doivent mettre en place des mécanismes de notification permettant à tout particulier de signaler un contenu considéré comme illicite. Ce mécanisme doit être facile d’accès et d’utilisation.

• Informations devant figurer dans les notifications relatives à des contenus illicites (article 16(2))
  
  

  Les fournisseurs de services d’hébergement devront s’organiser pour que les notifications qui leur seront soumises contiennent un certain nombre d’informations spécifiques en ce compris, une explication suffisamment motivée des raisons pour lesquelles le contenu est illicite, une adresse électronique permettant une localisation des contenus en cause telle qu’une adresse URL, le nom et l’adresse de courrier électronique de l’particulier ou l’entité soumettant la notification, une déclaration confirmant que l’entité ou l’particulier soumettant la notification pense de bonne foi que les informations et allégations contenues sont exactes et complètes.

• Fourniture d’un exposé des motifs (article 17)
  
  

  Les fournisseurs de services d’hébergement devront à présent fournir, à tout destinataire dont les coordonnées électroniques sont connues, un exposé des motifs clairs et précis des restrictions imposées sur le contenu concerné, reprenant notamment :

  • La sanction (le retrait, le bocage ou le déclassement des contenus, la suspension, la fin ou autres restrictions des paiements monétaires, la suspension ou la fin totale ou partielle de la fourniture du service, la suspension ou la suppression des comptes du destinataires) ;
  • La durée et l’application territoriale de la décision ;
  • Les faits et circonstances sur lesquels s’appuient la décision prise ;
  • Les informations relatives à l’utilisation de moyens automatisés pour prendre la décision, si pertinent ;
  • Une référence au fondement juridique et des explications sur les motifs pour lesquels ces informations sont considérées comme des contenus illicites ;
  • Les références aux clauses contractuelles, si la restriction est prise aux motifs d’une incompatibilité des informations avec les conditions générales du fournisseur de services d’hébergement ;
  • Des informations claires et aisément compréhensibles relatives aux possibilités de recours à la disposition du destinataire du service (mécanismes internes de traitement des réclamations, du règlement extrajudiciaire des litiges et recours juridictionnel).

En plus de ces nouvelles obligations applicables aux « hébergeurs », les plateformes en ligne devront notamment se conformer aux obligations suivantes (pour une définition des « plateformes en ligne », voir alerte) :

• Coopération avec les « signaleurs de confiance » (article 22)
  
  

  Le DSA introduit un nouvel acteur dans l’écosystème du « notice and take down » : le signaleur de confiance. Ce statut est attribué sur demande par le coordinateur pour les services numériques de l’État membre, sous réserve de satisfaire à un ensemble de conditions (expertise et compétence aux fins de la détection, de l’identification et de la notification des contenus illicites, indépendance vis-à-vis des fournisseurs de plateformes en ligne et acquittement de sa mission avec diligence, précision et objectivité). Les plateformes devront coopérer avec les nouveaux signaleurs de confiance. Cela passe par un traitement prioritaire de leurs notifications, par exemple.

• Mise en place d’un système permettant la contestation des décisions prises par la plateforme en matière de « take down » (articles 20 et 21)
  
  

  Les plateformes en ligne devront mettre en place un système interne de traitement des réclamations diligent, non-discriminatoire et non arbitraire permettant à tout destinataire de contester la décision de restriction prise.

  En outre, tant les destinataires du service que les particuliers ayant notifié un contenu prétendument illicite, doivent avoir la possibilité de choisir tout organe de règlement extrajudiciaire des litiges (certifié par le coordinateur pour les services numériques de l’Etat membre dans lequel cet organe est établi), en vue de résoudre les litiges associés aux décisions de restriction prises par les plateformes en ligne, y compris pour les réclamations qui ne pourraient pas être réglées par le système interne de traitement des réclamations mis en place par la plateforme en ligne (article 21.1).

  Les organes certifiés de règlement extrajudiciaire des litiges mettent leur solution à la disposition des parties dans un délai raisonnable et au plus tard 90 jours civils après la réception de la plainte (prolongé à 180 jours en cas de litige complexe - article 21.4).

  Cette possibilité s’entend sans préjudice du droit du destinataire du service concerné d’engager une procédure pour contester ces décisions par les fournisseurs de plateformes en ligne devant une juridiction conformément au droit applicable (article 21.1).

• Mise en place d’un système permettant de tracer et de sanctionner les comportements abusifs répétés (article 23)
  
  

  Corolaire d’un mécanisme rapide et efficace de « notice and take down », les plateformes en ligne doivent également traquer les utilisations abusives de leurs services. Dès lors, les plateformes en ligne doivent suspendre, pendant une période raisonnable et après avoir émis un avertissement préalable :

  • La fourniture de leurs services aux destinataires du service qui fournissent fréquemment des contenus manifestement illicites (article 23.1) ;
  • Le traitement des notifications et des réclamations des plaignants qui soumettent fréquemment des notifications ou des réclamations manifestement infondées (article 23.2).

  Ces décisions doivent être prises au cas par cas et en temps opportun, de manière diligente et objective. La décision des plateformes en ligne devra notamment prendre en compte la gravité des utilisations abusives, l’intention du destinataire ou du plaignant lorsque cela est possible ou encore le nombre d’éléments de contenus manifestement illicites ou de notifications ou de réclamations manifestement infondées, soumis au cours d’une période donnée. Les plateformes doivent informer les utilisateurs de ces critères dans leurs conditions générales d’utilisation (article 23.4).

3. Le DSA introduit de nouvelles modalités dans les relations entre les fournisseurs de services intermédiaires et les autorités judiciaires et administratives en lien avec le traitement des contenus illicites

Comme cela était prévu dans la directive e-commerce, le DSA maintient la possibilité pour une juridiction ou une autorité administrative, d'exiger du fournisseur de service intermédiaire qu’il mette un terme ou prévienne et donc empêche une infraction (blocage curatif, blocage préventif).

Le DSA vient toutefois détailler et préciser les obligations des fournisseurs de services intermédiaires en réponse à une demande des autorités au sein de trois articles :

• Injonctions d’agir contre des contenus illicites (article 9)
  
  

  Toutes les catégories de fournisseurs de services intermédiaires peuvent recevoir des autorités nationales pertinentes des injonctions d’agir à l’encontre d’un contenu illicite spécifique. Ils doivent à présent justifier aux autorités des suites données à l’injonction d’agir.

  Le DSA vient détailler le contenu de l’injonction qui sera adressée aux intermédiaires techniques par une liste d’information précise.

• Injonctions de fournir des informations (article 10)
  
  

  Toutes les catégories de fournisseurs de services intermédiaires peuvent recevoir des autorités nationales pertinentes des injonctions de fournir des informations, notamment relatives aux destinataires de leurs services. Ils doivent à présent justifier aux autorités des suites données à l’injonction d’agir.

  Le DSA vient détailler le contenu de l’injonction qui sera adressée aux intermédiaires techniques par une liste d’information précise.

  A noter : Les fournisseurs de services intermédiaires doivent informer le destinataire du service concerné, au plus tard lorsqu’une suite est donnée à l’injonction ou, au moment indiqué par l’autorité dans son injonction.

• Notification des soupçons d’infraction pénale (article 18)
  
  

  S’agissant plus spécifiquement des fournisseurs de services d’hébergement, ils ont l’obligation d’informer promptement les autorités dès qu’ils ont connaissance d’informations permettant de soupçonner qu’une infraction pénale impliquant une menace pour la vie ou la sécurité d’une ou de plusieurs personnes a été commise, est commise ou est susceptible de l’être.

Si le DSA ne bouleverse pas le régime de responsabilité allégée actuellement en vigueur, il renforce de facto les obligations des fournisseurs de services intermédiaires et précise le périmètre des acteurs réglementés.

Ce renforcement passe également par un système de sanction très dissuasif (jusqu’à 6% du chiffre d’affaires annuel).

4. Le DSA vient s’ajouter à des dispositions récentes de droit interne ayant déjà créé des régimes dérogatoires à la LCEN en matière de retrait de contenus illicites

La France a déjà implémenté un certain nombre de mesures venant aménager la responsabilité des plateformes en ligne, dont notamment :

• La loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République²
  
  

  La loi du 24 août 2021 vient modifier la LCEN et implémente à l’échelle nationale, un ensemble de mesures visant à prendre de l’avance sur l’application du DSA.

  Son article 42 impose d’ores et déjà de nouvelles obligations aux opérateurs de plateforme en ligne, en fonction de leur audience sur le territoire français³, le tout sous la supervision de l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom), au titre desquelles figurent :

  • Coopérer avec les autorités publiques en désignant un point de contact unique ;
  • Mettre en place des dispositifs accessibles pour notifier les contenus considérés comme illicites ;
  • Informer les auteurs de signalements des suites données à leurs notifications ;
  • Informer les personnes à l’origine de la publication d’un contenu considéré illicite, en cas de retrait ou de blocage ;
  • Fournir des modalités de recours internes contre les décisions prises par les opérateurs.

  A noter : la loi précise que ces obligations seront effectives jusqu’à l’entrée en vigueur du DSA et au plus tard jusqu’au 31 décembre 2023 (la date d’entrée en vigueur maximale du DSA étant établi au 1er janvier 2024). Les dispositions nationales seront alors remplacées par celles du règlement européen.

• L'ordonnance n° 2021-580 du 12 mai 2021⁴ transposant partiellement la directive européenne DAMUN⁵
  
  

  La Directive (UE) 2019/790 du 17 avril 2019 sur le droit d'auteur et les droits voisins dans le marché unique numérique a instauré un nouveau régime de responsabilité spécifiquement applicable aux « fournisseurs de services de partage de contenus en ligne »⁶, qui n’est pas sans rappeler celui instauré pour les hébergeurs.

  L’article 17 de la directive DAMUN établit la responsabilité des fournisseurs de service de partage de contenus en ligne s’agissant des actes non autorisés de communication au public d’une œuvre protégée sur leurs services. Ces derniers en sont responsables sauf à ce qu’ils démontrent qu’ils ont, entre autres, agi promptement, dès réception d'une notification suffisamment motivée de la part des titulaires de droits, pour bloquer l'accès aux œuvres et autres objets protégés faisant l'objet de la notification ou pour les retirer de leurs sites internet, et ont fourni leurs meilleurs efforts pour empêcher qu'ils soient téléversés dans le futur (i.e. obligation dite de « stay down »). Il est à noter que cette obligation dite de « stay down » n’est pas présente dans le DSA.

  Le considérant 11 du DSA précise que ses dispositions n’empiètent pas sur les règles applicables en matière de droit d’auteur et de droits voisins et vise spécifiquement la directive (UE) 2019/790 qui établit des règles et procédures spécifiques qui ne sont pas affectées. Les deux régimes ont donc vocation à coexister. On peut toutefois s’interroger sur les difficultés d’articulation qui pourraient se poser entre les deux régimes.

¹Il est toutefois précisé que le DSA n’a pas d’incidence sur l’application des autres dispositions de la directive 2000/31/CE
²LOI n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République, JOFR, n° 0197, 25 août 2021
³Décret n° 2022-32 du 14 janvier 2022 pris pour l'application de l'article 42 de la loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République et relatif à la fixation d'un seuil de connexions à partir duquel les opérateurs de plateformes en ligne concourent à la lutte contre la diffusion publique des contenus illicites, JOFR, n° 0013, 16 janvier 2022
⁴Ordonnance n° 2021-580 du 12 mai 2021 novembre 2021 complétant la transposition de la directive 2019/790 du Parlement européen et du Conseil du 17 avril 2019 sur le droit d'auteur et les droits voisins dans le marché unique numérique et modifiant les directives 96/9/CE et 2001/29/CE
⁵Publiée au Journal Officiel de l’Union européenne le 17 mai 2019
⁶Article 2 de la directive (UE) 2019/790 du Parlement européen et du Conseil du 17 avril 2019 sur le droit d'auteur et les droits voisins dans le marché unique numérique et modifiant les directives 96/9/CE et 2001/29/CE