Le DSA impose une obligation d’évaluation des risques systémiques pour les très grandes plateformes et moteurs. Cette exigence vise à renforcer la transparence, la conformité et la sécurité numérique dans l’Union européenne.
Selon le texte et les lignes directrices publiées, ces évaluations doivent porter sur conception, fonctionnement et usages. Cette approche prépare un examen structuré des risques et mène vers un point synthétique utile pour l’action pratique.
A retenir :
- Obligation d’évaluation annuelle pour les très grandes plateformes et moteurs
- Examen de la conception des algorithmes et des systèmes de recommandation
- Interdiction stricte du ciblage publicitaire fondé sur données sensibles
- Conservation des justificatifs des évaluations pendant au moins trois ans
DSA et périmètre de l’évaluation des risques systémiques
Après ce résumé, le DSA définit précisément le périmètre des évaluations exigées pour les fournisseurs désignés. Selon le DSA, l’évaluation couvre la conception, le fonctionnement et l’utilisation des services concernés.
Selon le CEPD, ces évaluations déclenchent souvent une analyse d’impact en vertu du RGPD quand des données personnelles sont traitées. Cette observation prépare la compréhension des mesures techniques et organisationnelles nécessaires ensuite.
Catégorie de risque
Exemples concrets
Conséquences potentielles
Mesures attendues
Diffusion de contenus illicites
Contenus haineux amplifiés par recommandation
Atteintes aux droits fondamentaux et ordre public
Outils de détection et modération proportionnés
Droits fondamentaux
Atteintes à la vie privée via profilage
Atteintes à la dignité et non-discrimination
Minimisation des données et DPIA
Discours civique
Manipulation des flux lors d’élections
Affaiblissement du pluralisme et confiance publique
Audit des systèmes de recommandation
Santé et mineurs
Contenus dangereux accessibles aux mineurs
Risques physiques et psychologiques graves
Verrous publicitaires et vérification d’âge proportionnée
Points opérationnels :
- Cartographie des flux de données publicitaires
- Audit des interfaces et options sans profilage
- Vérification des mécanismes de modération
« J’ai dû revoir la cartographie des données publicitaires pour me conformer aux nouvelles règles »
Alice D.
Périmètre légal et obligations documentaires
Ce point précise ce qui doit être évalué et documenté par les fournisseurs soumis au régime renforcé. Selon le DSA, les évaluations doivent être menées avant le déploiement de fonctionnalités à risque.
Selon le CEPD, les documents justificatifs doivent être conservés au moins trois ans et communiqués sur demande. Cette exigence renforce la traçabilité et la capacité de contrôle des autorités compétentes.
Exemples pratiques et cas d’usage
Les opérations de cartographie des flux publicitaires illustrent la charge de travail attendue, avec audits techniques et revues juridiques. Des plateformes ayant déjà mené ces travaux rapportent des modifications substantielles de leurs interfaces.
Cette observation conduit naturellement aux choix de conception d’interface qui respectent l’option sans profilage, et prépare la montée en charge des exigences de conformité. Les équipes produit doivent prioriser la preuve technique de non-collecte.
« Nous avons audité nos interfaces pour garantir une option sans profilage réellement effective »
Marc L.
Conception algorithmique et modération sous DSA
Enchaînement logique oblige à examiner la conception des systèmes algorithmiques et des règles de modération. Selon le DSA, ces éléments influencent fortement la probabilité et la gravité des risques systémiques recensés.
Selon le CEPD, les interfaces trompeuses et les dark patterns peuvent constituer une violation du RGPD en plus du DSA. Cette double exposition juridique nécessite une gouvernance produit robuste et documentée.
Mesures techniques :
- Revue des systèmes de recommandation
- Tests d’amplification et simulation d’attaques
- Mise en place d’options réellement sans profilage
Audit des algorithmes et preuves techniques
Ce sous-ensemble décrit les preuves techniques attendues pour démontrer la neutralité de l’option sans profilage. Les preuves techniques doivent montrer l’arrêt effectif de collecte et l’absence de profilage en arrière-plan.
Des contrôles internes réguliers permettent de vérifier l’efficacité de ces mesures et d’anticiper des demandes de coordinateurs nationaux. Une gouvernance centralisée facilite les réponses lors d’enquêtes croisées.
« L’interdiction du ciblage sur données sensibles a transformé nos règles publicitaires du jour au lendemain »
Sophie B.
Modération et protection des publics vulnérables
Ce volet aborde la protection des mineurs et la prévention des contenus nuisibles à la santé publique. Le DSA impose des verrous publicitaires et des mécanismes de vérification d’âge respectueux de la vie privée.
Les plateformes doivent limiter les données collectées lors des vérifications d’âge et éviter la conservation inutile de documents d’identité. Ces bonnes pratiques réduisent les risques de non-conformité et d’atteinte aux droits.
« Nous avons dû repenser nos solutions de vérification d’âge pour minimiser la conservation des preuves »
Julien P.
Gouvernance, conformité croisée et coopération réglementaire
Ce passage montre comment la gouvernance interne relie conformité DSA et obligations RGPD au quotidien des entreprises. Selon le CEPD, la coopération entre coordinateurs DSA et autorités de protection des données est désormais centrale.
Selon le DSA, les entreprises doivent se préparer à des contrôles croisés et à des enquêtes parallèles, avec une gouvernance capable de répondre efficacement. Cet enjeu conduit à des plans d’action concrets et des ressources dédiées.
Éléments de gouvernance :
- Structure centrale de conformité multi-régulateurs
- Registre des évaluations et preuves techniques
- Processus d’escalade en cas d’incident système
Dimension
Objectif
Exemple d’action
Gouvernance
Réponse coordonnée aux contrôles
Cellule juridique et technique centralisée
Documentation
Preuves des évaluations et mesures
Registre de conservation sur trois ans
Audit
Vérification périodique des systèmes
Audits tiers et tests d’impact
Communication
Transparence envers autorités et utilisateurs
Rapports publics et canaux de dialogue
Actions opérationnelles :
- Plan de mise en conformité priorisé
- Formations dédiées aux équipes produit
- Simulations d’incident et retours d’expérience
Selon le CEPD, ces lignes directrices resserrent l’interprétation des règles existantes et demandent vigilance opérationnelle continue. Cette exigence conduit naturellement à une attention soutenue sur la gouvernance et la documentation.
Source : Comité européen de la protection des données, « Lignes directrices sur l’articulation entre le DSA et le RGPD », CEPD, 11 septembre 2025.
