Article 10 du DSA :
Savoir quand une plateforme transmet vos données à une autorité
Une autorité peut-elle obtenir de la plateforme le nom, l'adresse e-mail ou le numéro de téléphone lié à un compte ? Et peut-on, à l'inverse, faire identifier l'auteur anonyme d'un message ? L'article 10 du DSA (Digital Services Act) encadre les injonctions par lesquelles un juge ou une autorité administrative demande à une plateforme des informations sur un ou plusieurs utilisateurs. Voici ce que ces injonctions doivent contenir, ce que la plateforme doit vous dire et ce que vous pouvez faire.
- 01Ce que l'article 10 du DSA prévoit
- 02Quelles informations, et auprès de qui ?
- 03Qui peut demander vos données, et pourquoi ?
- 04Ce que l'injonction doit contenir
- 05Le circuit d'une injonction
- 06Votre droit d'être informé
- 07Vos données et vos recours
- 08En pratique : deux situations
- 09Un exemple concret
- 10Questions fréquentes sur l'article 10 du DSA
- Une injonction de fournir des informations est un ordre, émis par une autorité judiciaire ou administrative d'un État membre, de communiquer des informations précises sur un ou plusieurs utilisateurs précis.
- L'article 10 du DSA ne donne à aucune autorité le pouvoir de demander vos données : ce pouvoir doit exister dans une autre loi, européenne ou nationale. Il encadre la forme de l'injonction et ce qui suit sa réception.
- L'injonction ne peut porter que sur des informations que la plateforme a déjà collectées pour fournir son service. Elle doit en principe expliquer pourquoi ces informations sont nécessaires et proportionnées.
- La plateforme doit vous informer de l'injonction, au plus tard quand elle y donne suite ou au moment fixé par l'autorité. Un particulier ne peut pas, lui, utiliser l'article 10 du DSA pour obtenir l'identité d'un autre utilisateur.
Ce que l'article 10 du DSA prévoit
Pour mener une enquête ou faire respecter une loi, une autorité a parfois besoin de savoir qui se trouve derrière un compte : l'auteur de messages de harcèlement, le vendeur d'une annonce frauduleuse, un commerçant qui ne respecte pas les règles de protection des consommateurs. Les informations qui permettent de le savoir sont souvent détenues par la plateforme.
Avant le DSA, ces demandes arrivaient aux plateformes sous des formes très variées, selon le pays et l'autorité. L'article 10 du DSA fixe un cadre commun à toute l'Union européenne. Il est le pendant de l'article 9 du DSA, qui encadre les injonctions d'agir contre des contenus illicites.
Dès réception de l'injonction de fournir des informations spécifiques concernant un ou plusieurs destinataires spécifiques du service, émise par les autorités judiciaires ou administratives nationales compétentes sur la base du droit de l'Union ou du droit national conforme au droit de l'Union applicable, le fournisseur de services intermédiaires informe, dans les meilleurs délais, l'autorité qui a émis l'injonction, ou toute autre autorité spécifiée dans l'injonction, de la réception de l'injonction et de la suite qui y est donnée, en précisant si et quand une suite a été donnée à l'injonction.
L'article 10 du DSA ne dit pas qui peut demander vos données. Il dit comment la demande doit être formulée, ce qu'elle peut viser et ce que vous devez savoir.
Le texte insiste deux fois sur le mot spécifique : l'injonction vise des informations spécifiques, sur des utilisateurs spécifiques. Elle ne peut pas servir à obtenir en bloc les données de tous les utilisateurs d'un service.
Quelles informations, et auprès de qui ?
L'injonction ne peut exiger que des informations que le fournisseur a déjà collectées pour fournir son service et dont il a le contrôle. Elle ne l'oblige pas à recueillir de nouvelles données sur vous. Selon le service, il peut s'agir par exemple :
Des données d'inscription
Des données de connexion
Des données liées à l'activité
L'article 10 du DSA s'applique à tous les fournisseurs de « services intermédiaires », quelle que soit leur taille : fournisseurs d'accès à internet, services de mise en cache, hébergeurs, et parmi eux les plateformes en ligne comme les réseaux sociaux, les plateformes vidéo ou les places de marché.
Pour simplifier, ce guide parle de « plateforme », mais l'article 10 du DSA concerne tous ces services.
Qui peut demander vos données, et pourquoi ?
L'article 10 du DSA vise les injonctions émises par les « autorités judiciaires ou administratives nationales compétentes ». Il ne désigne pas lui-même ces autorités et ne leur attribue aucun pouvoir nouveau : l'injonction doit reposer sur le droit de l'Union ou sur un droit national conforme au droit de l'Union.
Une autorité judiciaire
Une autorité administrative
Ce que l'injonction doit contenir
Le paragraphe 2 de l'article 10 du DSA oblige les États membres à veiller à ce que chaque injonction transmise à un fournisseur remplisse des conditions minimales. Elles protègent à la fois le fournisseur, qui doit savoir exactement quoi communiquer, et la personne visée.
Lorsqu'une injonction visée au paragraphe 1 est transmise au fournisseur, les États membres veillent à ce qu'elle remplisse au minimum les conditions suivantes :
a) ladite injonction comprend les éléments suivants :
i) une référence à la base juridique au titre du droit de l'Union ou du droit national pour l'injonction ;
ii) des informations permettant d'identifier l'autorité d'émission ;
iii) des informations claires permettant au fournisseur de services intermédiaires d'identifier le ou les destinataires spécifiques au sujet desquels des informations sont demandées, telles qu'un ou plusieurs noms de compte ou identifiants uniques ;
iv) un exposé des motifs expliquant dans quel but les informations sont requises et pourquoi la demande de fourniture d'informations est nécessaire et proportionnée pour déterminer si les destinataires des services intermédiaires respectent le droit de l'Union ou le droit national conforme au droit de l'Union applicable, à moins qu'un tel exposé ne puisse être fourni pour des raisons liées à la prévention et à la détection des infractions pénales et aux enquêtes et poursuites en la matière ;
v) des informations relatives aux mécanismes de recours dont disposent le fournisseur et les destinataires du service concerné ;
vi) le cas échéant, des informations relatives à l'autorité qui doit recevoir les informations relatives aux suites données aux injonctions ;
b) ladite injonction exige uniquement du fournisseur qu'il communique des informations déjà collectées aux fins de fournir le service et dont il a le contrôle ;
c) ladite injonction est transmise dans l'une des langues déclarées par le fournisseur de services intermédiaires en vertu de l'article 11, paragraphe 3, ou dans une autre langue officielle des États membres convenue entre l'autorité qui a émis l'injonction et le fournisseur, et elle est envoyée au point de contact électronique désigné par ce fournisseur, conformément à l'article 11 ; lorsque l'injonction n'est pas rédigée dans la langue déclarée par le fournisseur de services intermédiaires ou dans une autre langue convenue de manière bilatérale, l'injonction peut être transmise dans la langue de l'autorité qui l'a émise, à condition qu'elle soit accompagnée d'une traduction, dans cette langue déclarée ou convenue de manière bilatérale, au minimum des éléments mentionnés aux points a) et b) du présent paragraphe.
Concrètement, l'injonction doit comporter au moins les éléments suivants.
La base juridique
L'identité de l'autorité
Les utilisateurs visés
Un exposé des motifs
Les voies de recours
L'autorité à informer, le cas échéant
Uniquement des données existantes
La bonne langue, au bon endroit
Le circuit d'une injonction
Le parcours d'une injonction de fournir des informations est le même que celui d'une injonction d'agir contre un contenu illicite.
L'autorité qui a émis l'injonction ou, le cas échéant, l'autorité spécifiée dans l'injonction, transmet l'injonction ainsi que toute information reçue du fournisseur de services intermédiaires concernant la suite donnée à cette injonction au coordinateur pour les services numériques de l'État membre de l'autorité d'émission.
Après avoir reçu l'injonction de l'autorité judiciaire ou administrative, le coordinateur pour les services numériques de l'État membre concerné transmet, dans les meilleurs délais, une copie de l'injonction visée au paragraphe 1 du présent article à tous les coordinateurs pour les services numériques par l'intermédiaire du système établi conformément à l'article 85.
L'autorité envoie l'injonction au fournisseur
Le fournisseur accuse réception et indique la suite donnée
L'autorité transmet le dossier à son coordinateur
Le coordinateur partage une copie avec ses homologues
La personne concernée est informée
Votre droit d'être informé
Si vos données sont demandées par une autorité, la plateforme ne peut pas les transmettre en vous laissant dans l'ignorance de façon définitive.
Au plus tard lorsqu'une suite est donnée à l'injonction ou, le cas échéant, au moment indiqué par l'autorité d'émission dans son injonction, les fournisseurs de services intermédiaires informent le destinataire du service concerné de l'injonction reçue et de la suite qui lui est donnée. Les informations communiquées au destinataire du service comprennent un exposé des motifs et les possibilités de recours qui existent, conformément au paragraphe 2.
La plateforme doit donc vous communiquer trois éléments.
L'existence de l'injonction
La suite donnée
Les motifs et les recours
Les conditions et exigences énoncées dans le présent article sont sans préjudice du droit national applicable en matière de procédure civile et de procédure pénale.
Vos données et vos recours
Lorsqu'une plateforme communique des informations en exécution d'une injonction, la décision vient de l'autorité, pas de la plateforme. Ce n'est pas une décision de modération : la réclamation interne de la plateforme et les organismes de règlement extrajudiciaire des litiges ne sont pas faits pour cela.
Contester l'injonction
Exercer vos droits sur vos données
Signaler un manquement de la plateforme
On conteste une injonction devant l'autorité ou le juge compétent. On conteste le manquement d'une plateforme à ses obligations auprès du coordinateur pour les services numériques.
En pratique : deux situations
Une plateforme vous informe qu'une autorité a demandé vos données
Conservez le message
Vérifiez les informations reçues
Renseignez-vous vite sur les recours
Vous voulez faire identifier l'auteur d'un contenu
Rassemblez les preuves
Signalez le contenu à la plateforme
Passez par une autorité
Un exemple concret
Vous vivez en France. Depuis plusieurs semaines, un compte anonyme publie sur un réseau social des messages insultants et menaçants à votre sujet. Vous voulez savoir qui se cache derrière ce compte. Votre premier réflexe est d'écrire à la plateforme. Selon la démarche choisie, le résultat sera très différent.
- L'article 10 du DSA ne donne aucun droit à un particulier d'obtenir ces données
- La plateforme ne peut pas communiquer les données d'un utilisateur sur simple demande
- Le temps perdu peut faire disparaître des preuves
- Les faits sont datés et documentés
- Les contenus ont été signalés à la plateforme
- L'autorité pourra demander les informations d'identification à la plateforme
La démarche pertinente s'adresse à la seule personne qui peut obtenir l'identité de l'auteur : une autorité. C'est elle qui adressera à la plateforme une injonction de fournir des informations, encadrée par l'article 10 du DSA.
Questions fréquentes sur l'article 10 du DSA
Elle doit vous informer de l'injonction et de la suite qui lui est donnée, au plus tard au moment où elle y donne suite (article 10, paragraphe 5, du DSA). L'autorité peut toutefois fixer un moment plus tardif dans son injonction, par exemple pour ne pas compromettre une enquête pénale.
Pas directement auprès de la plateforme. L'article 10 du DSA encadre les demandes des autorités, pas celles des particuliers. Portez plainte ou saisissez un juge : l'autorité pourra demander à la plateforme les informations permettant d'identifier l'auteur.
Uniquement des informations spécifiques sur des utilisateurs spécifiques, que la plateforme a déjà collectées pour fournir son service et dont elle a le contrôle. La liste exacte dépend de la loi sur laquelle repose l'injonction et des données que le service conserve.
Non, pas au titre de l'article 10 du DSA, qui ne vise que des informations déjà collectées. D'autres règles, nationales ou européennes, peuvent toutefois imposer à certains services de conserver certaines données.
Oui, par les voies de recours que l'injonction doit indiquer, en général devant le juge ou l'autorité du pays qui l'a émise. La réclamation interne de la plateforme (article 20 du DSA) ne permet pas de remettre en cause une injonction d'une autorité.
Oui, si la loi de ce pays ou le droit de l'Union le lui permet. En matière pénale, le règlement (UE) 2023/1543 organise les demandes adressées par l'autorité d'un État membre à un fournisseur établi dans un autre.
Oui. L'article 10 du DSA s'applique à tous les fournisseurs de services intermédiaires, quelle que soit leur taille.
Dans ses rapports de transparence. Les fournisseurs doivent y indiquer le nombre d'injonctions reçues des autorités des États membres, y compris celles de l'article 10 du DSA, et le délai médian pour y donner suite (article 15 du DSA). L'observatoire des plateformes reprend une partie de ces chiffres.
Ce que l'article 10 du DSA prévoit
Texte officiel et sources
- Règlement (UE) 2022/2065 sur les services numériques (Digital Services Act - DSA)
- Règlement (UE) 2016/679 relatif à la protection des données à caractère personnel (RGPD)
- Règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation de preuves électroniques
- Liste des coordinateurs pour les services numériques des États membres, Commission européenne
Articles
- Article 9 du DSA : injonctions d'agir contre des contenus illicites
- Article 11 du DSA : points de contact pour les autorités des États membres, la Commission et le comité
- Article 12 du DSA : points de contact pour les destinataires du service
- Article 15 du DSA : rapports de transparence
- Article 16 du DSA : mécanismes de notification et d'action
- Article 20 du DSA : système interne de traitement des réclamations
- Article 53 du DSA : droit d'introduire une plainte
- Article 15 du RGPD : droit d'accès de la personne concernée