Nous appeler
⚖️ Guide DSA

Article 10 du DSA :
Savoir quand une plateforme transmet vos données à une autorité

Une autorité peut-elle obtenir de la plateforme le nom, l'adresse e-mail ou le numéro de téléphone lié à un compte ? Et peut-on, à l'inverse, faire identifier l'auteur anonyme d'un message ? L'article 10 du DSA (Digital Services Act) encadre les injonctions par lesquelles un juge ou une autorité administrative demande à une plateforme des informations sur un ou plusieurs utilisateurs. Voici ce que ces injonctions doivent contenir, ce que la plateforme doit vous dire et ce que vous pouvez faire.

Article 10 du règlement (UE) 2022/2065
Applicable depuis le 17 février 2024
Mise à jour le 22 octobre 2026
Lecture : 10 minutes
À retenir en 30 secondes
  • Une injonction de fournir des informations est un ordre, émis par une autorité judiciaire ou administrative d'un État membre, de communiquer des informations précises sur un ou plusieurs utilisateurs précis.
  • L'article 10 du DSA ne donne à aucune autorité le pouvoir de demander vos données : ce pouvoir doit exister dans une autre loi, européenne ou nationale. Il encadre la forme de l'injonction et ce qui suit sa réception.
  • L'injonction ne peut porter que sur des informations que la plateforme a déjà collectées pour fournir son service. Elle doit en principe expliquer pourquoi ces informations sont nécessaires et proportionnées.
  • La plateforme doit vous informer de l'injonction, au plus tard quand elle y donne suite ou au moment fixé par l'autorité. Un particulier ne peut pas, lui, utiliser l'article 10 du DSA pour obtenir l'identité d'un autre utilisateur.
01 — Le principe

Ce que l'article 10 du DSA prévoit

Pour mener une enquête ou faire respecter une loi, une autorité a parfois besoin de savoir qui se trouve derrière un compte : l'auteur de messages de harcèlement, le vendeur d'une annonce frauduleuse, un commerçant qui ne respecte pas les règles de protection des consommateurs. Les informations qui permettent de le savoir sont souvent détenues par la plateforme.

Avant le DSA, ces demandes arrivaient aux plateformes sous des formes très variées, selon le pays et l'autorité. L'article 10 du DSA fixe un cadre commun à toute l'Union européenne. Il est le pendant de l'article 9 du DSA, qui encadre les injonctions d'agir contre des contenus illicites.

L'article 10 du DSA ne dit pas qui peut demander vos données. Il dit comment la demande doit être formulée, ce qu'elle peut viser et ce que vous devez savoir.

Le texte insiste deux fois sur le mot spécifique : l'injonction vise des informations spécifiques, sur des utilisateurs spécifiques. Elle ne peut pas servir à obtenir en bloc les données de tous les utilisateurs d'un service.

02 — Les notions

Quelles informations, et auprès de qui ?

L'injonction ne peut exiger que des informations que le fournisseur a déjà collectées pour fournir son service et dont il a le contrôle. Elle ne l'oblige pas à recueillir de nouvelles données sur vous. Selon le service, il peut s'agir par exemple :

1

Des données d'inscription

Le nom indiqué lors de la création du compte, l'adresse e-mail, le numéro de téléphone, la date de création du compte.
2

Des données de connexion

Les adresses IP utilisées pour se connecter, les dates et heures de connexion, lorsque le service les conserve.
3

Des données liées à l'activité

Pour un vendeur sur une place de marché, par exemple, les coordonnées professionnelles ou les informations de paiement que la plateforme détient.
📌
La notion de « service intermédiaire »

L'article 10 du DSA s'applique à tous les fournisseurs de « services intermédiaires », quelle que soit leur taille : fournisseurs d'accès à internet, services de mise en cache, hébergeurs, et parmi eux les plateformes en ligne comme les réseaux sociaux, les plateformes vidéo ou les places de marché.

Pour simplifier, ce guide parle de « plateforme », mais l'article 10 du DSA concerne tous ces services.

03 — Les autorités

Qui peut demander vos données, et pourquoi ?

L'article 10 du DSA vise les injonctions émises par les « autorités judiciaires ou administratives nationales compétentes ». Il ne désigne pas lui-même ces autorités et ne leur attribue aucun pouvoir nouveau : l'injonction doit reposer sur le droit de l'Union ou sur un droit national conforme au droit de l'Union.

1

Une autorité judiciaire

Un juge ou, selon les pays, un procureur ou des enquêteurs agissant sous son contrôle, dans le cadre d'une enquête pénale ou d'une procédure civile : pour identifier l'auteur de messages de harcèlement ou d'une escroquerie, par exemple.
2

Une autorité administrative

Une autorité publique à laquelle la loi donne le pouvoir de demander des informations : une autorité de protection des consommateurs qui veut identifier un vendeur en ligne, par exemple.
⚠️
Un particulier ne peut pas utiliser l'article 10 du DSA
L'article 10 du DSA ne donne aucun droit à un particulier d'obtenir d'une plateforme l'identité d'un autre utilisateur. Si vous êtes victime d'un contenu publié par un compte anonyme, il faut passer par une autorité : porter plainte, ou saisir un juge pour qu'il ordonne à la plateforme de communiquer les informations permettant d'identifier l'auteur, selon les procédures prévues par le droit de votre pays.
🌍
Des règles spéciales en matière pénale
D'autres textes européens peuvent s'appliquer. En matière pénale, le règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation de preuves électroniques organise la façon dont une autorité d'un État membre peut demander des données directement à un fournisseur établi dans un autre.
04 — Le contenu de l'injonction

Ce que l'injonction doit contenir

Le paragraphe 2 de l'article 10 du DSA oblige les États membres à veiller à ce que chaque injonction transmise à un fournisseur remplisse des conditions minimales. Elles protègent à la fois le fournisseur, qui doit savoir exactement quoi communiquer, et la personne visée.

Concrètement, l'injonction doit comporter au moins les éléments suivants.

1

La base juridique

La référence au texte, européen ou national, qui permet à l'autorité de demander ces informations.
2

L'identité de l'autorité

Les informations qui permettent d'identifier l'autorité qui a émis l'injonction.
3

Les utilisateurs visés

Des informations claires pour identifier le ou les utilisateurs concernés, comme un ou plusieurs « noms de compte ou identifiants uniques ».
4

Un exposé des motifs

L'explication du but de la demande, et des raisons pour lesquelles elle est nécessaire et proportionnée pour vérifier si les utilisateurs visés respectent le droit de l'Union ou le droit national. Cet exposé peut être omis lorsqu'il ne peut pas être fourni pour des raisons liées à la prévention et à la détection des infractions pénales, ou aux enquêtes et poursuites en la matière.
5

Les voies de recours

Les informations sur les recours dont disposent le fournisseur et les utilisateurs concernés.
6

L'autorité à informer, le cas échéant

Si une autre autorité que celle qui a émis l'injonction doit être informée de la suite donnée, l'injonction le précise.
7

Uniquement des données existantes

L'injonction ne peut exiger que des informations déjà collectées pour fournir le service et dont le fournisseur a le contrôle.
8

La bonne langue, au bon endroit

L'injonction est envoyée au point de contact que le fournisseur a désigné pour les autorités, dans une langue qu'il a déclarée ou qui a été convenue avec l'autorité (article 11 du DSA). À défaut, elle doit être accompagnée d'une traduction de ses éléments principaux, c'est-à-dire au minimum des éléments mentionnés aux points a) et b) du paragraphe 2.
05 — Le circuit

Le circuit d'une injonction

Le parcours d'une injonction de fournir des informations est le même que celui d'une injonction d'agir contre un contenu illicite.

1

L'autorité envoie l'injonction au fournisseur

Elle l'adresse au point de contact électronique désigné par le fournisseur pour les autorités.
2

Le fournisseur accuse réception et indique la suite donnée

Dans les meilleurs délais, il informe l'autorité de la réception de l'injonction et de la suite qu'il y donne, en précisant s'il a communiqué les informations et quand.
3

L'autorité transmet le dossier à son coordinateur

Elle envoie l'injonction et les informations reçues du fournisseur sur la suite donnée au coordinateur pour les services numériques de son pays (article 10, paragraphe 3, du DSA).
4

Le coordinateur partage une copie avec ses homologues

Il transmet une copie de l'injonction à tous les coordinateurs pour les services numériques, par le système d'échange d'informations prévu par le DSA (article 10, paragraphe 4, du DSA).
5

La personne concernée est informée

Le fournisseur informe l'utilisateur visé, au plus tard quand il donne suite à l'injonction ou au moment fixé par l'autorité (article 10, paragraphe 5, du DSA).
📊
Des chiffres publics
Les fournisseurs doivent publier dans leurs rapports de transparence le nombre d'injonctions reçues des autorités des États membres, y compris celles de l'article 10 du DSA, ainsi que le délai médian pour en informer l'autorité et pour y donner suite (article 15 du DSA). L'observatoire des plateformes reprend une partie de ces chiffres, plateforme par plateforme.
06 — Vos droits

Votre droit d'être informé

Si vos données sont demandées par une autorité, la plateforme ne peut pas les transmettre en vous laissant dans l'ignorance de façon définitive.

La plateforme doit donc vous communiquer trois éléments.

1

L'existence de l'injonction

Le fait qu'une autorité a demandé des informations vous concernant.
2

La suite donnée

Si la plateforme a communiqué les informations demandées, ou non.
3

Les motifs et les recours

Un exposé des motifs et les possibilités de recours qui existent, tels qu'ils figurent dans l'injonction.
⏳
Une information qui peut être différée
Prévenir trop tôt la personne visée pourrait compromettre une enquête. C'est pourquoi l'autorité peut fixer, dans son injonction, le moment où vous serez informé. L'exposé des motifs peut aussi être omis pour des raisons liées aux enquêtes pénales. Enfin, les règles nationales de procédure civile et pénale restent applicables (paragraphe 6).
07 — Les recours

Vos données et vos recours

Lorsqu'une plateforme communique des informations en exécution d'une injonction, la décision vient de l'autorité, pas de la plateforme. Ce n'est pas une décision de modération : la réclamation interne de la plateforme et les organismes de règlement extrajudiciaire des litiges ne sont pas faits pour cela.

1

Contester l'injonction

C'est l'injonction elle-même qu'il faut contester, par les voies de recours qu'elle indique, en général devant le juge ou l'autorité du pays qui l'a émise. Ces recours sont souvent enfermés dans des délais courts.
2

Exercer vos droits sur vos données

Le règlement général sur la protection des données (RGPD) continue de s'appliquer. Son article 15 vous permet notamment de savoir à qui vos données ont été communiquées. Ce droit peut toutefois être limité par la loi, en particulier pour ne pas compromettre une enquête pénale.
3

Signaler un manquement de la plateforme

Si la plateforme ne vous informe pas comme l'exige l'article 10 du DSA, vous pouvez introduire une plainte auprès du coordinateur pour les services numériques de votre pays (article 53 du DSA). La Commission européenne publie la liste des coordinateurs de tous les États membres.

On conteste une injonction devant l'autorité ou le juge compétent. On conteste le manquement d'une plateforme à ses obligations auprès du coordinateur pour les services numériques.

08 — En pratique

En pratique : deux situations

Une plateforme vous informe qu'une autorité a demandé vos données

1

Conservez le message

Faites une capture d'écran ou enregistrez l'e-mail, avec sa date.
2

Vérifiez les informations reçues

Le message indique-t-il la suite donnée, les motifs et les possibilités de recours ? Si ce n'est pas le cas, demandez-les à la plateforme par son point de contact pour les utilisateurs (article 12 du DSA), en citant l'article 10, paragraphe 5, du DSA.
3

Renseignez-vous vite sur les recours

Si vous envisagez de contester l'injonction, les délais peuvent être courts. Un avocat peut vous aider à évaluer vos chances et la procédure à suivre dans le pays de l'autorité.

Vous voulez faire identifier l'auteur d'un contenu

1

Rassemblez les preuves

Captures d'écran datées, adresses URL des contenus, nom du compte. Faites-le avant que le contenu ou le compte ne disparaisse.
2

Signalez le contenu à la plateforme

Si le contenu est illicite, signalez-le par le mécanisme prévu par l'article 16 du DSA. Le signalement peut conduire à son retrait, mais il ne vous donnera pas l'identité de l'auteur.
3

Passez par une autorité

Portez plainte auprès des services de police ou du parquet, ou saisissez un juge, selon le droit de votre pays. C'est l'autorité qui pourra adresser à la plateforme une injonction de fournir les informations permettant d'identifier l'auteur.
09 — Cas pratique

Un exemple concret

Vous vivez en France. Depuis plusieurs semaines, un compte anonyme publie sur un réseau social des messages insultants et menaçants à votre sujet. Vous voulez savoir qui se cache derrière ce compte. Votre premier réflexe est d'écrire à la plateforme. Selon la démarche choisie, le résultat sera très différent.

✕ Démarche inefficace
Message à la plateforme : « En vertu de l'article 10 du DSA, je vous demande de me communiquer le nom, l'adresse e-mail et le numéro de téléphone du titulaire du compte @[identifiant], qui me harcèle. »
  • L'article 10 du DSA ne donne aucun droit à un particulier d'obtenir ces données
  • La plateforme ne peut pas communiquer les données d'un utilisateur sur simple demande
  • Le temps perdu peut faire disparaître des preuves
✓ Démarche pertinente
Plainte déposée auprès de la police ou de la gendarmerie : « Depuis le [date], le compte @[identifiant] publie sur [nom du réseau social] des messages me visant nommément, dont des menaces ([URL], captures d'écran datées jointes). J'ai signalé ces contenus à la plateforme le [date] (accusé de réception joint). J'ignore l'identité du titulaire de ce compte et je vous demande de prendre les mesures nécessaires pour l'identifier. »
  • Les faits sont datés et documentés
  • Les contenus ont été signalés à la plateforme
  • L'autorité pourra demander les informations d'identification à la plateforme

La démarche pertinente s'adresse à la seule personne qui peut obtenir l'identité de l'auteur : une autorité. C'est elle qui adressera à la plateforme une injonction de fournir des informations, encadrée par l'article 10 du DSA.

10 — Vos questions

Questions fréquentes sur l'article 10 du DSA

Elle doit vous informer de l'injonction et de la suite qui lui est donnée, au plus tard au moment où elle y donne suite (article 10, paragraphe 5, du DSA). L'autorité peut toutefois fixer un moment plus tardif dans son injonction, par exemple pour ne pas compromettre une enquête pénale.

Pas directement auprès de la plateforme. L'article 10 du DSA encadre les demandes des autorités, pas celles des particuliers. Portez plainte ou saisissez un juge : l'autorité pourra demander à la plateforme les informations permettant d'identifier l'auteur.

Uniquement des informations spécifiques sur des utilisateurs spécifiques, que la plateforme a déjà collectées pour fournir son service et dont elle a le contrôle. La liste exacte dépend de la loi sur laquelle repose l'injonction et des données que le service conserve.

Non, pas au titre de l'article 10 du DSA, qui ne vise que des informations déjà collectées. D'autres règles, nationales ou européennes, peuvent toutefois imposer à certains services de conserver certaines données.

Oui, par les voies de recours que l'injonction doit indiquer, en général devant le juge ou l'autorité du pays qui l'a émise. La réclamation interne de la plateforme (article 20 du DSA) ne permet pas de remettre en cause une injonction d'une autorité.

Oui, si la loi de ce pays ou le droit de l'Union le lui permet. En matière pénale, le règlement (UE) 2023/1543 organise les demandes adressées par l'autorité d'un État membre à un fournisseur établi dans un autre.

Oui. L'article 10 du DSA s'applique à tous les fournisseurs de services intermédiaires, quelle que soit leur taille.

Dans ses rapports de transparence. Les fournisseurs doivent y indiquer le nombre d'injonctions reçues des autorités des États membres, y compris celles de l'article 10 du DSA, et le délai médian pour y donner suite (article 15 du DSA). L'observatoire des plateformes reprend une partie de ces chiffres.