Article 34 du DSA :
Comprendre l'évaluation des risques systémiques
Les plus grandes plateformes et les plus grands moteurs de recherche sont utilisés chaque mois par des dizaines de millions de personnes dans l'Union. À cette échelle, leur fonctionnement peut avoir des effets sur la société tout entière. L'article 34 du DSA (Digital Services Act) les oblige à recenser, analyser et évaluer ces risques au moins une fois par an : contenus illicites, atteintes aux droits fondamentaux, aux processus électoraux, à la santé publique ou à la protection des mineurs. Voici ce que recouvre cette évaluation, quand elle a lieu et comment la consulter.
- 01Ce que l'article 34 du DSA impose
- 02Qui est concerné ?
- 03Qu'est-ce qu'un « risque systémique » ?
- 04Les quatre catégories de risques systémiques
- 05Quand l'évaluation doit-elle avoir lieu ?
- 06Ce que l'évaluation doit examiner
- 07Conservation, atténuation, audit et publication
- 08Ce que l'évaluation des risques change pour vous
- 09Un exemple concret
- 10Questions fréquentes sur l'article 34 du DSA
- L'article 34 du DSA ne vise que les très grandes plateformes en ligne et les très grands moteurs de recherche : au moins 45 millions d'utilisateurs actifs par mois dans l'Union, et une désignation par la Commission européenne.
- Ces services doivent évaluer les risques que leur fonctionnement fait peser sur la société : contenus illicites, droits fondamentaux, débat public et élections, violences sexistes, santé publique, mineurs et bien-être.
- L'évaluation a lieu au moins une fois par an, et avant tout lancement d'une fonctionnalité susceptible d'avoir une incidence critique sur ces risques. Elle examine notamment les algorithmes, la modération, les conditions générales, la publicité et l'usage des données.
- Elle est suivie de mesures d'atténuation (article 35 du DSA), d'un audit indépendant (article 37 du DSA) et d'un rapport public (article 42 du DSA) que chacun peut consulter.
Ce que l'article 34 du DSA impose
La plupart des règles du DSA portent sur des situations individuelles : un contenu signalé, un compte suspendu, une réclamation. L'article 34 du DSA change d'échelle. Il ne s'intéresse pas à une décision en particulier, mais aux effets d'ensemble qu'un très grand service peut avoir sur la société.
Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l'Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, y compris des systèmes algorithmiques, ou de l'utilisation faite de leurs services.
Concrètement, la plateforme doit se poser trois questions : quels risques mon service crée-t-il ou amplifie-t-il ? Comment ces risques apparaissent-ils ? Quelles sont leur gravité et leur probabilité ? Le texte vise aussi bien la conception du service (ses fonctionnalités, ses algorithmes) que l'usage qu'en font ses utilisateurs, y compris lorsque cet usage est détourné.
Plus un service est grand, plus il doit regarder en face les risques qu'il fait peser sur la société.
Le mot « diligente » est important : l'évaluation doit être sérieuse, documentée et menée avec soin. Elle n'est pas une simple formalité. C'est le point de départ de toute une chaîne d'obligations : les risques recensés doivent ensuite être atténués, contrôlés par un auditeur indépendant et présentés dans un rapport public.
Qui est concerné ?
L'article 34 du DSA ne s'applique pas à toutes les plateformes. Il fait partie d'une série d'obligations réservées aux plus grands services, définis par l'article 33 du DSA.
La présente section s'applique aux plateformes en ligne et aux moteurs de recherche en ligne qui ont un nombre mensuel moyen de destinataires actifs du service dans l'Union égal ou supérieur à 45 millions, et qui sont désignés comme des très grandes plateformes en ligne ou des très grands moteurs de recherche en ligne en vertu du paragraphe 4.
Une plateforme en ligne est un service qui stocke les contenus de ses utilisateurs et les diffuse au public : réseau social, plateforme de partage de vidéos, place de marché, boutique d'applications… Un moteur de recherche en ligne permet de chercher des informations sur l'ensemble des sites internet.
Ces services deviennent des très grandes plateformes en ligne (en anglais, VLOP) ou des très grands moteurs de recherche en ligne (VLOSE) lorsque deux conditions sont réunies : ils comptent en moyenne au moins 45 millions d'utilisateurs actifs par mois dans l'Union, soit environ 10 % de sa population, et la Commission européenne les a formellement désignés comme tels.
Pour simplifier la lecture, ce guide parle le plus souvent de « très grandes plateformes » pour désigner les deux catégories.
Le seuil ne suffit donc pas : tant qu'un service n'a pas été désigné par une décision de la Commission, l'article 34 du DSA ne s'applique pas à lui. À l'inverse, une plateforme qui n'est pas désignée reste soumise aux autres obligations du DSA, comme la publication de rapports de transparence ou le traitement des réclamations.
La Commission tient à jour la liste officielle des très grandes plateformes et des très grands moteurs de recherche désignés. Les premières désignations ont été adoptées le 25 avril 2023 ; d'autres services ont été ajoutés depuis.
Qu'est-ce qu'un « risque systémique » ?
Le DSA ne définit pas le risque systémique en une phrase. Mais l'idée est simple : un risque est systémique lorsqu'il ne se limite pas à quelques cas isolés et qu'il découle du fonctionnement même du service, au point de pouvoir toucher un grand nombre de personnes ou la société dans son ensemble.
Prenons une image. Un contenu illicite publié une fois et retiré rapidement est un problème ponctuel. Si, en revanche, la manière dont le service recommande les contenus permet à ce type de contenus de se propager massivement, de façon répétée, le problème devient systémique : il tient au système lui-même, et non plus seulement à un utilisateur.
Cette évaluation des risques est spécifique à leurs services et proportionnée aux risques systémiques, de la gravité et de la probabilité desquels elle tient compte, et comprend les risques systémiques suivants :
Deux idées ressortent de ce passage.
Une évaluation propre à chaque service
Une évaluation proportionnée
Les quatre catégories de risques systémiques
Le paragraphe 1 de l'article 34 du DSA énumère quatre catégories de risques que toute évaluation doit couvrir.
a) la diffusion de contenus illicites par l'intermédiaire de leurs services ;
b) tout effet négatif réel ou prévisible pour l'exercice des droits fondamentaux, en particulier le droit fondamental à la dignité humaine consacré à l'article 1er de la Charte, au respect de la vie privée et familiale consacré à l'article 7 de la Charte, à la protection des données à caractère personnel consacré à l'article 8 de la Charte, à la liberté d'expression et d'information, y compris la liberté et le pluralisme des médias, consacré à l'article 11 de la Charte, et à la non-discrimination consacré à l'article 21 de la Charte, les droits fondamentaux relatifs aux droits de l'enfant consacrés à l'article 24 de la Charte et le droit fondamental à un niveau élevé de protection des consommateurs consacré à l'article 38 de la Charte ;
c) tout effet négatif réel ou prévisible sur le discours civique, les processus électoraux et la sécurité publique ;
d) tout effet négatif réel ou prévisible lié aux violences sexistes et à la protection de la santé publique et des mineurs et les conséquences négatives graves sur le bien-être physique et mental des personnes.
La « Charte » est la Charte des droits fondamentaux de l'Union européenne. Voici, catégorie par catégorie, ce que ces risques peuvent recouvrer. Les exemples sont donnés à titre d'illustration et ne visent aucun service en particulier.
La diffusion de contenus illicites
Il s'agit des contenus interdits par la loi de l'Union ou d'un État membre. Par exemple :
- la vente de produits contrefaits ou dangereux sur une place de marché ;
- la circulation de discours de haine illicites ou de contenus terroristes ;
- le partage d'images à caractère sexuel publiées sans le consentement de la personne.
Les atteintes aux droits fondamentaux
Le texte cite la dignité humaine, la vie privée et familiale, la protection des données personnelles, la liberté d'expression et d'information (y compris la liberté et le pluralisme des médias), la non-discrimination, les droits de l'enfant et la protection des consommateurs. Par exemple :
- un outil de modération automatisée qui retire à tort, de façon répétée, des contenus licites rédigés dans une langue peu représentée, ce qui touche la liberté d'expression ;
- un système publicitaire qui exclut certaines personnes d'offres d'emploi ou de logement en fonction de critères discriminatoires ;
- des interfaces qui poussent les consommateurs à des achats ou à des abonnements qu'ils n'auraient pas choisis en connaissance de cause.
Le débat public, les élections et la sécurité publique
Le « discours civique » désigne le débat démocratique : la manière dont les citoyens s'informent et échangent sur les questions d'intérêt général. Par exemple :
- des réseaux de faux comptes coordonnés qui amplifient artificiellement des informations trompeuses à l'approche d'un scrutin ;
- la diffusion massive de fausses informations sur les modalités de vote (date, lieu, procédure) ;
- la propagation rapide d'appels à la violence lors d'un événement de crise.
Violences sexistes, santé publique, mineurs et bien-être
Cette catégorie couvre les violences fondées sur le genre, la santé publique, la protection des mineurs et les conséquences négatives graves sur le bien-être physique et mental. Par exemple :
- des campagnes de harcèlement en ligne visant des femmes en raison de leur sexe ;
- la circulation à grande échelle de fausses informations sur des traitements médicaux ;
- des fonctionnalités qui favorisent un usage compulsif chez les plus jeunes, ou des recommandations qui exposent des mineurs à des contenus inadaptés à leur âge.
Ces catégories se recoupent souvent. Un même phénomène, comme une campagne de harcèlement coordonnée, peut relever à la fois de la diffusion de contenus illicites, d'une atteinte à la dignité et des violences sexistes. L'évaluation doit les examiner sous tous leurs angles.
Quand l'évaluation doit-elle avoir lieu ?
Ils procèdent aux évaluations des risques au plus tard à la date d'application visée à l'article 33, paragraphe 6, deuxième alinéa, puis au moins une fois par an, et en tout état de cause avant de déployer des fonctionnalités susceptibles d'avoir une incidence critique sur les risques recensés en vertu du présent article.
Ce passage fixe trois rendez-vous.
Une première évaluation dans les quatre mois suivant la désignation
Puis au moins une fois par an
Et avant tout lancement d'une fonctionnalité à fort impact
Ce que l'évaluation doit examiner
Le paragraphe 2 de l'article 34 du DSA précise où chercher l'origine des risques. Il ne suffit pas de constater qu'un risque existe : il faut comprendre comment le service lui-même y contribue.
Lorsqu'ils procèdent à des évaluations des risques, les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne examinent notamment si et comment les facteurs suivants influencent les risques systémiques visés au paragraphe 1 et en tiennent compte :
a) la conception de leurs systèmes de recommandation et de tout autre système algorithmique pertinent ;
b) leurs systèmes de modération des contenus ;
c) les conditions générales applicables et leur mise en application ;
d) les systèmes de sélection et de présentation de la publicité ;
e) les pratiques du fournisseur en matière de données.
Les algorithmes et les recommandations
La modération des contenus
Les conditions générales et leur application
La publicité
Les pratiques en matière de données
La manipulation du service et le contexte local
Les évaluations examinent également si et comment les risques visés au paragraphe 1 sont influencés par la manipulation intentionnelle du service desdits fournisseurs, y compris par l'utilisation non authentique ou l'exploitation automatisée du service, ainsi que par l'amplification et la diffusion potentiellement rapide et à grande échelle de contenus illicites et d'informations incompatibles avec leurs conditions générales.
L'évaluation tient compte des aspects régionaux ou linguistiques spécifiques, y compris lorsqu'ils sont propres à un État membre.
La plateforme doit donc aussi envisager le cas où son service est détourné : faux comptes, robots qui publient ou partagent automatiquement, campagnes coordonnées qui donnent une visibilité artificielle à certains contenus. Ces techniques sont souvent qualifiées de « comportements inauthentiques ».
Elle doit enfin tenir compte du contexte local. Un risque peut être plus élevé dans un pays donné, par exemple à l'approche d'une élection nationale, ou dans une langue où la modération dispose de moins de moyens. Une évaluation centrée sur une seule langue ou un seul marché ne répondrait pas à cette exigence.
Conservation, atténuation, audit et publication
Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne conservent les documents justificatifs des évaluations des risques pendant au moins trois ans après la réalisation de ces évaluations, et les communiquent à la Commission et au coordinateur pour les services numériques de l'État membre d'établissement, à leur demande.
Les plateformes doivent garder une trace de leur travail : données, études, méthodes, consultations. Pendant au moins trois ans, la Commission européenne et le coordinateur pour les services numériques du pays où la plateforme est établie peuvent demander à consulter ces documents pour vérifier le sérieux de l'évaluation.
L'évaluation des risques ne s'arrête pas là. Elle ouvre une chaîne d'obligations, qui se répète chaque année.
Les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne transmettent au coordinateur pour les services numériques de l'État membre d'établissement et à la Commission, sans retard injustifié dès leur achèvement, et mettent à la disposition du public au plus tard trois mois après la réception de chaque rapport d'audit conformément à l'article 37, paragraphe 4 :
a) un rapport exposant les résultats de l'évaluation des risques au titre de l'article 34 ;
Le même paragraphe impose de publier les mesures d'atténuation, le rapport d'audit, le rapport de mise en œuvre des recommandations d'audit et, s'il y a lieu, les informations sur les consultations menées pour préparer l'évaluation.
Ce que l'évaluation des risques change pour vous
L'article 34 du DSA ne vous donne pas directement de droit individuel : il impose une obligation à la plateforme. Il a pourtant des effets concrets sur votre expérience en ligne, et vous permet de mieux comprendre les services que vous utilisez.
Des changements dans les services que vous utilisez
Une information publique sur les risques
Une base pour signaler un risque aux autorités
Où lire les évaluations des risques
Comment signaler un risque
Un utilisateur, une association ou un collectif qui constate un risque systémique mal pris en compte dispose de plusieurs voies.
Le coordinateur pour les services numériques
La Commission européenne
La plateforme elle-même
Une plainte sur l'évaluation des risques porte sur le fonctionnement général du service. Elle n'a pas pour objet de rétablir votre compte ou votre contenu, et les autorités ne vous tiendront pas forcément informé de chaque étape de leur action.
Pour une décision qui vous concerne directement, utilisez plutôt la réclamation interne (article 20 du DSA) ou un organisme de règlement extrajudiciaire des litiges certifié (article 21 du DSA).
Un exemple concret
Une association de parents constate que, sur une très grande plateforme de partage de vidéos, de jeunes adolescents se voient recommander, après quelques visionnages, des vidéos de plus en plus nombreuses présentant des « défis » dangereux, que des enfants sont incités à reproduire. Elle souhaite alerter le coordinateur pour les services numériques. Selon la manière dont elle rédige sa plainte, celle-ci sera plus ou moins exploitable.
- Aucun fait précis ni aucune date
- Le risque n'est pas décrit
- Aucun lien avec les obligations du DSA
- Aucune référence à ce que la plateforme a déclaré
- Faits datés, méthode décrite, preuves jointes
- Risque rattaché à une catégorie précise de l'article 34 du DSA
- Comparaison avec le rapport publié par la plateforme
- Demande claire, adressée à l'autorité compétente
Une plainte bien documentée ne garantit pas l'ouverture d'une enquête : les autorités apprécient librement les suites à donner. Mais elle leur fournit des éléments vérifiables, directement reliés aux obligations du DSA.
Questions fréquentes sur l'article 34 du DSA
Non. L'article 34 du DSA ne s'applique qu'aux très grandes plateformes en ligne et aux très grands moteurs de recherche en ligne, c'est-à-dire aux services qui comptent en moyenne au moins 45 millions d'utilisateurs actifs par mois dans l'Union et que la Commission européenne a désignés comme tels (article 33 du DSA).
Une première fois au plus tard quatre mois après la notification de la désignation, puis au moins une fois par an. La plateforme doit aussi procéder à une évaluation avant de déployer une fonctionnalité susceptible d'avoir une incidence critique sur les risques recensés (article 34, paragraphe 1, du DSA).
C'est un risque qui découle de la conception, du fonctionnement ou de l'utilisation d'un très grand service, et qui peut toucher un grand nombre de personnes ou la société dans son ensemble : diffusion de contenus illicites, atteintes aux droits fondamentaux, effets sur le débat public et les élections, sur la santé publique, les mineurs ou le bien-être.
Oui. Un rapport exposant les résultats de l'évaluation doit être rendu public au plus tard trois mois après la réception du rapport d'audit annuel (article 42, paragraphe 4, du DSA). La Commission européenne rassemble les liens vers ces rapports sur sa page consacrée à la transparence du DSA. Certains passages peuvent être occultés pour des raisons de confidentialité ou de sécurité (article 42, paragraphe 5, du DSA).
Plusieurs acteurs. Un organisme d'audit indépendant vérifie chaque année le respect des obligations, y compris celles de l'article 34 du DSA (article 37 du DSA). La Commission européenne, qui dispose de pouvoirs exclusifs pour surveiller ces obligations, peut demander les documents justificatifs, conservés au moins trois ans (article 34, paragraphe 3, du DSA). Les chercheurs agréés peuvent en outre demander l'accès à certaines données pour étudier les risques systémiques (article 40 du DSA).
La plateforme doit adopter des mesures d'atténuation raisonnables, proportionnées et efficaces, adaptées aux risques recensés (article 35 du DSA). Ces mesures sont elles aussi auditées et rendues publiques.
Oui. Toute personne, ou une association mandatée, peut introduire une plainte pour violation du DSA auprès du coordinateur pour les services numériques de son pays (article 53 du DSA). La Commission européenne publie la liste des coordinateurs de tous les États membres. Pour les très grandes plateformes, la Commission européenne est l'autorité compétente pour faire respecter l'article 34 du DSA ; le coordinateur peut lui transmettre les éléments reçus.
Pas directement. L'évaluation des risques porte sur le fonctionnement général du service, pas sur les décisions individuelles. Pour contester une décision qui vous concerne, utilisez la réclamation interne (article 20 du DSA) ou un organisme de règlement extrajudiciaire certifié (article 21 du DSA).
Texte officiel et sources
- Règlement (UE) 2022/2065 sur les services numériques (Digital Services Act - DSA)
- Charte des droits fondamentaux de l'Union européenne
- Liste des très grandes plateformes et très grands moteurs de recherche désignés, Commission européenne
- Rapports d'évaluation des risques et rapports d'audit des très grandes plateformes, Commission européenne
- Questions-réponses sur les rapports d'évaluation des risques, d'audit et de mise en œuvre des audits, Commission européenne
- Liste des coordinateurs pour les services numériques, Commission européenne
- Outil de signalement des lanceurs d'alerte du DSA, Commission européenne
Articles
- Article 16 du DSA : mécanismes de notification et d'action
- Article 20 du DSA : système interne de traitement des réclamations
- Article 21 du DSA : règlement extrajudiciaire des litiges
- Article 33 du DSA : très grandes plateformes en ligne et très grands moteurs de recherche en ligne
- Article 35 du DSA : atténuation des risques
- Article 37 du DSA : audit indépendant
- Article 38 du DSA : systèmes de recommandation
- Article 40 du DSA : accès aux données et contrôle des données
- Article 42 du DSA : obligations en matière de rapports de transparence
- Article 53 du DSA : droit d'introduire une plainte
- Article 56 du DSA : compétences
