Digital Services Act (DSA) : quel impact pour les acteurs de la santé numérique ?

Dévoilé par la Commission européenne en décembre 2020 et adopté par le Parlement à Strasbourg le 20 janvier dernier, le Digital Services Act (DSA) vise à  réguler Internet pour en faire un “espace plus sûr pour les utilisateurs”. Ce texte n’est pas né ex-nihilo. Il est une version modernisée de  la directive sur le commerce électronique de juin 2000 (cette dernière n’avait pas imaginé à l’époque l’essor des Gafam et des réseaux sociaux). Le DSA ambitionne de mettre les TGPL (les Très Grandes Plateformes en Ligne, celles qui ont plus de 45 millions d’utilisateurs mensuels) face à leurs responsabilités en ce qui concerne la modération des contenus présents sur internet. Selon les mots de Thierry Breton, le commissaire européen au marché intérieur qui porte ce texte, l’objectif est “que ce qui est interdit off line, le soit aussi on line”. La mise en application du DSA est attendue courant 2024.

Ce qui va changer pour les acteurs de la santé

La crise sanitaire du Covid-19 a montré à quels points les acteurs de la santé, institutionnels comme grands laboratoires, pouvaient être la cible de véritables campagnes de désinformation. Désormais, l’UE peut les sanctionner si le nécessaire n’est pas fait (suppression des contenus et/ou transmission des informations sur l’auteur à la justice, si celle-ci les demande). Ces sanctions peuvent aller jusqu’à 6 % du chiffre d’affaires mondial de l’entreprise. Le DSA introduit en outre plusieurs obligations pour ces TGPL : 

• un “droit de réparation” de l’utilisateur. Ce dernier peut se rendre devant un tribunal et demander une  indemnisation pour les dommages causés ;
• la création d’un “bouton” facile d’accès sur les réseaux sociaux, pour permettre à l’utilisateur de déclencher un signalement ;
• une transparence sur les critères de recommandation. Les TGPL devront proposer à l’utilisateur une “méthode hors-profilage” compte tenu de son droit à ne pas faire l’objet de ciblage publicitaire. Aussi, les algorithmes des TGPL pourront être ouverts à des chercheurs agréés, pour qu’ils étudient leur fonctionnement et le respect des normes européennes.

Deux nouveaux types d’acteurs

Chaque État membre sera doté d’un régulateur appelé “Coordinateur des services numériques” (ce sera vraisemblablement l’Arcom ou la Cnil en France) qui contrôlera la bonne application des dispositions prises dans le DSA. La Commission européenne endossera le rôle de modérateur supranational.

Le DSA introduit également des “signaleurs de confiance” qui devront voir leurs notifications traitées en priorité et sans délai. Pour chaque État membre, une liste de ces signaleurs sera établie le Coordinateur des services numériques. Ces entités, précise le texte, devront “disposer d’une expertise et de compétences particulières aux fins de la détection, de l’identification et de la notification des contenus illicites”  et être indépendantes des TGPL.

Quid de la responsabilité des hébergeurs ?

“Avec le DSA, nous avons toujours, par rapport à la directive e-commerce, cette notion de responsabilité limitée, à laquelle les hébergeurs tiennent tant”, observe Servane Forest, Directrice juridique chez leboncoin. Ce texte, relève-t-elle, pose cependant plusieurs questions, notamment celle du contrôle des contenus illicites. “Avant, en tant qu’ hébergeur, on parlait de “manifestement illicite”. L’hébergeur n’a pas la science infuse et il serait bon que cet adverbe “manifestement” reste.”

Pour la France, en regard de ce que propose en France la loi sur la confiance dans l’économie numérique (LCEN) de 2004, qui parle d’”illicéité manifeste” pour juger de la responsabilité des hébergeurs, rien ne change véritablement. Le DSA introduit cependant une nouveauté concernant le droit de la consommation. Le consommateur pourra, pour les plateformes qui proposent des produits illicites (faux médicaments, ou produits dont les prétentions thérapeutiques n’ont pas été scientifiquement prouvées) se retourner contre l’intermédiaire, qui ne bénéficiera plus de la protection que confère le statut de simple hébergeur. 

“Ce n’est pas parce que je contrôle un site que je suis responsable. La notion d’hébergeur est en fait complexifiée par ce texte, il peut être technologique et fonctionnel”, explique Eric Barbry, avocat associé au cabinet Racine et spécialiste en droit des nouvelles technologies. Le DSA, qui  a vocation à s’appliquer aux fournisseurs de services intermédiaires, distingue en effet les services dits de “simple transport”, de “mise en cache” et d’”hébergement”. Dans la mesure où ces fournisseurs ne modifient pas une information, n’en sont pas à l’origine et ne l’entravent pas , ils ne peuvent être tenus responsables de tous les contenus illicites, a jugé le législateur. Cependant, ils se doivent de retirer un tel contenu, ou en rendre l’accès impossible dès lors qu’ils en ont pris connaissance. 

Traçabilité des professionnels

“Un autre point important, ajoute Eric Barbry, concerne la traçabilité des professionnels. Les TGPL devront faire des efforts pour identifier, contrôler et suspendre éventuellement les professionnels qui exercent sur leur plateforme”. Ce cas rappelle en France “l’affaire Doctolib” et met les TGPL comme Google face au défi et au dilemme du contrôle de certains contenus sponsorisés, qui représentent une véritable manne financière pour le moteur de recherche (en 2021, Google a généré 209 Mds $ de revenus provenant de la publicité, soit plus de  80 % de ses revenus totaux).

Les DPO craignent une application complexe des futurs textes

L’Association Française des Correspondants à la protection des Données à caractère Personnel (AFCDP) a présenté début octobre la 6e édition de son baromètre trimestriel, qui donne notamment la perception des Délégués à la protection des données (DPO) sur des sujets techniques et d’actualité. “Le nombre de répondants n’ayant pas d’avis sur le paquet législatif européen est assez remarquable et témoigne d’un certain sentiment d’attente”, note l’AFCDP.  Seulement 18 % des répondants jugent ces textes positivement, 46 % estiment qu’ils rendront la gouvernance des données plus compliquée, et notamment la mise en conformité.