Législation sur les marchés numériques : accord entre le Conseil et le Parlement européen

Le Conseil et le Parlement européen sont parvenus le 24 mars à un « accord politique provisoire » sur la législation sur les marchés numériques (DMA) qui vise à « rendre le secteur numérique plus équitable et plus compétitif ». « D'ultimes travaux techniques permettront de finaliser le texte dans les jours à venir », a fait savoir le Conseil dans un communiqué du 25 mars, précisant que : « les co-législateurs sont convenus que les préoccupations économiques découlant de la collecte de données par un contrôleur d'accès seront abordées dans la DMA, mais que les préoccupations sociétales plus larges devraient en revanche être abordées dans la loi sur les services numériques (DSA) ». Un accord sur le DSA étant « aussi attendu rapidement ».

Prochaines étapes. - L'accord provisoire doit encore être approuvé par le Conseil et le Parlement européen. Le règlement devant être mis en œuvre dans un délai de 6 mois après son entrée en vigueur.

Du côté du Conseil, la présidence entend soumettre l'accord au Comité des représentants permanents (Coreper) pour approbation « à bref délai ».

Pourquoi ? - Définissant des règles « claires » pour les grandes plateformes en ligne, la législation sur les marchés numériques vise à s'assurer qu'aucune de celles qui se trouve dans une position de « contrôleur d'accès » vis-à-vis d'un grand nombre d'utilisateurs n'abuse de cette position au détriment des entreprises qui souhaitent accéder à ces utilisateurs.

Qualification de contrôleurs d'accès : quelles conditions ? quelles obligations ? - Le Conseil et le Parlement européen sont convenus que pour qu'une plateforme soit qualifiée de contrôleur d'accès (« gatekeeper »), elle devait, dans les trois dernières années, soit réaliser un chiffre d'affaires annuel d'au moins 7,5 Md€ au sein de l'Union européenne (UE), soit avoir une valorisation boursière d'au moins 75 Md€ ; et qu'elle devait compter au moins 45 millions d'utilisateurs finaux mensuels et au moins 10 000 utilisateurs professionnels établis dans l'UE.

Par ailleurs, la plateforme doit contrôler un ou plusieurs services de plateforme de base (« core platform services ») dans au moins 3 États membres. Ces services de plateforme de base comprenant les places de marché et les boutiques d'applications, les moteurs de recherche, les réseaux sociaux, les services en nuage, les services de publicité, les assistants vocaux, les téléviseurs connectés et les navigateurs web.

« Pour s'assurer que les règles prévues par le règlement sont proportionnées, les PME sont - hors cas exceptionnels - exemptées de la qualification de contrôleur d'accès. »

Afin d'« assurer le caractère progressif de ces obligations », une catégorie de « contrôleur d'accès émergent » est également prévue ; elle « permettra à la Commission d'imposer certaines obligations aux entreprises dont la position concurrentielle est démontrée mais pas encore durable ».

Les contrôleurs d'accès devront notamment :

- assurer le droit des utilisateurs de se désabonner des services de la plateforme de base dans des conditions similaires à l'abonnement ;

- pour les logiciels les plus importants (navigateur web, par exemple) : ne pas imposer ces logiciels par défaut à l'installation du système d'exploitation ;

- assurer l'interopérabilité des fonctionnalités de base leurs services de messagerie instantanée ;

- permettre aux développeurs d'applications d'accéder dans des conditions équitables aux fonctionnalités auxiliaires des smartphones (puce NFC, par exemple) ;

- donner aux vendeurs l'accès à leurs données de performance marketing ou publicitaire sur la plateforme ;

- informer la Commission européenne des acquisitions et fusions qu'ils réalisent.

En revanche, ils ne pourront plus :

- classer leurs propres produits ou services de manière plus favorable que ceux des autres acteurs du marché (auto-préférence) ;

- réutiliser les données personnelles collectées lors d'une prestation pour les besoins d'une autre prestation ;

- établir des conditions déloyales pour les utilisateurs professionnels ;

- pré-installer certaines applications logicielles ;

- imposer aux développeurs d'application l'utilisation de certains services (système de paiement ou fournisseur d'identité par exemple) pour être référencés dans les magasins d'application.

Quelles sanctions ? - Si un contrôleur d'accès enfreint les règles fixées par la législation, il risque une amende pouvant aller jusqu'à 10 % de son chiffre d'affaires mondial total. En cas de récidive, une amende pouvant aller jusqu'à 20 % du chiffre d'affaires mondial pourra être imposée.

Dans le cas où un contrôleur d'accès adopte un comportement de non-respect systématique du DMA, c'est-à-dire qu'il enfreint les règles au moins 3 fois en 8 ans, la Commission européenne peut ouvrir une enquête de marché et, si nécessaire, imposer des mesures correctives comportementales ou structurelles.

Qui pour contrôler les « contrôleurs » ? - Afin d'« assurer un haut niveau d'harmonisation sur le marché intérieur », la Commission européenne est la « seule instance habilitée à faire appliquer le règlement ». Elle « peut décider d'engager un dialogue sur les mesures réglementaires pour s'assurer que les contrôleurs d'accès ont une compréhension claire des règles qu'ils doivent respecter, et en préciser l'application si nécessaire ».

Un comité consultatif et un groupe à haut niveau seront mis en place pour assister la Commission européenne et faciliter son travail. Les États membres pourront habiliter les autorités nationales de concurrence à ouvrir des enquêtes sur d'éventuelles infractions et à transmettre leurs conclusions à la Commission européenne.

À noter : pour s'assurer que les contrôleurs d'accès ne portent pas atteinte aux règles du DMA, le règlement applique également des dispositions anti-contournement.