Blog Données personnelles
Publication du Digital Markets Act au Journal officiel de l’Union européenne
Le Digital Markets Act (ci-après le « DMA ») [1] a été proposé en 2020 par la Commission européenne, puis adopté par le Parlement européen le 5 juillet 2022 et par le Conseil de l’Union européenne le 18 juillet 2022.
Le présent règlement a été publié au Journal officiel de l’Union européenne le 12 octobre 2022 et entrera en vigueur le vingtième jour suivant celui de cette publication.
Il sera donc applicable à partir du 2 mai 2023 dans tous les pays de l’Union Européenne.
1. Objectifs poursuivis
L’article 1er du DMA précise que l’objectif du règlement est de contribuer au bon fonctionnement du marché intérieur, en établissant des règles harmonisées visant à garantir à toutes les entreprises la contestabilité et l’équité des marchés dans le secteur numérique de l’Union là où des contrôleurs d’accès sont présents, au profit des entreprises utilisatrices et des utilisateurs finaux.de contribuer au bon fonctionnement du marché intérieur en établissant des règles visant à garantir la contestabilité et l’équité des marchés dans le secteur numérique en général, et pour les entreprises utilisatrices et les utilisateurs finaux des services de plateforme essentiels fournis par les contrôleurs d’accès en particulier.
Les entreprises utilisatrices et les utilisateurs finaux de services de plateforme essentiels fournis par des contrôleurs d’accès devraient bénéficier de garanties réglementaires contre les pratiques déloyales des contrôleurs d’accès dans l’ensemble de l’Union, afin de faciliter les échanges transfrontières au sein de l’Union et, partant, le bon fonctionnement du marché intérieur.
2. Champ d’application et désignation des contrôleurs d’accès
Selon l’article 2 du DMA, un contrôleur d’accès est une entreprise fournissant des services de plateforme essentiels (p. ex. : des moteurs de recherche en ligne, de systèmes d’exploitation, des navigateurs Internet, services de réseaux sociaux en ligne, etc.).
Le présent règlement s’applique donc aux services de plateforme essentiels fournis ou proposés par des contrôleurs d’accès à des entreprises utilisatrices établies dans l’Union ou à des utilisateurs finaux établis ou situés dans l’Union, quel que soit le lieu d’établissement ou de résidence des contrôleurs d’accès et quel que soit le droit par ailleurs applicable à la fourniture des services.
En vertu de l’article 3 du DMA, une entreprise peut être désignée comme contrôleur d’accès si :
- elle a un poids important sur le marché intérieur ;
- elle fournit un service de plateforme essentiel qui constitue un point d’accès majeur permettant aux entreprises utilisatrices d’atteindre leurs utilisateurs finaux ;
- elle jouit d’une position solide et durable, dans ses activités, ou jouira, selon toute probabilité, d’une telle position dans un avenir proche.
3. Principales obligations
Parmi les obligations imposées par le DMA aux contrôleurs d’accès, l’on retrouve :
- la désignation en leur sein d’un responsable de conformité avec le DMA ;
- le fait de rendre aussi facile le désabonnement que l’abonnement à un service de plateforme essentiel ;
- la possibilité de désinstaller facilement sur périphérique (p. ex. téléphone) des applications préinstallées ;
- le fait de rendre interopérables les fonctionnalités de base de leur service de messagerie instantanée (p. ex. : WhatsApp) avec leurs concurrents plus modestes ;
- l’autorisation des vendeurs à promouvoir leurs offres et à conclure des contrats avec leurs clients en dehors des plateformes ;
- le fait de donner aux vendeurs l’accès à leurs données de performance marketing/publicitaire sur leur plateforme ;
- l’obligation d’informer la Commission européenne des acquisitions et fusions qu’ils réalisent.
4. Sanctions
En cas d’infraction, la Commission européenne pourra prononcer contre le contrôleur d’accès une amende pouvant aller jusqu’à 10% de son chiffre d’affaires mondial total et, en cas de récidive, jusqu’à 20% de ce chiffre d’affaires. Elle pourra aussi prononcer des astreintes allant jusqu’à 5% de son chiffre d’affaires journalier mondial total.
5. Articulations du DMA et du RGPD
Le texte comporte une série de dispositions qui impactent l’application du RGPD aujourd’hui.
Des obligations sont ainsi imposées aux contrôleurs d’accès en matière de protection des données personnelles qui devront, par exemple :
- s’abstenir de combiner les données personnelles provenant d’un service essentiel qu’il propose aux utilisateurs avec celles provenant d’un autre service sauf à ce qu’ils y consentent conformément au RGPD (p. ex. : interdiction de combiner des données personnelles provenant de Facebook avec celles de WhatsApp) ;
- assurer la portabilité des données générées par l’activité des entreprises utilisatrices ou des utilisateurs finaux ;
- procurer à tout fournisseur tiers de moteurs de recherche en ligne, à sa demande et à des conditions équitables, raisonnables et non discriminatoires, un accès aux données concernant les classements, requêtes, clics et vues en lien avec les recherches générées par les utilisateurs finaux sur les moteurs de recherche en ligne du contrôleur d’accès, sous réserve d’anonymisation des données personnelles ;
- permettre une mise en place du recueil du consentement de l’utilisateur aussi aisée pour les entreprises utilisatrices de ses services que pour eux-mêmes ;
- faire réaliser par la Commission européenne un audit des techniques de profilage des consommateurs qu’ils appliquent.
[1] Règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (règlement sur les marchés numériques)