Annoncé en février 2020 dans la communication de la Commission européenne intitulée « Façonner l’avenir numérique de l’Europe », le DMA s’inscrit dans le cadre d’un projet législatif dual visant à réguler les pratiques des grandes plateformes numériques sur le marché européen.

Le DMA vise à rééquilibrer les relations entre les grandes plateformes numériques qui contrôlent l’accès au marché numérique, appelés les « contrôleurs d’accès » (gatekeepers), et les entreprises utilisatrices, afin de favoriser l’innovation, la croissance et la compétitivité, faciliter le développement de plateformes de taille plus modeste, des petites et moyennes entreprises et des start-up, et ultimement redynamiser la concurrence au bénéfice des consommateurs et d’une plus grande liberté économique.

L’Union Européenne définit comme contrôleur d’accès (gatekeeper) toute entreprise :

En position économique forte, active dans au moins trois pays de l’Union et ayant de ce fait des effets significatifs sur le marché intermédiaire. Dans le détail, la société doit soit réaliser un chiffre d'affaires annuel de 7,5 milliards d’euros ou plus au sein de l’Union Européenne, soit présenter une valorisation boursière de 75 milliards d’euros ou plus.

Fournissant des services d’intermédiation forts – c’est-à-dire qu’un nombre conséquent d’entreprises repose sur ses services pour atteindre un grand nombre d’internautes. La société doit compter au moins 45 millions d’utilisateurs finaux mensuel, au moins 10 000 utilisateurs professionnels installés dans l’Union et être elle-même présente dans trois pays de l’UE au minimum.

Et stable et solide sur le marché, condition déclarée atteinte lorsque la société a rempli les deux critères précédents pendant les trois derniers exercices annuels.

En vertu de l’article 17 du texte, une entreprise qui ne remplit pas tous les critères cités ci-dessus peut tout de même être considérée comme contrôleuse d’accès.

Pour qu’elle soit désignée comme telle, la Commission européenne aura dans ce cas enquêté sur une série d’attributs, parmi lesquels sa taille, estimée via son chiffre d’affaires et sa capitalisation boursière entre autres, le nombre d’entreprises qui l’utilisent pour atteindre des « utilisateurs finaux », les effets de réseau comme les effets d’échelle et de gamme dont elle profite, y compris en dehors de l’UE, les avantages qu’elle tire des données qu’elle exploite, la « captivité » de ses entreprises clientes et/ou des utilisateurs finaux – le texte vise aussi à réduire les pratiques qui complexifient les changements de fournisseurs –, ou encore sa structure, notamment si elle est conglomérale et lui permet ainsi de tirer des profits spécifiques de la multiplication de points de récupération de données.

Une autre visée du texte est d’éviter une dépendance numérique des sociétés clients envers les « services de plateforme essentiels » qu’elles utilisent. Autrement dit, le DMA vise à lutter contre les pratiques anticoncurrentielles des plus gros acteurs du numérique, afin de fluidifier les échanges sur le marché numérique et de faciliter la vie aux nouveaux entrants – en réduisant les coûts d’investissements que les plus grandes entreprises ont pu créer à l’entrée et à la sortie du marché, notamment.

En introduisant une régulation ex ante des géants numériques, comme le résumait dans une tribune Cédric O, à l’époque secrétaire d’État chargé de la Transition numérique, le DMA vient pallier les faiblesses des dispositifs existants. Plutôt pensés pour agir a posteriori, ou ex post, les règles plus anciennes ne suffisaient plus pour lutter contre les abus de position dominante spécifiques au monde numérique. En effet, les amendes qui en étaient issues arrivaient tard et ont longtemps atteint des montants assez faibles au regard des revenus des entreprises visées.

Maintenant que le DMA s’applique, Les contrôleurs d’accès (gatekeepers) potentiels qui atteignent les seuils quantitatifs établis ont jusqu’au 3 juillet 2023 pour notifier leurs services de plateforme de base à la Commission européenne.

La Commission Européenne disposera alors de 45 jours ouvrables, jusqu’au 6 septembre 2023, pour décider si l’entreprise respecte les seuils et pour désigner les contrôleurs d’accès. Après leur désignation, ces derniers disposeront de six mois, c’est-à-dire jusqu’au 6 mars 2024, pour se conformer aux exigences du DMA.

 

  1. Les pratiques des GAFAMs dans le viseur de l’Union européenne

Les chiffres parlent d’eux-mêmes, les GAFAMS exercent une domination sur le marché numérique qui empêche toute entrée de nouveaux opérateurs sur ces marchés.
La forte concentration de ces acteurs, permet la mise en place d’une dynamique oligopolistique, l’ensemble de l’activité numérique tournant autour d’un nombre très restreint de plateforme.  L’influence de ces 5 entreprises se fait ressentir sur l’ensemble des secteurs d’activités notamment car ceux-ci ont su se placer en « infomédiaires », dominant ainsi toute la diffusion informationnelle et les moyens de communication entre les internautes. On assiste donc à des concentrations tant verticales (data center, systèmes d’exploitation, navigateurs web, infrastructures réseaux) qu’horizontales (messagerie, communication, réseaux sociaux).

Les GAFAM ont le pouvoir de racheter toutes les entreprises innovantes montantes et ainsi empêcher toute concurrence de les détrôner. A titre d’exemple, le groupe GOOGLE a réalisé à lui seul près de 500 acquisitions au cours des dix dernières années. Cette situation est souvent dénoncée par l’Union Européenne et notamment par sa commissaire à la Concurrence Margrethe Vestager. Google s’est ainsi vu infliger une première amende en 2017 d’un montant de 2,42 milliards de dollars pour avoir manipulé les résultats de son moteur de recherche afin de favoriser ses propres produits (affaire Google Shopping), et une seconde de plus de 4 milliards de dollars pour avoir obligé les fabricants d’appareils ANDROID à préinstaller le navigateur GOOGLE CHROME.
En Italie, AMAZON a pour sa part été condamnée au paiement d’une amende d’un montant de 1,13 milliards de dollars par l’autorité garante de la concurrence et des marchés (AGCM), pour abus de position dominante pour avoir discriminé les vendeurs n’ayant pas recours à son service de logistique.  (2019)

Le DMA a été conçu de manière à permettre le contrôle étroit des pratiques et comportements de ces GAFAMS. Ce règlement vise donc à pallier les failles et manquements supposés du droit commun de la concurrence, et s’appliquera à un nombre restreint d’opérateurs majeurs du marché numérique.

Pour ce faire, le règlement Digital Market Act innove, notamment par le vocabulaire qu’il utilise, créant ainsi une nouvelle catégorie d’opérateurs : les contrôleurs d’accès (gatekeepers). Ce règlement vient ainsi créer de nouvelles obligations à la charge de ces opérateurs qui se traduisent par des listes de « do » ou « don’t do ». Le DMA prévoit également un régime de sanctions disposant d’un plafond plus élevé en cas de récidive.

 

  1. Le champ d’application du DMA : un vocabulaire spécifique

Le champ d’application du DMA est limité dans la mesure où celui-ci s’applique uniquement aux entités qualifiées de « contrôleur d’accès » fournissant des services de plateforme essentielle (article 1 DMA). Les obligations ne s’appliqueront donc pas à tous les services numériques, mais uniquement à ceux qualifiés de « service de plateforme essentielle » ou « service de plateforme centrale ».

La notion de contrôleur d’accès est définie à l’article 3 du DMA qui énonce 3 critères pour désigner une entreprise comme étant un « contrôleur d’accès » :

  • L’entreprise à un impact significatif sur le marché intérieur
  • L’entreprise est une passerelle permettant aux utilisateurs professionnels d’atteindre les utilisateurs finaux
  • L’entreprise jouit d’une position solide et durable ou il est prévisible qu’elle le sera dans un avenir proche.

Une présomption jouera si le chiffre d’affaires annuel dans l’UE est supérieur à 7,5 milliards d’euros au cours des trois derniers exercices, si elle a fourni des services de plateforme essentielle à au moins 45 millions d’utilisateurs finaux, ou si la capitalisation boursière dépasse les 75 milliards d’euros ou équivalent.

S’agissant des services de plateforme principale ou essentielle, l’article 2.2 du DMA dresse une liste exhaustive de ces services. Il s’agira :

-           Les services d’intermédiation en ligne : consiste en faciliter les transactions directes entre consommateurs et utilisateurs commerciaux offrant des biens ou des services. Il s’agira par exemple d’amazon market place, ou encore de l’apple store.

-           Les moteurs de recherche en ligne : ils permettent aux utilisateurs de faire des requêtes pour effectuer des recherches sur tous les sites WEB. Il s’agira par exemple de GOOGLE ou YAHOO.

-           Les services de réseaux sociaux en ligne : permettent aux utilisateurs de se connecter, de partager, découvrir, et communiquer entre eux (exemple facebook).

-           Service de plateforme de partage de vidéos : consiste en la fourniture de programmes et vidéos générées par l’utilisateur et déterminer l’organisation de ce contenu (par le biais d’algorithmes)

Il s’agira également des services de communications interpersonnelles non fondées sur la numérotation (WhatsApp), systèmes d’exploitation (Android ou iOS), navigateurs internet (Chrome), assistants virtuels, services informatiques en nuage (cloud, Amazon), ou les services de publicités en ligne. (Google ads)

En ce qui concerne le champ d’application géographique, le DMA se veut avoir un champ d’application étendu, à l’instar du RGPD. Ainsi, le DMA a vocation à s’appliquer à tous les contrôleurs d’accès indépendamment du lieu de leur établissement, dès lors qu’ils opèrent sur le territoire de l’Union.

 

  1. Les obligations à la charge des contrôleurs d’accès

La majorité des obligations sont énoncées par les articles 5 et 6 du DMA. Trois obligations spécifiques sont contenues dans les articles 7 (interopérabilité), 14 (notification des projets d’acquisitions) et 15(audit).

Parmi ces obligations l’on distingue celles qui seront directement applicables (Article 5), et celles qui sont directement applicables mais susceptibles d’être précisées (Article 6). Elles comprennent :

  •  « L’opt-in sur les données personnelles : interdiction de traiter, combiner, croiser des données personnelles d’utilisateurs sauf accord », il s’agit de l’une des interdictions les plus importantes qui affecte directement le modèle économique des GAFAMS (article 5)
  • Prohibition des clauses de parités : obligation d’autoriser les entreprises à promouvoir leurs offres auprès de leurs propres clients à des prix différents de ceux proposés par les services d’intermédiation en ligne. A titre d’exemple, TripAdvisor ou Booking ne pourront plus interdire à des hôtels de faire des offres plus attractives sur leur propre site. (Article 5)
  • L’interdiction pour les contrôleurs d’accès de discriminer les utilisateurs professionnels lorsqu’ils sont concurrents verticalement, et d’utiliser leurs propres données non publiques. Dans les faits, Amazon ne pourra plus collecter et traiter des données relatives à l’activité générée par un vendeur en ligne pour lui faire concurrence. (Article 6)
  • La mise en place d’un dispositif « anti-auto-préférence » : interdiction de discrimination via les algorithmes de recherche. Permettra de mettre fin aux pratiques d’auto-préférences mises en lumière dans l’affaire Google Shopping. (Article 6).

La substance des obligations semble relativement variée. Elles visent le traitement des données personnelles des utilisateurs finaux (qui sont finalement le cœur du business model des contrôleurs d’accès), le comportement vis-à-vis des entreprises utilisatrices de plateforme, les pratiques d’auto-préférence, les conditions d’accès aux données fournies aux entreprises utilisatrices, les conditions d’interopérabilité, ou encore l’obligation faite aux contrôleurs d’accès de signaler tout projet d’acquisition.

  1. Les sanctions prévues par le DMA : une menace pour la trésorerie des GAFAMS

L’article 30 du DMA vient quant à lui préciser le montant des amendes que pourra infliger la Commission en cas de non-respect des obligations prévues aux articles 5,6 et 7 du ce même règlement. Ces amendes pourront atteindre 10% du chiffre d’affaires total réalisé au niveau mondial au cours de l’exercice précédent. Ce même article prévoit qu’en cas de récidive, ce montant pourra être majoré à 20% du chiffre d’affaires total réalisé au niveau mondial au cours de l’exercice précédent.

L’augmentation du plafond en cas de récidive permettra d’impacter de manière plus significative les contrôleurs d’accès, qui génèrent des chiffres d’affaires astronomiques. (exemple : 20% du chiffre d’affaire d’Apple : 365,8 x 0,20 = 73 milliards de dollars)

Le DMA conférera également à la Commission Européenne des pouvoirs étendus, qui lui permettront notamment de :

  • Demander des informations aux entreprises ainsi qu’aux autorités compétentes (article 21)
  • Réaliser des entretiens, auditions, et ainsi recueillir des déclarations (article 22)
  • Procéder à toutes les inspections nécessaires d’une entreprise (article 23)
  • Ordonner des mesures provisoires à l’encontre d’un contrôleur d’accès sur la base d’un constat d’infraction aux articles 5,6,7 (article 24)
  • Prendre des mesures pour surveiller la mise en œuvre effective et le respect de la réglementation (nomination d’experts, auditeurs externes...)

Le règlement prévoit également des astreintes et des sanctions supplémentaires. Dans le cas de figure où l’entreprise omet intentionnellement ou par négligence de fournir certaines informations, ou fournissent des informations trompeuses, le texte prévoit une amende équivalente à maximum 1% du CA mondial. 

Les astreintes ne pourront quant à elles pas dépasser 5% du CA quotidien. Elles viseront notamment les entreprises qui ne garantissent pas l’accès à leurs algorithmes ou refusent de se soumettre à une inspection.

Le texte permettra également à la Commission Européenne, en cas de non-conformité systémique, d’imposer des solutions comportementales ou structurelles. Ces mesures se devront d’être proportionnées et nécessaires afin d’assurer une conformité effective.

Enfin, le texte permettra à la Commission Européenne d’élargir le champ d’application du DMA ou encore d’ajouter de nouvelles obligations à la charge des contrôleurs d’accès.

 

  1.  Les limites du DMA.

Le DMA part de la bonne intention de vouloir limiter les principales plateformes sans pour autant vouloir aller trop loin, et c’est en ça qu’une première limite du DMA apparait. En effet, un pan entier de l’industrie a été mis de côté volontairement par les rédacteurs du DMA, celui du logiciel dans le cloud aussi appelé « software as a service ». (SaaS)

Un SaaS consiste à mettre à disposition de l’utilisateur un logiciel via internet et les entreprises s’en servent pour ne pas avoir besoin d’installer et de lancer des applications sur leur propre ordinateur.

Pourtant le chiffre d’affaires générée par le secteur du SaaS dépasse largement celui de Apple, Google et Amazon réunis.

Or un souci concurrentiel apparaît d’emblée,  90% des logiciels relèvent du SaaS, et donc en ignorant ce problème, le DMA paraît assez critiquable d’autant plus que des voix se sont déjà fait entendre concernant les risques liés à ce secteur notamment par le Cigref (association qui regroupe 85% des entreprises du CAC 40).

Une autre limite apparait et celle-ci concerne le concept de contrôleur d’accès et le champ d’application matériel du DMA. En effet, nous savons que le DMA prévoit un seuil à partir duquel une entreprise sera considérée comme un « contrôleur d’accès » et qui sera donc soumise au DMA.

C’est donc par une approche quantitative que seront déterminé les contrôleurs d’accès, cependant un problème se pose lorsque l’on vient considérer ces contrôleurs comme des entreprises aux écosystèmes complexes (ce qu’elles sont réellement).

En effet, le DMA vient limiter les services incontournables des contrôleurs d’accès, mais les entreprises sont actives sur une multitude de services en même temps et « y jouent des rôles différents ».

A titre d’exemple Google est aujourd’hui incontournable pour le service de recherche en ligne mais ce ne pas le cas de son service GPS.

Ici le DMA ne sera pas applicable directement à ce deuxième service, mais l’article 5 du DMA empêche que le service de plateforme essentiel croise les données acquises avec ses autres plateformes de service (même non essentiel), bien que cela puisse sembler être une bonne chose, une limite apparait concernant les risques de concurrence verticales qui pourrait apparaître à l’intérieur même d’un système.

Pourtant ce deuxième service peut utiliser les données non publiques générées par le premier et finalement aller à l’encontre du but recherché par le DMA.

 

Sources :

 

  • « L'Âge du capitalisme de surveillance », Livre de Shoshana Zuboff

 

  • Dalloz actualités : « Lutte contre les pratiques déloyales des GAFAM : le DMA est publié ! » – Romain Moutot, ATER à l'Université Paris Cité – 16 novembre 2022 

 

  • « Nous devons penser les réseaux sociaux de demain » – Martine de Boisdeffre – Fabien Raynaud – Marie Grosset – AJDA 2022. 1812
  • Légipresse : « Les réseaux sociaux : enjeux et opportunités pour la puissance publique » – Légipresse 2022. 566
  • « Digital Markets Act : quelles implications concrètes pour les acteurs du marché ? » - Revue Lamy de la concurrence, 119, 01-09-2022