DSA : comment les plateformes doivent-elles notifier les infractions pénales présumées ?
Article 18 du DSA : les plateformes et hébergeurs doivent identifier les situations dans lesquelles une notification aux autorités pénales devient nécessaire. L’article 18 du DSA impose donc une organisation interne précise, au-delà de la seule modération des contenus.
Le 25 septembre 2026, le Comité européen des services numériques a adopté de nouvelles bonnes pratiques relatives à l’application de l’article 18 du Digital Services Act (DSA). Ce texte intéresse directement les fournisseurs de services d’hébergement et les plateformes en ligne : lorsqu’ils disposent d’informations faisant naître le soupçon qu’une infraction pénale impliquant une menace pour la vie ou la sécurité d’une personne a été commise, est en cours ou risque d’être commise, ils doivent pouvoir notifier rapidement les autorités compétentes.
La publication de ces bonnes pratiques ne crée pas une nouvelle obligation. Elle précise surtout la manière dont une obligation déjà prévue par le DSA doit être mise en œuvre de façon opérationnelle.
Que prévoit l’article 18 du DSA ?
L’article 18 impose aux fournisseurs de services d’hébergement de signaler aux autorités répressives ou judiciaires certaines informations susceptibles de révéler une infraction pénale grave. Les plateformes peuvent en effet être les premières à détecter des contenus ou comportements laissant apparaître un risque pour une personne.
L’enjeu n’est donc pas seulement de modérer ou retirer un contenu. Il peut également être nécessaire d’organiser une transmission vers les autorités lorsqu’un seuil de gravité est atteint.
Ce que précisent les bonnes pratiques de septembre 2026
Le document adopté par le Comité européen des services numériques fournit notamment des indications sur les informations pertinentes à transmettre, les canaux de notification, les points de contact avec les autorités et le suivi de la conformité. Il s’appuie sur une consultation associant autorités nationales, services répressifs, fournisseurs de services d’hébergement, organisations professionnelles et société civile.
Pour les opérateurs, la difficulté sera souvent de distinguer trois situations : un contenu simplement contraire aux conditions d’utilisation, un contenu potentiellement illicite au sens du DSA et une information susceptible de relever spécifiquement du mécanisme de notification pénale de l’article 18.
Les plateformes doivent formaliser une procédure interne
Une plateforme exposée à ce type de contenu devrait notamment définir :
- les critères permettant d’identifier les situations relevant de l’article 18 ;
- les personnes habilitées à valider une notification ;
- les données qui peuvent être communiquées aux autorités ;
- les modalités de conservation des éléments utiles ;
- les points de contact compétents selon l’État membre concerné ;
- la traçabilité de la décision de notifier ou de ne pas notifier.
Cette procédure doit également être articulée avec le RGPD. La transmission d’informations relatives à un utilisateur constitue en principe un traitement de données personnelles. La plateforme doit donc maîtriser la base juridique du traitement, la minimisation des données et les durées de conservation.
Un enjeu de conformité plus large au DSA
L’article 18 ne doit pas être traité isolément. Il s’inscrit dans un dispositif plus large comprenant les mécanismes de signalement des contenus illicites, la motivation des décisions de modération, les obligations de transparence et, selon la taille et la nature du service, des obligations renforcées de gestion des risques.
Une procédure de notification pénale mal conçue peut donc révéler des insuffisances plus générales dans la gouvernance DSA d’une plateforme.
Que doivent faire les opérateurs concernés ?
Les hébergeurs, marketplaces, réseaux sociaux et autres plateformes devraient profiter de la publication des bonnes pratiques pour vérifier leurs procédures existantes. Il est notamment utile de tester la chaîne décisionnelle sur des cas concrets et de s’assurer que les équipes juridiques, de modération et de sécurité disposent de consignes cohérentes.
Le cabinet accompagne les opérateurs dans l’analyse de leurs obligations et la mise en conformité de leurs procédures. Pour approfondir ces questions : avocat pour conformité au DSA et au DMA.
Source : Commission européenne, 25 septembre 2026.
