DSA et très grande plateforme en ligne : les obligations renforcées des VLOP et VLOSE
Le 5 décembre 2025, la Commission européenne a infligé sa toute première amende au titre du Digital Services Act : 120 millions d'euros contre X, pour des manquements touchant à la transparence de son registre publicitaire. Quelques semaines plus tard, une seconde sanction de 200 millions d'euros frappait Temu. Ces deux décisions marquent un tournant : le régime renforcé applicable aux très grandes plateformes en ligne n'est plus une simple architecture théorique déployée en 2024, mais un dispositif désormais pleinement appliqué, avec des conséquences financières et réputationnelles considérables.
Pour une direction juridique confrontée à la croissance rapide d'un service numérique, ou pour un acteur déjà installé dans le paysage des grandes plateformes, comprendre précisément ce qui déclenche ce régime aggravé, et ce qu'il implique concrètement, devient une nécessité opérationnelle. Cet article détaille la définition du VLOP et du VLOSE, le seuil et le mécanisme de désignation, les obligations renforcées qui en découlent, ainsi que le régime de supervision et de sanctions applicable, à la lumière des décisions les plus récentes de la Commission.
Qu'est-ce qu'une très grande plateforme en ligne au sens du DSA ?
Avant d'aborder les obligations elles-mêmes, il convient de bien cerner ce que recouvre la notion de très grande plateforme, qui répond à une définition juridique précise et ne se limite pas à une simple appréciation de notoriété ou de taille économique.
Le cadre général du règlement sur les services numériques
Le règlement (UE) 2022/2065, dit Digital Services Act ou DSA, est entré en vigueur le 17 février 2024 pour l'ensemble des services numériques opérant dans l'Union européenne. Ce texte retient une logique de régulation par paliers : un socle d'obligations s'applique à tous les services d'intermédiation, un niveau intermédiaire concerne plus spécifiquement les plateformes en ligne, et un régime particulièrement exigeant s'applique aux très grandes plateformes et aux très grands moteurs de recherche, désignés individuellement par la Commission. Ce dernier régime s'applique de façon anticipée, dès quatre mois après la notification de la décision de désignation, sans attendre l'échéance générale d'applicabilité du règlement.
La définition du VLOP et du VLOSE
Une très grande plateforme en ligne, ou VLOP selon l'acronyme consacré par le règlement, désigne une plateforme officiellement désignée par la Commission européenne au titre du DSA. Le même mécanisme de désignation existe pour les très grands moteurs de recherche en ligne, ou VLOSE. Ces deux catégories de services, bien que distinctes par leur nature, sont soumises au même corpus d'obligations renforcées prévu par le règlement.
Le seuil des 45 millions d'utilisateurs actifs mensuels dans l'Union
Le règlement fixe un seuil quantitatif précis : est susceptible d'être désignée toute plateforme ou tout moteur de recherche comptant plus de 45 millions de destinataires actifs mensuels dans l'Union européenne. Ce seuil ne repose pas sur une simple déclaration volontaire : tout service numérique, quelle que soit sa taille, est tenu de publier ses chiffres d'utilisateurs, avec une actualisation au moins semestrielle, ce qui permet à la Commission de suivre l'évolution de l'audience de chaque acteur et d'anticiper les désignations à venir.
Le mécanisme de désignation et de perte de statut
Le franchissement du seuil ne suffit toutefois pas, à lui seul, à emporter la qualification de VLOP ou de VLOSE : cette qualification résulte d'une décision individuelle de désignation prise par la Commission, notifiée au service concerné. Une fois cette décision notifiée, le service désigné dispose d'un délai de quatre mois pour se conformer à l'ensemble du régime renforcé. Le statut n'est pas non plus irréversible : un service peut perdre sa désignation s'il ne compte plus 45 millions d'utilisateurs actifs mensuels en moyenne pendant une année entière, sous réserve d'une annonce formelle de la Commission, comme cela a été le cas pour la plateforme Stripchat, dont la désignation a pris fin en mai 2025.
Exemple d'actualité : la désignation de WhatsApp en janvier 2026
Le 26 janvier 2026, la Commission européenne a formellement désigné WhatsApp comme très grande plateforme en ligne, après avoir constaté que la fonctionnalité « Chaînes » du service avait atteint le seuil légal de 45 millions d'utilisateurs dans l'Union. Cette désignation illustre un point souvent mal compris de la pratique : la Commission a qualifié WhatsApp de service hybride, combinant une fonctionnalité de messagerie privée, non concernée par le régime VLOP, et une composante de plateforme en ligne, seule soumise aux obligations renforcées. Un service peut ainsi se retrouver partiellement soumis au régime VLOP au titre d'une seule de ses fonctionnalités, sans que l'intégralité de son offre ne bascule dans ce régime.
Les obligations renforcées propres aux VLOP et VLOSE
Une fois la qualification établie, un ensemble d'obligations spécifiques s'ajoute au socle commun applicable à l'ensemble des plateformes en ligne, sans s'y substituer.
Un régime qui s'ajoute au droit commun des plateformes
Les VLOP et VLOSE demeurent pleinement soumises aux obligations générales du DSA, qu'il s'agisse du mécanisme de notification et d'action face aux contenus illicites, de la clarté des conditions générales d'utilisation ou de la transparence de leurs décisions de modération individuelles. Le régime renforcé vient compléter ce socle, sans jamais s'y substituer, ce qui explique la charge de conformité particulièrement lourde qui pèse sur ces acteurs.
Panorama des obligations spécifiques
Les très grandes plateformes doivent conduire une évaluation annuelle des risques systémiques liés au fonctionnement et à l'utilisation de leur service, puis mettre en place des mesures d'atténuation proportionnées à ces risques. Elles sont soumises à un audit indépendant annuel destiné à vérifier le respect de l'ensemble de leurs obligations. Elles doivent renforcer la transparence de leurs systèmes de recommandation et de publicité, permettre un accès encadré aux données pour les chercheurs habilités, se conformer au mécanisme de réponse aux crises prévu par le règlement, et désigner un responsable de la conformité DSA au sein de leur organisation.
Le tableau suivant synthétise les différences de régime entre une plateforme ordinaire et les services désignés VLOP ou VLOSE.
Ce tableau appelle un commentaire pratique important : le changement le plus structurant pour l'organisation interne d'un service désigné ne réside pas uniquement dans l'ajout de nouvelles obligations documentaires, mais dans le changement d'interlocuteur institutionnel. Une plateforme qui n'avait jusqu'alors affaire qu'à son coordinateur national des services numériques se retrouve placée sous la supervision directe de la Commission européenne, avec des pouvoirs d'enquête et de sanction sensiblement plus étendus.
L'évaluation annuelle des risques systémiques
Cette obligation constitue le cœur du régime renforcé applicable aux VLOP et VLOSE, dans la mesure où elle conditionne directement la nature des mesures d'atténuation que le service devra ensuite mettre en œuvre.
Les catégories de risques visées par le règlement
Le règlement identifie plusieurs catégories de risques systémiques que l'évaluation annuelle doit couvrir : la diffusion de contenus illicites, les atteintes aux droits fondamentaux telles que la liberté d'expression ou la non-discrimination, la manipulation du service, y compris à des fins de manipulation électorale, les effets négatifs sur la protection des mineurs et la santé mentale des utilisateurs, ainsi que la diffusion de la désinformation et ses répercussions sur le débat démocratique.
La méthodologie attendue de l'évaluation
L'évaluation doit porter sur les risques liés à la conception même du service, notamment à ses algorithmes de recommandation et à ses systèmes publicitaires, ainsi que sur les interactions entre le fonctionnement du service et des phénomènes sociétaux plus larges. Le service désigné doit transmettre à la Commission un rapport complet, tout en publiant une synthèse accessible au public, qui peut différer du rapport intégral pour des raisons de sécurité ou de confidentialité.
Exemple concret d'engagement post-évaluation : le retrait de TikTok Lite
L'illustration la plus documentée de cette mécanique reste le retrait de la fonctionnalité TikTok Lite du marché européen, à la suite d'une évaluation ayant identifié un risque d'addiction pour les utilisateurs mineurs, en particulier lié à un dispositif de récompenses assimilable à de la gamification. Cet épisode montre également comment le règlement privilégie, dans de nombreux cas, la voie des engagements contraignants pris par le fournisseur plutôt que l'ouverture immédiate d'une procédure de sanction, tout en conservant la possibilité de sanctionner rapidement en cas de non-respect ultérieur de ces engagements.
Les mesures d'atténuation et la gouvernance interne exigées
L'évaluation des risques systémiques ne constitue qu'une étape préalable : le règlement impose ensuite la mise en œuvre de mesures concrètes, adossées à une gouvernance interne suffisamment structurée pour en garantir l'effectivité.
Une obligation de résultat proportionnée au risque identifié
Les mesures d'atténuation doivent être proportionnées aux risques identifiés lors de l'évaluation annuelle, ce qui suppose une capacité réelle d'ajustement des mécanismes de modération, des algorithmes de recommandation ou des systèmes de publicité ciblée. Cette exigence de proportionnalité implique que le service documente non seulement les mesures adoptées, mais également leur efficacité concrète au regard des risques qu'elles visent à réduire.
La structuration interne de la conformité
Le règlement impose la désignation d'un responsable de la conformité DSA, directement rattaché à la direction générale de l'organisation, chargé de coordonner les équipes juridiques, techniques et de modération. Cette fonction doit s'accompagner d'une capacité d'ajustement rapide des dispositifs internes en cas d'événement exceptionnel, condition indispensable pour répondre aux exigences du mécanisme de réponse aux crises évoqué plus loin.
La transparence algorithmique et publicitaire, nouveau standard imposé par le DSA
La transparence constitue le second pilier majeur du régime renforcé, avec des implications directes sur la manière dont les très grandes plateformes conçoivent leurs interfaces et leurs modèles publicitaires.
L'information sur les systèmes de recommandation
Les VLOP et VLOSE doivent communiquer aux utilisateurs les paramètres principaux utilisés par leurs algorithmes de recommandation, ainsi que la possibilité de modifier ces paramètres, notamment pour désactiver tout ou partie de la personnalisation des contenus proposés. Cette exigence de transparence répond à une préoccupation centrale du règlement : permettre à l'utilisateur de comprendre, au moins dans ses grandes lignes, la logique qui gouverne ce qu'il voit apparaître sur le service.
Le registre public des publicités
Le règlement impose la tenue d'un registre public recensant l'ensemble des publicités diffusées sur le service, comportant a minima l'identité de l'annonceur, les critères de ciblage utilisés et la période de diffusion. C'est précisément sur ce terrain que s'est concentré le grief retenu par la Commission contre X en décembre 2025 : les autorités ont estimé que certaines fonctionnalités de conception du registre publicitaire de la plateforme nuisaient à son accessibilité réelle pour les utilisateurs et les chercheurs, en violation des exigences de transparence du règlement.
L'accès aux données pour les chercheurs
Le DSA prévoit un mécanisme d'accès aux données de la plateforme au bénéfice de chercheurs habilités, destiné à permettre l'étude des risques systémiques et des effets concrets du service sur ses utilisateurs. Cet accès demeure strictement encadré, la conciliation avec la protection des données personnelles et la sauvegarde des secrets d'affaires du fournisseur constituant un point d'équilibre délicat que les lignes directrices de la Commission continuent de préciser.
Le mécanisme de réponse aux crises et la traçabilité des décisions de modération
Au-delà de la gestion ordinaire des risques, le règlement prévoit un dispositif spécifique destiné aux situations exceptionnelles, complété par une exigence renforcée de traçabilité des décisions de modération individuelles.
Le protocole de crise pour les événements exceptionnels
Le DSA organise un mécanisme de réponse aux crises applicable en cas de situation exceptionnelle ayant un impact sérieux sur la sécurité publique ou les droits fondamentaux. Ce dispositif revêt une importance particulière pour les très grandes plateformes, dont les effets de propagation, en raison de leur audience considérable, se révèlent à la fois plus rapides et plus massifs que ceux d'un service de taille réduite.
Le renforcement de la traçabilité des décisions de modération
Les très grandes plateformes doivent documenter et conserver la trace de leurs décisions de modération individuelles, tout en structurant un traitement prioritaire pour les signalements provenant de signaleurs de confiance, statut spécifique reconnu par le règlement à certaines organisations spécialisées dans l'identification des contenus illicites. Cette exigence alourdit sensiblement la charge opérationnelle des VLOP et VLOSE par rapport à une plateforme ordinaire, laquelle bénéficie d'exigences de traçabilité plus limitées.
Qui supervise les VLOP et VLOSE, et quelles sanctions encourent-elles ?
La question de l'autorité compétente constitue l'un des traits les plus distinctifs du régime renforcé, avec des conséquences directes sur la nature et l'ampleur des sanctions encourues.
Une supervision directe par la Commission européenne
Les obligations générales du DSA relèvent de la compétence du coordinateur pour les services numériques désigné par chaque État membre, l'Arcom en ce qui concerne la France. En revanche, les obligations renforcées propres aux VLOP et VLOSE échappent à cette compétence nationale : la Commission européenne exerce directement la supervision de ces services, avec des pouvoirs d'enquête étendus, incluant l'envoi de demandes d'informations, l'accès aux données et aux algorithmes du service, ainsi que la possibilité de conduire des inspections sur place, sous réserve d'une consultation préalable du coordinateur national compétent.
Le régime de sanctions
Les sanctions applicables aux VLOP et VLOSE atteignent des niveaux considérables : des amendes pouvant s'élever jusqu'à 6 % du chiffre d'affaires annuel mondial du fournisseur peuvent être prononcées en cas de violation des obligations du règlement, de non-respect de mesures provisoires ou de manquement à des engagements pris devant la Commission. Des astreintes journalières, pouvant atteindre 5 % du chiffre d'affaires quotidien moyen mondial, s'ajoutent à ce dispositif pour chaque jour de retard dans l'exécution de mesures correctives. Dans les hypothèses les plus graves, lorsque l'infraction persiste et cause un préjudice sérieux aux utilisateurs, la Commission peut demander la suspension temporaire du service à l'issue d'une procédure spécifique.
Exemple d'actualité : les premières sanctions prononcées
L'amende de 120 millions d'euros infligée à X le 5 décembre 2025 constitue la toute première sanction financière prononcée au titre du DSA, actuellement contestée par la plateforme devant le Tribunal de l'Union européenne depuis le 20 février 2026. Une seconde sanction, d'un montant de 200 millions d'euros, a par ailleurs été prononcée contre Temu pour violation du règlement. Ces décisions s'accompagnent d'une intensification des investigations en cours, parmi lesquelles l'enquête ouverte le 26 janvier 2026 sur les systèmes de recommandation de X et sur son intelligence artificielle générative Grok, qui illustre la porosité croissante entre les obligations du DSA et celles applicables aux systèmes d'IA les plus exposés, notamment au titre de l'AI Act et de la qualification des systèmes à haut risque.
Comment savoir si votre entreprise entre dans la catégorie VLOP
Cette dernière section propose une démarche pratique destinée aux services numériques en forte croissance, susceptibles de s'approcher du seuil de désignation, ainsi qu'aux acteurs déjà désignés qui doivent structurer leur mise en conformité.
Les étapes à suivre en amont de la désignation
Un service numérique en croissance doit suivre rigoureusement l'évolution du nombre de ses destinataires actifs mensuels dans l'Union européenne, et respecter son obligation de publication semestrielle de ces chiffres, quelle que soit sa taille actuelle. Il est recommandé d'anticiper les obligations renforcées dès l'approche du seuil de 45 millions d'utilisateurs, plutôt que d'attendre la notification formelle de désignation, certains acteurs ayant structuré leur conformité DSA par anticipation afin d'éviter les difficultés rencontrées par des services désignés dans l'urgence.
Les priorités à traiter après la désignation
Une fois la désignation notifiée, le service dispose d'un délai de quatre mois pour se conformer à l'ensemble du régime renforcé, ce qui suppose de prioriser la conduite de l'évaluation des risques systémiques, la désignation du responsable de la conformité DSA, et l'engagement du processus d'audit indépendant. Cette mise en conformité suppose, plus largement, d'articuler étroitement la modération des contenus, la gestion de la publicité ciblée et la gouvernance interne de l'organisation dans un même programme structuré, plutôt que de traiter ces sujets de façon cloisonnée.
Foire aux questions sur le DSA et les obligations des très grandes plateformes
Les questions suivantes reprennent, sous une forme synthétique, les points les plus fréquemment soulevés par les directions juridiques confrontées à ce régime renforcé.
Qu'est-ce qu'une très grande plateforme en ligne au sens du DSA ?
Une très grande plateforme en ligne, ou VLOP, est une plateforme officiellement désignée par la Commission européenne au titre du Digital Services Act, en raison du franchissement du seuil de 45 millions de destinataires actifs mensuels dans l'Union. Cette désignation déclenche un régime d'obligations renforcées, supervisé directement par la Commission.
Quel est le seuil des 45 millions de destinataires actifs mensuels ?
Le règlement fixe ce seuil comme condition préalable à toute désignation : au-delà de 45 millions d'utilisateurs actifs mensuels moyens dans l'Union européenne, une plateforme ou un moteur de recherche devient susceptible d'être formellement désigné comme VLOP ou VLOSE par la Commission européenne.
Quelle différence entre une VLOP et une VLOSE ?
La VLOP désigne une très grande plateforme en ligne, telle qu'un réseau social ou une place de marché, tandis que la VLOSE désigne un très grand moteur de recherche en ligne. Les deux catégories sont soumises au même corpus d'obligations renforcées prévu par le règlement, malgré la différence de nature de leurs services respectifs.
Qui supervise les VLOP : le coordinateur national ou la Commission européenne ?
Les obligations générales du DSA relèvent de la compétence du coordinateur pour les services numériques de l'État membre d'établissement. Les obligations renforcées propres aux VLOP et VLOSE relèvent, en revanche, de la supervision directe de la Commission européenne, seule compétente pour enquêter et sanctionner les manquements à ce régime spécifique.
Quelles sanctions encourt une très grande plateforme en cas de non-conformité ?
Les sanctions peuvent atteindre 6 % du chiffre d'affaires annuel mondial du fournisseur, auxquelles s'ajoutent des astreintes journalières pouvant représenter jusqu'à 5 % du chiffre d'affaires quotidien moyen mondial. Dans les cas les plus graves, la Commission peut demander la suspension temporaire du service concerné.
Conclusion
Le régime applicable aux très grandes plateformes en ligne et aux très grands moteurs de recherche repose sur une architecture désormais bien identifiée : un seuil quantitatif de 45 millions d'utilisateurs, une décision individuelle de désignation par la Commission européenne, et un corpus d'obligations renforcées centré sur l'évaluation des risques systémiques, la transparence algorithmique et publicitaire, et un mécanisme de réponse aux crises adapté à l'ampleur de ces services. Les premières sanctions prononcées fin 2025 et au début de l'année 2026 démontrent que ce régime, loin de rester déclaratif, s'accompagne désormais d'une politique d'application résolue de la part de la Commission.
Cette architecture de conformité par paliers, fondée sur un seuil objectif suivi d'une désignation formelle, rejoint une méthode que l'on retrouve dans d'autres textes structurants du droit européen de la régulation numérique et de la durabilité, qu'il s'agisse des seuils de la CSRD en matière de reporting extra-financier, du régime de supervision des prestataires informatiques critiques au titre de DORA, ou encore de la logique de vigilance sur l'ensemble d'une chaîne de valeur portée par la loi de 2017 et son pendant européen, la CS3D. Pour les très grandes plateformes comme pour leurs conseils, l'enjeu des prochains mois consistera à transformer cette conformité documentaire en une gouvernance réellement opérationnelle, seule à même de résister à l'examen approfondi désormais pratiqué par la Commission européenne.
