Expertises des Systèmes d'information - Juillet 2022 - N°481 - Le mensuel du droit de l'informatique et du multimédia - 269

Ce fournisseur service de plateforme
essentiel, pour être qualifié de contrôleur
d'accès, doit ensuite (i) avoir
un poids important sur le marché
intérieur,
(ii) fournir un service de
plateforme essentiel qui constitue un
point d'accès majeur permettant aux
entreprises utilisatrices d'atteindre
leurs utilisateurs finaux et (iii) jouir
d'une position solide et durable
dans ses activités ou présenter une
forte probabilité de jouir d'une telle
position dans un avenir proche.
Au vu du caractère très subjectif
de ces critères, qui constituent
une véritable insécurité juridique,
le DMA associe à ces critères des
seuils chiffrés qui constituent des
présomptions. Un chiffre d'affaires
de 6,5 milliards d'euros dans l'EEE au
cours des trois dernières années ou
une capitalisation boursière ou valeur
de marché de 65 milliards d'euros
au cours du dernier exercice pour
une entreprise fournissant des
services de plateforme essentielle
dans au moins trois Etats membres
constituent une preuve d'un poids
important sur le marché intérieur.
Un nombre
d'utilisateurs
finaux
actifs supérieur à 45 millions et un
nombre d'entreprises utilisatrices de
plus de 10.000 au cours du dernier
exercice constituent une preuve que
la plateforme constitue un point d'accès
majeur, tandis que l'atteinte de
ces seuils au cours des trois derniers
exercices constitue une preuve que la
plateforme jouit d'une position solide
et durable dans ses activités. Il faut
donc attendre en pratique au moins
quatre ans après l'arrivée d'une
plateforme sur le marché pour qu'elle
puisse être soumise aux obligations
du DMA, ce qui laisse rêveur au vu de
la rapidité de l'évolution des technologies
de l'information.
Toute plateforme qui atteint ces seuils
doit en informer la Commission
dans les trois mois, avec, si elle le
souhaite, les éléments qui pourraient
lui permettre d'être exonérée
du statut de contrôleur d'accès. La
Commission peut, de son côté,
mener des enquêtes pour examiner
si un fournisseur de services de
plateforme essentielle, même s'il
n'atteint pas les seuils mentionnés
ci-dessus, devrait être considéré
comme un contrôleur d'accès.
La qualification de contrôleur d'accès
représentera un coût très important,
puisque non seulement l'opérateur
de plateforme devra respecter les
obligations énoncées ci-dessous,
mais il devra également documenter
ce respect et nommer un responsable
de la conformité indépendant qui
devra continûment veiller au respect
de ces obligations. La Commission
a reçu des pouvoirs d'audit et d'enquête
très étendus accompagnés par
un montant de sanction particulièrement
élevé. En effet, toute violation
du DMA peut être sanctionnée par
des amendes allant jusqu'à 10% du
chiffre d'affaires mondial annuel de
l'entreprise, qui peuvent, en cas de
récidive dans les 8 ans, être portées
à 20% du chiffre d'affaires mondial
annuel.
Au vu de l'imprécision des critères
retenus, et souvent de l'absence de
transparence des acteurs concernés
sur
leur chiffre d'affaires et
leur
nombre d'utilisateurs dans l'Union
européenne, il est très incertain de
prédire le nombre d'acteurs qui vont
être concernés par cette nouvelle
réglementation, mais l'étude d'impact
de la Commission européenne
évaluait à 15 au maximum le nombre
de plateformes qui entreraient dans
le champ d'application du DMA.
La contestation de leur soumission
à cette réglementation par les
opérateurs de plateforme semble,
en revanche quant à elle, quasiment
certaine.
La sanction automatique de
pratiques déjà très limites en
application du RGPD
Les premières pratiques interdites
par le DMA sont des pratiques
concernant le traitement des
données personnelles, montrant
l'importance de ces données dans
l'économie des plateformes. Ces
pratiques sont généralement à la
limite de la légalité au vu du RGPD.
Le DMA permet de les interdire sans
être obligé de démontrer leur illégalité
et de les sanctionner beaucoup
EXPERTISES JUILLET 2022
Il est ensuite interdit au contrôleur
d'accès de combiner les données
personnelles de son service de plateforme
essentielle avec celles d'autres
services de plateforme essentielle ou
d'autres services qu'il fournit, d'utiliser
les données personnelles de la
plateforme essentielle pour d'autres
services qu'il fournit séparément ou
de d'inscrire les utilisateurs finaux
à d'autres services dans le but de
combiner leurs données à caractère
personnel. Ces pratiques constituent
également toutes un nouveau traitement,
pour lequel l'information de la
personne concernée doit être réalisée
et une base juridique adéquate
trouvée.
Les contrôleurs d'accès ne peuvent
pas non plus, pour leurs services
de plateforme essentielle, utiliser
pour faire concurrence avec
les
entreprises
utilisatrices,
plus fortement avec amendes allant
jusqu'à 10% du chiffre d'affaires, soit
2,5 fois le montant maximal autorisé
sous le RGPD.
Le contrôleur d'accès ne doit pas
traiter, afin de fournir des services
de publicité en ligne, les données
personnelles des utilisateurs finaux
qui utilisent les services de tiers
utilisant les services de plateforme
essentielle. Cette utilisation est déjà
très difficile à réaliser légalement
en application du RGPD, puisqu'elle
constitue un traitement de données
par un nouveau responsable de
traitement qui doit procéder à l'information
de la personne concernée
et trouver une base juridique valide,
qui généralement ne peut être que
le consentement. Le DMA autorise
cependant
expressément
cette
pratique lorsque le consentement de
la personne concernée a été préalablement
obtenu. Si ce consentement
a été refusé, il ne peut pas être redemandé
avant le terme d'une période
d'une année.
des
données (personnelles ou non
personnelles) qui ne sont pas
publiquement disponibles et qui
sont générées ou fournies par ces
entreprises utilisatrices lors de
leur utilisation de la plateforme,
269
Expertises des Systèmes d'information - Juillet 2022 - N°481 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet 2022 - N°481 - Le mensuel du droit de l'informatique et du multimédia
