Droit Vivant — X, Elon Musk et la première amende du Digital Services Act

Introduction : un nouveau régime de régulation pour les plateformes numériques

Le 5 décembre 2025, la Commission européenne a franchi une étape symbolique dans la régulation du numérique : elle a rendu sa toute première décision de non-conformité au titre du règlement sur les services numériques, le Digital Services Act, plus connu sous son acronyme DSA. La sanctionnée n'est pas n'importe quelle plateforme : il s'agit de X, anciennement Twitter, rachetée fin 2022 par Elon Musk et transformée depuis en vitrine de ses choix éditoriaux et techniques. La Commission lui inflige une amende de 120 millions d'euros. Ce module explore ce que dit précisément cette décision, pourquoi elle marque un tournant dans l'application du droit numérique européen, et ce qu'elle signifie concrètement pour quiconque travaille sur la conception d'interfaces, l'architecture de données ou la conformité réglementaire d'un service en ligne.

Le Digital Services Act, un règlement pensé pour la transparence structurelle

Adopté en 2022 sous la référence règlement (UE) 2022/2065, le DSA complète l'arsenal juridique européen du numérique aux côtés du RGPD, qui protège les données personnelles, et du règlement sur les marchés numériques, le DMA, qui vise les pratiques anticoncurrentielles des grandes plateformes. Le DSA, lui, s'attaque à un autre problème : la manière dont les plateformes organisent l'information, modèrent les contenus et, plus largement, structurent l'expérience de leurs utilisateurs. Il introduit une architecture d'obligations graduée selon la taille et le rôle des services concernés, avec un régime particulièrement exigeant pour ce que le texte appelle les très grandes plateformes en ligne, ou VLOP pour Very Large Online Platform, définies comme les services touchant plus de quarante-cinq millions d'utilisateurs actifs mensuels dans l'Union européenne. X entre dans cette catégorie, tout comme Facebook, Instagram, TikTok, YouTube ou Amazon.

Ce qui distingue le DSA d'un texte classique de modération de contenu, c'est qu'il ne se limite pas à exiger le retrait de contenus illicites. Il impose des obligations structurelles de transparence qui touchent à la conception même du service : la manière dont l'interface est pensée, la manière dont la publicité est documentée, la manière dont les chercheurs indépendants peuvent accéder aux données publiques pour étudier les risques systémiques que ces plateformes peuvent engendrer, qu'il s'agisse de désinformation, de manipulation électorale ou d'atteintes à la santé mentale des utilisateurs.

Les trois griefs retenus contre X

La décision de la Commission européenne repose sur trois manquements distincts, chacun rattaché à un article précis du règlement.

Le premier concerne l'article 25 du DSA, qui interdit ce que l'on appelle communément les dark patterns, ou interfaces trompeuses en français : des choix de conception destinés à orienter, voire à manipuler l'utilisateur, au détriment de sa capacité à prendre une décision libre et éclairée. Dans le cas de X, la Commission cible le badge de vérification, autrefois symbole d'authentification d'un compte reconnu, transformé en abonnement payant accessible à quiconque, sans contrôle réel de l'identité de la personne ou de l'organisation qui l'achète. Pour la Commission, cette évolution ne correspond plus aux pratiques du secteur et induit les utilisateurs en erreur sur l'authenticité des comptes qu'ils consultent, un problème qui dépasse la simple question commerciale puisqu'il touche à la capacité des internautes à distinguer une source fiable d'une source qui ne l'est pas, ce qui est un enjeu central de sécurité informationnelle.

Le deuxième grief s'appuie sur l'article 39, qui impose aux très grandes plateformes de tenir un registre public des publicités qu'elles diffusent, consultable via un outil de recherche multicritère et une interface de programmation accessible aux tiers. Ce registre doit permettre d'identifier qui paie pour une publicité, quel est son contenu, et à quel public elle est destinée, sans toutefois exposer de données personnelles des utilisateurs. La Commission constate que le registre publicitaire de X ne remplit pas ces exigences : il resterait difficile, voire impossible, d'identifier avec certitude l'annonceur réel derrière une publicité ou le contenu exact qui a été diffusé, ce qui prive chercheurs, journalistes et autorités de régulation d'un outil de contrôle essentiel contre la désinformation politique ou la publicité frauduleuse.

Le troisième grief touche à l'article 40, qui organise l'accès des chercheurs agréés, y compris ceux affiliés à des organismes à but non lucratif, aux données publiques des très grandes plateformes, à condition qu'ils respectent des règles précises de finalité et de sécurité et que leur recherche contribue à l'étude des risques systémiques dans l'Union. La Commission relève que les conditions d'utilisation de X imposent des restrictions qui empêchent en pratique les chercheurs éligibles d'accéder de manière autonome aux données publiques, y compris par des méthodes de collecte automatisée encadrées. Cette obstruction prive la recherche indépendante d'un accès que le règlement était précisément censé garantir.

La sanction et ses suites

Face à ces trois manquements, la Commission a infligé une amende de 120 millions d'euros à X, un montant calculé en tenant compte de la gravité, de la durée et du chiffre d'affaires de l'entreprise, dans la limite fixée par l'article 74 du DSA, qui autorise des amendes allant jusqu'à six pour cent du chiffre d'affaires mondial annuel en cas de manquement grave. Au-delà de la sanction pécuniaire, la décision impose un calendrier de mise en conformité : X dispose de soixante jours ouvrés pour expliquer comment elle compte mettre fin à l'usage trompeur du badge de vérification, et de quatre-vingt-dix jours ouvrés pour soumettre un plan d'action complet corrigeant les défaillances de son registre publicitaire et de son dispositif d'accès aux chercheurs. Ce plan devra recevoir l'avis du comité européen des services numériques avant d'être validé.

En février 2026, X a annoncé avoir formé un recours contre cette décision devant le Tribunal de l'Union européenne, situé à Luxembourg. La procédure est encore en cours au moment de la rédaction de ce module, et il faudra suivre son issue pour savoir si la première application du DSA résiste à l'épreuve du contentieux. Il convient de noter que cette décision vise la société X elle-même, en tant que fournisseur du service, et non son actionnaire ou dirigeant à titre personnel : le droit de la régulation numérique européen s'adresse aux entités qui opèrent les plateformes, et rien dans la décision n'impute une faute personnelle à quiconque au-delà de ce que la Commission a formellement établi à l'encontre de la société.

Pourquoi cette affaire compte pour un professionnel de la sécurité

Cette décision illustre un déplacement du centre de gravité de la régulation numérique : il ne s'agit plus seulement de retirer des contenus illicites après coup, mais d'auditer la conception même des systèmes. Trois enseignements se dégagent pour quiconque travaille sur la sécurité, l'architecture ou la conformité des services numériques.

D'abord, la conception d'interface devient un objet de droit à part entière. Un mécanisme d'authentification ou de vérification qui ne remplit pas sa fonction annoncée peut désormais être qualifié juridiquement de pratique trompeuse, indépendamment de toute intention frauduleuse caractérisée. Cela rejoint des préoccupations bien connues en sécurité applicative, où un contrôle d'accès mal conçu ou une fonctionnalité de sécurité purement cosmétique constitue une vulnérabilité de confiance, ici sanctionnée sur le terrain du droit de la consommation numérique plutôt que sur celui de la cybersécurité technique.

Ensuite, les registres publics et les interfaces de programmation destinées à la transparence, comme le registre publicitaire de l'article 39, deviennent eux-mêmes des composants réglementés, avec des exigences de complétude, d'exactitude et d'accessibilité qui s'apparentent à des exigences de qualité de données et de disponibilité d'API que l'on retrouve dans d'autres cadres de conformité technique.

Enfin, l'article 40 crée un cadre légal d'accès aux données de plateforme à des fins de recherche sur les risques systémiques, ce qui est directement pertinent pour quiconque conçoit, audite ou sécurise des pipelines de collecte de données publiques, qu'il s'agisse de chercheurs en sécurité, de professionnels de la threat intelligence ou d'auditeurs de plateformes. Comprendre les conditions d'éligibilité et les garde-fous prévus par cet article permet de mieux distinguer un accès aux données légalement encadré d'une collecte non autorisée susceptible d'engager la responsabilité de son auteur.

Conclusion

Cette première sanction sous le DSA marque l'entrée de la régulation européenne du numérique dans une phase d'application concrète, après plusieurs années de mise en place progressive du cadre juridique. Elle rappelle qu'au-delà des obligations bien connues du RGPD en matière de protection des données personnelles, les plateformes numériques sont désormais soumises à un contrôle structurel de la transparence de leurs interfaces, de leurs registres publics et de leurs mécanismes d'accès aux données, avec des conséquences financières significatives en cas de manquement. Pour les professionnels de la sécurité et de la conformité numérique, elle constitue un signal clair : l'audit réglementaire s'étend désormais à des dimensions de conception et d'architecture qui, jusqu'ici, relevaient surtout de préoccupations d'ergonomie ou de gouvernance des données internes.

Sources

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Le texte ci-dessus suffit pour générer un podcast NotebookLM standard. Les angles suivants sont des instructions de focus prêtes à coller dans le champ de personnalisation, pour orienter la discussion vers des aspects plus techniques et opérationnels, adaptés à un profil sécurité offensive / automatisation.

Angle 1 — Audit offensif / points de contrôle. Traite les trois griefs (art. 25, 39, 40 DSA) comme des points de contrôle d'un audit de conformité : pour chacun, explicite le mécanisme technique concret qui a fait défaut (vérification d'identité du badge, structure de l'API du registre publicitaire, contrôle d'accès aux données pour chercheurs) et ce qu'un auditeur externe devrait tester pour détecter une non-conformité similaire sur une autre plateforme.

Angle 2 — Architecture et APIs. Concentre-toi sur la dimension technique des obligations DSA : comment un registre publicitaire conforme à l'article 39 devrait être architecturé (endpoints, authentification, rate-limiting), et comment un mécanisme d'accès chercheur conforme à l'article 40 se conçoit du point de vue contrôle d'accès et gestion des habilitations, en comparant avec des APIs de transparence déjà existantes (Meta Ad Library, TikTok Research API).

Angle 3 — Comparaison des régimes de sanction. Mets en perspective cette sanction DSA (120 M€, art. 25/39/40) avec la sanction CNIL/RGPD contre Free (42 M€, art. 32, traitée dans un module précédent) : différences de logique — obligation de sécurité technique vs. obligation de transparence structurelle —, différences de calcul du montant, et ce que ça signifie pour une entreprise qui doit répondre simultanément à plusieurs cadres de conformité numérique européens.

Angle 4 — Veille réglementaire automatisée. Discute de la manière dont un consultant en automatisation pourrait construire une veille continue sur les décisions DSA/RGPD/AI Act (sources officielles à surveiller, structuration des données de sanction, détection de patterns récurrents dans les manquements sanctionnés) pour anticiper les risques de conformité d'un client plutôt que de les découvrir après coup.

Angle 5 — Prospective contentieuse. Explore ce que pourrait donner le recours de X devant le Tribunal de l'UE (Luxembourg) : arguments de défense plausibles, précédents de contentieux DSA/DMA, et impact possible sur les futures décisions de la Commission contre d'autres VLOP.