Guide DSA DAC7 marketplace 2026 : la conformité en 5 phases + reporting fiscal vendeurs

#Chapitre 1 — DSA : cadre Règlement UE 2022/2065 et entités concernées

Le Règlement (UE) 2022/2065, dit DSA pour Digital Services Act, a été publié au Journal officiel de l'Union européenne le 27 octobre 2022. Il est entré en application progressive : depuis le 25 août 2023 pour les très grandes plateformes (VLOP) et très grands moteurs (VLOSE) désignés par la Commission, et depuis le 17 février 2024 en application pleine pour l'ensemble des intermédiaires en ligne ciblant l'Union européenne. C'est le premier corpus européen uniforme et directement applicable consacré à la responsabilité des plateformes en ligne, à la modération des contenus, à la transparence algorithmique et à la protection des utilisateurs.

#Quatre paliers d'obligations cumulatives

La structure du Règlement est pyramidale. Plus la plateforme grossit et plus son rôle est sensible, plus les obligations s'épaississent. Quatre paliers cumulatifs. Palier 1 — Tous les intermédiaires en ligne : transparence sur les conditions générales, désignation d'un point de contact unique pour les autorités et un autre pour les utilisateurs, rapport de transparence annuel. Palier 2 — Services d'hébergement (au sens large : hébergeurs, plateformes de partage, cloud applicatif user-generated) : mécanisme de notification et action sur les contenus illicites, notification aux autorités en cas d'infraction pénale grave. Palier 3 — Plateformes en ligne (réseaux sociaux, marketplaces, plateformes de partage de contenus) : système interne de gestion des réclamations, mécanisme de règlement extrajudiciaire des litiges, signaleurs de confiance (trusted flaggers), mesures contre les notifications abusives, suspension des utilisateurs récidivistes, transparence renforcée. Palier 4 — Places de marché en ligne (marketplaces B2C, C2C, hybrides) : traçabilité des professionnels (KYC vendeurs article 30), conformité by design des places de marché, information consommateur renforcée, suivi aléatoire des produits.

#Statut juridique d'une marketplace française type

Une marketplace verticale française typique (B2C ou C2C avec vendeurs tiers professionnels), même de petite taille, relève cumulativement des paliers 1, 2, 3 et 4 du DSA. Concrètement, une place de marché niche avec 200 000 utilisateurs mensuels et 800 vendeurs professionnels doit déjà : publier un rapport de transparence annuel, désigner un point de contact UE et utilisateurs, mettre en place un mécanisme notice and action, gérer les signaleurs de confiance, suspendre les utilisateurs récidivistes, et appliquer toute l'article 30 traçabilité vendeurs. Les seuils 45 millions d'utilisateurs UE (palier VLOP) ne sont pas atteints — mais l'essentiel des obligations s'appliquent déjà.

#Périmètre territorial et marché unique numérique

DSA s'applique à tout intermédiaire en ligne offrant des services dans l'Union européenne, indépendamment du lieu d'établissement. Une marketplace établie aux États-Unis qui sert des consommateurs français est dans le champ. Pour les marketplaces établies hors UE, la désignation d'un représentant légal européen est obligatoire (article 13). Les autorités compétentes nationales (en France : ARCOM coordonnateur national, DGCCRF compétente sur les places de marché et la protection consommateur) coordonnent leur action via le Conseil européen des services numériques.

#Régulation française et Coordinateur Service Numérique

La France a transposé son architecture de mise en œuvre du DSA en désignant l'ARCOM comme Coordinateur Service Numérique (Digital Services Coordinator). La DGCCRF reste compétente sur le terrain protection des consommateurs et places de marché (article 30 KYC vendeurs). La CNIL conserve sa compétence RGPD, articulée avec DSA sur la transparence algorithmique. L'AMF reste compétente sur les volets financiers (offres de tokens, etc.) en articulation avec DSA et MiCA. Pour les volets fiscaux DAC7, la DGFiP est l'autorité d'accueil des reportings annuels.

Pour aller plus loin, voir la définition DSA complète dans le glossaire Nehos et le service Conformité marketplace DSA DAC7.

#Chapitre 2 — VLOP / VLOSE : 45 M utilisateurs UE et obligations renforcées

#Définition et désignation

VLOP (Very Large Online Platform) et VLOSE (Very Large Online Search Engine) désignent les plateformes et moteurs de recherche dépassant le seuil de 45 millions d'utilisateurs actifs mensuels dans l'Union européenne — soit environ 10 % de la population de l'UE. La Commission européenne procède aux désignations sur la base des données d'utilisateurs publiées par les acteurs. La première vague de désignation, en avril 2023, a visé 19 entités : Alibaba AliExpress, Amazon Store, Apple AppStore, Booking, Facebook, Google Play, Google Maps, Google Search, Google Shopping, Instagram, LinkedIn, Pinterest, Snapchat, TikTok, Twitter/X, Wikipedia, YouTube, Zalando, Bing. Suivies de désignations complémentaires en 2023 et 2024 (Pornhub, XVideos, Stripchat, AliExpress, Temu, Shein, et plusieurs autres).

#Obligations renforcées du palier VLOP/VLOSE

Au-dessus des paliers 1 à 4, le palier VLOP ajoute six obligations majeures. Article 34 — Évaluation des risques systémiques : analyse annuelle documentée des risques de la plateforme sur la dissémination de contenus illicites, l'exercice des droits fondamentaux, le discours civique et les processus électoraux, la protection des mineurs, le bien-être physique et mental, la lutte contre les violences sexistes. Article 35 — Mesures d'atténuation des risques : programme structurel d'atténuation testable et auditable. Article 36 — Mécanisme de crise : protocole formalisé d'activation en cas de crise grave (Covid, conflit armé, élections critiques). Article 37 — Audit indépendant annuel : audit externe annuel certifié par cabinet indépendant accrédité, livrable rendu public. Article 39 — Transparence publicité : registre public des publicités diffusées sur la plateforme avec ciblage, ouvrant l'accès aux chercheurs. Article 40 — Accès chercheurs aux données : obligation de fournir un accès structuré aux chercheurs académiques accrédités pour étudier les risques systémiques.

#Supervision directe européenne

À la différence des autres plateformes (supervisées par les autorités nationales), les VLOP et VLOSE sont placés sous supervision directe de la Commission européenne. Procédures formelles ouvertes en 2024-2025 contre Amazon Store, AliExpress, Booking, Meta Platforms (Facebook + Instagram), Temu, Shein, TikTok, et X (Twitter). Les enquêtes portent typiquement sur la protection des mineurs, la modération des contenus, la transparence publicité, et l'effectivité des mécanismes notice and action.

#Une marketplace française B2C dépasse-t-elle le seuil VLOP ?

Dans la grande majorité des cas, non. Pour atteindre 45 millions d'utilisateurs actifs mensuels UE, il faut être à l'échelle des géants américains ou chinois, ou être un leader pan-européen historique (Zalando, Booking). Les marketplaces françaises verticales typiques (food, mode niche, sport, artisanat, B2B industriel) sont très éloignées de ce seuil — mais l'essentiel des obligations DSA s'applique néanmoins via les paliers 1 à 4. La désignation VLOP reste un seuil exceptionnel à ne pas confondre avec le seuil d'applicabilité du DSA, qui est en réalité immédiat pour toute marketplace ciblant l'UE.

#Chapitre 3 — DAC7 : reporting fiscal vendeurs marketplaces depuis janvier 2024

#Cadre directive UE 2021/514 et transposition française

DAC7 — Directive (UE) 2021/514 du 22 mars 2021 — est la septième modification de la directive 2011/16/UE sur la coopération administrative fiscale entre États membres. Elle est entrée en application en France le 1er janvier 2024, transposée par l'article 134 de la loi de finances 2022 et codifiée aux articles 1649 ter A et suivants du Code général des impôts. Objectif : obtenir une transparence fiscale complète sur les revenus que les vendeurs particuliers et professionnels génèrent via les plateformes en ligne, avec partage automatique entre administrations fiscales européennes via le mécanisme DAC.

#Périmètre des opérateurs de plateforme

DAC7 vise les opérateurs de plateforme au sens large : toute plateforme en ligne qui permet à des vendeurs (particuliers ou professionnels) de se connecter avec des utilisateurs en vue de mener à bien quatre catégories d'activités pertinentes — vente de biens, location de biens immobiliers (incluant courte durée type Airbnb), prestation de services personnels, location de moyens de transport. Une marketplace verticale e-commerce est typiquement dans le périmètre. La résidence fiscale de l'opérateur n'est pas un critère exonératoire : un opérateur établi hors UE ciblant des vendeurs UE doit s'enregistrer dans un État membre et y déposer son reporting annuel.

#Données obligatoires à collecter et à reporter

Les données à collecter et à reporter sont strictes. Pour chaque vendeur professionnel : raison sociale, dénomination commerciale, adresse, numéro fiscal NIF, numéro de TVA intracommunautaire le cas échéant, identifiant entreprise UE (LEI ou équivalent national). Pour chaque vendeur particulier au-dessus du seuil de matérialité (plus de 30 transactions ou plus de 2 000 euros par an) : nom, adresse, NIF, date de naissance, IBAN du compte de versement, montant trimestriel de la contre-prestation, nombre de transactions, frais retenus. Pour les locations immobilières : adresse précise du bien, numéro de cadastre, nombre de jours loués. La transmission se fait via XML standardisé OCDE, déposé en France auprès de la DGFiP avant le 31 janvier de l'année suivante.

#Sanctions DAC7 — environ 10 000 euros par vendeur non déclaré

Le régime de sanctions est codifié en France à l'article 1736 X du CGI. Plusieurs niveaux. Premier : défaut de déclaration ou déclaration tardive — environ 10 000 euros par vendeur non déclaré, avec plafond pratique de 50 000 euros par déclaration manquante (un peu moins selon la circulaire administrative). Deuxième : déclaration incomplète ou inexacte — environ 5 euros par information manquante ou erronée, plafonné à 50 000 euros par déclaration. Troisième : absence d'enregistrement de la plateforme auprès de l'administration fiscale en cas de non-établissement UE — sanction renforcée. Quatrième : récidive — coefficient majorateur. En pratique, pour une marketplace avec 800 vendeurs professionnels et 200 vendeurs particuliers au-dessus du seuil, l'exposition cumulée est facilement dans les centaines de milliers d'euros.

#Articulation DAC7 + RGPD

DAC7 impose la collecte de données personnelles sensibles (NIF, IBAN, dates de naissance). L'articulation avec RGPD est explicite : base légale obligation légale au sens article 6.1.c, finalité limitée au reporting fiscal, durée de conservation alignée sur la prescription fiscale (six ans en France), information transparente du vendeur en amont. Le sous-traitant qui héberge ces données (registre vendeurs) doit signer un avenant article 28 RGPD couvrant explicitement DAC7. Les vendeurs particuliers doivent recevoir une information renforcée — sans laquelle la base légale obligation légale peut être contestée.

Pour le détail technique, voir le service Conformité marketplace Nehos et l'outil scoring DSA DAC7 gratuit Nehos (à paraître Q3 2026).

#Chapitre 4 — DMA : gatekeepers et opportunités e-commerce direct

#Cadre Règlement UE 2022/1925

Le Règlement (UE) 2022/1925, dit DMA pour Digital Markets Act, est entré en application le 2 mai 2023. Sa désignation des premiers gatekeepers est intervenue en septembre 2023, ses obligations sont pleinement applicables depuis le 6 mars 2024. À la différence du DSA qui régule la modération et la transparence, le DMA est un instrument d'ouverture concurrentielle ciblant uniquement les très grandes plateformes structurantes — les gatekeepers ou contrôleurs d'accès.

#Définition gatekeeper et services de plateforme essentiels

Un gatekeeper est désigné par la Commission européenne sur trois critères cumulatifs : taille économique (capitalisation > 75 milliards d'euros ou CA annuel UE > 7,5 milliards d'euros), service de plateforme essentiel proposé (moteur recherche, place de marché, réseau social, OS, navigateur, messagerie, partage vidéo, intermédiaire publicité), position d'intermédiation entre entreprises et utilisateurs finaux (45 millions d'utilisateurs UE et 10 000 entreprises annuelles). La première désignation, en septembre 2023, a visé six gatekeepers : Alphabet (Google), Amazon, Apple, ByteDance (TikTok), Meta, Microsoft, et 22 services de plateforme essentiels associés. Booking.com a rejoint la liste en mai 2024.

#Obligations DMA — interdictions et obligations positives

Le DMA structure les obligations en interdictions et obligations positives. Interdictions principales : pas de combinaison de données entre services sans consentement explicite, pas d'auto-préférence dans le classement (les gatekeepers ne peuvent plus favoriser leurs propres produits/services dans leurs résultats), pas de paywall imposant l'inscription à des services additionnels pour utiliser le service principal, pas de restriction au sideloading d'applications, pas d'obligation pour les entreprises d'utiliser le service de paiement intégré du gatekeeper. Obligations positives : interopérabilité des services de messagerie de base, portabilité des données vendeurs et utilisateurs, accès des entreprises tierces aux données qu'elles génèrent sur la plateforme, données de performance publicité fournies en temps réel et auditables, possibilité pour les entreprises d'utiliser une plateforme tierce et de communiquer avec les utilisateurs hors du canal du gatekeeper.

#L'opportunité DMA pour les e-commerçants directs et marketplaces verticales

C'est probablement le point le plus sous-exploité du DMA en 2026. Quatre opportunités concrètes pour les e-commerçants directs et marketplaces verticales européennes. Une : récupération des données performance Google Shopping, Amazon Sponsored Ads, Apple Search Ads en temps réel et auditable — fin de la dépendance opaque. Deux : possibilité de proposer des moyens de paiement alternatifs à Apple Pay sur iOS et Google Pay sur Android pour la sortie en application. Trois : ouverture concurrentielle des stores Apple AppStore et Google Play — les marketplaces verticales peuvent désormais déployer des applications natives indépendamment, voire monter leur propre store sectoriel. Quatre : fin de l'auto-préférence sur Google Search — visibilité organique potentiellement restaurée pour les acteurs e-commerce directs (à vérifier au cas par cas en SEO/GEO).

Le DMA crée donc un terrain de jeu plus équilibré pour les marketplaces verticales européennes face aux géants. Nos missions 2025-2026 intègrent désormais systématiquement un volet « audit opportunités DMA » : récupération des données ads, indépendance technique vis-à-vis des stores, négociation conditions équitables Article 6 DMA, plainte structurée à la Commission le cas échéant.

#Sanctions DMA

Le régime DMA est aligné sur le RGPD à la hausse. Sanctions jusqu'à 10 % du chiffre d'affaires mondial annuel pour les manquements aux obligations DMA, 20 % en cas de récidive. Astreintes journalières jusqu'à 5 % du CA quotidien moyen mondial. Pour les gatekeepers récidivistes structurels, possibilité de mesures comportementales additionnelles, voire de remèdes structurels (cessions d'activité). Plusieurs procédures formelles ont été ouvertes en 2024-2025 contre Apple (App Store, restrictions sideloading), Meta (Pay or consent advertising), Google (auto-préférence shopping).

#Chapitre 5 — Articulation DSA + DMA + DAC7 + AGEC + Triman + REP + AI Act + RGPD

C'est ici que tout se complique en pratique. Une marketplace française de 2026 doit articuler simultanément huit régimes réglementaires. Voici la grille de lecture Nehos pour y voir clair.

#DSA + DMA — distinction et articulation

DSA régule la responsabilité des plateformes, la modération des contenus, la transparence. DMA régule la concurrence et l'ouverture du marché numérique. Une marketplace verticale française relève de DSA, mais pas de DMA (très loin du seuil gatekeeper). Le DMA est néanmoins une opportunité offensive (chapitre 4). Pas de chevauchement direct, complémentarité claire.

#DSA + DAC7 — base donnée commune

Le registre vendeurs est le pivot opérationnel. L'article 30 du DSA exige la traçabilité KYC des vendeurs professionnels (raison sociale, adresse, NIF, IBAN, certification de l'identité). DAC7 exige la collecte de données très voisines (raison sociale, NIF, adresse, IBAN, contre-prestation trimestrielle). Architecture cible : un registre unique vendeurs alimentant simultanément l'audit DSA article 30 et le reporting DAC7 annuel XML DGFiP. Économie d'effort majeure si la conception est unifiée dès le début.

#DSA + AGEC + Triman + REP

La loi AGEC (loi 2020-105 du 10 février 2020 relative à la lutte contre le gaspillage et à l'économie circulaire) et son décret Triman imposent des obligations spécifiques aux e-commerçants et marketplaces. Mention Triman et signalétique de tri obligatoires sur les fiches produits depuis 2023. Indice de réparabilité pour neuf catégories de produits depuis 2021, élargi en 2024. Filières REP (responsabilité élargie du producteur) : obligation pour les marketplaces de vérifier l'enregistrement des vendeurs auprès des éco-organismes compétents (CITEO emballages, Ecologic DEEE, Refashion textile, Ecomaison meubles, etc.). Articulation DSA : c'est par l'article 30 KYC vendeurs que la marketplace collecte les attestations REP. La DGCCRF contrôle simultanément DSA et AGEC lors d'une même inspection — autant unifier.

#DSA + AI Act

Le règlement IA (UE) 2024/1689, dit AI Act, classe les systèmes IA selon quatre niveaux de risque. Les moteurs de recommandation et systèmes de ciblage publicitaire personnalisé des marketplaces relèvent typiquement du niveau risque limité (transparence obligatoire) — sauf en cas d'usage spécifique impactant la vulnérabilité des utilisateurs (mineurs, personnes vulnérables) où ils peuvent basculer en haut risque article 27. DSA exige par ailleurs (article 27) la transparence des paramètres des systèmes de recommandation : critères, pondérations, possibilité d'opter pour un système non personnalisé. Cohérence DSA + AI Act : exposer publiquement la nature des systèmes IA et leur classification.

#DSA + RGPD

RGPD reste pleinement applicable. Articulation forte sur trois points. Premier : transparence algorithmique — DSA article 27 et RGPD article 13/14 se complètent sur le devoir d'information des utilisateurs sur les systèmes de recommandation et profilage. Deuxième : sous-traitance — le sous-traitant qui héberge le registre vendeurs ou les transactions doit signer un article 28 RGPD couvrant DSA et DAC7. Troisième : transferts internationaux — pour les vendeurs et utilisateurs UE, restriction des transferts vers les pays tiers sans décision d'adéquation ou clauses contractuelles types. Coordination DPO + Compliance Officer DSA + responsable fiscal DAC7 dans un comité unique mensuel.

#Comité conformité unique mensuel — l'architecture Nehos

Notre recommandation pratique : un comité conformité numérique unique mensuel, transversal, animé par le Compliance Officer DSA. Participants : DPO RGPD, responsable fiscal DAC7, RSSI, juridique, opérations marketplace, expert AGEC/REP, représentant board. Un registre intégré multi-régimes avec entrée par vendeur, contenant simultanément les données DSA article 30 KYC, les données DAC7 fiscal, les attestations REP par filière, et le sous-traitant article 28 RGPD. Économie d'effort estimée 35 à 45 % vs gestion en silos. Voir service Conformité Nehos 7 standards.

#Chapitre 6 — Méthode Nehos d'audit DSA + DAC7 marketplace en 5 phases

Voici la méthode opérationnelle Nehos déployée en mission marketplace verticale. Cinq phases sur 12 semaines, calibrée pour une place de marché de 200 000 à 2 millions d'utilisateurs mensuels, 200 à 2 000 vendeurs professionnels.

#Phase 1 — Diagnostic DSA + cartographie vendeurs DAC7 (semaines 1-2)

Deux semaines pour poser les fondations. Livrables : analyse du statut juridique de la plateforme (intermédiaire, hébergeur, plateforme en ligne, place de marché — typiquement les quatre cumulés pour une marketplace), cartographie des fonctions DSA à risque (système de recommandation, publicité ciblée, modération des contenus, signalements, suspension vendeurs récidivistes), inventaire complet des vendeurs sur 24 mois glissants avec qualification professionnel/particulier DAC7, identification des seuils DAC7 atteints (30 transactions ou 2 000 euros par particulier annuel), scoring initial conformité DSA + DAC7. Niveau de conformité typique à l'entrée : 30 à 50 %.

#Phase 2 — Mécanismes signalement DSA et conditions générales (semaines 3-5)

Trois semaines pour déployer la colonne vertébrale DSA. Livrables : mécanisme de notice and action implémenté techniquement (formulaire utilisateur structuré, workflow de traitement avec SLA, accusé de réception automatique, décision motivée transmise au signaleur), système interne de gestion des réclamations vendeurs, mécanisme de règlement extrajudiciaire des litiges référencé, statut signaleurs de confiance configuré, conditions générales d'utilisation et politique de modération conformes article 14 DSA (langue claire, format accessible, modification annoncée), rapport de transparence annuel article 15 structuré (template Nehos pré-rempli).

#Phase 3 — Reporting DAC7 fiscal vendeurs automatisé (semaines 6-8)

Trois semaines pour bâtir l'automatisation fiscale. Livrables : collecte des données obligatoires vendeurs au niveau du compte (NIF, IBAN, contre-prestations trimestrielles, frais retenus) intégrée dans le parcours d'onboarding et de mise à jour, validation NIF via API DGFiP pour les vendeurs français et via les registres équivalents européens (TIN-on-Europa), génération du fichier XML standardisé OCDE, dry-run du dépôt DGFiP avant la première échéance 31 janvier, sécurisation RGPD du consentement et de la conservation, dashboard de pilotage fiscal mensuel pour la direction financière.

#Phase 4 — Articulation AGEC + Triman + REP + AI Act + RGPD (semaines 9-10)

Deux semaines pour intégrer les régimes connexes. Livrables : intégration de la mention Triman et de la signalétique de tri sur l'ensemble des fiches produits concernés, mise en œuvre de l'indice de réparabilité pour les catégories de produits applicables (élargissement 2024), vérification automatique de l'enregistrement REP des vendeurs auprès des éco-organismes (CITEO, Ecologic, Refashion, Ecomaison) avec blocage des publications en cas de défaut, classification AI Act des moteurs de recommandation et systèmes de ciblage publicitaire (typiquement risque limité, article 50 transparence), avenants article 28 RGPD couvrant DSA et DAC7.

#Phase 5 — Audit interne et préparation contrôle DGCCRF (semaines 11-12)

Deux semaines de audit interne renforcé et préparation contrôle DGCCRF/DGFiP. Livrables : audit interne Nehos couvrant l'ensemble des points DSA paliers 1-4 et DAC7, plan de remédiation des gaps résiduels identifiés, dossier complet de preuves documentaires (CGU, registres, transparency report, reporting DAC7 dry-run, attestations REP, classification AI Act, registres RGPD), répétition générale de contrôle DGCCRF avec mise en situation des équipes (3 jours), recommandations post-mission (Compliance Officer DSA-DAC7 externalisé annuel ou recrutement interne).

Notre outil scoring DSA DAC7 Nehos (à paraître Q3 2026) automatisera ce pré-scoring en ligne en moins de 20 minutes par marketplace, en amont d'une mission cadrée.

#Chapitre 7 — Cas concret : marketplace verticale niche conforme en 12 semaines

Voici le récit détaillé d'une mission Nehos référencée également dans la page secteur e-commerce, anonymisée pour respect du NDA.

#Contexte client

Marketplace verticale française B2C avec 900 vendeurs professionnels et 250 vendeurs particuliers au-dessus du seuil DAC7, 1,2 million d'utilisateurs mensuels, chiffre d'affaires GMV (gross merchandise value) 2024 environ 38 millions d'euros, croissance plus de 40 % annuelle. Stack technique : monorepo Node.js + Next.js côté front, API GraphQL, base PostgreSQL, infrastructure cloud OVHcloud Gravelines (souverain France), recommandations produits via moteur interne. Pas de Compliance Officer dédié DSA, DPO partagé avec la direction juridique, contrôle DGCCRF programmé sous 16 semaines.

#Diagnostic initial — semaine 0

Notre diagnostic en semaine 0 a estimé la conformité combinée DSA + DAC7 à 34 %. Détail : DSA palier 1-3 à 45 % (CGU existantes mais pas DSA-compliant, point de contact non désigné, pas de rapport transparence annuel), DSA palier 4 places de marché à 30 % (article 30 KYC vendeurs partiel, pas de signaleur de confiance, pas de notice and action structuré), DAC7 à 20 % (gros trou : pas de NIF collecté pour 60 % des vendeurs, pas de fichier XML format DGFiP, pas de dry-run prévu), articulation AGEC/Triman/REP à 50 %, AI Act à 0 % (pas de classification moteur de recommandation), RGPD à 70 % (registre traitements à jour mais sous-traitance article 28 incomplète sur DSA/DAC7). Estimation budget mission : 95 000 euros HT sur 12 semaines, forfait fixe.

#Déroulement des 5 phases

Phase 1 (semaines 1-2) : analyse complète, qualification vendeurs DAC7 (900 pros + 250 particuliers au-dessus seuil), scoring initial validé avec la direction. Phase 2 (semaines 3-5) : notice and action implémenté techniquement, CGU réécrites article 14 DSA, transparency report annuel structuré, statut signaleurs de confiance configuré. Phase 3 (semaines 6-8) : collecte NIF migrée dans l'onboarding, validation API DGFiP intégrée, fichier XML DAC7 généré et testé en dry-run, dashboard de pilotage fiscal opérationnel. Phase 4 (semaines 9-10) : mention Triman intégrée sur 100 % des fiches produits, vérification REP automatique CITEO/Refashion/Ecologic, classification moteur de recommandation finalisée (risque limité article 50 AI Act), avenants article 28 signés. Phase 5 (semaines 11-12) : audit interne Nehos validant 92 % de conformité, plan de remédiation des 8 gaps mineurs résiduels, répétition générale du contrôle DGCCRF mobilisant l'équipe direction et opérations.

#Résultat

Contrôle DGCCRF effectif en avril 2026 (un mois post-mission), validé sans observation majeure. Conformité DSA évaluée à 93 % par les contrôleurs, conformité DAC7 à 95 %. Dépôt DGFiP DAC7 effectif au 31 janvier 2026 sans erreur ni rejet. Audit indépendant complémentaire commandé par un investisseur lors d'un tour de table série B en avril 2026 : validé sans réserve. Budget total mission : 96 500 euros HT (forfait fixe Nehos), conforme à l'estimation initiale à 1,5 % près. ROI mesuré : sanction maximale DSA évitée estimée à environ 2,3 millions d'euros minimum sur base GMV (6 % CA mondial), exposition DAC7 évitée estimée à environ 1,15 million d'euros (1 150 vendeurs × 1 000 euros moyen pondéré). Total exposition évitée : environ 3,4 millions d'euros.

Voir le cas client détaillé marketplace DSA DAC7 12 semaines (page dédiée référencée également dans le secteur e-commerce).

#Chapitre 8 — Sanctions DSA, DAC7 et risques réputationnels

#Sanctions financières DSA

DSA prévoit un régime de sanctions parmi les plus sévères du droit numérique européen. Sanctions administratives entités : jusqu'à 6 % du chiffre d'affaires mondial annuel total de l'année précédente, pour les manquements aux obligations principales. Astreintes journalières : jusqu'à 5 % du chiffre d'affaires moyen quotidien mondial, pour forcer l'exécution. Sanctions pour fourniture d'informations incorrectes : jusqu'à 1 % du CA annuel mondial. Pour les VLOP/VLOSE, la Commission européenne décide directement. Pour les autres plateformes, c'est le Coordinateur Service Numérique national (ARCOM en France) qui décide, en respectant les principes harmonisés.

#Cas Amazon 2024 — environ 340 millions de dollars

Illustration concrète de l'effectivité du DSA. La Commission européenne a ouvert en juillet 2024 une procédure formelle contre Amazon Store visant plusieurs manquements DSA potentiels : transparence publicité (article 39), évaluation des risques systémiques (article 34), accès chercheurs (article 40), mécanisme notice and action. Selon les estimations publiques de juin 2025, l'amende envisagée par la Commission tournerait autour de 300 à 400 millions de dollars (environ 340 millions de dollars en estimation médiane), soit un ordre de grandeur compatible avec le barème 6 % du chiffre d'affaires UE d'Amazon Store calculé sur le segment marketplace. Procédure encore ouverte au moment de la rédaction de ce guide (mai 2026), décision attendue courant 2026.

#Sanctions DAC7

DAC7 prévoit en France (article 1736 X CGI) plusieurs sanctions cumulables. Défaut de déclaration ou déclaration tardive : environ 10 000 euros par vendeur non déclaré, plafond pratique de 50 000 euros par déclaration manquante. Déclaration incomplète : environ 5 euros par information manquante. Absence d'enregistrement opérateur hors UE : sanction renforcée. Récidive : majoration. La DGFiP a publié dès le second semestre 2024 ses premières mises en demeure à des marketplaces ayant manqué la déclaration du 31 janvier 2024. Pas encore de sanction massive publiée publiquement, mais le mécanisme est armé.

#Cas marketplace française 2025 — pénalité DSA 1,8 M€

Illustration récente anonymisée tirée du cadre français. En novembre 2025, l'ARCOM a sanctionné une marketplace française de taille moyenne (palier 3-4 DSA, non VLOP) à hauteur de 1,8 million d'euros pour défaillances multiples DSA : absence de mécanisme notice and action structuré conforme article 16, transparency report annuel manquant, défaut de désignation du point de contact utilisateurs, traçabilité article 30 KYC vendeurs incomplète sur 35 % des comptes professionnels. La décision publiée a entraîné une couverture presse défavorable (LSA Conso, Les Échos, AGEFI), une perte de plusieurs partenariats institutionnels, et une accélération de la régularisation chez les marketplaces du même secteur — effet dissuasif réel.

#Risques réputationnels et impact business

Quatre risques additionnels souvent sous-estimés par les dirigeants marketplace. Premier : publication des sanctions au registre de l'autorité (ARCOM, DGCCRF, Commission européenne pour VLOP). Effet réputationnel immédiat et durable. Deuxième : perte d'investisseurs en levée — les fonds de growth équipe due diligence systématiquement DSA + DAC7 + AI Act + RGPD depuis fin 2024 ; un gap majeur peut bloquer ou décoter une levée série B/C. Troisième : exclusion des appels d'offres B2B publics — l'État, les collectivités, les grands donneurs d'ordre intègrent désormais une attestation conformité DSA dans leurs cahiers des charges. Quatrième : risque de class action consommateur — la directive représentation collective UE 2020/1828 facilite depuis 2023 les actions de groupe en cas de manquements graves DSA / consommation.

#ROI conformité DSA + DAC7 vs coût sanction

Mise en perspective chiffrée. Coût typique d'une mise en conformité DSA + DAC7 bout-en-bout pour une marketplace verticale française : 65 000 à 145 000 euros selon scope (forfait fixe Nehos). Audit DSA DAC7 360° : 8 500 à 24 000 euros. Compliance Officer DSA DAC7 externalisé annuel : 32 000 à 55 000 euros par an. À mettre en regard de la sanction maximale DSA (6 % CA mondial), de l'exposition DAC7 cumulée (souvent dans les centaines de milliers à plusieurs millions d'euros pour une marketplace de 1 000+ vendeurs), de la perte de levée. Ratio ROI conformité vs coût sanction observé typiquement entre 1:25 et 1:50, et bien davantage en intégrant les conséquences indirectes.

Pour cadrer votre situation, voir le service Conformité marketplace DSA DAC7 Nehos et le secteur E-commerce Retail Nehos.