Guide DSA DAC7 marketplace 2026 : la conformité en 5 phases + reporting fiscal vendeurs

#Chapitre 1 — DSA : cadre Règlement UE 2022/2065 et entités concernées

Le Règlement (UE) 2022/2065, dit DSA pour Digital Services Act, a été publié au Journal officiel de l'Union européenne le 27 octobre 2022. Il est entré en application progressive : depuis le 25 août 2023 pour les très grandes plateformes (VLOP) et très grands moteurs (VLOSE) désignés par la Commission, et depuis le 17 février 2024 en application pleine pour l'ensemble des intermédiaires en ligne ciblant l'Union européenne.

C'est le premier corpus européen uniforme et directement applicable consacré à la responsabilité des plateformes en ligne, à la modération des contenus, à la transparence algorithmique et à la protection des utilisateurs.

#Quatre paliers d'obligations cumulatives

La structure du Règlement est pyramidale. Plus la plateforme grossit et plus son rôle est sensible, plus les obligations s'épaississent. Quatre paliers cumulatifs. Palier 1 — Tous les intermédiaires en ligne : transparence sur les conditions générales, désignation d'un point de contact unique pour les autorités et un autre pour les utilisateurs, rapport de transparence annuel.

Palier 2 — Services d'hébergement (au sens large : hébergeurs, plateformes de partage, cloud applicatif user-generated) : mécanisme de notification et action sur les contenus illicites, notification aux autorités en cas d'infraction pénale grave. Palier 3 — Plateformes en ligne (réseaux sociaux, marketplaces, plateformes de partage de contenus) : système interne de gestion des réclamations, mécanisme de règlement extrajudiciaire des litiges, signaleurs de confiance (trusted flaggers), mesures contre les notifications abusives, suspension des utilisateurs récidivistes, transparence renforcée.

Palier 4 — Places de marché en ligne (marketplaces B2C, C2C, hybrides) : traçabilité des professionnels (KYC vendeurs article 30), conformité by design des places de marché, information consommateur renforcée, suivi aléatoire des produits.

#Statut juridique d'une marketplace française type

Une marketplace verticale française typique (B2C ou C2C avec vendeurs tiers professionnels), même de petite taille, relève cumulativement des paliers 1, 2, 3 et 4 du DSA. Concrètement, une place de marché niche avec 200 000 utilisateurs mensuels et 800 vendeurs professionnels doit déjà : publier un rapport de transparence annuel, désigner un point de contact UE et utilisateurs, mettre en place un mécanisme notice and action, gérer les signaleurs de confiance, suspendre les utilisateurs récidivistes, et appliquer toute l'article 30 traçabilité vendeurs.

Les seuils 45 millions d'utilisateurs UE (palier VLOP) ne sont pas atteints — mais l'essentiel des obligations s'appliquent déjà.

#Périmètre territorial et marché unique numérique

DSA s'applique à tout intermédiaire en ligne offrant des services dans l'Union européenne, indépendamment du lieu d'établissement. Une marketplace établie aux États-Unis qui sert des consommateurs français est dans le champ. Pour les marketplaces établies hors UE, la désignation d'un représentant légal européen est obligatoire (article 13).

Les autorités compétentes nationales (en France : ARCOM coordonnateur national, DGCCRF compétente sur les places de marché et la protection consommateur) coordonnent leur action via le Conseil européen des services numériques.

#Régulation française et Coordinateur Service Numérique

La France a transposé son architecture de mise en œuvre du DSA en désignant l'ARCOM comme Coordinateur Service Numérique (Digital Services Coordinator). La DGCCRF reste compétente sur le terrain protection des consommateurs et places de marché (article 30 KYC vendeurs). La CNIL conserve sa compétence RGPD, articulée avec DSA sur la transparence algorithmique.

L'AMF reste compétente sur les volets financiers (offres de tokens, etc.) en articulation avec DSA et MiCA. Pour les volets fiscaux DAC7, la DGFiP est l'autorité d'accueil des reportings annuels.

Pour aller plus loin, voir la définition DSA complète dans le glossaire Nehos et le service Conformité marketplace DSA DAC7.

#Chapitre 2 — VLOP / VLOSE : 45 M utilisateurs UE et obligations renforcées

#Définition et désignation

VLOP (Very Large Online Platform) et VLOSE (Very Large Online Search Engine) désignent les plateformes et moteurs de recherche dépassant le seuil de 45 millions d'utilisateurs actifs mensuels dans l'Union européenne — soit environ 10 % de la population de l'UE. La Commission européenne procède aux désignations sur la base des données d'utilisateurs publiées par les acteurs.

La première vague de désignation, en avril 2023, a visé 19 entités : Alibaba AliExpress, Amazon Store, Apple AppStore, Booking, Facebook, Google Play, Google Maps, Google Search, Google Shopping, Instagram, LinkedIn, Pinterest, Snapchat, TikTok, Twitter/X, Wikipedia, YouTube, Zalando, Bing.

Suivies de désignations complémentaires en 2023 et 2024 (Pornhub, XVideos, Stripchat, AliExpress, Temu, Shein, et plusieurs autres).

#Obligations renforcées du palier VLOP/VLOSE

Au-dessus des paliers 1 à 4, le palier VLOP ajoute six obligations majeures. Article 34 — Évaluation des risques systémiques : analyse annuelle documentée des risques de la plateforme sur la dissémination de contenus illicites, l'exercice des droits fondamentaux, le discours civique et les processus électoraux, la protection des mineurs, le bien-être physique et mental, la lutte contre les violences sexistes.

Article 35 — Mesures d'atténuation des risques : programme structurel d'atténuation testable et auditable. Article 36 — Mécanisme de crise : protocole formalisé d'activation en cas de crise grave (Covid, conflit armé, élections critiques). Article 37 — Audit indépendant annuel : audit externe annuel certifié par cabinet indépendant accrédité, livrable rendu public.

Article 39 — Transparence publicité : registre public des publicités diffusées sur la plateforme avec ciblage, ouvrant l'accès aux chercheurs. Article 40 — Accès chercheurs aux données : obligation de fournir un accès structuré aux chercheurs académiques accrédités pour étudier les risques systémiques.

#Supervision directe européenne

À la différence des autres plateformes (supervisées par les autorités nationales), les VLOP et VLOSE sont placés sous supervision directe de la Commission européenne. Procédures formelles ouvertes en 2024-2025 contre Amazon Store, AliExpress, Booking, Meta Platforms (Facebook + Instagram), Temu, Shein, TikTok, et X (Twitter).

Les enquêtes portent typiquement sur la protection des mineurs, la modération des contenus, la transparence publicité, et l'effectivité des mécanismes notice and action.

#Une marketplace française B2C dépasse-t-elle le seuil VLOP ?

Dans la grande majorité des cas, non. Pour atteindre 45 millions d'utilisateurs actifs mensuels UE, il faut être à l'échelle des géants américains ou chinois, ou être un leader pan-européen historique (Zalando, Booking). Les marketplaces françaises verticales typiques (food, mode niche, sport, artisanat, B2B industriel) sont très éloignées de ce seuil — mais l'essentiel des obligations DSA s'applique néanmoins via les paliers 1 à 4.

La désignation VLOP reste un seuil exceptionnel à ne pas confondre avec le seuil d'applicabilité du DSA, qui est en réalité immédiat pour toute marketplace ciblant l'UE.

#Chapitre 3 — DAC7 : reporting fiscal vendeurs marketplaces depuis janvier 2024

#Cadre directive UE 2021/514 et transposition française

DAC7 — Directive (UE) 2021/514 du 22 mars 2021 — est la septième modification de la directive 2011/16/UE sur la coopération administrative fiscale entre États membres. Elle est entrée en application en France le 1er janvier 2024, transposée par l'article 134 de la loi de finances 2022 et codifiée aux articles 1649 ter A et suivants du Code général des impôts.

Objectif : obtenir une transparence fiscale complète sur les revenus que les vendeurs particuliers et professionnels génèrent via les plateformes en ligne, avec partage automatique entre administrations fiscales européennes via le mécanisme DAC.

#Périmètre des opérateurs de plateforme

DAC7 vise les opérateurs de plateforme au sens large : toute plateforme en ligne qui permet à des vendeurs (particuliers ou professionnels) de se connecter avec des utilisateurs en vue de mener à bien quatre catégories d'activités pertinentes — vente de biens, location de biens immobiliers (incluant courte durée type Airbnb), prestation de services personnels, location de moyens de transport.

Une marketplace verticale e-commerce est typiquement dans le périmètre. La résidence fiscale de l'opérateur n'est pas un critère exonératoire : un opérateur établi hors UE ciblant des vendeurs UE doit s'enregistrer dans un État membre et y déposer son reporting annuel.

#Données obligatoires à collecter et à reporter

Les données à collecter et à reporter sont strictes. Pour chaque vendeur professionnel : raison sociale, dénomination commerciale, adresse, numéro fiscal NIF, numéro de TVA intracommunautaire le cas échéant, identifiant entreprise UE (LEI ou équivalent national). Pour chaque vendeur particulier au-dessus du seuil de matérialité (plus de 30 transactions ou plus de 2 000 euros par an) : nom, adresse, NIF, date de naissance, IBAN du compte de versement, montant trimestriel de la contre-prestation, nombre de transactions, frais retenus.

Pour les locations immobilières : adresse précise du bien, numéro de cadastre, nombre de jours loués. La transmission se fait via XML standardisé OCDE, déposé en France auprès de la DGFiP avant le 31 janvier de l'année suivante.

#Sanctions DAC7

Le régime de sanctions est codifié en France dans le Code général des impôts. Il prévoit des amendes en cas de défaut de déclaration ou de déclaration tardive, de déclaration incomplète ou inexacte, et des mesures renforcées pour une plateforme non établie dans l'UE qui ne s'enregistre pas ; la récidive est majorée.

Les montants et les plafonds sont à vérifier dans le CGI ou auprès de la DGFiP avant tout arbitrage. En pratique, pour une marketplace qui compte plusieurs centaines de vendeurs, l'exposition cumulée peut vite devenir significative.

#Articulation DAC7 + RGPD

DAC7 impose la collecte de données personnelles sensibles (NIF, IBAN, dates de naissance). L'articulation avec RGPD est explicite : base légale obligation légale au sens article 6.1.c, finalité limitée au reporting fiscal, durée de conservation alignée sur la prescription fiscale (six ans en France), information transparente du vendeur en amont.

Le sous-traitant qui héberge ces données (registre vendeurs) doit signer un avenant article 28 RGPD couvrant explicitement DAC7. Les vendeurs particuliers doivent recevoir une information renforcée — sans laquelle la base légale obligation légale peut être contestée.

Pour le détail technique, voir le service Conformité marketplace Nehos et l'outil scoring DSA DAC7 gratuit Nehos (à paraître).

#Chapitre 4 — DMA : gatekeepers et opportunités e-commerce direct

#Cadre Règlement UE 2022/1925

Le Règlement (UE) 2022/1925, dit DMA pour Digital Markets Act, est entré en application le 2 mai 2023. Sa désignation des premiers gatekeepers est intervenue en septembre 2023, ses obligations sont pleinement applicables depuis le 6 mars 2024. À la différence du DSA qui régule la modération et la transparence, le DMA est un instrument d'ouverture concurrentielle ciblant uniquement les très grandes plateformes structurantes — les gatekeepers ou contrôleurs d'accès.

#Définition gatekeeper et services de plateforme essentiels

Un gatekeeper est désigné par la Commission européenne sur trois critères cumulatifs : taille économique (capitalisation > 75 milliards d'euros ou CA annuel UE > 7,5 milliards d'euros), service de plateforme essentiel proposé (moteur recherche, place de marché, réseau social, OS, navigateur, messagerie, partage vidéo, intermédiaire publicité), position d'intermédiation entre entreprises et utilisateurs finaux (45 millions d'utilisateurs UE et 10 000 entreprises annuelles).

La première désignation, en septembre 2023, a visé six gatekeepers : Alphabet (Google), Amazon, Apple, ByteDance (TikTok), Meta, Microsoft, et 22 services de plateforme essentiels associés. Booking.com a rejoint la liste en mai 2024.

#Obligations DMA — interdictions et obligations positives

Le DMA structure les obligations en interdictions et obligations positives. Interdictions principales : pas de combinaison de données entre services sans consentement explicite, pas d'auto-préférence dans le classement (les gatekeepers ne peuvent plus favoriser leurs propres produits/services dans leurs résultats), pas de paywall imposant l'inscription à des services additionnels pour utiliser le service principal, pas de restriction au sideloading d'applications, pas d'obligation pour les entreprises d'utiliser le service de paiement intégré du gatekeeper.

Obligations positives : interopérabilité des services de messagerie de base, portabilité des données vendeurs et utilisateurs, accès des entreprises tierces aux données qu'elles génèrent sur la plateforme, données de performance publicité fournies en temps réel et auditables, possibilité pour les entreprises d'utiliser une plateforme tierce et de communiquer avec les utilisateurs hors du canal du gatekeeper.

#L'opportunité DMA pour les e-commerçants directs et marketplaces verticales

C'est probablement le point le plus sous-exploité du DMA en 2026. Quatre opportunités concrètes pour les e-commerçants directs et marketplaces verticales européennes. Une : récupération des données performance Google Shopping, Amazon Sponsored Ads, Apple Search Ads en temps réel et auditable — fin de la dépendance opaque.

Deux : possibilité de proposer des moyens de paiement alternatifs à Apple Pay sur iOS et Google Pay sur Android pour la sortie en application. Trois : ouverture concurrentielle des stores Apple AppStore et Google Play — les marketplaces verticales peuvent désormais déployer des applications natives indépendamment, voire monter leur propre store sectoriel.

Quatre : fin de l'auto-préférence sur Google Search — visibilité organique potentiellement restaurée pour les acteurs e-commerce directs (à vérifier au cas par cas en SEO/GEO).

Le DMA crée donc un terrain de jeu plus équilibré pour les marketplaces verticales européennes face aux géants. Nos missions peuvent intégrer un volet « audit opportunités DMA » : récupération des données ads, indépendance technique vis-à-vis des stores, négociation conditions équitables Article 6 DMA, plainte structurée à la Commission le cas échéant.

#Sanctions DMA

Le régime DMA est aligné sur le RGPD à la hausse. Sanctions jusqu'à 10 % du chiffre d'affaires mondial annuel pour les manquements aux obligations DMA, 20 % en cas de récidive. Astreintes journalières jusqu'à 5 % du CA quotidien moyen mondial. Pour les gatekeepers récidivistes structurels, possibilité de mesures comportementales additionnelles, voire de remèdes structurels (cessions d'activité).

Plusieurs procédures formelles ont été ouvertes en 2024-2025 contre Apple (App Store, restrictions sideloading), Meta (Pay or consent advertising), Google (auto-préférence shopping).

#Chapitre 5 — Articulation DSA + DMA + DAC7 + AGEC + Triman + REP + AI Act + RGPD

C'est ici que tout se complique en pratique. Une marketplace française de 2026 doit articuler simultanément huit régimes réglementaires. Voici la grille de lecture Nehos pour y voir clair.

#DSA + DMA — distinction et articulation

DSA régule la responsabilité des plateformes, la modération des contenus, la transparence. DMA régule la concurrence et l'ouverture du marché numérique. Une marketplace verticale française relève de DSA, mais pas de DMA (très loin du seuil gatekeeper). Le DMA est néanmoins une opportunité offensive (chapitre 4). Pas de chevauchement direct, complémentarité claire.

#DSA + DAC7 — base donnée commune

Le registre vendeurs est le pivot opérationnel. L'article 30 du DSA exige la traçabilité KYC des vendeurs professionnels (raison sociale, adresse, NIF, IBAN, certification de l'identité). DAC7 exige la collecte de données très voisines (raison sociale, NIF, adresse, IBAN, contre-prestation trimestrielle).

Architecture cible : un registre unique vendeurs alimentant simultanément l'audit DSA article 30 et le reporting DAC7 annuel XML DGFiP. Économie d'effort majeure si la conception est unifiée dès le début.

#DSA + AGEC + Triman + REP

La loi AGEC (loi 2020-105 du 10 février 2020 relative à la lutte contre le gaspillage et à l'économie circulaire) et son décret Triman imposent des obligations spécifiques aux e-commerçants et marketplaces. Mention Triman et signalétique de tri obligatoires sur les fiches produits depuis 2023.

Indice de réparabilité pour neuf catégories de produits depuis 2021, élargi en 2024. Filières REP (responsabilité élargie du producteur) : obligation pour les marketplaces de vérifier l'enregistrement des vendeurs auprès des éco-organismes compétents (CITEO emballages, Ecologic DEEE, Refashion textile, Ecomaison meubles, etc.).

Articulation DSA : c'est par l'article 30 KYC vendeurs que la marketplace collecte les attestations REP. La DGCCRF contrôle simultanément DSA et AGEC lors d'une même inspection — autant unifier.

#DSA + AI Act

Le règlement IA (UE) 2024/1689, dit AI Act, classe les systèmes IA selon quatre niveaux de risque. Les moteurs de recommandation et systèmes de ciblage publicitaire personnalisé des marketplaces relèvent typiquement du niveau risque limité (transparence obligatoire) — sauf en cas d'usage spécifique impactant la vulnérabilité des utilisateurs (mineurs, personnes vulnérables) où ils peuvent basculer en haut risque article 27.

DSA exige par ailleurs (article 27) la transparence des paramètres des systèmes de recommandation : critères, pondérations, possibilité d'opter pour un système non personnalisé. Cohérence DSA + AI Act : exposer publiquement la nature des systèmes IA et leur classification.

#DSA + RGPD

RGPD reste pleinement applicable. Articulation forte sur trois points. Premier : transparence algorithmique — DSA article 27 et RGPD article 13/14 se complètent sur le devoir d'information des utilisateurs sur les systèmes de recommandation et profilage. Deuxième : sous-traitance — le sous-traitant qui héberge le registre vendeurs ou les transactions doit signer un article 28 RGPD couvrant DSA et DAC7.

Troisième : transferts internationaux — pour les vendeurs et utilisateurs UE, restriction des transferts vers les pays tiers sans décision d'adéquation ou clauses contractuelles types. Coordination DPO + Compliance Officer DSA + responsable fiscal DAC7 dans un comité unique mensuel.

#Comité conformité unique mensuel — l'architecture Nehos

Notre recommandation pratique : un comité conformité numérique unique mensuel, transversal, animé par le Compliance Officer DSA. Participants : DPO RGPD, responsable fiscal DAC7, RSSI, juridique, opérations marketplace, expert AGEC/REP, représentant board. Un registre intégré multi-régimes avec entrée par vendeur, contenant simultanément les données DSA article 30 KYC, les données DAC7 fiscal, les attestations REP par filière, et le sous-traitant article 28 RGPD.

Cette organisation évite de traiter les mêmes données plusieurs fois, contrairement à une gestion en silos. Voir service Conformité Nehos 7 standards.

#Chapitre 6 — Méthode Nehos d'audit DSA + DAC7 marketplace en 5 phases

Voici la méthode opérationnelle Nehos pour une marketplace verticale. Cinq phases, dont la durée (de l'ordre de 12 semaines au total) dépend de la taille de la place de marché et de son niveau de départ.

#Phase 1 — Diagnostic DSA + cartographie vendeurs DAC7 (semaines 1-2)

Deux semaines pour poser les fondations. Livrables : analyse du statut juridique de la plateforme (intermédiaire, hébergeur, plateforme en ligne, place de marché — typiquement les quatre cumulés pour une marketplace), cartographie des fonctions DSA à risque (système de recommandation, publicité ciblée, modération des contenus, signalements, suspension vendeurs récidivistes), inventaire complet des vendeurs sur 24 mois glissants avec qualification professionnel/particulier DAC7, identification des seuils DAC7 atteints (30 transactions ou 2 000 euros par particulier annuel), scoring initial conformité DSA + DAC7.

#Phase 2 — Mécanismes signalement DSA et conditions générales (semaines 3-5)

Trois semaines pour déployer la colonne vertébrale DSA. Livrables : mécanisme de notice and action implémenté techniquement (formulaire utilisateur structuré, workflow de traitement avec SLA, accusé de réception automatique, décision motivée transmise au signaleur), système interne de gestion des réclamations vendeurs, mécanisme de règlement extrajudiciaire des litiges référencé, statut signaleurs de confiance configuré, conditions générales d'utilisation et politique de modération conformes article 14 DSA (langue claire, format accessible, modification annoncée), rapport de transparence annuel article 15 structuré (modèle prérempli).

#Phase 3 — Reporting DAC7 fiscal vendeurs automatisé (semaines 6-8)

Trois semaines pour bâtir l'automatisation fiscale. Livrables : collecte des données obligatoires vendeurs au niveau du compte (NIF, IBAN, contre-prestations trimestrielles, frais retenus) intégrée dans le parcours d'onboarding et de mise à jour, validation NIF via API DGFiP pour les vendeurs français et via les registres équivalents européens (TIN-on-Europa), génération du fichier XML standardisé OCDE, dry-run du dépôt DGFiP avant la première échéance 31 janvier, sécurisation RGPD du consentement et de la conservation, dashboard de pilotage fiscal mensuel pour la direction financière.

#Phase 4 — Articulation AGEC + Triman + REP + AI Act + RGPD (semaines 9-10)

Deux semaines pour intégrer les régimes connexes. Livrables : intégration de la mention Triman et de la signalétique de tri sur l'ensemble des fiches produits concernés, mise en œuvre de l'indice de réparabilité pour les catégories de produits applicables (élargissement 2024), vérification automatique de l'enregistrement REP des vendeurs auprès des éco-organismes (CITEO, Ecologic, Refashion, Ecomaison) avec blocage des publications en cas de défaut, classification AI Act des moteurs de recommandation et systèmes de ciblage publicitaire (typiquement risque limité, article 50 transparence), avenants article 28 RGPD couvrant DSA et DAC7.

#Phase 5 — Audit interne et préparation contrôle DGCCRF (semaines 11-12)

Deux semaines de audit interne renforcé et préparation contrôle DGCCRF/DGFiP. Livrables : audit interne Nehos couvrant l'ensemble des points DSA paliers 1-4 et DAC7, plan de remédiation des gaps résiduels identifiés, dossier complet de preuves documentaires (CGU, registres, transparency report, reporting DAC7 dry-run, attestations REP, classification AI Act, registres RGPD), répétition générale de contrôle DGCCRF avec mise en situation des équipes (3 jours), recommandations post-mission (Compliance Officer DSA-DAC7 externalisé annuel ou recrutement interne).

Notre outil scoring DSA DAC7 Nehos (à paraître) automatisera ce pré-scoring en ligne, en amont d'une mission cadrée.

#Chapitre 7 — Exemple de situation : une marketplace verticale vers la conformité en cinq phases

Cet exemple est une situation type construite pour illustrer la méthode. Il ne décrit pas un client réel et ne comporte aucun résultat chiffré.

#Le contexte type

Une marketplace verticale française B2C compte plusieurs centaines de vendeurs professionnels et quelques dizaines de vendeurs particuliers au-dessus du seuil DAC7. Elle tourne sur une stack Node.js et Next.js, avec une API GraphQL, une base PostgreSQL et un hébergement européen. Elle n'a pas de Compliance Officer dédié au DSA, son DPO est partagé avec la direction juridique et un contrôle de la DGCCRF est attendu dans quelques mois.

#Diagnostic initial

Le diagnostic passe en revue chaque régime. DSA paliers 1 à 3 : conditions générales existantes mais pas conformes, point de contact non désigné, pas de rapport de transparence. DSA palier 4 : traçabilité des vendeurs (article 30) partielle, pas de signaleur de confiance, pas de notice and action structuré.

DAC7 : gros trou, des numéros d'identification fiscale manquants pour une partie des vendeurs et aucun fichier XML au format attendu. AGEC, Triman et REP : mise en œuvre partielle. AI Act : moteur de recommandation non classé. RGPD : registre à jour, mais sous-traitance de l'article 28 incomplète sur DSA et DAC7.

#Déroulement des 5 phases

Phase 1 : analyse complète, qualification des vendeurs DAC7, scoring initial validé avec la direction. Phase 2 : notice and action implémenté, conditions générales réécrites au regard de l'article 14 du DSA, rapport de transparence structuré, statut de signaleurs de confiance configuré.

Phase 3 : collecte du numéro d'identification fiscale intégrée à l'onboarding, validation via API, fichier XML DAC7 généré et testé en dry-run, tableau de pilotage fiscal. Phase 4 : mention Triman sur les fiches produits, vérification automatique des enregistrements REP, classification du moteur de recommandation, avenants article 28 signés.

Phase 5 : audit interne, plan de remédiation des écarts résiduels, répétition générale du contrôle DGCCRF avec les équipes direction et opérations.

#Ce que l'on vise

Arriver au contrôle avec un dossier de preuves complet, un reporting DAC7 testé avant l'échéance du 31 janvier et des équipes capables de répondre aux contrôleurs. Le budget et la durée sont cadrés lors du diagnostic initial.

Voir le service Conformité marketplace DSA DAC7 pour le détail de l'accompagnement.

#Chapitre 8 — Sanctions DSA, DAC7 et risques réputationnels

#Sanctions financières DSA

DSA prévoit un régime de sanctions parmi les plus sévères du droit numérique européen. Sanctions administratives entités : jusqu'à 6 % du chiffre d'affaires mondial annuel total de l'année précédente, pour les manquements aux obligations principales. Astreintes journalières : jusqu'à 5 % du chiffre d'affaires moyen quotidien mondial, pour forcer l'exécution.

Sanctions pour fourniture d'informations incorrectes : jusqu'à 1 % du CA annuel mondial. Pour les VLOP/VLOSE, la Commission européenne décide directement. Pour les autres plateformes, c'est le Coordinateur Service Numérique national (ARCOM en France) qui décide, en respectant les principes harmonisés.

#L'application du DSA par la Commission

Pour les très grandes plateformes, la Commission européenne peut demander des informations, ouvrir des procédures formelles et, in fine, prononcer des amendes. Les principaux sujets de ses demandes sont la transparence de la publicité, l'évaluation des risques systémiques, l'accès des chercheurs aux données et les mécanismes de notification et d'action. Les décisions et procédures en cours sont publiées sur le site de la Commission.

#Sanctions DAC7

DAC7 prévoit en France plusieurs sanctions cumulables, détaillées au chapitre 3 : défaut ou retard de déclaration, déclaration incomplète ou inexacte, absence d'enregistrement d'un opérateur hors UE, majoration en cas de récidive. La DGFiP contrôle le respect de la déclaration annuelle du 31 janvier.

#Exemple de situation — les manquements les plus souvent reprochés

Situation type, construite pour illustrer : une marketplace de taille moyenne (hors très grande plateforme) sans mécanisme de notice and action structuré conforme à l'article 16, sans rapport de transparence annuel, sans point de contact désigné pour les utilisateurs et avec une traçabilité des vendeurs professionnels (article 30) incomplète.

Ce sont des points faciles à contrôler, donc ceux sur lesquels une sanction est la plus probable. Une décision publiée a en plus un coût réputationnel : couverture presse défavorable, partenaires plus prudents.

#Risques réputationnels et impact business

Quatre risques additionnels souvent sous-estimés par les dirigeants marketplace. Premier : publication des sanctions au registre de l'autorité (ARCOM, DGCCRF, Commission européenne pour VLOP). Effet réputationnel immédiat et durable. Deuxième : perte d'investisseurs en levée — les fonds de growth équipe due diligence systématiquement DSA + DAC7 + AI Act + RGPD depuis fin 2024 ; un gap majeur peut bloquer ou décoter une levée série B/C.

Troisième : exclusion des appels d'offres B2B publics — l'État, les collectivités, les grands donneurs d'ordre intègrent désormais une attestation conformité DSA dans leurs cahiers des charges. Quatrième : risque de class action consommateur — la directive représentation collective UE 2020/1828 facilite depuis 2023 les actions de groupe en cas de manquements graves DSA / consommation.

#Conformité DSA + DAC7 et coût d'une sanction

Mise en perspective. Le coût d'une mise en conformité dépend du scope : nombre de vendeurs, complexité du catalogue, niveau d'intégration avec l'existant. Nos tarifs sont donnés sur devis, chiffré en 48 h après un premier échange. À mettre en regard de la sanction maximale DSA (6 % du chiffre d'affaires mondial), de l'exposition cumulée DAC7 pour une marketplace comptant beaucoup de vendeurs, et du risque de perdre une levée de fonds ou un appel d'offres.

Pour cadrer votre situation, voir le service Conformité marketplace DSA DAC7 Nehos et le secteur E-commerce Retail Nehos.

Photos : Andrea Piacquadio, Mikhail Nilov, Ron Lach sur Pexels.