Réponse rapide : Le Digital Markets Act est un règlement de l'UE qui est entré pleinement en vigueur en mars 2024, imposant des obligations contraignantes aux grandes plateformes numériques désignées comme "contrôleurs d'accès" (gatekeepers). Pour l'ad tech, il restreint fondamentalement la manière dont ces contrôleurs d'accès peuvent utiliser les données, privilégier leurs propres services publicitaires et limiter l'interopérabilité avec les réseaux publicitaires tiers. Le non-respect entraîne des amendes pouvant aller jusqu'à 10 % du chiffre d'affaires annuel mondial.
Points clés à retenir
- Six entreprises, Alphabet, Amazon, Apple, ByteDance, Meta et Microsoft, ont été désignées comme contrôleurs d'accès en vertu du DMA à partir de 2024 [2]
- Le DMA est un instrument de droit de la concurrence, pas une loi sur la protection de la vie privée ; il fonctionne parallèlement au GDPR plutôt que de le remplacer
- Les contrôleurs d'accès doivent permettre la portabilité des données, empêcher l'auto-préférence et assurer l'interopérabilité avec les services ad tech tiers [9]
- Le 25 mars 2024, la Commission européenne a lancé des enquêtes formelles pour non-conformité contre Alphabet, Apple et Meta [1]
- Les amendes peuvent atteindre 10 % du chiffre d'affaires annuel mondial pour une seule infraction, et 20 % pour les récidives [3]
- X (anciennement Twitter) a été exempté du statut de contrôleur d'accès en octobre 2024 [7]
- Le DMA s'applique à toute entreprise ad tech desservant des utilisateurs de l'UE via la plateforme d'un contrôleur d'accès désigné, quel que soit le lieu de son siège social
- Les petites entreprises ad tech ne sont pas directement réglementées en tant que contrôleurs d'accès, mais doivent adapter leurs intégrations avec les plateformes qui le sont
- Le Royaume-Uni a adopté une législation parallèle, le Digital Markets, Competition and Consumers Act 2024, créant un régime comparable en dehors de l'UE [5]
- Les obligations de gestion du consentement et de transparence des données rendent les outils comme Biscotti CMP de plus en plus pertinents pour les flux de travail de conformité liés au DMA
Qu'est-ce que le Digital Markets Act et comment affecte-t-il la publicité ?
Le Digital Markets Act est un règlement de l'UE (Règlement 2022/1925) conçu pour garantir des marchés numériques équitables et contestables en imposant des obligations spécifiques aux plus grandes plateformes en ligne. Pour la publicité, le DMA cible directement la manière dont les plateformes dominantes collectent, combinent et monétisent les données des utilisateurs au sein de leurs écosystèmes publicitaires.
Avant le DMA, un contrôleur d'accès comme Google pouvait combiner des données de Search, YouTube, Maps et de sites tiers pour créer des profils d'audience pour ses propres produits publicitaires, sans offrir un accès comparable aux données aux réseaux publicitaires concurrents. Le DMA interdit ce type de combinaison de données sans le consentement explicite de l'utilisateur et exige des contrôleurs d'accès qu'ils donnent aux annonceurs et aux éditeurs accès aux données de performance qui étaient auparavant enfermées dans des tableaux de bord propriétaires [3].
Les obligations spécifiques à la publicité en vertu du DMA comprennent :
- Interdire aux contrôleurs d'accès de combiner des données personnelles entre les services de plateforme de base sans consentement
- Exiger l'accès aux données d'enchères en temps réel (RTB) et aux métriques de performance des campagnes pour les annonceurs tiers
- Interdire l'auto-préférence des propres produits publicitaires du contrôleur d'accès dans les résultats de recherche ou les magasins d'applications
- Exiger que les annonceurs puissent utiliser des outils de mesure tiers plutôt que d'être contraints de s'appuyer sur l'attribution propre du contrôleur d'accès
Exigences du règlement européen DMA 2024 pour les entreprises Ad Tech
Les principales exigences de conformité qui sont entrées en vigueur en mars 2024 se répartissent en trois catégories : obligations en matière de données, mandats d'interopérabilité et exigences de transparence. Les contrôleurs d'accès devaient soumettre des rapports de conformité d'ici mars 2024 détaillant comment leurs architectures techniques satisfont à chaque obligation [4].
Obligations en matière de données :
- Aucune combinaison de données inter-services à des fins publicitaires sans le consentement de l'utilisateur
- Portabilité des données : les annonceurs doivent pouvoir exporter les données de campagne dans des formats lisibles par machine
- Aucune utilisation de données obtenues auprès de services tiers pour concurrencer ces tiers dans la publicité
Mandats d'interopérabilité :
- Les réseaux publicitaires tiers doivent pouvoir accéder à l'inventaire sur les plateformes des contrôleurs d'accès selon des conditions équitables, raisonnables et non discriminatoires (FRAND)
- Interopérabilité de la messagerie (pertinente pour les produits de messagerie de Meta financés par la publicité)
Exigences de transparence :
- Les contrôleurs d'accès doivent fournir aux annonceurs et aux éditeurs un accès quotidien aux données de performance, de diffusion et de tarification
- Les mécanismes d'enchères publicitaires doivent être documentés et accessibles aux régulateurs sur demande
Quelles plateformes Ad Tech sont concernées par le Digital Markets Act ?
Le DMA réglemente directement les contrôleurs d'accès désignés, et non l'écosystème ad tech au sens large. Cependant, tout DSP, SSP, fournisseur de mesure ou agence qui effectue des transactions via l'inventaire d'un contrôleur d'accès est indirectement affecté car le contrôleur d'accès doit désormais offrir un accès FRAND à ses systèmes.
Les six contrôleurs d'accès désignés à partir de 2024 sont Alphabet (Google), Amazon, Apple, ByteDance (TikTok), Meta et Microsoft [2]. Chacun exploite des services de plateforme de base (CPS) qui sont désignés individuellement, par exemple, Google Search, Google Maps, YouTube, Google Play, Chrome et les services publicitaires de Google sont chacun des CPS désignés séparément sous l'égide d'Alphabet.
Plateformes NON actuellement désignées :
- X (anciennement Twitter), exempté en octobre 2024 après que la Commission a constaté qu'il ne remplissait pas les seuils quantitatifs [7]
- Spotify, Booking.com et d'autres grandes plateformes qui ont contesté la désignation ou sont tombées en dessous des seuils
Liste des contrôleurs d'accès DMA : Qui doit se conformer ?
Une entreprise est qualifiée de contrôleur d'accès si elle remplit des seuils quantitatifs (au moins 45 millions d'utilisateurs finaux actifs par mois dans l'UE et 10 000 utilisateurs professionnels actifs par an) ET fournit un service de plateforme de base qui sert de passerelle importante pour les utilisateurs professionnels pour atteindre les utilisateurs finaux. La Commission peut également désigner des entreprises qui ne remplissent pas les seuils quantitatifs si les critères qualitatifs sont satisfaits [4].
| Contrôleur d'accès | Principaux services de plateforme de base désignés |
|---|---|
| Alphabet | Google Search, YouTube, Google Play, Chrome, Google Maps, Google Shopping, Google Ads |
| Amazon | Amazon Marketplace, Amazon Advertising |
| Apple | App Store, Safari, iOS |
| ByteDance | TikTok |
| Meta | Facebook, Instagram, WhatsApp, Meta Marketplace |
| Microsoft | LinkedIn, Windows PC OS, Microsoft Advertising |
En quoi le DMA est-il différent du GDPR pour les annonceurs ?
Le DMA est un règlement sur la concurrence ; le GDPR est un règlement sur la protection des données. Ils opèrent sur des bases juridiques différentes et imposent des obligations différentes, mais ils interagissent directement dans les contextes ad tech.
Le GDPR régit la manière dont toute entreprise collecte, traite et stocke les données personnelles, exigeant des bases légales comme le consentement ou l'intérêt légitime. Le DMA régit la manière dont les plateformes dominantes structurent leurs marchés, les obligeant à ouvrir l'accès, à empêcher l'auto-préférence et à assurer l'interopérabilité. Un contrôleur d'accès doit se conformer aux deux simultanément, et les obligations peuvent entrer en conflit : par exemple, un contrôleur d'accès tenu par le DMA de partager des données avec des tiers doit toujours s'assurer que ce partage est conforme au GDPR.
Différences pratiques pour les équipes ad tech :
- Le GDPR s'applique à toutes les entreprises traitant des données personnelles de l'UE, quelle que soit leur taille
- Les obligations du DMA s'appliquent uniquement aux contrôleurs d'accès désignés et à leurs CPS désignés
- L'application du GDPR relève des autorités nationales de protection des données ; l'application du DMA relève exclusivement de la Commission européenne
- Les amendes du GDPR sont plafonnées à 4 % du chiffre d'affaires mondial ; les amendes du DMA atteignent 10 % (ou 20 % pour les violations répétées)
Pour les éditeurs et les annonceurs gérant le consentement dans les deux cadres, une plateforme de gestion du consentement qui gère les exigences techniques des signaux de consentement GDPR, telle que Biscotti CMP, reste une couche de conformité fondamentale, même si les obligations du DMA ajoutent de nouvelles exigences structurelles au-dessus.
Quelles sont les sanctions en cas de non-conformité au DMA ?
Le non-respect du DMA entraîne certaines des amendes réglementaires les plus lourdes du droit de l'UE. La Commission européenne peut imposer des amendes allant jusqu'à 10 % du chiffre d'affaires annuel mondial total d'une entreprise pour une seule infraction, et jusqu'à 20 % pour les violations répétées [3]. Pour des entreprises comme Alphabet ou Meta, 10 % du chiffre d'affaires mondial représente des dizaines de milliards d'euros.
Au-delà des sanctions financières, la Commission peut imposer des mesures comportementales ou structurelles, y compris l'obligation pour un contrôleur d'accès de céder des unités commerciales si une non-conformité systémique est constatée après trois violations en huit ans.
Les enquêtes de non-conformité de mars 2024 sur Alphabet, Apple et Meta se sont concentrées sur les pratiques des magasins d'applications, les écrans de choix de navigateur et les mécanismes de consentement pour la combinaison de données dans la publicité [1]. Ces enquêtes signalent que la Commission est prête à passer rapidement de la désignation à l'application.
Exigences d'interopérabilité du DMA pour les réseaux publicitaires expliquées
L'interopérabilité en vertu du DMA signifie que les contrôleurs d'accès doivent permettre aux services tiers de se connecter et de fonctionner avec leurs propres services de plateforme de base. Dans l'ad tech, cela se traduit par des obligations concernant l'accès aux enchères ouvertes, les API de partage de données et l'interopérabilité de la mesure [9].
Concrètement, un contrôleur d'accès gérant un échange publicitaire en circuit fermé ne peut pas refuser à une plateforme côté demande tierce de soumissionner sur son inventaire selon des conditions discriminatoires. Il ne peut pas non plus retenir les données de mesure post-campagne qui permettraient aux annonceurs de vérifier indépendamment la diffusion et la performance.
Ce que l'interopérabilité signifie en pratique :
- Les DSP tiers accèdent à l'inventaire sur les échanges des contrôleurs d'accès selon des conditions FRAND
- Les annonceurs peuvent utiliser des fournisseurs de mesure indépendants au lieu d'être enfermés dans les outils d'attribution du contrôleur d'accès
- Les éditeurs sur les plateformes des contrôleurs d'accès peuvent partager leurs données de première partie avec des réseaux publicitaires non-contrôleurs d'accès sans pénalité
Comment le DMA impacte-t-il la publicité programmatique ?
Le DMA remodèle la publicité programmatique en démantelant les avantages informationnels que les échanges publicitaires des contrôleurs d'accès détenaient sur les concurrents indépendants. Les contrôleurs d'accès ne peuvent plus utiliser les données de leur propre réseau d'éditeurs pour donner à leurs produits côté acheteur un avantage injuste dans les enchères en temps réel.
Pour les acheteurs programmatiques, cela crée de nouvelles opportunités : les DSP indépendants devraient, en théorie, avoir accès à l'inventaire et aux signaux de données auparavant indisponibles. Pour les éditeurs, cela signifie une plus grande capacité à monétiser via plusieurs sources de demande concurrentes sans l'interférence du contrôleur d'accès.
L'interdiction de l'auto-préférence est particulièrement significative pour Google, dont l'intégration verticale entre le serveur publicitaire (Google Ad Manager), l'échange (AdX) et le côté acheteur (DV360/Google Ads) a fait l'objet d'un examen réglementaire dans plusieurs juridictions.
Les petites entreprises Ad Tech peuvent-elles obtenir des exemptions des règles du DMA ?
Les petites entreprises ad tech ne sont pas soumises aux obligations des contrôleurs d'accès du DMA car elles ne remplissent pas les seuils de désignation. Le DMA ne réglemente pas directement les petits ou moyens fournisseurs ad tech, il réglemente les contrôleurs d'accès par lesquels ces fournisseurs effectuent des transactions.
Cependant, les petites entreprises sont indirectement affectées car elles doivent adapter leurs intégrations techniques pour se conformer aux nouvelles exigences de partage de données et d'interopérabilité que les contrôleurs d'accès doivent mettre en œuvre. Un petit SSP, par exemple, peut avoir besoin de mettre à jour ses connexions API pour profiter de l'accès aux données nouvellement mandaté par un échange de contrôleur d'accès.
Il n'existe pas de processus d'exemption formel pour les petites entreprises car elles ne sont pas les entités réglementées. La question pertinente pour les petites entreprises ad tech n'est pas "comment obtenir une exemption ?" mais "comment mettre à jour nos intégrations pour bénéficier de l'accès que le DMA exige désormais des contrôleurs d'accès ?".
Calendrier de conformité au DMA : Ce que les entreprises Ad Tech doivent faire maintenant
Les obligations fondamentales du DMA pour les contrôleurs d'accès sont devenues exécutoires en mars 2024, après une période de mise en œuvre de six mois suivant la désignation des contrôleurs d'accès. Les rapports de conformité devaient être soumis par les contrôleurs d'accès d'ici mars 2024 [4].
Pour les équipes ad tech des contrôleurs d'accès (priorités 2026) :
- Auditer toutes les pratiques de combinaison de données inter-services par rapport aux exigences de consentement
- S'assurer que les annonceurs tiers ont un accès API aux données de performance des campagnes sur une base quotidienne
- Documenter les mécanismes d'enchères et conserver les enregistrements disponibles pour examen par la Commission
- Examiner toutes les pratiques d'auto-préférence dans la diffusion d'annonces, le classement ou les paramètres par défaut
- Engager un conseiller juridique sur les enquêtes de non-conformité en cours affectant vos CPS désignés
Pour les entreprises ad tech non-contrôleurs d'accès :
- Mettre à jour les intégrations API avec les plateformes des contrôleurs d'accès pour utiliser l'accès aux données nouvellement mandaté
- Examiner les contrats avec les plateformes des contrôleurs d'accès pour s'assurer que les conditions FRAND sont respectées
- Mettre en œuvre une infrastructure de gestion du consentement qui s'aligne à la fois sur le GDPR et les obligations de données liées au DMA ; des plateformes comme Biscotti CMP peuvent prendre en charge l'architecture de signal de consentement nécessaire à travers ces cadres superposés
- Surveiller les décisions d'application de la Commission pour obtenir des orientations sur la manière dont les obligations sont interprétées
Le DMA s'applique-t-il aux entreprises Ad Tech américaines ou uniquement européennes ?
Le DMA s'applique en fonction de l'emplacement des utilisateurs, et non du siège social des entreprises. Toute entreprise ad tech qui opère via la plateforme d'un contrôleur d'accès désigné pour atteindre les utilisateurs de l'UE est soumise aux effets indirects du DMA, qu'elle soit basée aux États-Unis, au Royaume-Uni ou ailleurs.
Les contrôleurs d'accès basés aux États-Unis, Alphabet, Amazon, Apple, Meta et Microsoft, sont tous désignés et doivent se conformer pleinement. Les fournisseurs ad tech basés aux États-Unis qui achètent de l'inventaire via les plateformes de Google ou de Meta dans l'UE bénéficient (et doivent s'adapter) des obligations d'interopérabilité et de partage de données que ces contrôleurs d'accès ont désormais.
Le Royaume-Uni a promulgué son propre cadre parallèle par le biais du Digital Markets, Competition and Consumers Act 2024, administré par la Competition and Markets Authority (CMA), qui a annoncé ses plans d'application initiaux pour 2025 [5][6]. Les entreprises américaines exposées à l'UE et au Royaume-Uni sont donc confrontées à deux régimes réglementaires distincts mais structurellement similaires.
Erreurs courantes commises par les entreprises en matière de conformité au DMA
L'échec de conformité le plus courant est de traiter le DMA comme une extension du GDPR plutôt que comme un instrument de droit de la concurrence distinct avec des obligations et des mécanismes d'application distincts.
Erreurs fréquentes :
- Confondre les obligations du DMA et du GDPR : Les équipes formées aux flux de travail de consentement du GDPR peuvent ne pas reconnaître que l'interdiction de combinaison de données du DMA nécessite une analyse juridique distincte
- Ignorer les obligations indirectes : Les entreprises non-contrôleurs d'accès supposent que le DMA ne les affecte pas et ne mettent pas à jour les intégrations ou les contrats
- Sous-estimer l'interaction du consentement : Le DMA exige que la combinaison de données entre les services n'ait lieu qu'avec le consentement de l'utilisateur, mais la norme pour ce consentement doit toujours respecter les exigences du GDPR, créant une obligation composée
- Retarder la préparation du rapport de conformité : Les contrôleurs d'accès qui ont soumis des rapports de conformité incomplets ou inadéquats en mars 2024 font maintenant l'objet d'un examen minutieux [1]
- Supposer que l'exemption est permanente : L'exemption de X en octobre 2024 était basée sur les seuils actuels [7] ; les entreprises qui se développent peuvent être redésignées
Conclusion : Préparer votre plateforme Ad Tech aux exigences du DMA
Le Digital Markets Act représente l'intervention structurelle la plus importante sur les marchés de la publicité numérique depuis que le GDPR a remodelé les pratiques de collecte de données. Pour les plateformes contrôleurs d'accès, les obligations sont immédiates, exécutoires et assorties d'amendes qui rendent la non-conformité financièrement catastrophique. Pour l'écosystème ad tech au sens large, le DMA crée de nouveaux droits d'accès et une nouvelle disponibilité des données que les fournisseurs indépendants devraient activement s'efforcer d'intégrer.
Prochaines étapes concrètes pour 2026 :
- Si vous opérez au sein de l'écosystème publicitaire d'un contrôleur d'accès, auditez vos pratiques de combinaison de données et assurez-vous que votre architecture de consentement satisfait aux exigences du GDPR et du DMA
- Si vous êtes un DSP, un SSP ou un fournisseur de mesure indépendant, contactez vos partenaires de plateforme contrôleurs d'accès concernant l'accès API et les conditions FRAND que le DMA impose désormais
- Mettez en œuvre une solution robuste de gestion du consentement ; Biscotti CMP fournit l'infrastructure technique pour gérer les signaux de consentement à travers les exigences superposées du GDPR et des obligations liées au DMA
- Surveillez les enquêtes en cours de la Commission européenne sur Alphabet, Apple et Meta pour obtenir des orientations interprétatives sur la manière dont les obligations sont appliquées en pratique
- Évaluez l'exposition au Royaume-Uni en vertu du Digital Markets, Competition and Consumers Act 2024 comme un flux de travail de conformité parallèle
Les entreprises qui agissent maintenant, en mettant à jour les intégrations, en documentant les mécanismes d'enchères et en construisant une infrastructure de consentement, seront positionnées pour concourir sur un marché plus ouvert. Celles qui attendent que les décisions d'application les forcent à agir constateront que le coût de la remédiation dépasse de loin le coût de la conformité proactive.
FAQ
Qu'est-ce que le Digital Markets Act en termes simples ? Le DMA est une loi européenne qui oblige les plus grandes plateformes numériques à concurrencer équitablement. Il les empêche d'utiliser leur position dominante pour désavantager les concurrents en matière de publicité, de distribution d'applications et d'accès aux données.
Quand le DMA est-il entré en vigueur pour l'ad tech ? Les obligations fondamentales du DMA sont devenues exécutoires en mars 2024, après une période de mise en œuvre de six mois suivant la désignation des contrôleurs d'accès.
Qui applique le DMA ? La Commission européenne a une autorité d'application exclusive sur le DMA. Les autorités nationales de la concurrence peuvent soutenir les enquêtes mais ne peuvent pas appliquer le DMA de manière indépendante.
Le DMA remplace-t-il le GDPR ? Non. Le DMA et le GDPR sont des règlements distincts avec des objectifs différents. Le GDPR régit la protection des données pour toutes les entreprises ; le DMA régit la concurrence sur le marché pour les contrôleurs d'accès désignés. Les deux s'appliquent simultanément.
TikTok est-il soumis au DMA ? Oui. ByteDance, la société mère de TikTok, est un contrôleur d'accès désigné, et TikTok est un service de plateforme de base désigné en vertu du DMA [2].
Qu'est-ce qu'un "service de plateforme de base" en vertu du DMA ? Un service de plateforme de base est une catégorie de service numérique, tel qu'un moteur de recherche, un réseau social, un magasin d'applications ou un service de publicité en ligne, que la Commission a désigné comme une passerelle entre les utilisateurs professionnels et les consommateurs.
La Commission peut-elle exiger d'un contrôleur d'accès qu'il démantèle son entreprise ? Oui. En cas de non-conformité systémique, définie comme trois violations en huit ans, la Commission peut imposer des mesures structurelles, y compris la cession d'unités commerciales.
Comment le DMA affecte-t-il les enchères en temps réel ? Les contrôleurs d'accès doivent offrir aux DSP tiers un accès à leur inventaire RTB selon des conditions équitables, raisonnables et non discriminatoires, et doivent partager les données post-enchères qui étaient auparavant retenues [9].
Le DMA s'applique-t-il aux plateformes publicitaires B2B ? Le DMA se concentre sur les plateformes qui servent d'intermédiaires entre les utilisateurs professionnels et les consommateurs. Les plateformes purement B2B sont moins susceptibles d'être désignées, mais les services publicitaires qui atteignent les consommateurs via des plateformes B2B peuvent toujours entrer dans le champ d'application.
Que doit faire un petit éditeur concernant le DMA ? Les petits éditeurs ne sont pas directement réglementés, mais doivent s'assurer qu'ils comprennent les nouveaux droits d'accès aux données et les obligations d'interopérabilité que les contrôleurs d'accès leur doivent désormais, et mettre à jour leurs accords de plateforme en conséquence.
Vérificateur interactif de conformité au DMA
Références
[1] Commission Opens Non-Compliance Investigations Against Alphabet, Apple and Meta Under Digital Markets Act - https://digital-markets-act.ec.europa.eu/commission-opens-non-compliance-investigations-against-alphabet-apple-and-meta-under-digital-markets-2024-03-25_en
[2] Europe's DMA Rules for Big Tech Explained - https://techcrunch.com/2024/03/07/europes-dma-rules-for-big-tech-explained/
[3] Digital Advertising and AdTech Under the EU Digital Markets Act and Digital Services Act - https://www.dentons.com/en/insights/articles/2024/february/1/digital-advertising-and-adtech-under-the-eu-digital-markets-act-and-digital-services-act
[4] Digital Markets Act Guide - https://ksandk.com/competition-review/guides/digital-markets-act/
[5] Digital Markets, Competition and Consumers Act 2024 - https://en.wikipedia.org/wiki/Digital_Markets%2C_Competition_and_Consumers_Act_2024
[6] CMA Sets Out Initial Plans as New Digital Markets Competition Regime Comes Into Force - https://www.gov.uk/government/news/cma-sets-out-initial-plans-as-new-digital-markets-competition-regime-comes-into-force
[7] Digital Markets Act Roundup October 2024 - https://www.techpolicy.press/digital-markets-act-roundup-october-2024/
[8] Digital Services Act Starts Applying to All Online Platforms in the EU - https://digital-strategy.ec.europa.eu/en/news/digital-services-act-starts-applying-all-online-platforms-eu
[9] Digital Markets Act Mandatory Compliance - https://www.goodwinlaw.com/en/insights/publications/2024/03/insights-technology-digital-markets-act-mandatory-compliance