Q&A sur les rapports d’évaluation des risques, les rapports d’audit et les rapports de mise en œuvre des audits au titre de la législation sur les services numériques

Oui. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne sont tenus de publier chaque année les rapports sur leurs évaluations des risques, les mesures d’atténuation mises en place, les rapports d’audit et les rapports de mise en œuvre de l’audit. Celles-ci ont été transmises à la Commission et aux coordinateurs pour les services numériques de l’État membre d’établissement au cours de ce cycle d’évaluation des risques.

Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent également publier, le cas échéant, des informations sur les consultations qu’ils ont menées avec des experts externes à l’appui des évaluations des risques et de la conception des mesures d’atténuation des risques.

Pour le contexte: Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent évaluer les risques systémiques découlant de leurs services au moins une fois par an et, en tout état de cause, toujours avant de déployer de nouvelles fonctionnalités susceptibles d’avoir une incidence sur les risques. Ils sont tenus d’identifier les risques en vertu du règlement sur les services numériques et doivent mettre en place des mesures d’atténuation adaptées aux risques qu’ils ont identifiés dans le cadre de cette évaluation des risques. Le règlement sur les services numériques exige également des fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne qu’ils veillent à ce que leurs services fassent l’objet d’un audit de conformité au moins une fois par an, aboutissant à un rapport d’audit établi par un organisme d’audit indépendant. 

Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent transmettre le rapport d’évaluation des risques, les mesures d’atténuation des risques et le rapport d’audit à la Commission et au DSC de l’établissement dans les meilleurs délais. Lorsque les auditeurs formulent des recommandations concernant le respect de la législation sur les services numériques, les fournisseurs doivent présenter leurs réactions à ces recommandations dans un rapport de mise en œuvre de l’audit qui doit également être transmis, une fois complété, à la Commission et au DSC d’établissement.

Articles pertinents: 34, 35, 37 et 42, paragraphe 4, du règlement (UE) 2022/2065. Les obligations spécifiques en matière de législation sur les services numériques pour les très grandes plateformes en ligne et les très grands moteurs de recherche en ligne sont celles énoncées à la section 5, chapitre III, du règlement sur les services numériques. 

La publication devrait avoir lieu au plus tard trois mois après la réception du rapport sur l’audit annuel de conformité que chaque TGPL et TGPL doit subir. Cela signifie que pour chaque service, la date de publication dépend de la date à laquelle l’organisme d’audit indépendant soumet son rapport d’audit au prestataire. 

Le règlement sur les services numériques exige des fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne qu’ils veillent à ce que leurs services fassent l’objet d’un audit indépendant au moins une fois par an, ce qui donne lieu à un rapport d’audit de la part de l’organisme d’audit. Pour les 19 premières TGPL et TGPL désignées par la Commission en avril 2023, le règlement sur les services numériques est devenu applicable en août 2023 et les rapports d’audit devaient être présentés entre le 28 août et le 4 septembre 2024 au plus tard, en fonction de la date à laquelle le fournisseur a accusé réception de la décision de désignation.

En tout état de cause, les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent transmettre les rapports concernant leurs évaluations des risques (y compris les rapports ad hoc d’évaluation des risques avant le déploiement de nouvelles fonctionnalités), les mesures d’atténuation des risques et les audits de conformité à leur coordinateur de l’État membre d’établissement pour les services numériques et à la Commission dans les meilleurs délais après leur achèvement.

Les fournisseurs sont tenus de publier des rapports sur leurs évaluations des risques et leurs mesures d’atténuation des risques au moins une fois par an. Ces rapports devraient couvrir le cycle d’évaluation des risques correspondant, achevé avant la présentation du rapport d’audit. Toute évaluation des risques et toute mesure d’atténuation des risques qui n’ont pas encore été rendues publiques, ainsi que leurs rapports d’audit et leurs rapports sur la mise en œuvre des audits, devraient également être publiés. Cela inclut également les rapports ad hoc d’évaluation des risques (c’est-à-dire les évaluations réalisées avant le déploiement de nouvelles fonctionnalités susceptibles d’avoir une incidence sur les risques) transmis à la Commission et au DSC d’établissement au cours de ce cycle annuel. 

Articles pertinents: Les arts. 34, 37 et 42, paragraphe 4, du règlement (UE) 2022/2065 (ci-après le « règlement 2022/2065 »)

Le règlement sur les services numériques poursuit de vastes objectifs de transparence et de contrôle public, comme l’a confirmé le vice-président de la Cour de justice de l’Union européenne dans ses ordonnances dans les affaires C‑639/23 P(R), C-511/24 P(R) et C-620/24 P(R) concernant les mesures provisoires demandées en lien avec l’obligation prévue à l’article 39 du règlement sur les services numériques. En outre, le considérant 100 du règlement sur les services numériques indique que les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne devraient rendre compte «de manière exhaustive» de leur évaluation des risques.

La publication de rapports concernant les évaluations des risques et les mesures d’atténuation des risques par les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne et leurs audits annuels de conformité à la législation sur les services numériques sont essentiels pour informer le public (y compris les organisations de la société civile, les représentants des médias et les chercheurs) et pour favoriser un débat sociétal sur les risques systémiques découlant des très grandes plateformes en ligne et des très grands moteurs de recherche en ligne et les mesures d’atténuation des risques adoptées par leurs fournisseurs.

Par conséquent, les rapports que les fournisseurs publient doivent être aussi complets que possible. Dans le même temps, les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne peuvent retirer des informations des rapports qu’ils doivent publier lorsque ces informations pourraient:

• aboutir à la divulgation d’informations confidentielles du fournisseur ou des destinataires du service;
• provoquer des vulnérabilités importantes pour la sécurité du service;
• porter atteinte à la sécurité publique; ou
• nuire aux destinataires du service.

Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent fournir au coordinateur de l’État membre d’établissement pour les services numériques et à la Commission un exposé des raisons pour lesquelles des informations ont été retirées de la version publique de leurs rapports d’évaluation des risques et des mesures d’atténuation mises en place, y compris les rapports ad hoc d’évaluation des risques, les rapports d’audit et les rapports d’exécution des audits. La motivation doit justifier de manière approfondie chaque occultation et expliquer spécifiquement pourquoi, de l’avis du fournisseur des très grandes plateformes en ligne et des très grands moteurs de recherche en ligne, les occultations sont justifiées au titre de l’article 42, paragraphe 5, du règlement sur les services numériques.

Compte tenu des objectifs de transparence du règlement sur les services numériques, les occultations ne peuvent être effectuées qu’à titre exceptionnel et doivent être justifiées par une motivation claire expliquant toutes les conditions pertinentes énoncées à l’article 42, paragraphe 5, dudit règlement. Lorsque des occultations ont été effectuées, elles devraient être rendues clairement visibles en marquant le texte supprimé (par exemple au moyen d’une occultation) plutôt qu’en supprimant ou en omettant simplement du contenu. Cela garantit que le degré d'expurgation est évident pour le public, tout en protégeant les informations confidentielles ou sensibles à la sécurité sous-jacentes. Des occultations silencieuses compromettraient l’objectif de transparence du règlement sur les services numériques, car elles masqueraient au public si et où des informations ont été supprimées.

Article pertinent : Article 42, paragraphe 5, du règlement (UE) 2022/2065 (ci-après le « règlement 2022/2065 »)

Selon la jurisprudence de la Cour de justice de l’Union européenne (voir, par exemple: Les informations dans l’affaire T-198/03, Bank Austria Creditanstalt) doivent être considérées comme confidentielles lorsqu’elles remplissent cumulativement les trois conditions préalables à la protection suivantes:

• elle ne doit être connue que d'un nombre limité de personnes;
• sa divulgation doit être susceptible de causer un préjudice grave à la personne qui l'a fournie ou à des tiers;
• les intérêts susceptibles d’être lésés par la divulgation doivent être objectivement dignes de protection, ce qui doit être apprécié lors de la mise en balance des intérêts opposés à la publication et de l’intérêt public à la publication.

Les exceptions à l'obligation de publication doivent être interprétées de manière restrictive. Les justifications des expurgations doivent être claires et bien expliquées. Chaque occultation doit être évaluée au cas par cas et une explication des raisons de cette occultation, compte tenu des conditions énoncées à l’article 42, paragraphe 5, du règlement sur les services numériques, doit être fournie. Lorsque les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne occultent des informations sur la base de demandes de confidentialité, ils doivent étayer leurs allégations selon lesquelles les informations sont considérées comme confidentielles (c’est-à-dire qu’elles remplissent les trois conditions énumérées ci-dessus) dans les exposés des motifs qu’ils soumettent au coordinateur de l’État membre d’établissement pour les services numériques et à la Commission. Des allégations incomplètes, non étayées, génériques ou partiellement étayées ne sauraient être considérées comme justifiant des expurgations. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent justifier des demandes de confidentialité concernant des parties spécifiques du texte dans leurs rapports. Par exemple, la confidentialité ne peut pas être revendiquée dans l'ensemble des rapports d'évaluation des risques.

Lorsque cela est absolument nécessaire pour protéger des informations considérées comme confidentielles, les fournisseurs peuvent paraphraser le texte en cause dans les versions publiques des rapports.

Article pertinent : Article 42, paragraphe 5, du règlement (UE) 2022/2065 (ci-après le « règlement 2022/2065 »)

Lorsque la Commission estime que les occultations ne sont pas justifiées et que, par conséquent, le fournisseur d’une TGPL ou d’un TGPL n’a pas pleinement respecté ses obligations en matière de transparence, elle peut considérer qu’une telle action constitue une violation du règlement.

Article pertinent : Article 42 du règlement (UE) 2022/2065 (ci-après le « règlement 2022/2065 »)

L’article 42, paragraphe 4, du règlement sur les services numériques établit un cycle annuel de publication des rapports, dans le but de garantir la transparence. L’objectif de ce cycle de publication est de permettre au public de comparer les rapports d’évaluation des risques des très grandes plateformes en ligne et des très grands moteurs de recherche en ligne visés à l’article 34 du règlement sur les services numériques avec les rapports d’audit indépendants des très grandes plateformes en ligne et des très grands moteurs de recherche en ligne visés à l’article 37, paragraphe 4, dudit règlement.

En outre, l’article 37 du règlement sur les services numériques impose aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne de veiller à ce que leurs services fassent l’objet d’audits au moins une fois par an, ce qui donne lieu à des rapports d’audit obligatoires. Le premier rapport d’audit annuel doit être présenté un an après que les règles applicables aux très grandes plateformes en ligne et aux très grands moteurs de recherche en ligne ont commencé à s’appliquer au service en question. L’article 42, paragraphe 4, du règlement sur les services numériques impose aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne de publier leurs rapports d’audit au plus tard trois mois après leur réception par l’organisme d’audit. Trois mois après la date de réception du rapport d’audit, le fournisseur de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doit également publier les autres rapports énumérés à l’article 42, paragraphe 4, du règlement sur les services numériques, y compris «un rapport exposant l’évaluation des risques conformément à l’article 34». Tant le rapport d’audit que les autres rapports mentionnés à l’article 42, paragraphe 4, du règlement sur les services numériques que les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent publier, y compris le rapport d’évaluation des risques, sont ceux de l’année en cours.

Étant donné qu’un rapport d’audit ne doit être établi et publié qu’une année complète après l’entrée en application des règles applicables aux très grandes plateformes en ligne et aux très grands moteurs de recherche en ligne à un service désigné, l’obligation de publier le rapport d’évaluation des risques prévue à l’article 42, paragraphe 4, du règlement sur les services numériques ne s’applique également qu’un an après cette date. Par conséquent, alors que les fournisseurs de services désignés comme TGPL et TGPL en avril 2023 étaient tenus de compiler leurs premiers rapports d’évaluation des risques en août/septembre 2023, l’article 42, paragraphe 4, du règlement sur les services numériques exige uniquement de ces fournisseurs qu’ils publient leurs rapports d’évaluation des risques pour 2024 en même temps que leurs rapports d’audit pour 2024. La Commission encourage néanmoins les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne à publier également leurs rapports d’évaluation des risques de la première année au cours de laquelle les règles applicables aux très grandes plateformes en ligne et aux très grands moteurs de recherche en ligne s’appliquent à leurs services, même si leur rapport d’audit annuel n’était pas encore dû.

Articles pertinents: Les arts. 37, paragraphe 4, et 42, paragraphe 4, du règlement (UE) 2022/2065. Les obligations spécifiques en matière de législation sur les services numériques pour les très grandes plateformes en ligne et les très grands moteurs de recherche en ligne sont celles énoncées à la section 5, chapitre III, du règlement sur les services numériques.

Pour atteindre les objectifs de transparence du règlement sur les services numériques, les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne devraient rendre leurs rapports publics. Une fois publiés, les destinataires devraient pouvoir accéder à ces rapports. Par exemple, cela prend la forme d’une page dédiée à la conformité ou à la transparence du règlement sur les services numériques sur l’interface en ligne des TGPL ou des TGPL. Cette page garantit que les représentants de la société civile, les chercheurs, les représentants des médias et les utilisateurs peuvent facilement localiser et accéder aux rapports pertinents. En vertu de l’article 42, paragraphe 4, du règlement sur les services numériques, les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne ne devraient pas empêcher les destinataires d’accéder aux rapports d’évaluation des risques, d’atténuation, d’audit et de mise en œuvre des audits.  

Les fournisseurs peuvent également informer la Commission et le coordinateur pour les services numériques de leur établissement une fois la publication effectuée.

Articles pertinents: Les arts. 34, 35, 37 et 42, paragraphe 4, du règlement (UE) 2022/2065.

Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent mettre à la disposition du public les résultats de la dernière évaluation des risques réalisée au moment de la publication, même si la période couverte par celle-ci ne coïncide pas avec la période faisant l’objet d’un audit indépendant. Comme précisé au considérant 100 du règlement sur les services numériques, l’objectif des obligations de déclaration énumérées à l’article 42, paragraphe 4, dudit règlement est de garantir la transparence. En particulier, en ce qui concerne les risques systémiques recensés par les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne et les mesures d’atténuation adoptées pour y faire face. La publication des informations les plus récentes et les plus récentes est l’action la plus appropriée pour satisfaire aux obligations de déclaration en matière de transparence contenues dans cette disposition, en veillant à ce que les utilisateurs aient accès à toutes les informations disponibles à ce moment-là, même si, pour des raisons purement factuelles, elles n’ont pas encore fait l’objet d’un audit indépendant.

Les différents cycles d’évaluation des risques et d’audit n’empêchent pas de comparer les résultats de l’évaluation des risques effectuée par les prestataires eux-mêmes et les rapports d’audit indépendants, étant donné qu’ils seront tous publiés à terme.

Articles pertinents: Les arts. 34, 35, 37 et 42, paragraphe 4, du règlement (UE) 2022/2065.