DMA (Digital Markets Act) : contrôleurs d’accès, obligations et sanctions

Dossier tenu à jour. Dernière mise à jour le 1^er novembre 2026. Prochaine revue le 18 novembre 2026. Temps de lecture : 16 minutes.

Dossier Plateformes

Sommaire

1. Calendrier d’application
2. Qui est contrôleur d’accès ?
3. Les contrôleurs d’accès désignés
4. Ce que le DMA interdit et impose
5. Amendes et décisions de la Commission
6. Le cloud : AWS et Microsoft Azure
7. Sanctions, autorités et recours en France
8. Le réexamen de 2026
9. Nos analyses sur ce texte
10. Ce que nous ne savons pas encore
11. Questions fréquentes
12. Historique des mises à jour
13. Textes et sources officielles

Calendrier d’application

• 12 octobre 2022 Publication du règlement au Journal officiel de l’Union européenne.
• 1^er novembre 2022 Entrée en vigueur (article 54).
• 2 mai 2023 Application générale ; les entreprises qui atteignent les seuils ont deux mois pour le notifier à la Commission.
• 5 septembre 2023 Décisions désignant six contrôleurs d’accès pour 22 services, annoncées le 6 septembre.
• 7 mars 2024 Les premiers contrôleurs d’accès doivent respecter leurs obligations, six mois après leur désignation (article 3, paragraphe 10) ; l’interopérabilité des messageries s’étale sur quatre ans (article 7).
• 25 mars 2024 Ouverture de cinq procédures de non-respect contre Alphabet, Apple et Meta.
• 29 avril 2024 Désignation d’iPadOS (Apple).
• 13 mai 2024 Désignation de Booking ; X Ads et TikTok Ads ne sont pas désignés.
• 19 mars 2025 Deux décisions de spécification imposent à Apple des mesures d’interopérabilité d’iOS et d’iPadOS (article 6, paragraphe 7).
• 23 avril 2025 Premières amendes : 500 millions d’euros pour Apple, 200 millions d’euros pour Meta.
• 13 novembre 2025 Ouverture d’une procédure contre Google sur la rétrogradation des éditeurs de presse dans ses résultats.
• 18 novembre 2025 Ouverture de trois enquêtes de marché sur le cloud : AWS, Microsoft Azure et l’adaptation du DMA au cloud.
• 28 avril 2026 Rapport de réexamen de la Commission (article 53) : aucune modification du règlement proposée.
• 25 juin 2026 Position préliminaire de la Commission en faveur de la désignation d’AWS et d’Azure.
• 16 juillet 2026 Deux décisions de spécification imposent à Google des mesures d’interopérabilité d’Android et de partage de données de recherche.
• 23 juillet 2026 Amendes de 890 millions d’euros contre Google (moteur de recherche et Google Play).
• 13 novembre 2026 Fin du délai indicatif de douze mois pour la procédure contre Google sur les éditeurs de presse (article 29, paragraphe 2, calcul).
• 18 novembre 2026 Fin du délai indicatif de douze mois prévu par le règlement pour les enquêtes sur AWS et Azure (article 17, paragraphe 1, calcul).
• 18 mai 2027 Date limite du rapport de l’enquête sur l’adaptation du DMA au cloud, dix-huit mois après son ouverture (article 19, paragraphe 3, calcul).
• 3 mai 2029 Date limite du prochain réexamen du règlement par la Commission (article 53, paragraphe 1, tous les trois ans, calcul).

Qui est contrôleur d’accès ?

Le DMA ne vise que les services de plateforme essentiels, répartis en dix catégories (article 2, point 2) : intermédiation en ligne, moteurs de recherche, réseaux sociaux, plateformes de partage de vidéos, communications interpersonnelles non fondées sur la numérotation, systèmes d’exploitation, navigateurs internet, assistants virtuels, services d’informatique en nuage et publicité en ligne fournie par une entreprise qui exploite l’un de ces services.

Une entreprise est contrôleur d’accès si elle a un poids important sur le marché intérieur, si son service constitue un point d’accès majeur des entreprises utilisatrices vers les utilisateurs finaux et si elle jouit d’une position solide et durable (article 3, paragraphe 1). Ces conditions sont présumées remplies lorsque les seuils de l’article 3, paragraphe 2, sont atteints :

• un chiffre d’affaires dans l’Union d’au moins 7,5 milliards d’euros sur chacun des trois derniers exercices, ou une capitalisation boursière moyenne d’au moins 75 milliards d’euros au dernier exercice, avec le même service fourni dans au moins trois États membres ;
• au moins 45 millions d’utilisateurs finaux actifs par mois et au moins 10 000 entreprises utilisatrices actives par an dans l’Union, au dernier exercice ;
• ces seuils d’utilisateurs atteints sur chacun des trois derniers exercices.

L’entreprise qui franchit les seuils le notifie à la Commission dans les deux mois ; la Commission la désigne dans les 45 jours ouvrables (article 3, paragraphes 3 et 4). L’entreprise peut présenter des arguments « suffisamment étayés » pour réfuter la présomption. La Commission peut aussi désigner une entreprise qui n’atteint pas les seuils, au terme d’une enquête de marché, en tenant compte notamment de sa taille, du nombre de ses utilisateurs, des effets de réseau, des avantages tirés des données et du verrouillage (article 3, paragraphe 8, et article 17). C’est cette voie qu’elle suit pour AWS et Azure.

Les contrôleurs d’accès désignés

Au 1^er novembre 2026, la liste de la Commission compte sept contrôleurs d’accès et 23 services. Les décisions de 2023 sont datées du 5 septembre et ont été annoncées le 6, date qu’affiche cette liste.

Contrôleur d’accès	Services désignés	Désignation
Alphabet	Google Search, Google Maps, Google Play, Google Shopping, YouTube, Android, Chrome, services publicitaires	5 septembre 2023
Amazon	Marketplace, Amazon Ads	5 septembre 2023
Apple	App Store, iOS, Safari ; iPadOS	5 septembre 2023 ; 29 avril 2024 pour iPadOS
ByteDance	TikTok	5 septembre 2023
Meta	Facebook, Instagram, WhatsApp, Messenger, Meta Ads	5 septembre 2023
Microsoft	Windows, LinkedIn	5 septembre 2023
Booking	Booking.com	13 mai 2024

La désignation se lit service par service, et c’est concret pour un annonceur. Les droits du DMA sur l’information tarifaire et la mesure de performance valent pour les services publicitaires d’Alphabet, Amazon Ads et Meta Ads ; à notre lecture, il ne peut pas les invoquer pour Microsoft Advertising ni pour Apple Ads, écartés de la désignation.

Plusieurs services ont été écartés : Gmail, Outlook.com et Samsung Internet en 2023, iMessage, Bing, Edge et Microsoft Advertising en février 2024, X Ads et TikTok Ads en mai 2024, le réseau social X en octobre 2024, Apple Ads et Apple Maps en février 2026. Facebook Marketplace n’est plus désigné depuis avril 2025, faute d’atteindre 10 000 entreprises utilisatrices.

Le Tribunal de l’Union a confirmé les désignations contestées, à une exception près. Il a rejeté le recours de ByteDance le 17 juillet 2024 (affaire T-1077/23), confirmé la désignation de Messenger mais annulé, pour défaut de motivation, celle de Marketplace le 3 juin 2026 (T-1078/23), et écarté les recours d’Apple le 8 juillet 2026 (T-1079/23, T-1080/23 et T-214/24). Dans le pourvoi de ByteDance (C-627/24 P), l’avocat général a proposé le 15 octobre 2026 de le rejeter (communiqué) ; l’arrêt n’est pas encore rendu.

Ce que le DMA interdit et impose

Les obligations s’appliquent service par service. Les plus utiles pour une entreprise qui vend, publie ou fait de la publicité via une plateforme désignée :

• Liberté tarifaire : le contrôleur d’accès ne peut pas interdire aux entreprises utilisatrices de proposer leurs produits à des prix ou conditions différents sur d’autres services d’intermédiation en ligne ou sur leur propre site de vente en ligne (article 5, paragraphe 3).
• Orientation des clients : elles peuvent promouvoir gratuitement leurs offres auprès des clients acquis par la plateforme et conclure des contrats avec eux, avec ou sans les services du contrôleur d’accès (article 5, paragraphe 4).
• Pas de services imposés : le contrôleur d’accès ne peut pas exiger l’usage de son service d’identification, de son moteur de navigateur ou de son service de paiement (article 5, paragraphe 7, dans sa version corrigée), ni l’abonnement ou l’inscription à un autre de ses services de plateforme essentiels comme condition d’accès (paragraphe 8).
• Données de l’entreprise : il ne peut pas utiliser, pour lui faire concurrence, les données non publiques qu’elle génère (article 6, paragraphe 2) ; il doit lui donner un accès gratuit, continu et en temps réel aux données fournies ou générées dans l’usage du service, y compris les données personnelles directement liées à l’usage de ses produits, avec le consentement de l’utilisateur (article 6, paragraphe 10).
• Classement : pas de traitement plus favorable de ses propres produits ; des conditions de classement transparentes, équitables et non discriminatoires (article 6, paragraphe 5).
• Accès équitable : conditions générales d’accès équitables, raisonnables et non discriminatoires aux boutiques d’applications, moteurs de recherche et réseaux sociaux désignés, avec un mécanisme de règlement extrajudiciaire des litiges (article 6, paragraphe 12) ; conditions de résiliation proportionnées (paragraphe 13).
• Applications et interopérabilité : installation d’applications et de boutiques tierces (article 6, paragraphe 4), interopérabilité gratuite avec les fonctions matérielles et logicielles du système d’exploitation ou de l’assistant virtuel (paragraphe 7), désinstallation et changement des paramètres par défaut (paragraphe 3), portabilité des données des utilisateurs (paragraphe 9).
• Publicité : information quotidienne des annonceurs et des éditeurs sur les prix et les rémunérations (article 5, paragraphes 9 et 10), accès aux outils de mesure de la performance (article 6, paragraphe 8).
• Données personnelles : sans le consentement de l’utilisateur, le contrôleur d’accès ne peut pas exploiter à des fins publicitaires les données des utilisateurs de services tiers qui recourent à ses services, combiner ou utiliser de façon croisée les données personnelles de ses différents services, ni connecter l’utilisateur à d’autres services pour combiner ses données (article 5, paragraphe 2).
• Plaintes : le contrôleur d’accès ne peut pas empêcher une entreprise utilisatrice ou un utilisateur final de signaler un manquement à une autorité publique, juridictions comprises (article 5, paragraphe 6).

Les messageries désignées doivent en outre rendre leurs fonctions de base interopérables avec d’autres services, à la demande et gratuitement, par étapes : messages et fichiers entre deux utilisateurs dès la désignation, conversations de groupe dans les deux ans, appels vocaux et vidéo dans les quatre ans (article 7).

Chaque contrôleur d’accès publie une synthèse de son rapport de conformité et un aperçu de la description de ses techniques de profilage, auditée par un tiers indépendant (articles 11 et 15). Ces documents sont mis à jour au moins une fois par an : en mars pour les contrôleurs d’accès désignés en 2023 (le 7 mars 2026 pour Apple), en novembre pour Booking.

Amendes et décisions de la Commission

Date	Décision	Fondement
23 avril 2025	Apple : 500 millions d’euros pour avoir empêché les développeurs d’orienter leurs clients vers des offres hors de l’App Store	Article 5, paragraphe 4
23 avril 2025	Meta : 200 millions d’euros pour son modèle « consentir ou payer » (mars à novembre 2024)	Article 5, paragraphe 2
23 juillet 2026	Google : 460 millions d’euros pour l’auto-préférence dans le moteur de recherche, 430 millions d’euros pour l’orientation des clients dans Google Play	Article 6, paragraphe 5, et article 5, paragraphe 4, selon les constatations préliminaires

Chaque décision laisse 60 jours au contrôleur d’accès pour se conformer, sous peine d’astreintes. Apple et Meta ont contesté leur amende devant le Tribunal (affaires T-438/25 et T-432/25, selon le rapport annuel 2025 de la Commission). Selon la presse spécialisée, Google a lui aussi saisi le Tribunal contre les décisions de juillet 2026 ; nous n’avons pas trouvé les numéros d’affaire.

Novembre 2026, puis janvier 2027 : nous suivons ces deux échéances. Google doit finaliser le jeu de données de recherche anonymisées à partager avec les moteurs tiers, assistants conversationnels dotés d’une fonction de recherche compris, puis présenter son offre tarifaire. Pour un éditeur qui développe un tel assistant, ce tarif dira, à notre avis, si l’ouverture lui profite.

La Commission utilise aussi des décisions de spécification, qui fixent les mesures à prendre pour se conformer (article 8) : deux décisions du 19 mars 2025 imposent à Apple d’ouvrir neuf fonctions de connectivité d’iOS aux objets connectés de tiers et d’organiser le traitement des demandes d’interopérabilité ; deux décisions du 16 juillet 2026, au terme d’une procédure ouverte le 27 janvier 2026, imposent à Google des mesures par étapes : partager des données de recherche anonymisées avec les moteurs de recherche tiers, chatbots dotés d’une fonction de recherche compris, avec un jeu de données finalisé d’ici novembre 2026 et une offre tarifaire d’ici janvier 2027 (article 6, paragraphe 11) ; ouvrir Android aux assistants d’IA tiers, au plus tard le 1^er août 2027 pour l’essentiel et le 1^er août 2028 pour la détection simultanée des mots d’activation vocale (article 6, paragraphe 7).

Au 1^er novembre 2026, d’après les publications de la Commission, deux procédures de non-respect restent ouvertes : celle sur les conditions d’Apple pour la distribution alternative d’applications (article 6, paragraphe 4), et celle ouverte le 13 novembre 2025 contre Google pour la rétrogradation des éditeurs de presse dans ses résultats (article 6, paragraphes 5 et 12, IP/25/2675). Apple a annoncé le 18 août 2026 de nouvelles conditions dans l’Union, effectives au 1^er octobre ; un porte-parole de la Commission les a saluées le jour même, sans clôture de la procédure à ce jour. Meta s’est engagé en décembre 2025 à proposer une publicité moins personnalisée, dont la Commission doit évaluer l’effet.

Le cloud : AWS et Microsoft Azure

Les services d’informatique en nuage figurent parmi les services de plateforme essentiels depuis 2022, mais aucun n’avait été désigné, faute d’atteindre les seuils quantitatifs de l’article 3. Le 18 novembre 2025, la Commission a ouvert trois enquêtes de marché : deux pour déterminer si AWS et Microsoft Azure doivent être désignés malgré tout, une troisième pour vérifier si les obligations du DMA sont adaptées au cloud (interopérabilité, accès aux données, ventes liées, clauses déséquilibrées). Le règlement lui donne douze mois, à titre indicatif, pour les deux premières (article 17, paragraphe 1) ; la troisième doit donner lieu à un rapport dans les dix-huit mois (article 19, paragraphe 3) et peut conduire à un acte délégué complétant les obligations (article 12).

Le 25 juin 2026, la Commission a fait connaître sa position préliminaire : AWS et Azure seraient les deux premiers services de cloud dans l’Union, et elle cite le verrouillage des clients, les coûts de changement de fournisseur et le rôle croissant de l’IA dans les achats. Si cette position est confirmée, les deux services seront désignés et disposeront de six mois pour se conformer. Le délai de douze mois est indicatif : la Commission « s’efforce » de le tenir (article 17, paragraphe 1).

Pour un client français de ces services, une désignation ajouterait les obligations du DMA à celles que le Data Act impose déjà depuis le 12 septembre 2025 en matière de changement de fournisseur (voir notre dossier Data Act et notre analyse de son article 29).

Sanctions, autorités et recours en France

La Commission peut infliger des amendes jusqu’à 10 % du chiffre d’affaires mondial total de l’exercice précédent, et jusqu’à 20 % en cas de récidive, c’est-à-dire pour une infraction identique ou similaire, concernant le même service de plateforme essentiel, constatée dans les huit années précédentes (article 30). Les astreintes atteignent jusqu’à 5 % du chiffre d’affaires journalier moyen mondial par jour (article 31). Après au moins trois décisions de non-respect en huit ans, elle peut ouvrir une enquête pour non-respect systématique et imposer des mesures correctives (article 18).

La Commission est seule habilitée à faire appliquer le règlement. En France, la loi du 21 mai 2024 (SREN) a désigné l’Autorité de la concurrence, le ministre chargé de l’économie et ses agents comme autorités nationales compétentes (code de commerce, article L. 450-11). Elle leur donne des pouvoirs d’entretien et d’inspection pour assister la Commission, de soutien à ses enquêtes de marché et d’enquête d’initiative après l’en avoir informée (article L. 450-12, qui renvoie aux articles 22, 23 et 38 du DMA), et les charge de recevoir les signalements (article L. 462-9-2). Le ministre peut demander à la Commission d’ouvrir une enquête de marché (article L. 490-9 ; article 41 du DMA). Les litiges fondés sur le DMA relèvent de juridictions spécialisées dont le siège et le ressort sont fixés par décret en Conseil d’État (article L. 420-7).

Une entreprise qui s’estime lésée par un contrôleur d’accès peut signaler la pratique aux autorités nationales ou directement à la Commission (article 27) ; elle peut aussi saisir le juge, qui peut demander l’avis de la Commission mais ne peut statuer à l’encontre d’une décision de celle-ci (article 39).

Le réexamen de 2026

Dans son rapport du 28 avril 2026 (COM(2026) 178, communiqué), la Commission juge le DMA adapté et ne propose aucune modification législative. Elle fait de l’IA une priorité de contrôle à travers les fonctions intégrées aux services déjà désignés, sans créer de catégorie propre, et examinera si certains services d’IA doivent être désignés comme assistants virtuels. Le règlement prévoit un réexamen tous les trois ans : le prochain doit intervenir au plus tard le 3 mai 2029 (article 53, paragraphe 1, calcul). Le rapport annuel 2025 (COM(2026) 247) a été publié le 22 mai 2026.

Nos analyses sur ce texte

• Data Act : données des objets connectés, cloud et contrats Le règlement voisin sur les données, dont les règles de changement de fournisseur de cloud. Dossier
• Data Act : ce qu’un fournisseur cloud facture encore au client qui part en 2027 Ce que l’article 29 laisse facturable après le 12 janvier 2027. Analyse
• Calendrier des échéances numériques 2026-2027 Les dates du DMA à côté de celles des autres textes, chacune reliée à sa source. Revu chaque mois

Ce que nous ne savons pas encore

• La décision définitive sur AWS et Azure, et sa date : le délai de douze mois est indicatif.
• Le contenu du rapport sur l’adaptation du DMA au cloud, attendu vers mai 2027, et un éventuel acte délégué créant des obligations propres au cloud.
• Si Google s’est conformé dans le délai de 60 jours après les décisions du 23 juillet 2026 : il a annoncé en septembre des changements de son moteur de recherche en Europe, selon la presse, sur lesquels la Commission ne s’est pas prononcée publiquement ; et si des astreintes seront infligées.
• L’issue de la procédure sur les éditeurs de presse, que la Commission s’efforce de conclure d’ici le 13 novembre 2026.
• L’issue de la procédure sur les conditions de distribution d’Apple et l’évaluation par la Commission de l’option publicitaire de Meta.
• Les arrêts à venir : pourvoi de ByteDance (C-627/24 P), recours d’Apple et de Meta contre leurs amendes, recours de Google signalés par la presse.
• Une éventuelle désignation de services d’IA, que le réexamen n’exclut pas.

Questions fréquentes

Mon entreprise peut-elle devenir contrôleur d’accès ?

En pratique, seulement si elle exploite un service de plateforme essentiel avec au moins 45 millions d’utilisateurs finaux mensuels dans l’Union, ou si la Commission la désigne au terme d’une enquête de marché. Les seuils financiers (7,5 milliards d’euros de chiffre d’affaires dans l’Union ou 75 milliards d’euros de capitalisation) écartent la quasi-totalité des entreprises.

Que faire si une plateforme désignée ne respecte pas le DMA à mon égard ?

Signaler la pratique à l’Autorité de la concurrence ou aux services du ministre chargé de l’économie (DGCCRF), ou directement à la Commission (article 27 du DMA, article L. 462-9-2 du code de commerce), ou saisir le juge, la juridiction compétente étant fixée par décret en Conseil d’État (article L. 420-7).

Puis-je obtenir les données générées par mes ventes sur une place de marché désignée ?

Oui. L’article 6, paragraphe 10, impose au contrôleur d’accès de fournir gratuitement à l’entreprise utilisatrice, ou à un tiers qu’elle autorise, un accès continu et en temps réel aux données fournies ou générées dans l’usage du service ; pour les données personnelles, seulement celles directement liées à l’usage de ses propres produits, et avec le consentement de l’utilisateur.

Le DMA s’applique-t-il déjà au cloud ?

Pas encore à un service précis : aucun service de cloud n’est désigné au 1^er novembre 2026. La Commission a fait connaître le 25 juin 2026 sa position préliminaire, favorable à la désignation d’AWS et d’Azure.

Historique des mises à jour

1^er novembre 2026 : création du dossier.