Conformité DSA UE : bannière cookies et risque d'amende

Amende DSA, statut VLOP et risque cookies : calcul et exemple

Le Digital Services Act (règlement (UE) 2022/2065) plafonne les amendes à 6 % du chiffre d'affaires mondial annuel et les astreintes à 5 % du chiffre d'affaires journalier moyen. Une plateforme devient très grande plateforme (VLOP) à partir de 45 millions d'utilisateurs actifs mensuels dans l'UE. L'outil calcule ces plafonds, celui du RGPD pour les cookies (20 M€ ou 4 %), et un indice de conformité indicatif.

Ce que calcule l'outil

• Plafond d'amende DSA = 6 % du chiffre d'affaires mondial annuel.
• Astreinte journalière maximale = chiffre d'affaires ÷ 365 × 5 %.
• Plafond RGPD appliqué aux cookies = le plus élevé entre 20 M€ et 4 % du chiffre d'affaires.
• Statut VLOP : atteint dès 45 millions d'utilisateurs actifs mensuels dans l'UE, quel que soit le type de service.
• Indice de conformité (heuristique propre à l'outil) = 100 moins des points de risque, entre 5 et 100 : 0,8 par point de note du bandeau sous 70 %, 35 pour des dark patterns, 25 sans signalement des contenus illicites, 30 pour une place de marché sans vérification des vendeurs (art. 30), 15 pour une VLOP. Critique sous 50, modéré jusqu'à 74, faible au-delà.

Exemple

Place de marché, 12 millions d'utilisateurs, 45 M€ de chiffre d'affaires, bandeau noté 40 %, dark patterns présents, signalement et vérification des vendeurs en place : (70 − 40) × 0,8 + 35 = 59 points, indice 41/100, risque critique. Plafond DSA : 2 700 000 €. Astreinte maximale : 6 164 € par jour. Plafond RGPD : 20 000 000 €, car 4 % ne donneraient que 1,8 M€.

Limites

Les montants sont des maximums légaux, pas une prévision. L'article 25 du DSA (interfaces trompeuses) exclut les pratiques couvertes par le RGPD ou la directive sur les pratiques commerciales déloyales : pour un bandeau cookies, « refuser aussi simplement qu'accepter » est une exigence des lignes directrices de la CNIL. Pas d'avis juridique. Pour une violation du RGPD hors cookies, voyez le simulateur d'amendes RGPD ; pour la purge des données, le guide des durées de conservation.

Sources et dates : règlement (UE) 2022/2065, art. 25, 33 (seuil de 45 millions), 52, 74 (6 %) et 76 (astreinte de 5 %), applicable à toutes les plateformes depuis le 17/02/2024 (Commission européenne, application du DSA) ; RGPD, art. 83 §5, applicable depuis le 25/05/2018 (CNIL, chapitre VIII du RGPD) ; lignes directrices cookies de la CNIL du 17/09/2020 (CNIL, FAQ cookies) (vérifié le 14/10/2026).

Questions fréquentes

Quel est le montant maximal d'une amende au titre du DSA ?

L'amende ne peut pas dépasser 6 % du chiffre d'affaires mondial annuel du fournisseur sur l'exercice précédent. Pour 45 M€ de chiffre d'affaires, le plafond est de 2,7 M€. Ce plafond vaut pour les sanctions des États membres comme pour celles de la Commission envers les très grandes plateformes.

À partir de combien d'utilisateurs une plateforme est-elle une VLOP ?

Le seuil est de 45 millions de destinataires actifs mensuels moyens dans l'Union, soit environ 10 % de la population de l'UE. La Commission désigne ensuite la plateforme, et les obligations renforcées s'appliquent quatre mois après la notification de cette désignation.

Comment est calculée l'astreinte journalière du DSA ?

Elle peut atteindre 5 % du chiffre d'affaires mondial journalier moyen de l'exercice précédent, par jour de retard. L'outil divise le chiffre d'affaires annuel par 365 puis applique 5 % : 45 M€ donnent au plus 6 164 € par jour.

Le DSA interdit-il les dark patterns dans les bandeaux cookies ?

L'article 25 du DSA interdit les interfaces trompeuses des plateformes, mais exclut les pratiques déjà couvertes par le RGPD. Les bandeaux cookies relèvent donc surtout du RGPD et des règles ePrivacy. En France, la CNIL exige depuis ses lignes directrices de 2020 que refuser soit aussi simple qu'accepter, par exemple avec un bouton « Tout refuser ».

L'outil est-il vraiment gratuit ?

Oui, l'intégralité des outils sur Kristools sont 100% gratuits et accessibles sans inscription.

Mes données sont-elles protégées ?

Oui. Tous les traitements sont effectués directement et en toute sécurité dans votre navigateur. Aucune donnée personnelle n'est envoyée vers nos serveurs.