DSA : la Commission accepte le plan d'action de Temu, cinq mois après l'amende de 200 millions d'euros

La Commission européenne a annoncé le 26 octobre 2026 avoir accepté le plan d'action de Temu pour remédier à sa violation du règlement sur les services numériques (DSA). Ce plan répond à la décision de non-conformité du 28 mai 2026, assortie d'une amende de 200 millions d'euros, qui reprochait à la plateforme une évaluation des risques bâtie sur des généralités sectorielles plutôt que sur des preuves propres à son service. Pour un DPO, la leçon dépasse le DSA : une analyse de risques générique ne tient pas face à un contrôle.

Ce que la Commission a accepté

Le plan de Temu repose sur cinq mesures, que la Commission décrit ainsi. La société effectuera d'abord une analyse des risques spécifique à la plateforme. Elle utilisera ensuite des indicateurs fiables pour mesurer l'efficacité des mesures d'atténuation mises en place contre la diffusion de contenus illicites.

Temu évaluera aussi les limites de sa modération de contenu et analysera si, et comment, ses systèmes de recommandation peuvent amplifier la propagation de produits illicites. Enfin, elle examinera l'influence de la manipulation intentionnelle et de l'amplification d'articles illégaux, y compris par des vendeurs qui exploitent les fonctionnalités de la plateforme pour diffuser des annonces potentiellement illégales.

Selon la Commission, l'entreprise dispose de quatre mois pour mener une évaluation intermédiaire des risques couvrant une période de six mois, jusqu'au 30 novembre 2026, afin de garantir la mise en œuvre du plan.

Pourquoi c'est important

Le plan s'inscrit dans une procédure ouverte en 2024. Désignée très grande plateforme en ligne le 31 mai 2024, Temu a fait l'objet d'une procédure formelle ouverte le 31 octobre 2024, de conclusions préliminaires en juillet 2025, puis de la décision du 28 mai 2026 et de son amende de 200 millions d'euros. Le plan d'action était exigé par l'article 75 du DSA, avec une échéance au 28 août 2026.

Le cœur du dossier est l'obligation des articles 34 et 35 du DSA, qui imposent aux très grandes plateformes de recenser, d'analyser, d'évaluer et d'atténuer les risques systémiques. La Commission avait relevé trois défauts dans l'évaluation de 2024 :

• elle reposait sur des informations générales sur le commerce électronique, et non sur des éléments de preuve propres au service de Temu ;
• elle sous-estimait largement la fréquence à laquelle un consommateur de l'UE tombe sur un article illégal, alors qu'un exercice de client mystère montrait qu'un pourcentage très élevé des chargeurs testés échouait aux essais de sécurité élémentaires ;
• elle n'évaluait pas correctement l'effet de la conception du service, systèmes de recommandation et programmes d'influenceurs affiliés compris.

Pour la Commission, ne pas procéder à ce type d'évaluation constitue « une infraction particulièrement grave » au règlement. C'est le même mécanisme que la Commission met en cause chez Booking.com, contre qui elle a ouvert une procédure formelle le 21 octobre en visant notamment les articles 34 et 35.

Ce que ça change pour les organisations

Le DSA ne vise que les plateformes, mais la logique reprochée à Temu est celle que le RGPD applique à l'analyse d'impact de l'article 35. Ce qu'un DPO peut vérifier dès cette semaine :

• Des preuves propres au traitement. Une AIPD recopiée d'un modèle sectoriel, sans données issues du traitement lui-même (incidents, tests, volumes), reproduit exactement le premier grief fait à Temu.
• Des indicateurs d'efficacité. Le plan accepté mesure l'effet des mesures d'atténuation. Une mesure listée sans indicateur de suivi ne prouve rien lors d'un contrôle.
• La conception du service dans le périmètre. Les algorithmes de recommandation et les mécanismes de promotion font partie de l'analyse, pas seulement l'infrastructure.
• Une réévaluation datée. Temu doit rendre une évaluation intermédiaire dans un délai fixé. Une analyse de risques sans date de revue vieillit sans que personne ne le voie.

La méthode pas à pas est détaillée dans notre guide pour réaliser une AIPD en 5 étapes, et la liste des pièces qui démontrent la conformité dans notre guide des documents RGPD.

Ce que Leto en pense

Le dossier Temu dit une chose simple : un régulateur ne juge pas l'existence d'une analyse de risques, il juge si elle colle au service réel. Le client mystère mené pour la Commission a fait ce qu'aucune grille générique ne fait, tester le produit. Côté RGPD, c'est la même exigence pour une AIPD : partir des données du traitement, mesurer l'effet des mesures et dater la prochaine revue. La suite du dossier se jouera sur l'évaluation intermédiaire : le non-respect de la décision peut, selon la Commission, donner lieu à des astreintes.

Sources

• Commission européenne, « Commission accepts Temu's action plan to remedy the breach of the Digital Services Act », 26 octobre 2026
• Commission européenne, « La Commission inflige à Temu une amende de 200 millions d'euros pour infraction au règlement sur les services numériques », IP/26/1178, 28 mai 2026