Facebook et Instagram : Bruxelles accuse Meta de conception addictive contraire au DSA

La Commission européenne a publié le 10 juillet 2026 ses conclusions préliminaires : Instagram et Facebook enfreindraient le règlement sur les services numériques (DSA) en raison de leur conception jugée addictive. En cause, des mécanismes qui maximisent le temps d'écran au détriment de la santé mentale et physique des utilisateurs, en particulier des mineurs.

Ce qui s'est passé

L'enquête, ouverte en mai 2024, visait à vérifier si Meta respectait ses obligations d'évaluation et d'atténuation des risques systémiques au titre du DSA. La Commission conclut, à titre préliminaire, que l'entreprise n'a pas correctement évalué les risques liés à la conception addictive de ses plateformes pour le bien-être des utilisateurs, notamment des mineurs et des personnes vulnérables.

Sont directement visés le défilement infini (infinite scroll), la lecture automatique des vidéos (autoplay), les notifications push et les systèmes de recommandation fortement personnalisés. Selon la Commission, les mesures d'atténuation déjà mises en place par Meta — comme les outils de limitation du temps d'utilisation — restent largement inefficaces, car trop facilement contournables ou ignorées par les utilisateurs.

Meta dispose désormais d'un délai pour répondre à ces conclusions et ajuster la conception de ses plateformes. En cas de manquement confirmé, l'entreprise s'expose à une amende pouvant atteindre 6 % de son chiffre d'affaires mondial annuel.

Pourquoi c'est important

Cette procédure est la deuxième ouverte par Bruxelles contre Meta en 2026 sur le terrain de la protection des mineurs : une première décision préliminaire, publiée fin avril, portait spécifiquement sur l'absence de vérification d'âge permettant aux moins de 13 ans d'accéder à Instagram et Facebook. Cette fois, c'est la mécanique même du produit — et non plus seulement l'accès — qui est mise en cause.

Le dossier s'inscrit dans une dynamique d'enforcement DSA qui s'élargit rapidement : l'autorité irlandaise a par ailleurs ouvert sa propre enquête sur les dark patterns de Meta empêchant de désactiver le profilage, tandis que l'Arcom, coordinateur DSA pour la France, a fait de la protection des mineurs l'un des trois axes de sa stratégie 2026-2028. Pour les DPO, ces dossiers confirment une convergence croissante entre DSA, RGPD et AI Act : les systèmes de recommandation algorithmique, déjà scrutés sous l'angle de la responsabilité éditoriale par la CJUE dans sa jurisprudence sur le tri algorithmique des contenus, deviennent un terrain d'enforcement à part entière.

Ce que ça change pour les organisations

Cette décision ne crée pas d'obligation RGPD nouvelle : le DSA reste un cadre distinct, porté par des coordinateurs nationaux et non par les autorités de protection des données. Mais les organisations qui exploitent des interfaces avec des mécanismes d'engagement comparables (scroll infini, notifications, recommandations personnalisées, gamification) doivent en tirer trois enseignements concrets.

D'abord, documenter l'évaluation des risques liés à la conception de l'interface dans l'analyse d'impact, au même titre que les traitements de données classiques — l'accountability version RGPD rejoint ici l'obligation d'atténuation des risques systémiques version DSA. Ensuite, vérifier que les outils de contrôle proposés aux utilisateurs (limites de temps, paramètres de notification) sont réellement efficaces et non de simple façade, un point que la Commission cible frontalement. Enfin, pour les organisations ciblant un public incluant des mineurs, croiser cette procédure avec le chantier de vérification d'âge harmonisée porté par la Commission et les principes adoptés par le G7 des autorités de protection des données, afin d'anticiper un alignement futur entre les deux textes.

Ce que Leto pense de cette décision

Le choix de la Commission de s'attaquer frontalement à la mécanique produit — et pas seulement aux dispositifs de contrôle d'accès — marque un changement de focale utile. Il rappelle qu'un bandeau de consentement ou un réglage de confidentialité ne suffisent pas à rendre un service loyal si son design même est conçu pour maximiser l'attention au détriment de l'utilisateur. Les DPO ont tout intérêt à s'inviter dans les discussions produit en amont, plutôt que de découvrir ces risques a posteriori lors d'un contrôle DSA ou d'une plainte RGPD.

Sources : Commission européenne, communiqué de presse, Euronews, Le Monde