DSA : le Tribunal de l'UE confirme la désignation de Stripchat comme très grande plateforme et valide le comptage de la Commission
Le 14 octobre 2026, le Tribunal de l'Union européenne a rejeté le recours de Technius, qui exploite la plateforme pour adultes Stripchat, contre sa désignation comme très grande plateforme en ligne au titre du règlement sur les services numériques (DSA). L'affaire T-134/24 se jouait sur une question de méthode : comment compter ses utilisateurs. Pour un DPO, c'est un rappel utile sur la valeur d'un chiffre déclaré à une autorité.
Ce qui s'est passé
En février 2023, Technius a déclaré un nombre mensuel moyen de destinataires actifs de Stripchat dans l'Union d'environ 31,8 millions, sous le seuil de 45 millions qui déclenche le régime des très grandes plateformes. Son calcul reposait sur des données du service d'analyse d'audience Similarweb, dont elle avait retranché les « visites à rebond », celles où l'utilisateur quitte le site sans avoir été exposé à aucun contenu.
La Commission européenne a estimé que cette réduction sous-estimait l'audience. En s'appuyant sur la donnée « visiteurs uniques » de Similarweb, elle a retenu plus de 62 millions de visiteurs uniques mensuels et, par décision du 20 décembre 2023, a désigné Stripchat comme très grande plateforme en ligne.
Technius contestait la fiabilité des données et invoquait le principe de sécurité juridique. Selon le communiqué de presse du Tribunal, le recours est rejeté dans son ensemble :
- Motivation : la Commission s'est fondée sur les mêmes données Similarweb que la plateforme, et a présenté de manière transparente sa méthode de calcul.
- Méthode : la donnée « visiteurs uniques » de Similarweb filtre déjà un nombre important de visites à rebond. Le retrait supplémentaire opéré par Stripchat a, selon le Tribunal, « artificiellement réduit » le nombre réel de ses destinataires actifs.
- Correction ultérieure : après la décision, Similarweb a corrigé sa méthodologie, ce qui ramenait l'audience de la période à environ 37,3 millions. Le Tribunal juge que cela ne remet pas en cause la décision, dont la légalité s'apprécie au regard des éléments existant au moment de son adoption.
- Sécurité juridique : en l'absence d'acte fixant une méthode de calcul, il revient aux opérateurs de choisir une méthode fiable, et le DSA contient selon le Tribunal suffisamment d'éléments sur la notion de « destinataires actifs ».
Un pourvoi, limité aux questions de droit, reste possible devant la Cour de justice dans un délai de deux mois et dix jours à compter de la notification de l'arrêt.
Pourquoi c'est important
Le DSA impose à chaque plateforme en ligne de publier, au moins tous les six mois, la moyenne mensuelle de ses destinataires actifs dans l'Union (article 24, paragraphe 2). Au-delà de 45 millions, la Commission la désigne comme très grande plateforme (article 33, paragraphes 1 et 4), sur la base des données du fournisseur « ou de toute autre information à la disposition de la Commission ». La désignation prend fin si la plateforme reste sous le seuil pendant une période ininterrompue d'un an (article 33, paragraphe 5).
Le statut change la nature des obligations : évaluation annuelle des risques systémiques (article 34), qui couvre explicitement la protection des données à caractère personnel consacrée à l'article 8 de la Charte, et audit indépendant au moins une fois par an (article 37). Une évaluation jugée insuffisante coûte cher : la Commission a infligé 200 millions d'euros à Temu le 28 mai 2026.
Ce régime ne se substitue pas au RGPD. L'EDPB l'a rappelé en adoptant le 17 septembre 2026 ses lignes directrices finales sur l'articulation entre DSA et RGPD : les deux textes s'appliquent ensemble.
Ce que ça change pour les organisations
Peu d'ETI franchiront le seuil de 45 millions. La logique de l'arrêt, elle, vaut pour tout chiffre remis à un régulateur :
- Documenter la méthode : quand le texte ne fixe pas de méthode, c'est à l'organisation d'en choisir une fiable et de pouvoir l'expliquer. Un retraitement maison d'une donnée tierce doit être justifié.
- Connaître la donnée source : avant de corriger un indicateur fourni par un prestataire, vérifier ce qu'il intègre déjà. C'est sur ce point que le calcul de Stripchat a été écarté.
- Dater ses chiffres : une décision s'apprécie sur les éléments disponibles à sa date. Une correction a posteriori ne rattrape pas une déclaration fausse.
- Articuler les analyses de risques : pour une plateforme désignée, l'évaluation DSA de l'article 34 et l'analyse d'impact relative à la protection des données de l'article 35 du RGPD portent en partie sur les mêmes traitements et gagnent à partager leurs sources.
Ce que Leto en pense
L'arrêt ne tranche pas un débat de fond sur les contenus, mais une question d'ops : la qualité d'un chiffre et la traçabilité de son calcul. Les DPO connaissent la situation, avec le nombre de personnes concernées dans une notification de violation ou la volumétrie d'un traitement dans le registre. Un chiffre déclaré sans méthode écrite est fragile le jour où une autorité refait le calcul. Le réflexe à garder : conserver, avec chaque chiffre transmis, la source, la méthode et la date.
Sources
