Checklist de conformité DSA pour une extension de commentaires ou d’avis

« Les fournisseurs de plateformes en ligne mettent en place un mécanisme permettant aux utilisateurs de signaler des contenus illicites » : l’article 16 du règlement sur les services numériques (DSA) ne laisse guère de place à l’interprétation. Depuis le 17 février 2024, ce texte européen s’applique à tous les hébergeurs de contenus tiers, y compris un module d’avis clients ou un système de commentaires installé sur WordPress.

La difficulté, pour une agence qui maintient ce type d’extension, tient à la traduction de ces obligations juridiques en écrans concrets : quel bouton, quel champ, quelle notification. Cette checklist couvre uniquement le volet signalement et modération ; le RGPD, qui régit la collecte des données personnelles des auteurs d’avis, fait l’objet d’un traitement séparé.

Le mécanisme de signalement, poste par poste

• Un point d’accès visible sur chaque avis publié, pas seulement sur la page de contact générale du site.
• Un formulaire structuré qui distingue au minimum : contenu illicite au sens de la loi, contenu contraire aux conditions d’utilisation, atteinte à un droit personnel.
• Un accusé de réception automatique, avec un identifiant de suivi que l’utilisateur peut réutiliser.
• Une décision motivée, transmise au signalant et, si le contenu est retiré, à son auteur.

Ce que la base de données doit conserver

La conformité ne se limite pas à l’interface : elle suppose une traçabilité que beaucoup d’extensions d’avis, pensées avant 2024, ne prévoient pas. Chaque signalement doit être horodaté, rattaché à une décision, et cette décision doit elle-même indiquer le fondement (légal ou contractuel) invoqué.

function wpm_dsa_log_report( int $review_id, array $report ) {
    global $wpdb;

    $wpdb->insert(
        $wpdb->prefix . 'wpm_dsa_reports',
        array(
            'review_id'   => $review_id,
            'reporter_ip' => wp_privacy_anonymize_ip( $_SERVER['REMOTE_ADDR'] ?? '' ),
            'reason'      => sanitize_text_field( $report['reason'] ),
            'status'      => 'pending',
            'created_at'  => current_time( 'mysql' ),
        ),
        array( '%d', '%s', '%s', '%s', '%s' )
    );
}

Cette table dédiée, distincte des commentaires WordPress natifs, permet de générer facilement les statistiques exigées par l’article 24 pour les plateformes dépassant 45 millions d’utilisateurs actifs dans l’Union — un seuil que peu de sites clients atteignent, mais que certaines marketplaces spécialisées approchent désormais.

Le registre de transparence, même pour les petites structures

Même en dessous des seuils qui déclenchent les obligations les plus lourdes (audit indépendant, rapport de transparence semestriel), l’esprit du texte pousse à publier a minima un résumé des règles de modération appliquées. Sur un site e-commerce de taille moyenne, cela prend souvent la forme d’une page statique alimentée par les catégories de motifs enregistrées en base plutôt que par un décompte manuel.

Distinguer le rôle du modérateur du rôle de l’auteur

Un piège fréquent : accorder la capacité de traiter un signalement à n’importe quel utilisateur disposant du rôle editor. Le DSA n’impose pas de rôle spécifique, mais impose une décision « impartiale, diligente et objective » (article 16, §5) — ce qui justifie, en pratique, de créer une capacité dédiée via map_meta_cap plutôt que de s’appuyer sur les rôles génériques de WordPress.

Délais et notifications à ne pas oublier

1. Accusé de réception : sans délai fixé par le texte, mais l’usage constaté chez les éditeurs sérieux se situe sous 48 heures.
2. Décision motivée : transmise « dans un délai raisonnable », documentée dans le registre interne.
3. Voie de recours interne : le signalant et l’auteur doivent pouvoir contester la décision sans passer par une procédure judiciaire.
4. Conservation des preuves : gardez les échanges au moins six mois après la décision, en cas de contrôle.

Sur ce type de fonctionnalité, mieux vaut sur-documenter dès la conception : un champ « fondement de la décision » vide aujourd’hui devient un audit raté demain.

Notre verdict

Le DSA transforme un simple module d’avis en un mini-système de justice privée, avec ses garanties procédurales. Ce n’est pas insurmontable techniquement — une table dédiée, deux capacités personnalisées et un gabarit d’e-mail suffisent la plupart du temps — mais c’est un chantier qui doit être budgété comme tel, et non traité comme une case à cocher dans un plugin de commentaires générique.