Publicité en ligne : ce que le DSA change pour les annonceurs luxembourgeois

Le règlement européen sur les services numériques (DSA) impose depuis le 17 février 2024 de nouvelles règles à la publicité en ligne, et l'Autorité de la concurrence luxembourgeoise a été désignée coordinateur national pour surveiller leur application. Pour un annonceur ou une agence media installés au Luxembourg, ce n'est plus un sujet d'actualité tech à survoler : trois points méritent une action concrète.

Une entrée en vigueur déjà effective, une transposition qui suit

Le DSA (règlement UE 2022/2065) s'applique à toutes les plateformes depuis le 17 février 2024, après une application anticipée aux très grandes plateformes dès le 25 août 2023, selon un communiqué du gouvernement luxembourgeois du 19 février 2024. Sur le plan national, le projet de loi 8309 transposant le DSA en droit luxembourgeois a été adopté par la Chambre des députés le 2 avril 2025, ce qui signifie que le cadre est désormais consolidé au niveau du droit local et non plus seulement européen.

Auditer son ciblage : les articles 26 et 28 ne sont pas négociables

Deux dispositions du DSA touchent directement les campagnes programmatiques. L'article 26 impose aux plateformes d'identifier clairement l'annonceur et le payeur d'une publicité, de communiquer les principaux paramètres de ciblage utilisés, et interdit la publicité fondée sur un profilage qui s'appuie sur des catégories particulières de données au sens du RGPD, c'est-à-dire les données dites sensibles (santé, orientation sexuelle, opinions politiques ou religieuses, entre autres). L'article 28, lui, interdit la publicité ciblée fondée sur le profilage des mineurs sur les plateformes accessibles à ce public, comme le rappelle Paperjam dans son décryptage « DSA, ce qui change pour les utilisateurs ». Ces deux obligations sont en vigueur depuis le 17 février 2024.

Concrètement, pour une agence media ou une entreprise qui achète de l'espace publicitaire sur les grandes plateformes, cela veut dire revoir les paramètres de ciblage de ses campagnes en cours : aucun segment ne doit s'appuyer sur des données sensibles, et aucune campagne ne doit viser des mineurs par des critères de profilage comportemental. Ce point rejoint les obligations déjà connues des entreprises qui font de la prospection, comme évoqué dans notre article sur la prospection par email et le RGPD en B2B au Luxembourg.

En cas de litige avec une plateforme, un seul interlocuteur national

Depuis le 17 février 2024, l'Autorité de la concurrence luxembourgeoise est le coordinateur pour les services numériques au Luxembourg, chargée de surveiller la conformité des fournisseurs de plateformes et de traiter les plaintes, selon ses propres communications. Un annonceur ou une agence qui rencontre un litige avec Meta, Google ou toute autre plateforme concernant la modération d'une publicité, la suspension d'un compte publicitaire ou un manquement présumé aux articles 26 ou 28 peut déposer une plainte via le formulaire disponible sur guichet.lu, adressé à l'Autorité de la concurrence.

Le paysage des compétences reste toutefois partagé. Le 11 mars 2025, l'Autorité de la concurrence a signé un accord de coopération avec sept autres autorités nationales, dont la CNPD, l'ALIA, l'ILNAS et la Police grand-ducale, pour clarifier la répartition des compétences DSA au Luxembourg, comme l'indiquent conjointement l'Autorité de la concurrence et la CNPD. Un même dossier peut donc concerner plusieurs autorités selon qu'il touche à la protection des données, au contenu audiovisuel ou à la sécurité technique.

Les rapports de transparence, un nouvel outil d'audit média

L'article 26 oblige les plateformes à publier les paramètres principaux utilisés pour le ciblage d'une publicité donnée, et les très grandes plateformes doivent produire des rapports de transparence sur leurs pratiques publicitaires. Pour un acheteur media luxembourgeois, ces rapports deviennent une source d'audit à intégrer dans le suivi de campagne : ils permettent de vérifier, après coup, que les paramètres réellement appliqués par la plateforme correspondent à ce qui avait été demandé, et de documenter la conformité en cas de contrôle. Une agence qui ne consulte jamais ces rapports se prive d'un moyen simple de vérifier ce que la plateforme fait réellement de ses campagnes.

Le DSA s'ajoute au RGPD, il ne le remplace pas

Le DSA ne dispense en rien des obligations RGPD déjà suivies par la CNPD au Luxembourg : il les complète sur le terrain spécifique des plateformes en ligne et de la publicité ciblée. Une entreprise en conformité RGPD n'est pas automatiquement en conformité DSA, et inversement. Sur les questions de gouvernance des données personnelles en interne, notre article sur la désignation d'un DPO reste un point de départ utile. Pour toute situation litigieuse, mieux vaut solliciter un conseil juridique : cet article informe sur le cadre applicable, il ne constitue pas un avis juridique. En cas de doute sur la structure à contacter selon l'étape de votre entreprise, notre guide sur la House of Entrepreneurship peut aussi orienter les démarches.