Résumé de la décision de la Commission du 16 juillet 2026 relative à une décision adoptée en vertu de l’article 8, paragraphe 2, du règlement (UE) 2022/1925. [Case DMA.100209 – SP – ALPHABET – Article 6(11)]

Le 16 juillet 2026, la Commission a adopté une décision en vertu de l’article 8, paragraphe 2, du règlement (UE) 2022/1925 du Parlement européen et du Conseil (1) . Conformément aux dispositions de l’article 44 du règlement (UE) 2022/1925, la Commission publie ci-après les noms des parties intéressées et l’essentiel de la décision, en tenant compte de l’intérêt légitime des entreprises à ce que leurs secrets d’affaires ne soient pas divulgués.

1. Introduction

Le 5 septembre 2023, la Commission a adopté une décision désignant Alphabet Inc. (ci-après «Alphabet») comme contrôleur d’accès au titre du règlement sur les marchés numériques (ci-après le «DMA») pour un certain nombre de ses services. L’un de ces services est le moteur de recherche en ligne d’Alphabet, Google Search, qui figure sur la liste des services de plateforme essentiels. En conséquence, Alphabet doit se conformer aux obligations énoncées dans le DMA, notamment son article 6, paragraphe 11, qui lui impose l’obligation de partager des données anonymisées concernant les classements, requêtes, clics et vues en lien avec les recherches gratuites et payantes générées par les utilisateurs finaux sur ses moteurs de recherche en ligne (ci-après les «données de recherche») avec toute entreprise tierce fournissant des moteurs de recherche en ligne à des conditions équitables, raisonnables et non discriminatoires.

La présente décision d’exécution (ci-après la «décision») conclut, dans le délai fixé par le DMA, la procédure précisant les mesures à mettre en œuvre ouverte le 27 janvier 2026 conformément à l’article 8, paragraphe 2, du DMA et précise les mesures qu’Alphabet doit mettre en œuvre en ce qui concerne Google Search afin de se conformer effectivement aux obligations qui lui incombent en vertu de l’article 6, paragraphe 11, du DMA.

La présente décision fait suite à un processus structuré de six mois, qui comprend des discussions approfondies avec Alphabet et une consultation publique visant à recueillir les contributions des parties prenantes concernées.

Sur la base de ses échanges avec Alphabet et des tiers, la Commission avait recensé un certain nombre de domaines de l’offre de partage de données d’Alphabet qui devaient être améliorés afin que cette dernière se conforme effectivement aux dispositions de l’article 6, paragraphe 11, du DMA: un des problèmes principaux soulevés par les tiers concerne la méthode d’anonymisation extrême d’Alphabet, qui supprime la grande majorité des requêtes uniques de l’ensemble de données. En outre, des tiers ont indiqué que plusieurs types de données clés faisaient défaut (par exemple, les URL affichées dans les blocs de recherche avancée, les données de localisation détaillées et les données relatives à l’interaction des utilisateurs), que l’ensemble de données était partagé avec un décalage important et uniquement pour une courte durée, que les conditions tarifaires n’étaient pas équitables, raisonnables et non discriminatoires et qu’Alphabet avait également rejeté les opérateurs de dialogueurs fondés sur l’IA dotés de fonctionnalités de recherche en tant que bénéficiaires des données.

À la suite de ce processus, la présente décision impose à Alphabet des mesures à mettre en œuvre en vertu de l’article 6, paragraphe 11, du DMA pour améliorer le partage de données de Google Search afin que les fournisseurs indépendants de moteurs de recherche en ligne puissent accéder aux données et optimiser leurs propres services de recherche.

2. Procédure

Depuis octobre 2023, la Commission mène un dialogue réglementaire approfondi avec Alphabet au sujet du respect par cette dernière de l’article 6, paragraphe 11, du DMA, notamment au moyen de nombreuses réunions et demandes de renseignements, pour discuter de son approche des différents aspects de l’article.

Le 27 janvier 2026, la Commission a ouvert la procédure prévue à l’article 20, paragraphe 1, du DMA afin de préciser les mesures qu’Alphabet doit mettre en place pour se conformer effectivement à son obligation de partage de données en ce qui concerne Google Search. Depuis l’ouverture de la procédure, la Commission mène un dialogue approfondi tant avec Alphabet qu’avec des tiers, notamment au moyen de multiples réunions et demandes de renseignements.

Le 16 avril 2026, conformément à l’article 8, paragraphe 5, et à l’article 34, paragraphe 1, du DMA, la Commission a fait part de ses constatations préliminaires à Alphabet, en lui donnant la possibilité de formuler des observations sur ses constatations et les mesures proposées.

Parallèlement, la Commission a publié les mesures proposées ainsi qu’un résumé non confidentiel de l’affaire afin de permettre aux tiers intéressés de présenter leurs observations. La Commission a reçu plus de 140 contributions dans le cadre de la consultation publique, notamment de la part d’entreprises utilisatrices, d’utilisateurs finaux et d’autres tiers intéressés. Ces contributions ont été communiquées à Alphabet.

Le 18 mai 2026, Alphabet a répondu aux constatations préliminaires après avoir exercé ses droits procéduraux prévus à l’article 8, paragraphes 1, 2 et 3, du règlement d’exécution (UE) 2023/814 de la Commission (2).

Conformément à l’article 17 et à l’article 50, paragraphe 2, du DMA, le comité consultatif en matière de marchés numériques a été consulté et a rendu un avis positif le 15 juillet 2026.

3. Cadre juridique

En vertu de l’article 8, paragraphe 2, du DMA, la Commission peut, de sa propre initiative ou à la demande d’un contrôleur d’accès, adopter un acte d’exécution précisant les mesures que le contrôleur d’accès devrait mettre en œuvre afin de se conformer effectivement à certaines obligations.

En vertu de l’article 8, paragraphes 5 et 6, du DMA, avant d’adopter un tel acte d’exécution, la Commission est tenue de faire part de ses constatations préliminaires au contrôleur d’accès dans un délai de trois mois et de publier une synthèse non confidentielle de la situation et les mesures qu’elle envisage de prendre ou que le contrôleur d’accès concerné devrait prendre selon elle. L’acte d’exécution devrait être adopté dans un délai de six mois à compter de l’ouverture de la procédure au titre de l’article 20 du DMA.

En vertu de l’article 8, paragraphe 7, du DMA, en précisant les mesures que le contrôleur d’accès concerné est tenu de mettre en œuvre afin de se conformer effectivement à ses obligations, la Commission veille à ce qu’elles atteignent effectivement les objectifs dudit règlement et de l’obligation pertinente et à ce qu’elles soient proportionnées compte tenu de la situation spécifique du contrôleur d’accès et du service concerné.

En vertu de l’article 6, paragraphe 11, du DMA, un contrôleur d’accès doit procurer à toute entreprise tierce fournissant des moteurs de recherche en ligne, à sa demande et à des conditions équitables, raisonnables et non discriminatoires, un accès aux données concernant les classements, requêtes, clics et vues en lien avec les recherches gratuites et payantes générées par les utilisateurs finaux sur ses moteurs de recherche en ligne. Toutes ces données concernant les requêtes, clics et vues constituent des données à caractère personnel et doivent être anonymisées.

4. Appréciation de la Commission

Les mesures proposées par la présente décision portent sur les cinq aspects suivants:

1)

éligibilité - les mesures précisent quels tiers peuvent recevoir les données de recherche au titre de l’article 6, paragraphe 11, du DMA et comment Alphabet doit évaluer l’éligibilité des demandeurs. Les mesures définitives prévoient un examen de l’éligibilité afin de garantir que seuls les moteurs de recherche en ligne légitimes et fiables ont accès aux données. Cette évaluation sera réalisée par Alphabet, mais est soumise à des garanties visant à protéger les droits et les intérêts des fournisseurs de moteurs de recherche en ligne, y compris la surveillance exercée par la Commission. Elle complète le processus d’audit annuel. Les mesures définitives concernant l’éligibilité précisent les exigences suivantes: a) le bénéficiaire doit exploiter un moteur de recherche en ligne: les mesures précisent que les bénéficiaires doivent exploiter un moteur de recherche en ligne dans l’EEE pour pouvoir recevoir les données de recherche. Cela inclut les dialogueurs fondés sur l’IA qui fournissent des fonctionnalités d’un moteur de recherche en ligne; b) les fournisseurs de moteurs de recherche en ligne doivent démontrer à Alphabet qu’ils: i) ne font pas l’objet, directement ou indirectement, de mesures restrictives ou d’autres sanctions en vertu du droit de l’Union (telles que des sanctions économiques et commerciales au titre de la politique étrangère et de sécurité commune); ii) ne sont pas soumis, directement ou indirectement, de jure ou de facto, au contrôle d’un pays tiers qui présente un risque non technique grave et structurel en matière de cybersécurité et/ou de protection des données; et iii) exploitent un moteur de recherche en ligne en tant qu’acteur véritable et bien établi ou ont une activité commerciale crédible pour se développer (en démontrant qu’ils comptent au moins 50 000 utilisateurs mensuels et ont exploité un moteur de recherche en ligne pendant au moins deux ans dans l’UE ou reçu au moins 50 millions d’euros d’investissements); c) conformément au RGPD, Alphabet doit vérifier si les données seront traitées dans l’EEE ou dans un pays tiers offrant un niveau de protection adéquat (sur la base des décisions d’adéquation de la Commission). Si tel n’est pas le cas, Alphabet doit veiller, sur la base d’une analyse d’impact des transferts, à ce que l’accès aux données de recherche impliquant des transferts vers un pays tiers garantisse effectivement un niveau de protection des données à caractère personnel essentiellement équivalent à celui qui est garanti dans l’EEE. Si Alphabet conclut qu’elle ne peut pas garantir le niveau de protection requis conformément au chapitre V du RGPD, elle doit constater l’inéligibilité du moteur de recherche en ligne en question; d) les mesures doivent également contenir une référence explicite au droit d’Alphabet, prévu à l’article 10 du DMA, de présenter à la Commission une demande motivée d’exemption, pour des raisons de sécurité publique, de son obligation de fournir des données de recherche à des entreprises individuelles;

2)

portée des données - les mesures précisent quelles données Alphabet doit partager pour se conformer effectivement à l’article 6, paragraphe 11, du DMA. Sous réserve des exigences en matière d’anonymisation, Alphabet doit partager avec les moteurs de recherche en ligne tiers éligibles: a) les données concernant les requêtes: requêtes introduites par les utilisateurs finaux dans Google Search sur n’importe quel point d’accès, toute modification apportée par les utilisateurs finaux et Alphabet aux requêtes initiales, et toute autre métadonnée sur les utilisateurs et leurs requêtes, au même titre que les données collectées par Alphabet dans le but d’optimiser son service de moteur de recherche en ligne; b) les données concernant les vues: toutes les URL et la description des éléments visuels qui sont affichés sur les pages de résultats des moteurs de recherche, présentées aux utilisateurs finaux en réponse à leurs requêtes et visualisées par eux (c.-à-d. les impressions générées), quels que soient leur type, leur format, leur structure ou l’onglet dans lequel ils sont inclus, au même titre que les données collectées par Alphabet dans le but d’optimiser son service de moteur de recherche en ligne; c) les données concernant les classements: i) la position absolue, sur toute la page, de l’URL ou de l’élément visuel (dénommés ensemble les «éléments de la SERP») sur la page de résultats, tels qu’affichés sur l’appareil de l’utilisateur, ii) la position ordinale relative de l’élément de la SERP par rapport aux autres éléments de la SERP présentés dans la même zone sur la page de résultats et iii) toute autre information sur la position relative et absolue de l’URL, sa mise en évidence et sa visibilité sur la page de résultats, telle qu’affichée sur l’appareil de l’utilisateur, au même titre que les données collectées par Alphabet dans le but d’optimiser son service de moteur de recherche en ligne; d) les données concernant les clics: toutes les données relatives à l’interaction de l’utilisateur avec la page de résultats telle qu’affichée sur l’appareil de l’utilisateur, avec tout élément de la SERP, y compris le type, le calendrier, l’ordre et la durée (le cas échéant) des actions de l’utilisateur, ou leur absence, au même titre que les données collectées par Alphabet dans le but d’optimiser ses services de moteur de recherche en ligne. Les mesures précisent également les paramètres clés concernant la manière dont Alphabet doit partager les données. Alphabet doit: a) exclure le trafic non valide des données de recherche partagées en appliquant les mêmes méthodes et processus que ceux qu’elle utilise elle-même dans le cours normal de ses activités; b) partager les données au moyen d’une méthode et avec la latence qu’elle applique elle-même en interne dans toute la mesure techniquement possible dans un délai d’au moins sept jours, par lots quotidiens et avec un horodatage quotidien des données, et c) pour une durée choisie par le moteur de recherche en ligne tiers bénéficiaire, jusqu’à cinq ans à compter du moment où les données de recherche deviennent effectivement accessibles à ce bénéficiaire;

3)

anonymisation - les mesures précisent la manière dont Alphabet doit anonymiser les données de recherche, en tenant compte des lignes directrices communes de la Commission et du comité européen de la protection des données sur l’interaction entre le DMA et le règlement général sur la protection des données (ci-après le «RGPD») (ci-après les «lignes directrices communes») (3). Les mesures consistent en des mesures techniques complétées par des mesures contractuelles visant à réduire la probabilité de réidentification des utilisateurs finaux à un niveau négligeable: a) mesures techniques: elles jouent un rôle de premier plan en modifiant les données de recherche de manière à réduire le risque de réidentification des utilisateurs finaux à un niveau résiduel tout en préservant la qualité et l’utilité des données; b) mesures contractuelles: elles comprennent un vaste ensemble de mesures administratives, contractuelles et organisationnelles qui complètent les mesures techniques visant à réduire encore le risque résiduel de réidentification des utilisateurs finaux à un niveau négligeable. Les mesures techniques imposent à Alphabet de publier quotidiennement les données et, entre autres, i) de supprimer les identifiants directs et d’autres attributs d’identification des fichiers de recherche, ii) de supprimer les requêtes longues et les requêtes contenant des mots rares ou des combinaisons inhabituelles de mots, iii) de généraliser les métadonnées de localisation et d’interaction de l’utilisateur pour les rendre impossibles à distinguer par les utilisateurs, iv) de limiter les données de la session à des ensembles de trois requêtes au maximum lorsque chacune d’elles constitue un affinement de la requête précédente, et v) d’agréger les durées (par exemple, le temps écoulé entre le clic et le retour à la page de recherche, la durée de survol de la souris et la durée de visualisation) en intervalles de temps plutôt qu’en données temporelles précises. Les mesures contractuelles atténuent encore les risques résiduels découlant du traitement des données par les bénéficiaires éligibles. En substance, elles garantissent que les destinataires de données sont légitimes et ont des plans concrets et vérifiés d’utilisation des données pour optimiser leurs services de moteur de recherche en ligne, elles imposent aux bénéficiaires de traiter les données de recherche dans un environnement de traitement séparé sous leur contrôle effectif et elles interdisent aux bénéficiaires de tenter une réidentification (par exemple, en reliant les données de recherche à des ensembles de données auxiliaires), d’utiliser l’ensemble de données en dehors de l’objectif d’optimisation des services de moteur de recherche en ligne, de conserver les données au-delà de 13 mois et de partager ultérieurement l’ensemble de données avec des tiers. Les mesures contractuelles imposent également aux bénéficiaires de protéger l’intégrité et la confidentialité des données de recherche contre tout accès illicite par des destinataires accidentels (par exemple, en exigeant le cryptage des données au repos et en transit). Enfin, aux fins de la vérification de la mise en œuvre des mesures contractuelles, les bénéficiaires sont soumis à un mécanisme de vérification indépendant, consistant en un audit indépendant préalable à l’accès aux données de recherche et en des audits de contrôle annuels pour maintenir cet accès. La portée de la mission d’assurance et les objectifs d’assurance correspondants sont définis par la Commission;

4)

conditions tarifaires - les mesures relatives aux conditions tarifaires précisent la rémunération qu’Alphabet peut réclamer aux bénéficiaires au titre des exigences relatives aux conditions équitables, raisonnables et non discriminatoires visées à l’article 6, paragraphe 11, du DMA. Les mesures proposées précisent que, dans le contexte spécifique d’une obligation de partage de données applicable à un contrôleur d’accès, et en l’absence de critères de référence comparables fondés sur le marché, la tarification à des conditions équitables, raisonnables et non discriminatoires correspond à une tarification fondée sur les coûts marginaux, dans le cadre de laquelle les bénéficiaires admissibles ne paient que les coûts marginaux supportés par Alphabet pour le partage des données de recherche, majorés d’un rendement raisonnable du capital utilisé à cette fin. Des circonstances exceptionnelles peuvent justifier une marge supplémentaire;

5)

processus d’acquisition de données et essais sur les données préalables à l’acquisition - les mesures précisent comment Alphabet doit mettre les données à la disposition des bénéficiaires en vertu de l’article 6, paragraphe 11, du DMA. Les mesures proposées précisent: a) les échantillons d’essai qu’Alphabet doit mettre à disposition. Alphabet doit fournir trois types d’échantillons d’essai: un petit échantillon d’essai fourni gratuitement, un échantillon de données synthétiques et un échantillon de 5 % des données de recherche sous réserve du respect, par les bénéficiaires, de toutes les conditions d’accès aux données de recherche; b) le processus qu’Alphabet doit suivre pour examiner l’éligibilité des tiers demandeurs, demander des audits ponctuels des bénéficiaires (en dehors de la fenêtre d’audit annuelle normale) et refuser, suspendre et supprimer l’accès aux données de recherche afin de garantir le strict respect des mesures contractuelles; c) le délai dans lequel Alphabet doit mettre les données de recherche à disposition d’une manière conforme aux mesures précisées dans l’acte d’exécution de la Commission; d) le processus de finalisation des conditions tarifaires d’Alphabet et de communication de celles-ci aux moteurs de recherche en ligne tiers demandant à être éligibles et, en fin de compte, aux bénéficiaires éligibles.

5. Conclusion

La décision précise les mesures au titre de l’article 8, paragraphe 2, du DMA qu’Alphabet doit mettre en œuvre en ce qui concerne son moteur de recherche en ligne Google Search afin de se conformer effectivement à l’obligation qui lui incombe en vertu de l’article 6, paragraphe 11, du DMA de fournir à tout fournisseur tiers éligible de moteurs de recherche en ligne, à des conditions équitables, raisonnables et non discriminatoires, un accès aux données concernant les classements, requêtes, clics et vues en lien avec les recherches gratuites et payantes générées par les utilisateurs finaux sur Google Search.

---

(1) Règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (règlement sur les marchés numériques) (JO L 265 du 12.10.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/1925/oj).

(2) Règlement d’exécution (UE) 2023/814 de la Commission du 14 avril 2023 relatif aux modalités détaillées de certaines procédures mises en œuvre par la Commission en vertu du règlement (UE) 2022/1925 du Parlement européen et du Conseil, C/2023/2530 (JO L 102 du 17.4.2023, p. 6, ELI:. http://data.europa.eu/eli/reg_impl/2023/814/oj).

(3) Lignes directrices communes du comité européen de la protection des données et de la Commission sur l’interaction entre le DMA et le RGPD, version destinée à la consultation publique, disponible à l’adresse suivante: https://digital-markets-act.ec.europa.eu/document/download/8ba0913f-2778-4a6d-9c58-10f8c7ead009_en?filename=Joint_COM-EDPB_GLS_interplay_DMA_GDPR_for_public_consultation.pdf.