Actualités législatives et réglementaires – Janvier 2026

France - Mise à jour de la FAQ de l’ACPR sur le Règlement et la Directive DORA

L’Autorité de Contrôle Prudentiel et de Résolution (« ACPR »), a publié le 15 janvier 2026 une mise à jour de sa FAQ relative au Règlement 2022/2554 du 14 décembre 2022 (« Règlement DORA »), et à la directive 2022/2556 du 14 décembre 2022 (« Directive DORA ») sur la résilience opérationnelle numérique du secteur financier.

Cette mise à jour modifie la partie Q-A3, et notamment le paragraphe relatif à l’exemption d’application des exigences du règlement DORA tant que le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n’a pas été adopté. Les succursales de pays tiers d’entreprises d’investissement ont été supprimées de ce paragraphe, et un nouveau paragraphe a été inséré. Celui-ci précise que l’application du Règlement DORA aux succursales de pays tiers d’établissement de crédit, ainsi qu’aux succursales de pays tiers d’entreprises d’investissement de classe 1 et 2 a été confirmé par la Commission européenne dans la Q&A DORA 102 – 3097 de l’Autorité Européenne des Assurances et des Pensions Professionnelles (« EIOPA »).

La nouvelle FAQ modifie également la partie Q-A4, relative aux types de services qui doivent être considérés comme des services liés à la technologie de l’information et de la communication (« TIC »), en opérant un renvoi à la Q&A DORA 2024-7290 de l’EIOPA.

Source : Mise à jour de la FAQ de l’ACPR sur le Règlement et la Directive DORA

France - Publication de l’ordonnance n° 2026-2 et du décret n° 2026-3 relatifs à la commercialisation à distance de services financiers auprès des consommateurs

Le 6 janvier 2026, l’ordonnance n° 2026-2 ainsi que le décret n° 2026-3 relatifs à la commercialisation à distance de services financiers auprès des consommateurs ont été publiés au Journal Officiel. Ils visent à transposer la directive 2023/2673 du 22 novembre 2023 concernant les contrats de services financiers conclus à distance.

Ils ont notamment pour objet de renforcer les obligations d’informations précontractuelles au bénéfice des consommateurs de services financiers et de prévoir diverses mesures additionnelles de protection.

Ces deux textes modifient et abrogent plusieurs dispositions du code des assurances relatives à la conclusion en ligne ou par téléphone de contrats d’assurance. Ils introduisent notamment une obligation en matière de renonciation visant à faciliter l’exercice de cette dernière. L’assureur devra désormais mettre à disposition du souscripteur ou de l’adhérent une fonctionnalité spécifique en ligne permettant d’exercer gratuitement son droit de renonciation lorsque le contrat est conclu au moyen d’une interface en ligne. Cette fonctionnalité doit être facile d’accès, directe et permanente, conformément au nouvel article L. 112-2-1 II 4° du Code des assurances et devra notamment être identifié de manière lisible par les mots « renoncer au contrat ici » ou une formule analogue.

Les modifications relatives à l’assurance prévues par l’ordonnance n° 2026-2 entreront en vigueur le 19 juin 2026.  Le décret n° 2026-3, entrera également en vigueur, en partie, le 19 juin 2026, à l’exception de son article 11 (modifiant l’article R. 112-7 du code des assurances), qui entrera en vigueur le 11 août 2026.

Source : Publication de l’ordonnance n° 2026-2 ainsi que du décret n° 2026-3 relatives à la commercialisation à distance de services financiers auprès des consommateurs

Union européenne - Publication d’un protocole d’accord entre les AES et les autorités de régulation du Royaume-Uni

Les Autorités Européennes de Surveillance (ESMA, EBA et EIOPA) (« AES ») ont signé le 14 janvier 2026 un protocole d’accord (Memorandum of Understanding) avec les autorités de régulation du Royaume-Uni, à savoir la Bank of England (« BoE »), la Prudential Regulation Authority (« PRA »), et la Financial Conduct Authority (« FCA »), afin de renforcer la coopération entre ces autorités et l’Union européenne dans le cadre de la supervision des prestataires tiers critiques de services liés aux technologies de l’information et de la communication (« TIC »), conformément au règlement 2022/2554 sur la résilience opérationnelle et numérique dans le secteur financier (« Règlement DORA »).

Ce protocole d’accord établit notamment des principes et des procédures de coopération, ainsi que des modalités de partage d’informations relatives aux activités de supervisions entre les autorités compétentes pour la supervisions des prestataires tiers critiques de services liés aux TIC au Royaume-Uni, conformément aux articles 36, 44, et 3 du Règlement DORA.

Cette coopération inclut notamment une coordination lorsque des prestataires tiers critiques de services liés aux TIC utilisent des locaux au Royaume-Uni pour fournir des services à des entités financières de l’Union européenne, ou des locaux dans l’Union européenne pour fournir des services à des entités financières situées au Royaume-Uni.

Source : Publication d’un protocole d’accord entre les AES et les autorités de régulation du Royaume-Uni

Union européenne - Publication de plusieurs Q&A de l’EIOPA concernant DORA

La Commission européenne a répondu le 17 décembre 2025, à trois questions relatives au règlement 2022/2554 sur la résilience opérationnelle et numérique dans le secteur financier (« Règlement DORA ») soumises à l’Autorité Européenne des Assurances et des Pensions Professionnelles (« EIOPA »).

• Dans la réponse à la question n° DORA001-2622 la Commission européenne précise qu’il n’existe aucune liste officielle de fonctions critiques ou importantes. Il appartient donc aux entités financières de procéder à une évaluation au cas par cas afin de déterminer si une fonction est critique ou importante, en tenant compte notamment de la nature et de la complexité de l’activité, ainsi que de critères tels que le caractère essentiel de la fonction, l’impact potentiel d’une interruption sur la stabilité financière ou l’économie réelle, et la possibilité de la remplacer par d’autres prestataires.
• Dans la réponse à la question n° DORA102-3097 la Commission européenne précise que le Règlement DORA s’applique aux succursales de pays tiers situées dans un État membre de l’Union européenne. Plus précisément :
  • Les succursales établies au sein de l’UEd’établissements de crédit de classe 1 et de classe 2 ayant leur siège dans un pays tiers, tels que définis dans la directive CRD IV ne doivent pas bénéficier d’un traitement plus favorable que celui accordé aux succursales d’établissement de crédit établis dans l’Union Européenne et doivent notamment avoir un dispositif de gouvernance solide conformément à l’article 74, paragraphe 1 de la directive CRD IV, incluant des réseaux et systèmes d’informations mis en place et gérés conformément au Règlement DORA.
  • Les succursales établies au sein de l’UEd’entreprises d’assurance et de réassurances ayant leur siège dans un pays tiers, telles que définies à l’article 13 de la directive Solvabilité II, doivent notamment respecter les exigences de gouvernance prévues au chapitre IV de cette directive, y compris celles relatives à la gouvernance des technologies de l’information et de communication (« TIC ») prévues à son article 41 paragraphe 4, lequel renvoie au Règlement DORA.
  • Les intermédiaires d’assurances ou de réassurance de pays tiers ainsi que les intermédiaires d’assurance à titre accessoires de pays tiers, doivent se conformer aux dispositions du droit national applicable en matière de distribution d’assurances dans l’Etat membre où ils entendent exercer leur activité. Le Règlement DORA ne leur est donc applicable que si ce droit national le prévoit expressément.
• Dans la réponse à la question n° DORA237-3350 la Commission Européenne précise que pour bénéficier de l’exclusion applicable à certains intermédiaires qualifiés de microentreprises, petites ou moyennes entreprises, ces entités doivent respecter les seuils applicables (notamment en termes de nombre de salariés, de chiffre d’affaires annuel et de total de bilan annuel). Toutefois, la Commission européenne précise que, lorsque ces entités ne consacrent à l’activité d’assurance qu’une part très limitée de leurs activités et de leurs ressources, le calcul des seuils doit être effectué en ne retenant que les activités et ressources effectivement dédiées à l’activité d’assurance.

Source : Publication de plusieurs Q&A (DORA001-2622, DORA102-3097 et DORA237-3350) par l’EIOPA concernant DORA

Authored by Ghina Farah and Maxime Kaya.

France - Proposition de loi visant à protéger les mineurs des risques liés à l’utilisation des réseaux sociaux

Le 14 janvier 2026, a été déposée une proposition de loi n° 2341-A0 visant à protéger les mineurs des risques liés à l’utilisation des réseaux sociaux. Le 26 janvier, un amendementa été adopté, lequel prévoit d’interdire l’accès à un service de réseau social en ligne aux mineurs de moins de quinze ans.

La catégorie des réseaux sociaux visés par cette interdiction est définie par référence aux définitions issues du droit de l’Union européenne, notamment des règlements Digital Services Act (DSA) et Digital Markets Act (DMA). Toutefois, le DSA ne consacre pas de notion juridique autonome de « réseaux sociaux », de sorte que le champ exact de l’interdiction demeure à préciser. Il pourrait notamment inclure certains jeux vidéo en ligne lorsque leurs fonctionnalités exposent les utilisateurs à des risques avérés en matière de contacts, de contenus ou d’interactions.

Authored by Iris Accary and Margaux Ternisien.

France – Nouvelles obligations applicables au droit de rétractation pour les contrats conclus à distance au moyen d’une interface en ligne

L’ordonnance n°2026-2 du 5 janvier 2026 relative à la commercialisation à distance de services financiers auprès des consommateurs (l'« Ordonnance ») transpose la directive (UE) 2023/2673 du 22 novembre 2023 et précise les modalités d’exercice du droit de rétractation pour les contrats conclus à distance au moyen d’une interface en ligne.

L’Ordonnance complète l’article L.221-21 du Code de la consommation par deux nouveaux alinéas. Ces dispositions imposent au professionnel de mettre à disposition du consommateur, sans frais, une fonctionnalité lui permettant d’exercer son droit de rétractation. L'Ordonnance modifie également l’article L.222-5 du Code de la consommation, applicable en matière de contrats conclus à distance, pour prévoir l'obligation pour le professionnel d'informer le consommateur de l’existence ou de l’absence du droit de rétractation, de ses modalités d’exercice ainsi que, lorsque le contrat est conclu au moyen d’une interface en ligne, de l’existence et de l’emplacement de la fonctionnalité de rétractation.

Les dispositions de l’Ordonnance sont complétées par le décret n°2026-3 du 5 janvier 2026 relatif à la commercialisation à distance de services financiers auprès des consommateurs (le « Décret »), qui en précise les modalités d’application. Le professionnel doit ainsi proposer une fonctionnalité de rétractation visible et aisément accessible pendant toute la durée du délai de rétractation, identifiable par la mention « renoncer au contrat ici » ou toute formule analogue dénuée d’ambiguïté.

Le Décret précise que la fonctionnalité de rétractation doit permettre au consommateur de soumettre une déclaration de rétractation en ligne, par laquelle il informe le professionnel de sa décision de se rétracter.

Cette déclaration doit être conçue de manière à permettre au consommateur de fournir ou de confirmer son identité, les éléments d’identification du contrat concerné ainsi que le moyen électronique choisi pour recevoir l’accusé de réception. Elle est soumise au moyen d’une fonctionnalité de confirmation identifiable par les mots « confirmer la rétractation » ou par toute formule analogue dénuée d’ambiguïté.

Enfin, le professionnel est tenu d’adresser au consommateur, dans un délai raisonnable, un accusé de réception sur support papier ou sur tout autre support durable, mentionnant le contenu de la déclaration de rétractation ainsi que la date et l’heure de son envoi.

Authored by Floriane Cadio de Kermainguy, Camille Raymond and Lise Guillard

Union Européenne - Modernisation du règlement extrajudiciaire des litiges de consommation face aux enjeux numériques

La Directive (UE) 2025/2647 du Parlement européen et du Conseil du 16 décembre 2025, publiée au JOUE du 30 décembre 2025, révise le cadre du règlement extrajudiciaire des litiges (« REL ») de consommation. Ce texte étend le champ d'application des procédures de REL aux obligations précontractuelles ainsi qu'aux litiges impliquant des professionnels de pays tiers ciblant le marché de l'Union. Il acte par ailleurs l'abandon de la plateforme européenne de règlement en ligne des litiges (« RLL »). Les États membres ont jusqu'au 20 mars 2028 pour transposer ces dispositions, qui imposent notamment aux professionnels de répondre aux entités de REL dans un délai de vingt jours ouvrables.

Source : Directive (UE) 2025/2647 du Parlement européen et du Conseil du 16 décembre 2025

Authored by Nicolas Rohfritsch and Guillaume Vermersch

France - Outils d’action économique : mise à jour du guide du Conseil d’Etat

Le Conseil d’Etat a, le 23 janvier 2026, publié une nouvelle version de son guide des outils d’action économique avec, comme chaque année, le concours de la direction des affaires juridiques du Ministère de l’Economie et des Finances.

Cette nouvelle édition 2025-2026 est constituée de 24 fiches structurées autour des 8 mêmes « familles » que celles de la précédente édition, à savoir notamment la domanialité, les activités économiques (exercice d’une activité économique par les personnes publiques, gestion en régie directe, marchés publics et contrats de concession) et les entreprises et participations publiques.

Ce guide vise à mieux faire connaître aux acteurs publics les différents instruments juridiques permettant d’agir dans le champ économique. Ainsi, il intègre les évolutions textuelles et jurisprudentielles, afin de permettre aux décideurs publics d’inscrire leur action dans un cadre adapté au droit positif en vigueur.

Authored by Bruno Cantier, Astrid Layrisse and John Eric Dicka.

France – Instauration d’une nouvelle taxe en cas de maintien injustifié de l’exclusivité sur une spécialité pharmaceutique

L’article 29 de la loi de financement de la sécurité sociale du 30 décembre 2025 (loi n° 2025-1403), entrée en vigueur le 31 décembre 2025, instaure à l’article L. 138-10-1 du code de la sécurité sociale une nouvelle taxe à la charge des entreprises exploitant une spécialité pharmaceutique.

Cette taxe est applicable lorsque le maintien de l’exclusivité commerciale de cette spécialité retarde de manière injustifiée l’entrée effective sur le marché d’un médicament générique, au-delà d’un an après l’expiration du brevet initial ou du certificat complémentaire de protection.

Le taux de la taxe est fixé à 3 % du chiffre d’affaires hors taxes réalisé en France au titre des ventes de la spécialité concernée au cours de l’exercice pendant lequel le retard est constaté.

Union Européenne - Proposition européenne visant à renforcer la protection des œuvres utilisées par l'IA générative

Les députés de la commission des affaires juridiques du Parlement européen ont adopté, le 28 janvier, plusieurs propositions relatives à l’interaction entre l’intelligence artificielle (IA) générative et le droit d’auteur.

Ces propositions portent, en premier lieu, sur les obligations de transparence pesant sur les fournisseurs et les développeurs d’IA lors de l’utilisation de contenus protégés. Elles visent également à renforcer le consentement des titulaires de droits, notamment par l’octroi de licences et la possibilité pour ces derniers de refuser l’utilisation de leurs œuvres par des systèmes d’IA. Enfin, la mise en place d’une rémunération équitable des créateurs et des titulaires de droits est envisagée lorsque leurs œuvres protégées sont utilisées dans la production, la diffusion et la distribution de contenus ou de produits issus de l’IA.

Ce rapport d’initiative sera soumis au vote du Parlement européen lors de la session plénière de mars.

Authored by Iris Accary and Margaux Ternisien.

France - Cannabis médical en France : continuité d’accès, mais flou sur le cadre post‑expérimentation

Approuvée en 2019 et lancée en mars 2021, l’expérimentation française sur l’usage médical du cannabis, initialement prévue pour deux ans, a été prolongée à plusieurs reprises. La dernière période d’expérimentation a officiellement pris fin le 31 décembre 2024, sans qu’aucun régime juridique pérenne n’ait été adopté. Cette situation a immédiatement suscité des inquiétudes parmi les professionnels de santé et les membres du comité scientifique temporaire, qui ont alerté les pouvoirs publics sur le risque d’interruption de traitement pour les patients déjà inclus. Le ministre de la Santé a donc confirmé la poursuite de l’accès pour les patients déjà pris en charge, d’abord garantie jusqu’au 30 juin 2025, puis prolongée jusqu’au 31 mars 2026, l’expérimentation devrait donc se poursuivre au-delà de cette date. En parallèle, le Gouvernement a notifié à la Commission européenne, en mars 2025, trois projets de textes : un décret fixant le cadre d’autorisation des médicaments à base de cannabis), et deux arrêtés ministériels portant sur les spécifications pharmaceutiques et les indications autorisées, et sur la culture et la traçabilité à des fins médicales. Toutefois, en janvier 2026, aucun de ces textes n’a été adopté. Le ministère a également saisi la HAS le 17 mars 2025 afin d’évaluer l’intérêt thérapeutique. Si la HAS a publié sa méthodologie d’évaluation, son avis final demeure attendu avant mars 2026, afin de fixer un cadre plus stable et ouverts aux patients qui ne sont pas dans l’expérimentation actuelle.

Authored by Joséphine Pour and Gauthier Zimmer.