Le 30 mai 2022, un nouveau texte fondateur pour notre écosystème a été adopté au niveau de l’Union Européenne (UE) : le Règlement sur la gouvernance européenne des données[1], plus connu sous le nom de Data Governance Act. Après avoir suivi de près et contribué aux travaux préparatoires à ce dernier[2], nous vous en proposons aujourd’hui une synthèse.

Le Data Governance Act est l’un des piliers juridiques de la stratégie européenne pour les données[3] dont l’objectif est de faire émerger un véritable marché unique européen des données et, par conséquent, de développer l’économie européenne en la matière. Pour bien comprendre cette stratégie, il faut l’appréhender comme la suite logique à la libre-circulation des biens, des capitaux, des services et des personnes, mécanisme au fondement du rapprochement entre les États européens. Pour en revenir aux données, parvenir à cette liberté de circulation suppose un cadre de gouvernance harmonisé, garantissant des conditions d’accès et d’utilisation identiques dans chaque État membre de l’UE. C’est l’objectif du Data Governance Act, qui définit des règles de gouvernance autour de 4 thématiques principales :

• La réutilisation des données protégées détenues par les organismes publics
• La fourniture de services d’intermédiation de données
• La collecte et le traitement de données mises à disposition à des fins altruistes
• Les transferts internationaux de données à caractère non personnel

Un cadre pour l’établissement d’un Comité européen de l’innovation dans le domaine des données est par ailleurs posé. Ce dernier, chargé de conseiller la Commission européenne sur le sujet, aura notamment pour mission d’assurer la cohérence des pratiques entre les États membres, d’élaborer des lignes directrices concernant les espaces européens communs de données[4], d’identifier les normes trans-sectorielles et sectorielles à utiliser en matière de partage de données, d’élaborer un formulaire européen de consentement à l’altruisme en matière de données et d’améliorer le cadre réglementaire international relatif aux données à caractère non personnel.

1- La réutilisation des données protégées détenues par les organismes publics

L’idée à retenir est que les organismes publics[5], en plus des données qu’ils doivent obligatoirement mettre à disposition de manière ouverte[6], devront permettre la réutilisation d’autres données qu’ils détiennent, telles que des données commerciales confidentielles, des données couvertes par le secret statistique, des données protégées par des droits de propriété intellectuelle détenus par des tiers ou encore des données personnelles qui ne sont actuellement pas rendues accessibles pour les activités de recherche ou d’intérêt public. Parmi ces données, chaque État membre sera libre de décider lesquelles devront effectivement être réutilisables, et pour quelles finalités elles pourront être réutilisées.

Afin de préserver la confidentialité des informations contenues dans les données réutilisables, le règlement prévoit que les données commerciales sensibles devront être modifiées et que les données personnelles devront être anonymisées avant toute transmission. Une exception majeure est néanmoins prévue : lorsque la fourniture de données modifiées ou anonymisées ne permettrait pas de répondre aux besoins du réutilisateur, la réutilisation des données telles quelles devra être possible dans un environnement de traitement sécurisé contrôlé par l’organisme public. En contrepartie des données fournies pour réutilisation, les organismes publics pourront percevoir une redevance. Est toutefois précisé qu’ils devront proposer des tarifs réduits, voire la gratuité, pour les réutilisations à des fins non commerciales, à des fins de recherches scientifique, la réutilisation par des PME ou jeunes pousses, par la société civile et par les établissements d’enseignement.

Etant toutefois probable que certains organismes publics n’aient pas suffisamment de ressources ou de compétences en interne afin de mettre en place et opérer eux-mêmes ces nouveaux services (notamment structurer et stocker les données afin qu’elles soient facilement accessibles, mettre à disposition un environnement de traitement sécurisé et garantir le caractère privé, la confidentialité, l’intégrité et l’accessibilité des informations), le règlement prévoit qu’ils pourront se faire assister dans ces tâches par des organismes compétents[7].

2- La fourniture de services d’intermédiation de données

Le règlement cherche à encadrer les services visant à établir, par des moyens techniques, juridiques ou autres, des relations commerciales à des fins de partage de données. Sont mentionnés à titre d’exemple les places de marché de données et les maîtres d’œuvre d’écosystème de partage de données (tels que les espaces européens de données, ou encore les réserves de données visant à concéder des licences d’utilisation).

Au niveau procédural, les structures souhaitant fournir ce type de services devront tout d’abord déclarer cette intention auprès d’une autorité compétente, qui devra vérifier si certaines exigences sont respectées. Parmi ces exigences, voici les plus notables : la neutralité du prestataire à l’égard des données échangées (dans le cas où les services d’intermédiation seraient rendus par un prestataire fournissant d’autres services, les premiers devront être structurellement séparés afin d’éviter tout conflit d’intérêts) ; l’absence de tarif préférentiel pour les utilisateurs d’autres services fournis par le prestataire ; la facilitation des échanges de données dans le format fourni par les détenteurs de données ; une procédure d’accès au service équitable, transparente et non discriminatoire ; un niveau de sécurité approprié et, enfin, la tenue d’un journal de l’activité d’intermédiation de données. Il est à noter qu’il s’agit là des exigences concernant les prestataires de services d’intermédiation ouverts uniquement aux personnes morales. En ce qui concerne ceux ouverts aux personnes physiques, une exigence supplémentaire consiste dans le respect d’un devoir de loyauté : leur modèle commercial ne devra pas inclure une quelconque incitation poussant les personnes à mettre à disposition davantage de données les concernant qu’elles ne devraient le faire dans leur intérêt. Une fois les exigences vérifiées par l’autorité compétente, le prestataire pourra exercer l’activité de fourniture de services d’intermédiation de données et utiliser le label « prestataire de services d’intermédiation de données reconnu dans l’Union ». Les prestataires de services d’intermédiation de données seront par ailleurs autorisés à fournir aux détenteurs de données des outils et des services spécifiques supplémentaires visant à faciliter l’échange de données tels que le stockage temporaire, l’organisation, la conversion, l’anonymisation ou la pseudonymisation des données.

Selon la Commission européenne, ces services d’intermédiation seront le reflet d’une nouvelle gouvernance des données « à l’européenne » basée sur une séparation entre fourniture, intermédiation et utilisation des données.

3- La collecte et le traitement de données mises à disposition à des fins altruistes

Le règlement encourage l’émergence d’organismes facilitant la mise à disposition volontaire de données afin que celles-ci puissent être réutilisées à des fins d’intérêt général (telles que la lutte contre le changement climatique, l’amélioration de la mobilité, la production et la diffusion de statistiques, le soutien à la recherche scientifique ...). A noter que cette mise à disposition pourra être faite par des personnes physiques ou morales, et qu’elle devra se faire sans contrepartie qui aille au-delà des coûts découlant de la mise à disposition des données. A terme, l’UE ambitionne que les organismes altruistes en matière de données contribuent à l’émergence de réserves de données d’une taille suffisante pour permettre l’analyse des données et l’apprentissage automatique sur l’ensemble de son territoire.

Là où le prestataire de services d’intermédiation de données se contentera de mettre en relation et de créer des relations commerciales entre détenteurs et utilisateurs de données, l’organisme altruiste en matière de données sera véritablement chargé de la gestion des données que les personnes lui confient, et ne devra permettre leur réutilisation que pour les objectifs d’intérêt général explicitement autorisés par les donneurs lors de la mise à disposition (via le formulaire européen de consentement et d’autorisation à l’altruisme en matière de données). En outre, en amont de chaque réutilisation des données, l’organisme altruiste devra informer les donneurs concernés des objectifs d’intérêt général liés à la réutilisation, de ses finalités explicites et de sa localisation si elle a lieu dans un pays tiers. Un autre point de distinction avec les prestataires de services d’intermédiation est que, contrairement à ces derniers, les organismes altruistes en matière de données doivent poursuivre une finalité d’intérêt général et un but non lucratif.

Au niveau procédural, chaque organisme altruiste en matière de données devra demander à être enregistré dans le registre national dédié tenu par l’autorité compétente de l’État membre dans lequel il sera établi. Une fois l’organisme enregistré, il pourra utiliser le label « organisation altruiste en matière de données reconnue dans l’Union ». Concernant les critères permettant l’enregistrement, il s’agit d’exigences de transparence (registres détaillés concernant les réutilisation des données, rapport annuel d’activité décrivant la manière dont les données collectées ont contribué aux objectifs d’intérêt général poursuivis ...) etde garanties spécifiques relatives aux droits et intérêts des donneurs, mentionnées dans les paragraphes ci-dessus et qui seront détaillés dans un recueil de règles adopté ultérieurement par la Commission européenne.

4- Les transferts internationaux de données à caractère non personnel

Le règlement précise que tous les acteurs concernés par ses règles devront prendre les mesures techniques, juridiques et organisationnelles raisonnables afin d’empêcher l’accès et le transfert international de données à caractère non personnel détenues dans l’UE lorsque cet accès ou ce transfert risquerait d’être en conflit avec le droit de l’UE. Les décisions de juridictions de pays tiers ou les décisions d’autorités administratives de pays tiers exigeant un tel accès ou transfert devraient être exécutoires lorsqu’elles sont fondées sur un accord international. En l’absence d’accord international, il ne conviendra d’autoriser ces transferts que : si les motifs de proportionnalité de la décision sont exposés, si la décision a un caractère spécifique et si l’objection motivée du destinataire de la demande peut faire l’objet d’un réexamen dans le pays tiers par une juridiction tenant dûment compte des intérêts juridiques de ce destinataire.

Par ailleurs, des actes délégués de l’UE pourront assortir certains types de données non personnelles à caractère hautement sensible de conditions plus strictes en matière de transfert vers des pays tiers (exemple de données concernées : données détenues par des acteurs du système de santé publique, données relatives aux transports, données relatives à l’énergie, données relatives à l’environnement, ou encore données relatives à la finance).

En conclusion, ce règlement cherche à favoriser la réutilisation de tout type de données au sein de l’UE tout en définissant de nouveaux modèles de gouvernance et en encadrant certaines pratiques.  Son entrée en application le 24 septembre 2023 sera une donc grande étape dans l’avancement de la stratégie européenne en matière de données.

[1] Règlement 2022/868 du 30 mai 2022 portant sur la gouvernance européenne des données, publié au Journal Officiel de l’UE le 3 juin 2022

[2] Voir nos précédents articles sur le sujet : « Résumé et analyse du Data Governance Act » du 8 décembre 2020 et « Commentaires et analyses du Data Governance Act » du 27 janvier 2021

[3] Communication de la Commission européenne, COM(2020)66 « Une stratégie européenne pour les données », du 19 février 2020

[4] Voir à ce sujet le document de travail de la Commission européenne SWD(2022)45 « Document de travail du personnel de la Commission sur les espaces européens communs de données » du 23 février 2022

[5] Il s’agit des organismes émanant de l’État, des autorités régionales ou locales, des organismes de droit public et des association formées par une ou plusieurs de ces autorités

[6] En vertu de la Directive européenne 2019/1024 concernant les données ouvertes et la réutilisation des informations du secteur public, du 20 juin 2019

[7] Le DGA (art. 7) précise que chaque État membre devra désigner un ou plusieurs organismes compétents (qu’il s’agisse de nouveaux organismes, d’organismes du secteur public déjà existants ou encore de services internes à des organismes publics existants). Ceux-ci devront disposer de ressources juridiques, financières et techniques suffisantes pour mener à bien les tâches qui leur seront assignées, y compris les connaissances techniques nécessaires pour respecter le droit de l’UE ou le droit national applicable.

Anthéa Sérafin

09 Septembre 2022

Ekitia

Cette œuvre est mise à disposition selon les termes de la Licence Creative Commons Attribution – Pas d’Utilisation Commerciale 4.0 International