Law360 – Ce qu'il faut attendre du règlement européen sur la gouvernance des données
Par Alain Strowel, Ophélie Snoy et Solène Festor (21 novembre 2022)
La stratégie européenne pour les données de 2020 de la Commission européenne vise à établir un marché européen des données, tant à caractère personnel que non personnel, en faisant des données un élément essentiel de l’innovation et du développement de l’intelligence artificielle.
Le règlement sur la gouvernance des données (DGA), adopté par le Parlement européen et le Conseil le 30 mai et publié en tant que règlement 2022/868 le 3 juin, entre en vigueur le 24 septembre 2023, à l’exception des exigences relatives aux services d’intermédiation de données, qui s’appliquent deux ans plus tard.
Trois objectifs principaux
Le DGA porte sur trois domaines clés :
- améliorer les conditions de réutilisation des données du secteur public non qualifiées de données ouvertes au sens de la directive Open Data 2019/1024 ;
- établir des cadres pour les services d’intermédiation de données, une nouvelle catégorie d’intermédiaires numériques, y compris des systèmes de notification et de supervision ;
- fixer des règles d’enregistrement pour les entités sans but lucratif qui collectent des données à des fins altruistes.
Articulation avec la législation existante
Le DGA complète les cadres existants, sans les remplacer, notamment le RGPD, les directives relatives à la vie privée dans les communications électroniques et les règles sur les données ouvertes. « En cas de conflit entre le DGA et le RGPD, le RGPD prévaut », selon l’article 1er.
Trois ensembles de règles applicables
Organismes du secteur public
Les entités du secteur public détenant des données de valeur doivent en accorder l’accès dans des « conditions non discriminatoires, transparentes, proportionnées et objectivement justifiées ». Elles peuvent recourir à des techniques d’anonymisation, de randomisation ou d’agrégation, ou solliciter le consentement afin de protéger les informations sensibles tout en permettant la réutilisation des données.
Les organismes publics peuvent vérifier le traitement effectué par le réutilisateur, exiger des accords de confidentialité et facturer des redevances proportionnées, avec des réductions pour la recherche ou les PME. Les États membres doivent mettre en place des interfaces de guichet unique répertoriant les ressources de données disponibles.
Services d’intermédiation de données
Ces opérateurs facilitent les relations commerciales entre détenteurs et utilisateurs de données au moyen de places de marché et de pools. Ils doivent :
- demeurer des personnes morales indépendantes, distinctes des autres services ;
- s’abstenir de réutiliser à d’autres fins les données partagées ;
- garantir des conditions d’accès équitables et non discriminatoires ;
- éviter de subordonner les services d’intermédiation à l’utilisation d’autres offres ;
- assurer l’interopérabilité avec les intermédiaires concurrents ;
- mettre en œuvre, pour les données non personnelles, des mesures de sécurité comparables aux normes du RGPD applicables aux données à caractère personnel.
Les prestataires sont soumis à des procédures nationales de notification et peuvent obtenir le label de certification « prestataire de services d’intermédiation de données reconnu dans l’Union ».
Organisations altruistes en matière de données
Les entités sans but lucratif peuvent collecter volontairement des données à caractère personnel et non personnel à des fins d’intérêt général, telles que les soins de santé, l’action climatique ou l’amélioration de la mobilité. Elles doivent agir sans but lucratif, rester indépendantes des entités à but lucratif, séparer fonctionnellement leurs activités altruistes et se conformer aux futurs recueils de règles de la Commission.
Transferts de données non personnelles
Des garanties protègent les droits relatifs aux transferts internationaux de données à caractère personnel et non personnel. Des clauses contractuelles types pourraient certifier un niveau de protection adéquat dans les pays tiers, à l’instar des cadres applicables aux données à caractère personnel.
Gouvernance et prochaines étapes
Les États membres désignent des autorités compétentes chargées de contrôler le respect des règles, assorti d’éventuelles « amendes effectives, proportionnées et dissuasives ». Le Comité européen de l’innovation dans le domaine des données assiste la Commission dans l’élaboration des politiques et la promotion des normes d’interopérabilité.
Le DGA pose les fondements de la gouvernance des données, tandis que les défis de mise en œuvre demeurent incertains, en particulier s’agissant des charges de conformité et de la clarification de la définition des services d’intermédiation.