Le Conseil de l'UE valide définitivement le Data act

Un mois après le Parlement européen, le Conseil de l'UE a adopté le nouveau règlement fixant des règles harmonisées pour l'équité de l'accès aux données et de l'utilisation des données (règlement sur les données ou « Data act »).

Le règlement sur les données impose aux fabricants et aux prestataires de services de permettre à leurs utilisateurs, qu'il s'agisse d'entreprises ou de particuliers, d'accéder aux données générées par l'utilisation de leurs produits ou services – allant des machines à café aux éoliennes – et de les réutiliser. Il permet également aux utilisateurs de partager ces données avec des tiers. Un propriétaire de voiture pourrait ainsi, par exemple, décider de partager certaines données de son véhicule avec un mécanicien ou avec sa compagnie d'assurance.

Le Data act fixe de nouvelles règles précisant qui peut accéder aux données générées au sein de l'UE dans tous les secteurs économiques et qui peut les utiliser. Il vise :

- à garantir l'équité dans la répartition de la valeur produite par les données entre les acteurs de l'environnement numérique

- à stimuler le développement d'un marché des données concurrentiel

- à ouvrir des perspectives pour l'innovation fondée sur les données; et

- à rendre les données plus accessibles à tous

Ce nouvel acte législatif vise également à faciliter le changement de fournisseur de services de traitement de données, met en place des garanties contre le transfert illicite de données et prévoit l'élaboration de normes d'interopérabilité pour la réutilisation des données entre les secteurs.

Le règlement sur les données permettra aux particuliers comme aux entreprises d'exercer un contrôle accru sur leurs données grâce à un droit à la portabilité des données renforcé, celles-ci pouvant être facilement copiées ou transférées entre différents services, lorsqu'elles sont générées par des objets, des machines ou des appareils intelligents. La nouvelle loi conférera davantage de pouvoir aux consommateurs et aux entreprises en leur donnant leur mot à dire sur ce qui peut être fait des données générées par leurs produits connectés.

Champ d'application. - Le nouveau règlement permettra aux utilisateurs d'appareils connectés, allant des appareils électroménagers intelligents aux machines industrielles intelligentes, d'accéder aux données que leur utilisation génère, lesquelles sont souvent collectées exclusivement par les fabricants et les prestataires de services.

En ce qui concerne les données relatives à l'internet des objets (IDO), la nouvelle loi met l'accent, en particulier, sur les fonctionnalités des données collectées par les produits connectés, et non plus sur les produits eux-mêmes. Elle introduit une distinction entre "données relative au produit" et "données relatives au service connexe", à partir desquelles des données facilement accessibles peuvent être partagées.

Secrets d'affaires et règlement des litiges. - Le règlement garantit également un niveau adéquat de protection des secrets d'affaires et des droits de propriété intellectuelle, assorti de garanties appropriées contre un éventuel comportement abusif. Tout en favorisant le partage des données, le nouveau règlement vise à soutenir l'industrie de l'UE et prévoit, dans le même temps, des garanties pour les circonstances exceptionnelles et des mécanismes de règlement des différends.

Partage des données et compensation. - Il contient des mesures visant à prévenir l'utilisation abusive de déséquilibres contractuels dans les contrats de partage de données en raison de clauses contractuelles abusives imposées par une partie se trouvant dans une position de négociation plus forte. Ces mesures apporteront aux entreprises de l'UE une protection contre les accords inéquitables et doteront les PME d'une plus grande marge de manœuvre. En outre, le texte du règlement prévoit que la Commission adopte des lignes directrices relatives à une compensation raisonnable des entreprises pour la mise à disposition des données.

Le règlement permet aux organismes du secteur public, à la Commission, à la Banque centrale européenne et aux organes de l'UE d'accéder aux données détenues par le secteur privé et de les utiliser lorsque cela est nécessaire dans des circonstances exceptionnelles, notamment en cas d'urgence publique, comme les inondations et les incendies de forêt, ou d'accomplir une mission d'intérêt public.

S'agissant des demandes d'accès à des données dans un contexte "entreprises à administrations publiques", le nouveau règlement prévoit que les données à caractère personnel ne sont partagées que dans des circonstances exceptionnelles, telles qu'une catastrophe naturelle, une pandémie ou une attaque terroriste, et si les données requises ne sont pas accessibles autrement. Les micro et petites entreprises fourniront également leurs données dans de tels cas et recevront une compensation.

Avantages pour les consommateurs. - La nouvelle loi permettra aux consommateurs de passer facilement d'un fournisseur de services en nuage à un autre. Des garanties contre les transferts illicites de données ont également été introduites, de même que des normes d'interopérabilité pour le partage et le traitement des données. Enfin, l'avantage de cette nouvelle loi devrait être de pouvoir rendre le service après-vente de certains appareils moins cher et plus efficace.

Modèle de gouvernance. - Le nouveau règlement préserve la marge de manœuvre dont disposent les États membres pour organiser les tâches de mise en œuvre et d'exécution au niveau national. L'autorité de coordination, dans les États membres où un tel rôle de coordination est nécessaire, agit en tant que point de contact unique, sous la désignation de "coordinateur des données".

Prochaine étape. - À la suite de l'adoption formelle par le Conseil, le nouveau règlement sera publié au Journal officiel de l'UE dans les semaines à venir, et entrera en vigueur le 20e jour suivant celui de sa publication. Il deviendra applicable 20 mois après sa date d'entrée en vigueur. Cependant, l'article 3, paragraphe 1 (exigences relatives à l'accessibilité des données pour les nouveaux produits) ne s'appliquera aux produits connectés et aux services connexes mis sur le marché que 32 mois après la date d'entrée en vigueur du règlement.