En novembre 2021, le règlement sur la gouvernance des données, aussi appelé Governance Data Act, était approuvé par le Parlement et le Conseil Européen. Ce dernier créait les processus et les structures destinés à faciliter le partage de données par les entreprises, les particuliers et le secteur public. La Commission européenne continue à mettre en œuvre sa stratégie européenne pour les données, dévoilée dès février 2020, en publiant une nouvelle proposition de règlement sur les données, le Data Act. Il précisera qui peut créer de la valeur à partir des données et dans quelles conditions. Ce Data Act répond notamment à un flou juridique concernant les objets connectés : à qui appartiennent les données qu’ils génèrent ? A son utilisateur ou à son fabriquant ? 

En réponse à ces questions, cette nouvelle proposition pose en postulat un partage des données plus équitable. Ainsi les data holders ne seront plus les seuls à pouvoir se servir des données que leurs machines produisent. L’utilisateur de la machine ou de l’objet connecté se verra accéder également gratuitement aux données générées et pourra choisir de transférer ces données à une entreprise tierce. Par exemple, l’utilisateur d’une voiture connectée pourra partager les données créées par sa voiture à son assureur ou encore à un service après-vente. Par ailleurs, si elles sont agrégées auprès de plusieurs utilisateurs, ces données pourraient contribuer au développement de services numériques traitant de la sécurité routière ou de zones à haut risque d’accident. Indirectement, cet accès rapide et équitable des données devrait entraîner une concurrence plus loyale entre les acteurs du secteur. 

En effet, les petites entreprises devraient à terme aussi bénéficiées du Data Act. Les PME pourront ainsi accéder aux données produites par les objets connectés d’un fabricant pour un prix n’excédant jamais le prix de transfert à la différence des grosses entreprises pour qui le prix sera établi par le marché. La Commission veut notamment rééquilibrer le pouvoir de négociation des PME. En effet ces dernières sont souvent victimes de déséquilibres contractuels excessifs dans le partage de données et se voient imposer des clauses abusives par la partie adverse disposant d’un pouvoir de négociation nettement supérieur. Le but est de les protéger par le futur règlement et par la rédaction de clauses contractuelles types afin de les aider à négocier. Le Data Act fixera également des standards pour les « smarts contracts », ces contrats « codés », qui peuvent s’auto-exécuter sans besoin d’intervention d’un tiers. 

Autre apport du texte : la suppression des obstacles d’accès aux données pourra être justifiée dans le secteur public dans certains cas, au nom d’un intérêt public élevé. A titre d’exemple les données pourraient être utilisées lors d’une crise sanitaire, d’une inondation ou lors d’incendies de forêts. Durant la Covid-19, les données de localisation agrégées et anonymisées des opérateurs de réseaux mobiles ont été en effet essentielles pour analyser la propagation du virus et pour alerter en cas de nouveaux foyers. Le Data Act permettra ainsi de pallier les déficiences des mécanismes actuels d’accès aux données par le secteur public lorsque ce dernier doit agir dans l’urgence, ce qui lui permettra de prendre des décisions rapides et plus éclairées. 

Le Data Act suggère également une interopérabilité et une transparence pour les fournisseurs de services de cloud. Ces cloud fournissent des capacités de stockages et de calcul sur lesquels repose l’économie des données. Ils constituent une condition préalable à l’utilisation innovante de données, les encadrer et améliorer leur utilisation est donc primordial. En clair, les entreprises pourront changer plus facilement de fournisseur cloud. Ces fournisseurs assureront une conservation intégrale des données et des applications développées par leurs clients. Il n’y aura plus de frais à engager pour transférer des données d’un cloud à l’autre grâce à ce nouveau cadre de normalisation. La Commission prévoit également des garanties contre les transferts illicites de données. Enfin, les services cloud devront prendre des mesures pour mieux protéger les données produites en Europe face aux règlementations extraterritoriales comme le Cloud Act américain et ces fournisseurs devront chiffrer les données en cas de transfert hors Europe. 

Cette libération de la valeur des données et cette facilité d’accès pourrait décourager les fabricants d’investir par peur de perdre le contrôle des données générées par leurs produits. Le Data Act rassure en rappelant que la capacité des entreprises à utiliser les données des objets qu’elles fabriquent reste inchangée. De plus, les tiers sélectionnés par les utilisateurs pour un partage de données devront indemniser le fabricant pour les coûts liés à l’accès aux données qu’il lui octroie, souvent liés aux interfaces de programmations d’applications. Enfin des garanties sont prévues pour prévenir des situations dans lesquelles les données seraient utilisées de manière à avoir une incidence négative sur les opportunités commerciales du fabricant. A titre d’exemple, le transfert de données ne pourra pas servir à développer un produit ou un service connexe qui concurrencerait le produit générateur de données original. 

Ce Data Act est la dernière étape de la stratégie européenne pour les données, après l’adoption du RGPD en 2018 et celle proche du Data Services Act et du Data Market Act. Il doit encore passer, comme toutes les propositions de règlement, par le Parlement et le Conseil européens pour être adopté définitivement. Si la souveraineté numérique européenne a encore du chemin à parcourir, la construction d’un arsenal normatif harmonisé touchant tous les acteurs concernés des 27 États membres ainsi que ceux à l’extérieur de l’UE qui proposent leurs services aux internautes européens est un passage incontournable et nécessaire pour une défense forte et cohérente des valeurs démocratiques européennes au cœur de la protection des données personnelles.

Par Axelle Richeux, étudiante de Master 2 de droit des affaires, avec la collaboration de Isabelle Bufflier et Frédéric Munier, professeurs SKEMA BS