Entrée en vigueur de l’European Data Act

Le 11 janvier 2024, la Commission européenne a annoncé l’entrée en vigueur de l’European Data Act

L’European Data Act définit les droits d’accès et d’utilisation des données générées sur le marché de l’Union, afin d’en garantir leur partage, conservation et traitement. Et ce dans le plein respect des règles européennes (données industrielles en particulier).

Il a notamment été rendu inéluctable par le développement de l’Internet des objets (IDO) qui a soutenu une croissance très rapide de la quantité de données produites et accessibles. Il parfait le règlement sur la gouvernance des données, entré en vigueur en septembre 2023, qui crée les processus et les structures destinés à faciliter le partage de données par les entreprises, les particuliers et le secteur public. Le Data Act établit qui peut créer de la valeur à partir des données et dans quelles conditions, afin de renforcer la fiabilité et la sécurité de leur traitement.

Il vise aussi à stimuler le développement d’un marché des données concurrentiel, et joue ainsi un rôle clé dans la transformation numérique, en phase avec les objectifs de la décennie numérique à l’horizon 2030.

Ces nouvelles règles comprennent l’accès des utilisateurs aux données générées par leurs produits connectés, la possibilité pour les organismes du secteur public d’utiliser des données détenues par le secteur privé pour répondre à des urgences publiques, et la protection contre les clauses contractuelles abusives dans les contrats de partage de données.

3 principales mesures sont à prendre en compte

• L’obligation pour les fabricants d’objets connectés de rendre accessibles à l’utilisateur les données relatives aux produits connectés et aux services connexes (article 3) :
  Les produits et les services doivent être sont conçus afin que les données soient, par défaut, facilement accessibles à l’utilisateur ;
  Les données sont mises à disposition de manière sécurisée, sans frais, dans un format complet, structuré, couramment utilisé et lisible par machine et, lorsque pertinent et possible techniquement, directement accessibles à l’utilisateur.
   
• L’obligation pour les détenteurs de données de mettre à disposition de l’utilisateur les données relatives aux produits connectés et aux services connexes (article 4) :
  Ces données sont mises à disposition gratuitement, dans les meilleurs délais, facilement, de manière sécurisée, dans un format complet, structuré, couramment utilisé et lisible par machine, et lorsque pertinent et réalisable, en continu et en temps réel ;
  Des dispositions visent à préserver les secrets d’affaires.
   
• L’obligation pour les détenteurs de données de mettre à disposition d’un tiers, sur demande de l’utilisateur, les données auxquelles ils ont accédé (articles 5 et 6) :
  Les données sont transférées « sans frais pour l’utilisateur », de manière aisée, sécurisée, dans un format complet, structuré, couramment utilisé et lisible par machine et, et lorsque pertinent et réalisable, en continu et en temps réel ;
  Des dispositions visent à préserver les secrets d’affaires ;
  Le destinataire de données ne peut utiliser les données qu’il reçoit pour mettre au point un produit concurrençant le détenteur ;
  Les « gatekeepers » ne sont pas éligibles en tant que destinataires de données au titre du Data Act.  

Autres mesures notables :

• L’encadrement des clauses abusives relatives à l’accès aux données et l’utilisation des données interentreprises (article 13).
• L’obligation de mettre les données à disposition des organismes du secteur public en raison d’un besoin exceptionnel (chapitre 5, article 14 & suivants) :
  • Le règlement précise que la demande doit être dûment motivée, limitée dans le temps et dans sa portée ;
  • Cette obligation est limitée aux situations d’urgence publique ou, pour les données non personnelles, une mission spécifique d’intérêt public ou l’épuisement d’autres voies de recours. Des mesures viennent encadrer l’utilisation de ces données par les organismes publics.  
• L’encadrement du changement de services de traitement de données (« cloud switching »), y compris la suppressions des obstacles, les clauses contractuelles types, et la suppression progressive des frais de changement de fournisseur (chapitre 6, article 23 et suivants).
• Des garanties en matière d’accès et de transfert de données dans un contexte international (chapitre 7, article 27 et suivants).
• Des mesures relatives à l’interopérabilité, y compris des exigences essentielles en matière d’interopérabilité des espaces de données (chapitre 8, article 32 et suivants) :
  • Ces exigences seront précisées par la Commission au moyen d’actes délégués.

A noter : l’European Data Act ne sera toutefois mis en application que le 11 septembre 2025.