La Commission européenne a dévoilé le 25 novembre dernier une proposition de règlement sur la gouvernance des données visant à encadrer la réutilisation des données protégées des organisations publiques et le partage de données par des organisations privées.

Depuis le 19 février 2020, la Commission européenne avait annoncé sa volonté de mettre en place une stratégie européenne pour les données : Governance Data Act.

Ces nouvelles règles en matière de gouvernance des données ont pour objectif de faciliter le partage des données pour un usage non commercial dans l'ensemble de l'Union européenne.

La Commission européenne via sa proposition de règlement sur la gouvernance des données entend apporter quelques précisions sur la qualification de « donnée ». Selon elle, une donnée consiste en « toute représentation numérique d’actes, de faits ou d’informations et toute compilation de ces actes, faits ou informations, notamment sous la forme d’enregistrements sonores, visuels ou audiovisuels ». Ainsi, une donnée peut consister en une donnée à caractère personnel ou non, une donnée soumise au secret des affaires ou bien une donnée soumise au droit de la propriété intellectuelle.

Le règlement insiste sur trois aspects relatifs aux données :

• la réutilisation de certaines catégories de données détenues par des organismes du secteur public (l’Etat, les autorités régionales ou locales, les organismes de droit public ou les associations formées par un ou plusieurs de ces autorités ou organismes de droit public) ;
   
• la notification et surveillance pour la fourniture de services de partage de données ;
   
• l’enregistrement volontaire des entités qui collectent et traitent les données mises à disposition à des fins altruistes.

En pratique ?

La proposition de règlement prévoit les conditions de réutilisation de certaines catégories de données détenues par des personnes physiques ou morales « à des fins commerciales ou non commerciales autres que l’objectif initial de la mission de service public pour lequel les données ont été produites ». Ainsi, le dispositif ne crée pas une obligation d’autoriser la réutilisation des données, mais une interdiction de conclure des accords ayant pour effet d’octroyer des droits exclusifs sur ces données ou d’en restreindre leur disponibilité.

Ce sont les organismes du secteur public de fixer les conditions de réutilisation en veillant à ce que celles-ci ne soient pas discriminatoires mais proportionnées et objectivement justifiées. Des conditions supplémentaires peuvent être imposées telles que l’anonymisation, la pseudonymisation de données à caractère personnel, la suppression des informations commerciales confidentielles et imposer des exigences relatives aux conditions d’hébergement.

Ces mêmes organismes doivent imposer des conditions relatives à l’intégrité des systèmes de traitement avec un droit de regard.

Les nouvelles mesures relatives à la notification et la surveillance pour la fourniture de services de partage de données ne s’appliquent qu’aux acteurs privés qui souhaitent devenir intermédiaires entre les détenteurs de données ou personnes concernées et les utilisateurs de données ou, ceux qui souhaitent se constituer en des services de coopérative de données afin de donner plus de moyens aux TPE-PME d’accéder aux données sont concernés.

Pour ce faire, il faut notifier l’intention de fournir ces services auprès de l’autorité compétente de l’Etat membre de l’établissement principal ou de celui du représentant légal au sein de l’Union en cas d’établissement hors de l’Union européenne. La notification permet d’exercer l’activité.

Afin de garantir la neutralité, l’intermédiaire de partage de données ne peut pas utiliser les données pour son propre compte et doit se conformer à des exigences strictes.

Parallèlement, les autorités publiques devront veiller au respect des exigences et la Commission devra tenir un registre des intermédiaires de données.

À noter que les activités de ces prestataires seront encadrées par des autorités désignées par les États membres dans les conditions fixées par la proposition de règlement.

Enfin, l’organisation doit s’enregistrer auprès d’un registre tenu par les autorités compétentes désignées.

Afin d’exercer cette activité, l’organisation doit s’enregistrer auprès d’un registre tenu par les autorités compétentes désignées. Cette activité doit s’exercer en toute transparence. Aussi, l’entité juridique doit être constituée pour répondre à un besoin d’intérêt général, avoir un but non lucratif et promouvoir des activités liées à l’altruisme.

Bien évidemment, le « formulaire modulaire » peut être adapté aux besoins de chaque secteur et en fonction d'objectifs spécifiques.

D’autres propositions relatives aux espaces sectoriels de données devraient être présentées en 2021, complétées par un acte législatif sur les données.