Optimex Data vous présente 2 nouveaux règlements européens sur la gouvernance des données et les données : le Data Governance Act et le Data Act.
Data Governance Act & Data Act
Quand la gouvernance des données – personnelles et non personnelles, doit trouver un équilibre entre le partage et la protection des données ! La CNIL et ses homologues se prononcent : il est nécessaire de veiller à la cohérence avec le RGPD. Le règlement sur la gouvernance des données – Data Governance Act, et Le règlement sur les données – Data Act, doivent garantir la préservation des droits des personnes : le RGPD prévaudra en cas de conflit d’intérêt !
Data Governance Act
Le règlement 2022/0868 sur la gouvernance européenne des données ou Data Governance Act – DGA, est un texte visant à consolider la souveraineté numérique de l’Union européenne, ainsi que le contrôle des données des personnes et organismes. Adopté en mai 2022 et applicable à partir de septembre 2023, il s’inscrit dans le processus d’encadrement et de gouvernance des données, débuté par l’Union Européenne il y a plusieurs années de cela, avec notamment le Règlement Général pour la Protection des Données Personnelles (RGPD) entré en vigueur depuis 2018.
De ce règlement émergent trois grandes thématiques, à savoir :
- La réutilisation de certaines données détenues par des organismes du secteur public,
- Les modalités de fourniture des services d’intermédiation de données,
- La collecte et le traitement de données à des fins altruistes.
La réutilisation de données protégées détenues par des organismes publics
Ce premier point part du constat qu’un grand nombre de données détenues par des organismes du secteur public, sont exclusivement conservées par ces derniers pour des raisons de secret des affaires, de propriété intellectuelle ou encore pour des motifs de protection des données personnelles.
Or, il relève de l’intérêt général que certains acteurs privés puissent également avoir accès à ces données pour avancer dans la recherche médicale ou la découverte de nouvelles technologies.
La Commission et le Parlement ont donc convenu ensemble d’une façon de permettre cet échange d’informations, en prévoyant un certain nombre de garde-fous :
- Sont exclues les données de radio et télévision publiques, les données d’entreprises publiques, les données d’établissement culturels et d’enseignement
- Il est en principe interdit de rédiger un accord de partage exclusif des données avec un seul organisme privé, à moins que cela ne soit nécessaire à l’intérêt général
- Les conditions d’accès aux données doivent être non-discriminatoires et transparentes
- Les données doivent être correctement sécurisées
Les services d’intermédiation de données
L’intermédiation de données est définie comme l’établissement de relations commerciales pour le partage des données entre des personnes concernées ou des détenteurs de données, avec des utilisateurs de données. L’activité est désormais fortement règlementée puisqu’elle doit faire l’objet d’une déclaration auprès de l’autorité compétente.
Il agit bien en tant qu’intermédiaire et ne peut pas définir l’utilisation des données, ni les modifier de quelconque manière. De plus la notion de mise en relation commerciale est cruciale. A défaut, le prestataire n’a pas la qualité d’intermédiaire. A titre d’exemple, un hébergeur cloud qui ne fait que fournir une plateforme de dépôt, sans par exemple proposer de mise en relation contractuelle entre le dépositaire et la personne bénéficiaire des données, n’est pas considéré comme intermédiaire.
Le règlement impose également aux prestataires plusieurs conditions pour exercer cette activité, notamment de sécurisation des données.
L’usage altruiste des données
Les Etats membres de l’Union européenne peuvent mettre en œuvre des mesures facilitant le partage altruiste de données.
Ce mécanisme d’intérêt général suppose la mise en relation de deux catégories d’acteurs :
- D’une part des personnes décidant de mettre volontairement leurs données à disposition, sans contrepartie, pour des objectifs d’intérêt général (Ecologie, santé, nouvelles technologies, recherche scientifique…)
- D’autre part, des organisations s’enregistrant comme « altruistes », recueillant les données mise à disposition, s’engageant à les traiter uniquement dans l’intérêt général
Encore une fois, le texte impose à l’organisation bénéficiant de ce système de prendre les mesures de sécurité adéquates. Le règlement lui impose également le respect du droit des personnes concernées, ayant confié leurs données en amont. Ces dernières conservent en effet leurs droits liés au RGPD, tels que le droit à la limitation du traitement, le droit d’accès ou encore le droit à la suppression des données.
DATA ACT – Une stratégie européenne des données en pleine expansion
En février 2022, le Parlement européen et le Conseil ont également soumis une proposition de règlement à l’appréciation des différents Etats : Le Règlement sur les Données ou Data Act.
Celui-ci aura pour objectif de :
- Faciliter le partage entre entreprises et avec le consommateur des données collectées via des objets connectés
- Permettre aux organismes publics d’utiliser des données détenues par des organismes privés en cas de besoin exceptionnel
- Faciliter le changement de fournisseurs de services tels que le cloud et plus généralement, simplifier l’interopérabilité des données entre différents organismes, secteurs et applications.
- Prévoir des garanties contre les accès illicites de gouvernements tiers à l’Union, en étendant cette protection aux données à caractère non personnel
La CNIL a rendu un avis sur ce projet, dont nous ne manquerons pas de suivre l’évolution.
