Loi sur les données
Le texte du Data Act. Les textes ont été convertis automatiquement – nous vous remercions de nous signaler toute erreur. L’attribution des considérants aux différents articles n’est pas officielle et n’est pas tranchée.
La version anglaise est ici à trouver.
(1) Ces dernières années, les technologies axées sur les données ont eu un effet transformateur sur tous les secteurs de l’économie. En particulier, la diffusion rapide de produits connectés à l’internet a augmenté le volume et la valeur potentielle des données pour les consommateurs, les entreprises et la société. Des données de haute qualité et interopérables provenant de différents secteurs renforcent la compétitivité et l’innovation et assurent une croissance économique durable. Les mêmes données peuvent être utilisées et réutilisées indéfiniment à des fins différentes, sans que la qualité ou la quantité n’en soit affectée.(2) Toutefois, les obstacles au partage des données empêchent une répartition optimale des données au profit de la société. Parmi ces obstacles figurent le manque d’incitations pour les détenteurs de données à conclure volontairement des accords de partage des données, les incertitudes concernant les droits et les obligations liés aux données, les coûts de sous-traitance et de mise en place des interfaces techniques, la fragmentation importante des informations dans les silos de données, la mauvaise gestion des métadonnées, l’absence de normes d’interopérabilité sémantique et technique, les goulets d’étranglement dans l’accès aux données, l’absence de procédures uniformes pour le partage des données et l’abus des déséquilibres contractuels en matière d’accès et d’utilisation des données.(3) Les secteurs comptant un grand nombre de micro, petites et moyennes entreprises au sens de l’article 2 de l’annexe de la recommandation 2003/361/CE de la Commission (5 ) (PME) souffrent souvent d’un manque de capacités et de compétences numériques pour la collecte, l’analyse et l’utilisation des données, et l’accès est souvent limité en raison de la détention des données par un seul acteur du système ou de l’absence d’interopérabilité des données ou des services de données en soi ou par-delà les frontières.(4) Afin de répondre aux besoins de l’économie numérique et d’éliminer les obstacles au bon fonctionnement du marché intérieur des données, il est nécessaire d’établir un cadre harmonisé précisant qui est autorisé à utiliser les données relatives aux produits ou les données relatives aux services connexes, dans quelles conditions et sur quelle base. Par conséquent, les États membres ne devraient pas adopter ou maintenir des exigences nationales supplémentaires dans les domaines relevant du champ d’application du présent règlement, sauf si celui-ci le prévoit expressément, car cela porterait atteinte à son application directe et uniforme. En outre, les mesures prises au niveau de l’Union ne devraient pas porter atteinte aux obligations et aux engagements découlant des accords commerciaux internationaux conclus par l’Union.(5) Le présent règlement garantit que les utilisateurs d’un produit ou d’un service connecté dans l’Union peuvent accéder en temps utile aux données générées par l’utilisation de ce produit ou service connecté, et que ces utilisateurs peuvent utiliser ces données, y compris les transmettre à des tiers de leur choix. Elle oblige les détenteurs de données à mettre les données à la disposition des utilisateurs et des tiers de leur choix dans certaines circonstances. Elle garantit également que les titulaires de données fournissent des données aux destinataires de données dans l’Union à des conditions équitables, raisonnables et non discriminatoires et de manière transparente. Les règles de droit privé sont essentielles dans le cadre global du transfert de données. C’est pourquoi le présent règlement adapte les règles du droit des contrats et empêche l’exploitation de déséquilibres contractuels qui entravent l’accès et l’utilisation équitables des données. Le présent règlement garantit également que les titulaires de données fournissent aux autorités publiques et à la Commission, à la Banque centrale européenne ou aux organes de l’Union les données qui sont nécessaires, en cas de nécessité exceptionnelle, à l’exécution d’une mission spécifique d’intérêt public. En outre, le présent règlement vise à faciliter le passage d’un service de traitement des données à un autre et à améliorer l’interopérabilité des données ainsi que des mécanismes et des services de transfert de données dans l’Union. Le présent règlement ne devrait pas être interprété comme conférant aux détenteurs de données un nouveau droit d’utilisation des données générées par l’utilisation d’un produit ou d’un service connecté.(6) La génération de données est le résultat de l’action d’au moins deux acteurs, notamment le concepteur ou le fabricant d’un produit en réseau, qui peut également être dans de nombreux cas un fournisseur de services connectés, et l’utilisateur du produit en réseau ou du service connecté. Des questions d’équité se posent dans l’économie numérique, étant donné que les données collectées par ces produits en réseau ou services connectés constituent un atout important pour les services du marché secondaire, les services auxiliaires et d’autres services. Afin de tirer parti des importants avantages économiques des données et d’encourager les entreprises de l’Union à partager les données sur la base d’accords volontaires et à développer la création de valeur à partir des données, une approche générale de l’attribution des droits d’accès et d’utilisation des données est préférable à l’octroi de droits d’accès et d’utilisation exclusifs. Le présent règlement prévoit des règles horizontales qui pourraient être suivies par le droit de l’Union ou le droit national, compte tenu des spécificités des secteurs concernés.(119) Étant donné que les objectifs du présent règlement, à savoir assurer un partage équitable de la valeur des données entre les acteurs de l’économie de l’information et promouvoir un accès équitable aux données et leur utilisation afin de contribuer à la création d’un véritable marché intérieur des données, ne peuvent pas être réalisés de manière suffisante par les États membres et peuvent donc, en raison des dimensions et des effets de l’action, ainsi que de l’utilisation transfrontalière des données, être mieux réalisés au niveau de l’Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité tel qu’énoncé audit article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre ces objectifs.
(7) Le droit fondamental à la protection des données à caractère personnel est notamment garanti par les règlements (UE) 2016/679 (6) et (UE) 2018/1725 (7) du Parlement européen et du Conseil. La directive 2002/58/ du Parlement européen et du Conseil (8) protège en outre la vie privée et la confidentialité des communications, notamment par le biais de conditions relatives au stockage des données à caractère personnel et non personnel sur les équipements terminaux et à l’accès à ces derniers. Ces actes législatifs de l’Union constituent la base d’un traitement durable et responsable des données, même lorsque les ensembles de données contiennent un mélange de données à caractère personnel et de données non personnelles. Le présent règlement complète la législation de l’Union en matière de protection des données à caractère personnel et de la vie privée, notamment les règlements (UE) 2016/679 et (UE) 2018/1725 et la directive 2002/58/, et ne l’affecte pas. Aucune disposition du présent règlement ne doit être appliquée ou interprétée comme affaiblissant ou limitant le droit à la protection des données à caractère personnel ou le droit à la vie privée et à la confidentialité des communications. Tout traitement de données à caractère personnel effectué en vertu du présent règlement devrait respecter la législation de l’Union en matière de protection des données, y compris l’exigence d’une base juridique valable pour le traitement, conformément à l’article 6 du règlement (UE) 2016/679 et, le cas échéant, les conditions prévues à l’article 9 dudit règlement et à l’article 5, paragraphe 3, de la directive 2002/58/. Le présent règlement ne constitue pas une base juridique pour la collecte ou la génération de données à caractère personnel par le titulaire des données. Le présent règlement oblige les titulaires de données à fournir des données à caractère personnel aux utilisateurs tiers de leur choix ou à la demande d’un utilisateur. Un tel accès doit être accordé dans le cas de données à caractère personnel traitées par le titulaire des données sur la base de l’un des fondements juridiques visés à l’article 6 du règlement (UE) 2016/679. Si l’utilisateur n’est pas la personne concernée, le présent règlement ne fournit pas de base juridique pour accorder l’accès aux données à caractère personnel ou les fournir à des tiers et ne doit pas être interprété comme conférant au titulaire des données un nouveau droit d’utilisation des données à caractère personnel générées par l’utilisation d’un produit ou d’un service connecté. Dans ces cas, il pourrait être dans l’intérêt de l’utilisateur de permettre le respect des exigences de l’article 6 du règlement (UE) 2016/679. Étant donné que le présent règlement ne devrait pas porter atteinte aux droits des personnes concernées en matière de protection des données, le propriétaire des données peut répondre aux demandes d’accès aux données dans ces cas, notamment en rendant anonymes les données à caractère personnel ou, lorsque les données aisément disponibles contiennent des données à caractère personnel de plusieurs personnes concernées, en ne communiquant que les données à caractère personnel de l’utilisateur.
(10) Le présent règlement s’applique sans préjudice de la législation de l’Union, de la législation nationale relative au transfert de données, à l’accès aux données et à leur utilisation à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de la loi, ou à des fins douanières ou fiscales, quelle que soit la base juridique de cette législation de l’Union adoptée en vertu du traité sur le fonctionnement de l’Union européenne (TFUE), ou de la législation relative à la coopération internationale dans ce domaine, notamment sur la base de la convention du Conseil de l’Europe sur la cybercriminalité (STE no …). 185), signée à Budapest le 23 novembre 2001. Cette législation comprend les règlements (UE) 2021/784 (12), (UE) 2022/2065 (13) et (UE) 2023/1543 (14) du Parlement européen et du Conseil et la directive (UE) 2023/1544 du Parlement européen et du Conseil (15). Le présent règlement ne s’applique pas à la collecte ou au partage de données ni à l’accès ou à l’utilisation de données conformément au règlement (UE) 2015/847 du Parlement européen et du Conseil (16) et à la directive (UE) 2015/849 du Parlement européen et du Conseil (17). Le présent règlement ne s’applique pas aux domaines non couverts par le droit de l’Union et n’affecte pas les responsabilités des États membres en matière de sécurité publique, de défense ou de sécurité nationale, d’administration douanière et fiscale ou de santé et de sécurité des citoyens, quelle que soit la nature de l’entité à laquelle les États membres ont confié l’exécution de tâches liées à ces responsabilités.
(13) Le présent règlement s’applique sans préjudice des actes législatifs de l’Union et des États membres relatifs aux droits de propriété intellectuelle, y compris les directives 2001/29/ (19), 2004/48/ (20) et (UE) 2019/790 (21) du Parlement européen et du Conseil.
(11) Sauf disposition expresse du présent règlement, celui-ci ne doit pas affecter la législation de l’Union qui fixe des exigences en matière de conception physique et de données pour les produits destinés à être mis sur le marché de l’Union.(28) En ce qui concerne les contrats entre un propriétaire de données et un consommateur en tant qu’utilisateur d’un produit ou d’un service connecté qui génère des données, le droit de l’Union en matière de protection des consommateurs, notamment les directives 93/13/CEE et 2005/29/, s’applique afin d’éviter qu’un consommateur ne soit soumis à des clauses contractuelles abusives. Aux fins du présent règlement, les clauses contractuelles abusives imposées unilatéralement à une entreprise ne devraient pas être contraignantes pour cette entreprise.(10) Le présent règlement ne fait pas obstacle à la conclusion de contrats volontaires et légitimes concernant le transfert de données, y compris de contrats conclus sur une base de réciprocité, qui respectent les exigences du présent règlement.(9) Sauf disposition contraire du présent règlement, celui-ci n’affecte pas le droit national des contrats, y compris les règles relatives à la formation, à la validité ou aux effets juridiques des contrats ou aux effets de la résiliation d’un contrat. Le présent règlement complète et n’affecte pas le droit de l’Union visant à promouvoir les intérêts des consommateurs et à leur assurer un niveau élevé de protection, ainsi qu’à protéger leur santé, leur sécurité et leurs intérêts économiques, en particulier la directive 93/13/CEE du Conseil (9) et les directives 2005÷29÷(10) et 2011/83/UE (11) du Parlement européen et du Conseil.(115) Le présent règlement ne devrait pas porter atteinte aux règles qui tiennent compte des besoins spécifiques de certains secteurs ou domaines d’intérêt public. Ces règles peuvent inclure des exigences supplémentaires concernant les aspects techniques de l’accès aux données, tels que les interfaces d’accès aux données, ou la manière dont l’accès aux données pourrait être fourni, par exemple directement par le produit ou par des services d’intermédiation de données. De même, ces règles peuvent concerner des limitations des droits des titulaires de données d’accéder aux données des utilisateurs ou de les utiliser, ou d’autres aspects allant au-delà de l’accès aux données et de leur utilisation, tels que les aspects de gouvernance ou les exigences de sécurité, y compris les exigences en matière de cybersécurité. Le présent règlement devrait également être sans préjudice des règles plus spécifiques liées à l’élaboration d’espaces européens communs de données ou, sous réserve des exceptions prévues par le présent règlement, du droit de l’Union ou du droit national concernant la mise à disposition des données et l’autorisation de leur utilisation à des fins de recherche scientifique.(116) Le présent règlement ne devrait pas porter atteinte à l’application des règles de concurrence, et notamment des articles 101 et 102 du TFUE. Les règles prévues par le présent règlement ne doivent pas être utilisées pour restreindre la concurrence d’une manière contraire aux règles du TFUE.
(14) Les produits en réseau qui, au moyen de leurs composants ou de leurs systèmes d’exploitation, obtiennent, génèrent ou collectent des données relatives à leurs performances, à leur utilisation ou à leur environnement et qui peuvent transmettre ces données par un service de communications électroniques, une connexion physique ou un accès interne à l’appareil – souvent appelé “internet des objets” – devraient relever du champ d’application du présent règlement, à l’exception des prototypes. Des exemples de ces services de communications électroniques comprennent notamment les réseaux téléphoniques terrestres, les réseaux câblés de télévision, les réseaux satellitaires et les réseaux de communication en champ proche. Les produits en réseau sont présents dans tous les secteurs de l’économie et de la société, y compris les infrastructures privées, civiles ou commerciales, les véhicules, les équipements médicaux, les équipements de style de vie, les navires, les aéronefs, les appareils ménagers et les biens de consommation, les produits médicaux et de santé ou les machines et équipements agricoles et industriels. Les choix de conception des fabricants et, le cas échéant, le droit de l’Union ou le droit national répondant à des besoins et à des objectifs sectoriels, ou les décisions pertinentes des autorités de la concurrence, devraient déterminer quelles données peuvent être fournies par un produit en réseau.(22) Les produits en réseau peuvent être conçus de manière à rendre certaines données accessibles directement à partir d’un magasin de données situé sur l’appareil ou à partir d’un serveur distant auquel les données sont transmises. L’accès au stockage de données sur l’appareil peut être fourni par des réseaux locaux sans fil ou câblés, connectés à un service de communications électroniques ou à un réseau de téléphonie mobile accessible au public. Le serveur peut être la propre capacité de serveur local du fabricant ou celle d’un tiers ou d’un fournisseur de services en nuage. Les sous-traitants au sens de l’article 4, point 8, du règlement (UE) 2016/679 ne sont pas considérés comme des titulaires de données. Ils peuvent toutefois être expressément chargés par le responsable du traitement au sens de l’article 4, point 7, du règlement (UE) 2016/679 de fournir des données. Les produits connectés peuvent être conçus de manière à permettre à l’utilisateur ou à un tiers de traiter les données sur le produit connecté, sur une instance informatique du fabricant ou dans un environnement de technologies de l’information et de la communication (TIC) choisi par l’utilisateur ou le tiers.(23) Les assistants virtuels jouent un rôle de plus en plus important dans la numérisation de l’environnement des consommateurs et de l’environnement professionnel, en servant d’interface conviviale pour la lecture de contenus, l’obtention d’informations ou l’activation de produits connectés à l’internet. Par exemple, dans un environnement de maison intelligente, les assistants virtuels peuvent servir de point d’accès central et collecter des quantités considérables de données pertinentes sur la manière dont les utilisateurs interagissent avec les produits connectés à l’internet, y compris ceux fabriqués par des tiers, et peuvent remplacer l’utilisation des interfaces fournies par le fabricant, telles que les écrans tactiles ou les applications pour smartphone. Dans certaines circonstances, l’utilisateur peut souhaiter fournir ces données à des fabricants tiers afin d’activer des services intelligents inédits. Les assistants virtuels devraient être couverts par le droit d’accès aux données prévu par le présent règlement. Les données générées lorsqu’un utilisateur interagit avec un produit connecté par l’intermédiaire d’un assistant virtuel fourni par une entité juridique autre que le fabricant du produit connecté devraient également être couvertes par le droit d’accès aux données prévu par le présent règlement. Toutefois, seules les données résultant de l’interaction entre l’utilisateur et un produit connecté ou un service connecté via l’assistant virtuel devraient être couvertes par le présent règlement. Les données créées par l’assistant virtuel qui ne sont pas liées à l’utilisation d’un produit connecté ou d’un service connecté ne sont pas couvertes par le présent règlement.(16) Le présent règlement permet aux utilisateurs de produits connectés d’utiliser des services de suivi, des services auxiliaires et d’autres services basés sur des données collectées par des capteurs intégrés dans ces produits, la collecte de ces données présentant un intérêt potentiel pour l’amélioration des performances des produits connectés. Il est important de distinguer, d’une part, les marchés de la fourniture de ces produits connectés équipés de capteurs et des services connexes et, d’autre part, les marchés des logiciels et contenus non apparentés, tels que les contenus textuels, audio ou audiovisuels, qui sont souvent soumis à des droits de propriété intellectuelle. Par conséquent, les données générées par ces produits connectés équipés de capteurs lorsque leurs utilisateurs enregistrent, transmettent, affichent ou lisent du contenu, y compris pour une utilisation par un service en ligne, ainsi que le contenu lui-même, qui est souvent soumis à des droits de propriété intellectuelle, ne devraient pas être couverts par le présent règlement. Le présent règlement ne devrait pas non plus s’appliquer aux données obtenues ou générées par le produit en réseau à des fins de stockage ou de traitement pour le compte d’autres parties que les utilisateurs, ou auxquelles on a accédé par l’intermédiaire du produit en réseau ou qui lui ont été transmises, comme cela peut être le cas pour les serveurs ou les infrastructures en nuage exploités par leurs propriétaires exclusivement pour le compte de tiers, y compris pour une utilisation par un service en ligne.
(17) Des règles doivent être établies pour les produits qui, au moment de l’achat, de la location ou du leasing, sont mis en réseau avec un service associé de telle sorte que le produit en réseau ne pourrait pas exécuter une ou plusieurs de ses fonctions sans ce service, ou qui est ensuite mis en réseau avec le produit par le fabricant ou par un tiers afin de compléter ou d’adapter les fonctions du produit en réseau. Dans le cadre de ces services connectés, des données sont échangées entre le produit en réseau et le fournisseur de services, c’est-à-dire qu’ils doivent être compris comme des services explicitement liés au fonctionnement des fonctions du produit en réseau, comme dans le cas des services qui, le cas échéant, transmettent des commandes au produit en réseau, lesquelles peuvent à leur tour avoir une incidence sur son activité ou son comportement. Les services qui n’ont pas d’incidence sur le fonctionnement du produit en réseau et qui ne transmettent pas de données ou de commandes du fournisseur de services au produit en réseau ne devraient pas être considérés comme des services connexes. Ces services peuvent inclure, par exemple, des services de conseil, d’analyse ou financiers supplémentaires ou des services de réparation et d’entretien réguliers. Les services liés peuvent être proposés dans le cadre d’un contrat d’achat, de location ou de crédit-bail. Des services connexes pourraient également être fournis pour des produits de même nature et les utilisateurs devraient raisonnablement s’attendre à ce qu’ils soient fournis, compte tenu de la nature du produit connecté et des déclarations publiques faites avant la conclusion du contrat par le vendeur ou pour le compte du vendeur, du loueur, du bailleur ou d’autres personnes en amont de la chaîne contractuelle, y compris le fabricant. Ces services liés peuvent eux-mêmes générer des données ayant une valeur pour l’utilisateur, indépendamment des possibilités de collecte de données du produit connecté auquel ils sont liés. Le présent règlement devrait également s’appliquer aux services connectés qui ne sont pas fournis par le vendeur, le loueur ou le bailleur lui-même, mais par un tiers. En cas de doute sur le fait de savoir si la fourniture du service fait partie du contrat de vente, de location ou de crédit-bail, le présent règlement devrait s’appliquer. Ni la fourniture d’électricité ni la fourniture de connectivité ne doivent être interprétées comme des services connexes en vertu du présent règlement.
(80) Les services de traitement des données devraient comprendre des services permettant un accès en réseau, à la demande et en tout lieu, à un ensemble configurable, évolutif et élastique de ressources partagées et distribuées. Ces ressources informatiques comprennent des ressources telles que des réseaux, des serveurs ou d’autres infrastructures virtuelles ou physiques, des logiciels – y compris des outils de développement de logiciels -, du stockage, des applications et des services. Le fait que les clients des services de traitement des données puissent s’attribuer eux-mêmes, sans interaction avec le fournisseur de services de traitement des données, des capacités de calcul telles que du temps de serveur ou de l’espace de stockage en réseau pourrait être décrit comme une charge administrative minimale et une interaction minimale entre le fournisseur et le client. Le terme „indépendant de l’emplacement“ est utilisé pour décrire le fait que la mise à disposition des capacités de calcul via le réseau et l’accès à ces capacités se font par le biais de mécanismes qui favorisent l’utilisation de plateformes hétérogènes de clients légers ou lourds (des navigateurs web aux appareils mobiles et aux postes de travail). Le terme „évolutif“ désigne les ressources informatiques qui, indépendamment de leur emplacement géographique, sont allouées de manière flexible par le fournisseur de services de traitement des données afin de compenser les fluctuations de la demande. Le terme „élastique“ décrit les ressources informatiques qui sont mises à disposition et libérées en fonction de la demande, afin de permettre une augmentation ou une diminution rapide des ressources disponibles en fonction de la charge de travail. Le terme „pool partagé“ décrit les ressources informatiques mises à la disposition de plusieurs utilisateurs qui accèdent au service par un accès commun, mais dont le traitement est effectué séparément pour chaque utilisateur, bien que le service soit fourni par le même équipement électronique. Le terme „distribué“ sert à décrire les ressources informatiques qui se trouvent sur différents ordinateurs ou appareils en réseau et qui communiquent et se coordonnent entre eux par échange de messages. Le terme „hautement distribué“ sert à décrire les services de traitement de données dans lesquels les données sont traitées plus près de l’endroit où elles sont générées ou collectées, par exemple dans un appareil de traitement de données en réseau. L’informatique en périphérie, une forme de ce traitement des données hautement distribué, devrait donner naissance à de nouveaux modèles d’entreprise et à des services en nuage qui devraient être ouverts et interopérables dès le départ.(81) Le terme générique de „services de traitement des données“ recouvre un nombre considérable de services présentant un très large éventail de finalités, de fonctions et de structures techniques différentes. Selon l’avis général des fournisseurs et des utilisateurs, et conformément aux normes largement répandues, les services de traitement des données relèvent d’un ou de plusieurs des trois modèles suivants de fourniture de services de traitement des données, à savoir „Infrastructure-as-a-Service“ (IaaS), „Platform-as-a-Service“ (PaaS) et „Software-as-a-Service“ (SaaS). Ces modèles de fourniture de services consistent en une combinaison spécifique et préétablie de ressources TIC proposées par un fournisseur de services de traitement des données. Ces trois modèles de base de fourniture de services de traitement des données sont complétés par de nouvelles variantes, chacune présentant une combinaison spécifique de ressources TIC, telles que le „stockage en tant que service“ et la „base de données en tant que service“. Les services de traitement des données peuvent être catégorisés de manière plus détaillée et divisés en une liste non exhaustive de services de traitement des données qui partagent le même objectif principal et les mêmes fonctions principales, ainsi que le même type de modèles de traitement des données qui ne sont pas liés aux caractéristiques opérationnelles du service (même type de service). Les services appartenant au même type de service peuvent partager le même modèle de fourniture de services de traitement des données, mais si deux bases de données peuvent sembler avoir le même objectif principal, elles pourraient entrer dans une sous-catégorie plus détaillée de services comparables après prise en compte de leur modèle de traitement des données, de leur modèle de distribution et des cas d’utilisation auxquels elles sont destinées. Les services d’un même type peuvent présenter des caractéristiques différentes et concurrentes, telles que la performance, la sécurité, la robustesse et la qualité du service.
(18) L’utilisateur d’un produit en réseau devrait être une personne physique ou morale, telle qu’une entreprise, un consommateur ou un organisme public, qui est propriétaire d’un produit en réseau ou, par exemple dans le cadre d’un contrat de location ou de crédit-bail, qui est titulaire de certains droits temporaires d’accès aux données du produit en réseau ou d’utilisation de ces données, ou qui utilise des services liés pour le produit en réseau. Ces droits d’accès ne doivent en aucun cas modifier ou interférer avec les droits des personnes concernées susceptibles d’interagir avec un produit connecté ou un service connecté, en ce qui concerne les données à caractère personnel générées par le produit connecté ou lors de la fourniture de services connectés. L’utilisateur supporte les risques et bénéficie des avantages liés à l’utilisation du produit connecté et devrait également avoir accès aux données qu’il génère. Il devrait donc être autorisé à tirer profit des données générées par ce produit connecté et tous les services connexes. Un propriétaire, un locataire ou un preneur à bail devrait également être considéré comme un utilisateur, y compris dans les cas où plusieurs entités peuvent être considérées comme des utilisateurs. Dans le cas de plusieurs utilisateurs, chacun d’entre eux peut contribuer de différentes manières à la génération de données et avoir un intérêt dans différentes formes d’utilisation ; on peut citer, par exemple, la gestion de flotte pour une société de leasing ou des solutions de mobilité pour des particuliers utilisant un service d’autopartage.(21) Lorsque plusieurs personnes ou entités sont considérées comme des utilisateurs, par exemple dans le cas d’une propriété commune ou lorsqu’un propriétaire, un locataire ou un preneur de bail possède des droits partagés sur l’accès aux données ou leur utilisation, la conception du produit en réseau ou du service connecté ou de l’interface correspondante devrait permettre à chaque utilisateur d’accéder aux données qu’ils génèrent. L’utilisation de produits en réseau qui génèrent des données nécessite généralement la création d’un compte d’utilisateur. Un tel compte permet à l’utilisateur d’être identifié par le propriétaire des données, qui peut être le fabricant. Il peut également être utilisé comme moyen de communication et pour soumettre et traiter des demandes d’accès aux données. Si plusieurs fabricants ou fournisseurs de services connectés ont vendu, loué ou donné en crédit-bail conjointement des produits connectés à un même utilisateur ou lui ont fourni des services intégrés, l’utilisateur doit s’adresser à chacune des parties avec lesquelles il a conclu un contrat. Les fabricants ou concepteurs d’un produit en réseau généralement utilisé par plusieurs personnes devraient mettre en place les mécanismes nécessaires pour permettre, le cas échéant, la création de comptes d’utilisateur distincts pour chaque personne ou l’utilisation du même compte d’utilisateur par plusieurs personnes. Les solutions fondées sur les comptes devraient permettre aux utilisateurs de supprimer leurs comptes et les données qui y sont associées et pourraient prévoir la possibilité pour les utilisateurs de mettre fin à l’accès aux données, à l’utilisation des données ou au partage des données, ou de demander qu’il y soit mis fin, en particulier dans les cas où la propriété du produit est transférée à d’autres personnes ou lorsque d’autres personnes utilisent le produit connecté. L’accès devrait être accordé à l’utilisateur sur la base de procédures de demande simples, permettant une exécution automatique et ne nécessitant pas d’examen ou de validation par le fabricant ou le propriétaire des données. Cela signifie que les données ne devraient être fournies que si l’utilisateur souhaite effectivement y accéder. Si l’exécution automatique de la demande d’accès aux données, par exemple via un compte d’utilisateur ou l’application mobile fournie avec le produit ou le service en réseau, n’est pas possible, le fabricant devrait indiquer à l’utilisateur comment accéder aux données.
(8) Les principes de minimisation des données et de protection des données par la conception technique et par des paramètres par défaut respectueux de la vie privée sont essentiels lorsque le traitement comporte des risques importants pour les droits fondamentaux des personnes. Compte tenu de l’état de la technique, toutes les parties impliquées dans le transfert de données, y compris dans le champ d’application du présent règlement, devraient mettre en œuvre des mesures techniques et organisationnelles pour protéger ces droits. Ces mesures comprennent non seulement la pseudonymisation et le cryptage, mais aussi l’utilisation de technologies de plus en plus disponibles qui permettent d’utiliser des algorithmes directement au point de génération des données et d’obtenir des renseignements précieux sans transférer les données entre les parties ou copier inutilement les données brutes ou structurées elles-mêmes.
(15) Les données constituent des actes et des opérations numérisés de l’utilisateur et devraient, en conséquence, être accessibles à l’utilisateur. Les règles relatives à l’accès et à l’utilisation des données des produits connectés et des services connexes dans le cadre du présent règlement concernent à la fois les données relatives aux produits et les données relatives aux services connexes. Les données relatives au produit désignent les données générées par l’utilisation d’un produit connecté et conçues par le fabricant pour être récupérées par un utilisateur, un propriétaire de données ou un tiers, y compris le fabricant le cas échéant, à partir du produit connecté. Par données de service associées, on entend les données qui représentent également la numérisation des actions ou des opérations de l’utilisateur en rapport avec le produit connecté et qui sont générées lors de la fourniture d’un service associé par le fournisseur. Par données générées lors de l’utilisation d’un produit connecté ou d’un service connecté, il convient d’entendre les données enregistrées intentionnellement ou les données générées indirectement par les actions de l’utilisateur, telles que les données relatives à l’environnement ou aux interactions du produit connecté. Ces données devraient inclure les données relatives à l’utilisation d’un produit en réseau, générées par une interface utilisateur ou par un service connecté, et ne devraient pas se limiter à l’information selon laquelle un produit ou un service a été utilisé, mais inclure toutes les données générées par le produit en réseau à la suite de cette utilisation, telles que les données générées automatiquement par des capteurs et les données enregistrées par des applications embarquées, y compris les applications indiquant l’état du matériel et les dysfonctionnements. Ces données devraient également inclure les données générées par le produit en réseau ou le service connecté lorsque l’utilisateur est inactif, par exemple lorsqu’il décide de ne pas utiliser un produit en réseau pendant une certaine période, mais de le laisser en état de veille, voire de l’éteindre, car l’état d’un produit en réseau ou de ses composants, tels que ses piles, peut changer lorsque le produit en réseau est en état de veille ou éteint. Les données qui ne sont pas modifiées de manière significative, c’est-à-dire les données brutes, également appelées données sources ou données primaires, qui se rapportent à des points de données générés automatiquement sans aucune autre forme de traitement, ainsi que les données qui ont été préparées avant d’être traitées et analysées ultérieurement afin de les rendre compréhensibles et utilisables, relèvent du champ d’application du présent règlement. Il s’agit notamment des données collectées par un capteur unique ou un groupe de capteurs interconnectés afin de rendre les données collectées compréhensibles pour des applications plus variées, en déterminant une grandeur ou une propriété physique ou la variation d’une grandeur physique, telle que la température, la pression, le débit, l’argile, le pH, le niveau de liquide, la position, l’accélération ou la vitesse. Le terme „données préparées“ ne doit pas être interprété comme obligeant le détenteur des données à réaliser des investissements importants pour nettoyer et transformer les données. Les données à fournir devraient inclure les métadonnées pertinentes, y compris leur contexte de base et leur horodatage, afin de rendre les données utilisables en combinaison avec d’autres données, par exemple des données qui ont été triées et classées avec d’autres éléments de données qui leur sont associés ou qui ont été reformatées dans un format courant. De telles données sont potentiellement précieuses pour l’utilisateur et favorisent l’innovation et le développement de services numériques et autres visant à protéger l’environnement, la santé et l’économie circulaire, notamment en facilitant l’entretien et la réparation des produits connectés concernés. En revanche, les informations déduites ou dérivées de ces données, qui sont le résultat d’investissements supplémentaires dans l’attribution de valeurs ou de connaissances à partir des données (en particulier au moyen d’algorithmes propriétaires complexes, y compris ceux qui font partie de logiciels propriétaires), ne devraient pas relever du champ d’application du présent règlement et, par conséquent, les détenteurs de ces données ne devraient pas être tenus de les fournir à un utilisateur ou à un destinataire des données, sauf si l’utilisateur et le détenteur des données en ont convenu autrement. Ces données pourraient notamment inclure des informations obtenues par fusion de capteurs, dans le cadre de laquelle des données sont dérivées ou inférées à partir de plusieurs capteurs, qui sont collectées dans le produit en réseau à l’aide d’algorithmes propriétaires complexes et peuvent être soumises à des droits de propriété intellectuelle.
(20) Dans la pratique, les données générées par les produits en réseau ou les services connectés ne sont pas toutes facilement accessibles à leurs utilisateurs et les possibilités de transfert des données générées par les produits connectés à l’internet sont souvent limitées. Les utilisateurs ne sont donc pas en mesure d’obtenir les données nécessaires pour bénéficier de services de réparation ou autres, et les entreprises ne sont pas en mesure de proposer des services innovants, pratiques et plus efficaces. Dans de nombreux secteurs, les fabricants, parce qu’ils contrôlent la conception technique des produits en réseau ou des services connectés, peuvent déterminer quelles données sont générées et comment y accéder, bien qu’ils ne disposent d’aucun droit légal sur ces données. Il est donc nécessaire de veiller à ce que les produits en réseau soient conçus et fabriqués, et les services connexes conçus et fournis, de manière à ce que les données relatives aux produits et les données relatives aux services connexes, y compris les métadonnées correspondantes nécessaires à l’interprétation et à l’utilisation de ces données, y compris aux fins de la consultation, de l’utilisation ou de la communication de ces données, soient toujours accessibles à un utilisateur, facilement et en toute sécurité, gratuitement, dans un format complet, structuré, couramment utilisé et lisible par machine. Les données relatives au produit et les données relatives aux services connexes qu’un propriétaire de données obtient ou peut obtenir légitimement du produit connecté ou du service connecté, par exemple en raison de la conception du produit connecté, du contrat conclu par le propriétaire de données avec l’utilisateur pour la fourniture de services connexes et de ses moyens techniques pour accéder aux données sans effort disproportionné, sont appelées „données aisément disponibles“. Les données aisément disponibles ne comprennent pas les données générées lors de l’utilisation du produit, à moins que le produit connecté ne soit conçu pour stocker ou transmettre ces données en dehors du composant dans lequel elles sont générées ou du produit connecté dans son ensemble. Le présent règlement ne devrait donc pas être interprété comme imposant l’obligation de stocker les données sur l’unité centrale d’un produit connecté. L’absence d’une telle obligation ne devrait pas empêcher le fabricant ou le propriétaire des données de convenir de telles adaptations avec l’utilisateur sur une base volontaire. Les obligations de conception prévues par le présent règlement sont également sans préjudice du principe de minimisation des données énoncé à l’article 5, paragraphe 1, point c), du règlement (UE) 2016/679 et ne devraient pas être interprétées comme exigeant que les produits en réseau et les services connectés soient conçus de manière à stocker ou à traiter d’une autre manière des données à caractère personnel autres que celles qui sont nécessaires aux fins de leur traitement. Le droit de l’Union ou le droit national pourrait être introduit pour définir d’autres spécificités, telles que les données relatives aux produits qui devraient être accessibles par l’intermédiaire des produits en réseau ou des services connectés, étant donné que ces données peuvent être essentielles pour le fonctionnement, la réparation ou l’entretien efficaces de ces produits en réseau ou services connectés. Si des mises à jour ou des modifications ultérieures d’un produit en réseau ou d’un service connecté par le fabricant ou une autre partie entraînent l’ajout de données accessibles ou la limitation de données initialement accessibles, ces modifications devraient être communiquées à l’utilisateur dans le cadre de la mise à jour ou de la modification.
(83) Les actifs numériques font référence aux éléments sous forme numérique pour lesquels le client a le droit d’utilisation, y compris les applications et les métadonnées liées à la configuration des paramètres, à la sécurité et à la gestion des droits d’accès et de contrôle, ainsi que d’autres éléments tels que les représentations des technologies de virtualisation, y compris les machines virtuelles et les conteneurs. Les actifs numériques peuvent être transférés à condition que le client dispose d’un droit d’utilisation qui est indépendant de la relation contractuelle avec le service de traitement des données qu’il souhaite changer. Les autres éléments susmentionnés sont la condition préalable à l’utilisation effective par le client de ses données et applications dans l’environnement du fournisseur de services de traitement des données qui les reprend.
(85) Le changement est un processus qui part du client et se compose de plusieurs étapes – y compris l’extraction des données -, ce qui désigne le téléchargement des données à partir de l’écosystème du fournisseur initial de services de traitement des données, la transformation des données si elles sont structurées de telle sorte qu’elles ne correspondent pas au schéma de l’emplacement de destination, et le téléchargement des données vers un nouvel emplacement de destination. Dans certaines situations décrites dans le présent règlement, le fait de retirer un service donné du contrat et de le transférer vers un autre fournisseur devrait également être considéré comme un changement. Le changement est parfois effectué par un tiers au nom du client. En conséquence, tous les droits et obligations du client énoncés dans le présent règlement, y compris l’obligation de coopérer de bonne foi, devraient être compris comme s’appliquant également au tiers concerné dans ces circonstances. Les fournisseurs de services de traitement des données et les clients ont des niveaux de responsabilité différents en fonction de l’étape de la procédure. Par exemple, le fournisseur de services de traitement de données initial est responsable de l’extraction des données dans un format lisible par machine, tandis que le client et le fournisseur de services de traitement de données cessionnaire doivent télécharger les données dans le nouvel environnement, à moins qu’un service de transition professionnel spécifique ne soit utilisé. Un client qui a l’intention d’exercer les droits prévus par le présent règlement en ce qui concerne le transfert doit informer le fournisseur de services de traitement de données initial de sa décision, soit de passer à un autre fournisseur de services de traitement de données ou à une infrastructure TIC dans ses propres locaux, soit d’effacer les actifs et les données exportables du client.
(88) Les frais de changement de fournisseur sont des frais que les fournisseurs de services de traitement de données facturent à leurs clients pour l’exécution du changement. En général, ces frais visent à répercuter sur le client qui souhaite changer de fournisseur de services informatiques les coûts que ce dernier peut encourir en raison du changement. Des exemples courants de frais de changement sont les coûts liés au transfert de données d’un fournisseur de services de traitement de données à un autre ou d’un fournisseur à une infrastructure TIC dans ses propres locaux („frais d’extraction de données“) ou les coûts liés à des activités d’assistance spécifiques pendant la mise en œuvre du changement. Des frais d’extraction de données excessifs et d’autres frais injustifiés, sans rapport avec le coût réel du changement, entravent le changement de fournisseur par le client, limitent la libre circulation des données, peuvent restreindre la concurrence et créer une situation de dépendance du client à l’égard d’un service donné en réduisant les incitations à choisir un autre fournisseur de services ou un fournisseur supplémentaire. Par conséquent, les frais de changement de fournisseur devraient être supprimés après trois ans à compter de la date d’entrée en vigueur du présent règlement. Les fournisseurs de services de traitement de données devraient pouvoir appliquer des frais de changement de fournisseur réduits jusqu’à cette date.
(86) L’équivalence fonctionnelle signifie qu’après un changement, un ensemble minimal de fonctions est rétabli sur la base des données exportables et des actifs numériques du client dans l’environnement du nouveau service de traitement de données du même type de service, le service de traitement de données cessionnaire fournissant un résultat essentiellement comparable pour les fonctions partagées fournies au client dans le cadre du contrat. On ne peut attendre des fournisseurs de services de traitement de données qu’ils permettent l’équivalence fonctionnelle en ce qui concerne les fonctions offertes indépendamment à la fois par le service de traitement de données initial et par le service de traitement de données cessionnaire. En vertu du présent règlement, les fournisseurs de services de traitement de données ne sont tenus de faciliter l’équivalence fonctionnelle que s’ils proposent des services du modèle de fourniture IaaS.
(24) Avant de conclure un contrat d’achat, de location ou de crédit-bail pour un produit connecté, le vendeur, le loueur ou le bailleur – qui peut également être le fabricant – devrait fournir à l’utilisateur, de manière claire et compréhensible, des informations sur les données relatives au produit que le produit connecté peut générer, y compris sur la nature, le format et la quantité estimée de données. Cela pourrait inclure, lorsqu’elles sont disponibles, des informations sur les structures de données, les formats de données, les vocabulaires, les systèmes de classification, les taxonomies et les listes de codes, ainsi que des informations claires et suffisantes pertinentes pour l’exercice des droits de l’utilisateur et sur la manière dont les données peuvent être stockées ou récupérées ou sur la manière d’y accéder, y compris les conditions d’utilisation et la qualité de service des interfaces de programmation d’applications ou, le cas échéant, la fourniture de kits de développement logiciel. Cette obligation assure la transparence des données générées sur les produits et facilite l’accès pour les utilisateurs. L’obligation d’information pourrait être remplie, par exemple, en maintenant une adresse URL stable sur l’internet, qui pourrait être diffusée sous la forme d’un lien internet ou d’un code QR, et qui conduirait aux informations pertinentes que le vendeur, le loueur ou le bailleur – qui peut également être le fabricant – pourrait fournir à l’utilisateur avant la conclusion d’un contrat d’achat, de location ou de bail pour un produit connecté. En tout état de cause, l’utilisateur doit pouvoir stocker les informations de telle sorte qu’elles puissent être consultées ultérieurement et que la reproduction inchangée des informations stockées soit possible. Bien que l’on ne puisse pas attendre du responsable du traitement qu’il conserve les données indéfiniment eu égard aux besoins de l’utilisateur du produit connecté, il devrait appliquer un régime approprié en ce qui concerne la durée de conservation des données, le cas échéant conformément au principe de limitation de la conservation énoncé à l’article 5, paragraphe 1, point e), du règlement (UE) 2016/679, qui permet l’application effective des droits d’accès aux données prévus par ledit règlement. L’obligation d’information est sans préjudice de l’obligation du responsable du traitement de fournir des informations à la personne concernée conformément aux articles 12, 13 et 14 du règlement (UE) 2016/679. L’obligation de fournir les informations pertinentes avant la conclusion d’un contrat de fourniture d’un service connecté devrait incomber au propriétaire potentiel des données, que le propriétaire des données conclue un contrat d’achat, de location ou de crédit-bail pour un produit connecté. Si les informations changent au cours de la durée de vie du produit connecté ou de la durée du contrat de service connecté, y compris si la finalité pour laquelle ces données doivent être utilisées change par rapport à la finalité initialement prévue, des informations à ce sujet devraient également être fournies à l’utilisateur.
(27) Dans les secteurs concentrés où les utilisateurs finaux sont approvisionnés en produits connectés par un petit nombre de fabricants, les utilisateurs peuvent ne disposer que de possibilités limitées d’accès aux données, d’utilisation des données et de partage des données. Dans ces conditions, les accords contractuels peuvent ne pas être suffisants pour atteindre l’objectif de renforcement de la capacité d’action des utilisateurs, ce qui rend plus difficile la création de valeur à partir des données générées par les produits connectés qu’ils ont achetés, loués ou pris en leasing. En conséquence, le potentiel pour les petites entreprises innovantes de proposer des solutions basées sur les données de manière compétitive et pour une économie des données diversifiée dans l’Union est limité. Le présent règlement devrait donc s’appuyer sur les évolutions récentes dans certains secteurs, comme le code de conduite pour le partage des données agricoles par voie contractuelle. La législation de l’Union ou la législation nationale peut être adoptée pour tenir compte des besoins et des objectifs spécifiques à chaque secteur. En outre, les titulaires de données ne devraient pas utiliser facilement les données disponibles, qui sont des données non personnelles, pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production de l’utilisateur, ou sur l’utilisation de l’utilisateur, de toute autre manière qui pourrait nuire à la position commerciale de l’utilisateur sur les marchés sur lesquels il opère. Cela pourrait inclure l’utilisation, au détriment de l’utilisateur, d’informations sur les performances globales d’une entreprise ou d’une exploitation agricole dans le cadre de négociations contractuelles avec l’utilisateur concernant l’achat potentiel du produit ou des produits agricoles de l’utilisateur, ou l’introduction de ces informations dans des bases de données agrégées plus larges concernant des marchés spécifiques, par exemple des bases de données sur les rendements des cultures pour la prochaine saison de récolte, étant donné que cette utilisation pourrait avoir un effet négatif indirect sur l’utilisateur. L’interface technique nécessaire à la gestion des autorisations devrait être mise à la disposition de l’utilisateur, de préférence avec des options d’autorisation finement définies (par exemple, „autoriser l’accès une seule fois“ ou „autoriser l’accès uniquement pendant l’utilisation de l’application ou du service“), y compris la possibilité de révoquer ces autorisations.
(29) Les titulaires de données peuvent demander une identification appropriée de l’utilisateur afin de vérifier la légitimité d’un utilisateur à accéder aux données. Dans le cas de données à caractère personnel traitées par un sous-traitant pour le compte du responsable du traitement, les titulaires de données doivent s’assurer que la demande d’accès est reçue et traitée par le sous-traitant.
(31) Conformément à la directive (UE) 2016/943 du Parlement européen et du Conseil (23), l’acquisition, l’utilisation ou la divulgation d’un secret d’affaires est réputée licite, entre autres, lorsque cette acquisition, cette utilisation ou cette divulgation est exigée ou autorisée par le droit de l’Union ou le droit national. Bien que le présent règlement oblige les propriétaires de données à divulguer certaines données aux utilisateurs ou aux tiers choisis par l’utilisateur, même si ces données sont couvertes par la protection du secret d’affaires, il convient d’interpréter cette disposition de manière à préserver la protection du secret d’affaires conformément à la directive (UE) 2016/943 . Dans ce contexte, les titulaires de données devraient pouvoir imposer à l’utilisateur ou à des tiers choisis par l’utilisateur de préserver la confidentialité des données considérées comme des secrets d’affaires. Par conséquent, les titulaires de données devraient identifier les secrets d’affaires avant leur divulgation et avoir la possibilité de convenir avec les utilisateurs ou les tiers choisis par l’utilisateur des mesures nécessaires pour préserver leur confidentialité, y compris par l’utilisation de clauses contractuelles types, d’accords de confidentialité, de protocoles d’accès stricts, de normes techniques et par l’application de codes de conduite. Outre l’utilisation des clauses contractuelles types qui seront élaborées et recommandées par la Commission, l’adoption de codes de conduite et de normes techniques concernant la protection des secrets d’affaires lors du traitement des données pourrait contribuer à la réalisation de l’objectif du présent règlement et devrait donc être encouragée. En l’absence d’accord sur les mesures nécessaires, ou si un utilisateur ou un tiers choisi par l’utilisateur ne met pas en œuvre ces mesures convenues ou viole la confidentialité des secrets d’affaires, le propriétaire des données devrait être en mesure de refuser ou de suspendre le transfert des données considérées comme des secrets d’affaires. Dans de tels cas, le titulaire des données devrait immédiatement notifier sa décision par écrit à l’utilisateur ou au tiers et informer l’autorité nationale compétente de l’État membre dans lequel le titulaire des données est établi qu’il a refusé ou suspendu la divulgation des données, en indiquant les mesures qui n’ont pas été convenues ou mises en œuvre et, le cas échéant, les secrets d’affaires dont la confidentialité a été violée. En principe, les titulaires de données ne peuvent pas refuser une demande d’accès à des données en vertu du présent règlement au seul motif que certaines données sont considérées comme des secrets d’affaires, car cela compromettrait l’effet voulu du présent règlement. Toutefois, dans des circonstances exceptionnelles, un titulaire de données détenteur d’un secret d’affaires devrait pouvoir refuser, au cas par cas, une demande d’accès aux données spécifiques en question s’il peut démontrer à l’utilisateur ou au tiers que la divulgation de ce secret d’affaires, malgré les mesures techniques et organisationnelles prises par l’utilisateur ou le tiers, est susceptible de causer un préjudice économique grave. Un préjudice économique grave s’accompagne de lourdes pertes économiques irréparables. Le titulaire des données devrait motiver dûment et sans délai son refus à l’utilisateur ou au tiers par écrit et en informer l’autorité compétente. Cette justification devrait se fonder sur des faits objectifs démontrant que la divulgation de certaines données risque concrètement de causer un préjudice économique grave et que les mesures prises pour protéger les données demandées ne sont pas jugées suffisantes. Dans ce contexte, il peut être tenu compte de toute incidence négative sur la cybersécurité. Sans préjudice du droit de recours devant une juridiction d’un État membre, l’utilisateur ou le tiers qui souhaite contester la décision du responsable du traitement de refuser ou de suspendre la communication des données peut introduire un recours auprès de l’autorité compétente, qui devrait alors décider sans délai si et dans quelles conditions la communication des données doit commencer ou reprendre, ou l’utilisateur ou le tiers peut convenir avec le responsable du traitement de soumettre la question à une autorité de règlement des litiges. Les exceptions aux droits d’accès aux données prévues par le présent règlement ne devraient en aucun cas limiter les droits d’accès et de portabilité des données des personnes concernées en vertu du règlement (UE) 2016/679.
(57) Les propriétaires de données peuvent appliquer des mesures de protection techniques appropriées pour empêcher la divulgation illicite de données ou l’accès illicite à celles-ci. Toutefois, ces mesures ne doivent pas faire de distinction entre les destinataires des données ni entraver l’accès aux données et leur utilisation par les utilisateurs ou les destinataires des données. En cas de pratiques abusives de la part d’un destinataire des données, telles que le fait d’induire en erreur le propriétaire des données en lui fournissant de fausses informations dans l’intention d’utiliser les données à des fins illicites, y compris le développement d’un produit concurrent en réseau sur la base des données, le propriétaire des données et, le cas échéant, s’il ne s’agit pas de la même personne, le détenteur d’un secret commercial ou l’utilisateur, peuvent demander au tiers ou au destinataire des données de prendre immédiatement des mesures correctives ou correctrices. Ces demandes, en particulier les demandes visant à mettre fin à la production, à l’offre ou à la commercialisation de biens, de données dérivées ou de services, ainsi que les demandes visant à mettre fin à l’importation, à l’exportation et au stockage de biens en infraction ou à les détruire, doivent être évaluées en fonction de leur caractère proportionné par rapport aux intérêts du propriétaire des données, du détenteur du secret d’affaires ou de l’utilisateur.
(32) L’objectif du présent règlement n’est pas seulement d’encourager la mise au point de nouveaux produits en réseau ou services connectés innovants et de stimuler l’innovation sur les marchés subséquents, mais aussi de stimuler la mise au point de services totalement nouveaux à l’aide des données concernées, y compris sur la base de données provenant d’un grand nombre de produits en réseau ou de services connectés. Dans le même temps, le présent règlement vise à éviter que les incitations à investir dans le type de produits en réseau à partir desquels les données sont obtenues ne disparaissent, par exemple si les données sont utilisées pour mettre au point un produit en réseau concurrent qui, notamment en raison de ses caractéristiques, de son prix et de l’usage auquel il est destiné, est considéré par les utilisateurs comme interchangeable ou remplaçable. Le présent règlement ne prévoit pas d’interdiction de développer un service connecté en utilisant les données obtenues dans le cadre du présent règlement, car cela aurait un effet dissuasif indésirable sur l’innovation. Les efforts d’innovation des détenteurs de données sont protégés par l’interdiction d’utiliser les données auxquelles il est possible d’accéder dans le cadre du présent règlement pour développer un produit concurrent connecté. Pour déterminer si un produit en réseau est en concurrence avec le produit en réseau dont proviennent les données, il faut savoir si les deux produits en réseau sont en concurrence sur le même marché de produits. Cette question doit être tranchée sur la base des principes établis du droit de la concurrence de l’Union pour déterminer le marché de produits pertinent. Toutefois, dans la mesure où les exigences du présent règlement, du droit de l’Union ou du droit national sont respectées, une finalité légitime de l’utilisation des données pourrait inclure l’ingénierie inverse (reverse engineering). Il peut s’agir de réparer ou de prolonger la durée de vie d’un produit en réseau ou de fournir des services de suivi du marché pour les produits en réseau.
(34) L’utilisation d’un produit connecté ou d’un service connecté peut, en particulier si l’utilisateur est une personne physique, générer des données se rapportant à une personne concernée. Le traitement de ces données est soumis aux dispositions du règlement (UE) 2016/679, même si les données à caractère personnel et les données non personnelles sont indissociables dans un ensemble de données. La personne concernée peut être l’utilisateur ou une autre personne physique. L’accès aux données à caractère personnel ne peut être demandé que par un responsable du traitement ou une personne concernée. L’utilisateur qui est la personne concernée a le droit, dans certaines circonstances, d’accéder aux données à caractère personnel concernant cet utilisateur, conformément au règlement (UE) 2016/679 ; ces droits ne sont pas affectés par le présent règlement. En vertu du présent règlement, un utilisateur qui est une personne physique a également le droit d’accéder à toutes les données, personnelles ou non, générées par l’utilisation d’un produit connecté. Si l’utilisateur n’est pas la personne concernée, mais une entreprise, y compris un entrepreneur individuel, et si le produit n’est pas utilisé conjointement dans un ménage, l’utilisateur est considéré comme responsable. En conséquence, un utilisateur qui, en tant que responsable du traitement, a l’intention de demander l’accès aux données à caractère personnel générées lors de l’utilisation d’un produit connecté ou d’un service connecté, doit disposer d’une base juridique pour le traitement des données conformément à l’article 6, paragraphe 1, du règlement (UE) 2016/679, comme le consentement de la personne concernée ou l’exécution d’un contrat auquel la personne concernée est partie. Cet utilisateur devrait veiller à ce que la personne concernée soit dûment informée des finalités spécifiques, explicites et légitimes du traitement de ces données et de la manière dont la personne concernée peut effectivement exercer ses droits. Lorsque le propriétaire des données et l’utilisateur sont des responsables conjoints au sens de l’article 26 du règlement (UE) 2016/679, ils doivent définir de manière transparente, dans un accord, lequel d’entre eux remplit les obligations pertinentes pour se conformer audit règlement. Il convient de considérer qu’une fois les données fournies, un tel utilisateur peut à son tour devenir le titulaire des données si cet utilisateur remplit les critères du présent règlement et peut donc être soumis aux obligations de fournir des données en vertu du présent règlement.
(36) L’accès aux données stockées sur des équipements terminaux ou accessibles via des équipements terminaux est régi par la directive 2002/58/ et requiert le consentement de l’abonné ou de l’utilisateur au sens de ladite directive, sauf si l’accès aux données est strictement nécessaire à la fourniture d’un service de la société de l’information expressément demandé par l’utilisateur ou l’abonné, ou dans le seul but de transmettre une communication. La directive 2002/58/ protège l’intégrité de l’équipement terminal d’un utilisateur en ce qui concerne l’utilisation des fonctions de traitement et de stockage et la collecte d’informations. Les appareils de l’internet des objets sont considérés comme des terminaux lorsqu’ils sont connectés directement ou indirectement à un réseau public de communication.
(25) Le présent règlement ne doit pas être interprété comme conférant aux détenteurs de données un nouveau droit d’utilisation des données relatives aux produits ou aux services connexes. Si le fabricant d’un produit connecté est le propriétaire des données, un contrat entre le fabricant et l’utilisateur devrait constituer la base de l’utilisation des données non personnelles par le fabricant. Un tel contrat pourrait faire partie d’un accord sur la fourniture du service connecté, qui pourrait être conclu en même temps que le contrat d’achat, de location ou de crédit-bail du produit connecté. Toute clause contractuelle autorisant le propriétaire des données à utiliser les données du produit ou du service connecté devrait être transparente pour l’utilisateur, y compris en ce qui concerne les fins auxquelles le propriétaire des données a l’intention d’utiliser les données. Ces utilisations pourraient inclure l’amélioration du fonctionnement du produit connecté ou des services associés, le développement de nouveaux produits ou services ou l’agrégation de données en vue de fournir à des tiers les données dérivées qui en résultent, à condition que ces données dérivées ne permettent pas d’identifier les données individuelles transmises par le produit connecté au titulaire des données et ne permettent pas à des tiers de récupérer ces données dans l’ensemble de données. Toute modification du contrat devrait être soumise au consentement éclairé de l’utilisateur. Le présent règlement n’empêche pas les parties de convenir de clauses contractuelles ayant pour effet d’exclure ou de limiter l’utilisation de données à caractère non personnel ou de certaines catégories de données à caractère non personnel par un maître de fichier. Il n’empêche pas non plus les parties de convenir que les données relatives aux produits ou les données relatives aux services connexes peuvent être mises à la disposition de tiers, directement ou indirectement, y compris, le cas échéant, par l’intermédiaire d’un autre propriétaire de données. En outre, le présent règlement ne fait pas obstacle aux exigences réglementaires sectorielles prévues par le droit de l’Union ou par le droit national compatible avec le droit de l’Union, qui excluraient ou limiteraient l’utilisation de certaines données par le propriétaire des données pour des motifs d’ordre public clairement définis. En outre, le présent règlement ne s’oppose pas à ce que, dans le cadre de relations commerciales entre entreprises, les utilisateurs fournissent des données à des tiers ou à des titulaires de données en vertu de toute clause contractuelle légitime, y compris en convenant de limiter ou de restreindre la rediffusion de ces données, ou à ce que les utilisateurs reçoivent une contrepartie appropriée, par exemple en échange de la renonciation à leur droit d’utiliser ou de divulguer ces données. Bien que le terme „propriétaire des données“ n’englobe généralement pas les organismes publics, il peut inclure les entreprises publiques.
(26) Afin de favoriser l’émergence de marchés liquides, équitables et efficaces pour les données non personnelles, les utilisateurs de produits en réseau devraient pouvoir partager des données avec d’autres personnes avec un minimum de contraintes juridiques et techniques, y compris à des fins commerciales. Actuellement, il est souvent difficile pour les entreprises de justifier les frais de personnel ou les coûts informatiques nécessaires pour préparer des ensembles ou des produits de données non personnelles et les proposer à des contreparties potentielles par le biais de services d’intermédiation de données, y compris des places de marché de données. L’absence de prévisibilité du rendement économique des investissements dans la préparation et la fourniture d’ensembles de données ou de produits de données constitue donc un obstacle majeur au transfert de données à caractère non personnel par les entreprises. Afin de créer des marchés liquides, équitables et efficaces pour les données non personnelles dans l’Union, il est nécessaire de clarifier quelle partie a le droit d’offrir ces données sur un marché. Les utilisateurs devraient donc avoir le droit de transmettre des données non personnelles à des destinataires de données à des fins commerciales et non commerciales. Une telle transmission de données pourrait être effectuée directement par l’utilisateur, par l’intermédiaire d’un propriétaire de données à la demande de l’utilisateur ou par des services d’intermédiation de données. Les services d’intermédiation de données au sens du règlement (UE) 2022/868 du Parlement européen et du Conseil (22) pourraient servir l’économie des données en établissant des relations commerciales entre les utilisateurs, les destinataires des données et des tiers et en aidant les utilisateurs à exercer leur droit d’utilisation des données, par exemple en assurant l’anonymisation des données à caractère personnel ou l’agrégation de l’accès aux données d’un grand nombre d’utilisateurs individuels. Lorsque des données sont exclues de l’obligation d’un titulaire de données de les fournir à des utilisateurs ou à des tiers, le champ d’application de ces données pourrait être défini dans le contrat de fourniture d’un service lié conclu entre l’utilisateur et le titulaire de données, de sorte que les utilisateurs puissent facilement savoir quelles données sont à leur disposition pour être transmises à des destinataires de données ou à des tiers. Les titulaires de données ne devraient pas fournir de données de produits non personnelles à des tiers, que ce soit à des fins commerciales ou non commerciales, sauf dans le cadre de l’exécution de leur contrat avec l’utilisateur, sans préjudice des exigences légales imposées par le droit de l’Union ou le droit national à un titulaire de données pour la fourniture de données. Le cas échéant, les titulaires de données devraient obliger contractuellement les tiers à ne pas divulguer à nouveau les données qu’ils ont reçues.(30) L’utilisateur devrait être libre d’utiliser les données à toute fin légitime. Cela inclut la mise à disposition des données obtenues par l’utilisateur dans le cadre de l’exercice de ses droits en vertu du présent règlement à un tiers fournissant un service de marché secondaire susceptible d’être en concurrence avec un service fourni par un titulaire de données, ou l’instruction donnée au titulaire de données de le faire. La demande d’accès devrait être faite par l’utilisateur ou par un tiers autorisé agissant pour le compte d’un utilisateur, y compris un fournisseur de services d’intermédiation de données. Les propriétaires de données devraient veiller à ce que les données fournies à un tiers soient aussi précises, complètes, fiables, pertinentes et à jour que les données générées par l’utilisation du produit connecté ou du service connecté auxquelles le propriétaire des données peut ou est autorisé à accéder lui-même. Les droits de propriété intellectuelle devraient être respectés lors du traitement des données. Il est important de maintenir les incitations à investir dans des produits dont les fonctions reposent sur l’utilisation de données provenant de capteurs intégrés dans ces produits.(35) Les données relatives aux produits ou aux services connexes ne devraient être fournies à des tiers qu’à la demande de l’utilisateur. En conséquence, le présent règlement complète le droit d’une personne concernée de recevoir les données à caractère personnel la concernant dans un format structuré, couramment utilisé, lisible par machine et interopérable, ainsi que de les transmettre à un autre responsable du traitement, lorsque ces données sont traitées à l’aide de procédés automatisés sur la base de l’article 6, paragraphe 1, point a), ou de l’article 9, paragraphe 2, point a), ou d’un contrat conformément à l’article 6, paragraphe 1, point b), dudit règlement, tel qu’énoncé à l’article 20 du règlement (UE) 2016/679. Les personnes concernées ont également le droit d’obtenir que les données à caractère personnel soient transmises directement d’un responsable du traitement à un autre, mais uniquement lorsque cela est techniquement possible. L’article 20 du règlement (UE) 2016/679 précise que cela concerne les données fournies par la personne concernée, sans toutefois indiquer si cela requiert un comportement actif de la part de la personne concernée ou si cela s’applique également aux cas où un produit ou service connecté recueille passivement, par sa conception, le comportement d’une personne concernée ou d’autres informations relatives à une personne concernée. Les droits prévus par le présent règlement complètent le droit d’obtenir et de transférer des données à caractère personnel conformément à l’article 20 du règlement (UE) 2016/679 de différentes manières. Le présent règlement confère aux utilisateurs le droit d’accès et le droit de fournir à un tiers toutes les données relatives à un produit ou à un service associé, qu’il s’agisse ou non de données à caractère personnel, indépendamment de la distinction entre données fournies activement et données collectées passivement et de la base juridique du traitement. Contrairement à l’article 20 du règlement (UE) 2016/679, le présent règlement impose et garantit la faisabilité technique de l’accès des tiers à tous les types de données relevant de son champ d’application, qu’il s’agisse de données à caractère personnel ou non, garantissant ainsi que les obstacles techniques n’entravent ou n’empêchent plus l’accès à ces données. Elle permet également aux détenteurs de données de fixer une contrepartie raisonnable pour les coûts engendrés par la fourniture d’un accès direct aux données générées par le produit en réseau de l’utilisateur, qui doivent être supportés par des tiers et non par l’utilisateur. Lorsqu’un propriétaire de données et un tiers ne sont pas en mesure de convenir des conditions d’un tel accès direct, la personne concernée ne devrait en aucune manière être empêchée d’exercer les droits énoncés dans le règlement (UE) 2016/679, y compris le droit à la portabilité des données, en introduisant un recours conformément audit règlement. Dans ce contexte, conformément au règlement (UE) 2016/679, un contrat ne peut pas autoriser le traitement de catégories particulières de données à caractère personnel par le titulaire des données ou par le tiers.
(33) Un tiers auquel des données sont fournies peut être une personne physique ou morale, telle qu’un consommateur, une entreprise, un institut de recherche, une organisation à but non lucratif ou une entité juridique agissant à titre professionnel. Lorsqu’un propriétaire de données fournit des données à un tiers, il ne doit pas abuser de sa position pour obtenir un avantage concurrentiel sur des marchés où le propriétaire de données et le tiers peuvent être en concurrence directe. Par conséquent, le propriétaire des données ne devrait pas utiliser les données facilement disponibles pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production du tiers, ou sur l’utilisation par le tiers, de toute autre manière susceptible de porter atteinte à la position commerciale du tiers sur les marchés sur lesquels il opère. L’utilisateur doit être en mesure de fournir des données non personnelles à des tiers à des fins commerciales. Après accord de l’utilisateur et sous réserve des dispositions du présent règlement, les tiers devraient pouvoir transférer les droits d’accès aux données accordés par l’utilisateur à d’autres tiers, y compris contre rémunération. Les intermédiaires de données entre les entreprises et les systèmes de gestion des informations personnelles (PIMS), appelés services d’intermédiation de données dans le règlement (UE) 2022/868, peuvent aider les utilisateurs ou les tiers à établir des relations commerciales avec un nombre indéterminé de contreparties potentielles, à toute fin légitime relevant du champ d’application du présent règlement. Ils pourraient jouer un rôle crucial dans l’agrégation de l’accès aux données, facilitant ainsi l’analyse des données volumineuses ou l’apprentissage automatique, à condition que les utilisateurs conservent le contrôle total de la mise à disposition de leurs données pour une telle agrégation et des conditions commerciales dans lesquelles leurs données doivent être utilisées.
(37) Afin d’éviter que les utilisateurs ne soient exploités, les tiers auxquels les données ont été fournies à la demande de l’utilisateur ne devraient traiter ces données qu’aux fins convenues avec l’utilisateur et ne les transmettre à d’autres tiers que si l’utilisateur a donné son consentement à cette transmission de données.
(38) Conformément au principe de minimisation des données, les tiers ne devraient avoir accès qu’aux informations nécessaires à la fourniture du service demandé par l’utilisateur. Une fois que le tiers a eu accès aux données, il devrait les traiter aux fins convenues avec l’utilisateur, sans que le propriétaire des données n’intervienne. Il devrait être aussi facile pour l’utilisateur de refuser ou de mettre fin à l’accès d’un tiers aux données que pour lui d’autoriser l’accès à ces données. Ni les tiers ni les propriétaires de données ne devraient rendre indûment difficile l’exercice des choix ou des droits des utilisateurs, y compris en leur offrant des choix d’une manière non neutre, en forçant, en trompant ou en manipulant l’utilisateur, ou en sapant ou en entravant, y compris au moyen d’une interface utilisateur numérique ou d’une partie de celle-ci, l’autonomie, la capacité de décision ou le libre choix de l’utilisateur. Dans ce contexte, les tiers ou les propriétaires de données ne devraient pas recourir à ce que l’on appelle les „dark patterns“ pour concevoir leurs interfaces numériques. Les „dark patterns“ sont des techniques de conception utilisées pour inciter les consommateurs à prendre des décisions ayant des conséquences négatives pour eux ou pour les tromper. Ces techniques de manipulation peuvent être utilisées pour inciter et tromper les utilisateurs, en particulier les consommateurs vulnérables, à adopter un comportement indésirable en les encourageant à prendre des décisions concernant la divulgation de données, ainsi que pour influencer de manière disproportionnée la prise de décision des utilisateurs du service d’une manière qui compromet ou altère leur autonomie, leur capacité de décision ou leur choix. Les pratiques commerciales courantes et légitimes, conformes au droit de l’Union, ne devraient pas être considérées en soi comme des „dark patterns“. Les tiers et les propriétaires de données devraient respecter les obligations qui leur incombent en vertu du droit de l’Union applicable, notamment les exigences des directives 98/6/ (24) et 2000/31/ (25) du Parlement européen et du Conseil, ainsi que des directives 2005/29/ et 2011/83/UE.
(39) Les tiers doivent également s’abstenir d’utiliser les données relevant du champ d’application du présent règlement pour profiler une personne, à moins que ces activités de traitement ne soient strictement nécessaires à la fourniture du service demandé par l’utilisateur, y compris dans le contexte de la prise de décision automatisée. L’exigence d’effacer les données lorsqu’elles ne sont plus nécessaires aux fins convenues avec l’utilisateur complète, sauf accord contraire concernant les données non personnelles, le droit à l’effacement de la personne concernée conformément à l’article 17 du règlement (UE) 2016/679. Si un tiers est un fournisseur de services d’intermédiation de données, les protections prévues par le règlement (UE) 2022/868 pour la personne concernée s’appliquent. Le tiers peut utiliser les données pour le développement d’un produit connecté ou d’un service connecté nouveau et innovant, mais pas pour le développement d’un produit connecté concurrent.
(40) Les start-ups, les petites entreprises et les entreprises considérées comme moyennes au sens de l’article 2 de l’annexe de la recommandation 2003/361/, ainsi que les entreprises des secteurs traditionnels dont les capacités numériques sont moins développées, ont des difficultés à accéder aux données pertinentes. L’objectif du présent règlement est de faciliter l’accès de ces entités aux données, tout en veillant à ce que les obligations correspondantes soient aussi proportionnées que possible afin d’éviter toute surfacturation. L’accumulation et l’agrégation d’énormes quantités de données, ainsi que l’infrastructure technologique permettant de les monétiser, ont parallèlement donné naissance, dans l’économie numérique, à un petit nombre de très grandes entreprises dotées d’un pouvoir économique considérable. Parmi ces très grandes entreprises figurent des opérateurs de services de plateformes centrales qui contrôlent des écosystèmes de plateformes entiers dans l’économie numérique, de sorte qu’il n’est pas possible pour les acteurs du marché existants ou nouveaux de leur disputer leur position ou de leur faire concurrence. Le règlement (UE) 2022/1925 du Parlement européen et du Conseil (26) vise à remédier à ces inefficacités et déséquilibres en permettant à la Commission de désigner une entreprise comme „gardien de la porte“ et en imposant à ces gardiens une série d’obligations, dont l’interdiction de fusionner certaines données sans consentement et l’obligation de garantir des droits effectifs à la portabilité des données conformément à l’article 20 du règlement (UE) 2016/679. Conformément au règlement (UE) 2022/1925 et compte tenu de la capacité unique de ces entreprises à acquérir des données, il n’est pas nécessaire d’accorder un droit d’accès aux données à ces gardiens de portes pour atteindre l’objectif du présent règlement et est donc disproportionné par rapport aux titulaires de données soumis aux obligations correspondantes. Leur inclusion risque également de limiter les avantages que le présent règlement peut apporter aux PME en termes de répartition équitable de la valeur des données entre les acteurs du marché. Cela signifie qu’une entreprise désignée comme gardien de portail et exploitant des services de plateforme centrale ne peut pas, sur la base du présent règlement, demander ou obtenir l’accès aux données des utilisateurs générées lors de l’utilisation d’un produit en réseau ou d’un service connecté ou d’un assistant virtuel. En outre, les tiers auxquels des données sont fournies à la demande de l’utilisateur ne peuvent pas fournir ces données à un gardien de porte. Par exemple, le tiers ne peut pas faire appel à un gardien de porte pour fournir le service. Toutefois, cela n’empêche pas les tiers d’utiliser des services de traitement des données proposés par un gardien de porte. En outre, cela n’empêche pas ces entreprises d’obtenir et d’utiliser les mêmes données par d’autres moyens légitimes. Les droits d’accès prévus par le présent règlement contribuent à élargir le choix des services offerts aux consommateurs. Étant donné que les accords volontaires entre les gardiens de portes et les détenteurs de données ne sont pas affectés, une limitation de l’accès accordé aux gardiens de portes ne les exclurait pas du marché ou ne les empêcherait pas d’offrir leurs services.(41) Compte tenu de l’état actuel de la technique, il serait trop lourd d’imposer aux microentreprises et aux petites entreprises des obligations de conception supplémentaires pour les produits en réseau qu’elles fabriquent ou conçoivent, ou pour les services liés qu’elles fournissent. Tel n’est toutefois pas le cas lorsqu’une microentreprise ou une petite entreprise a une entreprise partenaire ou une entreprise liée au sens de l’article 3 de l’annexe de la recommandation 2003/361/ qui n’est pas considérée comme une microentreprise ou une petite entreprise et qui est chargée de la production ou de la conception d’un produit en réseau ou de la fourniture d’un service lié. Dans de tels cas, l’entreprise qui a confié le contrat de fabrication ou de conception à une microentreprise ou à une petite entreprise est en mesure d’indemniser le contractant de manière adéquate. Toutefois, une microentreprise ou une petite entreprise peut être soumise aux exigences du présent règlement en tant que propriétaire des données si elle n’est pas le fabricant du produit en réseau ou un fournisseur de services liés. Une période de transition devrait s’appliquer à une entreprise classée comme moyenne entreprise depuis moins d’un an et aux produits connectés mis sur le marché par une moyenne entreprise depuis moins d’un an. Cette période d’un an permet à une entreprise moyenne de s’adapter et de se préparer avant d’être exposée à la concurrence sur le marché des services pour les produits en réseau qu’elle fabrique, sur la base des droits d’accès prévus par le présent règlement. Cette période de transition ne s’applique pas lorsqu’une telle entreprise moyenne a une entreprise partenaire ou une entreprise liée qui n’est pas considérée comme une microentreprise ou une petite entreprise, ou lorsqu’une telle entreprise moyenne a été chargée de la production ou de la conception d’un produit en réseau ou de la fourniture d’un service lié.
(42) Compte tenu de la diversité des produits en réseau qui génèrent des données de nature, de volume et de fréquence différents, qui présentent des risques différents en matière de données et de cybersécurité et qui offrent des possibilités économiques de valeur différente, et afin d’assurer la cohérence des pratiques en matière de partage des données dans le marché intérieur, y compris entre les secteurs, et de promouvoir et d’encourager des pratiques équitables en matière de transfert de données, même dans les domaines où un tel droit d’accès n’est pas prévu, le présent règlement établit des règles horizontales concernant l’organisation de l’accès aux données dans tous les cas où un titulaire de données est tenu, en vertu du droit de l’Union ou de la législation nationale adoptée conformément au droit de l’Union, de fournir des données à un destinataire de données. Cet accès devrait être fondé sur des conditions équitables, raisonnables, non discriminatoires et transparentes. Ces règles générales d’accès ne s’appliquent pas aux obligations de fournir des données en vertu du règlement (UE) 2016/679. La communication volontaire de données n’est pas affectée par ces règles. Les clauses contractuelles types non contraignantes pour le transfert de données entre entreprises, que la Commission élaborera et recommandera, peuvent aider les parties à conclure des contrats qui prévoient des conditions équitables, raisonnables et non discriminatoires et qui doivent être mis en œuvre de manière transparente. La conclusion de contrats pouvant inclure les clauses contractuelles types non contraignantes ne devrait pas signifier que le droit de divulguer des données à des tiers est lié d’une quelconque manière à l’existence d’un tel contrat. Si les parties ne parviennent pas à conclure un contrat de transfert de données, même avec l’aide d’organismes de règlement des litiges, le droit de transférer des données à des tiers peut être invoqué devant les juridictions nationales.(45) Les accords de mise à disposition de données conclus dans le cadre de relations commerciales entre entreprises ne devraient pas faire de distinction entre des catégories comparables de destinataires de données, qu’il s’agisse de grandes entreprises ou de PME. Pour compenser le manque d’informations sur les conditions contenues dans différents contrats, qui rend difficile pour le destinataire des données d’évaluer si les conditions de mise à disposition des données sont non discriminatoires, il devrait incomber aux propriétaires de données de prouver qu’une clause contractuelle est non discriminatoire. Il n’y a pas de discrimination illégale si le propriétaire des données prévoit des clauses contractuelles différentes pour la fourniture des données, pour autant que ces différences soient justifiées par des raisons objectives. Ces obligations s’appliquent sans préjudice du règlement (UE) 2016/679.
(46) Afin d’encourager de nouveaux investissements dans la production et la fourniture de données précieuses, y compris dans les outils techniques pertinents, tout en évitant d’imposer des charges disproportionnées en matière d’accès aux données et d’utilisation de celles-ci, car cela rendrait le transfert de données non viable sur le plan économique, le présent règlement établit le principe selon lequel les titulaires de données peuvent exiger une contrepartie adéquate lorsqu’ils sont tenus, en vertu du droit de l’Union ou du droit national adopté conformément au droit de l’Union, de fournir des données à un destinataire dans le cadre de relations commerciales entre entreprises. Cette contrepartie ne devrait pas être considérée comme un paiement pour les données elles-mêmes. La Commission devrait adopter des lignes directrices sur la base desquelles il est possible de calculer une contrepartie adéquate dans l’économie des données.(47) Premièrement, une contrepartie adéquate pour l’exécution de l’obligation, en vertu du droit de l’Union ou de la législation nationale adoptée conformément au droit de l’Union, de répondre à une demande d’accès aux données peut inclure une compensation pour les coûts liés à la fourniture des données. Il peut s’agir de coûts techniques, tels que les coûts nécessaires à la reproduction, à la diffusion électronique et au stockage des données, mais pas des coûts de collecte ou de production des données. Les coûts techniques pourraient également inclure les coûts liés au traitement nécessaire en amont de la fourniture des données, y compris les coûts liés au formatage des données. Les coûts liés à la fourniture des données peuvent également inclure les coûts liés à la facilitation des demandes concrètes de transfert de données. En outre, ces coûts peuvent varier en fonction de la quantité de données et des accords conclus pour la fourniture des données. Les accords à long terme entre les détenteurs et les destinataires des données, par exemple un modèle d’abonnement ou l’utilisation de contrats intelligents, peuvent réduire les coûts dans le cadre de transactions régulières ou répétées dans une relation commerciale. Les coûts liés à la fourniture de données se rapportent soit à une demande spécifique, soit couvrent plusieurs demandes. Dans ce dernier cas, les coûts liés à la fourniture des données ne doivent pas être supportés intégralement par un seul destinataire des données. Deuxièmement, la contrepartie adéquate peut également inclure une marge, sauf en ce qui concerne les PME et les organismes de recherche à but non lucratif. La marge peut varier en fonction de facteurs liés aux données elles-mêmes, tels que la quantité, le format ou le type de données. Elle peut tenir compte des coûts de collecte des données. Par conséquent, la marge peut être plus faible si le propriétaire des données a collecté les données pour sa propre entreprise sans faire d’investissements importants, ou plus élevée s’il faut investir fortement dans la collecte des données pour les besoins de l’entreprise du propriétaire des données. Dans les cas où l’utilisation des données par le destinataire des données n’a pas d’incidence sur les propres activités du propriétaire des données, la marge peut être limitée, voire exclue. En outre, le fait que les données soient co-générées par un produit en réseau dont l’utilisateur est propriétaire ou qu’il loue ou prend en leasing pourrait rendre la contrepartie relativement plus faible que dans d’autres cas où les données sont générées par le propriétaire des données, par exemple dans le cadre de la fourniture d’un service lié.(48) L’intervention n’est pas nécessaire lorsque les données sont partagées entre de grandes entreprises ou lorsque le propriétaire des données est une petite ou moyenne entreprise et le destinataire une grande entreprise. Dans ces cas, les entreprises sont censées être en mesure de négocier une contrepartie dans des limites raisonnables et non discriminatoires.
(49) Afin de protéger les PME contre des charges économiques excessives qui rendraient excessivement difficile le développement et l’exploitation de modèles commerciaux innovants, la contrepartie adéquate qu’elles doivent payer pour la fourniture de données ne devrait pas dépasser les coûts directement liés à la fourniture des données. Les coûts directement liés à la fourniture sont ceux qui sont imputables à chaque demande d’accès aux données, en tenant compte du fait que le titulaire des données doit mettre en place de manière permanente les interfaces techniques ou les logiciels et la connexion au réseau nécessaires. La même règle devrait s’appliquer aux organismes de recherche à but non lucratif.
(51) La transparence est un principe important pour garantir que la contrepartie demandée par le propriétaire des données est raisonnable ou, si le destinataire des données est une PME ou un organisme de recherche à but non lucratif, que la contrepartie n’excède pas les coûts directement liés à la fourniture des données au destinataire des données et imputables à chaque demande individuelle. Afin de permettre aux destinataires des données d’évaluer et de vérifier que la contrepartie est conforme aux exigences du présent règlement, le propriétaire des données doit fournir au destinataire des données des informations suffisamment détaillées pour permettre le calcul de la contrepartie.
(52) Des moyens alternatifs de règlement des litiges nationaux et transfrontaliers liés à la fourniture de données devraient être mis à la disposition des détenteurs et des destinataires de données, de manière à renforcer la confiance dans le transfert de données. Si les parties ne parviennent pas à se mettre d’accord sur des conditions équitables, raisonnables et non discriminatoires pour la fourniture de données, les organes de règlement des litiges devraient offrir aux parties une solution simple, rapide et peu coûteuse. Si le présent règlement ne définit que les conditions que les organes de règlement des litiges doivent remplir pour être certifiés, les États membres sont libres d’adopter des règles spécifiques concernant la procédure de certification, y compris l’expiration ou le retrait de la certification. Les dispositions relatives au règlement des litiges contenues dans le présent règlement ne devraient pas obliger les États membres à établir des organismes de règlement des litiges.(55) Afin d’assurer l’application uniforme du présent règlement, les organes de règlement des litiges devraient tenir compte des clauses contractuelles types non contraignantes qui seront élaborées et recommandées par la Commission, ainsi que du droit de l’Union ou du droit national définissant les obligations en matière de divulgation des données ou des lignes directrices des autorités spécialisées concernées pour l’application de ce droit.
(53) Le mécanisme de règlement des litiges prévu par le présent règlement est un mécanisme facultatif qui permet aux utilisateurs, aux propriétaires de données et aux destinataires de données de convenir de soumettre leurs litiges à des organismes de règlement des litiges. Par conséquent, les parties devraient être libres de s’adresser à l’organisme de règlement des litiges de leur choix, que ce soit à l’intérieur ou à l’extérieur des États membres dans lesquels ces parties sont établies.
(54) Afin d’éviter, notamment dans une situation transfrontalière, que deux organes de règlement des litiges ou plus ne soient saisis du même litige, une demande de règlement d’un litige devrait pouvoir être refusée par un organe de règlement des litiges si elle a déjà été présentée à un autre organe de règlement des litiges ou à une juridiction d’un État membre.
(56) Les parties à une procédure de règlement des litiges ne devraient pas être empêchées d’exercer leurs droits fondamentaux à un recours effectif et à un procès équitable. Par conséquent, la décision de soumettre un litige à un organe de règlement des litiges ne devrait pas priver ces parties du droit d’introduire un recours devant une juridiction d’un État membre. Les organes de règlement des litiges devraient mettre à la disposition du public des rapports d’activité annuels.
(28) En ce qui concerne les contrats entre un propriétaire de données et un consommateur en tant qu’utilisateur d’un produit ou d’un service connecté qui génère des données, le droit de l’Union en matière de protection des consommateurs, notamment les directives 93/13/CEE et 2005/29/, s’applique afin d’éviter qu’un consommateur ne soit soumis à des clauses contractuelles abusives. Aux fins du présent règlement, les clauses contractuelles abusives imposées unilatéralement à une entreprise ne devraient pas être contraignantes pour cette entreprise.(43) Sur la base du principe de la liberté contractuelle, les parties devraient être libres de négocier dans leurs contrats, dans le cadre des règles générales d’accès à la fourniture de données, les conditions précises de la fourniture de données. Les conditions de ces contrats pourraient également porter sur les mesures techniques et organisationnelles, y compris en ce qui concerne la sécurité des données.(44) Afin de garantir que les conditions d’un accès obligatoire aux données soient équitables pour les deux parties, les règles générales relatives aux droits d’accès aux données devraient faire référence à la disposition relative à la prévention des clauses contractuelles abusives.(58) Si l’une des parties se trouve dans une position de négociation plus forte, elle risque d’exploiter cette position au détriment de l’autre partie lors des négociations sur l’accès aux données, avec pour résultat que l’accès aux données devient moins viable économiquement et parfois insupportable. De tels déséquilibres contractuels sont préjudiciables à toutes les entreprises qui ne sont pas réellement en mesure de négocier les conditions d’accès aux données et qui peuvent n’avoir d’autre choix que d’accepter des clauses contractuelles non négociables. Par conséquent, les clauses contractuelles abusives relatives à l’accès aux données et à leur utilisation ou à la responsabilité et aux recours en cas de violation ou de cessation des obligations liées aux données ne devraient pas lier les entreprises lorsque ces conditions ont été imposées unilatéralement à ces dernières.
(59) Les règles relatives aux clauses contractuelles devraient tenir compte du principe de la liberté contractuelle en tant que concept essentiel dans les relations commerciales entre entreprises. Par conséquent, toutes les clauses contractuelles ne devraient pas être soumises à un examen du caractère abusif, mais uniquement les clauses qui sont imposées unilatéralement. Cela concerne les situations sans marge de négociation, dans lesquelles une partie introduit une clause contractuelle spécifique et l’autre entreprise ne peut pas influencer le contenu de cette clause malgré une tentative de négociation. Les clauses contractuelles introduites uniquement par une partie et acceptées par l’autre entreprise, ou les clauses négociées entre les parties et convenues ensuite sous une forme modifiée, ne doivent pas être considérées comme imposées unilatéralement.(60) En outre, les règles relatives aux clauses contractuelles abusives ne devraient s’appliquer qu’aux éléments d’un contrat liés à la fourniture de données, à savoir les clauses contractuelles relatives à l’accès aux données et à leur utilisation, ainsi qu’à la responsabilité ou aux recours en cas de violation et de cessation des obligations liées aux données. Les autres parties du même contrat qui ne sont pas liées à la fourniture de données ne doivent pas être soumises à l’examen du caractère abusif prévu par le présent règlement.(61) Les critères d’identification des clauses contractuelles abusives ne devraient être appliqués qu’aux clauses contractuelles excessives qui abusent d’une position de négociation plus forte. La grande majorité des clauses contractuelles qui sont économiquement plus favorables à une partie qu’à l’autre, y compris celles qui sont habituelles dans les contrats entre entreprises, sont une expression normale du principe de la liberté contractuelle et continuent à s’appliquer. Aux fins du présent règlement, une dérogation grossière aux bonnes pratiques commerciales signifierait, entre autres, que la partie à laquelle la condition a été imposée unilatéralement est objectivement affectée dans sa capacité à protéger son intérêt commercial légitime pour les données concernées.(2) Si les clauses contractuelles sont conformes aux dispositions impératives du droit de l’Union ou, en l’absence de clauses contractuelles régissant la question, aux dispositions applicables du droit de l’Union, elles ne sont pas considérées comme abusives.
(62) Afin d’assurer la sécurité juridique, le présent règlement établit une liste de clauses qui sont toujours considérées comme abusives et une liste de clauses qui sont présumées abusives. Dans ce dernier cas, l’entreprise qui impose la clause contractuelle devrait être en mesure de réfuter la présomption de caractère abusif en démontrant qu’une clause contractuelle figurant dans le présent règlement n’est pas abusive dans le cas d’espèce. Lorsqu’une clause contractuelle ne figure pas dans la liste des clauses qui sont toujours considérées comme abusives ou qui sont présumées abusives, la disposition générale relative aux clauses abusives s’applique. Dans ce contexte, les clauses contractuelles énumérées comme abusives dans le présent règlement devraient servir de référence pour l’interprétation de la disposition générale relative aux clauses abusives. Enfin, les clauses contractuelles types non contraignantes établies et recommandées par la Commission pour les contrats de transfert de données entre entreprises peuvent également être utiles aux entreprises lors de la négociation de contrats. Si une clause contractuelle est déclarée abusive, le contrat concerné devrait continuer à s’appliquer sans cette clause, à moins que la clause abusive ne soit pas séparable des autres clauses du contrat.
(63) En cas de nécessité exceptionnelle, il peut être nécessaire que les autorités publiques, la Commission, la Banque centrale européenne ou les institutions de l’Union utilisent des données, y compris, le cas échéant, des métadonnées jointes, détenues par une entreprise, dans l’exercice de leurs obligations légales d’intérêt public, afin de répondre à des situations d’urgence publique ou à d’autres situations exceptionnelles. Par nécessité exceptionnelle, on entend des circonstances qui ne sont pas prévisibles et qui sont limitées dans le temps, par opposition à d’autres circonstances qui peuvent être planifiées ou programmées ou qui se produisent régulièrement ou fréquemment. Si le terme „détenteur de données“ n’inclut généralement pas les organismes publics, il peut inclure les entreprises publiques. Les organismes de recherche et les organismes de financement de la recherche pourraient également être établis en tant qu’organismes publics ou de droit public. Afin de limiter la charge pesant sur les entreprises, les microentreprises et les petites entreprises ne devraient être tenues de fournir des données aux organismes publics, à la Commission, à la Banque centrale européenne ou aux organes de l’Union que si ces données sont nécessaires en cas de nécessité exceptionnelle pour répondre à une urgence publique et si les organismes publics, la Commission, la Banque centrale européenne ou les organes de l’Union ne peuvent obtenir ces données autrement, dans des conditions équivalentes, de manière efficace et en temps utile.
(64) En cas de situations d’urgence publique, telles que les urgences en matière de santé publique, les urgences résultant de catastrophes naturelles, y compris celles qui sont aggravées par le changement climatique et la dégradation de l’environnement, et les catastrophes graves d’origine humaine, telles que les incidents de cybersécurité de grande ampleur, l’intérêt public à utiliser les données l’emportera sur l’intérêt des titulaires de données à disposer librement des données qu’ils détiennent. Dans ce cas, les titulaires de données devraient être tenus de mettre les données à la disposition des autorités publiques, de la Commission, de la Banque centrale européenne ou des institutions de l’Union, à leur demande. L’existence d’une situation d’urgence publique devrait être établie ou déclarée conformément au droit de l’Union ou au droit national et sur la base des procédures applicables, y compris celles des organisations internationales concernées. Dans de tels cas, l’organisme du secteur public devrait démontrer que les données faisant l’objet de la demande n’ont pas pu être obtenues autrement, en temps utile et de manière efficace, dans des conditions équivalentes, par exemple par la fourniture volontaire de données par une autre entreprise ou par des recherches dans une base de données publique.
(65) Un besoin exceptionnel peut également résulter de situations qui ne constituent pas un état d’urgence. Dans de tels cas, un organisme public, la Commission, la Banque centrale européenne ou un organe de l’Union ne devrait être autorisé à demander que des données à caractère non personnel. L’organisme public devrait démontrer que les données sont nécessaires à l’exécution d’une tâche spécifique d’intérêt public expressément prévue par la loi, telle que l’établissement de statistiques officielles ou l’atténuation ou la suppression d’une situation d’urgence publique. En outre, une telle demande ne peut être formulée que si l’autorité publique, la Commission, la Banque centrale européenne ou un organe de l’Union a identifié des données spécifiques qu’elle ne pourrait pas obtenir autrement, en temps utile et de manière efficace, dans des conditions équivalentes, et seulement après avoir épuisé tous les autres moyens disponibles, pour obtenir ces données, comme l’obtention des données par le biais d’accords volontaires, y compris l’acquisition de données à caractère non personnel sur le marché, en offrant le prix du marché du moment, ou en recourant aux obligations existantes de fournir des données ou en adoptant de nouvelles dispositions législatives qui pourraient garantir la disponibilité des données en temps utile. En outre, les conditions et les principes régissant les demandes devraient s’appliquer, notamment en ce qui concerne la limitation des finalités, la proportionnalité, la transparence et la limitation dans le temps. Lorsque des données nécessaires à l’établissement de statistiques officielles sont demandées, l’organisme public demandeur devrait également démontrer qu’il est autorisé, en vertu de la législation nationale, à acquérir des données à caractère non personnel sur le marché.
(66) Le présent règlement ne devrait pas s’appliquer aux accords volontaires d’échange de données entre organismes privés et publics, y compris la fourniture de données par les PME, ni préjuger de ces accords, et il est sans préjudice des actes juridiques de l’Union qui prévoient des demandes d’informations obligatoires adressées par des organismes publics à des organismes privés. Le présent règlement ne devrait pas affecter les obligations imposées aux détenteurs de données de fournir des données qui ne sont pas fondées sur une nécessité exceptionnelle, notamment lorsque la base de données et les détenteurs sont connus ou lorsque les données peuvent être utilisées régulièrement, comme dans le cas des obligations de déclaration et des obligations découlant du marché intérieur. Les exigences en matière d’accès aux données visant à vérifier le respect des règles applicables ne devraient pas non plus être affectées par le présent règlement, même dans les cas où les organismes publics confient la tâche de vérifier le respect des règles à des organismes autres que publics.
(68) Dans l’exercice de leurs fonctions dans les domaines de la prévention et de la détection des infractions pénales et des délits, des enquêtes et des poursuites en la matière, ou de l’exécution de sanctions pénales et administratives, ainsi que de la collecte de données à des fins fiscales ou douanières, les organismes publics, la Commission, la Banque centrale européenne ou les organes de l’Union devraient se fonder sur les pouvoirs dont ils disposent en vertu du droit de l’Union ou du droit national. Le présent règlement n’affecte donc pas les actes législatifs relatifs au transfert, à l’accès et à l’utilisation des données dans ces domaines.
(72) En cas de nécessité exceptionnelle liée à une urgence publique, les organismes publics devraient, dans la mesure du possible, utiliser des données non personnelles. Dans le cas de demandes fondées sur un besoin exceptionnel non lié à une urgence publique, aucune donnée à caractère personnel ne peut être exigée. Si des données à caractère personnel font l’objet d’une demande, le détenteur des données devrait toujours les rendre anonymes. S’il est absolument nécessaire de fournir, avec les données, des données à caractère personnel à une autorité publique, à la Commission, à la Banque centrale européenne ou à une institution de l’Union, ou si l’anonymisation s’avère impossible, l’autorité qui demande les données devrait démontrer la stricte nécessité et les finalités spécifiques et limitées du traitement. Les règles applicables en matière de protection des données à caractère personnel devraient être respectées. La fourniture des données et leur utilisation ultérieure devraient s’accompagner de mesures de protection des droits et des intérêts des personnes concernées par ces données.
(69) Conformément à l’article 6, paragraphes 1 et 3, du règlement (UE) 2016/679, un cadre proportionné, limité et prévisible est nécessaire au niveau de l’Union en ce qui concerne le choix de la base juridique pour la fourniture de données par les titulaires de données aux autorités publiques, à la Commission, à la Banque centrale européenne et aux organes de l’Union en cas de nécessité exceptionnelle, à la fois pour garantir la sécurité juridique et pour réduire au minimum la charge administrative pesant sur les entreprises. cette fin, les demandes de données adressées par les autorités publiques, la Commission, la Banque centrale européenne ou les organes de l’Union aux titulaires de données doivent être spécifiques, transparentes et proportionnées en ce qui concerne leur portée et leur niveau de détail. La finalité de la demande et l’utilisation prévue des données demandées devraient être expliquées de manière concrète et claire, tout en laissant à l’organisme demandeur une souplesse raisonnable dans l’exercice de ses missions d’intérêt public. La demande devrait également tenir compte des intérêts légitimes des détenteurs de données auxquels elle est adressée. Il convient de réduire au minimum la charge imposée aux titulaires de données en obligeant les organismes demandeurs à respecter le principe d’unicité de traitement, qui empêche que les mêmes données soient demandées plusieurs fois ou par plusieurs organismes publics, par la Commission, par la Banque centrale européenne ou par les organes de l’Union. Afin de garantir la transparence, les demandes de données émanant de la Commission, de la Banque centrale européenne ou des organes de l’Union devraient être publiées sans délai par l’entité qui demande les données. La Banque centrale européenne et les organes de l’Union devraient informer la Commission de leurs demandes. Si la demande de données émane d’une autorité publique, celle-ci devrait également informer le coordinateur de données de l’État membre dans lequel l’autorité publique est établie. Il convient de veiller à ce que toutes les demandes soient accessibles au public en ligne. Après avoir été informée d’une demande de données, l’autorité compétente peut décider d’évaluer la légitimité de la demande et s’acquitter de ses tâches relatives à l’exécution et à l’application du présent règlement. Le coordinateur de données doit veiller à ce que toutes les demandes émanant d’organismes publics soient accessibles au public en ligne.
(70) L’obligation de fournir des données vise à garantir que les organismes publics, la Commission, la Banque centrale européenne ou les institutions de l’Union disposent des connaissances nécessaires pour gérer ou prévenir les situations d’urgence publique ou pour y remédier, ou pour maintenir la capacité d’accomplir certaines tâches expressément prévues par la loi. Les données obtenues par ces organismes peuvent constituer des secrets d’affaires. Par conséquent, ni le règlement (UE) 2022/868 ni la directive (UE) 2019/1024 du Parlement européen et du Conseil (28) ne devraient s’appliquer aux données fournies en vertu du présent règlement, et ces données ne devraient pas être considérées comme des données ouvertes à la disposition de tiers pour une réutilisation. Toutefois, cela ne devrait pas affecter l’applicabilité de la directive (UE) 2019/1024 à la réutilisation de statistiques officielles pour l’établissement desquelles des données obtenues conformément au présent règlement ont été utilisées, pour autant que la réutilisation ne s’étende pas aux données sous-jacentes. En outre, cela ne devrait pas affecter la possibilité de transmettre les données à des fins de recherche ou de développement, de production et de diffusion de statistiques officielles, pour autant que les conditions fixées par le présent règlement soient remplies. Les organismes du secteur public devraient également être autorisés à échanger des données obtenues en vertu du présent règlement avec d’autres organismes du secteur public, la Commission, la Banque centrale européenne ou des organes de l’Union, afin de remédier au besoin exceptionnel pour lequel elles ont été demandées.
(71) Les titulaires de données devraient avoir la possibilité de refuser ou de demander une modification de la demande d’une autorité publique, de la Commission, de la Banque centrale européenne ou d’un organe de l’Union, sans délai et, en tout état de cause, au plus tard dans les cinq ou trente jours ouvrables, selon la nature du besoin exceptionnel invoqué dans la demande. Le cas échéant, le titulaire des données devrait avoir cette possibilité lorsqu’il n’a pas le contrôle des données demandées, c’est-à-dire lorsqu’il n’a pas d’accès direct aux données et ne peut pas déterminer leur disponibilité. La non-fourniture des données devrait pouvoir être justifiée s’il peut être démontré que la demande est comparable à une demande antérieure présentée dans le même but par une autre autorité publique ou par la Commission, la Banque centrale européenne ou un organe de l’Union et que le titulaire des données n’a pas été informé de l’effacement des données conformément au présent règlement. Si le titulaire des données refuse la demande ou en demande la modification, il doit motiver son refus auprès de l’organisme public, de la Commission, de la Banque centrale européenne ou de l’organe de l’Union qui a présenté la demande. Lorsque les droits sui generis prévus par la directive 96/9/CE du Parlement européen et du Conseil (29) s’appliquent aux enregistrements demandés, les titulaires de données devraient exercer leurs droits de manière à ne pas empêcher l’autorité publique, la Commission, la Banque centrale européenne ou l’organe de l’Union d’obtenir ou de divulguer les données conformément au présent règlement.
(73) Les données fournies à des organismes publics, à la Commission, à la Banque centrale européenne ou à des organes de l’Union en raison d’un besoin exceptionnel ne devraient être utilisées qu’aux fins de la demande de données, à moins que le titulaire des données qui les a fournies n’ait expressément consenti à ce que ces données soient utilisées à d’autres fins. Sauf accord contraire, les données devraient être effacées dès qu’elles ne sont plus nécessaires aux fins mentionnées dans la demande, et le titulaire des données devrait en être informé. Le présent règlement s’appuie sur les régimes d’accès existants de l’Union et des États membres et ne modifie pas les législations nationales relatives à l’accès du public aux documents concernant les obligations de transparence. Les données devraient être effacées dès qu’elles ne sont plus nécessaires pour satisfaire à ces obligations de transparence.
(74) Lorsqu’ils réutilisent des données fournies par des propriétaires de données, les organismes publics, la Commission, la Banque centrale européenne ou les institutions de l’Union doivent respecter à la fois le droit de l’Union ou le droit national en vigueur et les obligations contractuelles du propriétaire des données. Ils doivent s’abstenir de développer ou d’améliorer un produit en réseau ou un service associé qui soit en concurrence avec le produit en réseau ou le service associé du titulaire des données, ainsi que de communiquer les données à des tiers à ces fins. En outre, ils doivent reconnaître publiquement un propriétaire de données à la demande de celui-ci et être responsables de la garantie de la sécurité des données reçues. Si la divulgation des secrets d’affaires du propriétaire des données aux autorités publiques, à la Commission, à la Banque centrale européenne ou aux institutions de l’Union est absolument nécessaire pour atteindre les objectifs pour lesquels les données ont été demandées, le propriétaire des données devrait être assuré de la confidentialité de ces données avant leur divulgation.
(75) Lorsqu’il s’agit de protéger un bien public important, tel que la gestion d’une situation d’urgence publique, l’organisme public, la Commission, la Banque centrale européenne ou l’organe de l’Union concerné ne doit pas s’attendre à ce que les données obtenues soient fournies aux entreprises en contrepartie. Les urgences publiques sont des événements rares et toutes ces urgences ne nécessitent pas l’utilisation de données détenues par des entreprises. Parallèlement, l’obligation de fournir des données pourrait représenter une charge importante pour les microentreprises et les petites entreprises. Ces entreprises devraient donc pouvoir demander une contrepartie, même dans le contexte de mesures d’urgence publiques. Il est peu probable que l’activité des détenteurs de données soit affectée par le recours au présent règlement par des organismes publics, la Commission, la Banque centrale européenne ou des organes de l’Union. Toutefois, étant donné que les cas de nécessité exceptionnelle, autres que la gestion d’une urgence publique, peuvent être plus fréquents, les titulaires de données devraient avoir droit, dans ces cas, à une contrepartie adéquate, qui ne devrait pas dépasser les coûts techniques et organisationnels liés à la satisfaction de la demande, ainsi qu’à la marge raisonnable nécessaire pour fournir les données à l’organisme public, à la Commission, à la Banque centrale européenne ou à l’organe de l’Union. La contrepartie ne devrait pas être comprise comme un paiement pour les données elles-mêmes et ne devrait pas être obligatoire. Les titulaires de données ne devraient pas pouvoir exiger de contrepartie lorsque la législation nationale interdit aux instituts nationaux de statistique ou aux autres autorités nationales chargées de la production de statistiques d’accorder une contrepartie aux titulaires de données pour la fourniture de données. L’autorité publique, la Commission, la Banque centrale européenne ou l’organe de l’Union concerné devrait être en mesure de contester le montant de la contrepartie demandée au titulaire de données en saisissant l’autorité compétente de l’État membre dans lequel le titulaire de données est établi.
(76) L’organisme public, la Commission, la Banque centrale européenne ou un organe de l’Union devrait être autorisé à transmettre à d’autres organismes ou personnes les données qu’il a obtenues à la suite d’une demande, si cela est nécessaire pour mener des activités scientifiques ou analytiques qu’il ne peut mener lui-même, à condition que ces activités soient compatibles avec la finalité de la demande de données. Elle devrait informer en temps utile le titulaire des données d’une telle transmission. Les données peuvent également être transmises, dans les mêmes circonstances, aux instituts nationaux de statistique et à Eurostat pour le développement, la production et la diffusion de statistiques officielles. Toutefois, les activités de recherche concernées devraient être compatibles avec l’objectif de la demande de données et le titulaire des données devrait être informé de la transmission des données qu’il a fournies. Les personnes qui effectuent des recherches ou les organismes de recherche auxquels ces données peuvent être transmises devraient être soit à but non lucratif, soit agir dans l’intérêt public dans le cadre d’une mission reconnue par l’État. Les organismes ne devraient pas être considérés comme des organismes de recherche aux fins du présent règlement s’ils sont soumis dans une large mesure à l’influence d’entreprises commerciales qui, en raison de leurs caractéristiques structurelles, peuvent exercer un contrôle et obtenir ainsi un accès privilégié aux résultats de la recherche.
(77) Pour faire face à une urgence publique transfrontalière ou à un autre besoin exceptionnel, des demandes de données peuvent être adressées à des titulaires de données établis dans d’autres États membres que celui de l’organisme public demandeur. Dans ce cas, l’autorité publique requérante devrait informer l’autorité compétente de l’État membre dans lequel le titulaire des données est établi afin qu’elle puisse examiner la demande à la lumière des critères établis par le présent règlement. Cela devrait également s’appliquer aux demandes de la Commission, de la Banque centrale européenne ou d’un organe de l’Union. Si des données à caractère personnel sont demandées, l’organisme du secteur public devrait en informer l’autorité de contrôle compétente chargée de surveiller l’application du règlement (UE) 2016/679 dans l’État membre dans lequel l’organisme du secteur public est établi. L’autorité compétente concernée devrait être habilitée à informer l’organisme public, la Commission, la Banque centrale européenne ou l’organe de l’Union de la nécessité de coopérer avec les autorités publiques de l’État membre dans lequel le titulaire des données est établi, afin de réduire au minimum la charge administrative pesant sur le titulaire des données. Si l’autorité compétente a des raisons valables de s’opposer à la conformité de la demande avec le présent règlement, elle doit refuser la demande de l’organisme public, de la Commission, de la Banque centrale européenne ou de l’organe de l’Union, qui doit à son tour tenir compte de ces objections avant de prendre toute autre mesure, y compris la réintroduction de la demande.
(78) La possibilité pour les clients de services de traitement de données, y compris les services en nuage et les services de périphérie, de passer d’un service de traitement de données à un autre tout en conservant un ensemble minimal de fonctionnalités de service – et sans subir de temps d’arrêt – ou d’utiliser les services de plusieurs fournisseurs sans encourir de difficultés ni de coûts de transmission de données excessifs, est essentielle pour rendre le marché plus concurrentiel et réduire les barrières à l’entrée pour les nouveaux fournisseurs de services de traitement de données, ainsi que pour assurer une meilleure résilience des utilisateurs de ces services. Les clients qui bénéficient d’offres gratuites devraient également bénéficier des règles de changement de fournisseur établies par le présent règlement, afin que ces offres ne créent pas une situation de dépendance pour les clients.(79) Le règlement (UE) 2018/1807 du Parlement européen et du Conseil (30 ) encourage les fournisseurs de services de traitement de données à élaborer et à mettre en œuvre de manière effective des codes de conduite en matière d’autorégulation, comprenant les meilleures pratiques, notamment pour faciliter le changement de fournisseur de services de traitement de données et le transfert de données. Étant donné que la diffusion des cadres d’autorégulation élaborés par la suite a été limitée et qu’il existe un manque général de normes et d’interfaces ouvertes, il est nécessaire d’établir un ensemble d’obligations réglementaires minimales pour les fournisseurs de services de traitement de données afin d’éliminer les obstacles précommerciaux, commerciaux, techniques, contractuels et organisationnels qui, en cas de changement de fournisseur par le client, entraînent non seulement une diminution de la vitesse de transmission des données, mais empêchent également la mise en œuvre effective du passage d’un service de traitement de données à un autre.(82) Si le fournisseur initial de services de traitement de données fait obstacle à l’extraction des données exportables appartenant au client, cela peut entraver le rétablissement des fonctions du service dans l’infrastructure du fournisseur de services de traitement de données cessionnaire. Afin de faciliter la stratégie de sortie du client, d’éviter des tâches inutiles et fastidieuses et de garantir que le client ne perde aucune de ses données en exécutant le changement, le fournisseur initial de services de traitement de données devrait informer le client à l’avance de la quantité de données qui peuvent être exportées dès que ce client décide de passer à un autre service proposé par un autre fournisseur de services de traitement de données ou à une infrastructure TIC dans ses propres locaux. L’expression „données exportables“ devrait au moins couvrir les données d’entrée et de sortie – y compris les métadonnées – générées directement ou indirectement par l’utilisation du service de traitement des données par le client, ou générées conjointement, à l’exclusion des actifs ou des données provenant du fournisseur de services de traitement des données ou d’un tiers. Les actifs ou données du fournisseur de services de traitement de données ou d’un tiers qui sont protégés par des droits de propriété intellectuelle ou qui constituent des secrets commerciaux de ce fournisseur ou de ce tiers, ou les données relatives à l’intégrité et à la sécurité du service qui exposent le fournisseur de services de traitement de données à des risques de cybersécurité en cas d’exportation, devraient être exclus des données exportables. Ces exclusions ne devraient ni empêcher ni retarder la mise en œuvre du changement.(84) Le présent règlement vise à faciliter le passage d’un service de traitement de données à un autre, y compris les conditions et les mesures nécessaires pour permettre à un client de résilier un contrat de service de traitement de données, de conclure un ou plusieurs nouveaux contrats avec différents fournisseurs de services de traitement de données, de transférer ses données exportables et ses actifs numériques et de bénéficier, le cas échéant, d’une équivalence fonctionnelle.(91) Lorsque des fournisseurs de services de traitement de données sont eux-mêmes clients de services de traitement de données fournis par un tiers, ils peuvent eux-mêmes bénéficier d’une mise en œuvre plus efficace du changement, tout en restant soumis aux obligations prévues par le présent règlement en ce qui concerne leurs propres offres de services.(92) Les fournisseurs de services de traitement de données devraient être tenus de fournir, dans la limite de leurs capacités et de manière proportionnée à leurs obligations respectives, toute l’aide et toute l’assistance nécessaires pour que le passage au service d’un autre fournisseur de services de traitement de données se fasse avec succès, efficacement et en toute sécurité. Le présent règlement n’oblige pas les fournisseurs de services de traitement de données à développer de nouvelles catégories de services de traitement de données, y compris au sein de l’infrastructure TIC de différents fournisseurs de services de traitement de données ou sur la base de celle-ci, afin d’assurer l’équivalence fonctionnelle dans un environnement autre que le leur. Le fournisseur initial de services de traitement de données n’a pas accès à l’environnement du fournisseur de services de traitement de données cessionnaire et n’en a pas connaissance. L’équivalence fonctionnelle ne doit donc pas être comprise comme obligeant le fournisseur initial de services de traitement de données à rétablir le service en question dans l’infrastructure du fournisseur de services de traitement de données cessionnaire. Au contraire, le fournisseur initial de services de traitement de données devrait, dans le cadre de ses compétences, prendre toutes les mesures dont il dispose raisonnablement pour permettre la réalisation de l’équivalence fonctionnelle, en fournissant des capacités, des informations appropriées, de la documentation, une assistance technique et, le cas échéant, les outils nécessaires.(93) Les fournisseurs de services de traitement des données devraient également être tenus d’éliminer les obstacles existants et de ne pas en créer de nouveaux, y compris en ce qui concerne les clients qui souhaitent passer à une infrastructure TIC dans leurs propres locaux. Les obstacles peuvent être, entre autres, de nature précommerciale, commerciale, technique, contractuelle ou organisationnelle. Les fournisseurs de services de traitement de données devraient également être tenus d’éliminer les obstacles à la dissociation d’un service particulier d’autres services de traitement de données fournis dans le cadre d’un contrat et de permettre le passage d’un service à l’autre lorsqu’il n’existe pas d’obstacle technique majeur et démontrable à cette dissociation.
(96) Afin de faciliter l’interopérabilité et le passage d’un service de traitement des données à un autre, les utilisateurs et les fournisseurs de services de traitement des données devraient envisager d’utiliser des outils de mise en œuvre et de conformité, notamment ceux publiés par la Commission sous la forme d’un cadre réglementaire de l’UE pour l’informatique en nuage et d’un guide sur les marchés publics de services de traitement des données. Les clauses contractuelles types, en particulier, sont appropriées car elles renforcent la confiance dans les services de traitement des données, créent une relation plus équilibrée entre les utilisateurs et les fournisseurs de services de traitement des données et renforcent la sécurité juridique en ce qui concerne les conditions de passage à d’autres services de traitement des données. Dans ce contexte, les utilisateurs et les fournisseurs de services de traitement de données devraient envisager d’utiliser les clauses contractuelles types ou d’autres instruments de conformité par autorégulation – pour autant qu’ils répondent aux exigences du présent règlement – élaborés par des organismes ou des groupes d’experts compétents établis conformément au droit de l’Union.
(87) Les services de traitement des données sont utilisés dans différents domaines et présentent des différences en termes de complexité et de type de service. Il convient d’en tenir compte, notamment en ce qui concerne le processus de transfert et le délai correspondant. Néanmoins, il ne devrait être possible d’invoquer une prolongation de la période de transition que dans des cas dûment justifiés, lorsque le changement ne peut être achevé dans les délais prévus pour des raisons techniques. cet égard, la charge de la preuve devrait incomber entièrement au fournisseur du service de traitement des données concerné. Ceci est sans préjudice du droit exclusif du client de prolonger une fois la période de transition pour une durée qu’il estime mieux adaptée à ses propres objectifs. Le client peut invoquer ce droit de prolongation avant ou pendant la période de transition, en tenant compte du fait que le contrat continue de s’appliquer pendant la période de transition.
(95) Les informations que les fournisseurs de services de traitement des données doivent fournir aux clients pourraient soutenir la stratégie de désengagement des clients. Ces informations devraient comprendre les éléments suivants : les procédures d’initiation de la migration du service de traitement des données, les formats de données lisibles par machine dans lesquels les données des utilisateurs peuvent être exportées, les outils d’exportation des données – y compris les interfaces ouvertes – et les informations sur la compatibilité avec les normes harmonisées ou les spécifications communes fondées sur des spécifications d’interopérabilité ouvertes, les informations sur les limitations et restrictions techniques connues qui pourraient avoir une incidence sur l’exécution de la migration et le temps estimé nécessaire pour exécuter la migration.
(97) Afin de faciliter le passage d’un service de traitement de données à un autre, toutes les parties concernées, y compris le fournisseur de services de traitement de données initial et le fournisseur de services de traitement de données cessionnaire, devraient coopérer de bonne foi afin de rendre l’exécution du changement efficace et de permettre la transmission sécurisée et en temps voulu des données requises dans un format courant et lisible par machine via une interface ouverte, tout en préservant la continuité du service.
(89) Le fournisseur initial de services de traitement de données devrait pouvoir externaliser certaines tâches et rémunérer des tiers pour l’exécution des obligations prévues par le présent règlement. Les coûts de l’externalisation des services décidée par le fournisseur initial de services de traitement de données pendant l’exécution du processus de migration ne devraient pas être supportés par le client et ces coûts devraient être considérés comme injustifiés, sauf s’ils couvrent des services fournis par le fournisseur de services de traitement de données à la demande du client pour une assistance supplémentaire lors de la migration, qui vont au-delà des obligations du fournisseur lors de la migration expressément définies dans le présent règlement. Le présent règlement n’empêche pas les clients de rémunérer des tiers pour l’assistance au processus de migration, ni les parties de conclure, conformément au droit de l’Union ou au droit national, des contrats de services de traitement de données à durée fixe, y compris des sanctions proportionnées en cas de résiliation anticipée de ces contrats. Afin d’encourager la concurrence, la suppression progressive des frais liés au changement de fournisseur de services de traitement de données devrait comprendre, en particulier, la suppression des frais d’extraction de données perçus par un fournisseur de services de traitement de données auprès de son client. Les frais de service standard pour la fourniture des services de traitement de données eux-mêmes ne sont pas des frais de changement de fournisseur. Ces frais de service standard ne sont pas révocables et s’appliquent jusqu’à ce que le contrat relatif à la fourniture du service en question ne soit plus en vigueur. Les clients peuvent, en vertu du présent règlement, demander la fourniture de services supplémentaires qui vont au-delà des obligations de changement de fournisseur prévues par le présent règlement. Ces services supplémentaires peuvent être fournis et facturés par le fournisseur s’ils sont fournis à la demande du client et si le client accepte à l’avance le prix de ces services.
(94) Un niveau élevé de sécurité devrait être maintenu tout au long de la mise en œuvre du changement. Cela signifie que le fournisseur initial de services de traitement de données devrait étendre le niveau de sécurité auquel il s’est engagé en ce qui concerne le service à toutes les modalités techniques – telles que les connexions au réseau ou les équipements physiques – dont il est responsable pendant l’exécution du changement. Cela ne devrait pas porter atteinte aux droits existants en matière de résiliation de contrats, y compris ceux introduits par le règlement (UE) 2016/679 et la directive (UE) 2019/770 du Parlement européen et du Conseil (31). Le présent règlement ne doit pas être interprété comme empêchant un fournisseur de services de traitement de données d’offrir à ses clients des services, des caractéristiques et des fonctionnalités nouveaux et améliorés ou d’entrer en concurrence avec d’autres fournisseurs de services de traitement de données sur cette base.
(90) Pour éviter de se lier à certains fournisseurs au détriment de la concurrence et du développement de nouveaux services, il est nécessaire d’adopter une approche réglementaire de l’interopérabilité ambitieuse et propice à l’innovation. L’interopérabilité entre les services de traitement des données nécessite plusieurs interfaces et niveaux d’infrastructure ainsi que des logiciels et se limite rarement à la simple question de savoir si elle peut être réalisée ou non. La mise en place de l’interopérabilité nécessaire dépend plutôt d’une analyse coûts/bénéfices qui détermine s’il est raisonnable de viser les résultats raisonnablement prévisibles. La norme ISO/CEI 19941:2017 est une norme internationale importante qui constitue un point de référence essentiel pour la réalisation des objectifs du présent règlement, car elle contient des considérations techniques visant à clarifier la complexité d’un tel processus.
(98) Les services de traitement de données relatifs à des services dont la plupart des caractéristiques principales sont spécifiquement adaptées aux besoins particuliers d’un seul client ou dont tous les éléments ont été conçus pour répondre aux besoins d’un seul client devraient être exemptés de certaines des obligations applicables au passage d’un service de traitement de données à un autre. Les services offerts à grande échelle par le fournisseur de services de traitement de données dans son catalogue de services ne devraient pas en faire partie. Le fournisseur de services de traitement de données a l’obligation d’informer correctement les clients potentiels de ces services, avant la conclusion d’un contrat, des obligations prévues par le présent règlement qui ne s’appliquent pas aux services en question. Rien n’empêche le fournisseur de services de traitement de données d’introduire en fin de compte de tels services à grande échelle, mais dans ce cas, il devrait se conformer à toutes les obligations de changement prévues par le présent règlement.
(101) Les pays tiers peuvent adopter des lois, règlements et autres actes juridiques visant à permettre le transfert de données à caractère non personnel stockées en dehors de leurs frontières, y compris dans l’Union, ou l’accès direct des autorités publiques à ces données. Les décisions de justice ou les décisions d’autres autorités judiciaires ou administratives, y compris les autorités répressives, rendues dans des pays tiers et demandant un tel transfert ou un tel accès à des données à caractère non personnel devraient être exécutoires si elles sont fondées sur un accord international, tel qu’un accord d’entraide judiciaire, conclu entre le pays tiers demandeur et l’Union ou un État membre. Parfois, l’obligation de transférer des données à caractère non personnel ou d’accorder l’accès à de telles données en vertu du droit d’un pays tiers peut également aller à l’encontre d’une obligation de protéger ces données en vertu du droit de l’Union ou du droit national de l’État membre concerné, notamment en ce qui concerne la protection des droits fondamentaux des personnes, tels que le droit à la sécurité et le droit à un recours effectif, ou les intérêts fondamentaux d’un État membre en matière de sécurité ou de défense nationale, ainsi que la protection des données commerciales sensibles, y compris la protection du secret des affaires, et la protection des droits de propriété intellectuelle, y compris les obligations contractuelles de confidentialité prévues par une telle législation. En l’absence d’accord international régissant ces questions, le transfert de données à caractère non personnel ou l’accès à de telles données ne devrait être autorisé que s’il a été vérifié que le système juridique du pays tiers concerné exige que l’injonction ou la décision judiciaire soit motivée, proportionnée et suffisamment précise, et qu’il permet au destinataire de soumettre son objection motivée au contrôle de la juridiction compétente du pays tiers, qui est habilitée à prendre dûment en considération les intérêts juridiques pertinents du fournisseur de données. Dans la mesure du possible, le fournisseur de services de traitement des données devrait être en mesure d’informer le client dont les données sont demandées, dans le cadre de la demande d’accès aux données de l’autorité du pays tiers, avant d’accorder l’accès à ces données, afin de vérifier si un tel accès est susceptible d’enfreindre le droit de l’Union ou le droit national, tel que celui relatif à la protection des données commerciales sensibles, y compris la protection du secret des affaires et des droits de propriété intellectuelle et les obligations contractuelles de confidentialité.(102) Afin de renforcer encore la confiance dans les données, il est important que les protections destinées à garantir aux citoyens de l’Union, aux pouvoirs publics et aux entreprises le contrôle de leurs données soient mises en œuvre dans toute la mesure du possible. En outre, le droit, les valeurs et les normes de l’Union devraient être respectés, notamment en ce qui concerne la sécurité, la protection des données et de la vie privée et la protection des consommateurs. Afin d’éviter que les autorités de pays tiers n’accèdent illégalement à des données à caractère non personnel, les fournisseurs de services de traitement des données soumis au présent règlement, tels que les services en nuage et de périphérie, devraient prendre toutes les mesures raisonnables pour empêcher l’accès aux systèmes dans lesquels sont stockées des données à caractère non personnel, y compris, le cas échéant, par le cryptage des données, des audits fréquents, la vérification du respect des systèmes pertinents de certification de la sécurité et la modification de la politique de l’entreprise.
(103) La normalisation et l’interopérabilité sémantique devraient jouer un rôle important dans la mise en place de solutions techniques permettant d’assurer l’interopérabilité au sein des espaces européens communs de données et entre ceux-ci, qui sont des cadres interopérables spécifiques à une finalité ou à un secteur ou transsectoriels de normes et de procédures communes pour le transfert ou le traitement conjoint de données, y compris pour le développement de nouveaux produits et services, la recherche scientifique ou les initiatives de la société civile. Le présent règlement devrait définir certaines exigences essentielles en matière d’interopérabilité. Les participants aux espaces de données qui fournissent des données ou des services de données à d’autres participants et qui sont des entités facilitant le transfert de données au sein d’espaces européens communs de données ou intervenant dans ce transfert, y compris les propriétaires de données, devraient se conformer à ces exigences dans la mesure où elles concernent des éléments sur lesquels ils exercent un contrôle. La conformité à ces règles peut être assurée par le respect des exigences essentielles définies dans le présent règlement ou présumée sur la base du respect de normes harmonisées ou de spécifications communes dans le cadre d’une présomption de conformité. Afin de faciliter la conformité aux exigences d’interopérabilité, il est nécessaire de prévoir une présomption de conformité pour les solutions d’interopérabilité qui sont totalement ou partiellement conformes aux normes harmonisées établies par le règlement (UE) no 1025/2012, qui constitue le cadre standard pour l’élaboration des normes en vertu desquelles de telles présomptions de conformité sont prévues. La Commission devrait évaluer les obstacles à l’interopérabilité et classer les besoins de normalisation par ordre de priorité, de sorte qu’elle puisse, sur cette base et conformément au règlement (UE) no 1025/2012, donner mandat à un ou plusieurs organismes européens de normalisation d’élaborer des projets de normes harmonisées répondant aux exigences essentielles définies dans le présent règlement. Lorsque de tels mandats ne débouchent pas sur des normes harmonisées ou lorsque de telles normes harmonisées ne suffisent pas à garantir la conformité avec les exigences essentielles du présent règlement, la Commission devrait, tout en respectant dûment le rôle et les fonctions des organismes de normalisation, être en mesure d’adopter des spécifications communes dans les domaines précités. Les spécifications communes ne devraient être adoptées qu’à titre de solution de rechange exceptionnelle pour faciliter le respect des exigences essentielles du présent règlement, ou lorsque le processus de normalisation est bloqué, ou en cas de retard dans l’établissement de normes harmonisées appropriées. Si un retard est dû à la complexité technique de la norme concernée, la Commission devrait en tenir compte avant d’envisager l’adoption de spécifications communes. Les spécifications communes devraient être élaborées de manière ouverte et inclusive, en tenant compte, le cas échéant, de l’avis du Conseil européen de l’innovation dans le domaine des données (EDIB) créé en vertu du règlement (UE) 2022/868. En outre, des spécifications communes pourraient également être adoptées dans les différents secteurs – sur la base de leurs besoins spécifiques respectifs – conformément au droit de l’Union ou au droit national. En outre, la Commission devrait être en mesure de commander l’élaboration de normes harmonisées pour l’interopérabilité des services de traitement des données.
(99) Conformément à l’exigence minimale de permettre le changement de fournisseur de services de traitement de données, le présent règlement vise également à améliorer l’interopérabilité pour l’utilisation parallèle de plusieurs services de traitement de données grâce à des fonctionnalités complémentaires. Cela concerne les situations dans lesquelles les clients ne résilient pas un contrat en vue de changer de fournisseur de services de traitement de données, mais où plusieurs services de différents fournisseurs sont utilisés en parallèle et de manière interopérable afin de pouvoir utiliser les fonctions complémentaires des différents services dans la configuration du système du client. Toutefois, contrairement à l’extraction unique requise lors de l’exécution d’un changement, il est notoire que l’extraction de données d’un fournisseur de services de traitement de données à un autre dans le but de faciliter l’utilisation parallèle de services peut être un processus continu. Les fournisseurs de services de traitement de données devraient donc pouvoir continuer à percevoir des frais d’extraction de données à des fins d’utilisation parallèle après trois ans à compter de la date d’entrée en vigueur du présent règlement, qui ne dépassent pas les coûts encourus. Cela est important, entre autres, pour la réussite de l’introduction de stratégies multicloud, qui permettent aux clients de mettre en œuvre des stratégies informatiques à l’épreuve du temps et de réduire leur dépendance à l’égard d’un seul fournisseur de services de traitement des données. En facilitant une approche multicloud pour les clients des services de traitement des données, on peut également contribuer à renforcer la stabilité opérationnelle des systèmes numériques des clients, comme le prévoit le règlement (UE) 2022/2554 du Parlement européen et du Conseil (32 ) en ce qui concerne les fournisseurs de services financiers.
(100) Les spécifications et normes d’interopérabilité ouvertes élaborées conformément à l’annexe II du règlement (UE) n° 1025/2012 du Parlement européen et du Conseil (33) dans le domaine de l’interopérabilité et de la portabilité devraient permettre la mise en place d’un environnement en nuage multi-fournisseurs, ce qui est essentiel pour l’innovation ouverte dans l’économie européenne des données. Étant donné que l’initiative de coordination de la normalisation en matière d’informatique en nuage (CSC), qui s’est achevée en 2016, n’a pas permis une adoption massive de normes fixes par le marché, la Commission doit également compter sur les acteurs du marché pour élaborer des spécifications d’interopérabilité ouvertes pertinentes afin de suivre le rythme des progrès technologiques rapides dans ce secteur. Ces spécifications d’interopérabilité ouvertes peuvent ensuite être adoptées par la Commission sous la forme de spécifications communes. En outre, s’il n’a pas été démontré que des spécifications ou des normes communes facilitant l’interopérabilité effective en nuage du traitement des données au niveau PaaS et SaaS peuvent être établies par des procédures guidées par le marché, la Commission devrait être en mesure, sur la base du présent règlement et conformément au règlement (UE) no 1025/2012, de mandater des organismes européens de normalisation pour élaborer de telles normes pour certains types de services pour lesquels de telles normes n’existent pas encore. En outre, la Commission encouragera les acteurs du marché à élaborer des spécifications d’interopérabilité ouvertes pertinentes. la suite d’une consultation des parties intéressées, la Commission devrait pouvoir, au moyen d’actes d’exécution, imposer l’utilisation de normes d’interopérabilité harmonisées ou de spécifications communes d’interopérabilité pour certains types de services, par référence à une base de données centrale de l’Union sur les normes d’interopérabilité des services de traitement des données. Les fournisseurs de services de traitement des données devraient assurer la compatibilité avec ces normes harmonisées et spécifications communes sur la base de spécifications d’interopérabilité ouvertes qui ne devraient pas porter atteinte à la sécurité ou à l’intégrité des données. Il n’est fait référence à des normes harmonisées pour l’interopérabilité des services de traitement des données et à des spécifications communes fondées sur des spécifications d’interopérabilité ouvertes que si elles satisfont aux critères établis par le présent règlement, qui ont la même valeur que les exigences énoncées à l’annexe II du règlement (UE) no 1025/2012 et les aspects de l’interopérabilité définis dans la norme internationale ISO/CEI 19941:2017. En outre, les besoins des PME devraient être pris en compte dans le processus de normalisation.
(104) Afin de favoriser l’interopérabilité des outils d’exécution automatisée des accords de partage de données, il est nécessaire de définir des exigences essentielles pour les contrats intelligents que les professionnels créent pour d’autres ou intègrent dans des applications qui facilitent la mise en œuvre des accords de partage de données. Afin de faciliter la conformité de ces contrats intelligents à ces exigences essentielles, il est nécessaire de prévoir une présomption de conformité pour les contrats intelligents qui sont entièrement ou partiellement conformes aux normes harmonisées visées dans le règlement (UE) no 1025/2012. Le terme „contrat intelligent“ utilisé dans le présent règlement est neutre sur le plan technologique. Les contrats intelligents peuvent, par exemple, être associés à un registre électronique des transactions. Les exigences essentielles ne devraient s’appliquer qu’aux fournisseurs de contrats intelligents, et non lorsqu’ils élaborent en interne des contrats intelligents destinés à un usage interne uniquement. L’exigence essentielle visant à garantir que les contrats intelligents puissent être suspendus et résiliés suppose le consentement mutuel des parties à l’accord de transfert de données. L’utilisation de contrats intelligents pour l’exécution automatisée de tels accords n’affecte pas ou ne devrait pas affecter l’applicabilité des règles pertinentes du droit civil, du droit des contrats et du droit de la consommation aux accords de transfert de données.(105) Afin de démontrer que les exigences essentielles du présent règlement sont respectées, le fournisseur d’un contrat intelligent – ou, à défaut, la personne dont l’activité commerciale, industrielle ou professionnelle implique la mise en place de contrats intelligents pour autrui dans le cadre de l’exécution de tout ou partie d’un accord de fourniture de données dans le contexte du présent règlement – devrait procéder à une évaluation de la conformité et établir une déclaration UE de conformité. Cette évaluation de la conformité devrait être soumise aux principes généraux énoncés dans le règlement () no 765/2008 du Parlement européen et du Conseil (34) et la décision () no 768/2008 du Parlement européen et du Conseil (35).(106) Outre le fait que les développeurs professionnels de contrats intelligents doivent être tenus de respecter des exigences essentielles, il est également important d’encourager les participants aux espaces de données qui fournissent des données ou des services basés sur les données à d’autres participants au sein d’espaces de données européens communs et par l’intermédiaire de ces espaces de données à soutenir l’interopérabilité des outils de partage des données, y compris les contrats intelligents.
(107) Afin de garantir l’application et le respect du présent règlement, les États membres devraient désigner une ou plusieurs autorités compétentes. Si un État membre désigne plus d’une autorité compétente, il devrait également désigner parmi elles un coordinateur de données. Les autorités compétentes devraient coopérer entre elles. En exerçant leurs pouvoirs d’enquête conformément aux procédures nationales applicables, les autorités compétentes devraient être en mesure de rechercher et d’obtenir des informations, notamment en ce qui concerne les activités des entités relevant de leur compétence et, y compris dans le cadre d’enquêtes conjointes, en tenant dûment compte du fait que les mesures de contrôle et d’exécution concernant des entités relevant de la compétence d’un autre État membre devraient être prises par l’autorité compétente de cet autre État membre, le cas échéant conformément aux procédures de coopération transfrontalière. Les autorités compétentes devraient se prêter mutuellement assistance en temps utile, en particulier lorsqu’une autorité compétente d’un État membre détient des informations pertinentes pour une enquête menée par les autorités compétentes d’autres États membres, ou peut recueillir de telles informations auxquelles les autorités compétentes de l’État membre dans lequel l’entité est établie n’ont pas accès. Les autorités compétentes et les coordinateurs de données devraient figurer dans un registre public tenu par la Commission. Le coordinateur de données pourrait apporter une aide supplémentaire pour faciliter la coopération dans les situations transfrontalières, par exemple lorsqu’une autorité compétente d’un État membre donné ne sait pas à quelle autorité s’adresser dans l’État membre du coordinateur de données, si le cas concerne par exemple plusieurs autorités compétentes ou plusieurs secteurs. Le coordinateur de données devrait agir en tant que point de contact unique pour toutes les questions liées à l’application du présent règlement. Si aucun coordinateur de données n’a été désigné, l’autorité compétente devrait assumer les tâches confiées au coordinateur de données en vertu du présent règlement. Les autorités chargées de veiller au respect de la législation en matière de protection des données et les autorités compétentes désignées en vertu du droit de l’Union ou du droit national devraient être responsables de l’application du présent règlement dans leurs domaines de compétence. Afin d’éviter tout conflit d’intérêts, les autorités chargées de l’application et du contrôle de l’application du présent règlement dans le domaine de la fourniture de données à la suite d’une demande fondée sur un besoin exceptionnel ne devraient pas être habilitées à formuler une telle demande.
(19) L’expression „compétence en matière de données“ désigne les aptitudes, les connaissances et la compréhension qui permettent aux utilisateurs, aux consommateurs et aux entreprises, en particulier les PME, qui relèvent du champ d’application du présent règlement, de prendre conscience de la valeur potentielle des données qu’ils génèrent, produisent et partagent, et qui les incitent à offrir et à donner accès à leurs données conformément à la législation applicable. L’éducation aux données devrait aller au-delà de l’acquisition de connaissances sur les outils et les technologies et viser à donner aux citoyens et aux entreprises la capacité et les moyens de tirer profit d’un marché des données inclusif et équitable. La diffusion de mesures relatives aux compétences en matière de données et la mise en place d’un suivi approprié pourraient contribuer à améliorer les conditions de travail et, en fin de compte, à consolider l’économie des données dans l’Union et à en favoriser la trajectoire d’innovation. Les autorités compétentes devraient promouvoir des outils et prendre des mesures pour améliorer les compétences en matière de données des utilisateurs et des entités relevant du champ d’application du présent règlement et pour les sensibiliser à leurs droits et obligations au titre du présent règlement.
(108) Afin de faire valoir leurs droits au titre du présent règlement, les personnes physiques et morales devraient disposer d’un droit de recours en cas de violation de leurs droits au titre du présent règlement. Le coordinateur de données devrait fournir aux personnes physiques et morales qui en font la demande toutes les informations nécessaires pour leur permettre d’introduire un recours auprès de l’autorité compétente concernée. Ces autorités devraient être tenues de coopérer afin que la plainte soit traitée de manière adéquate et qu’une décision soit prise de manière efficace et rapide. Afin d’utiliser le mécanisme du réseau de coopération en matière de protection des consommateurs et de permettre les actions collectives, le présent règlement modifie les annexes du règlement (UE) 2017/2394 du Parlement européen et du Conseil (36) et de la directive (UE) 2020/1828 du Parlement européen et du Conseil (37).
(109) Les autorités compétentes devraient veiller à ce que des sanctions soient appliquées en cas de non-respect des obligations prévues par le présent règlement. Ces sanctions pourraient inclure des sanctions financières, des avertissements, des réprimandes ou des injonctions de mettre les pratiques commerciales en conformité avec les obligations prévues par le présent règlement. Les sanctions adoptées par les États membres devraient être efficaces, proportionnées et dissuasives et tenir compte des recommandations du CEPDI, contribuant ainsi à assurer un maximum de cohérence dans la définition et l’application des sanctions. Les autorités compétentes devraient, le cas échéant, prendre des mesures provisoires pour limiter l’impact d’une infraction présumée, en attendant la fin de l’enquête sur cette infraction. Ce faisant, elles devraient tenir compte, entre autres, de la nature, de la gravité, de l’étendue et de la durée du manquement au regard de l’intérêt public concerné, de l’ampleur et de la nature des activités exercées et de la capacité économique de la partie en infraction. Elles devraient également tenir compte du fait que le contrevenant ne respecte pas, de manière systématique ou répétée, les obligations qui lui incombent en vertu du présent règlement. Afin d’assurer le respect du principe non bis in idem et, en particulier, d’éviter qu’une même violation des obligations découlant du présent règlement ne soit sanctionnée plus d’une fois, un État membre qui a l’intention d’exercer sa compétence à l’égard d’une partie contrevenante qui n’est pas établie dans l’Union et qui n’a pas désigné de représentant dans l’Union devrait en informer sans délai tous les coordonnateurs de données et la Commission.
(111) Afin d’aider les entreprises à élaborer et à négocier des contrats, la Commission devrait élaborer et recommander des clauses contractuelles types non contraignantes pour les contrats de partage de données entre entreprises, en tenant compte, si nécessaire, des conditions qui prévalent dans certains secteurs et des pratiques existantes en matière de mécanismes de partage volontaire de données. Ces clauses contractuelles types devraient avant tout fournir un moyen pratique de faciliter la conclusion d’un contrat, en particulier pour les PME. Si les clauses contractuelles types sont utilisées de manière complète et cohérente, elles devraient également avoir une incidence positive sur la conception des contrats d’accès aux données et d’utilisation de ces dernières, ce qui devrait conduire à des relations contractuelles plus équitables en matière d’accès aux données et de partage des données.
(110) Le CEPD devrait conseiller et assister la Commission dans la coordination des procédures et des stratégies nationales sur les questions couvertes par le présent règlement et dans la réalisation de ses objectifs en matière de normalisation technique visant à améliorer l’interopérabilité. Il devrait également jouer un rôle clé dans l’organisation de discussions approfondies entre les autorités compétentes sur la mise en œuvre et l’application du présent règlement. Cet échange d’informations devrait améliorer l’accès effectif à la justice ainsi que l’exécution et la coopération judiciaire dans l’ensemble de l’Union. Entre autres tâches, les autorités compétentes devraient utiliser le CEPD comme plate-forme pour l’évaluation, la coordination et l’adoption de recommandations relatives aux sanctions applicables en cas de violation du présent règlement. Il devrait permettre aux autorités compétentes de convenir, avec l’aide de la Commission, d’une approche optimale pour la définition et l’application de ces sanctions. Cette approche permet d’éviter la fragmentation tout en offrant une certaine souplesse aux États membres, et elle devrait déboucher sur des recommandations efficaces favorisant l’application uniforme du présent règlement. En outre, le CEPD devrait jouer un rôle consultatif dans les procédures de normalisation et l’adoption de spécifications communes au moyen d’actes d’exécution, ainsi que dans l’adoption d’actes délégués établissant un mécanisme de contrôle des frais de changement de fournisseur perçus par les fournisseurs de services de traitement de données et précisant davantage les exigences essentielles en matière d’interopérabilité des données, de mécanismes et de services de transfert de données, ainsi que d’espaces européens communs de données. Il devrait également conseiller et assister la Commission dans l’adoption des lignes directrices relatives à la définition des spécifications d’interopérabilité pour le fonctionnement des espaces européens communs de données.
(112) Afin d’éviter le risque que les titulaires de données obtenues ou générées par des composants physiques, tels que des capteurs d’un produit et d’un service en réseau, ou d’autres données générées par des machines contenues dans des bases de données ne se prévalent du droit sui generis prévu à l’article 7 de la directive 96/9/ et, en particulier, n’entravent l’exercice effectif du droit des utilisateurs d’accéder aux données et de les utiliser, ainsi que du droit de les transmettre à des tiers conformément au présent règlement, il convient de préciser que le droit sui generis ne s’applique pas à ces bases de données. Cela ne porte pas atteinte à l’application éventuelle du droit sui generis prévu à l’article 7 de la directive 96/9/ aux bases de données contenant des données qui ne relèvent pas du champ d’application du présent règlement, pour autant que les exigences en matière de protection prévues au paragraphe 1 dudit article soient remplies.
(113) Afin de tenir compte des aspects techniques des services de traitement des données, il convient de déléguer à la Commission le pouvoir d’adopter des actes conformément à l’article 290 du TFUE, en vue de compléter le présent règlement par l’introduction d’un mécanisme de surveillance des frais de changement de fournisseur demandés par les fournisseurs de services de traitement des données sur le marché et de préciser davantage les exigences essentielles en matière d’interopérabilité pour les participants aux espaces de données qui fournissent des données ou des services de données à d’autres participants aux espaces de données. Il est particulièrement important que la Commission procède, dans le cadre de ses travaux préparatoires, à des consultations appropriées, y compris au niveau des experts, conformément aux principes énoncés dans l’accord interinstitutionnel du 13 avril 2016 “Mieux légiférer” (38). En particulier, afin de garantir une participation égale à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents en même temps que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d’experts de la Commission chargés de la préparation des actes délégués.(114) Afin d’assurer des conditions uniformes de mise en œuvre du présent règlement, il convient de conférer à la Commission des compétences d’exécution en ce qui concerne l’adoption de spécifications communes assurant l’interopérabilité des données, des mécanismes et des services de transfert de données et des espaces européens communs de données, de spécifications communes d’interopérabilité des services de traitement des données et de spécifications communes d’interopérabilité des contrats intelligents. Il convient également de conférer à la Commission des compétences d’exécution pour la publication des références aux normes harmonisées et aux spécifications communes d’interopérabilité dans la base de données centrale de l’Union sur les normes d’interopérabilité des services de traitement des données. Ces compétences devraient être exercées conformément au règlement (UE) n° 182/2011 du Parlement européen et du Conseil (39).
(117) Afin de permettre aux participants relevant du champ d’application du présent règlement de s’adapter aux nouvelles dispositions de celui-ci et de prendre les dispositions techniques nécessaires, il convient que ces dispositions ne soient applicables qu’à partir du 12 septembre 2025.
(118) Le Contrôleur européen de la protection des données et le Comité européen de la protection des données ont été consultés conformément à l’article 42, paragraphes 1 et 2, du règlement (UE) 2018/1725 et ont rendu leur avis le 4 mai 2022.