COMMISSION EUROPÉENNE Bruxelles, le 23.2.2022 COM(2022) 68 final 2022/0047(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL fixant des règles harmonisées pour l’équité de l’accès aux données et de l’utilisation des données

(règlement sur les données) (Texte présentant de l’intérêt pour l’EEE) {SEC(2022) 81 final} - {SWD(2022) 34 final} - {SWD(2022) 35 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition Le présent exposé des motifs accompagne la proposition de règlement fixant des règles harmonisées pour l’équité de l’accès aux données et de l’utilisation des données (règlement sur les données). Les données sont une composante centrale de l’économie numérique et une ressource essentielle pour assurer les transitions écologique et numérique. Le volume de données générées par les êtres humains et les machines a connu une croissance exponentielle ces dernières années. La plupart de ces données ne sont pourtant pas utilisées, ou leur valeur est concentrée entre les mains d’un nombre relativement réduit de grandes entreprises. Manque de confiance, incitations économiques contradictoires et obstacles technologiques sont autant de facteurs qui empêchent d’exploiter tout le potentiel de l’innovation fondée sur les données. Il est donc primordial de libérer ce potentiel en offrant des possibilités de réutiliser les données, ainsi qu’en supprimant les obstacles au développement de l’économie européenne fondée sur les données, conformément aux règles européennes et dans le plein respect de ses valeurs, et en cohérence avec la mission consistant à réduire la fracture numérique pour que chacun puisse profiter de ces avantages. Faire en sorte que la valeur des données soit répartie de manière mieux équilibrée et compatible avec la nouvelle vague de données industrielles à caractère non personnel et la prolifération des produits connectés à l’internet des objets reviendra à tirer parti de l’énorme potentiel existant pour stimuler une économie durable fondée sur les données en Europe. Réglementer l’accès aux données et l’utilisation de ces dernières est une condition préalable essentielle à la concrétisation des possibilités offertes par l’ère numérique dans laquelle nous vivons. La présidente de la Commission, Ursula von der Leyen, a déclaré dans ses orientations politiques pour la Commission 2019-2024 que l’Europe doit «équilibrer le flux et l’utilisation des données tout en préservant un haut degré de protection de la vie privée, de sécurité, de sûreté et d’éthique». Le programme de travail de la Commission pour 2020 définit plusieurs objectifs stratégiques, parmi lesquels la stratégie européenne pour les données, adoptée en février 2020. Celle-ci vise à construire un véritable marché unique des données et à faire de l’Europe un leader mondial de l’économie habile à tirer parti des données. À ce titre, le règlement sur les données est donc un pilier essentiel de la stratégie pour les données et la deuxième grande initiative annoncée dans ce cadre. En particulier, il contribue à la création d’un cadre de gouvernance intersectoriel pour l’accès aux données et l’utilisation de ces dernières en légiférant sur des questions qui ont une incidence sur les relations entre les acteurs de l’économie fondée sur les données, afin d’encourager le partage horizontal des données entre les secteurs. Dans ses conclusions des 21 et 22 octobre 2021, le Conseil européen a souligné «qu’il importe de progresser rapidement sur d'autres initiatives existantes et futures, consistant en particulier à valoriser les données en Europe, notamment au moyen d'un cadre réglementaire global qui soit propice à l'innovation, qui contribue à une meilleure portabilité des données et à un accès équitable aux données et qui assure l'interopérabilité». Le 25 mars 2021, le Conseil européen a réaffirmé qu’il importe de mieux exploiter le potentiel que recèlent les données et les technologies numériques dans l’intérêt de la société et de l’économie. Les 1er et 2 octobre 2020, il a insisté sur «la nécessité de rendre plus facilement accessibles des données de haute qualité et de favoriser et permettre un meilleur partage et une meilleure mise en commun des données, ainsi que l’interopérabilité». En ce qui concerne les services en nuage, les États membres de l’UE ont adopté à l’unanimité, le 15 octobre 2020, une déclaration commune sur la construction de l’informatique en nuage de la prochaine génération pour les entreprises et le secteur public dans l’UE. Cela nécessitera, par exemple, une nouvelle génération d’offres de services informatiques en nuage de l’UE qui répondent aux normes les plus élevées en matière de portabilité et d’interopérabilité. Dans sa résolution du 25 mars 2021 sur une stratégie européenne pour les données, le Parlement européen a invité instamment la Commission à présenter une loi sur les données visant à encourager et à permettre un flux de données plus important et équitable dans tous les secteurs, entre les entreprises, entre les entreprises et les administrations publiques et inversement et entre les administrations publiques elles-mêmes. Dans sa résolution du 25 mars 2021, le Parlement européen a également souligné la nécessité de créer des espaces européens communs des données pour garantir la libre circulation des données à caractère non personnel dans tous les pays et tous les secteurs, ainsi qu’entre les entreprises, les universités, les parties prenantes concernées et le secteur public. De ce point de vue, il a encouragé la Commission à clarifier les droits d’utilisation, notamment dans des contextes de marché interentreprises et entre les entreprises et les administrations. Il a souligné que les déséquilibres du marché résultant de la concentration des données restreignaient la concurrence, multipliaient les entraves à l’entrée sur le marché et limitaient l’accès aux données et leur utilisation. Dans sa résolution, le Parlement européen note également que les accords contractuels entre entreprises ne garantissent pas nécessairement un accès approprié aux données pour les petites et moyennes entreprises (PME). Cette situation s’explique par des disparités dans l’expertise et le pouvoir de négociation. Le Parlement européen a donc souligné la nécessité que les contrats définissent clairement les obligations et les responsabilités en ce qui concerne l’accès, le traitement, le partage et le stockage des données, afin de limiter leur utilisation abusive. À ce titre, la Commission et les États membres de l’UE ont été invités à examiner les droits et obligations des acteurs en matière d’accès aux données qu’ils ont contribué à produire et à mieux leur faire connaître ces droits et obligations, en particulier le droit d’accès aux données, de les transférer, d’obliger une autre partie à interrompre leur utilisation, à les rectifier ou à les supprimer, tout en identifiant les titulaires de ces droits et en délimitant la nature de ces droits. En ce qui concerne les relations entre entreprises et administrations publiques, le Parlement européen a demandé à la Commission de définir, dans quelles circonstances et conditions, et pour quelles incitations, le secteur privé devrait être contraint de mettre des données à la disposition du secteur public, notamment en raison de leur nécessité pour l’organisation de services publics fondés sur les données, et d’examiner également les systèmes de partage obligatoire de données entre les entreprises et les administrations publiques, par exemple en cas de force majeure. Dans ce contexte, la Commission présente la proposition de règlement sur les données dans le but de garantir l’équité dans la répartition de la valeur produite par les données entre les acteurs de l’économie fondée sur les données et de favoriser l’accès aux données et l’utilisation de ces dernières. La proposition contribuera à réaliser les objectifs stratégiques plus larges consistant à faire en sorte que, dans tous les secteurs, les entreprises de l’UE soient en mesure d’innover et de faire face à la concurrence, en donnant aux individus les moyens d’agir efficacement sur leurs données et en mieux équipant les entreprises et les organismes du secteur public d’un mécanisme proportionné et prévisible afin de relever les grands défis politiques et sociétaux, y compris les urgences publiques et autres situations exceptionnelles. Les entreprises pourront facilement changer de fournisseur de services en nuage et d’autres services de traitement de données pour ce qui concerne leurs données et autres actifs numériques. Le partage de données tant au sein des secteurs qu’entre les secteurs de l’économie nécessite la mise en place d’un cadre d’interopérabilité de mesures procédurales et législatives pour renforcer la confiance et améliorer l’efficacité. La création d’espaces européens communs des données pour les secteurs stratégiques de l’économie et les domaines d’intérêt public contribuera à la réalisation d’un véritable marché intérieur des données permettant leur partage et leur utilisation entre tous les secteurs. Le présent règlement contribue donc à ces cadres et infrastructures de gouvernance ainsi qu’au partage des données en dehors des espaces de données. Les objectifs spécifiques de la proposition sont exposés ci-dessous. –Faciliter l’accès aux données et l’utilisation de ces dernières par les consommateurs et les entreprises, tout en préservant les incitations à investir dans les moyens de créer de la valeur à partir des données. Il s’agit notamment de renforcer la sécurité juridique en matière de partage de données obtenues ou générées par l’utilisation de produits ou de services liés, ainsi que de mettre en œuvre des règles visant à garantir l’équité des contrats de partage de données. La proposition clarifie l’application des droits pertinents prévus par la directive 96/9/CE concernant la protection juridique des bases de données (directive sur les bases de données) à ses dispositions. –Prévoir l’utilisation, par les organismes du secteur public et les institutions, agences ou organes de l’Union, de données détenues par les entreprises dans certaines situations où il est nécessaire, à titre exceptionnel, de disposer de ces données. Cela concerne principalement les urgences publiques, mais aussi d’autres situations exceptionnelles où le partage obligatoire de données entre les entreprises et les administrations publiques est justifié, afin de soutenir des politiques et services publics fondés sur des données probantes, efficaces, efficients et axés sur les performances. –Faciliter le passage des services d’informatique en nuage aux services de traitement des données à la périphérie. L’accès à des services de traitement de données compétitifs et interopérables est indispensable à une économie des données performante, dans laquelle les données peuvent être facilement partagées dans et entre les écosystèmes sectoriels. Le niveau de confiance dans les services de traitement des données est déterminant pour l’adoption de ces services par les utilisateurs dans tous les secteurs de l’économie. –Mettre en place des garanties contre le transfert illicite de données, sans notification, par les fournisseurs de services informatiques en nuage. Cet objectif est lié aux préoccupations exprimées au sujet de l’accès illicite de gouvernements de pays tiers/de l’Espace économique européen (EEE) aux données. Ces garanties devraient renforcer encore la confiance dans les services de traitement des données sur lesquels l’économie européenne fondée sur les données s’appuie de plus en plus. –Prévoir l’élaboration de normes d’interopérabilité pour les données destinées à être réutilisées entre les secteurs, dans le but de supprimer les obstacles au partage des données entre les espaces européens communs des données spécifiques à certains domaines, conformément aux exigences d’interopérabilité sectorielles, et entre d’autres données qui ne relèvent pas d’un espace européen commun spécifique des données. La proposition soutient également la définition de normes pour les «contrats intelligents». Il s’agit de programmes informatiques stockés dans des registres électroniques qui exécutent et règlent des opérations en fonction de conditions prédéterminées. Ils sont susceptibles de garantir aux détenteurs et aux destinataires de données que les conditions relatives au partage des données sont remplies.

•Cohérence avec les dispositions existantes dans le domaine d'action La présente proposition est cohérente avec les règles existantes concernant le traitement des données à caractère personnel [(notamment le règlement général sur la protection des données (RGPD)], la protection de la vie privée et de la confidentialité des communications, ainsi que les données (à caractère personnel et non personnel) stockées dans un équipement terminal et accessibles depuis celui-ci (la directive vie privée et communications électroniques, qui sera remplacée par le règlement vie privée et communications électroniques, actuellement en cours de négociations au niveau législatif). La présente proposition complète les droits existants, en particulier les droits relatifs aux données générées par le produit d’un utilisateur connecté à un réseau de communications électroniques accessible au public. Le règlement relatif au libre flux des données à caractère non personnel a mis en place un élément fondamental de l’économie européenne fondée sur les données, en garantissant que les données à caractère non personnel peuvent être stockées, traitées et transférées partout dans l’Union. Il a également présenté une approche par autorégulation du problème de la «dépendance à l'égard des fournisseurs» au niveau des fournisseurs de services de traitement des données, en introduisant des codes de conduite pour faciliter les changements de fournisseur de services en nuage [codes de conduite «Switching Cloud Providers and Porting Data» élaborés par le secteur (Changement de fournisseur de services en nuage et portage des données) (SWIPO)»]. La présente proposition s’appuie sur cette approche pour aider les entreprises et les citoyens à tirer le meilleur parti du droit au changement de fournisseurs de services informatiques en nuage et au portage des données. Pour ce qui est du droit des contrats, elle est également pleinement conforme à la directive concernant les clauses contractuelles abusives. Quant aux services informatiques en nuage, étant donné que l’approche par autorégulation semble ne pas avoir eu d’incidence significative sur la dynamique du marché, la présente proposition présente une approche réglementaire du problème mis en évidence dans le règlement sur le libre flux des données à caractère non personnel. Le traitement et le stockage internationaux de données ainsi que les transferts de données sont régis par le RGPD, les engagements commerciaux de l’Organisation mondiale du commerce (OMC), l’accord général sur le commerce des services (AGCS), ainsi que des accords commerciaux bilatéraux. Le droit de la concurrence s’applique, entre autres, au contrôle des concentrations, au partage de données par des entreprises ou à l’abus de position dominante d’une entreprise. La directive sur les bases de données prévoit la protection sui generis des bases de données qui ont été créées à la suite d’un investissement important, même si la base de données elle-même n’est pas une création intellectuelle originale protégée par le droit d’auteur. S’appuyant sur une jurisprudence abondante qui interprète les dispositions de la directive sur les bases de données, la présente proposition lève les incertitudes juridiques persistantes sur la question de savoir si les bases de données qui contiennent des données générées ou obtenues par l’utilisation de produits ou de services liés, tels que des capteurs, ou d’autres types de données générées par des machines, pourraient bénéficier d’une telle protection. Le règlement «plateformes-entreprises» impose des obligations de transparence aux plateformes, qui sont tenues de décrire, dans le cas des utilisateurs professionnels, les données produites par la fourniture du service. La directive sur les données ouvertes fixe des règles minimales concernant la réutilisation des données détenues par le secteur public et des données résultant de la recherche financée au moyen de fonds publics, rendues publiques par l’intermédiaire d'archives. L’initiative «Une Europe interopérable» vise à instaurer une politique d’interopérabilité coopérative pour moderniser le secteur public. L’initiative est née du programme ISA2, un programme de financement de l’Union mis en œuvre entre 2016 et 2021, qui a soutenu le développement de solutions numériques visant à permettre une interopérabilité transfrontière et transsectorielle des services publics. La présente proposition complète le règlement sur la gouvernance des données récemment adopté, qui vise à faciliter le partage volontaire de données par les personnes physiques et les entreprises et harmonise les conditions d’utilisation de certaines données détenues par le secteur public, sans modifier les droits matériels sur les données ou les droits établis en matière d’accès aux données et d’utilisation de ces dernières. Elle complète également la proposition relative à la législation sur les marchés numériques, qui imposera à certains fournisseurs de services de plateforme essentiels désignés comme «contrôleurs d’accès» d’assurer, entre autres, une portabilité plus effective des données générées par les activités des entreprises et des utilisateurs finaux. La présente proposition n'a pas d'incidence sur les règles existantes en ce qui concerne la propriété intellectuelle (à l’exception de l’application du droit sui generis prévu par la directive sur les bases de données), la concurrence, la justice et les affaires intérieures et la coopération (internationale) dans ces domaines, les obligations liées au commerce, ou la protection juridique des secrets d’affaires. Des adaptations législatives sont nécessaires dans plusieurs domaines pour promouvoir la transition numérique. Des règles claires concernant l’accès à certaines données nécessaires à la circularité et à la durabilité de certains produits tout au long de leur cycle de vie et dans des situations non exceptionnelles seront établies au titre du passeport numérique européen des produits (dans le cadre de l’initiative relative aux produits durables). Les règles de droit privé constituent un élément clé du dispositif global. Le présent règlement adapte donc le droit des contrats et d’autres règles afin d’améliorer les conditions de réutilisation des données au sein du marché intérieur et d’empêcher les parties aux contrats de tirer parti abusivement des déséquilibres en matière de pouvoir de négociation au détriment des parties les plus faibles. En tant que proposition horizontale, le règlement sur les données prévoit, en ce qui concerne les droits d’utilisation des données, des règles de base pour tous les secteurs, par exemple dans les domaines des machines ou des biens de consommation intelligents. Toutefois, les droits et obligations sur l’accès aux données et l’utilisation de ces dernières ont également été réglementés, à des degrés divers, au niveau sectoriel. Le règlement sur les données ne modifiera aucune législation existante de ce type, mais à l’avenir, toute législation dans ces domaines devrait en principe être alignée sur les principes horizontaux établis par le règlement sur les données. La convergence avec les règles horizontales prévues par le règlement sur les données devrait être évaluée lors du réexamen des instruments sectoriels. La présente proposition autorise l’établissement, par la législation verticale, de règles plus détaillées permettant de réaliser les objectifs réglementaires sectoriels. En ce qui concerne la création de l’espace des données relatives au pacte vert, la révision de la directive INSPIRE permettra, compte tenu de la législation sectorielle existante, d’élargir encore la disponibilité et la réutilisation des données spatiales et environnementales. Cette initiative vise à aider les pouvoirs publics, les entreprises et les citoyens de l’UE à soutenir la transition vers une économie plus verte et neutre en carbone et à réduire la charge administrative. Elle devrait promouvoir les services de données réutilisables à grande échelle afin de contribuer à la collecte, au partage, au traitement et à l’analyse de grands volumes de données utiles pour le respect de la législation environnementale et pour les actions prioritaires définies dans le pacte vert pour l’Europe. L’initiative rationalisera la présentation des rapports et la réduction de la charge grâce à une meilleure réutilisation des données existantes, à la génération automatique de rapports via l’exploration de données, et à la veille économique. Le règlement de l’UE sur l’électricité impose aux gestionnaires de réseau de transport de fournir des données aux régulateurs, à des fins de planification de l’adéquation des ressources, tandis que la directive de l’UE sur l’électricité prévoit un accès transparent et non discriminatoire aux données et charge la Commission de définir des exigences d’interopérabilité et des procédures pour faciliter cet accès. La deuxième directive sur les services de paiement prévoit l’accès à certains types d’informations relatives aux opérations de paiement et aux comptes sous certaines conditions, ce qui permet un partage interentreprises de données dans le domaine des technologies financières. Dans le secteur de la mobilité et des transports, les règles en matière d’accès aux données et de partage de ces dernières sont très hétérogènes. Les informations sur la réparation et l’entretien des véhicules à moteur et des véhicules agricoles sont soumises à des obligations spécifiques en matière d’accès aux données/de partage des données en vertu de la législation relative à la réception par type. Toutefois, il est nécessaire de prévoir de nouvelles règles pour garantir que la législation existante relative à la réception par type des véhicules est adaptée à l’ère numérique et favorise le développement de véhicules propres, connectés et automatisés. Sur la base du règlement sur les données, qui constitue un cadre pour l’accès aux données et l’utilisation de ces dernières, ces règles permettront de prendre en compte des problèmes sectoriels, notamment l’accès aux fonctions et aux ressources des véhicules. Dans le cadre de la directive sur les systèmes de transport intelligents, plusieurs règlements délégués ont été élaborés et continueront de l’être, notamment pour mieux définir l’accessibilité des données pour le transport routier et multimodal de passagers, en particulier par l’intermédiaire des points d’accès nationaux. Dans le domaine de la gestion du trafic aérien, les données non opérationnelles sont importantes pour améliorer l’intermodalité et la connectivité. Les données opérationnelles relatives à la gestion du trafic aérien relèvent du régime spécifique défini dans le cadre du ciel unique européen. En ce qui concerne le suivi du trafic des navires, les données relatives aux navires (suivi et localisation) sont importantes pour améliorer l’intermodalité et la connectivité: ces données relèvent du régime spécifique défini dans la directive VTMIS. Elles relèvent également du système et des services maritimes numériques. La proposition de règlement sur le déploiement d’une infrastructure pour carburants alternatifs précise les types de données pertinents à mettre à disposition, en synergie avec le cadre général établi dans la directive sur les systèmes de transport intelligents. •Cohérence avec les autres politiques de l'Union La présente proposition est conforme aux priorités de la Commission consistant à adapter l’Europe à l’ère numérique et à bâtir une économie parée pour l’avenir qui soit au service des personnes, dans laquelle la numérisation du marché intérieur se caractérise par un degré élevé de confiance, de sécurité et de sûreté, ainsi que par un large éventail de choix pour les consommateurs. La numérisation du marché intérieur est hautement compétitive grâce à un cadre qui favorise la transparence, la concurrence et l’innovation, et qui est neutre sur le plan technologique. La proposition soutient la facilité pour la reprise et la résilience, tirant les leçons de la pandémie de COVID-19, ainsi que les avantages d’un accès plus facile aux données lorsque cela est nécessaire. La proposition soutient de diverses manières le rôle essentiel des données dans la réalisation des objectifs du pacte vert pour l’Europe. Premièrement, en permettant aux gouvernements, aux entreprises et aux particuliers de mieux comprendre les incidences des produits, des services et des matériaux sur la société et l’économie tout au long des chaînes d’approvisionnement. Deuxièmement, en exploitant la très grande quantité de données pertinentes du secteur privé pour affronter les problèmes liés au climat, à la biodiversité, à la pollution et aux ressources naturelles, conformément aux objectifs du pacte vert pour l’Europe, aux conclusions du Conseil et aux positions du Parlement européen en la matière. Troisièmement, en comblant les lacunes dans les connaissances et en gérant les crises connexes par des mesures renforcées d’atténuation, de préparation, de réaction et de rétablissement. Conformément à la stratégie industrielle, la proposition porte sur des technologies hautement stratégiques telles que l’informatique en nuage et les systèmes d’intelligence artificielle, des domaines dont l'UE n'a pas encore pleinement exploité le potentiel, à l'aube de la prochaine vague de données industrielles. Elle met en œuvre l’objectif de la stratégie pour les données, qui vise à ce que les entreprises soient mieux armées pour innover et soutenir la concurrence dans le respect des valeurs de l’UE et du principe de libre circulation des données au sein du marché intérieur. Elle est également conforme au plan d’action en faveur de la propriété intellectuelle, dans lequel la Commission s’est engagée à réviser la directive sur les bases de données.

La présente proposition devrait également être conforme aux principes énoncés dans le plan d’action sur le socle européen des droits sociaux et aux exigences en matière d’accessibilité énoncées dans la directive (UE) 2019/882 relative aux exigences en matière d’accessibilité applicables aux produits et services. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique La base juridique de la proposition est l’article 114 du traité sur le fonctionnement de l’Union européenne, dont l’objectif est la création et le fonctionnement du marché intérieur en renforçant les mesures relatives au rapprochement des règles nationales. Cette proposition vise à poursuivre l’achèvement du marché intérieur des données dans lequel les données provenant du secteur public, des entreprises et des particuliers sont utilisées au mieux, tout en respectant les droits relatifs à ces données et les investissements réalisés pour les collecter. Les dispositions relatives au changement de fournisseur de services de traitement des données visent à établir des conditions de marché équitables et concurrentielles pour le marché intérieur des services en nuage, des services à la périphérie et des services connexes. La protection des données commerciales confidentielles et des secrets d’affaires est un aspect important du bon fonctionnement du marché intérieur, comme dans d’autres contextes dans lesquels les services sont échangés et les biens commercialisés. La proposition garantit le respect des secrets d’affaires dans le cadre de l’utilisation des données entre entreprises ou par les consommateurs. L’initiative permettra à l’Union de tirer parti de l’ampleur du marché intérieur, étant donné que les produits ou services connexes sont souvent développés à partir de données provenant de différents États membres, puis commercialisés dans l’ensemble de l’Union. Certains États membres ont pris des mesures législatives pour résoudre les problèmes décrits ci-dessus, dans des scénarios interentreprises et entre les entreprises et les administrations publiques, tandis que d’autres ne l’ont pas fait. Cela peut entraîner une fragmentation législative du marché intérieur, avec des règles et des pratiques différentes dans l’Union et des coûts connexes pour les entreprises qui seraient tenues de se conformer à des régimes différents. Il importe donc de veiller à ce que les mesures proposées soient appliquées de manière uniforme dans tous les États membres. •Subsidiarité (en cas de compétence non exclusive) Compte tenu de la nature transfrontière de l’utilisation des données et des nombreux domaines d’incidence du règlement sur les données, les questions abordées par la présente proposition ne peuvent être traitées efficacement au niveau des États membres. La fragmentation résultant des disparités entre les règles nationales doit être évitée car elle entraînerait des coûts de transaction plus élevés, un manque de transparence, une insécurité juridique et la recherche indésirable de la juridiction la plus favorable. Il est particulièrement important d’éviter cette fragmentation dans toutes les situations concernant les aspects relatifs aux données des relations interentreprises, y compris les clauses contractuelles équitables et les obligations des fabricants de produits de l’internet des objets ou de services connexes, car ces aspects nécessitent un cadre homogène dans l’ensemble de l’Union. Une évaluation des aspects transfrontières des flux de données dans le domaine du partage des données entre entreprises et administrations publiques démontre également la nécessité d’agir au niveau de l’Union. De nombreux acteurs privés détenant des données pertinentes sont des entreprises multinationales. Celles-ci ne devraient pas être confrontées à un régime juridique fragmenté. Les services d’informatique en nuage sont rarement proposés dans un seul État membre. Le traitement transfrontière des données au sein de l’Union est conforme au RGPD et au règlement relatif au libre flux des données à caractère non personnel, qui permettent aux consommateurs et aux entreprises de traiter des données à caractère personnel et non personnel partout où ils le souhaitent dans l’Union. Ce traitement transfrontière est essentiel à l’exercice d’activités commerciales dans le marché intérieur. Il est donc crucial que les dispositions relatives au changement de fournisseur de services de traitement des données soient appliquées au niveau de l’Union, afin d’éviter une fragmentation préjudiciable sur un marché par ailleurs unifié des services de traitement des données. Seule une action commune au niveau de l’Union peut permettre la réalisation des objectifs fixés dans la présente proposition, y compris la création de conditions de concurrence équitables et innovantes pour les entreprises axées sur les données et l’autonomisation des citoyens. Cette action commune constitue un pas en avant certain dans la concrétisation du projet de créer un véritable marché intérieur des données. •Proportionnalité La présente proposition établit un équilibre entre les droits et les intérêts des parties prenantes concernées et l’objectif général de faciliter une utilisation plus large des données pour un vaste éventail d’acteurs. Elle crée un cadre favorable qui ne va pas au-delà de ce qui est nécessaire pour atteindre les objectifs. Elle s'attaque aux obstacles qui empêchent les entreprises, les consommateurs et le secteur public de tirer pleinement parti de la valeur potentielle des données. Elle définit également un cadre pour les futures règles sectorielles afin d’éviter la fragmentation et l’insécurité juridique. Elle clarifie les droits existants et, le cas échéant, fournit des droits d’accès aux données, contribuant ainsi à développer un marché intérieur pour le partage des données. L’initiative laisse une grande marge de manœuvre pour l’application au niveau sectoriel. Cette proposition entraînera des coûts financiers et administratifs qui seront principalement supportés par les autorités nationales, les fabricants et les fournisseurs de services, afin qu’ils se conforment aux obligations énoncées dans le présent règlement. Toutefois, l’examen des différentes options et de leurs coûts et avantages escomptés a permis de concevoir l’instrument de manière équilibrée. De même, les coûts pour les utilisateurs et les détenteurs de données seront compensés par la valeur qui découlera d’un accès et d’une utilisation plus larges des données, ainsi que par la pénétration de services innovants sur le marché. •Choix de l'instrument L’instrument choisi est un règlement parce qu’il s’agit du meilleur mécanisme pour servir les objectifs politiques plus larges visant à garantir que toutes les entreprises de l’Union soient mises en position d’innover et d’être compétitives, que les consommateurs soient mieux à même de contrôler leurs données et que les institutions, agences et organes de l’Union soient mieux armés pour relever les grands défis politiques, y compris les urgences publiques. Un règlement est nécessaire compte tenu de l’objectif d’harmonisation complète poursuivi par la proposition, afin de garantir la sécurité juridique et la transparence pour les opérateurs économiques, y compris les micro, petites et moyennes entreprises, et d’accorder aux personnes morales et physiques de tous les États membres le même niveau de droits et d’obligations juridiquement exécutoires, de garantir une application homogène dans tous les États membres, ainsi qu’une coopération efficace entre les autorités compétentes des différents États membres. La proposition renforcera le marché intérieur des données en renforçant la sécurité juridique et en garantissant un cadre juridique uniforme, horizontal et cohérent. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D'IMPACT •Évaluations ex post/bilans de qualité de la législation existante

La présente proposition s’appuie en partie sur la dernière évaluation de la directive sur les bases de données et sur l’étude de la Commission soutenant la révision de la directive. La directive sur les bases de données a introduit, entre autres, un droit «sui generis» spécifique pour protéger les bases de données si le fabricant d’une base de données a investi de manière substantielle dans l’obtention, la vérification et la présentation des données. Depuis sa première adoption, la directive a été évaluée à deux reprises. Ces deux évaluations ont été complétées par des communications de la Commission sur la politique relative à l’économie fondée sur les données. La Cour de justice de l’Union européenne a précisé la notion d’investissements substantiels dans une base de données, en clarifiant que le droit «sui generis» vise à protéger les investissements dans la collecte, et non la création de données en tant que sous-produit d’une autre activité économique. Toutefois, une incertitude demeure quant à l’application accidentelle ou involontaire du droit «sui generis» aux bases de données contenant des données générées par des machines, c’est-à-dire les données obtenues ou générées par l’utilisation de produits ou de services connexes. Il est nécessaire d’équilibrer les objectifs stratégiques de protection de la propriété intellectuelle de ces bases de données dans le contexte de l’économie des données, où l’exclusivité des données en tant que bien non rival est généralement considérée comme un obstacle à l’innovation. Par souci de cohérence avec les interventions réglementaires proposées dans la présente proposition, l’intervention sur le droit «sui generis» traite spécifiquement de l’application problématique identifiée du droit «sui generis» dans le contexte de l’internet des objets. La Commission prépare également actuellement l’évaluation du règlement (UE) 2018/1807, attendue pour novembre 2022. Les premiers rapports des contractants externes font apparaître l’effet limité des codes de conduite SWIPO sur le changement de fournisseur de services en nuage. •Consultation des parties intéressées Des travaux approfondis ont été entamés au cours du mandat de la précédente Commission afin de recenser les problèmes qui empêchent l’Union d’exploiter pleinement le potentiel de l’innovation fondée sur les données dans l’économie. La proposition s’appuie sur des consultations antérieures, telles que la consultation publique de 2017 à l’appui de la communication de la Commission intitulée «Créer une économie européenne fondée sur les données», la consultation publique de 2017 sur l’évaluation de la directive sur les bases de données, la consultation publique de 2018 sur la révision de la directive concernant la réutilisation des informations du secteur public, la consultation du panel PME de 2018 sur les principes et orientations en matière de partage de données entre entreprises et la consultation ouverte en ligne de la Commission sur la stratégie pour les données de février à mai 2020. Une analyse d’impact initiale a été publiée sur le portail «Mieux légiférer» le 28 mai 2021 et a recueilli des commentaires pendant 4 semaines. La Commission a reçu 91 contributions sur ce portail, principalement de la part d’entreprises. Une consultation publique en ligne sur le règlement sur les données a ensuite été publiée le 3 juin 2021. Elle a été clôturée le 3 septembre 2021. La consultation a abordé les points couverts par l’initiative avec des sections et des questions pertinentes. Elle ciblait tous les types de parties prenantes, recueillant des informations sur le partage, l’accès et l’utilisation des données dans des contextes interentreprises et d’entreprises à administrations publiques, sur l’autonomisation des consommateurs et la portabilité des données, sur le rôle potentiel des mesures techniques telles que les contrats intelligents, sur la capacité des utilisateurs à changer de fournisseur de services en nuage, sur les droits de propriété intellectuelle (c’est-à-dire la protection des bases de données), et sur les garanties pour les données à caractère non personnel au niveau international. Après avoir procédé à une analyse approfondie des réponses, la Commission a publié un rapport de synthèse sur son site web. Au total, 449 contributions ont été reçues en provenance de 32 pays. Les entités commerciales ont constitué le plus grand nombre de contributions, soit 122 associations professionnelles et 105 entreprises/organisations professionnelles. Par ailleurs, 100 répondants étaient des autorités publiques et 58 étaient des particuliers. D’une manière générale, les réponses ont confirmé qu’il existe toute une série d’obstacles à un partage efficace et efficient des données dans tous les types de relations. Dans le contexte interentreprises, bien que le partage de données entre entreprises soit une pratique courante, les répondants ayant rencontré des difficultés ont mentionné des obstacles de nature technique (formats, absence de normes - 69 %); le refus pur et simple d’accorder l’accès non lié à des problèmes de concurrence (55 %) ou l’abus d’un déséquilibre contractuel (44 %). En ce qui concerne les questions contractuelles, près de la moitié des répondants étaient favorables à l’introduction d’une appréciation du caractère abusif (46 %), tandis que 21 % n’y étaient pas favorables. Les PME ont manifesté un large soutien (50 %) en faveur d'une appréciation du caractère abusif, et un nombre important de grandes entreprises y étaient également favorables (41 %). De même, 46 % des parties prenantes des différents secteurs se sont montrées favorables à des règles générales d’accès fondées sur des conditions équitables, raisonnables et non discriminatoires. 60 % des répondants, en particulier les PME et les microentreprises (78 %), ont convenu que des clauses contractuelles types pourraient contribuer à accroître le partage des données. 70 % des parties prenantes ont exprimé l’opinion que les données générées dans le contexte de l’internet des objets posaient un problème d’équité, et que les fabricants de produits connectés ou de services connexes ne devraient pas pouvoir décider unilatéralement de ce qu’il advient des données générées par ces produits. 79 % des répondants estiment que les contrats intelligents pourraient constituer un outil efficace pour mettre en œuvre techniquement l’accès aux données et leur utilisation dans le contexte des données cogénérées de l’internet des objets. L’insécurité et les obstacles juridiques, les freins commerciaux et le manque d’infrastructures appropriées figuraient parmi les principaux facteurs entravant le partage de données entre entreprises et administrations publiques signalés par les répondants. Presque toutes les autorités publiques estiment qu’une action (de l’Union ou des États membres) sur le partage de données entre entreprises et administrations publiques est nécessaire, contre 80 % des établissements universitaires/de recherche et 38 % des entreprises/organisations professionnelles/associations. Une nette majorité des parties prenantes (en particulier les citoyens et les administrations publiques) a également exprimé l’opinion que le partage de données entre entreprises et administrations publiques devrait être obligatoire, avec des garanties claires pour les cas d’utilisation spécifiques présentant un intérêt public manifeste dans les situations d’urgence et à des fins de gestion de crise, pour les statistiques officielles, pour la protection de l’environnement et pour une société plus saine en général. Les répondants ont également confirmé l’utilité d’un droit au changement de fournisseur pour les utilisateurs professionnels de services d’informatique en nuage. En ce qui concerne les garanties relatives aux données à caractère non personnel dans des contextes internationaux, 76 % des répondants perçoivent l’accès potentiel aux données par des autorités étrangères sur la base de la législation étrangère comme un risque pour leur organisation, 19 % indiquant qu’il s’agit d’un risque majeur. •Obtention et utilisation d'expertise La proposition a été soutenue par plusieurs études, ateliers et autres contributions d’experts: –Étude à l’appui de l’analyse d’impact sur l’amélioration de l’utilisation des données en Europe, incluant des entretiens avec des parties prenantes ciblées, deux ateliers intersectoriels sur le partage de données interentreprises et d’entreprises à administrations publiques, ainsi qu’un atelier final de validation organisé au printemps 2021. –Étude sur les clauses contractuelles types, le contrôle de l’équité dans le partage de données et dans les contrats de services en nuage, ainsi que sur les droits d’accès aux données évaluant, en particulier, les aspects relatifs à l’équité dans les relations de partage de données interentreprises et comprenant des entretiens ciblés avec les parties prenantes et un atelier de validation. –Étude sur le préjudice économique causé par des clauses contractuelles abusives ou déséquilibrées concernant l’informatique en nuage incluant notamment une enquête en ligne auprès d’un échantillon de PME et de jeunes pousses utilisant l’informatique en nuage pour la conduite de leurs activités. –Étude sur le changement de fournisseur de services en nuage, comprenant un atelier intersectoriel au deuxième trimestre de 2017. –Étude à l’appui de la révision de la directive sur les bases de données, incluant des entretiens avec des parties prenantes ciblées. Cette étude a aidé la Commission dans sa préparation de l’analyse d’impact accompagnant la révision de la directive sur les bases de données dans le cadre du règlement sur les données et dans la réalisation de leurs objectifs interdépendants. –Soutien méthodologique à l’évaluation de l’incidence de l’utilisation de données détenues par le secteur privé dans les statistiques officielles. Cet exercice contribue à l’évaluation de l’incidence de la réutilisation des données entre entreprises et administrations publiques dans les statistiques officielles en élaborant une approche méthodologique et en décrivant les avantages et les coûts de la réutilisation des données et de certains cas d’utilisation pour différents domaines statistiques et différents types de données du secteur privé. En outre, il contribue aux recherches et aux délibérations en cours afin de parvenir à une meilleure compréhension du partage des données entre entreprises et administrations publiques. –Webinaires sur les plateformes de données à caractère personnel et les plateformes de données industrielles. Trois webinaires ont été organisés les 6, 7 et 8 mai 2020. Ils ont regroupé les projets de plateformes de données pertinents relevant du portefeuille du partenariat public-privé sur la valeur des mégadonnées (Big DataValue). –Rapport du groupe d’experts de haut niveau sur le partage des données entre les entreprises et les administrations publiques. Le rapport contient une analyse des problèmes liés au partage des données entre les entreprises et les administrations publiques dans l’Union et formule une série de recommandations visant à garantir un partage des données entre les entreprises et les administrations publiques qui soit modulable, responsable et durable dans l’intérêt public. Outre la recommandation à la Commission d’étudier l’option d’un cadre juridique dans ce domaine, le groupe d’experts a présenté plusieurs moyens d’inciter les entreprises privées à partager leurs données. Il s’agit notamment d’incitations monétaires et non monétaires, par exemple des incitations fiscales, l’investissement de fonds publics pour soutenir le déploiement d’outils techniques fiables et des systèmes de reconnaissance pour le partage des données.

–Atelier sur les labels/la certification des fournisseurs de solutions techniques pour l’échange de données. Une centaine de participants issus d’entreprises (y compris de PME), d’institutions européennes et d’universités ont participé à ce webinaire le 12 mai 2020. Son objectif était d’examiner si un système de labellisation ou de certification pouvait stimuler le recours par les entreprises à des intermédiaires de données en renforçant la confiance dans l’écosystème de données. –Dix ateliers organisés entre juillet et novembre 2019 ont rassemblé plus de 300 parties prenantes et couvert différents secteurs. Les ateliers ont porté sur la manière dont l’organisation du partage des données dans certains domaines, tels que l’environnement, l’agriculture, l’énergie ou les soins de santé, pourrait profiter à la société dans son ensemble, en aidant les acteurs publics à élaborer des politiques plus adaptées et à améliorer les services publics, ainsi que les acteurs privés à produire des services contribuant à relever les défis de société. –Consultation du panel de PME. Cette consultation, organisée d’octobre 2018 à janvier 2019, visait à recueillir l’avis des PME sur les principes et orientations de la Commission concernant le partage des données entre entreprises, publiés dans la communication intitulée «Vers un espace européen commun des données» et accompagnant le document de travail des services de la Commission du 25 avril 2018. –Dernier Eurobaromètre sur l’incidence de la numérisation. Cette enquête générale sur la vie quotidienne des Européens comprend des questions sur le contrôle et le partage des informations à caractère personnel par les citoyens. Publiée le 5 mars 2020, elle fournit des informations sur la volonté des citoyens européens de partager leurs informations à caractère personnel, et dans quelles conditions. –L’avis du Contrôleur européen de la protection des données (CEPD) sur la stratégie européenne pour les données. Le 16 juin 2020, le CEPD a adopté l’avis 3/2020 sur la stratégie européenne pour les données. Le CEPD s’est félicité de cette stratégie, estimant que sa mise en œuvre offrait l’occasion de montrer l’exemple pour un autre modèle d’économie fondé sur les données. •Analyse d’impact La présente proposition est accompagnée d’une analyse d’impact, soumise au comité d’examen de la réglementation le 29 septembre 2021 et le 13 décembre 2021. Le 21 janvier 2022, le comité a émis un avis favorable, assorti de réserves. •Réglementation affûtée et simplification En précisant que le droit «sui generis» conféré par la directive sur les bases de données (directive 96/9/CE) ne s’applique pas aux bases de données contenant des données générées ou obtenues par l’utilisation de produits ou de services liés, la proposition garantit que le droit «sui generis» n’interfère pas avec les droits des entreprises et des consommateurs d’accéder aux données, d’utiliser les données et de les partager prévus par le présent règlement. La clarification permettra d’aligner l’application du droit «sui generis» sur l’objectif de la proposition législative et aura une incidence positive sur l’application uniforme des règles dans le marché intérieur et sur l’économie des données. En facilitant l’accès aux données et l’utilisation des données, le règlement sur les données devrait réduire les charges, tant dans le secteur public que pour les entreprises, principalement en raison de la baisse des coûts de transaction et des gains d’efficacité. Dans le cadre de l’approche «un ajout, un retrait», qui vise à réduire au minimum les charges pour les citoyens et les entreprises en ce qui concerne les implications et les coûts de l’application de la législation, la charge administrative nette estimée du règlement sur les données, sur la base de l’analyse d’impact, représente des avantages qui sont susceptibles non seulement de compenser les coûts administratifs associés, mais aussi de l’emporter largement sur ces derniers. •Droits fondamentaux La proposition est conforme à la législation de l’Union sur la protection des données à caractère personnel et la confidentialité des communications et des équipements terminaux et prévoit des garanties supplémentaires lorsque l’accès aux données à caractère personnel peut être concerné ainsi que dans les cas soumis à des droits de propriété intellectuelle. Au chapitre II, un niveau élevé de protection des consommateurs est renforcé par le nouveau droit d’accès aux données générées par l’utilisateur dans des situations précédemment non couvertes par le droit de l’Union. Le droit d’utiliser et de disposer des biens acquis légalement est renforcé par un droit d’accès aux données générées par l’utilisation d’un objet de l’internet des objets. De cette manière, le propriétaire peut bénéficier d’une meilleure expérience utilisateur et d’un éventail plus large de services de réparation et d’entretien, par exemple. Dans le contexte de la protection des consommateurs, les droits des enfants en tant que consommateurs vulnérables méritent une attention particulière et les dispositions du règlement sur les données contribueront à clarifier les situations en ce qui concerne l’accès aux données et l’utilisation de ces dernières. Le droit d’accès aux données de l’internet des objets accordé à des tiers à la demande de l’utilisateur limite la liberté d’entreprise et la liberté contractuelle du fabricant ou du concepteur d’un produit ou d’un service lié. Cette limitation se justifie par la nécessité de renforcer la protection des consommateurs, notamment celle de promouvoir leurs intérêts économiques. Le fabricant ou le concepteur d’un produit ou d’un service lié exerce généralement un contrôle exclusif sur l’utilisation des données générées par l’utilisation d’un produit ou d’un service lié, ce qui contribue à des effets de verrouillage et entrave l’entrée sur le marché d’acteurs proposant des services après-vente. Le droit d’accès aux données de l’internet des objets remédie à cette situation en permettant aux consommateurs qui utilisent des produits ou des services liés de contrôler véritablement la manière dont les données générées par leur utilisation du produit ou du service lié sont utilisées et en permettant l’innovation par un plus grand nombre d’acteurs du marché. Les consommateurs peuvent donc bénéficier d’un choix plus large de services après-vente, tels que la réparation et l’entretien, et ne dépendent plus uniquement des services du fabricant. La proposition facilite la portabilité des données de l’utilisateur vers des tiers et permet ainsi une offre concurrentielle de services après-vente, ainsi qu’une innovation plus large fondée sur les données et le développement de produits ou de services non liés à ceux que l’acheteur a initialement achetés ou auxquels il s’est abonné. La limitation de la liberté du fabricant ou du concepteur de conclure des contrats et d’exercer une activité est proportionnée et atténuée par la faculté inchangée du fabricant ou du concepteur d’utiliser également les données, pour autant que la législation applicable et l’accord conclu avec l’utilisateur soient respectés. En outre, le fabricant ou le concepteur bénéficiera également du droit d’exiger une compensation pour permettre l’accès de tiers. Le droit d’accès est sans préjudice des droits existants en matière d’accès et de portabilité pour les personnes concernées au sens du RGPD. Des garanties supplémentaires permettent de s’assurer d’une utilisation proportionnée des données par le tiers. Au chapitre IV, un système de protection équitable et efficace contre les clauses contractuelles abusives dans le cadre du partage des données contribuera à la capacité des micro, petites et moyennes entreprises d’exercer une activité. Cette disposition restreint la liberté contractuelle des entreprises dans une mesure limitée, étant donné qu’elle ne s’applique qu’aux clauses contractuelles abusives relatives à l’accès aux données et à l’utilisation des données imposées unilatéralement par une partie contractante à une micro, petite ou moyenne entreprise. Cela se justifie dans la mesure où les PME se trouvent généralement dans une position de négociation plus faible et n’ont souvent pas d’autre choix que d’accepter des clauses contractuelles «à prendre ou à laisser». La liberté contractuelle reste largement inchangée, étant donné que seules les clauses excessives et abusives sont invalidées et que le contrat conclu reste, si possible, valable sans les clauses abusives. En outre, les parties peuvent encore négocier individuellement une clause contractuelle spécifique. Au chapitre V, les dispositions relatives au partage de données entre les entreprises et les administrations publiques sur la base d’un besoin exceptionnel renforceront la capacité des pouvoirs publics à prendre des mesures pour le bien commun, par exemple pour réagir à une urgence publique, prévenir une urgence publique ou contribuer au rétablissement à la suite d’une urgence publique. Le secteur privé tirera également profit de la rationalisation des procédures de demande de données. Au chapitre VI, les dispositions relatives au changement de fournisseur de traitement de données améliorent la position des entreprises clientes et préservent leur possibilité de changer de fournisseur. La restriction du droit d’exercer une activité économique imposée aux fournisseurs de traitement de données est justifiée par le fait que les nouvelles règles s’attaquent au problème de l’effet de verrouillage sur le marché de l’informatique en nuage et à la périphérie et améliorent le choix des services de traitement de données pour les entreprises utilisatrices et les particuliers. Au chapitre X, l’intervention sur le droit «sui generis» applicable aux bases de données de la directive sur les bases de données ne limite pas la protection de la propriété intellectuelle qui y est prévue. Elle renforce au contraire la sécurité juridique dans les cas où la protection du droit «sui generis» n’était pas claire auparavant. 4.INCIDENCE BUDGÉTAIRE

La présente proposition n’a aucune incidence budgétaire. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information Au niveau sectoriel et macroéconomique, l’étude sur la surveillance du marché des données qui est en cours aidera à suivre l’impact économique de la proposition actuelle sur la croissance du marché des données dans l’Union. L’impact sur les PME, à savoir leur perception des problèmes liés à l’accès aux données et à leur utilisation, sera évalué dans le cadre d’une consultation d’un panel de PME cinq ans après l’adoption du règlement sur les données. Compte tenu du rôle central joué par les espaces européens communs des données dans la mise en œuvre de la stratégie européenne pour les données, bon nombre des effets de la présente initiative feront l’objet d’un suivi au niveau des espaces de données sectoriels et des informations recueillies par le centre d’appui aux espaces de données qui devra être financé dans le cadre du programme pour une Europe numérique. L’interaction régulière entre les services de la Commission, le centre d’appui et le comité européen de l’innovation dans le domaine des données (qui sera mis en place après l’entrée en vigueur du règlement sur la gouvernance des données) devrait constituer une source d’information fiable permettant d’évaluer les progrès accomplis. Enfin, une évaluation sera lancée quatre ans après l’adoption du règlement sur les données afin d’évaluer l’initiative et de préparer d’autres actions si nécessaire. •Explication détaillée de certaines dispositions de la proposition Le chapitre I définit l’objet et le champ d’application du règlement et énonce les définitions utilisées dans l’ensemble de l’acte. Le chapitre II renforce la sécurité juridique pour les consommateurs et les entreprises en ce qui concerne l’accès aux données générées par les produits ou les services liés qu’ils possèdent, louent ou donnent en location. Les fabricants et les concepteurs doivent concevoir les produits de telle manière que les données soient facilement accessibles par défaut, et ils devront faire preuve de transparence quant aux données qui seront accessibles et à la manière d’y accéder. Les dispositions de ce chapitre n’affectent pas la possibilité pour les fabricants d’accéder aux données des produits ou des services liés qu’ils proposent et d’utiliser ces données, lorsque cela a été convenu avec l’utilisateur. Le détenteur de données est tenu de mettre ces données à la disposition de tiers à la demande de l’utilisateur. Les utilisateurs auront le droit d’autoriser le détenteur de données à donner accès aux données à des fournisseurs de services tiers, tels que les fournisseurs de services après-vente. Les micro et petites entreprises seront exemptées de ces obligations. Le chapitre III énonce les règles générales applicables aux obligations de mise à disposition des données. Lorsqu’un détenteur de données est tenu de mettre des données à la disposition d’un destinataire de données conformément au chapitre II ou à d’autres dispositions du droit de l’Union ou de la législation d’un État membre, le cadre général définit les conditions dans lesquelles les données sont mises à disposition et la compensation pour la mise à disposition des données. Toutes ces conditions devront être équitables et non discriminatoires, et toute compensation devra être raisonnable, sans empêcher que d’autres dispositions du droit de l’Union ou de la législation nationale mettant en œuvre le droit de l’Union n’excluent toute compensation ou ne prévoient une compensation moins élevée pour la mise à disposition des données. Toute compensation fixée pour les PME ne peut excéder les coûts occasionnés par la mise à disposition des données, sauf indication contraire dans les législations sectorielles. Les organismes de règlement des différends certifiés par les États membres peuvent prêter assistance aux parties qui ne sont pas d’accord sur la compensation ou les conditions à respecter pour parvenir à un accord. Le chapitre IV traite du caractère abusif des clauses contractuelles figurant dans les contrats de partage de données entre entreprises, lorsqu’une clause contractuelle est imposée unilatéralement par une partie à une micro, petite ou moyenne entreprise. Ce chapitre garantit que les accords contractuels relatifs à l’accès aux données et à l’utilisation des données ne tirent pas profit de déséquilibres entre les pouvoirs de négociation des parties contractantes. L’instrument de l’appréciation du caractère abusif comprend une disposition générale définissant le caractère abusif d’une clause contractuelle relative au partage de données, complétée par une liste de clauses qui sont soit toujours abusives soit présumées abusives. Dans des situations de pouvoir de négociation inégal, cette appréciation protège la partie contractuelle la plus faible contre un contrat abusif. Un tel caractère abusif entrave l’utilisation des données par les deux parties au contrat. De ce fait, les dispositions garantissent une répartition plus équitable de la valeur dans l’économie fondée sur les données. Les conditions contractuelles types recommandées par la Commission peuvent aider les parties commerciales à conclure des contrats à des conditions équitables. Le chapitre V crée un cadre harmonisé pour l’utilisation, par les organismes du secteur public et les institutions, organes et organismes de l’Union, des données détenues par des entreprises lorsqu’il existe un besoin exceptionnel pour les données demandées. Le cadre est fondé sur une obligation de mise à disposition des données et ne s’appliquerait qu’en cas d’urgence publique ou dans des situations où les organismes du secteur public ont un besoin exceptionnel d’utiliser certaines données qui ne peuvent être obtenues sur le marché, en temps utile, par l’adoption d’une nouvelle législation ou au moyen d’obligations existantes en matière de communication de données. En cas de besoin exceptionnel de répondre à une urgence publique, telle qu’une urgence de santé publique ou une catastrophe majeure d’origine naturelle ou humaine, les données seraient mises à disposition gratuitement. Dans d’autres cas de nécessité exceptionnelle, y compris pour prévenir une urgence publique ou pour contribuer au rétablissement à la suite d’une urgence publique, le détenteur de données qui met les données à disposition devrait avoir droit à une compensation correspondant aux coûts liés à la mise à disposition des données concernées, majorés d’une marge raisonnable. Afin que le droit de demander des données ne fasse pas l’objet d’abus et que le secteur public reste responsable de son utilisation, les demandes de données devraient être proportionnées, indiquer clairement l’objectif à atteindre et respecter les intérêts de l’entreprise qui met les données à disposition. Les autorités compétentes garantiraient la transparence et la mise à la disposition du public de toutes les demandes. Elles traiteraient également les éventuelles plaintes qui en résulteraient. Le chapitre VI introduit des exigences réglementaires minimales de nature contractuelle, commerciale et technique, imposées aux fournisseurs de services d’informatique en nuage, de services à la périphérie et d’autres services de traitement des données, afin de permettre le passage d’un service à l’autre. En particulier, la proposition garantit que les clients maintiennent l’équivalence fonctionnelle (un niveau minimal de fonctionnalité) du service après leur passage à un autre fournisseur de services. La proposition prévoit une exception en cas d’impossibilité technique, mais fait peser la charge de la preuve à cet égard sur le fournisseur de services. La proposition ne prévoit pas de normes techniques ou d’interfaces spécifiques. Toutefois, elle exige que les services soient compatibles avec les normes européennes ou les spécifications techniques d’interopérabilité ouvertes lorsqu’elles existent. Le chapitre VII traite de l’accès illicite de tiers à des données à caractère non personnel détenues dans l’Union par des services de traitement de données proposés sur le marché de l’Union. La proposition n’a aucune incidence sur la base juridique des demandes d’accès aux données introduites pour les données détenues par des citoyens ou des entreprises de l’UE et est sans préjudice du cadre de l’Union en matière de protection des données et de la vie privée. Elle offre des garanties spécifiques, les fournisseurs étant tenus de prendre toutes les mesures techniques, juridiques et organisationnelles raisonnables permettant d’empêcher un accès qui serait incompatible avec des obligations concurrentes de protection des données en vertu du droit de l’Union, à moins que des conditions strictes ne soient remplies. Le règlement respecte les engagements internationaux de l’Union au sein de l’OMC et dans les accords commerciaux bilatéraux. Le chapitre VIII prévoit des exigences essentielles à respecter en ce qui concerne l’interopérabilité pour les opérateurs d’espaces de données et les fournisseurs de services de traitement des données, ainsi que des exigences essentielles relatives aux contrats intelligents. Ce chapitre permet également de définir des spécifications d’interopérabilité ouvertes et des normes européennes pour l’interopérabilité des services de traitement des données afin de promouvoir un environnement en nuage multifournisseur continu. Le chapitre IX établit le cadre de mise en œuvre et d’application avec les autorités compétentes de chaque État membre, y compris un mécanisme de traitement des plaintes. La Commission recommande des clauses contractuelles types facultatives concernant l’accès aux données et l’utilisation des données. Des sanctions s’appliquent en cas d’infraction au présent règlement. Le chapitre X contient une disposition selon laquelle le droit «sui generis» établi dans la directive 96/9/CE ne s’applique pas aux bases de données contenant des données obtenues ou générées par l’utilisation d’un produit ou d’un service lié afin de faire obstacle à l’exercice effectif du droit des utilisateurs d’accéder aux données et d’utiliser les données conformément à l’article 4 du présent règlement ou du droit de partager ces données avec des tiers conformément à l’article 5 du présent règlement. Le chapitre XI permet à la Commission d’adopter des actes délégués afin d’introduire un mécanisme de suivi des frais de changement imposés aux fournisseurs de services de traitement des données, de préciser davantage les exigences essentielles en matière d’interopérabilité et de publier la référence des spécifications d’interopérabilité ouvertes et des normes européennes pour l’interopérabilité des services de traitement des données. Il prévoit également la procédure de comité pour l’adoption d’actes d’exécution visant à faciliter l’adoption de spécifications communes pour l’interopérabilité et les contrats intelligents lorsqu’il n’existe pas de normes harmonisées ou que les normes harmonisées sont insuffisantes pour garantir la conformité avec les exigences essentielles. La proposition clarifie également la relation avec d’autres actes juridiques de l’Union régissant les droits et obligations en matière de partage des données. 2022/0047 (COD)

Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL fixant des règles harmonisées pour l’équité de l’accès aux données et de l’utilisation des données

(règlement sur les données) (Texte présentant de l’intérêt pour l’EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, vu l’avis du Comité des régions, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)Ces dernières années, les technologies fondées sur les données ont eu des effets transformateurs sur tous les secteurs de l’économie. La multiplication rapide des produits connectés à l’internet des objets, en particulier, a fait augmenter le volume de données et leur valeur potentielle pour les consommateurs, les entreprises et la société. Des données de qualité et interopérables provenant de différents domaines permettent d’accroître la compétitivité et l’innovation et de garantir une croissance économique pérenne. Un même ensemble de données est susceptible d’être utilisé et réutilisé à diverses fins et de façon illimitée, sans perdre en qualité ni en quantité. (2)Les obstacles au partage de données empêchent que ces données ne soient réparties de façon optimale dans l’intérêt de la société. Parmi ces obstacles figurent l’absence de mesures incitant les détenteurs de données à conclure volontairement des accords de partage de données, l’incertitude quant aux droits et obligations en matière de données, le coût afférent à l’engagement d’un contractant chargé de mettre en œuvre les interfaces techniques, l’importante fragmentation des informations stockées en silos, une mauvaise gestion des métadonnées, l’absence de normes régissant l’interopérabilité sémantique et technique, les goulets d’étranglement qui entravent l’accès aux données, l’absence de pratiques communes de partage de données et l’exploitation abusive de déséquilibres contractuels en ce qui concerne l’accès aux données et leur utilisation. (3)Dans les secteurs qui comptent des micro, petites et moyennes entreprises, on constate souvent l’absence de capacités et de compétences numériques pour collecter, analyser et utiliser des données; l’accès à celles-ci est fréquemment restreint soit parce qu’elles sont détenues par un seul acteur au sein du système soit parce que toute interopérabilité fait défaut entre les données ou entre les services de données ou encore au-delà des frontières. (4)Afin de répondre aux besoins de l’économie numérique et d’éliminer les obstacles au bon fonctionnement du marché intérieur des données, il est nécessaire d’établir un cadre harmonisé qui précise qui, outre le fabricant ou un autre détenteur de données, dispose d’un droit d’accès aux données générées par les produits ou les services liés, dans quelles conditions et sur quel fondement. En conséquence, les États membres ne devraient pas adopter ou maintenir des exigences nationales supplémentaires pour les questions relevant du champ d’application du présent règlement, sauf disposition expresse de ce dernier, parce que cela porterait atteinte à l’application directe et uniforme du présent règlement. (5)Il est fait en sorte par le présent règlement que les utilisateurs d’un produit ou d’un service lié dans l’Union puissent avoir accès, en temps utile, aux données générées par l’utilisation de ce produit ou de ce service lié et que ces utilisateurs puissent se servir de ces données, y compris en les partageant avec des tiers de leur choix. Le présent règlement impose au détenteur de données de mettre des données, dans certaines circonstances, à la disposition des utilisateurs et des tiers désignés par ces utilisateurs. Il prévoit également que les détenteurs de données mettent des données à la disposition des destinataires de données dans l’Union dans des conditions équitables, raisonnables et non discriminatoires ainsi que de manière transparente. Les règles de droit privé sont essentielles dans le cadre général du partage de données. En conséquence, le présent règlement adapte les règles du droit des contrats et empêche que ne soient exploités les déséquilibres contractuels qui entravent l’accès équitable aux données et leur utilisation équitable par les micro, petites ou moyennes entreprises au sens de la recommandation 2003/361/CE. Le présent règlement prévoit également qu’en cas de besoin exceptionnel, les détenteurs de données mettent à la disposition des organismes du secteur public des États membres et à celle des institutions, organes et organismes de l’Union les données nécessaires à l’exécution de missions d’intérêt public. Le présent règlement vise en outre à faciliter le passage d’un service de traitement des données à un autre et à améliorer l’interopérabilité des données ainsi que des mécanismes et services de partage de données dans l’Union. Il conviendrait de ne pas interpréter le présent règlement comme reconnaissant ou créant une base juridique permettant au détenteur de données de détenir des données, d’y avoir accès ou d’en effectuer le traitement ou comme lui conférant un droit nouveau d’utiliser les données générées par l’utilisation d’un produit ou d’un service lié. Le présent règlement a plutôt pour point de départ le contrôle dont le détenteur de données jouit effectivement, en fait ou en droit, sur les données générées par des produits ou des services liés. (6)Des données sont générées sous l’effet des actions d’au moins deux acteurs: le concepteur ou fabricant d’un produit et l’utilisateur de ce produit. La génération de données soulève des questions d’équité dans l’économie numérique parce que les données enregistrées par ces produits ou ces services liés constituent un apport important pour les services après-vente, les services auxiliaires et autres. Afin de concrétiser les avantages économiques considérables que les données, en tant que «bien non rival», présentent pour l’économie et la société, une approche générale de l’attribution des droits d’accès et d’utilisation en matière de données est préférable à l’octroi de droits exclusifs d’accès et d’utilisation. (7)Le droit fondamental à la protection des données à caractère personnel est garanti notamment par le règlement (UE) 2016/679 et le règlement (UE) 2018/1725. La directive 2002/58/CE protège, quant à elle, la vie privée et la confidentialité des communications en prévoyant notamment des conditions régissant tout stockage de données à caractère personnel et de données à caractère non personnel dans un équipement terminal et l’accès aux unes et aux autres à partir dudit équipement. Ces instruments servent de base à un traitement pérenne et responsable des données, y compris lorsque les ensembles de données contiennent un mélange de données à caractère personnel et de données à caractère non personnel. Le présent règlement complète, sans y porter atteinte, les dispositions de droit de l’Union relatives à la protection des données et à la vie privée, en particulier le règlement (UE) 2016/679 et la directive 2002/58/CE. Aucune disposition du présent règlement ne devrait être appliquée ou interprétée de manière à réduire ou à limiter le droit à la protection des données à caractère personnel ou le droit à la vie privée et à la confidentialité des communications. (8)Les principes de la minimisation des données ainsi que de la protection des données dès la conception et de la protection des données par défaut sont essentiels lorsque le traitement comporte des risques importants pour les droits fondamentaux des personnes. Compte tenu de l’état des connaissances, toutes les parties au partage de données, y compris lorsque ce partage relève du champ d’application du présent règlement, devraient mettre en œuvre des mesures techniques et organisationnelles pour protéger ces droits. Des mesures de ce type incluent non seulement la pseudonymisation et le cryptage mais aussi le recours à des technologies de plus en plus disponibles qui permettent d’appliquer des algorithmes aux données et d’obtenir des informations précieuses sans transmission de ces données entre les parties ni copie inutile des données brutes ou des données structurées elles-mêmes.

(9)Le présent règlement complète, sans y porter atteinte, le droit de l’Union visant à promouvoir les intérêts des consommateurs et à assurer un niveau élevé de protection de ces derniers, à protéger leur santé, leur sécurité et leurs intérêts économiques, en particulier la directive 2005/29/CE du Parlement européen et du Conseil, la directive 2011/83/UE du Parlement européen et du Conseil et la directive 93/13/CEE du Parlement européen et du Conseil. (10)Le présent règlement est sans préjudice des actes juridiques de l’Union qui prévoient le partage de données, l’accès à ces dernières et leur utilisation à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, ou à des fins douanières et fiscales, quelle que soit la base juridique prévue par le traité sur le fonctionnement de l’Union européenne sur laquelle ces actes ont été adoptés. Il s’agit notamment du règlement (UE) 2021/784 du Parlement européen et du Conseil du 29 avril 2021 relatif à la lutte contre la diffusion de contenus à caractère terroriste en ligne, des propositions sur les preuves électroniques [COM(2018) 225 et 226] une fois qu’elles auront été adoptées, du [de la proposition de] règlement du Parlement européen et du Conseil relatif à un marché intérieur des services numériques (Législation sur les services numériques) et modifiant la directive 2000/31/CE, ainsi que de la coopération internationale dans ce domaine fondée, en particulier, sur la convention de 2001 du Conseil de l’Europe sur la cybercriminalité («convention de Budapest»). Le présent règlement est sans préjudice des compétences des États membres en ce qui concerne les activités relatives à la sécurité publique, à la défense et à la sécurité nationale conformément au droit de l’Union, et les activités des autorités douanières relatives à la gestion des risques et, en général, à la vérification du respect du code des douanes par les opérateurs économiques. (11)Le présent règlement ne devrait pas avoir d’incidence sur les dispositions de droit de l’Union qui fixent des exigences en matière de conception physique et de données que les produits doivent remplir pour pouvoir être mis sur le marché de l’Union. (12)Le présent règlement complète, sans y porter atteinte, les dispositions de droit de l’Union qui visent à définir les exigences en matière d’accessibilité applicables à certains produits et services, en particulier la directive 2019/882. (13)Le présent règlement est sans préjudice des compétences des États membres en ce qui concerne les activités relatives à la sécurité publique, à la défense et à la sécurité nationale conformément au droit de l’Union, et les activités des autorités douanières relatives à la gestion des risques et, en général, à la vérification du respect du code des douanes par les opérateurs économiques. (14)Les produits physiques qui, au moyen de leurs composants, obtiennent, génèrent ou recueillent des données concernant leur performance, leur utilisation ou leur environnement et qui sont en mesure de communiquer ces données par l’intermédiaire d’un service de communications électroniques accessible au public (souvent appelé «l’internet des objets») devraient relever du présent règlement. Les services de communications électroniques comprennent les réseaux téléphoniques terrestres, les réseaux câblés de télévision, les réseaux par satellite et les réseaux de communication en champ proche. De tels produits peuvent inclure les véhicules, les équipements domestiques et les biens de consommation, les dispositifs médicaux et sanitaires ou encore les machines agricoles et industrielles. Les données, qui représentent la numérisation des actions de l’utilisateur et des événements concernant l’utilisation que ce dernier fait du produit, devraient, dès lors, être accessibles à l’utilisateur, tandis que les informations obtenues ou déduites de ces données, lorsqu’elles sont détenues légalement, ne devraient pas être considérées comme relevant du champ d’application du présent règlement. De telles données sont potentiellement précieuses pour l’utilisateur et favorisent l’innovation et le développement de services numériques et d’autres services protégeant l’environnement, la santé et l’économie circulaire, notamment en facilitant l’entretien et la réparation des produits en question. (15)À l’inverse, certains produits qui sont principalement conçus pour afficher ou jouer des contenus, ou pour en enregistrer et en transmettre, entre autres à des fins d’utilisation par un service en ligne ne devraient pas relever du présent règlement. De tels produits comprennent, par exemple, les ordinateurs personnels, serveurs, tablettes et smart phones, les caméras, webcams, systèmes d’enregistrement du son et scanners de texte. Ils nécessitent une intervention humaine pour produire diverses formes de contenu, telles que des documents texte, des fichiers sonores, des fichiers vidéo, des jeux et des cartes numériques. (16)Il est nécessaire d’établir des règles applicables aux produits connectés qui intègrent un service ou sont interconnectés avec celui-ci d’une manière telle que l’absence de ce service empêcherait le produit de remplir ses fonctions. Ces services liés peuvent faire partie du contrat de vente ou de location, ou alors de tels services sont habituellement fournis pour des produits du même type et l’utilisateur pourrait raisonnablement s’attendre à ce qu’ils soient fournis étant donné la nature du produit et compte tenu de toute déclaration publique faite par le vendeur, le bailleur ou d’autres personnes situées en amont de la chaîne de transactions, y compris le fabricant, ou pour leur compte. Ces services liés peuvent eux-mêmes générer des données de valeur pour l’utilisateur indépendamment des capacités de collecte de données du produit avec lequel ils sont interconnectés. Le présent règlement devrait également s’appliquer à un service lié qui n’est pas fourni par le vendeur ou le bailleur lui-même, mais qui est fourni, conformément au contrat de vente ou de location, par un tiers. En cas de doute sur la question de savoir si la fourniture de services fait ou non partie du contrat de vente ou de location, il conviendrait d’appliquer le présent règlement. (17)Les données générées par l’utilisation d’un produit ou d’un service lié incluent les données enregistrées intentionnellement par l’utilisateur. De telles données comprennent également les données générées en tant que sous-produit de l’action de l’utilisateur, telles que les données de diagnostic, celles générées sans aucune action de la part de l’utilisateur, comme lorsque le produit est en «mode veille», et les données enregistrées pendant les périodes au cours desquelles le produit est éteint. De telles données devraient inclure les données dans la forme et le format dans lesquels elles sont générées par le produit mais elles ne devraient pas concerner les données résultant d’un procédé logiciel qui calcule les données dérivées provenant de telles données parce que ce procédé logiciel est susceptible d’être soumis à des droits de propriété intellectuelle. (18)Il conviendrait d’entendre par utilisateur d’un produit la personne morale ou physique, telle qu’une entreprise ou un consommateur, qui a acheté ou loué le produit. En fonction du titre juridique en vertu duquel il utilise ce produit, cet utilisateur supporte les risques et bénéficie des avantages que présente l’utilisation du produit connecté et il devrait également avoir accès aux données que ce produit génère. L’utilisateur devrait par conséquent avoir le droit de tirer parti des données générées par ce produit et par tout service lié. (19)En pratique, les données générées par des produits ou des services liés ne sont pas toutes aisément accessibles à leurs utilisateurs et les possibilités de portabilité des données générées par les produits connectés à l’internet des objets sont souvent limitées. Les utilisateurs ne sont pas en mesure d’obtenir les données nécessaires pour recourir à des fournisseurs de services de réparation et d’autres services, tandis que les entreprises sont dans l’impossibilité de lancer des services innovants, plus efficaces et plus pratiques. Dans de nombreux secteurs, les fabricants peuvent souvent déterminer, par le contrôle qu’ils exercent sur la conception technique du produit ou des services liés, la nature des données générées et les modalités d’accès à ces données, même s’ils n’ont légalement aucun droit sur ces données. Il est par conséquent nécessaire de veiller à ce que les produits soient conçus et fabriqués et à ce que les services liés soient fournis de telle sorte que les données générées par leur utilisation soient toujours facilement accessibles à l’utilisateur. (20)Dans le cas où plusieurs personnes ou entités seraient propriétaires d’un produit ou seraient parties à un contrat de location et bénéficieraient de l’accès à un service lié, il conviendrait de consentir des efforts raisonnables en ce qui concerne la conception du produit ou du service lié ou de l’interface correspondante, de sorte que toutes les personnes puissent avoir accès aux données qu’elles génèrent. Les utilisateurs de produits qui génèrent des données ont généralement besoin de créer un compte d’utilisateur. Cela permet l’identification de l’utilisateur par le fabricant et constitue un moyen de communication pour effectuer des demandes d’accès aux données et les traiter. Les fabricants ou concepteurs d’un produit qui est généralement utilisé par plusieurs personnes devraient mettre en place le mécanisme nécessaire permettant la coexistence de comptes d’utilisateur distincts pour différentes personnes, s’il y a lieu, ou permettant à plusieurs personnes d’utiliser le même compte d’utilisateur. L’accès devrait être accordé à l’utilisateur au moyen de mécanismes de simple demande permettant l’exécution automatique, sans que le fabricant ou le détenteur de données ne soit tenu d’examiner ou d’approuver la demande. Cela signifie que les données ne devraient être mises à disposition que lorsque l’utilisateur le souhaite effectivement. Lorsqu’il n’est pas possible de procéder à l’exécution automatique de la demande d’accès aux données, par exemple au moyen d’un compte d’utilisateur ou d’une application mobile fournie avec le produit ou le service, le fabricant devrait informer l’utilisateur des modalités d’accès aux données. (21)Les produits peuvent être conçus de façon à ce que certaines données soient directement disponibles à partir d’un dispositif de stockage intégré à l’appareil ou d’un serveur distant auquel les données sont communiquées. L’accès à ce dispositif de stockage de données peut être rendu possible par l’intermédiaire de réseaux locaux câblés ou sans fil connectés soit à un service de communications électroniques accessible au public, soit à un réseau mobile. Pour ce qui est du serveur, il peut s’agir de la propre capacité de serveur locale du fabricant ou de celle d’un tiers ou d’un fournisseur de services en nuage qui fait fonction de détenteur de données. Les produits peuvent être conçus pour permettre à l’utilisateur ou à un tiers de traiter les données relatives au produit ou à une instance informatique du fabricant. (22)Les assistants virtuels jouent un rôle croissant dans la dématérialisation de l’environnement des consommateurs et servent d’interface facile à utiliser pour jouer des contenus, obtenir des informations ou activer des objets physiques connectés à l’internet des objets. Ils peuvent servir de portail unique dans un environnement domestique intelligent, par exemple, et enregistrer des quantités importantes de données utiles sur la manière dont les utilisateurs interagissent avec les produits connectés à l’internet des objets, dont ceux fabriqués par d’autres parties, et ils peuvent remplacer l’utilisation d’interfaces fournies par le fabricant telles que des écrans tactiles ou des applications pour smartphones. L’utilisateur pourrait souhaiter mettre ces données à la disposition de fabricants tiers et ainsi permettre l’avènement de services domotiques nouveaux. Ces assistants virtuels devraient relever du droit d’accès aux données prévu par le présent règlement également en ce qui concerne, d’une part, les données enregistrées avant l’activation de l’assistant virtuel par le mot déclencheur et, d’autre part, les données générées lorsqu’un utilisateur interagit avec un produit par l’intermédiaire d’un assistant virtuel fourni par une entité autre que le fabricant du produit. Toutefois, seules les données provenant de l’interaction entre l’utilisateur et le produit par l’intermédiaire de l’assistant virtuel relèvent du champ d’application du présent règlement. Les données produites par l’assistant virtuel qui sont sans rapport avec l’utilisation d’un produit ne sont pas l’objet du présent règlement. (23)Avant la conclusion d’un contrat relatif à l’achat ou à la location d’un produit ou à la fourniture d’un service lié, l’utilisateur devrait recevoir des informations claires et suffisantes sur les modalités d’accès aux données générées. Cette obligation permet de garantir la transparence quant aux données générées et accroît la facilité d’accès pour l’utilisateur. Cette obligation d’information ne porte pas atteinte à l’obligation incombant au responsable du traitement de fournir des informations à la personne concernée en application des articles 12, 13 et 14 du règlement (UE) 2016/679. (24)Le présent règlement impose aux détenteurs de données de mettre des données à disposition dans certaines circonstances. Dans la mesure où des données à caractère personnel sont traitées, le détenteur de données devrait faire fonction de responsable du traitement au sens du règlement (UE) 2016/679. Lorsque les utilisateurs sont des personnes concernées, les détenteurs de données devraient être tenus de leur donner accès à leurs données et de mettre ces dernières à la disposition de tiers choisis par l’utilisateur conformément au présent règlement. Toutefois, le présent règlement ne crée pas de base juridique fondée sur le règlement (UE) 2016/679 permettant au détenteur de données d’accorder l’accès à des données à caractère personnel ou de mettre celles-ci à la disposition d’un tiers à la demande d’un utilisateur qui n’est pas une personne concernée et il ne devrait pas être interprété comme conférant au détenteur de données un droit nouveau d’utiliser les données générées par l’utilisation d’un produit ou d’un service lié. Cela vaut en particulier lorsque le fabricant est le détenteur de données. Dans ce dernier cas, l’utilisation de données à caractère non personnel par le fabricant devrait être fondée sur un accord contractuel entre le fabricant et l’utilisateur. Cet accord pourrait faire partie du contrat de vente ou de location relatif au produit. Toute clause contractuelle stipulant que le détenteur de données peut utiliser les données générées par l’utilisateur d’un produit ou d’un service lié devrait être transparente pour l’utilisateur, y compris en ce qui concerne la finalité pour laquelle le détenteur de données a l’intention d’utiliser ces données. Le présent règlement ne devrait pas faire obstacle à des conditions contractuelles ayant pour effet d’exclure ou de limiter l’utilisation des données, ou de certaines catégories d’entre elles, par le détenteur de données. Le présent règlement ne devrait pas non plus faire obstacle aux exigences réglementaires sectorielles prévues par le droit de l’Union, ou par le droit national compatible avec le droit de l’Union, qui excluraient ou limiteraient l’utilisation de certaines de ces données par le détenteur de données pour des raisons d’ordre public bien définies. (25)Dans les secteurs caractérisés par la concentration d’un petit nombre de fabricants qui approvisionnent les utilisateurs finaux, ces derniers ne disposent que d’options limitées pour ce qui est du partage de données avec ces fabricants. En pareilles circonstances, il se peut que les accords contractuels ne suffisent pas pour atteindre l’objectif de responsabilisation des utilisateurs. Les données tendent à rester sous le contrôle des fabricants, de sorte qu’il est difficile pour les utilisateurs d’obtenir de la valeur à partir des données générées par les équipements qu’ils achètent ou qu’ils louent. En conséquence, la possibilité pour les petites entreprises innovantes de proposer des solutions fondées sur les données de manière compétitive et en faveur d’une économie des données diversifiée en Europe est limitée. Le présent règlement devrait par conséquent s’appuyer sur les évolutions récentes survenues dans certains secteurs, telles que le code de conduite pour le partage des données agricoles par accord contractuel. Des actes législatifs sectoriels pourraient être présentés pour répondre à des besoins et objectifs sectoriels. De surcroît, le détenteur de données ne devrait utiliser aucune donnée générée par l’utilisation du produit ou du service lié afin d’obtenir des informations sur la situation économique, les actifs ou les méthodes de production de l’utilisateur, ou sur l’utilisation d’une quelconque autre manière que ce dernier fait du produit ou du service lié, qui sont susceptibles de porter atteinte à la position commerciale de l’utilisateur sur les marchés où celui-ci est actif. Cela impliquerait, par exemple, d’utiliser des connaissances relatives aux performances globales d’une entreprise ou d’une exploitation agricole à l’occasion de négociations contractuelles avec l’utilisateur sur l’acquisition potentielle de produits ou de produits agricoles de l’utilisateur au détriment de ce dernier ou, par exemple, d’utiliser ces informations pour alimenter des bases de données plus vastes et agrégées relatives à certains marchés (par exemple, des bases de données sur les rendements des cultures pour la prochaine saison de récolte) parce qu’une telle utilisation pourrait avoir des répercussions négatives indirectes sur l’utilisateur. Il conviendrait de doter l’utilisateur de l’interface technique nécessaire pour lui permettre de gérer les autorisations, qui comprendrait de préférence des options d’autorisation par niveau (telles que «autoriser une fois» ou «autoriser lors de l’utilisation de cette application ou de ce service»), y compris l’option de retirer l’autorisation. (26)En ce qui concerne les contrats conclus entre un détenteur de données et un consommateur en tant qu’utilisateur d’un produit ou d’un service lié générant des données, la directive 93/13/CEE s’applique aux clauses de ces contrats afin de garantir que le consommateur ne soit pas soumis à des clauses contractuelles abusives. Pour ce qui concerne les clauses contractuelles abusives imposées unilatéralement à une micro, petite ou moyenne entreprise au sens de l’article 2 de l’annexe de la recommandation 2003/361/CE, le présent règlement prévoit que de telles clauses abusives ne devraient pas lier ladite entreprise. (27)Le détenteur de données peut exiger une identification appropriée de l’utilisateur pour vérifier que ce dernier a le droit d’accéder aux données. Dans le cas de données à caractère personnel traitées par un sous-traitant pour le compte du responsable du traitement, le détenteur de données devrait veiller à ce que la demande d’accès soit reçue et traitée par le sous-traitant. (28)L’utilisateur devrait être libre d’utiliser les données à toutes fins licites. Il peut notamment s’agir de transmettre les données que l’utilisateur a reçues en exerçant le droit prévu par le présent règlement à un tiers proposant un service après-vente qui peut être en concurrence avec un service fourni par le détenteur de données, ou de donner instruction au détenteur de données de le faire. Le détenteur de données devrait veiller à ce que les données mises à la disposition du tiers soient aussi exactes, complètes, fiables, pertinentes et à jour que les données auxquelles lui-même a le droit d’avoir accès, ou peut avoir accès, du fait de l’utilisation du produit ou du service lié. Tout secret d’affaires ou droit de propriété intellectuelle devrait être respecté lors du traitement des données. Il importe de préserver les incitations à investir dans des produits dotés de fonctionnalités fondées sur l’utilisation de données provenant de capteurs intégrés dans ces produits. Le présent règlement devrait donc être interprété comme ayant pour objet de favoriser le développement de nouveaux produits et services liés innovants, de stimuler l’innovation sur les marchés de l’après-vente, mais aussi de favoriser le développement de services entièrement nouveaux utilisant les données, y compris sur la base de données provenant de divers produits ou services liés. Il vise dans le même temps à éviter que les incitations à l’investissement soient fragilisées pour le type de produit à partir duquel les données sont obtenues, par exemple du fait de l’utilisation des données pour développer un produit concurrent.

(29)Un tiers auquel des données sont mises à disposition peut être une entreprise, un organisme de recherche ou un organisme à but non lucratif. En mettant les données à la disposition du tiers, le détenteur de données devrait s’abstenir d’abuser de sa position pour rechercher un avantage concurrentiel sur des marchés où lui-même et le tiers peuvent être en concurrence directe. Le détenteur de données ne devrait donc utiliser aucune donnée générée par l’utilisation du produit ou du service lié pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production du tiers, ou sur l’utilisation d’une quelconque autre manière que ce dernier fait du produit ou du service lié, qui sont susceptibles de porter atteinte à la position commerciale du tiers sur les marchés où celui-ci est actif. (30)L’utilisation d’un produit ou d’un service lié peut, en particulier lorsque l’utilisateur est une personne physique, générer des données se rapportant à une personne physique identifiée ou identifiable (la personne concernée). Le traitement de ces données est soumis aux règles établies par le règlement (UE) 2016/679, y compris lorsque les données à caractère personnel et non personnel figurant dans un ensemble de données sont inextricablement liées. La personne concernée peut être l’utilisateur ou une autre personne physique. Les données à caractère personnel ne peuvent être demandées que par un responsable du traitement ou une personne concernée. Un utilisateur qui est la personne concernée a, dans certaines circonstances, le droit en vertu du règlement (UE) 2016/679 d’accéder aux données à caractère personnel le concernant, et le présent règlement ne porte pas atteinte à ce droit. En vertu du présent règlement, l’utilisateur qui est une personne physique a également le droit d’accéder à toutes les données générées par le produit, qu’elles soient à caractère personnel ou non personnel. Lorsque l’utilisateur n’est pas la personne concernée mais une entreprise, y compris un entrepreneur individuel, sauf en cas d’usage domestique partagé du produit, l’utilisateur sera un responsable du traitement au sens du règlement (UE) 2016/679. En conséquence, un utilisateur, qui, en tant que responsable du traitement, a l’intention de demander des données à caractère personnel générées par l’utilisation d’un produit ou d’un service lié, est tenu de disposer d’une base juridique pour le traitement des données au titre de l’article 6, paragraphe 1, du règlement (UE) 2016/679, comme le consentement de la personne concernée ou un intérêt légitime. Cet utilisateur devrait veiller à ce que la personne concernée soit dûment informée des finalités spécifiées, explicites et légitimes du traitement de ces données et de la manière dont elle peut exercer effectivement ses droits. Lorsque le détenteur de données et l’utilisateur sont des responsables conjoints du traitement au sens de l’article 26 du règlement (UE) 2016/679, ils sont tenus de déterminer, de manière transparente, au moyen d’un accord entre eux, leurs responsabilités respectives quant au respect dudit règlement. Il convient de comprendre qu’un tel utilisateur, une fois que les données ont été mises à sa disposition, peut à son tour devenir détenteur de données s’il remplit les critères prévus par l