Data Governance Act et Data Act : les avis des autorités de protection des données sur la stratégie européenne

Dans leurs avis conjoints 03/2021 de mars 2021 sur la gouvernance des données (Data Governance Act) et 2/2022 de mai 2022 sur les données (Data Act), le Comité européen de la protection des données et le Contrôleur européen de la protection des données se sont intéressés aux évolutions prévues par ces textes. Ces institutions ont en effet émis certaines recommandations afin de développer un marché européen des données efficace, responsable et respectueux des valeurs de l’Union européenne.

Les nouveautés du Data Governance Act et du Data Act

Dans le cadre de la stratégie européenne pour les données, un règlement (UE) 2022/868 sur la gouvernance européenne des données (Data Governance Act) a été adopté le 30 mai 2022. Applicable en septembre 2023, il vise à favoriser le partage des données personnelles et non personnelles en mettant en place des services d’intermédiation de données. Le texte instaure également un cadre destiné à permettre la réutilisation de certaines données protégées du secteur public par des acteurs privés, et prévoit une certification facultative pour les organismes pratiquant l’altruisme en matière de données.

Pour compléter le Data Governance Act, le Parlement européen et le Conseil ont proposé le 23 février 2022 un nouveau règlement sur les données, le Data Act. Ce texte prévoit notamment de :

• faciliter le partage des données générées par l’utilisation des objets connectés entre les différents acteurs économiques, en contrepartie d’une compensation juste et équitable ;
• permettre l’utilisation des données détenues par les entreprises, par les organismes publics et les institutions des États membres et de l’Union européenne, en cas de besoin exceptionnel ;
• favoriser la réutilisation des données entre les différents secteurs ;
• lutter contre les accès illicites de gouvernements de pays tiers aux données non personnelles contenues dans le cloud.

Les recommandations des autorités de protection des données

Selon la Commission nationale de l'informatique et des libertés (CNIL) et ses homologues, les nouvelles dispositions du Data Governance Act et du Data Act vont permettre d’améliorer la disponibilité et le partage des données dans l’Union européenne, tout en permettant aux consommateurs de contrôler la manière dont leurs données, notamment générées par les objets connectés, seront utilisées.

Toutefois, malgré ces bénéfices, les autorités de protection des données, ainsi que le Contrôleur européen de la protection des données, ont émis certaines réserves concernant ces deux textes.

Ainsi, l’application des nouvelles dispositions ne doit pas remettre en cause la protection des données prévue par le Règlement général sur la protection des données personnelles (RGPD) : en cas de conflit, le RGPD devrait prévaloir. De plus, l’obligation de mettre les données à la disposition des organismes publics et des institutions de l’Union européenne en raison d’un besoin exceptionnel devra faire l’objet d’une surveillance particulière afin de s’assurer de la légalité, de la nécessité et de la proportionnalité de la mesure. La notion de « besoin exceptionnel » devra, en outre, être strictement définie. Enfin, la supervision du Data Governance Act et du Data Act doit être assurée par des autorités clairement désignées. Pour assurer une cohérence avec l’application du RGPD, le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont par ailleurs recommandé de désigner les autorités de protection des données comme autorités coordinatrices