Archives par mot-clé : Union européenne

RGPD : toute personne a un droit d’accès étendu à ses données personnelles, à deux limites près

Publié le par

La Cour de justice de l’Union européenne (CJUE) devrait suivre les conclusions de son avocat général sur l’interprétation étendue de l’article 15 du RGPD donnant droit aux individus l’accès à leurs données personnelles et à l’identité des destinataires de ces données. Sauf dans deux cas de figure.

D’après Giovanni Pitruzzella, avocat général à la Cour de justice de l’Union européenne (CJUE).

Giovanni Pitruzzella (photo), avocat général à la Cour de justice de l’Union européenne (CJUE), a présenté le 9 juin dernier ses conclusions dans une affaire opposant un citoyen autrichien dit « RW » et la poste autrichienne Österreichische Post (OP). Le litige commence en janvier 2019 lorsque le premier a demandé à la seconde d’accéder aux données à caractère personnel le concernant. Sa demande portait non seulement sur ses données personnelles conservées par l’OP, mais aussi celles communiquées à des tiers – afin d’être informé sur l’identité des destinataires. Et ce, en application de l’article 15 « Droit d’accès de la personne concernée » du RGPD, le règlement général européen sur la protection des données (1).

Le « ou » de la discorde
La poste autrichienne a répondu à RW en lui expliquant qu’elle utilise des données dans le cadre de son activité d’éditeur d’annuaires téléphoniques et qu’elle les propose à des partenaires commerciaux à des fins de marketing. L’OP a aussi renvoyé le requérant vers deux sites web d’information, l’un sur les finalités du traitement des données, l’autre sur les catégories générales de destinataires auxquels elle communique les données à caractère personnel (en l’occurrence à des partenaires commerciaux, parmi lesquels des annonceurs dans le secteur de la vente par correspondance et du commerce physique, des entreprises informatiques, des éditeurs d’annuaires téléphoniques et des associations telles que des organisations caritatives, des ONG ou des partis politiques). Pour autant, à aucun moment, l’OP n’a révélé à RW les destinataires spécifiques auxquels elle avait communiqué ses données.
L’intéressé a alors introduit un recours pour tenter de faire condamner la poste autrichienne à lui fournir davantage d’informations en application de l’article 15 du RGPD, concernant notamment d’éventuels transferts de ses données à caractère personnel à des tiers, ainsi que le ou les destinataires spécifiques auxquels ces données ont été communiquées. La demande de RW a ensuite été rejetée par les juridictions autrichiennes, tant en première instance qu’en appel, en invoquant le fait que l’article 15 du RGPD mentionne – parmi les huit types d’informations que doit fournir le responsable du traitement des données – « les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées ». C’est ce « ou » qui rend flou l’interprétation de cet article 15. Selon l’avocat général de la CJUE, « cette disposition accorde au responsable du traitement la possibilité de choisir de se limiter à communiquer à la personne concernée les catégories de destinataires, sans devoir indiquer de manière nominative les destinataires spécifiques auxquels ses données à caractère personnel sont transmises ».
Or, sur ce point, il y a débat justement, certains voyant au contraire dans ce « ou » la possibilité pour la personne concernée soit de se contenter d’obtenir du responsable du traitement des données les « catégories » de destinataires auxquels ses données personnelles ont été communiquées, soit d’aller plus loin en exigeant la liste spécifique de ces mêmes destinataires. C’est dans ce sens que le citoyen RW s’est pourvu en cassation en introduisant un nouveau recours. Du coup, la cour suprême d’Autriche – Oberster Gerichtshof – a eu un doute quant à l’interprétation de l’article 15 du RGPD qui a été retenue par les juridictions du fond, et a donc décidé de surseoir à statuer et de poser à la CJUE la question préjudicielle suivante : « L’article 15, paragraphe 1, sous c), du [RGPD] doit-il être interprété en ce sens que le droit d’accès [de la personne concernée] est limité à l’information sur les catégories de destinataires si les destinataires concrets ne sont pas encore connus lorsque les communications sont envisagées, mais qu’il doit impérativement s’étendre également à l’information sur les destinataires de ces informations lorsque des données ont déjà été communiquées ? ».

L’interprétation de l’article 15
Après avoir rappelé que l’article 15 du RGPD concrétise et précise le droit de toute personne d’accéder aux données la concernant, lequel droit est consacré par la charte des droits fondamentaux de l’Union européenne (2), l’avocat général Giovanni Pitruzzella s’est attardé plus précisément sur l’interprétation du « ou » (dans « les destinataires ou catégories de destinataires ») : « Le libellé de la disposition (…) ne permet pas (…), indique-t-il, d’apporter une réponse définitive à la question de savoir s’il convient de considérer que le droit d’accès de la personne concernée qui est prévu à cet article inclut nécessairement l’accès à des informations relatives aux destinataires précis de la communication de données à caractère personnel la concernant, ou si sa portée peut être limitée à l’accès à des informations relatives aux catégories de destinataires ». Et d’ajouter : « Cette disposition ne précise pas non plus explicitement s’il est possible de choisir entre les deux catégories d’informations possibles qui sont prévues (à savoir les “destinataires” ou les “catégories de destinataires“) ni à qui (c’est-à-dire à la personne concernée ou au responsable du traitement) il appartient, le cas échéant, de choisir à quel type d’informations l’accès doit être garanti ». Informations sur les destinataires Cependant, Giovanni Pitruzzella indique privilégier une interprétation de la disposition permettant à la personne concernée – « et donc pas au responsable du traitement comme l’ont jugé les deux juridictions nationales du fond dans la présente affaire » – de choisir entre les deux solutions alternatives qui y sont prévues. Et, dans cette logique, cet article prévoit le droit pour la personne concernée de demander, lorsque c’est possible, l’accès aux informations relatives aux destinataires spécifiques auxquels ses données à caractère personnel sont communiquées. Pour conforter cette interprétation, l’avocat général a rappelé le considérant 63 du RGPD prévoyant explicitement que la personne concernée doit « avoir le droit de connaître et de se faire communiquer […] l’identité des destinataires de ces données à caractère personnel ». Aussi, dans cette affaire « RW contre l’OP », ce considérant ne mentionne en aucune manière que ce droit d’accès de la personne concernée pourrait être limité, à la discrétion du responsable du traitement, aux seules catégories de destinataires.
La spécification des destinataires auxquels les données à caractère personnel de l’individu sont communiquées participe en outre à l’objectif du RGPD visant à la transparence des modalités de traitement des données à l’égard des personnes concernées, lesquelles peuvent prendre connaissance du traitement de leurs données et d’en vérifier la licéité : « L’exercice de ce droit d’accès doit, en particulier, permettre à la personne concernée de vérifier non seulement que les données la concernant sont exactes, mais également qu’elles ont été communiquées à des destinataires autorisés. Cela présuppose en principe que les indications fournies soient les plus précises possibles », relève Giovanni Pitruzzella. Le considérant 39 du RGPD consacre aussi le principe de transparence (3). De plus, ce droit d’accès permet à la personne concernée d’exercer le droit de rectification, le droit à l’effacement – le droit à l’oubli – et le droit à la limitation du traitement qui lui sont conférés par, respectivement, les articles 15, 17 et 18 du RGDP. Aussi, le responsable du traitement est tenu de notifier à chaque destinataire – auquel les données à caractère personnel ont été communiquées – toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué, « à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés » (4).
Les destinataires ainsi informés sont dès lors obligés de procéder immédiatement à la rectification, à l’effacement ou à la limitation du traitement, pour autant qu’ils sont encore en train de traiter les données en question. En conséquence, afin de garantir l’effet utile des droits de la personne concernée à l’effacement, à la rectification ou à la limitation du traitement, celle-ci doit disposer – « en principe » – d’un droit à être informée de l’identité des destinataires spécifiques.
Néanmoins, l’avocat général de la CJUE voit « une limite » à cette extension du droit d’accès prévu par le RGPD, « dans au moins deux cas de figure » :
• Dans le cas où il est matériellement impossible de fournir des informations sur les destinataires spécifiques, par exemple parce que ceux-ci ne sont pas encore effectivement connus. Aussi, dans ce cas, le droit d’accès de la personne concernée ne pourra porter que sur les « catégories » de destinataires.
• L’exercice du droit d’accès de la personne concernée doivent être examinés au regard des principes de loyauté et de proportionnalité. Les demandes de la personne concernée ne doivent pas être manifestement infondées ou excessives et que, si tel est le cas, le responsable du traitement peut également refuser de donner suite à ces demandes.
Au-delà de ces deux cas de figure limitatifs, Giovanni Pitruzzella a rappelé qu’il convenait de « trouver un juste équilibre entre, d’un côté, l’intérêt de la personne à protéger sa vie privée (…) et, de l’autre, les obligations incombant au responsable du traitement ».

Deux limitations sont avancées
Conclusion de l’avocat général que la CJUE devrait suivre dans son prochain arrêt – comme elle le fait le plus souvent : « Il est possible de limiter ce droit d’accès à la seule indication des catégories de destinataires lorsqu’il est matériellement impossible d’identifier les destinataires spécifiques de la communication des données à caractère personnel de la personne concernée ou lorsque le responsable du traitement démontre que les demandes de la personne concernée sont manifestement infondées ou excessives » (5). @

Charles de Laubier

Dans l’attente de la notification du rachat de Lagardère par Vivendi, la Commission européenne enquête

Publié le par

Avant même d’avoir reçu de Vivendi la notification de son projet de rachat du groupe Lagardère, laquelle devrait être lui être remise en septembre, la Commission européenne questionne depuis le début de l’année des acteurs et des organisations professionnelles pour mesurer l’impact « Vivendi-Lagardère ».

« Sous réserve de l’autorisation de la Commission européenne », précisaient dans les mêmes termes les communiqués de Vivendi annonçant respectivement le 25 mai le succès de la première période de son OPA amicale sur les actions du groupe Lagardère (1) et le 14 juin la détention de 57,35 % du capital et 47,33 % des droits de vote du même groupe Lagardère (2). Le sort du projet de « rapprochement » de Vivendi et de Lagardère – déjà engagé par endroits et sans attendre l’aval des autorités antitrust – est en fait depuis des mois entre les mains de la Commission européenne. Bruxelles n’a en effet pas attendu que l’opération de contrôle lui soit notifiée – ce qui devrait être fait en septembre – pour questionner les acteurs des marchés potentiellement impactés par cette mégaopération de concentration dans l’édition et les médias. Depuis fin 2021, une « case team » est en place pour, sans tarder, « recueillir des informations auprès des parties notifiantes [en l’occurrence Vivendi , mais aussi Lagardère, ndlr] et des tiers, tels que leurs clients, leurs concurrents et leurs fournisseurs ». Durant cette phase de pré-notification, où les envois de questionnaires aux intéressés se multiplient pour procéder à des « tests de marché », les informations peuvent prendre la forme de griefs formulés par des concurrents présents sur ces marchés..

La DG Competition et Margrethe Vestager scrutent
Et les reproches sont nombreux, notamment dans le secteur de l’édition, où le numéro un français Hachette (Lagardère) est appelé à fusionner avec le numéro deux Editis (Vivendi). Avec leurs multiples maisons d’édition (Calmann-Lévy, Grasset, Stock, Fayard, JC Lattès, Livre de poche, Dunod, Larousse, Hatier, … côté Hachette Livre ; La Découverte, Plon, Perrin, Robert Laffont, Presses de la Cité, Le Cherche Midi, Bordas, Le Robert, … côté Editis), la prise de contrôle du groupe d’Arnaud Lagardère (photo) – lequel conserve 11,06 % du capital – par celui de Vincent Bolloré provoque une levée de boucliers. Car ces deux géants français du livre – édition et distribution – seront en position dominante voire en quasisituation de monopole en France si un feu vert était donné en l’état par les autorités antitrust. « Les lois (européennes) sont bien faites. Il y a des lois qui empêchent cette concentration (dans l’édition notamment) et elles seront respectées. Si l’on doit revendre des maisons d’édition, on le fera », a tenté de rassurer Arnaud Lagardère dans l’émission « Complément d’enquête » diffusée le 2 juin dernier sur France 2.

Vincent Bolloré contrôle et va notifier d’ici septembre
Et « comme c’est Vivendi qui prend le contrôle de Lagardère, c’est Vivendi qui présente son projet à la Commission européenne », a encore souligné Arnaud Lagardère, désormais PDG pour six ans de « son » groupe, contrôlé depuis fin mai par Vincent Bolloré (photo ci-contre). Une fois qu’en septembre Vivendi aura notifié – sans doute par voie électronique – son opération de rapprochement entre les deux groupes, la direction générale de la concurrence (DG Competition) disposera alors de vingt-cinq jours pour donner un avis sur cette transaction, délai pouvant être porté à trente-cinq jours si nécessaire. Etant donné les enjeux d’une telle opération de concentration et les inquiétudes qu’elle suscite, la Commission européenne – dont la commissaire à la concurrence est depuis 2014 la redoutée Margrethe Vestager (3) – devrait alors lancer enquête approfondie sur au moins quatre-vingt-dix jours, délai qui peut être porté à cent cinq jours si besoin était. Dans le cas présent, la décision ne serait pas attendue avant la fin de l’année mais plutôt début 2023. Dans sa notification à la Commission européenne, Vivendi proposera sans doute de vendre certains actifs dans l’édition. Encore faut-il que les « remèdes » à cette concentration suffisent. Rappelons qu’en janvier 2004, dans le sens inverse, la Commission européenne avait forcé le groupe Lagardère (Hachette Livre) à se délester de plus de la moitié des actifs de Vivendi Universal Publishing (ex- Havas (4)) qu’il comptait racheter depuis fin 2002 (5). Des filiales non cédées sont à l’époque venues constituer le nouveau groupe Editis, lequel fut racheté en 2018 par Vivendi.
Vingt ans plus tard, où cette fois Vivendi s’empare des actifs de Lagardère, la DG Competition ne manquera pas à nouveau de porter son analyse sur les « effets horizontaux, congloméraux et verticaux de cette opération ». Antoine Gallimard, PDG de Madrigall (groupe lui-même issu du rapprochement de Gallimard, Flammarion et Casterman) a, lui, débuté ses échanges en visioconférence dès fin décembre 2021 avec la case team de la DG Competition (6). Il est vent debout contre cette fusion Editis-Hachette et serait intéressé par l’édition scolaire où la domination du nouvel ensemble atteindrait son paroxysme.
Quelle que soit la décision à venir de la Commission européenne et de sa vice-présidente Margrethe Vestager sur ce dossier sensible, Vincent Bolloré et Arnaud Lagardère savourent le succès de l’OPA amicale. « Je suis très heureux de ce qui se passe », a indiqué ce dernier dans « Complément d’enquête ». Pour le premier, c’est un revirement de situation puisqu’en son groupe avait déclaré en avril 2020 à l’Autorité des marchés financiers (AMF) : « Vivendi n’a pas l’intention d’acquérir le contrôle de Lagardère ». En fait, c’est Arnaud Lagardère qui a fait changer d’avis le milliardaire breton : « J’ai pris la liberté d’appeler Vincent Bolloré mi-mars 2020, au tout début du confinement, a raconté le fils unique de Jean-Luc Lagardère, pour effectivement m’aider (en entrant au capital de Lagardère), ce qu’il a accepté. Je ne l’aurais pas appelé, il ne serait jamais entré et Vivendi ne serait jamais actionnaire du groupe (Lagardère) aujourd’hui. (…) A l’époque, mon ennemi – contrairement à ce que pensent beaucoup de gens qui se trompent – ce n’était pas Vincent Bolloré ni Bernard Arnault, mais Amber Capital ». Ce fonds d’investissement activiste britannique, qui fut un temps début 2020 le premier actionnaire du groupe Lagardère et très critique envers la gestion d’Arnaud Lagardère qu’il tenta de chasser de son statut de gérant de la société en commandite par actions Lagardère SCA. Cette structure juridique atypique permettait à Arnaud Lagardère de contrôler son groupe en n’en détenant alors que 7,3 % du capital. « C’est cet activiste-là que j’espérais d’abord pouvoir contrer », a-t-il rappelé. En revanche, le patron du groupe Lagardère n’est pas allé chercher Bernard Arnault. « C’est lui qui a appelé, d’abord notre banque d’affaires, pour dire qu’il était prêt à m’aider dans ma structure personnelle et non pas en-dessous. Donc, il n’y avait aucune déclaration de guerre, entre guillemets, d’un Bernard Arnault qui viendrait à l’assaut d’un Vincent Bolloré, lequel est mon ami et vient pour m’aider ». Le PDG de LVMH était d’ailleurs le meilleur ami de son père Jean-Luc Lagardère, ancien PDG de Matra, d’Hachette et d’Europe 1.
Fin mai, Vivendi a accordé à Arnaud Lagardère un mandat de PDG de six ans en promettant de « conserver l’intégrité » de son groupe devenu la société anonyme Lagardère SA – fini la SCA qui aura vécu près de 30 ans – et « de lui donner les moyens de se développer ». Arnaud est-il inquiet de ce que pourrait faire Vincent Bolloré de l’empire médiatique de Lagardère (Europe 1, le JDD, Paris-Match, CNews, Virgin Radio bientôt rebaptisée Europe 2, …) ? « Non, cela ne m’inquiète absolument pas. D’abord, parce que je suis là », a-t-il assuré. A 61 ans, le fils unique et l’héritier de l’empire Lagardère (317e plus grande fortune française, selon Challenges), va entamer une nouvelle vie professionnelle aux côtés des Bolloré. « Ma relation avec Vincent Bolloré et avec ses enfants, Cyrille et Yannick, est telle que nous allons poursuivre cette route assez longtemps », a-t-il dit, confiant en l’avenir.

Vincent Bolloré est censeur jusqu’au 14 avril 2023
Depuis avril 2018, Yannick Bolloré a remplacé à la présidence du conseil de surveillance de Vivendi le patriarche Vincent Bolloré (70 ans), lequel y est devenu en avril 2019 « censeur » dont le mandat court jusqu’au 14 avril 2023… non renouvelable. Et si le nom Lagardère devait disparaître comme entité économique ? « Bien sûr que je le regretterais, bien sûr, a-t-il confié dans “Complément d’enquête”. Mais s’il doit disparaître au profit d’un nom comme celui de Vincent Bolloré, j’en serais plutôt heureux. Ça ne me dérangerait pas. Et ça ne dérangerait pas mon père non plus ». Il y a près de dix ans, en mars 2013, Arnaud Lagardère assurait qu’il ne cèderait son groupe « à quelque prix que ce soit ». @

Charles de Laubier

Le marché unique du numérique et de ses données fait face à un foisonnement de textes législatifs

Publié le par

Les acteurs du numérique et de la data en Europe ne sont pas au bout de leur peine. Le marché est peut-être unique, mais la législation – en vigueur et à venir – est multiple. La mise en œuvre pratique des textes, souvent imbriqués, est complexe et peu intelligible. Petit aperçu de ce labyrinthe.

Si l’Union européenne (UE) a déjà pris plusieurs mesures depuis 2014 afin de faciliter le développement d’une économie des données (1), elle entend, dans le cadre de sa stratégie pour les données et des objectifs fixés pour la « décennie numérique » (2), compléter les textes existants afin de créer de nouveaux droits et obligations destinés à favoriser l’accès et le partage des données, le développement des technologies et la souveraineté numérique. D’où le foisonnement de textes législatifs qui vont bouleverser considérablement l’écosystème de l’économie numérique et des données.

Chantier de la « décennie numérique »
Les principaux acteurs concernés (notamment les fabricants d’objets connectés, les fournisseurs de services d’intermédiation de données et les prestataires de cloud) devront tenir compte de ces nouvelles obligations et anticiper leur entrée en application dans la conception de leurs solutions et de leurs produits, ainsi qu’au sein de leur documentation contractuelle. Pas si simple. Tour d’horizon de ces nouveaux textes :
• Data Governance Act (DGA). Ce règlement sur la gouvernance des données (3) a été adopté le 30 mai 2022 et entrera en application à partir du 24 septembre 2023, avec pour objectif de favoriser la disponibilité des données, de renforcer les mécanismes de partage et d’augmenter la confiance dans les intermédiaires de données. Ainsi, le DGA adresse trois grandes thématiques : conditions d’accès et de réutilisation des « données protégées » détenues par des organismes publics ; régulation des fournisseurs de services d’intermédiation de données ; régulation de l’utilisation altruiste des données. Sur le premier point, le DGA vient compléter la directive « Open Data » de 2019, mais ne crée pas d’obligation de mise à disposition pour les organismes publics (4). Il vient encadrer les réutilisations qui peuvent être faites de ces données protégées en veillant (5) à les préserver (6). Concernant les deux autres points, le DGA crée deux régimes spécifiques et dédiés pour les services d’intermédiation de données (7) et les organisations altruistes en matière de données (8). Les services d’intermédiation de données (data marketplaces ou data pool par exemple) seront soumis à une notification auprès d’une autorité compétente préalablement à tout début d’activité et auront notamment l’obligation de fournir les services selon des conditions équitables, transparentes et non-discriminatoires, de prendre des mesures pour assurer l’interopérabilité avec d’autres services d’intermédiation de données, de mettre en place des mesures de sécurité appropriées pour empêcher l’accès et le transfert illicite de données non-personnelles. Ils devront également notifier aux détenteurs de données en cas d’accès, de transfert ou d’utilisation non-autorisés aux données non-personnelles partagées. De leur côté, les organisations altruistes se verront notamment imposer la tenue d’un registre des utilisations des données, la publication d’un rapport annuel d’activité, des obligations de transparence vis-à-vis des personnes concernées ou des détenteurs de données (objectifs d’intérêt général, finalités des traitements) et de sécurisation des données non-personnelles.
Le DGA crée enfin un régime restrictif de transfert des données non-personnelles hors-UE similaire au régime prévu par le RGPD.
• Data Act (DA). Ce projet de règlement sur les données (9) a été soumis par la Commission européenne le 23 février 2022. Un objectif d’adoption ambitieux a été fixé à mi-2023, pour une entrée en application douze mois après son adoption. Il s’agit de faciliter l’accès aux données et leur utilisation, de favoriser leur portabilité, d’améliorer l’interopérabilité des solutions et infrastructures et enfin de favoriser la création de valeur autour de la donnée. Sont notamment impactés : les fabricants et distributeurs d’objets connectés et les fournisseurs de services connexes basés sur l’utilisation de données générées par ces objets, tout détenteur et destinataire de données, les prestataires et utilisateurs de services cloud (IaaS, PaaS, SaaS) ou encore les opérateurs de data spaces.

Portabilité des données et services de cloud Le DA prévoit notamment des obligations pour les fabricants ou distributeurs d’objets connectés qui viennent compléter les obligations d’information et de portabilité prévues par le RGPD, comme l’obligation d’informer leurs utilisateurs sur les données générées par l’usage des objets et les conditions d’accès et de partage de telles données, ainsi qu’une obligation de mise à disposition gratuite et prompte (le cas échéant en temps réel et continu) des données générées par des objets connectés à leurs utilisateurs ou à un tiers à la demande de l’utilisateur, et ce dans des conditions équitables, raisonnables, transparentes, non-discriminatoires et non-exclusives. Ces obligations sont complétées par des interdictions (par exemple des clauses restreignant les droits des utilisateurs d’objets ou des clauses abusives imposées aux petites et moyennes entreprises). Objets connectés, dossiers médicaux, … Le Data Act impose par ailleurs une série d’obligations aux prestataires de services cloud en matière de migration de données et d’interopérabilité (par exemple supprimer les obstacles commerciaux, techniques et contractuels empêchant le client de porter ses données, applications ou autres actifs numériques vers d‘autres prestataires ; assurer une période transitoire de migration de 30 jours avec assistance ; ou encore assurer la compatibilité de ses services avec les normes d’interopérabilité de la Commission européenne).
• European Health Data Space (EHDS). La proposition de règlement sur l’espace européen des données de santé (10) a été soumise par la Commission européenne le 3 mai 2022. L’UE entend adopter ce texte d’ici 2025, pour une entrée en application douze mois après sa publication. L’objectif est triple : établir les règles régissant l’espace européen des données de santé afin d’améliorer et garantir aux personnes physiques un accès sûr à leurs propres données de santé et un contrôle sur ces données dans le contexte des soins de santé (dite « utilisation primaire ») ; améliorer le fonctionnement du marché unique pour la mise au point et l’utilisation de produits et services de santé innovants fondés sur des données de santé, et veiller à ce que les chercheurs et les entreprises innovantes puissent tirer le meilleur parti des données de santé disponibles pour leurs travaux (dite « utilisation secondaire ») ; établir un cadre juridique uniforme pour le développement, la commercialisation et l’utilisation des systèmes de dossiers médicaux électroniques (DME). Dans le cadre de l’utilisation primaire des données, les citoyens de l’UE auront à leur disposition des droits et mécanismes supplémentaires complétant leurs droits existants au titre du RGPD sur leurs données de santé électroniques.
Concernant l’utilisation secondaire, le projet de règlement EHDS vient encadrer avec précision les pratiques des chercheurs et acteurs de l’industrie de santé (par exemple : limitation des catégories de données pouvant être utilisées, encadrement des finalités autorisées) et leur imposer des obligations (sécurité des solutions utilisées, transparence sur le calcul des redevances générées par l’utilisation secondaire).
• Artificial Intelligence Act (AIA). Cette proposition de règlement sur l’intelligence artificielle (11) a été soumise le 21 avril 2021 par la Commission européenne. L’adoption de ce texte est pressentie à horizon 2024, pour une entrée en application entre 18 et 24 mois après son adoption. Le texte vise à créer les conditions propices au développement et à l’utilisation d’une IA de pointe, éthique, sûre et digne de confiance dans l’UE. Pour se faire, l’approche est technologiquement neutre et le texte met en place des règles impératives, applicables de façon proportionnée en fonction des risques que présentent les systèmes d’IA concernés. Ainsi, les IA présentant un risque inacceptable pour les personnes sont interdites ; celles présentant un haut risque se voient imposer un certain nombre d’obligations; celles présentant un risque faible sont soumises à des obligations de transparence et d’information vis-à-vis des utilisateurs ; et enfin celles présentant un risque résiduel ne sont pas soumises au projet de règlement AIA, mais régulées par l’adoption volontaire de code de conduite et/ou de charte éthique (12).
• Digital Services Act (DSA) et Digital Markets Act (DMA). Un accord politique a été conclu sur le DMA (13) le 24 mars 2022 et sur le DSA (14) le 23 avril 2022, suivi d’un vote final au Parlement européen le 5 juillet dernier. Une fois adoptés respectivement en juillet et en septembre 2022, le DMA entrera en application six mois après l’entrée en vigueur, et le DSA quinze mois après l’entrée en vigueur ou à partir du 1er janvier 2024, la date la plus tardive étant retenue (15).
• Modifications de textes existants. Plusieurs autres textes sont également en cours de révision. La directive NIS (16) est modifiée par le projet de directive NIS2, dont le champ d’application a été considérablement élargi, puisqu’il vise désormais à réguler beaucoup plus d’organisations et entreprises et qu’il renforce les obligations à la charge des acteurs concernés en imposant notamment des obligations renforcées en termes de gestion des risques, de notification des incidents et de divulgation des vulnérabilités (17). La directive Machines (18) devient un projet de règlement Machines (19), visant principalement une numérisation de la documentation en la matière (instructions d’utilisation et déclaration) et la mise en place d’évaluations de conformité (pour certaines catégories de produits). De son côté, la directive ePrivacy (21), transformée en projet de règlement ePrivacy peine à voir le jour depuis la publication de sa première version en janvier 2017. De nombreux points restent encore et toujours en débat, notamment sur le régime applicable au dépôt de cookies et à la prospection commerciale.

Imbrication des textes parfois peu intelligible
Ces textes sont ambitieux et mêlent approche globale et sectorielle. Il en résulte une imbrication parfois peu intelligible des différents mécanismes et obligations pesant sur les acteurs qui multiplient souvent de nombreuses casquettes et entrent donc simultanément dans les champs d’application de plusieurs de ces textes. Bien qu’il soit louable de vouloir emboîter le pas au développement exponentiel de la valeur des données et du numérique, on peut s’interroger sur l’efficacité d’une telle multiplication de textes qui entraîne malheureusement la publication de textes peu aboutis, péniblement interopérables, voire difficilement transposables à la pratique des industries qu’ils visent. @

Souveraineté numérique : l’Europe en quête de fonds

Publié le par

En fait. Les 21 et 22 juin, s’est tenue l’Assemblée numérique (Digital Assembly) qui est organisée chaque année – depuis juin 2011 – par la Commission européenne et la présidence de l’Union européenne. Cette année, sous présidence française (1er semestre 2022), ce rendez-vous s’est déroulé à Toulouse et en ligne. Et après ?

En clair. C’est la première fois que Bruno le Maire intervenait publiquement (en vidéo préenregistrée cependant) en tant que ministre de l’Economie, des Finances et de la Souveraineté industrielle et numérique (sa nouvelle dénomination depuis le 20 mai). C’est aussi la dernière fois que le locataire de Bercy depuis plus de cinq ans prononçait un discours sous la présidence française de l’Union européenne qui s’achève le 30 juin pour passer le relais semestriel à la Tchéquie. « Chers représentant de l’écosystème numérique européen… », a-t-il commencé en guise d’ouverture de l’Assemblée numérique (Digital Assembly) qui s’est tenue les 21 et 22 juin.
Ce rendez-vous annuel, organisé depuis plus de dix ans maintenant (1) (la première édition a eu lieu en juin 2011) par la Commission européenne et la présidence de l’Union européenne (UE), fut, selon lui, « l’occasion de poser la question de l’avenir numérique de notre Continent » car « la souveraineté numérique de l’Europe est stratégique (…) et doit reposer sur quatre grands principes : l’innovation, la régulation, la protection et la résilience ». Face aux GAFAM américains que les Vingt-sept ont tendance depuis des années à accuser de les avoir « colonisés » (2) et les BATX chinois en embuscades malgré les contraintes imposées par Pékin, l’Europe entend notamment « faire grandir [ses] champions » : « Il ne peut pas y avoir de souveraineté numérique sans entreprises de technologie européennes, puissantes de rang mondial », prévient le locataire de Bercy. Cela suppose, a-t-il rappelé, de « financer la croissance de [ces] entreprises », notamment par le biais du plan « Scale-up Europe » lancé en mars 2021 par Emmanuel Macron en lien avec la Commission européenne et les autres Etats membres. Objectif : « Créer plus de dix géants technologiques valorisés à plus de 100 milliards d’euros au sein de l’Union européenne avant 2030 » (3). L’Europe manquant de fonds de taille suffisante pour financer des start-up en phase de croissance et les investisseurs institutionnels étant plus frileux vis-à-vis d’elles, l’idée est, a expliqué Bruno le Maire, de « faire émerger dix à vingt fonds de plus de 1 milliard d’euros [chacun, ndlr] capables de rivaliser avec nos concurrents américains ou asiatiques ». Et d’annoncer devant l’écosystème numérique européen de la Digital Assembly : « Le financement, c’est la clé. Ce projet a déjà reçu le soutien de 22 Etats membres ». @

Les associations de consommateurs veillent à ce que le Data Act mette les utilisateurs au centre

Publié le par

Les particuliers sont les principaux générateurs de données numériques provenant de leurs terminaux et objets connectés. Au-delà de leurs données personnelles, ils doivent avoir le contrôle sur l’ensemble des data qu’ils produisent. Afin que l’économie des données leur profite à eux aussi.

« En tant qu’initiateurs d’une grande partie de ces données, grâce à leur utilisation d’appareils connectés et de services numériques, les consommateurs doivent garder le contrôle sur la façon dont les données – qu’ils ont aidé à générer – sont partagées et avec qui. Ces données sont utiles pour toutes sortes de services dans l’économie, dont les consommateurs pourraient également bénéficier, tels que les fournisseurs de services concurrents ou un plus large choix de services après-vente, y compris la réparation et l’entretien », a prévenu Monique Goyens (photo), directrice générale du Bureau européen des unions de consommateurs (Beuc).

Data de 398 millions d’internautes de l’UE
Monique Goyens a ainsi interpellé le 23 février dernier la Commission européenne qui présentait ce jour-là sa proposition de règlement sur les données, baptisé Data Act, dont l’objectif est de favoriser une « économie des données » dans les Vingt-sept, et de préciser « qui peut utiliser et les données générées dans l’UE dans tous les secteurs économiques et accéder à ces données ». Le texte lui-même de ce projet de règlement sur les données est un document de 64 pages (1), dont la traduction dans d’autres langues est en cours. Mais le Beuc, qui est basé à Bruxelles et qui fête cette année ses 60 ans, met en garde l’Union européenne contre la mise en place d’un cadre législatif ne mettant pas les utilisateurs – en l’occurrence les 398 millions d’internautes européens, selon l’Internet World Stats (2) – au cœur de cette « libéralisation » de la data. « Par exemple, illustre concrètement Monique Goyens, les données générées par un réfrigérateur intelligent devraient pouvoir être transmises à un concurrent ou être consultées par un service tiers si le consommateur le souhaite. Ces données peuvent inclure les paramètres du réfrigérateur, des informations sur le contenu du réfrigérateur, la façon dont il interagit avec d’autres appareils intelligents dans la maison, ou sur la façon dont le réfrigérateur est utilisé ou peut être défectueux ». Autrement dit, le Data Act ne doit pas seulement favoriser l’exploitation par des tiers des masses de données, le plus souvent générées par les Européens des Vingt-sept, mais aussi les rendre utiles et bénéfiques pour les utilisateurs eux-mêmes. « La loi sur les données est un élément important du puzzle pour s’assurer que les données peuvent être consultées équitablement dans toutes les industries tout en donnant aux utilisateurs le plein pouvoir de décider ce qui arrive aux données qu’ils génèrent. Il est essentiel que les consommateurs décident ce qui arrive aux données qu’ils génèrent, quand ils les partagent et avec qui », insiste la directrice générale du Beuc. Quant au droit de portabilité des données, il doit pouvoir être simplement exerçable par chaque consommateur qui le souhaite lorsqu’il veut passer d’un prestataire de services numériques à un autre : réseau social, cloud, plateforme de contenus, logiciel, etc. Et surtout le Data Act prévoit d’étendre ce droit de « mobilité numérique » au-delà des données personnelles. En effet, le RGPD (3) limite ce droit aux données à caractère personnel. Le Data Act, lui, renforcera ce droit à la portabilité de la data à toutes les données, à caractère personnel ou non.
Dans une lettre adressée le 16 février à Margrethe Vestager, vice-présidente de la Commission européenne, en charge notamment du numérique, le Beuc plaidé pour que « le consommateur soit au centre de la proposition de règlement sur les données ». Car Monique Goyens et la cosignataire du courrier (4), Ursula Pachl, directrice générale adjointe du Beuc, reprochent à l’exécutif européen que « les discussions sur l’accès aux données sont souvent dominées par des considérations d’entreprise à entreprise et d’entreprise à gouvernement ». Alors que, insistent-elles, ce sont les consommateurs eux-mêmes qui jouent un rôle central dans l’économie des données ; ce sont eux qui fournissent et génèrent d’énormes quantités de données grâce à leur utilisation d’appareils connectés et de services numériques ; eux encore qui permettent à une myriade de services en ligne de prospérer et d’innover grâce à l’accès à leurs données d’utilisateur. « En d’autres termes, résument les deux signataires, ces données sont essentielles du point de vue de la concurrence, du choix du consommateur et de l’innovation. La loi sur les données doit suivre l’approche centrée sur l’humain décrite dans la communication de la Commission européenne intitulée “Une stratégie européenne pour les données” (5) ».

Les quatre exigences du Beuc
Dans ce courrier adressé en copie au commissaire européen chargé du marché intérieur, Thierry Breton, le Beuc estime que le Data Act devrait intégrer quatre éléments favorables aux consommateurs : • S’assurer que les consommateurs contrôlent les données générées par leurs appareils connectés et les services associés. Lorsque les consommateurs sont à l’origine des données, ils devraient pouvoir décider librement et contrôler quand et avec qui partager leurs données. • Un droit amélioré de portabilité des données ne devrait pas se limiter aux données à caractère personnel, comme c’est actuellement le cas avec le RGPD, et devrait être beaucoup plus facile à exercer qu’il ne l’est aujourd’hui dans ce dernier. • Prendre des mesures de protection visant à empêcher l’accumulation et l’exploitation supplémentaires de données de tiers par les entreprises qui gardent le contrôle (gatekeeper). Il s’agit d’un élément clé du Digital Markets Act (DMA) qui doit être réaffirmé dans le Data Act afin d’assurer une économie des données ouverte, concurrentielle et saine. • S’assurer que les consommateurs ont accès à tous les recours et mécanismes de recours nécessaires si leurs droits ne sont pas respectés, y compris ceux prévus par la directive sur les actions représentatives [appelées aussi actions de groupe, ou class action (6), ndlr].

Des données inexploitées ou verrouillées
« En plus de fournir un cadre dans lequel les données sont accessibles et partagées, la loi européenne sur les données doit compléter les règles existantes en matière de protection des données, de protection des consommateurs et de concurrence. (…) L’UE doit également veiller à ce que la loi sur les données ne finisse pas par renforcer les monopoles des Big Tech sur les données », a prévenu le Beuc (7), qui compte UFC-Que Choisir et le CLCV (8) parmi ses 46 organisations de consommateurs membres de 32 pays (9), donc bien au-delà des Vingt-sept.
La proposition de règlement sur les données s’inscrit dans un contexte où l’on assiste à un « data-boom », dont le volume va exploser et passer de plusieurs dizaines de zettaoctets à plusieurs centaines de zettaoctets d’ici la prochaine décennie. Or une grosse partie de ces gisements de data sont inexploités ou sous-utilisés, en raison de « problèmes juridiques, économiques et techniques ». Par exemple, la Commission européenne affirme que « 80% des données industrielles n’étant jamais utilisées ».
Le Data Act est là pour déverrouiller la situation. « Les nouvelles règles augmenteront le volume de données disponibles en vue de leur réutilisation et devraient générer 270 milliards d’euros de PIB supplémentaire d’ici à 2028 », avancent Margrethe Vestager et Thierry Breton qui ont présenté la proposition. Mais l’utilisateur final sera-t-il au coeur du dispositif comme le souhaitent les organisations de consommateurs fédérées par le Beuc ? C’est ce que tente de mettre en place la proposition du Data Act. Dans ses explications annexées à sa communication du 23 février, la Commission européenne donne un exemple précis : « Lorsque vous achetez un produit “traditionnel”, vous devenez propriétaire de toutes les pièces et de tous les accessoires de ce produit. En revanche, lorsque vous achetez un produit connecté – par exemple, un appareil domestique intelligent ou une machine industrielle intelligente – qui génère des données, il est souvent difficile de savoir qui peut faire quoi avec les données, ou il peut être stipulé dans le contrat que toutes les données générées sont exclusivement recueillies et utilisées par le fabricant ». Le Data Act permettra non seulement aux entreprises mais aussi aux particuliers de mieux contrôler les données qu’ils génèrent à partir de tous les objets connectés en leur possession : terminaux (smartphones, ordinateurs, tablettes, téléviseurs, …), enceintes connectées, appareils électro-ménagers connectés, ou encore objets dits intelligents. Les services de cloud tels que Amazon Web Services, Microsoft Azure, Google Cloud ou encre OVHcloud sont concernés par ce nouveau droit au contrôle des données. Ce contrôle des données sera assorti d’un « droit à la portabilité renforcé » qui permet de copier ou de transférer facilement des données entre différents services en concurrence. « Il sera plus facile de transférer des données et des applications (qu’il s’agisse d’archives photographiques privées ou de l’administration entière d’une entreprise) d’un fournisseur à un autre sans engager de frais, grâce aux nouvelles obligations contractuelles que la proposition présente pour les fournisseurs de services en nuage et à un nouveau cadre de normalisation pour l’interopérabilité des données et des services en nuage », explique la Commission européenne.
L’utilisateur aura en outre la possibilité de partager les données qu’il génère avec d’autres prestataires en vue d’améliorer les services rendus. L’article 3 du Data Act crée une « obligation de rendre accessibles les données générées par l’utilisation de produits ou de services connexes ». L’article 4 donne le « droit des utilisateurs d’accéder et d’utiliser les données générées par l’utilisation de produits ou de services connexes ». Et l’article 5 accorde à l’utilisateur le « droit de partager des données avec des tiers ». Ces dispositions inquiètent d’emblée les entreprises numériques, notamment américaines au sein de la CCIA (10), et les éditeurs de logiciels, dont ceux réunis au sein du BSA (11).

Obligation de partager avec des tiers
En pratique, pour prendre une situation précise, « le propriétaire d’une voiture ou d’une machine pourrait choisir de partager les données produites par leur utilisation avec sa compagnie d’assurances » et « ces données, agrégées auprès de plusieurs utilisateurs, pourraient également contribuer au développement ou à l’amélioration d’autres services numériques, par exemple en ce qui concerne la circulation routière ou les zones à haut risque d’accident ». Cela stimulera le développement d’un éventail plus large de services par des tiers avec lesquels l’utilisateur acceptera de partager des données, généralement pour un meilleur prix ou une meilleure qualité de service. @

Charles de Laubier