Six ans après l’entrée en vigueur du Règlement Européen 2016/679 sur la protection des données à caractère personnel (”RGPD” ), l’Union Européenne vient d’adopter un nouveau règlement visant une meilleure répartition de la valeur générée par l’utilisation des données entre les acteurs de l’économie numérique.
Adopté le 11 janvier 2024, en seulement 22 mois, le Règlement 2023/2854 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données (Règlement sur les Données ou “Data Act” ) ambitionne d’élargir le champ de la souveraineté européenne sur le numérique, au-delà des frontières des seules données à caractère personnel.
Débutées en février 2022 sous la présidence française de l’Union européenne, les négociations visaient à appréhender l’Internet des objets (« Internet of Things » ou « IoT ») et l’industrie de l’informatique en nuage (« cloud computing ») qui génère une quantité importante de données, tant personnelles que non personnelles et dont la valeur économique demeure aujourd’hui contrôlée par les quelques acteurs en position dominante mettant sur le marché ces produits IoT ou service de cloud computing.
En supprimant certaines barrières à la portabilité des données sous-jacentes, le Data Act ambitionne de stimuler le développement d’une économie européenne de la donnée équitable et un rééquilibrage de la concurrence.
Le Data Act définit pour la première fois ce qu’est une « Donnée ». En effet, si la « Donnée à Caractère Personnel » était définie en droit européen depuis plus de 30 ans comme « toute information se rapportant [directement ou indirectement] à une personne physique identifiée ou identifiable », la donnée est à présent caractérisée par « toute représentation numérique d’actes, de faits ou d’informations et toute compilation de ces actes, faits ou informations, notamment sous la forme d’enregistrements sonores, visuels ou audiovisuels. »
En premier lieu, la définition de la donnée semble matériellement plus restreinte que la donnée personnelle. Lorsque cette dernière peut être issue de traitement de données réalisé sur support informatique ou papier, la donnée au sens du Data Act est exclusivement numérique.
En outre, en affirmant qu’une donnée est soit un « acte », soit un « fait », soit une « information », le Data Act souligne qu’elle n’est qu’un état et, partant, insusceptible, en tant que telle, d’appropriation par le droit de la propriété intellectuelle (sans préjudice des droits éventuels sur la base de données où elle serait comprise ou du caractère secret de cette donnée).
En conséquence, la donnée n’étant la propriété de personne, ni du prestataire, ni de son client, sa détention et son contrôle ne peuvent être régis que par contrat.
Le Data Act couvre un large spectre d’acteurs de l’économique de la donnée :
Si certaines exemptions ont été mises en place pour les micro-entreprises et les petites entreprises, ces dernières bénéficient également d’un régime favorable, notamment dans le cadre de leurs relations contractuelles avec des fournisseurs de tailles plus importantes, aux fins de rééquilibrer les négociations contractuelles.
Le Data Act impose aux acteurs listés ci-dessus plusieurs obligations, qui visent à les responsabiliser, notamment par une transparence accrue, pour promouvoir une concurrence loyale sur le marché des données.