Le droit de partager les données avec des tiers

Le règlement sur les données garantit aux utilisateurs le droit de partager à des tiers les données qu’ils génèrent par leur utilisation des objets connectés. 

Ce droit bénéficie aux utilisateurs. Les détenteurs de données doivent répondre à la demande des utilisateurs de partager les données avec un tiers. 

Le tiers peut être toute personne physique ou morale établie sur le territoire de l’Union, à l’exception des « contrôleurs d’accès » désignés par la Commission européenne au sens du règlement sur les marchés numériques (Digital Markets Act ou DMA en anglais).

L’utilisateur peut partager auprès des tiers les données « facilement accessibles », à savoir les données relatives à un produit connecté ou un service connexe qu’un détenteur de données peut « obtenir légalement à partir du produit connecté ou du service connexe, sans effort disproportionné allant au-delà d’une simple opération ». Les métadonnées pertinentes nécessaires à l’interprétation et à l’utilisation de ces données doivent également être partagées auprès des tiers. 

Les utilisateurs peuvent demander aux détenteurs des données des objets connectés de les partager avec les tiers de leur choix. 

Le détenteur des données peut vérifier le statut de l’utilisateur et lui demander de fournir les informations strictement nécessaires à cette fin (informations d’identité, contrat d’achat, de location, etc.) à travers un mécanisme permettant l’exécution automatique de la demande. 

Le détenteur de données doit supprimer les informations qui ne sont pas nécessaires à la bonne exécution de la demande d’accès de l’utilisateur et à la sécurité et à la maintenance de l’infrastructure de données.

Les détenteurs doivent mettre les données à la disposition des tiers dans des conditions équitables, raisonnables, non discriminatoires entre des catégories comparables de destinataires de données et de manière transparente. 

Si un destinataire estime qu’il existe des conditions discriminatoires d’accès aux données, il peut demander au détenteur des données de lui fournir, sans retard injustifié, des informations attestant l’absence de discrimination.

A la réception de la demande des utilisateurs, les détenteurs de données sont tenus de mettre les données à disposition auprès du tiers sans retard injustifié, à un niveau de qualité identique à celui dont ils bénéficient et de manière aisée, sécurisée, sans frais pour l’utilisateur, dans un format complet, structuré, couramment utilisé et lisible par machine et, lorsque cela est pertinent et techniquement possible, en continu et en temps réel.

Les détenteurs de données et les tiers peuvent convenir d’une compensation en contrepartie de la mise à disposition des données. La compensation est non discriminatoire, raisonnable et susceptible d’inclure une marge. Elle peut aussi varier selon le volume, le format et la nature des données.

La compensation tient compte, en particulier : 

• des coûts occasionnés par la mise à disposition des données, dont, notamment, les coûts encourus pour le formatage des données, leur diffusion par voie électronique et leur stockage ;
• des investissements dans la collecte et la production de données.

Dans le cas où un destinataire de données est une PME ou un organisme de recherche à but non lucratif, les compensations convenues avec les détenteurs de données se limitent aux coûts occasionnés par la mise à disposition des données. 

Le détenteur de données justifie auprès de leurs destinataires la base de calcul de la compensation de manière suffisamment détaillée pour lui permettre d’évaluer le respect des précédentes exigences.

La Commission européenne publiera des lignes directrices pour aider les parties à calculer la compensation raisonnable.

Dans le but de protéger les données partagées et les droits qui s’y rapportent les détenteurs de données et les tiers doivent respecter des obligations particulières.

Les détenteurs de données doivent s’abstenir d’utiliser les données qu’il partage au tiers pour obtenir des informations sur sa situation économique, ses actifs ou ses méthodes de production, ou sur l’utilisation qu’il en fait, d’une quelconque autre manière susceptible de porter atteinte à sa position commerciale ; le tiers peut néanmoins autoriser l’utilisation de ces données, sous réserve qu’il ait la possibilité technique de retirer facilement son accord à tout moment.

Les tiers doivent respecter plusieurs séries d’obligations. 

1.  lorsqu’ils traitent les données, les tiers doivent : 

• respecter les finalités et les conditions d’utilisation des données convenues avec l’utilisateur ;
• effacer les données lorsqu’elles ne sont plus nécessaires pour satisfaire la finalité convenue
• utiliser les données à des fins de profilage ;
• s’abstenir de partager les données à d’autres tiers, sauf accord contractuel de l’utilisateur et, en toute circonstances, aux « contrôleurs d’accès » désignés par la Commission européenne au sens du règlement sur les marchés numériques (Digital Markets Act ou DMA en anglais) ;
• s’abstenir d’utiliser les données pour développer un produit qui concurrence l’objet connecté dont les données proviennent ;
• s’abstenir d’utiliser les données d’une manière qui nuit à la sécurité de l’objet connecté ;
• respecter les mesures spécifiques convenues pour protéger la confidentialité des secrets d’affaires.

 2. Les tiers sont tenus de préserver la situation des détenteurs de données et doivent : 

• s’abstenir de nuire au détenteur des données, soit par le recours à des moyens coercitifs, soit par le fait de tirer avantage de lacunes dans l’infrastructure technique destinée à protéger les données pour obtenir l’accès aux données ;
• s’abstenir d’utiliser les données pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production du fabricant ou, le cas échéant, du détenteur de données. 

3. Les tiers se voient contraints de respecter certaines exigences vis-à-vis des utilisateurs : 

• s’abstenir de compliquer les choix ou l’exercice des droits de l’utilisateur, que ce soit par la présentation des choix qu’il offre ou par l’interface numérique à travers laquelle il utilise les données ;
• laisser la liberté à l’utilisateur lorsqu’il est un consommateur, à savoir un individu « qui agit à des fins qui n’entrent pas dans le cadre de son activité commerciale, industrielle, artisanale ou libéral », de mettre les données transmises à ce tiers à la disposition d’autres parties, c’est-à-dire qu’il ne peut lui imposer de clause d’exclusivité sur ces données.

Le règlement sur les données prévoit que les secrets d’affaires, au sens de la directive (UE) 2016/943 dont la définition est transposée par les articles L.151-1 et suivants du code de commerce, sont préservés et ne sont divulgués que lorsque les détenteurs et les tiers prennent toutes les « mesures nécessaires » en vue de préserver leur confidentialité. Le détenteur des données ou des secrets d'affaires recense les données protégées et convient avec le tiers de mesures techniques et organisationnelles pour préserver la confidentialité des données partagées (par exemple des clauses contractuelles types, accords de confidentialité, protocoles d'accès stricts, normes techniques, application de codes de conduite, etc.).

Protection générale des secrets d’affaires

Le détenteur de données peut toutefois bloquer ou suspendre le partage des données couvertes par les secrets d'affaires dans trois situations : 

• lorsque le détenteur et le tiers échouent à s’accorder sur les mesures nécessaires à mettre en place ;
• lorsque le tiers ne pas met pas en œuvre les mesures convenues avec le détenteur des donnée ;
• lorsque le tiers compromet la confidentialité des secrets d’affaires.

Dans ce cas, il doit motiver sa décision et la communiquer par écrit au tiers sans retard injustifié. Il doit, en outre, notifier à l’autorité compétente [l’Arcep] qu’il a refusé ou suspendu le partage de données et indique les mesures convenues qui n'ont pas été mises en œuvre et, le cas échéant, les secrets d'affaires dont la confidentialité a été compromise.

Protection des secrets d’affaires en cas de préjudice économique grave

Dans des circonstances exceptionnelles, le détenteur de données qui détient des secrets d’affaires peut enfin refuser une demande d'accès aux données, au cas par cas, s’il peut démontrer qu’il risque d’encourir « un préjudice économique grave » en raison de la divulgation de secrets d'affaires malgré les mesures techniques et organisationnelles prises par le tiers.

Dans cette situation, le détenteur de données doit alors : 

• étayer sa démonstration avec des éléments objectifs et, notamment, l'opposabilité de la protection des secrets d'affaires dans les pays tiers, la nature et le niveau de confidentialité des données demandées, ainsi que le caractère unique et neuf du produit connecté ;
• communiquer sa décision au tiers par écrit et sans retard injustifié ;
• notifier sa décision à l’autorité compétente [l’Arcep], en l’expliquant.

Une clause contractuelle concernant l’accès aux données et leur utilisation qu’une entreprise a imposée unilatéralement à une autre entreprise ne lie pas cette entreprise si elle est abusive.

La portée de ces clauses est définie dans le règlement sur les données. Une clause contractuelle est abusive dans le cas où son utilisation s'écarte manifestement des bonnes pratiques commerciales en matière d'accès aux données et d'utilisation des données, contrairement à la bonne foi et à un usage loyal. En outre, une clause contractuelle est unilatéralement imposée lorsqu’elle a été fournie par une partie contractante et que l'autre partie contractante n'a pas été en mesure d'influencer son contenu malgré une tentative de négociation. Ne rentrent pas dans le périmètre des clauses abusives imposées unilatéralement les clauses contractuelles définissant l'objet principal du contrat ni à l'adéquation entre le prix et les données fournies en contrepartie.

Le règlement sur les données fixe une liste de clauses contractuelles abusives et présumées abusives. Dans le cas où la clause abusive est dissociable des autres clauses du contrat, ces dernières sont contraignantes. Afin d’aider les parties à rédiger et négocier des contrats garantissant leurs droits, la Commission européenne a publié une première version des clauses contractuelles types pour le partage de données entre entreprises, non contraignantes, disponibles pour l’instant en anglais.