Stockholm a présenté un nouveau compromis sur la loi sur les données, obtenu par EURACTIV, portant sur la portée, les secrets commerciaux, l’accès aux données d’entreprise à gouvernement (B2G), les transferts internationaux et l’indemnisation, entre autres.
Mercredi soir (24 janvier), la présidence suédoise du Conseil de l’UE a fait circuler un nouveau compromis sur la loi sur les données, une proposition de loi sur les données réglementant l’accès, le portage et le partage des données.
Les Suédois ont demandé des commentaires écrits et oraux aux autres États membres sur les questions centrales encore ouvertes, en fournissant une liste d’options. Le nouveau texte sera discuté lors du groupe de travail Télécom du Conseil de l’UE mardi prochain.
« Afin de clarifier le processus à venir, à la suite des discussions au sein du groupe de travail, la présidence demandera aux délégations de fournir un retour d’information sur toute priorité restante en [3] février 2023 », lit-on dans le document, soulignant l’intention de clore le dossier dans les semaines à venir.
Portée
La loi informatique introduit le principe selon lequel les utilisateurs de produits connectés doivent avoir le droit d’accéder aux données qu’ils ont contribué à générer, ainsi qu’aux métadonnées nécessaires pour interpréter et utiliser ces données, et de les partager avec un tiers de leur choix.
Cependant, le type de données qui devrait être couvert par la loi sur les données a été un point controversé. Le nouveau compromis note que « pour mieux définir le champ d’application matériel de la loi sur les données, il a été décidé de se concentrer sur les fonctionnalités des données plutôt que sur les produits ».
En particulier, le texte se concentre sur les données prétraitées générées automatiquement par les capteurs intégrés dans les produits connectés tels que les véhicules, les équipements domestiques et de style de vie, plutôt que sur les produits eux-mêmes.
Par ailleurs, la définition des données générées par un produit ou un service associé a été modifiée pour exclure les données générées pour afficher du contenu et les données enregistrées à l’aide d’applications autres que celles strictement liées au produit.
Secrets commerciaux
Un autre problème est de s’assurer que les données partagées respectent les secrets commerciaux de l’organisation qui les fournit.
Lorsque l’organisation d’origine identifie des données ou des métadonnées qui impliquent des secrets commerciaux, les utilisateurs ou le tiers concerné doivent prendre toutes les mesures techniques et organisationnelles pour les protéger.
Les dispositions imposant ces mesures de protection ont été renforcées, donnant à l’organisation d’origine le droit de demander une indemnisation si elles ne sont pas respectées.
Entreprise à gouvernement
La manière dont la loi sur les données peut être rendue proportionnelle pour les petites et moyennes entreprises (PME) a été un autre point de discussion au Conseil de l’UE. Une tâche particulièrement exigeante est liée au fait que la législation permet aux organismes publics de demander l’accès à des données privées (B2G) dans des circonstances spécifiques.
Initialement, les micro et petites entreprises étaient exclues de cette obligation B2G. Cependant, le dernier compromis soumet les micro et petites entreprises à cette obligation uniquement pour répondre à une urgence publique comme une pandémie. Mais, contrairement aux grandes entreprises, ils pourraient demander une compensation.
Transferts internationaux de données
La loi proposée comprend des restrictions pour les services cloud pour le transfert de données non personnelles vers un pays tiers et l’accès connexe de l’autorité judiciaire d’une juridiction étrangère.
Un nouvel article sur les obligations contractuelles de transparence en matière d’accès et de transfert internationaux a été ajouté, demandant aux services cloud de publier l’emplacement physique de leur infrastructure numérique sur leurs sites Web, ainsi que les mesures mises en place pour empêcher les gouvernements étrangers d’accéder aux données non personnelles de l’UE.
Le compromis précise que les autorités nationales doivent être impliquées chaque fois qu’il existe une décision judiciaire d’accéder à des données susceptibles d’affecter la sécurité nationale ou les intérêts de défense de l’UE ou de ses États membres.
Interaction avec le RGPD
Comme EURACTIV l’a révélé la semaine dernière, la nécessité de clarifier la relation entre la loi sur les données et le règlement général sur la protection des données (RGPD), la loi européenne sur la protection de la vie privée, a été une remarque cruciale de l’Allemagne qui a déploré l’absence de chevauchements et d’incohérences possibles entre les deux règles de l’UE. lois.
Le texte indique que le règlement reconnaît ou crée une base juridique conformément au RGPD pour le traitement des données générées. Par ailleurs, les organismes concernés par les obligations de partage des données de la loi informatique ont été élargis aux organismes du secteur public.
Lorsqu’un organisme public demande un ensemble de données contenant des données à caractère personnel, la présidence suédoise propose que l’autorité compétente en matière de protection des données en soit informée sans délai.
Compensation
L’organisation détenant les données devrait convenir d’une compensation raisonnable avec l’organisation qui les reçoit, à condition qu’il s’agisse d’une entreprise et non d’un consommateur.
La Commission a récemment publié une étude sur ce qui pourrait être considéré comme une compensation «raisonnable». Certains de ses éléments ont été inclus, comme les coûts encourus, l’investissement nécessaire pour rendre les données disponibles et une marge.
De plus, la présidence souhaite que la Commission publie des lignes directrices sur le calcul de cette compensation.
Commutation cloud
La loi sur les données introduit également des mesures pour faciliter le passage d’un fournisseur de cloud à l’autre. Le compromis souligne que la nature des obstacles peut être précommerciale, commerciale, technique, contractuelle ou organisationnelle.
Les étapes techniques du processus de changement et les droits et obligations des différentes parties ont été précisés.
Équité contractuelle
La proposition initiale prévoyait un «contrôle d’équité» pour les contrats liés aux obligations de partage de données du règlement entre les PME et les grandes entreprises. Cette mesure a été élargie à tous les arrangements contractuels, quelle que soit leur taille.
[Edited by Nathalie Weatherald]