Le partage volontaire des données

12 Sur le plan des modalités de partage des données, le chapitre II du DGA, sur la « Réutilisation de certaines catégories de données protégées détenues par des organismes du secteur public », est emblématique. Il concerne la réutilisation des données des personnes publiques dont l’utilisation est soumise aux droits d’autrui (Perray et Favreau, 2023). Le texte n’instaure pas de droit général de réutilisation de ces données protégées, mais encadre les conditions d’une telle réutilisation lorsqu’elle est autorisée. Il est évident que la libre circulation des données et le renforcement de la transparence numérique posent certaines difficultés. En particulier, il existe des risques inhérents à l’ouverture non contrôlée. Les réutilisations subséquentes peuvent porter atteinte à la protection des données personnelles, dont la réelle anonymisation est d’ailleurs extrêmement complexe. Au demeurant, l’articulation d’ensemble du DGA avec le RGPD, qui est structuré par des exigences de protection des données, reste encore couverte d’interrogations. D’autant que s’ajoute ici la problématique de la mise en œuvre concrète de l’extraterritorialité des textes, les opérateurs de stockage et de traitement de données étant situés à l’étranger.

13 Il n’en reste pas moins que le DGA prévoit qu’un plus grand nombre de données détenues par le secteur public sont éligibles au droit de réutilisation à partir de sa mise en application, soit le 24 septembre 2023, y compris des données protégées par la confidentialité commerciale, le secret statistique, les droits de propriété intellectuelle de tiers, ainsi que certaines données personnelles. L’objectif poursuivi est que la circulation de ces données contribue à améliorer la productivité et stimule l’innovation. Afin de faciliter la réutilisation, une obligation d’assistance du demandeur est prévue, chaque État membre étant tenu de créer un point d’information unique destiné à fournir aux réutilisateurs potentiels des informations sur les données détenues par les autorités publiques. En outre, un point d’information unique doit aussi être établi au niveau européen par la Commission [14]. Pour assurer une disponibilité maximale de ces données détenues par les organismes publics, il est fait interdiction à ces organismes de conclure des accords d’exclusivité de réutilisation des données, sauf dans certaines situations liées à l’intérêt public. À côté de la réutilisation des données, le partage est également mis en avant dans le DGA au travers de la promotion d’un altruisme des données (Hulin, 2023). En effet, le DGA opère une distinction entre les opérations de partage des données privées menées à des fins marchandes et celles effectuées à des fins altruistes. Sur ce plan, son chapitre IV, intitulé « Altruisme en matière de données », encourage leur utilisation pour de tels motifs, suivant une perspective non marchande, afin de permettre leur partage au service de l’innovation sociale. L’altruisme des données vise ainsi des hypothèses dans lesquelles ces dernières sont volontairement mises à disposition par des particuliers ou des entreprises pour des objectifs d’intérêt général prévus par le droit national. C’est donc un partage spontané de données utiles. Pour autant, l’altruisme des données suscite de nombreuses questions. En particulier, le DGA ne pose pas de critères communs et précis permettant de déterminer dans quel cas ce don est opéré dans l’intérêt général. Le texte s’en remet au droit national, ce qui pourrait susciter des variations d’interprétation entre les États membres. À tout le moins, l’altruisme des données est simultanément soumis à des exigences rigoureuses, destinées à garantir la confiance numérique. Seules des organisations enregistrées auprès des autorités nationales compétentes pourront le pratiquer, ce qui constitue un gage d’objectivité. Les États membres sont donc chargés de désigner des autorités compétentes en matière de service d’intermédiation des données, et pour l’enregistrement des organisations altruistes. Ces autorités doivent veiller à la conformité au DGA. Les données sont remises à des organisations altruistes enregistrées auxquelles s’imposent des obligations de transparence.

14 En définitive, le régime de l’altruisme instauré par le DGA entreprend d’accroître le partage et la mutualisation de données. Il en résulte une autre représentation de celles-ci, qui favorise l’émergence de communs de la donnée. La Commission européenne a identifié certains domaines particulièrement propices au partage altruiste, en particulier la santé, le changement climatique ou encore la mobilité. Ces domaines sont aussi évoqués dans la Stratégie des données de la Commission, en vue de la création d’espaces sectoriels d’échange de données. Le changement prévu est manifestement substantiel. Pour le moment, la collecte massive des données et leur exploitation exclusive par les grandes plateformes, dans des conditions confidentielles, pose une sérieuse problématique d’effectivité du dispositif de leur mise en partage. Le législateur entrevoit cet aspect dans le Data Act qui, par-delà le volontariat, prévoit des obligations de partage des données.

Les obligations de partage des données

15 Le droit du marché européen des données repose assez largement sur une politique d’incitation (Kohlhauer, 2023). En effet, le DGA et le Data Act recommandent plus qu’ils n’imposent. Le dispositif de l’altruisme des données en témoigne, comme cela a été vu plus haut. Toutefois, il faut ajouter que le Data Act dépasse le droit persuasif avec son article 15, intitulé « Besoin exceptionnel d’utiliser des données » et fondé sur un régime de réquisition de ces dernières. En substance, il résulte de cet article que les organismes du secteur public peuvent accéder aux données détenues par des acteurs privés et les utiliser lorsque cela est nécessaire à des fins d’intérêt général [15], notamment pour réagir à une situation d’« urgence publique » [16]. Par ailleurs, symétriquement à cette possibilité exceptionnelle de réquisition des données, c’est un droit au partage de celles-ci qui commence à se profiler. Il repose sur l’idée que dans certains cas, l’intérêt particulier des détenteurs de données doit pouvoir être dépassé pour imposer le partage. Bien sûr, la difficulté inhérente à la reconnaissance d’un tel droit réside dans le fait que, si les données détenues par les personnes privées représentent un réservoir immense de potentialités susceptibles d’être valorisées dans l’intérêt général, le risque de cas d’utilisation non prévus demeure. Il peut s’agir, à titre exemple, d’utilisations destinées à fausser la concurrence au détriment des entreprises ou à entraîner une surveillance des individus par l’État en méconnaissance du RGPD. C’est en ce sens que le périmètre de la réquisition des données est minutieusement circonscrit dans le Data Act. Seul un « besoin exceptionnel » peut justifier la contrainte, imposée à un détenteur privé de données, de les mettre à disposition d’un organisme public. À l’évidence, la création juridique d’obligations de partage des données fait poindre des questionnements concernant la cohérence d’ensemble du droit européen du numérique. Somme toute, il semble effectivement qu’une telle cohérence reste encore assez largement à construire. De manière générale, le transfert de données depuis les acteurs privés vers l’État s’avère complexe puisque ces dernières continuent d’exister comme actifs stratégiques.

16 Au-delà de la conciliation entre le DGA et le RGPD, c’est l’articulation de l’AI Act avec les textes sur la circulation des données qui peut ensuite être abordée. Il n’est pas douteux, sur ce plan, que le droit des SIA requiert la définition d’un régime juridique favorable à leur accès et à leur circulation, y compris pour les données personnelles. Concrètement, l’AI Act prend appui sur le DGA et précise en quoi la gouvernance des données constitue un levier majeur pour l’essor d’une IA de confiance dans l’Union. Il instaure ainsi les bases d’une gouvernance des données des SIA. Le texte de l’AI Act part de l’incontournable présupposé suivant lequel la qualité et la représentativité des données conditionnent étroitement la fiabilité des SIA et leur capacité à respecter les droits fondamentaux. Ces pratiques de gouvernance sont alors déterminées en fonction des risques liés aux SIA. Il s’agit notamment d’assurer la surveillance, la transparence et la traçabilité des données tout au long du cycle de vie de ces SIA. En substance, l’article 10 de la proposition d’AI Act, dénommé « Donnée et gouvernance des données », précise les obligations de prétraitement nécessaires pour assurer la conformité d’un SIA à haut risque. Il tire parti du DGA pour établir des exigences de collecte et de qualité des données des SIA.

17 Il est certain que les nouvelles exigences du droit européen des données personnelles apparaissent difficilement compatibles avec l’usage massif des données que commande l’essor des SIA. Les principes issus du RGPD, comme la minimisation ou le respect de la finalité du traitement, semblent en tout état de cause peu conciliables avec le fonctionnement des IA fortes, qui reposent sur le traitement de mégadonnées. Pour autant, le droit du marché européen des données laisse entrevoir un moyen de surmonter cet antagonisme au travers du régime fixé par le DGA, dont l’esprit général vise justement à accroître la confiance dans le partage des données tout en consolidant l’essor des SIA. D’où l’importance de la séparation des activités de production, d’intermédiation et d’utilisation des données, qui est aménagée par le DGA. En effet, par l’organisation juridique d’une telle séparation, ce dernier vise à garantir l’indépendance des intermédiaires de données, qui, comme l’indique le règlement, ont vocation « à jouer un rôle essentiel dans l’économie des données » [17]. Assurément, dans le sillage du DGA, l’AI Act doit lui-même constituer un cadre juridique de confiance favorisant à la fois l’innovation des SIA et la protection des données. Les obligations de partage de celles-ci, qui devraient se multiplier dans les prochaines années, renforceront la pertinence des nouveaux logiciels et permettront à de nombreux acteurs économiques d’en bénéficier pour élaborer et entraîner leurs propres SIA. À cet égard, les modalités de mise en œuvre du marché européen des données sont bien sûr essentielles pour garantir une articulation harmonieuse des finalités poursuivies.

L’enjeu cardinal de la confiance numérique

19 Dans le discours juridique européen, la confiance numérique renforcée repose sur la qualité, l’intégrité, la transparence, l’exactitude, l’explicabilité et l’interopérabilité des données. Leur gouvernance suppose alors l’existence de structures et de processus permettant de les partager de manière sécurisée. Ainsi, concernant le périmètre organique de la gouvernance des données, le DGA crée un nouveau régime d’intermédiation. Plus exactement, il instaure dans son chapitre III sur les « Exigences applicables aux services d’intermédiation de données », un acteur nouveau de l’économie numérique européenne : le prestataire de services d’intermédiation de données (Data Intermediation Service, SID). Ce prestataire (Petel, 2023) a pour mission :

[d’]établir des relations commerciales à des fins de partage de données entre un nombre indéterminé de personnes concernées et de détenteurs de données, d’une part, et d’utilisateurs de données, d’autre part, par des moyens techniques, juridiques ou autres, y compris aux fins de l’exercice des droits des personnes concernées en ce qui concerne les données à caractère personnel [18].

20 Afin de garantir leur neutralité et de renforcer la confiance dans ce partage, le texte prévoit des aménagements spécifiques. Ainsi, ces intermédiaires ne peuvent pas exercer une autre activité. L’accès à leurs services, leurs conditions et les prix qu’ils pratiquent doivent respecter des principes d’équité, de transparence et de non-discrimination. De plus, les personnes qui souhaitent exercer cette activité de SID sont tenues de le notifier à l’autorité nationale compétente, qui doit les autoriser à exercer et à utiliser le label « Prestataire de services d’intermédiation de données reconnu dans l’Union » [19]. Sur cette base, les prestataires de SID vont pouvoir favoriser l’échange des données, notamment industrielles et commerciales, d’une manière transparente, concurrentielle et fiable, entre les acteurs publics et privés, grâce à la séparation de l’échange, de la collecte et du traitement des données. Au demeurant, ils ont vocation à intervenir dans de nombreux secteurs, comme la santé ou la transition écologique. À plus forte raison, leur intervention sera décisive auprès des concepteurs de SIA.

21 Il ressort du DGA que les prestataires de SID ne peuvent ni collecter ni traiter les données. En toute logique, une telle configuration corrobore l’idée qu’ils exercent le rôle de tiers de confiance pour faciliter l’échange de jeux de données entre des offreurs, qui en disposent, et des demandeurs, qui souhaitent procéder à des traitements pour leurs activités ou pour effectuer des prestations de services auprès d’autres opérateurs. En tant qu’intermédiaires des données, les prestataires de SID sont au cœur du fonctionnement des espaces communs de ces échanges. Ils sont chargés de garantir une « confiance systémique » (Hulin, 2023, p. 485) à l’égard des données, c’est-à-dire une confiance objective fondée sur la qualité de celles pouvant être partagées, donc sur leur degré d’exactitude, de volumétrie et de pertinence. Du reste, le DGA leur aménage une place centrale dans le partage des données. En contrepartie, ces prestataires sont tenus de se plier à des obligations en matière d’interopérabilité de données. Il leur est notamment demandé de les traiter dans le format dans lequel ils les reçoivent, et de garantir l’interopérabilité de leurs services avec les autres intermédiaires de données [20]. Ils peuvent toutefois les convertir dans un format spécifique permettant d’améliorer l’interopérabilité, lorsque l’utilisateur le demande, lorsque le droit l’impose ou pour assurer le respect de normes juridiques. En outre, les prestataires de SID sont tenus de garantir la sécurité des données qu’ils traitent. À cet effet, ils adoptent les mesures techniques, juridiques et organisationnelles appropriées pour empêcher un transfert ou un accès illicite. À terme, les prestataires de SID devraient concrètement prendre la forme de plateformes d’échange et d’exploitation conjointe de données, fournissant des infrastructures d’interconnexion entre les détenteurs et les utilisateurs.

22 Cette dernière remarque sur les infrastructures appelle encore une autre observation sur la nécessité de l’élaboration d’un véritable cloud européen souverain pour l’hébergement des données. Dans sa Stratégie pour les données, la Commission a justement mis en avant le besoin d’infrastructures et de services de données et de stockage en nuage pour la sécurité, la durabilité et l’interopérabilité des données. Ces infrastructures sont indispensables pour que les acteurs économiques européens bénéficient réellement d’une chaîne de valeur de la donnée intégrant la production, le traitement, l’accessibilité et la réutilisation. En effet, la confiance numérique dépend assez significativement de la capacité à territorialiser, au sein de l’Union, le stockage des données. Le projet « Gaia-X », issu d’une initiative franco-allemande présentée en octobre 2019, s’est précisément fixé comme objectif la réalisation d’un tel cloud européen. Alors que la majorité des infrastructures numériques en nuage dans l’Union relève pour le moment de plateformes nord-américaines [21], les conditions d’émergence d’une offre européenne de services de cloud décisivement compétitive, semblent pour l’instant encore éloignées. Néanmoins, devant la dépendance persistante et grandissante des acteurs économiques à l’égard des plateformes américaines, et pour redresser la situation actuelle d’asymétrie structurelle, le Data Act du 13 décembre 2023 met l’accent sur la portabilité des données et l’interopérabilité des systèmes [22]. Partant, la correction des déséquilibres concurrentiels sur le marché de l’informatique en nuage pourrait passer par cette voie. Il s’agit plus exactement de lutter contre les ventes liées de logiciels et d’accès au cloud, les pratiques de prix élevés de frais de transfert des données ou encore celles de rachat systématique des nouvelles entreprises qui émergent dans le secteur. Dans ce contexte, il faut justement se ressouvenir de ce que l’une des idées motrices du Data Act est de faciliter le choix et le changement de fournisseur de cloud par les utilisateurs.

23 Dans ce sillage, et à propos cette fois du droit français, peut être évoquée la loi du 21 mai 2024, visant à sécuriser et réguler l’espace numérique (SREN) [23]. Cette loi a notamment visé à adapter l’ordre juridique interne au nouveau contexte juridique issu du DGA, du DMA et du DSA, tout en anticipant certaines des mesures du Data Act [24] (Januel, 2023). Or, il est intéressant de relever que dans sa version adoptée en première lecture par le Sénat, le 5 juillet 2023, le projet de loi SREN prévoyait que les autorités publiques ayant recours à une offre commerciale sur le marché de l’informatique en nuage pour l’hébergement ou le traitement de certaines catégories de données sensibles, devaient être tenues de s’assurer, concernant le prestataire de services de cloud qu’elles étaient amenées à choisir, que « son siège statutaire, son administration centrale ou son principal établissement est établi sur le territoire d’un État membre de l’Union européenne » [25]. Une telle disposition visait clairement à faire advenir un cloud européen, conçu comme un gage de souveraineté numérique et de confiance pour l’ensemble des acteurs opérant dans l’Union, et en particulier pour l’essor des espaces communs de partage des données. Mais finalement, loi SREN du 21 mai 2024, dans son article 31, dispose que :

Si le système ou l’application informatique concerné traite de données d’une sensibilité particulière, définies au II, qu’elles soient à caractère personnel ou non, et si leur violation est susceptible d’engendrer une atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes ou à la protection de la propriété intellectuelle, l’administration de l’État, ses opérateurs et les groupements mentionnés au présent I veillent à ce que le service d’informatique en nuage fourni par le prestataire privé mette en œuvre des critères de sécurité et de protection des données garantissant notamment la protection des données traitées ou stockées contre tout accès par des autorités publiques d’États tiers non autorisé par le droit de l’Union européenne ou d’un État membre. [26]

24 Autrement dit, le législateur, avec cette nouvelle loi SREN, impose désormais une obligation d’interopérabilité des services cloud, ce qui constitue une première pierre en faveur d’un hébergement souverain des données au niveau européen. Le sujet est bien sûr éminent et continue d’être âprement discuté, comme en témoigne encore la controverse autour de l’hébergement de la plateforme des données de santé (Health Data Hub), créée en 2019, et du choix de la solution logicielle « Azure » procurée par la société nord-américaine Microsoft [27]. Sur ce sujet, le gouvernement s’est engagé à organiser, à terme, la migration de la plateforme vers le cloud souverain « SecNumCloud ».

L’instauration progressive d’espaces communs de partage des données

25 Il ne fait aucun doute, à la lecture de la Stratégie pour les données de la Commission, que la future économie de la donnée, fondée sur la double dynamique de la protection et du partage, suppose une possibilité d’accès ou de réutilisation des données collectées. À cette aune, l’organisation du partage des données induit une approche intrinsèque de la donnée, détachée du modèle classique de la captation exclusive. Au contraire, l’approche par le partage des données repose sur le constat que ce ne sont pas toujours ceux qui les détiennent qui sont en mesure d’en extraire la valeur maximale. Dans cet ordre d’idées, les données de qualité et interopérables permettent d’accroître la compétitivité et l’innovation tout en améliorant la croissance économique. Ainsi, elles peuvent être réutilisées à diverses fins sans perdre en qualité. Alors, l’optimisation de leurs utilités implique leur circulation dans des espaces communs organisés en vastes réserves de données interopérables, et destinées aux acteurs publics et privés. L’hétérogénéité des données concernées reste évidemment un facteur de complexité. En effet, la donnée est diverse et face à cette diversité, la catégorie des « données d’intérêt général » présente un intérêt certain [28] parce qu’elle repose sur l’idée que l’ouverture des données détenues par des personnes privées peut être requise pour répondre à des objectifs d’intérêt général (Cytermann, 2023, p. 394). Plus largement, les espaces de données sont conçus comme des cadres interopérables sectoriels ayant pour but de surmonter les obstacles juridiques et techniques, qui limitent les échanges de données. Chaque espace sectoriel est fondé sur un ensemble de règles communes propres, et fonctionne à partir d’infrastructures spécialement dédiées. En pratique, il s’agit donc de déployer des plateformes de partage de données et de mettre l’accent sur l’accessibilité, la qualité et l’interopérabilité de ces dernières. Ainsi, les espaces adaptent le partage aux enjeux et contraintes des secteurs, tout en favorisant simultanément une circulation intersectorielle des données. Autrement dit, le règlement sur la gouvernance des données fournit en quelque sorte un droit commun du partage des données, qui doit être ensuite complété par des droits spéciaux sectoriels.

26 À cet égard, plusieurs projets d’espaces sectoriels peuvent être évoqués. En premier lieu, en novembre 2021, la Commission européenne a adopté une recommandation relative à un espace européen commun de données pour le patrimoine culturel [29]. L’objectif poursuivi est de permettre la réutilisation des contenus et d’offrir des contenus de qualité ainsi qu’un accès efficace, fiable et aisé aux biens numériques du patrimoine culturel européen. Un tel espace doit renforcer les collaborations et les échanges entre les partenaires fournisseurs de données [30], les agrégateurs et les experts spécialisés dans le domaine du patrimoine culturel numérique. Plus récemment, la Commission a publié des communications concernant d’autres secteurs : en juillet 2023, à propos d’un « espace européen commun des données du tourisme » [31], et en novembre 2023, sur un « espace européen commun des données relatives à la mobilité » [32].

27 Ensuite, la proposition de règlement du 3 mai 2022 sur l’espace européen des données de santé [33] (European Health Data Space, EHDS) entend faciliter leur accès et l’entraînement des SIA sur la base de ces mêmes données (Douville, 2022 ; Favier, 2023). Le texte organise ainsi un accès non discriminatoire, transparent et respectueux de la vie privée, sous l’égide d’une gouvernance institutionnelle appropriée de ces données. Il en ressort que le DGA et le Data Act sont complétés par une législation spéciale sur leur partage, qui participe par-là même de la naissance d’une Union européenne de la santé (De Grove-Valdeyron, 2021). Avec l’EHDS, l’objectif est de fournir aux personnes physiques le droit à un accès immédiat, gratuit et simplifié à leurs données de santé, et le droit à la portabilité de leurs dossiers médicaux dans un format interopérable (Teller, 2022). En pratique, les personnes devraient donc pouvoir mieux contrôler leurs données de santé. Le texte prépare encore la création d’un cadre juridique pour l’utilisation de ces données à des fins de recherche, d’innovation et d’élaboration de politiques. Ce cadre repose sur un régime d’autorisation d’accès et sur une infrastructure européenne décentralisée et sécurisée. Dénommée « MyHealth@EU », cette infrastructure doit être établie au sein des États membres d’ici 2025. Partant, le partage des données de santé pourra, entre autres, accélérer la transition numérique du secteur sanitaire, perfectionner les algorithmes d’aide à la décision médicale et contribuer au marché unique des produits et services de santé numérique. Parce qu’il est le premier véritable espace sectoriel, l’EHDS servira également de laboratoire pour la mise en place des autres espaces communs de partage de données au niveau européen. Sa mise en œuvre servira donc d’aiguillon.

28 Enfin, la proposition de règlement du 28 juin 2023 sur un cadre pour l’accès aux données financières [34] peut être mentionnée. Le texte pose les bases de l’instauration d’un espace européen des données financières (European Financial Data Space, EFDS), qui est lui aussi évoqué dans la Stratégie pour les données de 2020. La Commission y constate que les clients du secteur financier de l’Union n’ont pas la possibilité de contrôler efficacement l’accès à leurs données, ainsi que le partage de ces dernières, au-delà des comptes de paiement. L’accès à celles qui sont détenues par les établissements financiers qui collectent, conservent et traitent les données des clients, s’avère effectivement difficile pour les utilisateurs de données, et notamment pour les entreprises qui entendent fournir des services innovants. Dans ce contexte, la proposition d’EFDS dessine un cadre juridique pour clarifier les modalités de partage des données dans le secteur financier. L’objectif est concrètement de fournir aux consommateurs et aux entreprises les moyens de mieux contrôler l’accès à leurs données financières, pour leur permettre de bénéficier de produits et de services financiers personnalisés. Il est certain que l’EHDS et l’EFDS, en tant qu’ils sont les deux premiers espaces de partage des données concrètement mise en place, seront décisifs dans l’œuvre européenne de déploiement d’un marché des données alliant avec le plus d’harmonie possible les exigences de partage aux exigences de protection.