Règlement (UE) 2023/2854 du 13 décembre 2023 sur les données (« Data Act ») — Accès aux données des objets connectés, clauses abusives entre entreprises, portabilité cloud et bouclier extraterritorial

Véhicules connectés, machines-outils industrielles, équipements médicaux, engins agricoles ou domotique génèrent en continu d’immenses volumes de données non personnelles et personnelles dont la maîtrise technique restait jusqu’ici captée par le constructeur du matériel ou l’éditeur du logiciel embarqué, verrouillant les marchés secondaires de la réparation, de la maintenance prédictive et des services à valeur ajoutée. Sans créer un droit de propriété intellectuelle sur les données brutes, le Data Act opère une réallocation contractuelle et légale profonde : dès le 12 septembre 2026 pour les nouveaux produits mis sur le marché, les équipements connectés devront être conçus (« access by design ») de manière à rendre les données d’usage aisément accessibles à l’utilisateur, et dès le 12 septembre 2025 l’utilisateur peut exiger du détenteur des données qu’il les communique sans frais pour lui-même ou les partage avec un tiers désigné — étant précisé que ce tiers ne peut ni développer un produit connecté directement concurrent à partir de ces données ni être un « contrôleur d’accès » (gatekeeper) désigné au titre du règlement (UE) 2022/1925 sur les marchés numériques.

Lorsque des données doivent être mises à disposition entre entreprises en exécution d’une obligation légale, le chapitre III impose au détenteur de contracter à des conditions équitables, raisonnables et non discriminatoires (FRAND), avec une contrepartie financière plafonnée de manière transparente (et réduite au strict coût marginal de mise à disposition lorsque le destinataire est une PME ou un organisme de recherche sans but lucratif).

Soucieux de ne pas sacrifier le patrimoine immatériel des industriels européens, le règlement ménage toutefois un « frein à main » encadré au profit des secrets d’affaires (au sens de la directive (UE) 2016/943) : le détenteur ne peut certes pas opposer un refus général et abstrait, mais il est en droit d’exiger au préalable des protocoles techniques stricts de confidentialité et, à titre exceptionnel, de suspendre ou refuser la divulgation de données identifiées s’il démontre un risque élevé de préjudice économique grave et irréparable malgré ces mesures — décision motivée notifiée à l’autorité nationale compétente et susceptible de recours.

Deux garde-fous transversaux commandent enfin la mise en conformité des entreprises et des éditeurs logiciels. En premier lieu, l’article 1er, paragraphe 5, pose la primauté intégrale du RGPD et de la directive vie privée et communications électroniques en cas de conflit dès que des données à caractère personnel — ou des jeux de données « mixtes » inextricablement liés — sont en cause : lorsque l’utilisateur qui demande le partage des données vers un tiers n’est pas lui-même la personne physique concernée (par exemple un employeur mettant des véhicules ou outils connectés à la disposition de ses salariés, ou un loueur professionnel), aucune transmission de données personnelles ne peut intervenir sans une base juridique valide au titre de l’article 6 du RGPD.

En second lieu, l’article 32 du Data Act étend aux données non personnelles hébergées dans l’Union par les fournisseurs de services cloud un bouclier juridique de souveraineté directement inspiré de la jurisprudence Schrems II et de l’article 48 du RGPD. Les prestataires doivent mettre en œuvre toutes les mesures techniques, juridiques et organisationnelles raisonnables — y compris le chiffrement et le cloisonnement — afin d’empêcher tout accès ou transfert gouvernemental international qui entrerait en conflit avec le droit de l’Union ou le droit national d’un État membre.

En l’absence d’accord international d’entraide judiciaire en vigueur, une décision d’un tribunal ou d’une autorité administrative d’un pays tiers exigeant la communication de données non personnelles détenues dans l’Union ne peut être honorée que si le droit du pays tiers impose la motivation et la proportionnalité de la mesure, revêt un caractère spécifique et permet au destinataire de soumettre l’injonction au contrôle d’une juridiction compétente prenant dûment en compte les intérêts juridiques protégés par le droit européen (notamment la sécurité nationale et les secrets d’affaires), le fournisseur devant au surplus informer le client détenteur des données avant d’obtempérer sauf interdiction pénale expresse destinée à préserver l’efficacité d’une enquête répressive.