Accès aux données / Accès direct / DATA ACT

DATA ACT : DECRYPTAGE DU REGLEMENT SUR LES DONNEES DE SANTE (EPISODE 5)

Posted by

Episode 5 : Accès aux données par le secteur public

Eléonore Scaramozzino, Avocate Constellation Avocats

Le chapitre V du Data Act est dédié à la mise à disposition d’organismes du secteur public, de la Commission, de la Banque Centrale Européenne et d’organes de l’Union des Données sur le fondement d’un besoin exceptionnel (articles 14-22).

L’article 14 impose une obligation aux détenteurs de données, personnes morales autres que des organismes du secteur public, de mettre des données à disposition d’un organisme du secteur public, la Commission, la Banque Centrale Européenne, ou un organisme de l’Union, sur le fondement d’un besoin exceptionnel défini à l’article 15, pour exercer ses fonctions statutaires, à des fins d’intérêt public. 

Considérant 64

Un besoin exceptionnel d’utiliser certaines données au sens du Data Act :

  • a une durée et une portée limitées
  • est réputé exister uniquement dans les cas suivants

Comment définir une « atténuation ou un rétablissement après » une situation d’urgence publique ?

Le Data Act ne clarifie pas ces concepts, mais l’article 15 les distingue clairement de la « réponse à une urgence publique » (article 15(1 )( a)).

Les facteurs à prendre en compte lors de l’identification d’une activité comme « atténuation ou rétablissement après une urgence publique » sont susceptibles d’être définis dans le droit national, car l’atténuation ou le rétablissement après une urgence publique doit être désigné comme une « tâche spécifique effectuée dans l’intérêt public, qui a été explicitement prévue par la loi » afin d’être pertinente pour les demandes du chapitre V.

Que signifie le terme « conditions équivalentes » dans le contexte de l’article 15(1 )( a) ?

L’expression « dans des conditions équivalentes » pourrait être interprétée, dans le contexte de cet article, comme une règle exigeant qu’un organisme du secteur public souhaitant exercer ses droits en vertu du chapitre V vérifie au préalable si les mêmes données ne pourraient pas être obtenues ailleurs, tout en exigeant un effort comparable.

Considérant 64

(…) Dans de tels cas, l’organisme du secteur public devrait démontrer que les données faisant l’objet de la demande ne pourraient pas, autrement, être obtenues de manière rapide et efficace et dans des conditions équivalentes, par exemple au moyen de la fourniture volontaire de données par une autre entreprise ou de la consultation d’une base de données publique.  

 Les nouveaux droits prévus par le Data Act pourraient-ils mettre en danger les modèles économiques existants des détenteurs de données, car un organisme du secteur public pourrait demander les données au lieu de les acheter ?

Non : peu de risques que les modèles économiques actuels soient sérieusement affectés.

Cela est dû au fait que, dans toutes les situations autres qu’un besoin exceptionnel de données pour répondre directement à une urgence publique, et lorsqu’une option d’achat de données non personnelles est disponible pour l’organisme public, les données devront être achetées au prix du marché

Un organisme du secteur public ne peut s’appuyer sur le processus décrit à l’article 15(1)(b) que s’il n’a pas été en mesure d’obtenir les données non personnelles

–              soit parce que les données ne peuvent pas être achetées,

–              soit parce que l’organisme du secteur public a tenté en vain de les acheter au prix du marché (par exemple via un marché public).

Exception à l’obligation de démontrer ne pas être en mesure d’obtenir des données à caractère non personnel :

Art 15.3 « L’obligation de démontrer que l’organisme du secteur public n’a pas été en mesure d’obtenir des données à caractère non personnel en les achetant sur le marché ne s’applique pas lorsque la mission spécifique exécutée dans l’intérêt public consiste en la production de statistiques officielles et que l’achat de ces données n’est pas autorisé par le droit national. »

Inapplication de l’obligation de mise à disposition des données pour un besoin exceptionnel

L’obligation de mise à disposition pour un besoin exceptionnel ne s’applique pas aux organismes du secteur public, à la Commission, à la Banque centrale européenne ou aux organes de l’Union, lorsqu’ils exercent des activités :

  • de prévention et de détection des infractions pénales ou administratives,
  • d’enquêtes ou de poursuites en la matière,
  • ou d’exécution de sanctions pénales,
  • ni à l’administration douanière ou fiscale.

Le chapitre V n’affecte pas les dispositions applicables du droit de l’Union et du droit national relatives à la prévention et à la détection des infractions pénales ou administratives, aux enquêtes et aux poursuites en la matière, à l’exécution de sanctions pénales ou administratives, ou relatives à l’administration douanière ou fiscale.

Compliance des demandes d’accès aux données par le secteur public

Comment un détenteur de données peut-il vérifier qu’une demande de mise à disposition des données pour un besoin exceptionnel (Chapitre V) est justifiée et légale ?

Lorsqu’un détenteur de données reçoit une demande de mise à disposition de donnés pour un besoin exceptionnel, le processus de vérification comprend 4 étapes :

Processus de vérification

1er Etape : vérification du demandeur :

2ème Etape : vérification des points suivants (art 17.1)

Les détenteurs de données doivent vérifier que les points suivants soient précisés dans la demande (la justification doit être suffisamment claire) :

3ème Etape : Vérification sur les exigences de la demande

.

4ème Etape : Vérification du respect des Procédures spécifiques selon le demandeur, selon la nature des données demandées

En cas de doutes justifiés quant aux conditions énumérées ci-dessus, le titulaire des données devrait pouvoir demander des éclaircissements et, en dernier ressort, refuser la demande ou en demander la modification. Dans ce cas, l’entité requérante peut demander à l’autorité compétente de trancher la question.

. Un organisme public d’un pays peut-il demander des données à un détenteur de données dans un autre pays ?

Les droits du titulaire des données sont-ils pleinement protégés dans un tel cas ?

  • Oui. Le Data Act prévoit le droit pour un organisme du secteur public de demander des données à des titulaires de données (entreprises) situés dans un État membre autre que celui de l’organisme demandeur. Ce droit peut être important en cas d’urgence transfrontalière (par exemple, catastrophe naturelle) ;
  • La demande doit satisfaire à toutes les exigences de l’article 17 (Compliance de la demande de données par un demandeur public) ;
  • L’article 22 prévoit une afin de garantir la protection du titulaire des données. Ces demandes sont toujours notifiées à l’autorité compétente de l’État membre du détenteur des données pour examen ex ante.

Procédure spécifique pour les demandes transfrontalières (art 22)

Les données sont mises à disposition deviennent-elles des informations du secteur public ? Quelles sont les obligations de l’organisme public?

  • Non. Les données demandées ne deviennent pas des informations du secteur public qui doivent être rendues ouvertement réutilisables en vertu de la directive (UE) 2019/1024 (la directive sur les données ouvertes).
  • En principe, les données ne peuvent être utilisées qu’aux fins spécifiques précisées dans la demande et uniquement par le demandeur. Toutefois, l’organisme demandeur peut exiger l’intervention d’un autre organisme du secteur public ou d’un tiers pour l’exécution d’une mission du secteur public pour laquelle les données ont été demandées. Dans ce cas, l’organisme public ou le tiers concerné doit être identifié dans la demande, conformément à l’article 17(1 )( f).

Les 2 situations du partage des données obtenues pour un besoin exceptionnel

L’article 21 relatif au « Partage de données obtenues dans le cadre d’un besoin exceptionnel avec des organismes de recherche ou des organismes statistiques » décrit deux situations dans lesquelles les données demandées peuvent être partagées ultérieurement :

  • pour effectuer des recherches scientifiques ou des analyses compatibles avec la finalité pour laquelle les données ont été demandées et ;
  •   pour la production de statistiques officielles. Le détenteur des données doit être informé de tout transfert de ce type, afin qu’il puisse déposer une plainte auprès de l’autorité compétente.

Conditions sur les destinataires ultérieurs

  • Les particuliers ou les organismes qui reçoivent les données dans l’une des 2 situations mentionnées ci-dessus agissent dans un but non lucratif ou dans le cadre d’une mission d’intérêt public reconnue par le droit de l’Union ou le droit national. Ils sont soumis aux obligations de l’article 17.  
  • Sont exclus les organismes sur lesquels des entreprises commerciales ont une influence significative, ce qui est susceptible de conduire à un accès préférentiel aux résultats des recherches.

Suppression des données

Les données partagées dans le cadre du mécanisme décrit à l’article 21 doivent être supprimées au plus tard 6 mois après la réalisation de la finalité initiale pour laquelle les données avaient été demandées.

Une demande au titre du chapitre V peut-elle être faite de manière répétitive ou simultanée par différents organismes du secteur public ?

On ne peut pas s’attendre à ce qu’un détenteur de données réponde à des demandes répétées pour les mêmes données. Les organismes du secteur public doivent d’abord vérifier si les données sont déjà disponibles au sein du secteur public.

Un détenteur de données peut refuser une demande de partage des données si :

  • une demande similaire aux mêmes fins a déjà été soumise par un autre organisme du secteur public ou par la Commission, la Banque centrale européenne ou un autre organisme de l’UE ;
  • n’a pas été informé de l’effacement des données sans retard injustifié dès qu’elle nécessaires à la finalité, sauf si archivage requis.

Utilisation des données par les gouvernements

Des dispositions spécifiques garantissent que la nécessité de demander des données, justifiée par un besoin exceptionnel, ne peut en aucun cas porter atteinte à la protection des données personnelles ou des secrets d’affaires.

Ces dispositions comprennent principalement l’article 17, qui énumère en détail les exigences requises pour une demande valide, ainsi que les exigences suivantes :

Toute violation présumée des dispositions du chapitre V de la loi sur les données peut être portée devant les tribunaux compétents ou l’autorité compétente de l’État membre dans lequel le titulaire.

 Un organisme du secteur public peut-il être un « utilisateur » d’un produit connecté/service connexe en vertu du chapitre II ?

Oui. Rien n’empêche un organisme du secteur public (en tant qu’entité juridique distincte) de devenir un utilisateur au sens du chapitre II

Considérant 18

Il convient d’entendre par utilisateur d’un produit connecté une personne physique ou morale, telle qu’une entreprise, un consommateur ou un organisme du secteur public, qui est le propriétaire d’un produit connecté, a reçu certains droits temporaires, par exemple en vertu d’un contrat de location ou de crédit-bail, d’accéder aux données obtenues à partir du produit connecté ou de les utiliser, ou reçoit des services connexes pour le produit connecté. (…)

A SUIVRE ….EPISODE 6

Laisser un commentaire