EPISODE 7 : l’Interopérabilité : STD et stratégie multicloud

Obligations des fournisseurs de STD, Utilisation simultanée des STD, Interopérabilité des STS Exigences essentielles relatives aux Smart Contracts pour le partage des données

Eléonore Scaramozzino, Avocate, Constellation Avocats

• Quelles obligations imposent le Data Act aux fournisseurs de services de traitement de données participant à un espace de données ?
• Quelles sont les règles d’interopérabilité applicables pour l’accès et le partage des données dans une stratégie multicloud ?

Le chapitre VIII dédié à l’interopérabilité, les articles 33 à 36

Le Data Act définit l’interopérabilité comme la capacité d’échanger et d’utiliser les données provenant d’au moins 2 espaces de données

Article 2.40) « interopérabilité« : la capacité d’au moins deux espaces de données ou réseaux de communication, systèmes, produits connectés, applications, services de traitement de données ou composants d’échanger et d’utiliser des données afin de remplir leurs fonctions;

Exigences essentielles concernant l’interopérabilité des données, des mécanismes et des services de partage des données ainsi que des espaces européens communs de données

Pour faciliter l’interopérabilité des données, des mécanismes et des services de partage de données, ainsi que des espaces européens communs des données: Le DATA Act impose des obligations d’interopérabilité aux Fournisseurs de données, de services de partage de données participant à un espace de données. Ces derniers doivent respecter des exigences essentielles énoncées à l’article 33 .1. Ces exigences peuvent être de nature générique ou concerner des secteurs spécifiques, tout en tenant pleinement compte de l’interdépendance avec les exigences découlant d’autres dispositions du droit de l’Union ou du droit national. Pour s’y conformer ils peuvent implémenter des normes harmonisées, présumées être en conformité avec lesdites exigences essentielles.

La normalisation et l’interopérabilité sémantique devraient jouer un rôle essentiel dans l’apport de solutions techniques permettant de garantir l’interopérabilité au sein d’espaces européens communs de données et entre ces espaces, qui sont des cadres interopérables de normes et de pratiques communes spécifiques à chaque finalité ou à chaque secteur ou transsectoriels visant à partager ou à traiter conjointement des données aux fins, entre autres, de la mise au point de nouveaux produits et services, de la recherche scientifique ou d’initiatives de la société civile.

Le DATA ACT fixe certaines exigences essentielles en matière d’interopérabilité.

Les participants aux espaces de données qui proposent des données ou des services de données à d’autres participants, qui sont des entités facilitant le partage de données au sein d’espaces européens communs de données, y compris les détenteurs de données, ou participant à ce partage, devraient respecter ces exigences pour ce qui est des éléments sous leur contrôle.

Le respect de ces règles peut être assuré :

• en adhérant aux exigences essentielles établies dans le DATA ACT,
• ou peut être présumé en respectant des normes harmonisées ou des spécifications communes au moyen d’une présomption de conformité.

Afin de faciliter la conformité avec les exigences en matière d’interopérabilité, une présomption de conformité des solutions d’interopérabilité qui satisfont à des normes harmonisées ou à des parties de celles-ci conformément au règlement (UE) no 1025/2012, qui constitue le cadre par défaut pour l’élaboration de normes qui prévoient une telle présomption, est nécessaire.

Pouvoirs de la Commission pour l’adoption de spécification commune relatives aux exigences essentielles : le plan B

L’adoption par le marché des normes recensées dans le cadre de l’initiative de coordination de la normalisation du Cloud Computing décidée en 2016, a été limitée.

Le Data Act prévoit que lorsque les normes harmonisées sont insuffisantes pour garantir le respect des exigences essentielles, la Commission a le pouvoir adopter des spécifications communes dans ces domaines, à condition de respecter dûment le rôle et les fonctions des organismes de normalisation.

Des spécifications communes ne devraient être adoptées qu’à titre de solution de repli exceptionnelle en vue de faciliter le respect des exigences essentielles prévues par le présent règlement, ou lorsque le processus de normalisation est bloqué, ou lorsque l’établissement de normes harmonisées appropriées accuse du retard.

Si un tel retard est dû à la complexité technique de la norme en question, la Commission devrait en tenir compte avant d’envisager l’établissement de spécifications communes. Des spécifications communes devraient être élaborées selon des modalités ouvertes et inclusives et tenir compte, le cas échéant, des conseils formulés par le comité européen de l’innovation dans le domaine des données instauré par le règlement (UE) 2022/868.

Dès lors, la Commission s’appuiera sur les acteurs du marché pour élaborer des spécifications d’interopérabilité ouvertes pertinentes afin de suivre le rythme rapide de l’évolution technologique dans ce secteur.

Acte d’exécution établissant la spécification commune manquante :

Par acte d’exécution, la Commission peut adopter des spécifications communes couvrant l’une ou l’ensemble des exigences essentielles prévues au paragraphe 1 lorsque les conditions suivantes sont remplies :

• la Commission a demandé à une ou plusieurs organisations européennes de normalisation d’élaborer une norme harmonisée qui satisfait aux exigences essentielles, mais
  • la demande n’a pas été acceptée;
  • les normes harmonisées répondant à cette demande ne sont pas fournies dans le délai déterminé ;
  • les normes harmonisées ne répondent pas à la demande;

• Absence de référence à des normes harmonisées couvrant les exigences essentielles pertinentes  publiée (JOUE) et aucune référence de ce type ne devrait être publiée dans un délai raisonnable

Au niveau national : pouvoir de l’Etat membre sur l’acte d’exécution établissant la spécification commune

• Lorsqu’un État membre estime qu’une spécification commune ne satisfait pas entièrement aux exigences essentielles,
• il en informe la Commission en lui fournissant une explication détaillée.
• Evaluation par la Commission de cette explication détaillée et peut, le cas échéant, modifier l’acte d’exécution établissant la spécification commune en question.

Dès qu’une norme harmonisée est adoptée par une organisation européenne de normalisation :

• Evaluation par la Commission de la norme harmonisée conformément au règlement (UE) no 1025/2012 en vue de la publication de sa référence au JOEU.
• Après publication au JOEU, la Commission abroge le ou les acte(s) d’exécution, ou les parties de ces actes qui couvrent les mêmes exigences essentielles que celles couvertes par ladite norme harmonisée

« Cadre européen pour les données de confiance » (ETDF).

Concernant les exigences liées à l’interopérabilité dans les espaces de données, la Commission a préparé une demande de normalisation appelée « Cadre européen pour les données de confiance » (ETDF). La demande de l’ETDF porte sur sept normes et livrables de normalisation européens.   Ils sont étroitement alignés sur les recommandations du groupe de travail sur l’interopérabilité des données du Forum de haut niveau sur la normalisation européenne (publiées le 11 avril 2024).   La demande reflète les contributions issues des consultations menées auprès de : l’instance européenne de normalisation ;Les organisations de normalisation (CEN, Cenelec et ETSI) ; les organisations de parties prenantes de l’UE représentant les consommateurs ; les intérêts environnementaux, les syndicats et les PME dans la normalisation (SBS, CES, ANEC et ECOS) ;le Conseil européen de l’innovation en matière de données.   La demande de normalisation « Cadre européen pour des données de confiance » a été adoptée et acceptée par le Conseil européen de normalisation.

Répertoire central des nomes pour l’Interopérabilité des STD

La Commission publie, par voie d’actes d’exécution dans un répertoire central :

• les références des normes harmonisées pour l’interopérabilité des services de traitement de données ;
• des spécifications communes pour l’interopérabilité des services de traitement de données

Les normes harmonisées pour l’interopérabilité des STD et les spécifications communes fondées sur des spécifications d’interopérabilité ouvertes ne seront référencées que si elles respectent les critères spécifiés dans le Data Act, qui ont la même signification que les exigences énoncées à l’annexe II du règlement (UE) no 1025/2012 et celles définies dans la norme internationale ISO/CEI 19941:2017.

La Commission peut adopter des lignes directrices en tenant compte de la proposition du comité européen de l’innovation dans le domaine des données (article 30, point h), du règlement (UE) 2022/868 espaces européens communs des données)

Comment la Commission compte-t-elle créer le répertoire commun de l’Union pour l’interopérabilité des services de traitement des données ?

Le référentiel prendra la forme d’une plateforme en ligne. Il deviendra un guichet unique permettant aux fournisseurs de consulter les normes harmonisées ou les spécifications communes (sur la base de spécifications d’interopérabilité ouvertes) applicables au type de service qu’ils proposent.

Dès la publication d’une norme ou d’une spécification dans le référentiel, les fournisseurs disposent d’un an pour s’assurer que leurs services sont compatibles avec la norme ou la spécification référencée.

L’objectif est de garantir l’interopérabilité des services cloud afin que les clients puissent bénéficier du changement sans perdre de fonctionnalités, et de permettre aux fournisseurs d’accompagner plus facilement leurs clients dans le processus de changement.

En septembre 2025, la Commission a établi une cartographie des normes harmonisées et des spécifications d’interopérabilité ouvertes existantes susceptibles d’être reconnues dans le référentiel. Sur cette base, la Commission entreprendra les prochaines étapes pour la publication des normes ou spécifications pertinentes dans le référentiel : avant de pouvoir publier une norme harmonisée ou une spécification commune dans le référentiel, la Commission doit consulter les parties prenantes concernées et adopter un acte d’exécution, comme indiqué ci-dessus

Suite à ces étapes, la première version du référentiel sera publiée sur europa.eu et sera progressivement complétée par des normes harmonisées et des spécifications communes plus pertinentes par type de service .

Interopérabilité aux fins de l’utilisation simultanée de services de traitement de données (Article 34)

Comment favoriser l’accès et le partage des données dans une stratégie multicloud ?

Faciliter une approche multiclouds pour les clients des services de traitement de données peut

• réduire la dépendance à l’égard de fournisseurs particuliers de STD ;

• contribuer à accroître leur résilience opérationnelle numérique, ainsi que le prévoit, pour les institutions de services financiers, le Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014, (UE) no 909/2014 et (UE) 2016/1011 (JO L 333 du 27.12.2022, p. 1

Frais de transfert des données : dans le cas d’utilisation simultanée de STS / STRATEGIE MULTICLOUD

Dans le cas d’une utilisation simultanée de STD, les clients ne résilient pas un contrat pour changer de fournisseur de services de traitement de données, mais utilisent simultanément plusieurs services de différents fournisseurs, de manière interopérable, afin de bénéficier des fonctionnalités complémentaires des différents services dans la mise en place du système du client.  Dans ce cas, les fournisseurs de STD peuvent imposer des frais de transfert des données. Cependant, ces frais de transfert sont limités aux coûts de sortie occasionnés, et ne peuvent pas dépasser de tels coûts. En effet, il est admis que le processus de sortie des données d’un fournisseur de services de traitement de données vers un autre dans le but de faciliter l’utilisation simultanée de services peut constituer une activité continue, contrairement à la sortie ponctuelle requise dans le cadre du processus de changement de fournisseur.

Interopérabilité des services de traitement de données (art 35)

Définition d’une « Spécification d’interopérabilité ouverte »:

L’Article 2.41) définit la « Spécification d’interopérabilité ouverte », comme une spécification technique dans le domaine des technologies de l’information et de la communication (TIC) qui est orientée vers les performances et la réalisation de l’interopérabilité entre les services de traitement de données (STD)

Les spécifications d’interopérabilité ouvertes sont conformes à l’annexe II du règlement (UE) no 1025/2012du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision no 1673/2006/CE du Parlement européen et du Conseil (JO L 316 du 14.11.2012, p. 12).

Les objectifs des spécifications d’interopérabilité ouvertes et les normes harmonisées pour l’interopérabilité des STD 

Champs d’application des spécifications d’interopérabilité ouvertes et des normes harmonisées pour l’interopérabilité des STD

Smart contract : Exigences essentielles (art 36)

Les Smart contracts ou contrats intelligents pour l’exécution des accords de partage de données du Data Act sont technologiquement neutres. Les contrats intelligents peuvent, par exemple, être connectés à un registre électronique.

Selon le considérant 104 du Data Act, il est nécessaire

• de définir les exigences essentielles des contrats intelligents (Smart contract) créés par des professionnels et mis à disposition à d’autres professionnels ou intégrés dans des applications soutenant la mise en oeuvre d’accords de partage de données ;
• de faciliter la conformité de ces contrats intelligents avec ces exigences essentielles,
• de prévoir une présomption de conformité des contrats intelligents, dès lors qu’ils satisfont à des normes harmonisées ou à des parties de celles-ci conformément au règlement (UE) no 1025/2012 ;
• de limiter l’application des exigences essentielles qu’aux vendeurs de Contrats Intelligents (exclusion des contrats intelligents élaborés à des fins exclusivement internes)

L’utilisation de contrats intelligents pour l’exécution automatique de ces accords reste ou devrait rester sans incidence sur l’applicabilité des règles pertinentes du droit civil, du droit contractuel, du droit de la protection des consommateurs à de tels accords de partage de données.

Les exigences essentielles relative aux contrats intelligents dans le cadre d’un accord de mise à disposition des données

Qui doit les respecter la conformité des Smart Contract aux exigences essentielles ?

• Le vendeur d’une application utilisant des contrats intelligents ou, à défaut,
• La personne dont l’activité commerciale, l’entreprise ou la profession nécessite le déploiement de contrats intelligents pour des tiers dans le cadre de l’exécution d’un accord ou d’une partie d’un accord de mise à disposition des données

Quelles sont les exigences essentielles applicables aux Smart Contracts:

Les exigences essentielles du Smart Contract :

Robustesse et contrôle de l’accès,	le contrat intelligent doit être conçu de manière à offrir des mécanismes de contrôle d’accès et un degré très élevé de robustesse afin d’éviter des erreurs fonctionnelles et de résister aux tentatives de manipulation par des tiers ;
résiliation et interruption en toute sécurité,	Le contrat intelligent doit  : être doté d’un mécanisme permettant de mettre fin à l’exécution continue des transactions etIntégrer des fonctions internes pouvant réinitialiser le contrat ou lui donner instruction de cesser ou d’interrompre l’opération, en particulier pour éviter de futures exécutions accidentelles;
archivage et continuité des données	aux fins de garantir : dans quelles circonstances le contrat intelligent doit être résilié ou désactivé, la possibilité d’archiver les données relatives aux transactions, la logique et le code du contrat intelligent afin de conserver l’enregistrement des opérations effectuées sur les données dans le passé (vérifiabilité);
contrôle de l’accès	aux fins de garantir que le contrat intelligent est protégé par des mécanismes rigoureux de contrôle d’accès au niveau de la gouvernance et des contrats intelligents
cohérence	garantir une cohérence entre les dispositions de l’accord de partage de données et le contrat intelligents qui l’exécute

Conformité aux exigences essentielles : conformité aux normes

Le vendeur d’un contrat intelligent ou, à défaut, la personne dont l’activité commerciale, l’entreprise ou la profession nécessite le déploiement de contrats intelligents pour des tiers dans le cadre de l’exécution d’un accord ou d’une partie d’un accord de mise à disposition des données :

• procède à une évaluation de la conformité en vue de satisfaire aux exigences essentielles et ;
• délivre une déclaration UE de conformité ;
• est responsable du respect des exigences essentielles.

Présomption de conformité

• Un contrat intelligent qui satisfait aux normes harmonisées ou aux parties concernées de celles-ci et dont les références sont publiées au JOUE est présumé être en conformité avec les exigences essentielles, dans la mesure où ces exigences sont couvertes par de telles normes harmonisées ou des parties de celles-ci.

Rôle de la Commission européenne

Demande de la Commission aux organisations de normalisation

Conformément à l’article 10 du règlement (UE) no 1025/2012, la Commission demande à une ou plusieurs organisations européennes de normalisation d’élaborer des normes harmonisées qui satisfont aux exigences essentielles

Conditions d’adoption de spécifications communes par actes d’exécution

La Commission peut, par voie d’actes d’exécution, adopter des spécifications communes couvrant l’une ou l’ensemble des exigences essentielles lorsque les conditions suivantes sont remplies:

1. Demande refusée ou réponse non adaptée

La Commission a demandé aux organisations européennes de normalisation mais :

1. la demande n’a pas été acceptée;
2. les normes harmonisées répondant à cette demande n’ont pas été fournies dans le délai déterminé; ou
3. les normes harmonisées ne répondent pas à la demande; et

• Absence de norme

Aucune référence à des normes harmonisées couvrant les exigences essentielles pertinentes n’est publiée au Journal officiel de l’Union européenne conformément au règlement (UE) no 1025/2012 et aucune référence de ce type ne devrait être publiée dans un délai raisonnable.

Procédure d’adoption d’un acte d’exécution

Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 46, paragraphe 2. Avant de préparer un projet d’acte d’exécution, la Commission informe le comité visé à l’article 22 du règlement (UE) no 1025/2012 qu’elle estime que les conditions prévues au paragraphe 6 de l’article 36 du Dat Act ont été remplies. Lorsqu’elle prépare le projet d’acte d’exécution visé au paragraphe 6, la Commission tient compte de l’avis du comité européen de l’innovation dans le domaine des données et du point de vue d’autres organismes ou groupes d’experts compétents et consulte dûment toutes les parties prenantes concernées.

Conformité aux spécifications communes : présomption de conformité aux exigences essentielles couvertes par les spécifications communes  

Le vendeur d’un contrat intelligent ou, à défaut, la personne dont l’activité commerciale, l’entreprise ou la profession nécessite le déploiement de contrats intelligents pour des tiers dans le cadre de l’exécution d’un accord ou d’une partie d’un accord de mise à disposition des données, conforme aux spécifications communes établies par des actes d’exécution visés au paragraphe 6, ou à des parties de celles-ci, est présumé respecter les exigences essentielles dans la mesure où ces exigences sont couvertes par de telles spécifications communes ou par des parties de celles-ci.

Abrogation des spécifications communes dès publication de la norme harmonisée

• Lorsqu’une norme harmonisée est adoptée par une organisation européenne de normalisation et proposée à la Commission en vue de la publication de sa référence au Journal officiel de l’Union européenne, la Commission
  • évalue la norme harmonisée conformément au règlement (UE) no 1025/2012.
  •  abroge les actes d’exécution visés au paragraphe 6 de l’article 36, ou des parties de ces actes qui couvrent les mêmes exigences essentielles que celles qui sont couvertes par ladite norme harmonisée.

Pouvoir d’un Etat membre : possibilité de modification par la Commission de l’acte d’exécution

• Lorsqu’un État membre estime qu’une spécification commune ne satisfait pas entièrement aux exigences essentielles, il en informe la Commission en lui fournissant une explication détaillée.
• La Commission évalue ladite explication détaillée et peut, le cas échéant, modifier l’acte d’exécution établissant la spécification commune en question.

A SUIVRE …EPISODE 8