Le Data Governance Act (DGA), ou règlement européen sur la gouvernance des données, organise le partage de données sans créer un droit général d’accès. Il fixe des règles pour certaines données publiques protégées, les intermédiaires de données et les démarches volontaires au service de l’intérêt général.
Son objectif est de rendre la réutilisation des données plus sûre, tout en préservant les droits des personnes et les intérêts des entreprises. Pour comprendre les effets concrets de ce cadre réglementaire, quelques principes essentiels permettent d’abord d’en saisir les limites.
À retenir : le cadre européen du partage de données
- Réutilisation encadrée de certaines données publiques protégées
- Intermédiaires soumis à des règles de neutralité
- Partage altruiste volontaire, sans récompense financière
- Protection des données personnelles toujours assurée par le RGPD
Data Governance Act et réutilisation des données publiques
Après ces repères, le premier enjeu concerne les informations détenues par les administrations, dont certaines restent inaccessibles en open data. Le DGA encadre leur réutilisation lorsqu’une autre règle permet leur mise à disposition, sans supprimer les protections existantes.
Données protégées : des accès assortis de garanties
Dans ce cadre, les administrations peuvent autoriser la réutilisation de données confidentielles, personnelles ou commerciales, sous conditions. Selon la Commission européenne, des outils tels que l’anonymisation, la pseudonymisation et les environnements sécurisés peuvent contribuer à protéger ces informations.
Une université qui étudie les parcours de soins pourrait, par exemple, analyser des données dans un espace contrôlé, sans recevoir directement les dossiers identifiants. Le consentement des personnes ou l’autorisation des détenteurs restent nécessaires lorsque les droits concernés l’exigent.
« Dans cet exemple fictif, je pourrais étudier des tendances de santé sans consulter les dossiers nominatifs des patients. »
Scénario pédagogique fictif
Demandes, coûts et délais de réutilisation
Le dispositif prévoit aussi des modalités administratives pour les demandes adressées au secteur public. Selon la Commission européenne, l’organisme dispose de deux mois pour prendre une décision, et les frais éventuels ne doivent pas dépasser les coûts nécessaires.
Les États membres doivent également proposer un point d’information unique afin d’aider les réutilisateurs à repérer les données pertinentes. Ces règles facilitent les démarches, mais la sécurité de l’accès dépend aussi des outils et des pratiques de chaque organisme.
Les modalités pratiques de réutilisation éclairent un autre besoin : les entreprises doivent pouvoir partager leurs données sans perdre le contrôle de leur usage.
Repères pour les demandes publiques :
- Vérification préalable des droits et restrictions applicables
- Accès sécurisé adapté au niveau de confidentialité
- Frais limités aux coûts nécessaires de mise à disposition
- Accompagnement par un point d’information national
Situation
Garantie ou modalité
Données personnelles
Respect du RGPD et des droits des personnes
Informations commerciales confidentielles
Consentement ou autorisation lorsque requis
Demande de réutilisation
Décision dans un délai maximal de deux mois
Frais d’accès
Plafonnement aux coûts nécessaires
Intermédiaires de données : neutralité et confiance numérique
Lorsque les administrations ouvrent certaines possibilités, les acteurs privés peuvent aussi contribuer aux échanges, à condition d’inspirer confiance. Le DGA encadre les intermédiaires de données pour séparer leur rôle de mise en relation de l’exploitation commerciale des informations.
Neutralité des intermédiaires et contrôle des usages
Selon la Commission européenne, un intermédiaire peut mettre en relation détenteurs et utilisateurs, mais ne peut pas réutiliser directement les données échangées à son propre bénéfice. La neutralité des intermédiaires repose aussi sur une séparation juridique et structurelle de leurs activités concernées.
Une PME industrielle pourrait ainsi transmettre des données de production à plusieurs partenaires via un tiers, sans lui céder leur propriété. Le fournisseur doit notifier son activité à l’autorité compétente et respecter les exigences applicables pour utiliser le label européen correspondant.
« Dans ce scénario fictif, je partagerais des données avec des partenaires si le tiers ne pouvait pas les détourner à son profit. »
Exemple pédagogique fictif
Altruisme des données et intérêt général
Le règlement prévoit également le partage volontaire de données sans récompense, pour soutenir des objectifs d’intérêt général. Une association de recherche pourrait solliciter des contributions, sous réserve d’un consentement compréhensible et d’une protection adaptée aux informations recueillies.
Les organisations reconnues dans l’Union doivent notamment respecter des exigences de transparence et protéger les intérêts des contributeurs. Selon EUR-Lex, le règlement (UE) 2022/868 établit ce cadre, tandis que le RGPD continue de s’appliquer aux données personnelles.
« Le consentement doit rester volontaire et les personnes doivent pouvoir comprendre l’usage prévu de leurs données. »
Principe présenté par la Commission européenne
Garanties attendues des intermédiaires :
- Séparation des services d’intermédiation et des activités commerciales
- Transparence des conditions proposées aux utilisateurs
- Usage des métadonnées limité à l’amélioration du service
- Contrôle par les autorités compétentes nationales
Acteur
Rôle prévu
Point de vigilance
Détenteur de données
Autoriser un partage ou une réutilisation
Conserver la maîtrise des conditions applicables
Intermédiaire de données
Mettre en relation les parties
Ne pas exploiter les données à son propre profit
Organisation altruiste
Faciliter des dons volontaires de données
Protéger les droits et intérêts des contributeurs
Autorité compétente
Recevoir les notifications et contrôler les règles
Veiller au respect des exigences du règlement
« Le cadre organise le partage, mais ne garantit pas à lui seul que chaque échange sera simple ou adapté à tous les projets. »
Avis éditorial fondé sur le règlement (UE) 2022/868
Cette organisation peut renforcer la confiance numérique, mais elle exige des moyens techniques, des règles compréhensibles et une gouvernance suivie. Pour les entreprises comme pour les chercheurs, le DGA facilite certains échanges sans remplacer les autres obligations de protection des données.
Source : Parlement européen et Conseil, « Règlement (UE) 2022/868 », EUR-Lex, 30 mai 2022 ; Commission européenne, « Explication de l’acte sur la gouvernance des données », Commission européenne.
