Digital Omnibus

DaTNet participe à la procédure « Digital Omnibus » de la Commission européenne

La procédure « Digital Omnibus » de la Commission européenne vise à réexaminer et à faire évoluer les principales législations européennes du numérique, notamment le Data Governance ActDer Data Governance Act (DGA) ist eine im Mai 2022 verabschiedete, seit dem 23. September 2023 EU-weit gültige EU-Verordnung, die neue Möglichkeiten für das... (DGA) (règlement sur la gouvernance des données). Celle-ci constitue le fondement d’une infrastructure européenne de données digne de confiance : Elle établit un cadre juridique pour modèles de fiducie de données, d’organisations d’altruisme en matière de données et de mécanismes de partage de données. La procédure Omnibus vise, à partir de l’expérience pratique, à déterminer comment ces règles peuvent être améliorées afin d’assurer un équilibre entre innovation, protection des données et confiance de la société.

Avec cette prise de position, DaTNet poursuit son travail à la croisée de la recherche, de la politique et de la pratique, et contribue à mieux faire connaître le concept de « fiducie de données » dans le contexte européen. Sur cette page, vous trouverez notre résumé ainsi que la version complète de l’avis que nous avons soumis.

Vous pouvez également télécharger au format PDF l’intégralité de la prise de position relative à la consultation « Dispositions omnibus pour le secteur numérique (partie intégrante du paquet de simplification pour le secteur numérique) » ainsi qu’un résumé.

---

Prise de position relative à la consultation « Dispositions omnibus pour le secteur numérique (partie intégrante du paquet de simplification pour le secteur numérique) »

Les chercheuses et chercheurs signataires du réseau de compétences sur les modèles de fiducie des données (DaTNet) souhaitent prendre position sur les besoins de réforme concernant le règlement sur la gouvernance des données ainsi que la directive sur les données ouvertes.

Comme le souligne la Commission européenne dans son appel à contributions, il est nécessaire d’adopter des mesures destinées à renforcer la cohérence et à assurer une sécurité juridique accrue pour ces deux actes législatifs. Nous proposons les modifications suivantes :

1. Le règlement sur la gouvernance des données vise à améliorer les conditions de partage de données au sein du marché intérieur et, à cette fin, à mettre en place un cadre harmonisé pour l’échange de données. À cette fin, des exigences strictes sont notamment imposées en matière de services d’intermédiation de données afin d’empêcher la concentration du pouvoir de marché entre les mains de certains acteurs et de renforcer la confiance dans ces prestataires de services.

Bien que cet objectif soit globalement louable, il convient toutefois de se demander pourquoi les prestataires de services d’intermédiation de données sont soumis à une réglementation relativement stricte, alors que, par exemple, les courtiers en données en sont exemptés (article 2, n° 11, point a) du DGA). L’objectif de la réglementation devrait être mis en évidence de manière encore plus explicite.

2. La notion de « personne morale distincte », autonome au regard du droit de l’Union, manque de clarté et est en contradiction avec les ordres juridiques nationaux en matière de droit des sociétés. En droit allemand, les sociétés de personnes dotées de la capacité juridique (GbR externe, GmbH &, Co. KG) sont reconnues comme juridiquement capables, sans pour autant être qualifiées de « personnes morales ». Cette incertitude complique la création et l’agrément des fiduciaires de données.

Il conviendrait de préciser l’exigence relative à une « personne morale distincte » (article 12, point a) du DGA).

Proposition de modification (article 12, point a) du DGA, dans sa nouvelle version) :

« Le prestataire de services d’intermédiation de données ne peut pas utiliser les données pour lesquelles il fournit des services d’intermédiation de données à des fins autres que leur mise à disposition des utilisateurs de données.  Les services d’intermédiation de données sont fournis par une entité organisationnelle juridiquement distincte, dotée de la personnalité morale ou de la capacité juridique, et distincte, sur le plan organisationnel, des autres activités du prestataire. Les États membres veillent à ce que des formes juridiques à responsabilité limitée soient disponibles à cette fin. »

Pour motiver cette position : La formulation proposée remplace la notion restrictive de « personne morale » par le critère plus pertinent de la capacité juridique et de la limitation de la responsabilité, ce qui permet d’inclure également des formes de sociétés telles que la GmbH & Co. KG ou la GbR dotée de la capacité juridique, à condition qu’elles disposent d’une structure de gouvernance claire. Ce concept, qui doit être compris de manière autonome au sein de l’Union, est précisé d’un point de vue fonctionnel (capacité juridique au lieu de la notion restrictive de « personne morale »), sans pour autant affaiblir la séparation et la neutralité requises ; parallèlement, le texte aborde les risques de responsabilité considérables dans la pratique (RGPD, droit de la concurrence) en faisant référence aux formes de société à responsabilité limitée disponibles (par exemple, GmbH, AG, le cas échéant GmbH & Co. KG).

3. Le DGA exige la neutralité, l’indépendance et la confiance, sans toutefois fixer de normes minimales en matière de droit des sociétés pour l’organisation interne. Ces aspects relèvent jusqu’à présent entièrement du droit national.

Il conviendrait donc d’introduire un nouvel article 12a du DGA – « Gouvernance d’entreprise des services d’intermédiation de données » – qui garantisse la neutralité, l’indépendance et la confiance sous la forme de normes minimales.

Ce nouvel article établit un cadre pour les principes de gouvernance d’entreprise applicables aux fiduciaires de données et garantit que les mécanismes de contrôle prévus par le droit des sociétés (obligation de loyauté, conseil consultatif, codétermination) soient fonctionnellement liés à la neutralité des données et à l’instauration d’un climat de confiance, sans interférer dans la détermination des formes juridiques par les États membres.

Proposition d’un nouvel article 12a :

« Article 12a – Normes minimales en matière de droit des sociétés
(1) Les prestataires de services d’intermédiation de données disposent de structures de gouvernance adéquates garantissant que
a) les organes de direction agissent en toute indépendance vis-à-vis des détenteurs et des utilisateurs de données ;
b) les conflits d’intérêts soient évités grâce à une définition claire des compétences, à des règles d’incompatibilité et à une politique relative aux parties liées ;
c) les parties prenantes concernées disposent de droits de contrôle et de participation, conformément aux catégories énoncées à l’article 10.
(2) À cette fin, les États membres autorisent ou exigent notamment :
– l’établissement d’un organe de surveillance ou d’un conseil consultatif,
– les obligations de transparence et de divulgation concernant la structure de propriété et de contrôle,
– les obligations de loyauté et de neutralité des associés et des membres des organes de la société à l’égard de l’objet statutaire.
(3) La Commission adopte des lignes directrices d’interprétation et de bonnes pratiques, dans le respect des ordres juridiques nationaux en matière de droit des sociétés. »

4. L’ouverture actuelle du DGA en ce qui concerne la forme juridique entraîne une insécurité juridique et un manque de comparabilité.

Une forme spéciale à responsabilité limitée, reconnue à l’échelle de l’Union, pourrait favoriser la confiance et l’homogénéité du marché. C’est pourquoi nous proposons la création d’une nouvelle forme juridique, la « Fiducie européenne de données ». Une telle forme de société européenne facultative permettrait d’instaurer des normes de gouvernance uniformes sans priver les États membres de leur autonomie en matière de droit des sociétés – à l’instar de la SE (Societas Europaea) ou de la SCE (coopérative européenne).  Deux propositions de modification en ce sens prévoient l’ajout d’un nouveau considérant 33a et d’un nouvel article 12b.

Nouveau considérant 33a :

« Afin de promouvoir des normes minimales uniformes en matière d’organisation, au regard du droit des sociétés, des services d’intermédiation de données, les États membres peuvent prévoir une forme juridique ou une dénomination nationale spécifique (société fiduciaire européenne de données / European DataDaten sind Zeichen oder Zeichenketten, die Informationen enthalten, wobei sie auch in Form von Diagrammen oder Zeichnungen auftreten können. Sie... Trust – EDaT), qui repose sur la limitation de la responsabilité, la neutralité et transparence. »

Nouvel article 12b du DGA – Société fiduciaire européenne de données (EDaT) :

« (1) Les États membres peuvent créer une forme juridique spécifique ou une dénomination protégée par la loi pour les prestataires de services d’intermédiation de données.
(2) Cette forme juridique doit présenter les caractéristiques minimales suivantes :
– limitation de responsabilité,
– un organe de surveillance indépendant,
– interdiction stricte d’utiliser à des fins propres les données transmises,
– une transparence accrue vis-à-vis de l’autorité de surveillance et dans le registre prévu à l’article 11.
(3) Les sociétés qui remplissent les conditions requises sont autorisées à porter la dénomination « EDaT ». »

5. L’article 12, point a) du DGA exige la neutralité, mais il manque une base juridiquement contraignante garantissant la neutralité des données dans les relations internes de la société.

L’intégration de la neutralité des données en tant que manifestation du devoir de loyauté prévu par le droit des sociétés élargit le champ d’application de ce dernier, renforce l’obligation interne des organes et rend les obligations de neutralité également justiciables en droit civil.

Proposition d’ajout à l’article 12, point a) du DGA :

« Cette obligation constitue, dans les relations internes, une expression du devoir de loyauté en droit des sociétés incombant aux membres des organes et aux associés ; elle doit être mise en œuvre dans les statuts et prise en considération lors de la composition des organes. »

6. L’exigence de l’article 18, paragraphe 2, point c) du DGA (« sans but lucratif » en cas d’indépendance juridique) entraînent des problèmes de financement et une qualité insuffisante de la gouvernance.

L’article 18 du DGA (organisations altruistes en matière de données) devrait être précisé. Le complément clarificateur proposé ci‑après permet l’établissement de structures de gouvernance autonomes et évite l’exclusion de fait des organisations altruistes en matière de données des formes sociétaires professionnelles.

Article 18, paragraphe 2, point c) du DGA — nouvelle version :

« agit sans but lucratif ; cela n’exclut pas l’exercice d’activités économiques accessoires exclusivement destinées à financer les finalités altruistes, pour autant qu’elles ne créent aucun conflit d’intérêts avec la finalité altruiste et qu’aucune distribution de bénéfices n’ait lieu ; l’indépendance juridique à l’égard d’organisations poursuivant des buts lucratifs demeure inchangée. »

7. L’article 11, paragraphe 6, exige notamment que la notification précise la forme juridique, la structure de propriété et les filiales concernées ; la Commission tient un registre public (article 11, paragraphe 14). À ce stade, des précisions relatives à la gouvernance font toutefois défaut (organes de surveillance, prévention des conflits d’intérêts).

Une telle divulgation de la gouvernance des services d’intermédiation de données accroît la transparence et renforce la confiance. Elle rend l’organisation sociétaire transparente et intelligible pour les fournisseurs de données et les utilisateurs de données, sans imposer d’obligations d’enregistrement supplémentaires.

Proposition de complément à l’article 11, paragraphe 6 du DGA (nouveaux points h) à k)) :

« h) Informations concernant les organes de surveillance ou les conseils consultatifs (configuration, logique de nomination, critères d’indépendance),
i) Politique de gestion des conflits d’intérêts et règles applicables aux transactions avec des parties liées,
j) Obligations de loyauté et de neutralité dans les relations internes (inscription dans les statuts),
k) Mesures essentielles de conformité (par exemple interopérabilité, sécurité, journalisation) au regard de l’article 12. »

Proposition de complément à l’article 11, paragraphe 14 du DGA — nouvelle phrase :

« Les informations visées au paragraphe 6, points a) à c), f) et h) à k), sont publiées dans ce registre. »

8. Les exigences matérielles de l’article 12 ne sont pas liées aux impératifs d’une organisation interne concrètement opérationnelle, mais devraient l’être.

Nouveau considérant 33b — Droit des sociétés et gouvernance des données :

« Étant donné que la confiance dans les services d’intermédiation de données dépend essentiellement de leur organisation sur le plan du droit des sociétés, des mécanismes de gouvernance appropriés (neutralité en tant qu’obligation de loyauté, organes de contrôle indépendants, transparence quant aux structures de propriété et de contrôle) devraient caractériser la structure interne de ces services. Cela permet de garantir, de manière fonctionnelle, le cadre de neutralité et d’indépendance prévu aux articles 10 à 12. »

9. L’article 12 est jusqu’à présent formulé de manière telle qu’il ne couvre pas avec une précision suffisante les modèles de fiducie de données fondés sur des transactions.

Il est proposé d’introduire un complément — essentiellement clarificatif — visant à qualifier les services du fiduciaire de données fondés sur des transactions (ainsi que des activités analogues) comme un sous-ensemble de l’activité d’intermédiation de données.

Version allemande „(e) DatenvermittlungsdiensteDatenvermittlungsdienste (auch: Datenintermediäre) sind natürliche oder juristische Personen, die als neutrale Vermittler zwischen Datengebenden und Datennutzenden fungieren. Ihre Hauptaufgabe besteht darin, den Austausch von Daten... können ein Angebot zusätzlicher spezifischer Werkzeuge und Dienste für DateninhaberAn digitalen Daten kann man kein umfassendes Eigentumsrecht (§903 BGB) im vollen Wortsinn haben. Die Rede vom „Dateneigentümer“ gibt es... oder betroffene Personen umfassen, insbesondere um den Datenaustausch zu erleichtern, z. B. vorübergehende Speicherung, wertneutrale Aggregation, Auswertung, Pflege, Konvertierung, AnonymisierungAnonymisieren ist das Verändern personenbezogener Daten derart, dass sie sich nicht mehr auf eine identifizierte oder identifizierbare natürliche Person beziehen,... und Pseudonymisierung; diese Werkzeuge werden nur auf ausdrücklichen Antrag oder mit Zustimmung des Dateninhabers oder der betroffenen Person verwendet, und die in diesem Zusammenhang angebotenen Werkzeugen Dritter werden für keine anderen Zwecke verwendet;“

Version anglaise „(e) data intermediation services may include offering additional specific tools and services to data holders or data subjects for the specific purpose of facilitating the exchange of data, such as temporary storage, value-neutral aggregation, evaluation, curation, conversion, anonymisation and pseudonymisation, such tools being used only at the explicit request or approval of the data holder or data subject and third-party tools offered in that context not being used for other purposes;“

10. Dans la pratique, des imprécisions conceptuelles et des incohérences apparaissent également comme des obstacles. En sont des exemples : Il existe différentes interprétations quant à la notion de « relations commerciales » (« commercial relationships ») entre les détenteurs de données et les utilisateurs de données dans le cadre de la définition des services d’intermédiation de données figurant à l’article 2, point 11 du DGA. Les contributions au débat considèrent par exemple comme déterminants le fait que la relation commerciale présente un certain caractère durable, que les deux parties agissent dans le cadre de leur activité commerciale ou professionnelle indépendante, si la finalité de l’utilisation des données est commerciale ou s’il s’agit d’un échange dans la mesure où le détenteur des données reçoit une contrepartie, par exemple une rémunération ou l’accès à d’autres données.

Ces incertitudes concernant une notion aussi centrale que celle de « relations commerciales », déterminante pour le champ d’application du DGA, devraient être levées.

11. Des questions restent également en suspens en ce qui concerne les services à valeur ajoutée. Conformément à l’article 12, point a), les prestataires de services d’intermédiation de données n’utilisent pas les données à d’autres fins que celles consistant à les mettre à la disposition des utilisateurs de données. Une exception à cette règle figure à l’article 12, point e), qui autorise des services supplémentaires tels que la conversion, l’anonymisation et la pseudonymisation.

En raison des divergences entre les différentes versions linguistiques du DGA, il est difficile de déterminer si ces services supplémentaires sont autorisés exclusivement ou notamment dans le but de faciliter l’échange de données. Il convient de clarifier ce point. Il pourrait toutefois également s’avérer nécessaire de considérer comme admissibles les services à valeur ajoutée de faible intensité, tels que la curation et la standardisation.

12. L’étendue et le destinataire des obligations relatives à la poursuite appropriée des services d’intermédiation de données en cas d’insolvabilité, prévues à l’article 12, point h), restent également flous. La norme s’adresse aux prestataires de services d’intermédiation de données, de sorte qu’il reste à déterminer si l’administrateur de l’insolvabilité, habilité à disposer des actifs en cas d’insolvabilité, est également lié par cette disposition.

Il n’apparaît pas clairement, à la lecture de la réglementation, si son objectif est de faire en sorte que les créances des fournisseurs de données et des utilisateurs de données soient prioritaires dans l’ordre de classement des créances des créanciers. Il conviendrait de dissiper les incertitudes mentionnées. Seule une réglementation des cas d’insolvabilité axée sur la durabilité renforce la confiance dans les nouveaux intermédiaires.

13. Dans le débat sur la politique juridique concernant l’exploitabilité des données détenues par les organismes du secteur public, on réclame régulièrement l’instauration d’une obligation de mise à disposition des données.

Il convient de noter que ni la directive Open DataOpen Data, auch als offene Daten bezeichnet, sind Daten, die ohne Einschränkungen öffentlich zugänglich sind und unter einer Lizenz bereitgestellt... (directive sur les données ouvertes) ni le Data Governance Act (règlement sur la gouvernance des données) n’imposent d’obligation « stricte » en matière de mise à disposition des données ouvertes.  Il convient qu’il en demeure ainsi.

Il serait néanmoins opportun, d’une part, d’évaluer le rapport coût‑bénéfice de la mise à disposition de données ouvertes. Il y a lieu de tenir compte du fait que la mise à disposition et la mise à jour continue de données dynamiques via des API performantes impliquent un investissement considérable sur les plans technique, humain et financier. Pour les communes notamment, souvent confrontées à des budgets serrés et à des ressources informatiques limitées, une telle exigence pourrait s’avérer difficilement soutenable. Dans ce contexte, il conviendrait de se demander s’il ne serait pas plus judicieux d’investir dans un premier temps les ressources disponibles dans la mise en place d’une infrastructure de base harmonisée et modernisée (plutôt que dans l’« ouverture »). Une telle base consolidée pourrait ensuite, dans un deuxième temps, permettre de préparer une mise à disposition d’API plus large et potentiellement plus rentable.

D’autre part, la criticité des données, de même que celle de leur mise à disposition, se présente aujourd’hui sous un jour différent de ce qu’elle était il y a encore quelques années. L’évolution de la situation géopolitique s’est entre-temps révélée être un défi pour le concept « Open ». Cela concerne la science (« Open Science »), mais aussi le secteur public dans son ensemble. Ainsi des préoccupations en matière de sécurité pourraient en principe se justifier, notamment lorsqu’il s’agit, par exemple, de données détaillées au niveau communal. Mot-clé « Infrastructures critiques » (KRITIS) : Ainsi, même les données relatives, par exemple, aux cycles de feux de signalisation en temps réel dans la ville X, aux données hydrologiques de haute valeur (HVD) issues de l’administration des barrages du syndicat de gestion de l’eau Y, ou encore à la capacité portante et à l’état structurel des ponts de la ville Z, peuvent contenir des informations sensibles pour la sécurité.

Enfin, la question se pose de savoir si l’accès aux données du secteur public doit être garanti de manière égale à tous les demandeurs ou s’il convient d’imposer des restrictions aux entreprises établies dans des pays tiers ou aux entreprises désignées comme gardiennes d’accès (par analogie avec les données d’entreprise à fournir en vertu de l’article 5, paragraphe 3 du Data ActDer Data Act (dt. Datenverordnung) ist ein Rechtsakt der Europäischen Union. Er gehört zur Datenstrategie, die die Kommission im Jahre... (règlement sur les données).

Prof. Dr Steffen Augsberg (Université de Giessen)
Prof. Dr Johannes Buchheim (Université de Marbourg)
Prof. Dr Petra Gehring (Université technique de Darmstadt)
Prof. Dr Anne Lauber-Rönsberg (Université technique de Dresde)
Prof. Dr Florian Möslein (Université de Marbourg)
Prof. Dr Sebastian Omlor (Université de Marbourg)