COMMISSION EUROPÉENNE

Bruxelles, le 25.4.2018

SWD(2018) 125 final

DOCUMENT DE TRAVAIL DES SERVICES DE LA COMMISSION

Orientations concernant le partage des données du secteur privé dans l'économie européenne des données

accompagnant le document:

Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions

«Vers un espace européen commun des données»

{COM(2018) 232 final}

1. Introduction

L’innovation fondée sur les données est un moteur essentiel de croissance et d’emploi en Europe. L’importance des données collectées en ligne, la progression des données générées par des objets connectés à l’Internet des objets (IdO), la disponibilité croissante d’outils d’analyse des mégadonnées et la généralisation de la disponibilité d’applications d’intelligence artificielle sont des moteurs techniques clés. Le caractère non exclusif des données, permettant qu’un même ensemble de données serve de base à toute une série de nouveaux produits ou services, ou à de nouvelles méthodes de production, laisse à penser qu’il pourrait être plus efficace pour les entreprises de partager davantage de données en leur possession avec d’autres entreprises afin que la valeur résultant de ces données puisse être exploitée au maximum.

Le développement de nouveaux modèles commerciaux fondés sur les données et exploitant ces moteurs techniques offre non seulement de nouvelles possibilités aux grandes entreprises, mais également aux PME et aux start-ups partout en Europe. Le secteur public commence lui aussi à tirer parti des possibilités offertes par l’innovation fondée sur les données. Les entreprises bénéficient déjà d’un accès aux informations du secteur public disponibles sous la forme de données ouvertes 1 ainsi que du partage de données entre entreprises. Les PME et les start-ups font toutefois toujours face à des difficultés, aussi bien lorsqu’elles donnent accès à leurs données que lorsqu’elles réutilisent des données provenant d’autres entreprises. C’est notamment le cas lorsqu’il s’agit de données à caractère non personnel produites par des machines. De même, les organismes du secteur public doivent moderniser leur mode de fonctionnement et exploiter le potentiel des nouvelles sources de données afin de se fonder davantage sur les données et d’être plus efficaces sur le plan des coûts. Les citoyens et les entreprises, et en particulier les PME, devraient également en bénéficier. Si, dans certains cas, des services pertinents fondés sur les données peuvent être obtenus sur le marché, dans d’autres, il peut être nécessaire que le secteur public analyse directement les données détenues par une entreprise privée ou mette en place un système d’acquisition régulière de données, p. ex. à des fins d’établissement de statistiques officielles. Il se peut que ces données ne soient pas toujours accessibles au secteur public en raison d’inquiétudes liées à la confidentialité des données ou à un risque perçu pour les intérêts commerciaux des entreprises. Ceci indique qu’il convient de traiter les questions de la fourniture et de la (ré)utilisation des données («partage de données») dans deux cas de figure: le partage de données entre entreprises (B2B) et entre entreprises et administrations publiques/secteur public (B2G).

La Commission a déjà proposé des mesures visant à améliorer la disponibilité des données pour les entreprises. En adoptant le règlement général sur la protection des données (RGPD) et la directive «vie privée et communications électroniques» 2 , l’UE a établi un cadre solide pour le traitement des données à caractère personnel et des données relatives aux communications électroniques, visant à instaurer une certaine confiance dans le numérique, condition préalable à tout partage de données. Ce cadre constitue le socle sur lequel pourra se développer un avantage concurrentiel dont jouiront les entreprises européennes, qui pourront ainsi tirer le meilleur parti des technologies de données. La proposition de règlement concernant la libre circulation des données à caractère non personnel 3 facilitera en outre le transfert de ce type de données au sein de l’UE.

Avec l’adoption de la communication «Créer une économie européenne fondée sur les données» du 10 janvier 2017 4 , la Commission a esquissé une première description des difficultés potentielles liées à l’accès aux données, notamment pour ce qui est des données produites par des machines et des relations entre plateformes et entreprises. Elle y évoquait également l’importance de l’accès aux données du secteur privé à des fins d’intérêt public.

Un vaste dialogue a été engagé avec les parties prenantes suite à cette communication. La conclusion en a été que l’enjeu ne justifiait pas une intervention législative horizontale à ce stade, et que des orientations seraient plus appropriées 5 . 

Dans la communication que le présent document de travail des services de la Commission accompagne 6 , la Commission définit une série de principes clés à envisager afin que les interactions de données entre entreprises et entre entreprises et administrations publiques soient fructueuses pour toutes les parties impliquées.

Le présent document de travail des services de la Commission a en outre vocation à servir de boîte à outils pour les entreprises détentrices de données, utilisatrices de données ou les deux à la fois. Il contient à cette fin un guide pratique sur les aspects juridiques, commerciaux et techniques du partage de données pouvant être utilisé dans la pratique lors de la prise en considération et de la préparation de transferts de données entre entreprises d’un même secteur ou de différents secteurs. 

Les orientations fournies dans le présent document ont été conçues afin d’être applicables à tous les secteurs de l’économie. Elles devront toutefois peut-être être complétées par des mesures sectorielles en raison des différences de structure des marchés individuels.

Enfin, le présent document ne constitue pas une déclaration de droit et est sans préjudice de l’interprétation du droit de l’Union européenne par la Cour de justice de l’Union européenne (CJUE). Il n’engage pas la Commission en ce qui concerne l’application du droit de l’Union, notamment en ce qui concerne les règles de concurrence des articles 101 et 102 du traité sur le fonctionnement de l’Union européenne (TFUE).

2. Principes pour le partage de données entre entreprises (B2B) et entre entreprises et administrations publiques (B2G)

La communication que le présent document de travail des services de la Commission accompagne 7 définit les principes suivants pour garantir des marchés équitables des objets de l’IdO et des produits et services qui reposent sur des données créées par ces objets:

La Communication indique également que le respect des principes suivants pourrait favoriser la fourniture de données du secteur privé aux organismes du secteur public à des conditions de réutilisation préférentielles:

3. Partage de données entre entreprises (B2B) – un guide pratique

La fourniture et la réutilisation de données dans les relations B2B peuvent prendre de nombreuses formes en termes de mécanismes techniques, de modèles commerciaux sous-jacents et d’instrument juridique servant de base aux accords de partage des données B2B. La présente section décrit certains d’entre eux de façon plus détaillée.

3.1. Modèles de partage de données B2B

Les modèles commerciaux sous-jacents du partage de données peuvent différer assez sensiblement et dépendent fortement du type de données concernées et de l’intérêt commercial stratégique. Ils peuvent aller d’une approche de données ouvertes à des partenariats de données exclusifs avec une seule partie.

a)Une approche de données ouvertes: Dans le cadre d'une approche de données ouvertes, le fournisseur de données rend les données concernées accessibles à un éventail, en principe ouvert, de (ré)utilisateurs, avec un minimum de restrictions et en échange d’une rémunération inexistante ou très limitée. Cette approche peut être choisie lorsque le fournisseur de données a tout intérêt à voir ces données réutilisées. Des exemples en sont les fournisseurs de services qui souhaiteraient tirer profit d’un écosystème de développeurs d’applications tiers afin d’atteindre les clients finaux. 

b)La monétisation des données sur une place de marché: La monétisation ou la commercialisation de données peut se faire sur une place de marché faisant office d’intermédiaire sur la base de contrats bilatéraux et en échange d’une rémunération. Cette méthode peut être intéressante pour les entreprises qui ne connaissent pas de réutilisateurs potentiels de leurs données et qui souhaitent monétiser leurs données de façon ponctuelle. Ce mécanisme serait approprié lorsque (1) le risque de réutilisation illicite des données concernées est limité, (2) le fournisseur des données a de bonnes raisons de faire confiance au (ré)utilisateur, ou (3) le fournisseur des données dispose de mécanismes techniques permettant d’empêcher ou d’identifier toute utilisation illicite. L’établissement de clauses contractuelles types peut permettre de réduire les coûts de rédaction des accords d’utilisation des données.

c)L’échange de données sur une plateforme fermée: L’échange de données peut avoir lieu sur une plateforme fermée, soit créée par l’un des acteurs clés dans un environnement de partage de données, soit par un intermédiaire indépendant. Dans un tel cas, les données peuvent être fournies en échange d’une rémunération monétaire ou de services à valeur ajoutée, p. ex. fournis sur la plateforme en question. Cette solution permet de proposer des services à valeur ajoutée et constitue de ce fait une solution plus globale pour des partenariats de données plus stables. Elle permet en outre le recours à davantage de mécanismes de contrôle de l’utilisation des données. L’établissement de clauses contractuelles types peut permettre de réduire les coûts de rédaction des accords d’utilisation des données. Lorsque le partage de données est exclusif, il est tenu de respecter les règles de la concurrence 9 .

Des variations et des combinaisons de ces modèles sont possibles et doivent être adaptées à chaque besoin commercial concret. Le terme de «partage de données» est utilisé pour décrire toutes les formes et tous les modèles possibles d’accès à des données ou de transfert de données B2B.

3.2. Les aspects juridiques du partage de données: les accords d’utilisation ou d’exploitation sous licence de données

Le partage de données B2B s’effectue généralement sur la base de contrats. Les parties conviennent de l'objet et de la valeur des contrats ainsi que de toutes les autres modalités dans le cadre d’accords d’utilisation ou d’exploitation sous licence de données sous la forme de clauses contractuelles. Les accords de monétisation de données ne doivent pas nécessairement être bilatéraux par nature, mais peuvent au contraire être conclus entre de multiples parties.

Il convient d’être particulièrement attentif lors de la rédaction des clauses contractuelles pertinentes pour les accords d’utilisation ou d’exploitation sous licence de données, à la fois afin de respecter la législation existante, notamment toute législation qui empêcherait le partage des données ou l’assujettirait à des conditions spécifiques, et de s’assurer que les intérêts stratégiques de chaque partie ainsi que la concurrence sont préservés.

Des clauses contractuelles types pour différents types d’accords de partage de données et pour certains secteurs ou types de partage de données sont déjà en cours d’élaboration. La Commission prévoit de recueillir des exemples de bonnes pratiques ainsi que de clauses contractuelles types et de listes de contrôle existantes par le biais d’un centre de soutien pour le partage des données, qui deviendra opérationnel début 2019 10 . 

Les considérations suivantes pourraient aider les entreprises dans la préparation et/ou la négociation des accords d’utilisation de données:

a)Quelles données seront rendues accessibles?

-Décrivez les données que vous souhaitez partager aussi concrètement et précisément que possible (p. ex. données R&D, données client, données de diagnostic), y compris les niveaux de mises à jour auxquels s’attendre à l’avenir. Lorsque des ressources interprétatives permettant l’analyse des données (p. ex. méthodes, modèles) sont partagées avec les jeux de données, elles devraient être décrites.

-Quels niveaux de qualités peuvent être assurés pour les données, y compris sur le long terme? Les données partagées doivent être de bonne qualité, c.-à-d. correctes, fiables, et, le cas échéant, à jour. Assurez-vous qu’aucune donnée ne manque, ne soit dupliquée ou déstructurée. Précisez la source/l’origine des données et la façon dont elles ont été collectées/construites. Un mécanisme de notification des erreurs peut être mis en place.

-Le partage de données concerne-t-il un jeu de données ou un flux de données?

-Assurez-vous de respecter les obligations légales qui pourraient interdire l’accès aux données concernées ou leur transfert à des tiers. Assurez-vous de respecter les droits que d’autres pourraient avoir sur les données. Vérifiez les droits sur le contenu des données (droits de propriété intellectuelle et industrielle).

-Assurez-vous de respecter la législation relative à la protection des données. Vérifiez entre autres qu’il existe une base juridique pour le traitement de données à caractère personnel conformément au règlement général sur la protection des données.

b)Qui peut avoir accès aux données concernées et les (ré)utiliser?

-Assurez-vous que le contrat définisse de façon transparente, claire et compréhensible qui a le droit d’accéder aux données, de les (ré)utiliser et de les distribuer, et dans quelles conditions. Précisez si et comment les données peuvent être réutilisées sous licence. Soyez clair dans vos explications des conditions des licences pour la réutilisation et la distribution des données. L’octroi de sous-licences doit également être envisagé: il convient soit de l’exclure spécifiquement, soit de préciser les conditions dans lesquelles il est autorisé et les types de données auxquels cette autorisation s’applique.

-Le droit d’accès et de réutilisation des données ne doit pas nécessairement être illimité. L’accord peut par exemple limiter le droit d’accès: uniquement aux membres de groupes professionnels spécifiques (p. ex. agriculteurs) ou à des fins spécifiques d’utilisation des données (p. ex. pour une utilisation commerciale limitée).

c)Que peut faire le (ré)utilisateur avec les données?

-Lors des négociations contractuelles, le (ré)utilisateur devrait être aussi ouvert et clair que possible sur la façon dont les données vont être utilisées, y compris par des parties en aval. Cela garantira la transparence et renforcera la confiance du fournisseur des données.

-Précisez l’utilisation exacte qui peut être faite des données, y compris les droits sur les dérivés des données (analyses).

-Définissez des règles de non-divulgation concernant les parties en aval.

d)Définissez les moyens techniques de l’accès aux données et/ou de l’échange de données, y compris:

-la fréquence de l’accès aux données et les charges maximales;

-les exigences de sécurité informatique;

-les niveaux de services d’assistance.

e)Quelles données dois-je protéger et comment m’y prendre?

-Assurez-vous que des mesures adéquates sont prises afin de protéger vos données. Ces mesures devraient s’appliquer aux transactions de partage des données et au stockage des données, dès lors que les données peuvent faire l’objet d’un vol ou d’une utilisation abusive par des groupes criminels organisés ou par des pirates individuels. Les données peuvent également être publiées par accident, par exemple en raison d’une erreur humaine ou d’un problème technique. Elles peuvent en outre faire l’objet d’un accès ou d’une publication non autorisés, ou peuvent être perdues.

-Assurez-vous de garantir la protection des secrets commerciaux, des informations commerciales sensibles, des licences, des brevets et des droits de propriété intellectuelle. Aucune partie ne devrait avoir pour objectif d’utiliser l’échange de données envisagé afin d’obtenir des informations sensibles de l’autre partie.

f)Incluez des dispositions en matière de responsabilité concernant toute fourniture de données erronées, toute perturbation de la transmission des données, tout travail d’interprétation de mauvaise qualité, si celui-ci est partagé avec les jeux de données, ou toute destruction/perte ou altération des données (si illicite ou accidentelle) qui pourrait potentiellement engendrer des dommages.

g)Définissez les droits des deux parties à effectuer des audits sur le respect de leurs obligations mutuelles.

h)Quelle est la durée prévue du contrat? Quels sont les droits de résiliation du contrat? Quel devrait être le délai de notification aux partenaires?

i)Déterminez le droit applicable et les mécanismes de règlement des différends.

3.3. Les aspects techniques du partage de données

Il existe différents mécanismes techniques de partage de données entre entreprises. Certains de ces mécanismes peuvent établir des règles en matière d’utilisation des données tout en offrant un environnement sécurisé et de confiance pour l’échange des jeux de données 11 .

On peut distinguer trois types de mécanismes: a) le détenteur des données rend des données sélectionnées accessibles à un grand nombre de réutilisateurs, p. ex. au moyen d’une interface de programme d’application; b) le détenteur des données rend des données sélectionnées accessibles à un ou plusieurs réutilisateurs au moyen d’un intermédiaire (une place de marché), avec un contrôle limité sur leur utilisation ultérieure; c) le détenteur des données rend des données sélectionnées accessibles à un ou plusieurs réutilisateurs au moyen d’un intermédiaire (un espace ou une plateforme de données) dans un environnement qui permet un plus grand contrôle et une plus grande traçabilité de leur utilisation ultérieure.

a)Le partage de données un-à-plusieurs par le biais d’une interface de programme d’application (API) ou d’une plateforme de données industrielle: Certaines entreprises se livrant à des interactions de données avec des tiers ont recours à des mécanismes unilatéraux permettant l’accès technique aux données, tels que des API ou des plateformes spécifiques qu’elles ont mises en place à des fins de stockage, de traitement et d’échange de données.

Il devient de plus en plus courant de permettre à des tierces parties d’accéder aux données moyennant des API publiques, c.-à-d. des API accessibles à un public plus large et pas uniquement à des tiers issus de la même organisation. Le nombre d’API a considérablement augmenté depuis 2010 et est en constante progression 12 . 

Les API peuvent permettre notamment à de plus petites entreprises de facilement utiliser ou réutiliser des données commerciales. Des API faciles d’utilisation et bien conçues contribuent à la création et à l’expansion d’écosystèmes constitués de produits neufs et innovants par l’exploitation de données ayant déjà été rassemblées.

Les API peuvent faciliter l’interopérabilité en permettant aux applications logicielles d’échanger des jeux et des flux de données 13 . Elles peuvent comprendre des spécifications concernant les jeux de données eux-mêmes et permettre la gestion des droits d’accès à un niveau technique.

Dans ce contexte, la Commission encourage 14  les entreprises de toute l’Europe à envisager une utilisation plus large d’API ouvertes, normalisées et bien documentées. Les options possibles seraient la mise à disposition de données dans des formats lisibles en machine et la fourniture des métadonnées associées.

Les entreprises, notamment les plus grandes d’entre elles, développent également des plateformes de données dédiées afin de gérer les interactions de données régulières avec de tierces parties. Celles-ci proposent des fonctionnalités complémentaires en termes d’échange de données, notamment d’échanges bidirectionnels, de stockage de données sur la plateforme et de services complémentaires fournis parallèlement aux données (et fondés sur l’analyse de celles-ci).

b)La monétisation des données au moyen d’une place de marché plusieurs-à-plusieurs pour l’échange de données: Le terme de «place de marché pour l’échange de données» est employé ici afin de désigner un type d’intermédiaire spécifique pouvant assurer trois fonctions principales: (1) mise en relation du fournisseur de données et de l’acheteur de données potentiels; cela peut comprendre des paramètres spécifiques permettant au fournisseur et à l’acheteur potentiels de garder leur anonymat lors de la première étape de la préparation du transfert de données, dès lors que l’intention de fournir ou d’acheter des données peut en elle-même déjà révéler des secrets commerciaux (stratégies commerciales futures); (2) le transfert effectif des données (et de la compensation convenue), et l’établissement de l’assurance que l’objet de la négociation ne sera pas altéré durant les négociations; (3) une fonction de certification que la transaction a effectivement eu lieu, ce qui peut être intéressant pour l’inscription de la transaction dans le bilan de l’entreprise. En outre, de tels intermédiaires peuvent fournir des services complémentaires tels que des clauses contractuelles types ou des services d’anonymisation (si des données à caractère personnel ou confidentiel sont échangées). Le rôle de ce type d’intermédiaire prend fin une fois les données transférées.

c)Le partage de données moyennant un dispositif technique: à la différence des types d’intermédiaires susmentionnés, ces dispositifs techniques mettent l’accent sur la fourniture de services conjointement à l’échange de données, tels que le traitement des données pertinentes afin de répondre à certaines exigences ou questions commerciales. Mais l’avantage principal d’un tel type d’intermédiaire est qu’il propose des fonctionnalités complémentaires permettant au fournisseur de données de contrôler l’utilisation effective des données, notamment le respect des dispositions de l’accord de transfert des données. Cela peut inclure des méthodes de suivi et de traçage de l’utilisation effective des données, p. ex. l’enregistrement de tous les accès aux données et de toutes les activités de traitement, ce qui pourrait se faire au moyen de la technologie des registres distribués (chaîne de blocs), ou en développant des méthodes de tatouage numérique. L’intermédiaire peut également développer des instances d’autorégulation au sein de la communauté d’utilisateurs de l’espace ou de la plateforme de données, éventuellement en établissant une série de sanctions pour les utilisateurs de données qui enfreindraient les accords de transfert de données.

4. Assurer le succès de la collaboration B2G – une liste de contrôle pratique

La fourniture et la réutilisation de données dans les relations B2G peuvent prendre de nombreuses formes en termes de mécanismes sous-jacents et d’instrument juridique leur servant de base. La présente section décrit certains d’entre eux de façon plus détaillée.

4.1. Modèles de partage de données B2G

a)Don de données: La fourniture de données B2G, qui pourrait être considérée comme une forme de responsabilité sociale des entreprises, pourrait prendre la forme d’un don de données. L’un des avantages potentiels d’une telle méthode serait qu’un tel programme de don de données serait soutenu par une équipe spécialisée épaulant toute partie potentiellement intéressée par l’utilisation des données.

b)Prix: La collaboration B2G peut également mettre en place des prix qui encourageraient les individus et les entreprises spécialisés dans l’analyse de données à trouver des solutions à un problème d’intérêt public donné. Par exemple, un organisme public pourrait organiser un défi en collaboration avec une entreprise, qui fournirait les données nécessaires au secteur public afin de relever ce défi. 

c)Partenariats de données B2G: La collaboration B2G peut prendre la forme de partenariats de données. Les organismes du secteur public peuvent conclure des accords avec des entreprises privées, incluant un partage mutuel de données, conformément à la directive PSI 22 concernant le partage d’informations du secteur public avec le secteur privé. Cela peut également être bénéfique pour l’entreprise privée dès lors que celle-ci sera en mesure de tirer des enseignements à partir de la corrélation entre les données du secteur privé et celles du secteur public.

d)Intermédiaires: Dans les cas où il n’existe pas de relation préexistante entre une entreprise et un organisme du secteur public et qu’aucune confiance n’a été établie entre eux, un intermédiaire peut être chargé de l’obtention des informations nécessaires à des fins d’intérêt public.

e)«Partage de données civiques»: Les individus pourraient être encouragés à autoriser des organismes du secteur public à traiter des données à caractère personnel à leur sujet précédemment traitées par une entreprise privée. Il convient de souligner que dans un tel cas, les autorités publiques devront également se conformer à la législation en matière de protection des données. Le traitement doit se faire conformément à une base juridique appropriée (p. ex. consentement en vertu de l’article 6, paragraphe 1, point a) ou exécution d’une mission d’intérêt public en vertu de l’article 6, paragraphe 1, point e) 26 ). Un tel «partage de données civiques» fonctionnera le plus probablement dans des situations où il existe un lien suffisamment fort entre le citoyen et l’organisme du secteur public en question (p. ex. la commune dans laquelle il réside) ou lorsque l’objectif d’intérêt public est particulièrement convaincant d’un point de vue citoyen (lutter contre certaines maladies, faciliter le trafic autour d’événements populaires, etc.).

4.2. Considérations légales et pratiques concernant la collaboration en matière de partage de données B2G

Les considérations suivantes pourraient aider les organismes publics et les entreprises dans la préparation et/ou la négociation des accords d’utilisation de données:

a)Les organismes publics devraient identifier un objectif d’intérêt public ainsi que les données du secteur privé et le niveau de granularité nécessaires. Les données de réseaux sociaux, de transactions ou de détaillants sont des exemples de données du secteur privé pouvant servir l’intérêt public. Les entreprises peuvent également estimer que leurs données peuvent contribuer à un objectif d’intérêt public et entamer le processus de négociation d’elles-mêmes.

b)Les parties devraient identifier les défis et contraintes internes liés au partage de données.

-Les organismes publics et les entreprises pourraient devoir investir dans la gestion des connaissances et dans la gouvernance des données.

-Le partage de données B2G sera moins onéreux et plus facile en termes de gouvernance des données, d’infrastructure et de rédaction des documents juridiques pour les entreprises qui mettent sur pied des services responsables du partage des données, y compris de la monétisation des données de type B2B. Dès lors que le partage de données gagne en importance pour un nombre croissant d’entreprises, le coût et la charge par collaboration individuelle vont probablement diminuer.

-Les entreprises et les organismes du secteur public doivent s’assurer de respecter les dispositions du RGPD et de la directive «vie privée et communications électroniques» (assurer la licéité du traitement, y compris son fondement sur une base juridique telle que le consentement, l’utilisation appropriée de techniques d’anonymisation, la confidentialité, le respect des principes de protection des données dès la conception et de protection des données par défaut, l’utilisation de méthodes d’analyse garantissant le respect de la vie privée et la réalisation d’analyses d’impact relatives à la protection des données).

-Afin d’assurer la représentativité des informations et d’éviter tout biais de sélection, les organismes du secteur public doivent effectuer une analyse minutieuse des sources de données potentielles et évaluer les limites d’un fournisseur de données spécifique. Ils devraient évaluer attentivement la triangulation des données, l’observation et le recalibrage des modèles ainsi qu’une conjonction avec, par exemple, une consultation publique et des outils permettant de récolter des informations ainsi que l’avis des parties intéressées en vue de minimiser les risques et les potentielles limites méthodologiques des sources de données du secteur privé.

c)Les parties doivent choisir les modalités techniques ou pratiques du partage de données les mieux adaptées à leur gouvernance des données et à leurs défis internes.

-Les organismes publics doivent assurer la protection des intérêts commerciaux légitimes (p. ex. informations confidentielles, secrets commerciaux) ainsi que la sécurité des modalités techniques de l’accès aux données du secteur privé. Les données du secteur privé transmises à un organisme du secteur public devraient être traitées comme des données confidentielles. Ceci devrait être explicité dans les infrastructures de traitement des données pertinentes au moyen d’annotations et de restrictions de l’accès, avec des dérogations en cas d’assujettissement de l’organisme du secteur public à la législation sur l’accès aux documents. Des mesures adéquates visant à assurer la sécurité du réseau et des systèmes d’information doivent être prises.

-Les organismes publics pourraient devoir accroître leurs capacités techniques et les compétences de leur personnel afin d’exploiter les possibilités d’utilisation des données du secteur privé.

d)Le contrat devrait inclure les conditions de mise en œuvre, les limites temporelles et les jeux de données spécifiques qui seraient utilisés.

-Les organismes publics devraient s’assurer que leur demande de données privées spécifiques est conforme au principe de proportionnalité et nécessaire pour atteindre l’objectif d’intérêt public défini. L’accord devrait préciser que les données transmises seront effacées une fois l’objectif atteint ou la durée limite atteinte. L’utilisation des mêmes données à une fin différente devrait être assujettie à un nouvel accord de collaboration ou à un amendement de l’accord de collaboration existant.

-Les parties devraient définir les conditions du transfert de données au niveau opérationnel: format des données et des métadonnées, qualité, granularité, durée de l’accès et mode d’accès.

-Les parties devraient définir la compensation. Il existe à cet égard différentes possibilités, à savoir une limitation de la rémunération à un remboursement au prorata des coûts occasionnés par la production, la préservation et la divulgation des données – exceptionnellement combiné à un juste retour sur investissement – ou une limitation, au maximum, aux coûts liés à la divulgation des données, compte tenu du fait que les coûts de production et de préservation des données pourraient déjà avoir été couverts par d’autres sources de revenus en fonction du cas d’espèce. Le choix du type de compensation pourrait être lié à l’objectif d’intérêt public poursuivi et aux spécificités du besoin social qu’il vise à combler.

-Afin de permettre aux organismes publics d’effectuer l’évaluation de la qualité nécessaire en vue d’apprécier la présence de potentiels biais de sélection ou d’autres limitations de la qualité qui pourraient n’apparaître qu’après la conclusion de l’accord, les entreprises fournissant les données devraient offrir, au mieux de leurs capacités, une assistance raisonnable et proportionnelle afin de permettre l’évaluation de la qualité des données aux fins spécifiées, y compris moyennant la possibilité d’effectuer un audit ou de vérifier les données par tout autre moyen, le cas échéant.

e)Les parties devraient convenir de principes directeurs communs pour le suivi de la mise en œuvre du contrat:

-Elles peuvent se mettre d’accord sur un code de conduite ou recourir à des règles éthiques existantes, telles que celles du Code de bonnes pratiques de la statistique européenne 27 , mettre sur pied un comité de coordination ou nommer un réviseur indépendant pour contrôler l’utilisation des données.

-Les organismes du secteur public mettent en place les garanties nécessaires pour prévenir l’utilisation abusive des données auxquelles ils ont eu accès à d’autres fins que celles définies par le contrat.

f)Le contrat devrait inclure des dispositions en matière de responsabilité concernant toute fourniture de données erronées, toute perturbation de la transmission des données, tout travail d’interprétation de mauvaise qualité, si celui-ci est partagé avec les jeux de données, ou toute destruction/perte ou altération des données (si illicite ou accidentelle) qui pourrait engendrer des dommages.

g)Le contrat devrait déterminer le droit applicable et les mécanismes de règlement des différends.
Toutes les parties devraient pouvoir résilier le contrat en cas de risque juridique ou technique concernant le traitement ou l’utilisation des données partagées.

h)Les organismes publics devraient diffuser les informations/résultats issus de la collaboration B2G et mettre en place des mécanismes pour recueillir les réactions du public, lorsque nécessaire ou opportun, sans compromettre la confidentialité des données du secteur privé.

4.3. Moyens techniques pour l’établissement d’une collaboration B2G

Dans le cadre de la collaboration B2G, il convient de prendre une décision concernant la façon de se procurer les enseignements tirés des données du secteur privé afin de servir l’objectif d’intérêt public. Cela peut se faire au moyen d’un transfert effectif des données du secteur privé vers l’environnement informatique de l’organisme public en question. Ce n’est toutefois pas la seule possibilité et d’autres mécanismes peuvent être envisagés. La présente section propose un aperçu des moyens techniques pouvant se substituer au transfert de données du secteur privé vers l’environnement informatique de l’organisme public. Ces mécanismes techniques peuvent établir des règles en matière d’accès aux données et d’utilisation desdites données tout en offrant un environnement sécurisé et de confiance pour l’échange des jeux de données.

a)Plateformes de données: La création de plateformes de données peut offrir un environnement sécurisé pour stocker et échanger des données entre des entreprises et des organismes publics. Ces plateformes peuvent fournir des données normalisées aux organismes publics afin de créer des ressources ou des analyses de données communes en collaboration avec des entreprises.

b)Application d’un algorithme aux données: Appliquer un algorithme aux données peut être la solution aux défis en matière de sécurité, de protection des données et de confidentialité liés à l’échange de données. Cela permettrait de respecter l’une des principales considérations pour assurer la protection des données à caractère personnel et de la vie privée, à savoir de déplacer aussi peu de données que possible. Dans le cadre de cette solution, l’algorithme est installé dans l’environnement informatique de l’entreprise privée et l’analyse a lieu dans ledit environnement. Seules les conclusions anonymisées obtenues par le biais de l’algorithme sont transférées à l’organisme du secteur public. L’interface de demande de données et les possibilités d’analyse pourraient faire l’objet d’une conception conjointe par l’entreprise et l’organisme public en question (ou par un intermédiaire de confiance).

c)    Calcul garantissant le respect de la vie privée: différents modèles de calcul permettant d’effectuer des opérations sur des données devant rester confidentielles ont été développés ces dernières années. De tels modèles permettent d’extraire les informations de sortie désirées sans divulguer les données d’entrée. Le calcul de données peut ainsi avoir lieu conjointement dans différents domaines administratifs (publics ou privés) sans que les données ne doivent être extraites de l’environnement de l’entreprise. De tels modèles impliquent un changement de paradigme fondamental entre le «partage de données» et le «partage de calculs». Parmi les méthodes de calcul garantissant le respect de la vie privée, les calculs multipartites sécurisés semblent être particulièrement adaptés à la collaboration B2G en matière de données. Certaines techniques simples de calcul multipartite sécurisé sont extrêmement évolutives et efficaces. Quelques entreprises fournissent déjà la technologie et les plateformes nécessaires. Des études ayant recours à cette technique dans le cadre de la collaboration B2G ont également déjà été effectuées.

(1)

Y compris au moyen du portail de données européen https://www.europeandataportal.eu .

(2)

Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «vie privée et communications électroniques») (JO L 201 du 31.7.2002, p. 37). Voir aussi: Proposition de règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement «vie privée et communications électroniques»), COM(2017) 10 final du 10.1.2017.

(3)

COM(2017) 495 final.

(4)

COM(2017) 9 final.

(5)

  https://ec.europa.eu/digital-single-market/en/news/synopsis-report-public-consultation-building-european-data-economy  

(6)

COM(2018) 232.

(7)

COM(2018) 232.

(8)

Par exemple, les données produites par des robots dans le cadre de processus industriels et pouvant servir à la fourniture de services après-vente (réparation et entretien) ou les données sur la notation de prestataires de services.

(9)

     Voir les lignes directrices de la Commission sur les restrictions verticales, JO C 130, du 19.5.2010, p. 1 et les orientations sur les priorités retenues par la Commission pour l’application de l’article 82 du traité CE [désormais article 102 du TFUE] aux pratiques d’éviction abusives des entreprises dominantes, JO C 45, du 24.2.2009, p. 7.

(10)

Voir l’annexe de la décision d’exécution de la Commission relative à l’adoption du programme de travail pour 2018 et au financement du mécanisme pour l’interconnexion en Europe (MIE) – secteur Télécommunications, p. 42.

(11)

Les mécanismes décrits et les exemples fournis proviennent d’une étude sur le partage de données entre entreprises en Europe (Study on data-sharing between companies in Europe) effectuée par Everis au nom de la Commission (rapport d’étude à paraître).

(12)

  http://www.programmableweb.com/api-research  

(13)

Voir le document d’orientation sur les API rédigé par le réseau Share PSI, cofinancé par la Commission européenne dans le cadre du programme-cadre pour l’innovation et la compétitivité: http://www.w3.org/TR/dwbp/#useanAPI .

(14)

COM(2017) 9 final.

(15)

Everis, Study on data-sharing between companies in Europe (à paraître)

(16)

  https://developer.tomtom.com/tomtom-maps-apis-developers  

(17)

  https://services.airbus.com/maintenance/expertise-and-other-services/skywise/skywise

(18)

  https://www.dawex.com/fr/  

(19)

  https://www.nallian.com/  

(20)

  https://mastercardcenter.org/action/call-action-data-philanthropy/  

(21)

  http://ec.europa.eu/research/horizonprize/index.cfm?prize=bigdata  

(22)

Directive 2003/98/CE du Parlement européen et du Conseil du 17 novembre 2003 concernant la réutilisation des informations du secteur public (JO L 345 du 31.12.2003, p. 90).

(23)

De Meersman et al (2016): Assessing the Quality of Mobile Phone Data as a Source of Statistics, https://ec.europa.eu/eurostat/cros/system/files/assessing_the_quality_of_mobile_phone_data_as_a_source_of_statistics_q 2016 .pdf  

(24)

Les offices statistiques tiennent des registres contenant des données concernant la population et les entreprises, mais ces registres ne peuvent pas être partagés avec de tierces parties en raison des restrictions liées à la protection des données à caractère personnel et au secret statistique. Les données du secteur privé peuvent toutefois être liées aux données de ces registres dans la mesure où la sécurité des données est garantie. Les résultats statistiques agrégés qui ne peuvent pas être associés aux personnes concernées peuvent être publiés en tant que résultats d’analyse.

(25)

  https://www.cdrc.ac.uk/  

(26)

Si les autorités publiques se fondent sur l’article 6, paragraphe 1, point e) du RGPD («le traitement est nécessaire à l’exécution d’une mission d’intérêt public»), cette base juridique doit être prévue par le droit de l’Union ou de l’État membre. En outre, dans le cas d’un tel «partage de données civiques», les personnes concernées devront être clairement informées, y compris de leur droit de retirer leur consentement ainsi que de tout autre traitement potentiel de leurs données à caractère personnel par les autorités publiques.

(27)

En cas d’accords avec des offices statistiques, cela pourrait être le Code de bonnes pratiques de la statistique européenne, http://ec.europa.eu/eurostat/web/products-manuals-and-guidelines/-/KS-32-11-955  

(28)

  https://www.cbs.nl/en-gb/our-services/innovation/big-data  

(29)

  https://www.opalproject.org/about-opal/  

(30)

Bogdanov (et al.), Students and Taxes: a Privacy-Preserving Social Study Using Secure Computation, dans Proceedings on Privacy Enhancing Technologies, PoPETs, 2016 (3), p. 117-135, 2016. (Version longue, PDF).