Le règlement (UE) 2023/2854, relatif à la protection des données, est entré en vigueur le 11 janvier 2024, vingt jours après sa publication au Journal officiel de l'Union européenne. Il sera applicable à compter du 12 septembre 2025. Cette législation impose de nouvelles obligations fondamentales aux fabricants d'objets connectés et aux fournisseurs de services associés, et concerne un large éventail de secteurs : de l'industrie manufacturière et de l'énergie à la santé et à l'automobile. Toute personne qui génère, traite ou utilise des données dans un contexte professionnel a tout intérêt à examiner en temps utile la portée de cette législation.
Que régit la loi sur les données ?
La loi sur la protection des données s'inscrit dans le cadre de la stratégie européenne en matière de données, qui vise à renforcer la compétitivité de l'Europe dans l'économie des données. Ce règlement définit les règles d'accès aux données générées par l'utilisation de produits ou de services, ainsi que les conditions de leur partage. Il ne s'agit pas d'un droit général à toutes les données, mais d'un cadre articulé autour de six axes spécifiques : l'accès des utilisateurs aux données relatives aux produits et services, le partage interentreprises (B2B) à des conditions équitables, l'accès public en cas de besoin exceptionnel, la possibilité de changer de prestataire de services de traitement des données, la protection contre l'accès international des gouvernements aux données non personnelles et l'interopérabilité.
Obligations des entreprises : conception des produits
Les produits connectés doivent être conçus et fabriqués de manière à ce que les données générées soient, par défaut, facilement, sécurisées, gratuites et dans un format lisible par machine, directement accessibles à l'utilisateur. Les utilisateurs de produits connectés – appareils domotiques, machines industrielles ou véhicules intelligents, par exemple – acquièrent ainsi le droit d'accéder aux données générées par leur utilisation. Les fabricants et les fournisseurs de services ne peuvent plus conserver ces données exclusivement pour eux.
Il est important de noter que cette obligation entrera en vigueur progressivement. Bien que la loi sur les données dans son ensemble s'applique à compter du 12 septembre 2025, l'obligation de conception et de fabrication des produits connectés ne concerne que les produits mis sur le marché après le 12 septembre 2026. Les produits existants ne sont donc pas encore concernés.
Des conditions équitables dans le partage de données B2B
Le règlement contient des règles spécifiques relatives aux clauses contractuelles des contrats de données B2B . Une clause imposée unilatéralement par une entreprise à une autre n'est pas opposable à cette dernière si elle est abusive. Une clause est considérée comme unilatérale lorsque, malgré une tentative de négociation, l'autre partie n'a pu en influencer le contenu. La charge de la preuve incombe à la partie qui a inséré la clause.
Une clause est abusive si son utilisation s'écarte manifestement des usages commerciaux et contrevient aux principes de bonne foi et de loyauté. Le règlement cite en exemple les clauses excluant la responsabilité en cas de faute intentionnelle ou de négligence grave, empêchant l'autre partie d'utiliser ses propres données, autorisant une résiliation unilatérale moyennant un préavis excessivement court, ou permettant des modifications substantielles de prix ou autres modifications importantes. En conséquence, la clause abusive n'est pas opposable à l'autre partie, tandis que les autres dispositions contractuelles demeurent applicables, dans la mesure où la clause est dissociable.
Interaction avec le RGPD
La loi sur la protection des données (Data Act) est complémentaire au Règlement général sur la protection des données (RGPD), et une interaction importante existe entre eux. Le RGPD couvre également les données personnelles, mais ne les soustrait pas au droit de la protection des données. Lorsque l'utilisateur n'est pas la personne concernée par la demande de données personnelles, ces données ne peuvent être fournies que s'il existe une base légale valable au sens de l'article 6 du RGPD. La loi sur la protection des données ne crée donc pas d'exception autonome au RGPD : l'accès aux données en vertu de cette loi ne dispense pas les parties de leurs obligations au titre du RGPD et n'autorise pas la conservation ou la réutilisation ultérieure des données fournies au-delà de la finalité pour laquelle elles ont été collectées.
Portabilité et commutation vers le cloud
Un chapitre distinct impose aux fournisseurs de services de traitement de données de faciliter le changement de fournisseur. Ils ne peuvent imposer aucun obstacle précommercial, commercial, technique, contractuel ou organisationnel empêchant les clients de changer de prestataire. À compter du 12 janvier 2027, les fournisseurs de services de traitement de données ne peuvent plus facturer de frais de changement de fournisseur. Le transfert effectif des données et des configurations doit être effectué sans délai indu et en aucun cas après une période de transition obligatoire de trente jours maximum. Pour les organisations fortement dépendantes d'un fournisseur de cloud unique, cela constitue un nouvel atout lors des négociations de renouvellement ou de renégociation de contrats.
Accès public en cas de besoin exceptionnel
Le règlement confère aux organismes du secteur public la possibilité, sous certaines conditions, d'exiger l'accès aux données à caractère personnel en cas de nécessité exceptionnelle, telle qu'une situation d'urgence publique. Dans ce cas, les détenteurs de données, à l'exception des micro-entreprises et des petites entreprises, sont tenus de communiquer gratuitement les données nécessaires. Dans les autres cas de nécessité exceptionnelle, le détenteur des données a droit à une juste indemnisation. Ce pouvoir est soumis aux principes de proportionnalité et de subsidiarité prévus par le règlement.
Application de la loi aux Pays-Bas
Aux Pays-Bas, l'application de la réglementation est désormais inscrite dans la loi par la loi de mise en œuvre de la loi sur la protection des données (Uitvoeringswet dataverordening). L'Autorité néerlandaise de la consommation et des marchés (ACM) est compétente pour la majeure partie du règlement, notamment les chapitres relatifs aux données produits, au partage interentreprises (B2B) et à la portabilité des données vers le cloud. L'Autorité néerlandaise de protection des données (AP) est compétente pour les aspects sensibles liés à la protection de la vie privée et pour le traitement des données personnelles visés par certains articles et le chapitre V. Ces deux autorités peuvent prendre des mesures coercitives dans leur domaine de compétence respectif en prononçant une injonction assortie d'une sanction pénale ou d'une amende administrative. La loi de mise en œuvre prévoit également un mécanisme de coopération et d'échange d'informations entre l'ACM et l'AP, afin que les deux autorités de contrôle puissent agir de manière coordonnée sur les questions communes.
Qu'est-ce que cela signifie en pratique?
Les entreprises qui développent, importent ou distribuent des produits connectés auraient intérêt à revoir dès maintenant la conception de leurs produits et leur structure contractuelle au regard de la loi sur la protection des données. Pour les produits mis sur le marché après le 12 septembre 2026, l'obligation de conception et d'accessibilité s'applique pleinement. Les prestataires de services qui traitent des données pour le compte d'utilisateurs doivent identifier les obligations de partage de données qui leur incombent et vérifier si leurs accords existants, y compris les clauses relatives aux données rédigées unilatéralement, sont conformes à ces obligations.
Ceux qui attendent l'entrée en vigueur des mesures d'application risquent d'être distancés. Mettre à jour ses produits, services et contrats en temps voulu n'est pas seulement une question de conformité , mais représente également une opportunité : ceux qui offrent à leurs clients transparence et accès aux données se démarquent sur un marché de plus en plus exigeant quant à la gestion des données par les entreprises.
Vous avez des questions sur les implications de la loi européenne sur la protection des données pour votre entreprise ou vos contrats ? Les avocats de Law & More sont heureux de vous aider.
Questions fréquemment posées
La loi sur la protection des données s'applique-t-elle déjà à mes produits connectés existants ?
Le règlement s'applique à compter du 12 septembre 2025, mais l'obligation de concevoir des produits connectés permettant l'accès aux données pour les utilisateurs ne concerne que les produits mis sur le marché après le 12 septembre 2026. Les produits déjà commercialisés avant cette date ne sont pas encore concernés. Il est néanmoins conseillé aux fabricants et aux importateurs d'adapter dès maintenant le développement de leurs produits aux nouvelles exigences, afin que leurs futurs produits soient conformes dès leur lancement.
Que dois-je faire si mon contrat de données contient des clauses qui restreignent l'accès aux données ?
En vertu de la loi sur la protection des données, les clauses contractuelles imposées unilatéralement et empêchant l'autre partie d'utiliser ou d'exploiter ses propres données peuvent être considérées comme abusives et, par conséquent, non contraignantes. Il est conseillé de faire examiner les contrats de données existants afin d'y déceler de telles clauses. La charge de la preuve qu'une clause n'a pas été imposée unilatéralement incombe à la partie qui l'a incluse. Une renégociation anticipée est généralement plus efficace que d'attendre que l'autre partie invoque le règlement.
Puis-je partager des données personnelles en vertu de la loi sur les données sans base juridique RGPD ?
Non. La loi sur la protection des données ne constitue pas un fondement juridique suffisant pour la divulgation de données personnelles. Lorsque l'utilisateur n'est pas la personne concernée par la demande de données personnelles, ces données ne peuvent être communiquées que s'il existe une base légale valable au sens de l'article 6 du RGPD. De plus, l'accès aux données en vertu de la loi sur la protection des données n'autorise ni leur conservation ni leur réutilisation ultérieure au-delà de la finalité initiale. La conformité au RGPD et à la loi sur la protection des données doit donc être assurée simultanément.
Puis-je encore facturer des frais de changement de fournisseur de services cloud ?
À compter du 12 janvier 2027, les fournisseurs de services de traitement de données n'auront plus le droit de facturer de frais de changement de fournisseur. De plus, à compter du 12 septembre 2025, aucun obstacle technique, contractuel ou organisationnel ne pourra entraver le changement de fournisseur. Le transfert effectif des données lors du changement devra également être effectué sans délai indu et achevé dans un délai transitoire maximal de trente jours. Les contrats existants prévoyant des délais plus longs ou des frais de changement devront être réexaminés.
Quelle autorité de surveillance est compétente pour faire appliquer la loi sur la protection des données aux Pays-Bas ?
L'application du règlement est partagée entre l'Autorité néerlandaise de la consommation et des marchés (ACM) et l'Autorité néerlandaise de protection des données (AP). L'ACM est compétente pour la majeure partie du règlement, notamment les dispositions relatives aux données produits, au partage interentreprises et à la portabilité des données dans le cloud. L'AP est compétente pour les éléments sensibles en matière de protection de la vie privée et le traitement des données personnelles visés par certains articles et le chapitre V. Ces deux autorités peuvent prononcer une injonction assortie d'une sanction pénale ou d'une amende administrative. Les voies de recours administratives habituelles sont ouvertes contre ces décisions, notamment l'opposition, le recours et les mesures provisoires.
La loi sur la protection des données s'applique-t-elle également aux petites entreprises ?
Le règlement établit des distinctions selon la taille de l'entreprise sur certains points. Par exemple, les micro-entreprises et les petites entreprises sont exemptées, en cas de demande d'accès gratuit aux données pour raisons de sécurité publique, de l'obligation de fournir ces données gratuitement ; elles ont alors droit à une juste compensation. Pour les autres obligations – notamment l'obligation d'accessibilité pour les produits connectés et le critère d'équité des conditions commerciales B2B – aucune exemption générale n'est prévue pour les petites et moyennes entreprises. Les fournisseurs de produits connectés ou de services cloud de plus petite taille doivent donc également se conformer au règlement dans les meilleurs délais.
