Règlement général sur la protection des données (RGPD) de l'UE : qui doit partager les données et à quelles conditions ?

La loi européenne sur la protection des données (RGPD) confère aux utilisateurs d'objets connectés et de services associés le droit d'accéder aux données qu'ils génèrent et de les faire partager avec des tiers. Elle est applicable depuis le 12 septembre 2025, mais l'obligation de concevoir des produits permettant un accès direct aux données ne concerne que les objets connectés mis sur le marché après le 12 septembre 2026.

La loi néerlandaise sur la protection des données (Règlement (UE) 2023/2854) encadre également les clauses abusives dans les contrats de données entre entreprises, le changement de fournisseur de services cloud et l'accès aux données par les organismes publics dans des situations exceptionnelles. Si votre entreprise fabrique, importe ou vend des produits connectés, propose des services cloud ou utilise des données dans le cadre de contrats avec d'autres entreprises, elle est susceptible d'être concernée. Vous trouverez ci-dessous le détail des principales obligations et la manière dont l'ACM et l'AP les appliquent aux Pays-Bas.

Que réglemente la loi sur les données ?

La loi sur la protection des données définit qui peut accéder aux données générées par l'utilisation de produits et de services, et à quelles conditions ces données doivent être partagées. Elle ne crée pas un droit général à toutes les données, mais un cadre pour six domaines spécifiques.

Le règlement est entré en vigueur le 11 janvier 2024. Il porte sur l’accès des utilisateurs aux données relatives aux produits et services, les conditions équitables de partage des données entre entreprises, l’accès des organismes publics en cas de besoin exceptionnel, le changement de prestataire de services de traitement des données, les garanties contre l’accès illicite des autorités publiques aux données non personnelles depuis l’extérieur de l’UE et l’interopérabilité. Le texte intégral est disponible sur EUR-Lex.

Que doivent faire les fabricants de produits connectés ?

Les produits connectés et les services associés doivent être conçus de manière à ce que les données qu’ils génèrent soient, par défaut, facilement, sécurisées, gratuites et dans un format lisible par machine, directement accessibles à l’utilisateur, lorsque cela est pertinent et techniquement possible (article 3). Pensons aux objets connectés de la maison, aux machines industrielles, aux dispositifs médicaux ou aux véhicules.

Cette obligation de conception s’applique aux produits connectés et aux services associés mis sur le marché après le 12 septembre 2026. Les produits déjà commercialisés avant cette date ne sont pas concernés par cette obligation. Avant la conclusion du contrat, l’utilisateur doit également être informé du type et du volume des données générées par le produit, ainsi que des modalités d’accès à ces données (article 3, paragraphes 2 et 3).

Lorsque les données ne sont pas directement accessibles, le responsable du traitement doit les mettre à la disposition de l'utilisateur sur demande, sans délai excessif et gratuitement (article 4). L'utilisateur peut également demander au responsable du traitement de partager les données avec un tiers de son choix (article 5). Les intermédiaires désignés en vertu de la loi sur les marchés numériques ne peuvent pas être considérés comme un tel tiers.

Pouvez-vous protéger vos secrets commerciaux ?

Oui, dans une certaine mesure. Le détenteur des données peut exiger des mesures de confidentialité avant de divulguer des données contenant des secrets commerciaux et peut, exceptionnellement, refuser ou suspendre leur partage si leur divulgation est susceptible d'entraîner un préjudice économique grave. Un tel refus doit être motivé par écrit et notifié à l'autorité compétente, en l'occurrence l'ACM aux Pays-Bas.

L’utilisateur ne peut utiliser les données obtenues pour développer un produit concurrent du produit dont elles sont issues (article 4, paragraphe 10). Le responsable du traitement des données, quant à lui, ne peut utiliser les données non personnelles relatives au produit que dans le cadre d’un contrat conclu avec l’utilisateur.

Quelles sont les clauses contractuelles abusives entre entreprises ?

Une clause contractuelle relative à l'accès aux données et à leur utilisation, ou à la responsabilité et aux recours en cas de violation, n'est pas opposable à l'autre partie si elle a été imposée unilatéralement et est abusive (article 13). Une clause est réputée imposée unilatéralement si l'autre partie n'a pu en influencer le contenu malgré une tentative de négociation, et il incombe à la partie qui l'a introduite d'apporter la preuve du contraire.

Une clause est abusive si elle s'écarte manifestement des usages commerciaux en matière d'accès et d'utilisation des données, et si elle contrevient aux principes de bonne foi et de loyauté. L'article 13 comporte deux listes. Les clauses toujours abusives comprennent celles qui excluent ou limitent la responsabilité en cas de faute intentionnelle ou de négligence grave, ainsi que celles qui confèrent à la partie ayant imposé la clause le droit exclusif d'interpréter le contrat. Les clauses présumées abusives comprennent celles qui restreignent indûment l'utilisation par l'autre partie des données qu'elle a fournies, ou celles qui autorisent une résiliation moyennant un préavis anormalement court.

Une clause abusive n'engage pas l'autre partie, mais le reste du contrat demeure valide si cette clause peut en être dissociée. Ces règles s'appliquent aux contrats conclus après le 12 septembre 2025. À compter du 12 septembre 2027, elles s'appliquent également aux contrats plus anciens à durée indéterminée ou arrivant à échéance au moins dix ans après le 11 janvier 2024.

Si un détenteur de données doit mettre ses données à la disposition d'une autre entreprise, il peut demander une compensation raisonnable (article 9). Pour les micro, petites et moyennes entreprises et certains organismes de recherche, cette compensation ne peut excéder les coûts de mise à disposition des données.

Quel est le lien entre la loi sur les données et le RGPD ?

La loi sur la protection des données ne remplace pas le Règlement général sur la protection des données (RGPD). Lorsque des données à caractère personnel sont concernées, le RGPD reste pleinement applicable et, en cas de conflit, il prévaut.

Si l'utilisateur qui demande des données n'est pas la personne concernée, les données personnelles ne peuvent être communiquées que s'il existe une base légale valable au sens de l'article 6 du RGPD et, le cas échéant, de l'article 9. La loi relative à la protection des données ne crée pas une telle base et les règles du RGPD concernant la limitation des finalités, la sécurité et les durées de conservation restent applicables. Pour en savoir plus sur les risques liés au partage de données au regard du RGPD et sur la durée de conservation des données clients , veuillez consulter notre documentation.

Quels changements pour les fournisseurs de services cloud et leurs clients ?

Les fournisseurs de services de traitement de données, tels que les services cloud et edge, doivent faciliter le passage de leurs clients à un autre fournisseur ou à leur propre infrastructure. Ils ne peuvent imposer d'obstacles commerciaux, techniques, contractuels ou organisationnels qui entravent ce changement (article 23).

Le contrat doit permettre au client de changer de fournisseur moyennant un préavis maximal de deux mois. Le transfert effectif des données et des actifs numériques doit ensuite être réalisé dans un délai transitoire de trente jours maximum. Si cela s'avère techniquement impossible, le fournisseur doit en expliquer les raisons et peut prolonger ce délai, jusqu'à un maximum de sept mois.

À compter du 12 janvier 2027, les fournisseurs ne pourront plus facturer de frais de migration. Jusqu'à cette date, ils ne pourront appliquer que des frais réduits n'excédant pas les coûts directement liés à la migration. Avant le renouvellement de vos contrats cloud , vérifiez s'il existe des frais de migration ou des options pour les périodes plus longues.

Quand les organismes publics peuvent-ils exiger vos données ?

Les organismes du secteur public peuvent, sous certaines conditions, exiger des entreprises qu'elles mettent des données à disposition en cas de besoin exceptionnel, comme une situation d'urgence publique. La demande doit être précise, proportionnée et justifiée.

En cas d'urgence publique, les détenteurs de données doivent les fournir gratuitement, à l'exception des micro-entreprises et des petites entreprises, qui ont droit à une indemnisation. Dans d'autres cas de nécessité exceptionnelle, par exemple lorsque les données sont nécessaires à une mission spécifique d'intérêt public et ne peuvent être obtenues autrement, le détenteur des données peut prétendre à une juste indemnisation.

Qui est chargé de faire appliquer la loi sur la protection des données aux Pays-Bas ?

La supervision est régie par la loi d'application de la loi sur les données (Uitvoeringswet dataverordening), en vigueur depuis le 21 novembre 2025. L'Autorité de la consommation et des marchés (ACM) supervise la majeure partie du règlement, y compris les règles relatives aux données produits, au partage de données entre entreprises et à la migration vers le cloud.

L'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) est compétente en matière de données personnelles et pour les demandes d'accès aux données émanant des organismes publics. Les deux autorités peuvent prononcer une injonction assortie d'une sanction pénale (last onder dwangsom) ou d'une amende administrative dans leurs domaines de compétence respectifs et coopèrent sur les questions communes.

Si une autorité prend une décision défavorable à votre entreprise, vous pouvez former un recours (bezwaar) auprès de cette autorité dans un délai de six semaines, puis faire appel devant les tribunaux. Une entreprise peut également faire valoir ses droits en vertu du Règlement devant les juridictions civiles, par exemple si un responsable du traitement des données refuse l'accès à ces données.

La loi sur la protection des données s'applique-t-elle également aux petites entreprises ?

Globalement, oui. Il n'existe pas d'exemption générale pour les petites et moyennes entreprises : l'obligation de conception pour les produits connectés et le critère d'équité des clauses contractuelles s'appliquent quelle que soit la taille de l'entreprise.

Les obligations d’accès aux données et de partage prévues au chapitre II ne s’appliquent pas aux données générées par les produits fabriqués ou les services fournis par les micro et petites entreprises, à condition qu’elles n’aient pas de partenaire plus important ni d’entreprise liée (article 7). Les entreprises de taille moyenne bénéficient d’une exemption transitoire limitée à un an. En cas d’urgence publique, les micro et petites entreprises ont droit à une indemnisation.

Que devez-vous vérifier en tant que fabricant, détenteur de données ou fournisseur de services cloud ?

Commencez par les produits et services que vous mettrez sur le marché après le 12 septembre 2026, car l’obligation de conception s’applique intégralement à eux.

• La conception du produit donne-t-elle aux utilisateurs un accès direct à leurs données lorsque cela est techniquement possible (Article 3) ?
• Vos informations précontractuelles précisent-elles le type et le volume des données ainsi que la manière dont les utilisateurs peuvent y accéder ?
• Existe-t-il une procédure pour traiter les demandes d'accès et de partage sans délai indu (articles 4 et 5) ?
• Avez-vous identifié les secrets commerciaux et les mesures de confidentialité nécessaires avant de les partager ?
• Vos contrats cloud respectent-ils le préavis de deux mois, le délai de transfert de trente jours et la fin des frais de changement de fournisseur le 12 janvier 2027 ?

Que devez-vous vérifier en tant qu'utilisateur ou client professionnel ?

En tant qu'utilisateur, vous pouvez réclamer des données qu'un fabricant ou un fournisseur de services garderait autrement pour lui, et vous pouvez contester les conditions abusives relatives aux données en vertu de l'article 13.

• Quels produits et services connectés de votre entreprise génèrent des données que vous pourriez demander en vertu de l'article 4 ?
• Vos contrats fournisseurs contiennent-ils des clauses unilatérales relatives à l'utilisation des données ou à la responsabilité qui pourraient être abusives ?
• Est-il possible de changer de fournisseur de cloud avec un préavis de deux mois, et quels sont les frais de changement prévus par le contrat ?
• Disposez-vous d'une base juridique RGPD pour chaque flux de données personnelles que vous recevez ou transmettez ?
• Avez-vous documenté vos demandes afin de pouvoir déposer une plainte auprès de l'ACM ou saisir les tribunaux en cas de refus d'accès ?

Que pouvons-nous faire pour vous concernant la loi sur la protection des données ?

Nos avocats spécialisés en droit des technologies de l'information conseillent les entreprises sur les contrats de données, les accords relatifs au cloud et la conformité à la loi sur la protection des données et au RGPD.

• Nous identifions quels produits, services et contrats relèvent du champ d'application de la loi sur les données.
• Nous examinons vos conditions générales et vos contrats fournisseurs par rapport aux listes de clauses abusives de l'article 13.
• Nous rédigeons ou révisons les accords de partage de données, y compris les mesures de confidentialité relatives aux secrets commerciaux.
• Nous vérifions vos contrats cloud pour connaître les délais de préavis, les délais de transfert et les frais de changement de fournisseur.
• Nous alignons vos processus de protection des données sur vos obligations RGPD.
• Nous vous représentons devant l'ACM, l'AP ou les tribunaux civils.

Résumé

• La loi sur les données s'applique depuis le 12 septembre 2025 ; l'obligation de conception pour les produits connectés s'applique aux produits mis sur le marché après le 12 septembre 2026.
• Les utilisateurs peuvent accéder aux données générées par leurs produits connectés et les partager avec des tiers, sous réserve de la protection des secrets commerciaux.
• Les conditions abusives imposées unilatéralement en matière d'accès aux données, d'utilisation et de responsabilité ne lient pas l'autre entreprise.
• Les fournisseurs de services cloud doivent faciliter la migration et ne pourront plus facturer de frais de migration à compter du 12 janvier 2027.
• Aux Pays-Bas, l'ACM et l'AP supervisent la conformité et peuvent imposer des amendes.

Foire aux questions