Pourquoi la Cnil est-elle au coeur du marché intérieur des données de l'Union européenne ?

La Commission nationale de l'informatique et des libertés (Cnil) se dote d'une nouvelle casquette. Dans le cadre du Data Governance Act, le règlement du 30 mai 2022 portant sur la gouvernance européenne des données, elle devient l'autorité française compétente en matière d'altruisme des données.

L'altruisme en matière de données (data altruism) est une notion en gouvernance des données. Il consiste à inciter les personnes morales (entreprises, associations, collectivités...) et les particuliers à partager les données personnelles ou non qu'elles estiment utiles à l'intérêt général. 

La tenue et mise à jour d'un nouveau registre 

En pratique, la Cnil va désormais devoir tenir et mettre à jour un nouvel instrument. Il s'agit du registre public national des organisations altruistes en matière de données. Ces dernières sont des personnes morales qui mènent des activités altruistes en matière de données dans un but non lucratif et sont indépendantes de toutes entités à but lucratif, d'après le Data Governance Act. Il s'agit d'entités qui collectent et traitent des données et les mettent à disposition à des fins d'intérêt général. Autrement dit, à des fins de recherche scientifique, de lutte contre le changement climatique, l'élaboration des politiques publiques ou encore l'amélioration de la mobilité, peut-on lire dans le texte. 

L'autorité française devient également compétente pour instruire les plaintes et contrôler ces organisations. En pratique, elle peut surveiller le respect de leurs obligations sur la base d’une demande présentée par une personne physique ou morale. En cas de non-respect, elle leur notifie ces manquements et leur donne la possibilité d'exposer son point de vue dans un délai de 30 jours à compter de la réception de la notification. Par ailleurs, si une organisation altruiste en matière de données ne respecte pas ses obligations, elle peut perdre le droit d'utiliser ce label et est radiée du registre public. 

Un formulaire de consentement pour faciliter la collecte des données 

Pour faciliter la collecte des données fondée sur l'altruisme en matière de données, le règlement européen a mis au point un "formulaire européen de consentement" élaboré par un acte d'exécution de la Commission européenne.Il permettra la collecte de données entre les États membres dans un format uniforme, garantissant que ceux qui partagent leurs données peuvent facilement donner et retirer leur consentement. C'est également un instrument de sécurité juridique pour les chercheurs et les entreprises qui souhaitent utiliser de telles données. 

S'agissant d'une nouvelle réglementation, la Commission veut faire preuve de pédagogie. Son site sera enrichi de contenus visant à répondre aux interrogations des acteurs de l’altruisme des données, tant les organisations altruistes, que les détenteurs de données et les personnes concernées, spécifie-t-elle. 

Une nouvelle autorité pour épauler la Commission dans sa stratégie 

Aussi, la Cnil participera au comité européen de l'innovation dans le domaine des données (European Data Innovation Board,EDIB). Il s'agit d'un groupe d'experts composé de représentants des autorités compétentes en matière de services d’intermédiation de données et des autorités compétentes pour l’enregistrement des organisations altruistes en matière de données de tous les États membres, du Comité européen de la protection des données, du Contrôleur européen de la protection des données, de l’ENISA, de la Commission, du représentant de l’UE pour les PME ou d’un représentant désigné par le réseau des représentants des PME, et d’autres représentants d’organismes compétents dans des secteurs particuliers ainsi que d’organismes disposant d’une expertise particulière. 

L'EDIB doit conseiller et assister la Commission européenne pour l’élaboration "d’une pratique cohérente" pour l’altruisme en matière de données dans l’ensemble de l’Union ainsi que pour la constitution de lignes directrices cohérentes relatives aux exigences en matière de cybersécurité pour l’échange et le stockage de données.

Le Data Governance Act fait partie de la stratégie européenne en matière de données. Il est complété par le Data Act, le règlement sur les données, qui a pour objectif d’assurer une meilleure répartition de la valeur issue de l’utilisation des données entre les acteurs de l’économie de la donnée, notamment liées à l’utilisation des objets connectés et au développement de l’Internet des objets. Il prévoit également de nouvelles règles dans le secteur du cloud. L'ensemble de ces nouvelles dispositions ont été intégrées dans la loi visant à sécuriser et réguler l'espace numérique, dite loi SREN.