Catégories
DMA

#DMA4 : Articles 4 à 6

Une proposition de règlement sur l’intelligence artificielle a été publiée le 21 avril par la Commission européenne. Il est disponible en anglais mais ne l’est pas encore dans les autres langues de l’Union. Une version fuitée, antérieure à la proposition officielle de la Commission, avait déjà circulé sur le Web.

Le conflit de compétence entre les commissions du Parlement européenne n’est pas encore résolu.

Le groupe des Verts / ALE a mis en ligne une page dédiée au recueil de commentaires sur le DMA (une page similaire existe pour le DSA). Joseph McNamee, ancien directeur exécutif d’EDRI et désormais conseiller politique du groupe Verts/ALE, très impliqué sur le dossier du RGPD, coordonne cette consultation.

Un document contenant la position de la Pologne, de la Suède, de la Slovénie, de la Slovaquie, de Malte, de la Finlande, de la République tchèque, de la Roumanie, du Danemark, de l’Allemagne, de l’Espagne, de la France et de la Croatie au Conseil de l’UE sur le DMA a été mis en ligne par EDRI.

Le Royaume-Uni a commencé à travailler sur son propre projet de régulation des marchés numériques.

Plus d’actualités dans le support de présentation préparé par Clément Perarnaud :

Article 4 : Réexamen du statut des contrôleurs d’accès

1.La Commission peut, sur demande ou de sa propre initiative, revoir, modifier ou abroger à tout moment une décision adoptée au titre de l’article 3 pour l’une des raisons suivantes:
(a)l’un des faits sur lesquels la décision repose subit un changement important;
(b)la décision repose sur des informations incomplètes, inexactes ou dénaturées fournies par les entreprises.

2.La Commission réexamine régulièrement, et au moins tous les deux ans, si les contrôleurs d’accès désignés continuent de satisfaire aux exigences fixées à l’article 3, paragraphe 1, ou si de nouveaux fournisseurs de services de plateforme essentiels satisfont à ces exigences. Ce réexamen régulier permet également de déterminer si la liste des services de plateforme essentiels du contrôleur d’accès concernés doit être adaptée.
Si la Commission constate, sur la base de cet examen conformément au premier alinéa, que les faits sur lesquels repose la désignation des fournisseurs de services de plateforme essentiels comme contrôleurs d’accès ont évolué, elle adopte une décision correspondante.

3.La Commission publie et tient à jour de façon continue la liste des contrôleurs d’accès et la liste des services de plateforme essentiels pour lesquels ils doivent se conformer aux obligations prévues aux articles 5 et 6.

Cet article décrit l’obligation d’un réexamen périodique par la Commission européenne, qui devrait alors vérifier si les contrôleurs d’accès continuent à satisfaire aux exigences, ou si de nouveaux fournisseurs de services y satisfont.

Le BEUC conseille de partager les compétences entre la Commission et les autorités nationales compétentes pour éviter une trop forte concentration des pouvoirs dans les mains de la seule Commission.

Chapitre III : Pratiques des contrôleurs d’accès qui limitent la contestabilité ou sont déloyales

Article 5 : Obligations incombant aux contrôleurs d’accès

Pour chacun de ses services de plateforme essentiels recensés conformément à l’article 3, paragraphe 7, le contrôleur d’accès:    
(a)s’abstient de combiner les données à caractère personnel provenant de ces services de plateforme essentiels avec les données à caractère personnel provenant de tout autre service proposé par le contrôleur d’accès, ou avec les données à caractère personnel provenant de services tiers, et d’inscrire les utilisateurs finaux à d’autres services du contrôleur d’accès dans le but de combiner des données à caractère personnel, à moins que ce choix précis n’ait été laissé à l’utilisateur final et que ce dernier ait donné son consentement au sens du règlement (UE) 2016/679;
(b)permet aux entreprises utilisatrices de proposer les mêmes produits ou services aux utilisateurs finaux par l’intermédiaire de services d’intermédiation en ligne tiers à des prix ou conditions différents de ceux qui sont proposés par les services d’intermédiation en ligne du contrôleur d’accès;
(c)permet aux entreprises utilisatrices de promouvoir leurs offres auprès des utilisateurs finaux acquis grâce au service de plateforme essentiel, et de conclure des contrats avec ces utilisateurs finaux, en utilisant ou non à cette fin les services de plateforme essentiels du contrôleur d’accès, et permet aux utilisateurs finaux, par l’intermédiaire des services de plateforme essentiels du contrôleur d’accès, d’accéder à des contenus, abonnements, fonctionnalités ou autres éléments et de les utiliser en se servant de l’application logicielle de l’entreprise utilisatrice, lorsque ces éléments ont été acquis par les utilisateurs finaux auprès des entreprises utilisatrices concernées sans avoir recours aux services de plateforme essentiels du contrôleur d’accès;
(d)s’abstient d’empêcher ou de restreindre la possibilité pour les entreprises utilisatrices de faire part à toute autorité publique compétente de préoccupations à l’égard de toute pratique des contrôleurs d’accès;
(e)s’abstient d’exiger des entreprises utilisatrices qu’elles utilisent, proposent ou interagissent avec un service d’identification du contrôleur d’accès dans le cadre des services qu’elles proposent en ayant recours aux services de plateforme essentiels de ce contrôleur d’accès;
(f)s’abstient d’exiger des entreprises utilisatrices ou des utilisateurs finaux, qu’ils s’abonnent ou s’enregistrent à tout autre service de plateforme essentiel recensé en vertu de l’article 3 ou atteignant les seuils mentionnés à l’article 3, paragraphe 2, point b), comme condition d’accès, d’inscription ou d’enregistrement à l’un quelconque de ses services de plateforme essentiels recensés en vertu de cette disposition;
(g)communique aux annonceurs et éditeurs à qui il fournit des services de publicité, à leur demande, des informations relatives au prix qu’ils payent, ainsi qu’au montant ou à la rémunération versés à l’éditeur, pour la publication d’une annonce publicitaire donnée et pour chacun des services de publicité concernés fournis par le contrôleur d’accès.

Cet article décrit une obligation pour le contrôleur d’accès de s’abstenir de combiner des DCP des utilisateurs provenant d’autres services d’intermédiation sans son consentement.

Selon l’EDPS:

(23) Le CEPD se félicite de cette disposition, car elle contribue à résoudre les problèmes de concurrence et renforce davantage encore la protection des droits fondamentaux à la vie privée et à la protection des données à caractère personnel en ce qui concerne les contrôleurs d’accès.

(24) Toutefois, dans un souci de clarté, le CEPD rappelle que les plateformes en ligne qui ne sont pas désignées comme des «contrôleurs d’accès» peuvent encore avoir besoin d’obtenir le consentement des personnes concernées avant de combiner des données entre leurs services ou avec des données provenant de services tiers conformément au RGPD et/ou à la directive «vie privée et communications électroniques». L’article 5, point a), ne devrait donc pas être interprété comme suggérant que les plateformes qui ne sont pas désignées comme des contrôleurs d’accès peuvent librement combiner des données à caractère personnel entre services sans le consentement de l’intéressé 26. Le CEPD recommande d’ajouter une précision à cet effet dans un considérant.

https://edps.europa.eu/system/files/2021-04/21-02-10-opinion_on_digital_markets_act_fr.pdf

Le BEUC s’est également exprimé à ce sujet.

Des participant.e.s ont soulevé le fait qu’il demeure difficile aujourd’hui de définir de façon claire et définitive la façon dont la notion de « consentement » de la personne concernée au traitement de ses données à caractère personnel doit se manifester dans les interfaces. Il existe un jeu important par le biais de « dark patterns » dont la légalité fait débat.

Le point d) décrit un droit pour les entreprises utilisatrices de porter plainte.

Des participant.e.s ont évoqué le fait que le point g) est à mettre en relation avec de nombreuses discussions en cours sur la concentration sur le marché de la pub en ligne. Certaines entreprises sont accusées de s’attirer des parts de marché en utilisant leurs navigateurs et systèmes d’exploitations, au motif de l’argument de la vie privée (ex : Google FloC ; impossibilité du cross-app tracking sur iOS).

Article 6 : Obligations susceptibles d’être précisées incombant aux contrôleurs d’accès

1.Pour chacun de ses services de plateforme essentiels recensés conformément à l’article 3, paragraphe 7, le contrôleur d’accès:
(a) s’abstient d’utiliser, en concurrence avec les entreprises utilisatrices de ses services de plateforme essentiels, les données quelles qu’elles soient non accessibles au public qui sont générées par les activités de ces entreprises utilisatrices, y compris par leurs utilisateurs finaux, ou qui sont fournies par ces entreprises utilisatrices ou par leurs utilisateurs finaux;
(b) permet aux utilisateurs finaux de désinstaller toute application logicielle préinstallée dans son service de plateforme essentiel, sans préjudice de la possibilité pour le contrôleur d’accès de restreindre cette désinstallation si elle concerne une application logicielle essentielle au fonctionnement du système d’exploitation ou de l’appareil et qui ne peut techniquement pas être proposée séparément par des tiers;
(c) permet l’installation et l’utilisation effective d’applications logicielles ou de boutiques d’applications logicielles de tiers utilisant, ou interopérant avec, les systèmes d’exploitation du contrôleur d’accès, et permet l’accès à ces applications logicielles ou boutiques d’applications logicielles par des moyens autres que les services de plateforme essentiels du contrôleur d’accès. Rien n’empêche le contrôleur d’accès de prendre des mesures proportionnées dans le but d’éviter que les applications logicielles ou les boutiques d’applications logicielles de tiers ne compromettent l’intégrité du matériel informatique ou du système d’exploitation qu’il fournit;
(d) s’abstient d’accorder, en matière de classement, un traitement plus favorable aux services et produits proposés par le contrôleur d’accès lui-même ou par tout tiers appartenant à la même entreprise, par rapport aux services ou produits similaires d’un tiers, et applique des conditions équitables et non discriminatoires à ce classement;
(e) s’abstient de restreindre techniquement la capacité des utilisateurs finaux de passer et de s’abonner à d’autres applications logicielles et services accessibles par le système d’exploitation du contrôleur d’accès, y compris en ce qui concerne le choix du fournisseur d’accès à l’internet pour les utilisateurs finaux;

(f) permet aux entreprises utilisatrices et aux fournisseurs de services accessoires d’accéder aux mêmes fonctionnalités du système d’exploitation, du matériel informatique ou du logiciel que celles qui sont disponibles ou utilisées dans le cadre de la fourniture de tout service accessoire par le contrôleur d’accès, et d’interopérer avec ces fonctionnalités;

(g) fournit aux annonceurs et aux éditeurs, à leur demande et gratuitement, un accès aux outils de mesure de performance du contrôleur d’accès et aux informations qui leur sont nécessaires pour effectuer leur propre vérification indépendante de l’inventaire publicitaire;

(h) assure la portabilité effective des données générées par l’activité d’une entreprise utilisatrice ou d’un utilisateur final et, en particulier, fournit aux utilisateurs finaux les outils facilitant l’exercice de cette portabilité, conformément au règlement (UE) 2016/679, dont la fourniture d’un accès continu et en temps réel;

(i) procure gratuitement aux entreprises utilisatrices, ou aux tiers autorisés par les entreprises utilisatrices, un accès et une utilisation effectifs, de haute qualité, continus et en temps réel pour les données agrégées ou non agrégées fournies ou générées dans le cadre de l’utilisation des services de plateforme essentiels concernés par ces entreprises utilisatrices et par les utilisateurs finaux qui se servent des produits et services qu’elles fournissent; en ce qui concerne les données à caractère personnel, ne procure l’accès et l’utilisation que lorsqu’ils sont directement liés à l’utilisation faite par l’utilisateur final en lien avec les produits ou services que l’entreprise utilisatrice concernée fournit par l’intermédiaire du service de plateforme essentiel concerné, et lorsque l’utilisateur final opte pour un tel partage de données en manifestant son consentement au sens du règlement (UE) 2016/679;

(j) procure à tout fournisseur tiers de moteurs de recherche en ligne, à sa demande et à des conditions équitables, raisonnables et non discriminatoires, un accès aux données concernant les classements, requêtes, clics et vues en lien avec les recherches gratuites et payantes générées par les utilisateurs finaux sur les moteurs de recherche en ligne du contrôleur d’accès, sous réserve d’anonymisation pour les données de requêtes, de clics et de vues qui constituent des données à caractère personnel;

(k) applique des conditions générales d’accès équitables et non discriminatoires pour les entreprises utilisatrices à sa boutique d’applications logicielles désignée en vertu de l’article 3 du présent règlement.

2. Aux fins du paragraphe 1, point a), les données qui ne sont pas accessibles au public comprennent toutes les données agrégées et non agrégées générées par les entreprises utilisatrices qui peuvent être déduites ou collectées au travers des activités commerciales de ces entreprises ou de leurs clients dans le service de plateforme essentiel du contrôleur d’accès.

Des participant.e.s ont fait remarquer que sous la rédaction actuelle de l’article 6 b), la problématique de la vente liée de logiciels attachés au matériel ne disparaîtra par pour ce qui concerne le système d’exploitation. Ce point ne manquera pas de susciter l’attention de groupes militant contre ce qu’ils désignent par le terme de « racketiciel. » En France, la jurisprudence de la Cour de Cassation sur ce sujet avait été très hésitante au fur et à mesure de ses décisions. La justice italienne vient de condamner Lenovo pour ce type de pratique à 20 000€ en dommages et intérêts.

En 2019, le prix de l’INRIA et de la CNIL pour des recherches sur la vie privée et la protection des données personnelles avait été décerné à un article sur les impacts des applications pré-installées avec Android sur la vie privée des consommateurs.

Le point c) semble ne pas s’étendre au mécanisme UEFI.

Le point h) rappelle l’obligation à la portabilité des données, et étend ce principe aux données relatives à certaines personnes morales : les entreprises utilisatrices. L’EDPS souhaite toutefois préciser cette formulation, et rappelle la distinction entre données non-personnelles relatives à des personnes morales, et données personnelles qui entraînent l’application des dispositions du RGPD sur le droit à la portabilité :

Le CEPD considère toutefois que l’article6, paragraphe1, pointh), devrait être formulé de manière plus précise pour mentionner les personnes qui seraient habilitées à transférer des données à caractère personnel et les données, à caractère personnel ou non, qui feraient l’objet de la portabilité. Le CEPD recommande de préciser que, en ce qui concerne la portabilité des données à destination des utilisateurs finaux, un contrôleur d’accès fournit à l’utilisateur final des outils facilitant la portabilité effective des données à caractère personnel le concernant, y compris les données à caractère personnel générées par son activité en tant qu’utilisateur final de services de plateforme conformément à l’article 20 du règlement 2016/679, y compris par la fourniture d’un accès continu et en temps réel.

https://edps.europa.eu/system/files/2021-04/21-02-10-opinion_on_digital_markets_act_fr.pdf

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.