Catégories
DSA

#DSA5 : Articles 15 à 18

Le résumé des actualités au sujet du DSA se trouve dans le support de présentation ci-dessous, préparé par Clément Perarnaud :

Article 15 : Exposé des motifs

1. Lorsqu’un fournisseur de services d’hébergement décide de retirer des informations spécifiques fournies par les bénéficiaires du service ou d’empêcher l’accès à celles-ci, indépendamment des moyens utilisés pour détecter, repérer ou retirer ces informations, ou empêcher l’accès à celles-ci, ainsi que de la raison de sa décision, il informe le bénéficiaire de la décision, au plus tard au moment du retrait ou du blocage de l’accès, et fournit un exposé clair et spécifique des motifs de cette décision.
2. L’exposé des motifs visé au paragraphe 1 comprend au minimum les informations suivantes:
(a) l’indication éventuelle du fait que la décision implique soit le retrait des informations, soit le blocage de l’accès à celles-ci et, le cas échéant, le champ d’application territorial du blocage de l’accès;
(b) les faits et circonstances sur lesquels s’appuie la décision, y compris, le cas échéant, si la décision a été prise au titre d’une notification soumise conformément à l’article 14;
(c) le cas échéant, des informations relatives à l’utilisation de moyens automatisés pour prendre la décision, y compris lorsque cette dernière concerne des contenus détectés ou repérés par des moyens automatisés;
(d) lorsque la décision concerne des contenus prétendument illicites, une référence au fondement juridique sous-jacent et des explications des motifs pour lesquels ces informations sont considérées comme des contenus illicites sur cette base;
(e) lorsque la décision se fonde sur la prétendue incompatibilité des informations avec les conditions générales du fournisseur, une référence aux clauses contractuelles sous-jacentes et des explications des raisons pour lesquels ces informations sont considérées comme incompatibles avec ces clauses;
(f) des informations relatives aux voies de recours à la disposition du bénéficiaire du service en ce qui concerne cette décision, notamment par l’intermédiaire de mécanismes internes de traitement des réclamations, du règlement extrajudiciaire des litiges et d’un recours juridictionnel.
3. Les informations fournies par les fournisseurs de services d’hébergement en vertu du présent article sont claires et faciles à comprendre et aussi précises et détaillées que cela est raisonnablement possible compte tenu des circonstances données. En particulier, les informations donnent au bénéficiaire du service concerné une possibilité raisonnable d’exercer effectivement les voies de recours visées au point f) du paragraphe 2.
4. Les fournisseurs de services d’hébergement publient les décisions et les exposés des motifs visés au paragraphe 1 dans une base de données accessible au public gérée par la Commission. Ces informations ne contiennent pas de données à caractère personnel.

Cet article prévoit une obligation de notifier l’exposé des motifs dans une décision de modération ou de régulation des contenus. Il précise le contenu de cet exposé des motifs.

Le BEUC soutient cet article 15 mais mentionne le fait qu’il n’y a pas de nécessité pour les services d’hébergement de donner une réponse détaillée et assez systématique de pourquoi dans certains cas un contenu ne doit pas être retiré.

L’article 15 (4) est très surprenant, dans la mesure où il paraît peu probable, en pratique, que les données transmises à la Commission ne contiennent pas de données à caractère personnel. Pourtant, l’avis de l’EDPS n’évoque pas ce point dans sa discussion de cette disposition :

45. Le CEPD se félicite, à titre de garantie supplémentaire, de l’obligation faite aux fournisseurs de services d’hébergement de publier leurs décisions et les exposés des motifs dans une base de données accessible au public gérée par la Commission, avec l’exigence explicite que ces informations ne contiennent pas de données à caractère personnel.

https://edps.europa.eu/system/files/2021-04/21-02-10-opinion_on_digital_services_act_fr.pdf

Section III : Dispositions supplémentaires applicables aux plateformes en ligne

Article 16 : Exclusion des microentreprises et petites entreprises

La présente section ne s’applique pas aux plateformes en ligne qui peuvent être qualifiées de microentreprises ou de petites entreprises au sens de l’annexe de la recommandation 2003/361/CE.

Cet article vise à exclure l’application des dispositions de la section III sur les plateformes en ligne à celles qui peuvent être qualifiées de TPE ou de PME en vertu de la recommandation 2003/361/CE.

Article 17 : Système interne de traitement des réclamations

1. Les plateformes en ligne fournissent aux bénéficiaires du service, pour une période d’au moins six mois à compter de la décision visée dans le présent paragraphe, l’accès à un système interne de traitement des réclamations efficace, permettant d’introduire, par voie électronique et gratuitement, des réclamations contre les décisions suivantes adoptées par la plateforme en ligne au motif que les informations fournies par les bénéficiaires constituent un contenu illicite ou sont incompatibles avec ses conditions générales:

(g) décisions de retirer les informations ou de rendre l’accès à celles-ci impossible;

(h) décisions de suspendre ou de résilier, entièrement ou partiellement, la fourniture du service aux bénéficiaires;

(i) décisions de suspendre ou de résilier le compte des bénéficiaires.

2. Les plateformes en ligne veillent à ce que leurs systèmes internes de traitement des réclamations soient d’un accès et d’une utilisation aisés et permettent et facilitent la soumission de réclamations suffisamment précises et dûment motivées.

3. Les plateformes en ligne traitent les réclamations soumises par l’intermédiaire de leurs systèmes internes de traitement des réclamations en temps opportun, de manière diligente et objective. Lorsque les motifs invoqués dans une réclamation sont suffisants pour que la plateforme en ligne considère que les informations auxquelles la réclamation se rapporte ne sont pas illicites et ne sont pas incompatibles avec ses conditions générales, ou que la réclamation contient des informations indiquant que la conduite du plaignant ne justifie pas la suspension ou la résiliation du service ou du compte, la plateforme infirme sa décision visée au paragraphe 1 dans les meilleurs délais.

4. Les plateformes en ligne informent les plaignants dans les meilleurs délais de la décision qu’elles ont prise en ce qui concerne les informations auxquelles la réclamation se rapporte et informent les plaignants de la possibilité de règlement extrajudiciaire des litiges prévue à l’article 18 et des autres voies de recours disponibles.

5. Les plateformes en ligne veillent à ce que les décisions visées au paragraphe 4 ne soient pas uniquement prises par des moyens automatisés.

L’erreur de numérotation du (1) de cet article vient de la traduction officielle. Au lieu de (g), (h) et (i), il faut lire (a), (b) et (c), comme dans les autres versions linguistiques.

Cet article pose de nouveau la question des délais. La question de l’articulation entre l’article 17 et 18 a été posée. Est-il possible de faire appel au système de règlement extra-judiciaire avant de passer par le système de réclamation interne à la plateforme ?

Le considérant 44 précise :

Les possibilités ainsi créées de contestation des décisions des plateformes en ligne devraient compléter, sans toutefois l’altérer d’aucune manière, la possibilité de recours juridictionnel en vertu de la législation de l’État membre concerné.

Article 18 : Règlement extrajudiciaire des litiges

1. Les bénéficiaires du service destinataires des décisions visées à l’article 17, paragraphe 1, ont le droit de choisir tout organe de règlement extrajudiciaire des litiges ayant été certifié conformément au paragraphe 2 en vue de résoudre les litiges associés à ces décisions, y compris pour les réclamations qui ne pourraient pas être réglées par le système interne de traitement des réclamations prévu par ledit article. Les plateformes en ligne collaborent de bonne foi avec l’organe sélectionné en vue de résoudre le litige et se soumettent à la décision prise par cet organe.

Le premier alinéa est sans préjudice du droit du bénéficiaire concerné de contester la décision devant une juridiction conformément au droit applicable.
2. Le coordinateur pour les services numériques de l’État membre dans lequel est établi l’organe de règlement extrajudiciaire des litiges certifie cet organe, à la demande de ce dernier, lorsqu’il a démontré qu’il respecte l’ensemble des conditions suivantes:

(a) il est impartial et indépendant des plateformes en ligne et des bénéficiaires du service fourni par les plateformes en ligne;

(b) il dispose de l’expertise nécessaire en ce qui concerne les questions liées à un ou plusieurs types particuliers de contenu illicite, ou pour ce qui est de l’application et du contrôle du respect des conditions générales d’un ou de plusieurs types de plateformes en ligne, lui permettant de contribuer efficacement au règlement d’un litige;

(c) le processus de règlement des litiges est facilement accessible au moyen d’une technologie de communication électronique;

(d) il est en mesure de régler un litige de manière rapide, efficace et économiquement avantageuse, et dans au minimum une langue officielle de l’Union;

(e) le règlement des litiges se déroule suivant une procédure claire et équitable.

Le cas échéant, le coordinateur pour les services numériques précise dans le certificat les domaines spécifiques sur lesquels porte l’expertise de l’organe ainsi que la ou les langues officielles de l’Union dans laquelle/lesquelles l’organe est en mesure de régler des litiges, comme le prévoient les points b) et d) du premier alinéa, respectivement.

3. Lorsque l’organe se prononce sur le litige en faveur du bénéficiaire du service, la plateforme en ligne rembourse le bénéficiaire des frais et autres dépenses raisonnables que le bénéficiaire a engagés ou dont il est redevable en lien avec le règlement du litige. Lorsque l’organe se prononce sur le litige en faveur de la plateforme en ligne, le bénéficiaire n’est pas tenu de rembourser les frais ou autres dépenses que la plateforme en ligne a engagés ou dont elle est redevable en lien avec le règlement du litige.

Les frais facturés par l’organe pour le règlement du litige sont raisonnables et ne sont en aucun cas supérieurs aux coûts engendrés.

Les organes certifiés de règlement extrajudiciaire des litiges informent le bénéficiaire des services et la plateforme en ligne concernée des frais, ou des mécanismes employés pour les calculer, avant le début du processus de règlement du litige.

4. Les États membres peuvent établir des organes de règlement extrajudiciaire des litiges aux fins du paragraphe 1 ou apporter un soutien aux activités de certains ou de l’ensemble des organes de règlement extrajudiciaire des litiges qu’ils ont certifiés conformément au paragraphe 2.

Les États membres veillent à ce qu’aucune des activités qu’ils entreprennent au titre du premier alinéa ne nuise à la capacité de leurs coordinateurs pour les services numériques à certifier les organes concernés conformément au paragraphe 2.

5. Les coordinateurs pour les services numériques notifient à la Commission les organes de règlement extrajudiciaire des litiges qu’ils ont certifiés conformément au paragraphe 2, y compris, le cas échéant, les spécifications énoncées au second alinéa dudit paragraphe. La Commission publie et tient à jour une liste de ces organes, comprenant ces spécifications, sur un site web prévu à cet effet.

6. Le présent article est sans préjudice de la directive 2013/11/UE et des procédures et entités de règlement extrajudiciaire des litiges de consommation qu’elle établit.

Le paragraphe 2 sous a) précise que l’organe de règlement doit être indépendant. Toutefois, les États membres peuvent contribuer à leur financement (paragraphe 4).

C’est le bénéficiaire du service qui choisit l’organe auquel il fait appel. Le coût peut varier d’un opérateur à l’autre. La question se pose de l’impartialité (au-delà de l’indépendance) de ces organes.

Une autre question soulevée a été celle de leur compétence territoriale.

Il y a un lien avec la directive 2013/11/UE du Parlement européen et du Conseil du 21 mai 2013 relative au règlement extrajudiciaire des litiges de consommation.

Catégories
DMA

#DMA4 : Articles 4 à 6

Une proposition de règlement sur l’intelligence artificielle a été publiée le 21 avril par la Commission européenne. Il est disponible en anglais mais ne l’est pas encore dans les autres langues de l’Union. Une version fuitée, antérieure à la proposition officielle de la Commission, avait déjà circulé sur le Web.

Le conflit de compétence entre les commissions du Parlement européenne n’est pas encore résolu.

Le groupe des Verts / ALE a mis en ligne une page dédiée au recueil de commentaires sur le DMA (une page similaire existe pour le DSA). Joseph McNamee, ancien directeur exécutif d’EDRI et désormais conseiller politique du groupe Verts/ALE, très impliqué sur le dossier du RGPD, coordonne cette consultation.

Un document contenant la position de la Pologne, de la Suède, de la Slovénie, de la Slovaquie, de Malte, de la Finlande, de la République tchèque, de la Roumanie, du Danemark, de l’Allemagne, de l’Espagne, de la France et de la Croatie au Conseil de l’UE sur le DMA a été mis en ligne par EDRI.

Le Royaume-Uni a commencé à travailler sur son propre projet de régulation des marchés numériques.

Plus d’actualités dans le support de présentation préparé par Clément Perarnaud :

Article 4 : Réexamen du statut des contrôleurs d’accès

1.La Commission peut, sur demande ou de sa propre initiative, revoir, modifier ou abroger à tout moment une décision adoptée au titre de l’article 3 pour l’une des raisons suivantes:
(a)l’un des faits sur lesquels la décision repose subit un changement important;
(b)la décision repose sur des informations incomplètes, inexactes ou dénaturées fournies par les entreprises.

2.La Commission réexamine régulièrement, et au moins tous les deux ans, si les contrôleurs d’accès désignés continuent de satisfaire aux exigences fixées à l’article 3, paragraphe 1, ou si de nouveaux fournisseurs de services de plateforme essentiels satisfont à ces exigences. Ce réexamen régulier permet également de déterminer si la liste des services de plateforme essentiels du contrôleur d’accès concernés doit être adaptée.
Si la Commission constate, sur la base de cet examen conformément au premier alinéa, que les faits sur lesquels repose la désignation des fournisseurs de services de plateforme essentiels comme contrôleurs d’accès ont évolué, elle adopte une décision correspondante.

3.La Commission publie et tient à jour de façon continue la liste des contrôleurs d’accès et la liste des services de plateforme essentiels pour lesquels ils doivent se conformer aux obligations prévues aux articles 5 et 6.

Cet article décrit l’obligation d’un réexamen périodique par la Commission européenne, qui devrait alors vérifier si les contrôleurs d’accès continuent à satisfaire aux exigences, ou si de nouveaux fournisseurs de services y satisfont.

Le BEUC conseille de partager les compétences entre la Commission et les autorités nationales compétentes pour éviter une trop forte concentration des pouvoirs dans les mains de la seule Commission.

Chapitre III : Pratiques des contrôleurs d’accès qui limitent la contestabilité ou sont déloyales

Article 5 : Obligations incombant aux contrôleurs d’accès

Pour chacun de ses services de plateforme essentiels recensés conformément à l’article 3, paragraphe 7, le contrôleur d’accès:    
(a)s’abstient de combiner les données à caractère personnel provenant de ces services de plateforme essentiels avec les données à caractère personnel provenant de tout autre service proposé par le contrôleur d’accès, ou avec les données à caractère personnel provenant de services tiers, et d’inscrire les utilisateurs finaux à d’autres services du contrôleur d’accès dans le but de combiner des données à caractère personnel, à moins que ce choix précis n’ait été laissé à l’utilisateur final et que ce dernier ait donné son consentement au sens du règlement (UE) 2016/679;
(b)permet aux entreprises utilisatrices de proposer les mêmes produits ou services aux utilisateurs finaux par l’intermédiaire de services d’intermédiation en ligne tiers à des prix ou conditions différents de ceux qui sont proposés par les services d’intermédiation en ligne du contrôleur d’accès;
(c)permet aux entreprises utilisatrices de promouvoir leurs offres auprès des utilisateurs finaux acquis grâce au service de plateforme essentiel, et de conclure des contrats avec ces utilisateurs finaux, en utilisant ou non à cette fin les services de plateforme essentiels du contrôleur d’accès, et permet aux utilisateurs finaux, par l’intermédiaire des services de plateforme essentiels du contrôleur d’accès, d’accéder à des contenus, abonnements, fonctionnalités ou autres éléments et de les utiliser en se servant de l’application logicielle de l’entreprise utilisatrice, lorsque ces éléments ont été acquis par les utilisateurs finaux auprès des entreprises utilisatrices concernées sans avoir recours aux services de plateforme essentiels du contrôleur d’accès;
(d)s’abstient d’empêcher ou de restreindre la possibilité pour les entreprises utilisatrices de faire part à toute autorité publique compétente de préoccupations à l’égard de toute pratique des contrôleurs d’accès;
(e)s’abstient d’exiger des entreprises utilisatrices qu’elles utilisent, proposent ou interagissent avec un service d’identification du contrôleur d’accès dans le cadre des services qu’elles proposent en ayant recours aux services de plateforme essentiels de ce contrôleur d’accès;
(f)s’abstient d’exiger des entreprises utilisatrices ou des utilisateurs finaux, qu’ils s’abonnent ou s’enregistrent à tout autre service de plateforme essentiel recensé en vertu de l’article 3 ou atteignant les seuils mentionnés à l’article 3, paragraphe 2, point b), comme condition d’accès, d’inscription ou d’enregistrement à l’un quelconque de ses services de plateforme essentiels recensés en vertu de cette disposition;
(g)communique aux annonceurs et éditeurs à qui il fournit des services de publicité, à leur demande, des informations relatives au prix qu’ils payent, ainsi qu’au montant ou à la rémunération versés à l’éditeur, pour la publication d’une annonce publicitaire donnée et pour chacun des services de publicité concernés fournis par le contrôleur d’accès.

Cet article décrit une obligation pour le contrôleur d’accès de s’abstenir de combiner des DCP des utilisateurs provenant d’autres services d’intermédiation sans son consentement.

Selon l’EDPS:

(23) Le CEPD se félicite de cette disposition, car elle contribue à résoudre les problèmes de concurrence et renforce davantage encore la protection des droits fondamentaux à la vie privée et à la protection des données à caractère personnel en ce qui concerne les contrôleurs d’accès.

(24) Toutefois, dans un souci de clarté, le CEPD rappelle que les plateformes en ligne qui ne sont pas désignées comme des «contrôleurs d’accès» peuvent encore avoir besoin d’obtenir le consentement des personnes concernées avant de combiner des données entre leurs services ou avec des données provenant de services tiers conformément au RGPD et/ou à la directive «vie privée et communications électroniques». L’article 5, point a), ne devrait donc pas être interprété comme suggérant que les plateformes qui ne sont pas désignées comme des contrôleurs d’accès peuvent librement combiner des données à caractère personnel entre services sans le consentement de l’intéressé 26. Le CEPD recommande d’ajouter une précision à cet effet dans un considérant.

https://edps.europa.eu/system/files/2021-04/21-02-10-opinion_on_digital_markets_act_fr.pdf

Le BEUC s’est également exprimé à ce sujet.

Des participant.e.s ont soulevé le fait qu’il demeure difficile aujourd’hui de définir de façon claire et définitive la façon dont la notion de « consentement » de la personne concernée au traitement de ses données à caractère personnel doit se manifester dans les interfaces. Il existe un jeu important par le biais de « dark patterns » dont la légalité fait débat.

Le point d) décrit un droit pour les entreprises utilisatrices de porter plainte.

Des participant.e.s ont évoqué le fait que le point g) est à mettre en relation avec de nombreuses discussions en cours sur la concentration sur le marché de la pub en ligne. Certaines entreprises sont accusées de s’attirer des parts de marché en utilisant leurs navigateurs et systèmes d’exploitations, au motif de l’argument de la vie privée (ex : Google FloC ; impossibilité du cross-app tracking sur iOS).

Article 6 : Obligations susceptibles d’être précisées incombant aux contrôleurs d’accès

1.Pour chacun de ses services de plateforme essentiels recensés conformément à l’article 3, paragraphe 7, le contrôleur d’accès:
(a) s’abstient d’utiliser, en concurrence avec les entreprises utilisatrices de ses services de plateforme essentiels, les données quelles qu’elles soient non accessibles au public qui sont générées par les activités de ces entreprises utilisatrices, y compris par leurs utilisateurs finaux, ou qui sont fournies par ces entreprises utilisatrices ou par leurs utilisateurs finaux;
(b) permet aux utilisateurs finaux de désinstaller toute application logicielle préinstallée dans son service de plateforme essentiel, sans préjudice de la possibilité pour le contrôleur d’accès de restreindre cette désinstallation si elle concerne une application logicielle essentielle au fonctionnement du système d’exploitation ou de l’appareil et qui ne peut techniquement pas être proposée séparément par des tiers;
(c) permet l’installation et l’utilisation effective d’applications logicielles ou de boutiques d’applications logicielles de tiers utilisant, ou interopérant avec, les systèmes d’exploitation du contrôleur d’accès, et permet l’accès à ces applications logicielles ou boutiques d’applications logicielles par des moyens autres que les services de plateforme essentiels du contrôleur d’accès. Rien n’empêche le contrôleur d’accès de prendre des mesures proportionnées dans le but d’éviter que les applications logicielles ou les boutiques d’applications logicielles de tiers ne compromettent l’intégrité du matériel informatique ou du système d’exploitation qu’il fournit;
(d) s’abstient d’accorder, en matière de classement, un traitement plus favorable aux services et produits proposés par le contrôleur d’accès lui-même ou par tout tiers appartenant à la même entreprise, par rapport aux services ou produits similaires d’un tiers, et applique des conditions équitables et non discriminatoires à ce classement;
(e) s’abstient de restreindre techniquement la capacité des utilisateurs finaux de passer et de s’abonner à d’autres applications logicielles et services accessibles par le système d’exploitation du contrôleur d’accès, y compris en ce qui concerne le choix du fournisseur d’accès à l’internet pour les utilisateurs finaux;

(f) permet aux entreprises utilisatrices et aux fournisseurs de services accessoires d’accéder aux mêmes fonctionnalités du système d’exploitation, du matériel informatique ou du logiciel que celles qui sont disponibles ou utilisées dans le cadre de la fourniture de tout service accessoire par le contrôleur d’accès, et d’interopérer avec ces fonctionnalités;

(g) fournit aux annonceurs et aux éditeurs, à leur demande et gratuitement, un accès aux outils de mesure de performance du contrôleur d’accès et aux informations qui leur sont nécessaires pour effectuer leur propre vérification indépendante de l’inventaire publicitaire;

(h) assure la portabilité effective des données générées par l’activité d’une entreprise utilisatrice ou d’un utilisateur final et, en particulier, fournit aux utilisateurs finaux les outils facilitant l’exercice de cette portabilité, conformément au règlement (UE) 2016/679, dont la fourniture d’un accès continu et en temps réel;

(i) procure gratuitement aux entreprises utilisatrices, ou aux tiers autorisés par les entreprises utilisatrices, un accès et une utilisation effectifs, de haute qualité, continus et en temps réel pour les données agrégées ou non agrégées fournies ou générées dans le cadre de l’utilisation des services de plateforme essentiels concernés par ces entreprises utilisatrices et par les utilisateurs finaux qui se servent des produits et services qu’elles fournissent; en ce qui concerne les données à caractère personnel, ne procure l’accès et l’utilisation que lorsqu’ils sont directement liés à l’utilisation faite par l’utilisateur final en lien avec les produits ou services que l’entreprise utilisatrice concernée fournit par l’intermédiaire du service de plateforme essentiel concerné, et lorsque l’utilisateur final opte pour un tel partage de données en manifestant son consentement au sens du règlement (UE) 2016/679;

(j) procure à tout fournisseur tiers de moteurs de recherche en ligne, à sa demande et à des conditions équitables, raisonnables et non discriminatoires, un accès aux données concernant les classements, requêtes, clics et vues en lien avec les recherches gratuites et payantes générées par les utilisateurs finaux sur les moteurs de recherche en ligne du contrôleur d’accès, sous réserve d’anonymisation pour les données de requêtes, de clics et de vues qui constituent des données à caractère personnel;

(k) applique des conditions générales d’accès équitables et non discriminatoires pour les entreprises utilisatrices à sa boutique d’applications logicielles désignée en vertu de l’article 3 du présent règlement.

2. Aux fins du paragraphe 1, point a), les données qui ne sont pas accessibles au public comprennent toutes les données agrégées et non agrégées générées par les entreprises utilisatrices qui peuvent être déduites ou collectées au travers des activités commerciales de ces entreprises ou de leurs clients dans le service de plateforme essentiel du contrôleur d’accès.

Des participant.e.s ont fait remarquer que sous la rédaction actuelle de l’article 6 b), la problématique de la vente liée de logiciels attachés au matériel ne disparaîtra par pour ce qui concerne le système d’exploitation. Ce point ne manquera pas de susciter l’attention de groupes militant contre ce qu’ils désignent par le terme de « racketiciel. » En France, la jurisprudence de la Cour de Cassation sur ce sujet avait été très hésitante au fur et à mesure de ses décisions. La justice italienne vient de condamner Lenovo pour ce type de pratique à 20 000€ en dommages et intérêts.

En 2019, le prix de l’INRIA et de la CNIL pour des recherches sur la vie privée et la protection des données personnelles avait été décerné à un article sur les impacts des applications pré-installées avec Android sur la vie privée des consommateurs.

Le point c) semble ne pas s’étendre au mécanisme UEFI.

Le point h) rappelle l’obligation à la portabilité des données, et étend ce principe aux données relatives à certaines personnes morales : les entreprises utilisatrices. L’EDPS souhaite toutefois préciser cette formulation, et rappelle la distinction entre données non-personnelles relatives à des personnes morales, et données personnelles qui entraînent l’application des dispositions du RGPD sur le droit à la portabilité :

Le CEPD considère toutefois que l’article6, paragraphe1, pointh), devrait être formulé de manière plus précise pour mentionner les personnes qui seraient habilitées à transférer des données à caractère personnel et les données, à caractère personnel ou non, qui feraient l’objet de la portabilité. Le CEPD recommande de préciser que, en ce qui concerne la portabilité des données à destination des utilisateurs finaux, un contrôleur d’accès fournit à l’utilisateur final des outils facilitant la portabilité effective des données à caractère personnel le concernant, y compris les données à caractère personnel générées par son activité en tant qu’utilisateur final de services de plateforme conformément à l’article 20 du règlement 2016/679, y compris par la fourniture d’un accès continu et en temps réel.

https://edps.europa.eu/system/files/2021-04/21-02-10-opinion_on_digital_markets_act_fr.pdf