Art. 18 Suivi des demandes de données | Data act regulation | Data act

This article governs how data holders must respond when they receive a data request from a public sector body, the Commission, the European Central Bank, or a Union body under Chapter V of the Act.

It sets out both the obligation to comply and the limited grounds on which a data holder may push back.

It connects directly to Article 17, which defines the formal requirements for making such a request, and to Article 19, which governs how the receiving body must handle the data once obtained.

Together, these articles form the procedural backbone of the public sector data access mechanism.

Important points:

Data holders are required to make the requested data available without undue delay, but may decline or seek modification within five working days for public emergency requests, or 30 working days in other exceptional need cases, on strictly limited grounds.
Where the requested data includes personal data, data holders must anonymise it by default, and only pseudonymise it where full anonymisation would prevent compliance with the request.
Disputes that cannot be resolved through modification of the request must be referred to the competent authority designated under Article 37 of the Member State where the data holder is established.

1. Le détenteur de données qui reçoit une demande de mise à disposition de données au titre du présent chapitre met ces données à la disposition de l'organisme du secteur public demandeur, de la Commission, de la Banque centrale européenne ou d'un organe de l'Union sans retard injustifié, en tenant compte des mesures techniques, organisationnelles et juridiques nécessaires.
1. Sans préjudice des besoins spécifiques concernant la disponibilité des données définis dans le droit de l'Union ou le droit national, un détenteur de données peut rejeter la demande de mise à disposition de données ou demander sa modification dans le cadre du présent chapitre, sans retard injustifié et, en tout état de cause, dans un délai maximal de cinq jours ouvrables suivant la réception d'une demande de données nécessaires pour réagir à une situation d'urgence, sans retard injustifié et, en tout état de cause, dans un délai maximal de trente jours ouvrables suivant la réception d'une telle demande dans les autres cas de besoin exceptionnel, pour l'un quelconque des motifs suivants:
  1. le détenteur de données n'exerce pas de contrôle sur les données demandées;
  2. une demande similaire a été présentée précédemment pour la même finalité par un autre organisme du secteur public ou la Commission, la Banque centrale européenne ou un organe de l'Union, et le détenteur de données ne s'est pas vu notifier l'effacement des données conformément à l'article 19, paragraphe 1, point c);
  3. la demande ne satisfait pas aux conditions énoncées à l'article 17, paragraphes 1 et 2.
1. Si le détenteur de données décide de rejeter la demande ou de demander sa modification conformément au paragraphe 2, point b), il indique l'identité de l'organisme du secteur public ou de la Commission, de la Banque centrale européenne ou de l'organe de l'Union qui a présenté précédemment une demande pour la même finalité.
1. Lorsque les données demandées comprennent des données à caractère personnel, le détenteur de données anonymise correctement les données, à moins que le suivi de la demande de mettre des données à la disposition d'un organisme du secteur public, de la Commission, de la Banque centrale européenne ou d'un organe de l'Union n'exige la divulgation de données à caractère personnel. En pareils cas, le détenteur de données pseudonymise les données.
1. Lorsque l'organisme du secteur public, la Commission, la Banque centrale européenne ou l'organe de l'Union souhaite contester le refus d'un détenteur de données de fournir les données demandées, ou lorsque le détenteur de données souhaite contester la demande et que la question ne peut pas être résolue par une modification appropriée de la demande, la question est portée devant l'autorité compétente désignée en vertu de l'article 37 de l'État membre dans lequel le détenteur de données est établi.