Art. 6 Obligations des tiers recevant des données à la demande de l'utilisateur | Data act regulation | Data act

This article governs how third parties must behave once they have received data shared under Article 5.

It is the companion piece to Article 5, which sets out the conditions under which data holders must share data with third parties at a user's request.

Article 6 then places a series of strict obligations and prohibitions on those third parties to ensure the data is not misused.

The core principle is that data received must only be used for the purposes agreed with the user, and the article then builds out an extensive list of things the third party is expressly forbidden from doing with that data.

Important points:

Third parties must only process received data for the purposes agreed with the user, and must erase it when it is no longer needed for that purpose.
Third parties are prohibited from using the data to develop a competing connected product, passing data to gatekeepers designated under the Digital Markets Act, profiling users beyond what is necessary to provide the requested service, or undermining trade secret confidentiality measures.
Third parties must not prevent a user who is a consumer from making the received data available to other parties, including through contractual means.

1. Un tiers traite les données mises à sa disposition en application de l'article 5 uniquement aux fins et dans les conditions convenues avec l'utilisateur et sous réserve du droit de l'Union et du droit national en matière de protection des données à caractère personnel, y compris les droits de la personne concernée dans la mesure où les données à caractère personnel sont concernées. Le tiers efface les données lorsqu'elles ne sont plus nécessaires à la finalité convenue, sauf accord contraire avec l'utilisateur en ce qui concerne les données à caractère non personnel.
1. Le tiers ne peut pas:
  1. rendre l'exercice des choix ou des droits de l'utilisateur, au titre de l'article 5 et du présent article, indûment difficile, y compris en proposant des choix à l'utilisateur d'une manière qui n'est pas neutre, ou en contraignant, en trompant ou en manipulant l'utilisateur, ou en réduisant ou en compromettant l'autonomie, la prise de décision ou les choix de l'utilisateur, y compris au moyen d'une interface numérique utilisateur ou d'une partie de celle-ci;
  2. nonobstant l'article 22, paragraphe 2, points a) et c), du règlement (UE) 2016/679, utiliser les données qu'il reçoit à des fins de profilage, à moins que cela ne soit nécessaire pour fournir le service demandé par l'utilisateur;
  3. mettre les données qu'il reçoit à la disposition d'un autre tiers, à moins que les données ne soient mises à disposition sur le fondement d'un contrat avec l'utilisateur, et à condition que l'autre tiers prenne toutes les mesures nécessaires convenues entre le détenteur de données et le tiers pour préserver la confidentialité des secrets d'affaires;
  4. mettre les données qu'il reçoit à la disposition d'une entreprise désignée comme contrôleur d'accès, conformément à l'article 3 du règlement (UE) 2022/1925;
  5. utiliser les données qu'il reçoit pour développer un produit concurrençant le produit connecté dont proviennent les données auxquelles il a accès ou de partager les données avec un autre tiers à cette fin; les tiers n'utilisent pas non plus de données à caractère non personnel relatives au produit ou relatives au service connexe mises à leur disposition pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production du détenteur de données ou sur l'utilisation que ce dernier en fait;
  6. utiliser les données qu'il reçoit d'une manière qui nuit à la sécurité du produit connecté ou du service connexe;
  7. méconnaître les mesures spécifiques convenues avec le détenteur de données ou le détenteur de secrets d'affaires conformément à l'article 5, paragraphe 9, et compromettre la confidentialité des secrets d'affaires;
  8. empêcher l'utilisateur qui est un consommateur, y compris sur le fondement 'd'un contrat, de mettre à la disposition d'autres parties les données qu'il reçoit.