Data access for vetted researchers

Les fournisseurs de données et les chercheurs souhaitant participer au processus d’accès aux données devraient, à cette fin, créer un compte sur le portail pour l’accès aux données en vertu du DSA. Afin de faire en sorte que les coordinateurs pour les services numériques puissent accéder aux informations soumises par l’intermédiaire du portail pour l’accès aux données en vertu du DSA sans avoir à créer un compte distinct sur le portail, ce dernier devrait être interopérable avec le système de partage d’informations AGORA établi par le règlement d’exécution (UE) 2024/607 de la Commission(²).

Afin que le processus d’accès aux données soit transparent pour toutes les parties concernées et qu’il soit possible de contrôler l’efficacité et l’efficience du processus d’accès aux données ainsi que le respect de l’article 40, paragraphe 4, du règlement (UE) 2022/2065 et du présent règlement, le portail pour l’accès aux données en vertu du DSA devrait générer des notifications automatiques relatives aux différentes étapes et mises à jour du processus.

Pour fournir aux chercheurs des informations cohérentes sur le processus d’accès aux données, les coordinateurs pour les services numériques devraient veiller à ce que des informations concernant le processus d’accès aux données, y compris des liens vers le portail pour l’accès aux données en vertu du DSA, soient disponibles et facilement accessibles sur leurs interfaces en ligne. Afin de ne pas occasionner de charge administrative inutile et en vue d’accroître l’efficacité et de faciliter la communication entre toutes les parties intervenant dans le processus d’accès aux données, les coordinateurs pour les services numériques sont encouragés à faciliter la gestion des informations relatives au processus d’accès aux données, y compris d’un point de vue linguistique.

Pour permettre aux chercheurs de déterminer les données pertinentes aux fins énoncées à l’article 40, paragraphe 4, du règlement (UE) 2022/2065, les fournisseurs de données devraient mettre à disposition des catalogues de données DSA relatifs à leurs services. Ces catalogues, qui devraient être faciles à trouver et accessibles sur les interfaces en ligne des fournisseurs de données, devraient décrire les actifs de données disponibles, leur structure de données et leurs métadonnées, pouvant faire l’objet d’une demande d’accès en vertu de l’article 40, paragraphe 4, du règlement (UE) 2022/2065. Lorsqu’ils mettent à disposition les catalogues de données DSA, les fournisseurs de données devraient tenir compte des risques pour la confidentialité, la sécurité des données ou la protection des données à caractère personnel pouvant découler de la publication de ces informations.

Afin de contribuer à l’élaboration de projets de recherche pertinents aux fins énoncées à l’article 40, paragraphe 4, du règlement (UE) 2022/2065, les catalogues de données DSA devraient contenir en particulier les données relatives aux risques systémiques dans l’Union que les fournisseurs de données ont recensés dans les évaluations annuelles des risques qu’ils réalisent conformément à l’article 34 dudit règlement, ainsi que les données relatives à toute mesure d’atténuation des risques visée à l’article 35 du règlement. Pour que les catalogues de données DSA restent toujours pertinents et actuels, il convient de les mettre à jour régulièrement en tenant dûment compte des risques systémiques nouvellement recensés et de l’évolution des risques systémiques. Par exemple, les catalogues devraient tenir compte des risques émergents recensés à la suite d’une évaluation ad hoc des risques réalisée conformément à l’article 34 du règlement (UE) 2022/2065 ou à la suite d’un rapport d’audit établi conformément à l’article 37 dudit règlement. Afin de réduire au minimum la charge procédurale pesant sur les fournisseurs de données, ces catalogues peuvent, le cas échéant, s’appuyer sur les ressources existantes en matière de documentation des données utilisées à d’autres fins et pour d’autres publics, tels que la publicité, la création de contenu ou le développement d’applications par des tiers. Les catalogues de données DSA ne devraient pas être soumis à une obligation d’exhaustivité et ne devraient donc ni être contraignants pour les chercheurs demandeurs, ni limiter ces derniers dans leurs demandes d’accès aux données.

Pour permettre au coordinateur pour les services numériques de l’État membre d’établissement de déterminer plus facilement les modalités d’accès et pour alléger l’ensemble du processus d’accès aux données pour tous les acteurs concernés, les fournisseurs de données devraient publier les modalités d’accès proposées pour les données décrites dans les catalogues de données DSA. Les modalités d’accès proposées devraient être proportionnées au caractère sensible des données et inclure des informations sur les éventuelles conditions techniques, organisationnelles et juridiques que les fournisseurs de données jugent appropriées pour permettre la fourniture des données. Les modalités d’accès proposées par les fournisseurs de données ne devraient pas être contraignantes pour les coordinateurs pour les services numériques de l’État membre d’établissement, qui devraient rester compétents pour déterminer les modalités d’accès appropriées.

Afin de garantir l’égalité de traitement des demandes d’accès aux données, indépendamment du coordinateur pour les services numériques auquel la demande d’accès aux données est soumise ou dont émane la demande motivée, il convient de préciser le délai de formulation des demandes motivées pour assurer la cohérence entre tous les coordinateurs pour les services numériques. Si la formulation de la demande motivée nécessite un délai supplémentaire, le coordinateur pour les services numériques de l’État membre d’établissement doit en informer le chercheur principal, en indiquant les raisons du retard. Au nombre de ces raisons peut figurer la nécessité, pour le coordinateur pour les services numériques de l’État membre de l’organisme de recherche ou d’établissement, de procéder à des vérifications supplémentaires, par exemple lorsque les demandes d’accès aux données impliquent des transferts internationaux de données, ou lorsque le coordinateur pour les services numériques de l’État membre d’établissement a identifié des risques potentiels pour la sécurité de l’Union si les données devaient être partagées. En vue d’harmoniser également les étapes du processus d’accès aux données précédant la formulation des demandes motivées, notamment l’évaluation des demandes d’accès aux données et l’octroi du statut de chercheur agréé, les coordinateurs pour les services numériques sont encouragés à mettre au point une méthode de travail cohérente et coordonnée, y compris des critères opérationnels communs, dans le cadre du comité européen des services numériques.

Afin de rationaliser les procédures de formulation des demandes motivées, tous les coordinateurs pour les services numériques de l’État membre d’établissement devraient être tenus de vérifier que certains éléments communs du processus d’accès aux données ont été dûment pris en compte dans les demandes d’accès aux données. À cette fin, les coordinateurs devraient vérifier que tous les chercheurs demandeurs qui sont mentionnés dans la demande d’accès aux données ont donné la preuve de leur affiliation à un organisme de recherche, par exemple en fournissant des justificatifs de contrats de travail ou de toute autre forme de lien juridique avec l’organisme de recherche. Les coordinateurs pour les services numériques de l’État membre d’établissement devraient également vérifier que les chercheurs demandeurs ont démontré leur indépendance à l’égard d’intérêts commerciaux, par exemple en fournissant une déclaration à cet effet.

Les coordinateurs devraient vérifier que le financement du projet de recherche pour lequel les données sont demandées est divulgué dans la demande d’accès aux données. Les chercheurs demandeurs devraient donner, dans les informations qu’ils fournissent, des précisions sur les contributions, telles que l’entité qui finance, le montant, la nature et la durée de la contribution, et notamment indiquer si le financement a déjà été octroyé ou si une demande de financement est toujours en cours d’évaluation, ainsi que, le cas échéant, les références pertinentes aux projets financés par l’Union. La demande d’accès aux données devrait également inclure les résultats des évaluations réalisées par l’entité ou les entités fournissant le financement, lorsqu’ils sont disponibles.

Le coordinateur pour les services numériques de l’État membre d’établissement devrait vérifier que la demande d’accès aux données décrit la manière dont les données et le format des données sont sélectionnés, compte tenu des exigences de nécessité et de proportionnalité liées à la finalité de la recherche envisagée. Lorsque les données demandées sont également disponibles par l’intermédiaire d’autres sources, le coordinateur pour les services numériques de l’État membre d’établissement devrait évaluer, compte tenu des informations figurant dans la demande d’accès aux données, s’il est justifié d’introduire une demande d’accès pour ces données. Une telle demande pourrait, par exemple, être justifiée par la mauvaise qualité ou le manque de fiabilité attestés de ces données lorsqu’elles proviennent d’autres sources, ou par l’inadéquation du format dans lequel ces données peuvent être obtenues auprès d’autres sources pour les besoins du projet de recherche, caractéristiques qui entraveraient la réalisation dudit projet. Le type de données qui peuvent être demandées pour étudier les risques systémiques ou l’atténuation de ces derniers dans l’Union pourrait évoluer à l’avenir. Actuellement, on peut citer comme exemples de ces données les données relatives aux utilisateurs des services, telles que les informations sur les profils, les réseaux relationnels, l’exposition au contenu au niveau individuel et les historiques d’interaction; les données d’interaction telles que les commentaires ou autres types d’interaction; les données relatives aux recommandations de contenu, y compris les données utilisées pour personnaliser les recommandations; les données relatives au ciblage des publicités et au profilage, y compris les données relatives au coût par clic et d’autres mesures des prix publicitaires; les données relatives aux essais de nouvelles fonctionnalités avant leur déploiement, y compris les résultats de tests A/B; les données relatives à la modération et à la gouvernance des contenus, telles que les données sur les systèmes et processus algorithmiques ou d’autres systèmes et processus de modération des contenus, y compris les journaux des modifications, les archives ou les répertoires regroupant les contenus modérés, y compris les comptes, ainsi que les données relatives aux prix, aux quantités et aux caractéristiques des biens ou services fournis ou faisant l’objet d’une intermédiation par le fournisseur de données.

Le coordinateur pour les services numériques de l’État membre d’établissement devrait vérifier si la demande d’accès aux données fournit suffisamment d’informations prouvant que le chercheur est en mesure de satisfaire aux exigences spécifiques de confidentialité, de sécurité et de protection des données à caractère personnel en ce qui concerne les données demandées, recense les risques éventuels découlant de l’accès à ces données et de leur traitement aux fins de la recherche, et documente toute modalité d’accès proposée, y compris les conditions juridiques, organisationnelles et techniques qui seront mises en place pour réduire au minimum les risques recensés, par exemple au moyen d’une lettre d’engagement dans laquelle l’organisme de recherche confirme avoir accès à des moyens pouvant constituer des garanties pertinentes, ou d’autres documents justificatifs.

Lorsque des données à caractère personnel sont demandées, le coordinateur pour les services numériques de l’État membre d’établissement devrait vérifier que la demande d’accès aux données comprend des informations relatives à la base juridique du traitement des données à caractère personnel, y compris des catégories particulières de données à caractère personnel, si nécessaire, et si cette base juridique est conforme à l’article 6, paragraphe 1, point e) ou f), et, le cas échéant, à l’article 9, paragraphe 2, point g) ou j), du règlement (UE) 2016/679 du Parlement européen et du Conseil(³). En outre, le coordinateur pour les services numériques de l’État membre d’établissement devrait vérifier que la demande d’accès aux données contient suffisamment d’éléments indiquant que les chercheurs ont évalué les risques pour la protection des données à caractère personnel. Cela pourrait, par exemple, être démontré par une analyse d’impact relative à la protection des données au sens de l’article 35 dudit règlement. Afin de garantir l’accès aux données à caractère personnel conformément au règlement (UE) 2016/679, les coordinateurs pour les services numériques devraient être autorisés à consulter les autorités de contrôle concernées établies en vertu de l’article 51 dudit règlement, qui restent compétentes pour évaluer le respect du règlement (UE) 2016/679.

Pour faciliter la formulation de la demande motivée et préserver l’intégrité des informations figurant dans la demande d’accès aux données, le coordinateur pour les services numériques de l’État membre d’établissement devrait vérifier si la demande d’accès aux données comprend un résumé. Ce résumé devrait contenir un aperçu des informations qui feront partie de la demande motivée, publiées sur le portail pour l’accès aux données en vertu du DSA, dans les cas où l’évaluation de la demande d’accès aux données conduit à la formulation d’une demande motivée.

Afin de garantir que les modalités d’accès fixées par le coordinateur pour les services numériques de l’État membre d’établissement sont appropriées eu égard au caractère sensible des données spécifiques faisant l’objet d’une demande d’accès aux données, le coordinateur pour les services numériques de l’État membre d’établissement devrait procéder à une évaluation au cas par cas, sur la base des informations fournies dans la demande d’accès aux données. Les modalités d’accès établies dans la demande motivée devraient être appropriées pour satisfaire aux exigences en matière de sécurité et de confidentialité des données et de protection des données à caractère personnel et, dans le même temps, permettre la réalisation des objectifs de recherche du projet. L’accès aux données peut, par exemple, se faire par la transmission de données aux chercheurs agréés au moyen d’une interface appropriée et d’un stockage de données approprié; par la transmission des données vers un environnement de traitement sécurisé géré par le fournisseur de données ou par un prestataire tiers, auquel des chercheurs agréés ont accès, et où le stockage sera assuré, mais sans qu’aucune transmission de données aux chercheurs agréés n’ait lieu, ou par d’autres modalités d’accès que le fournisseur de données mettra en place ou dont il facilitera l’établissement. Lorsque le coordinateur pour les services numériques de l’État membre d’établissement précise les modalités d’accès, il convient également qu’il énumère toutes les conditions juridiques, techniques ou organisationnelles auxquelles l’accès doit être soumis. Si la fourniture de l’accès implique un transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales au sens du chapitre V du règlement (UE) 2016/679, les modalités d’accès devraient également inclure des informations concernant la nécessité de mettre en place un mécanisme de transfert approprié, afin de veiller à ce que le fournisseur de données prenne les mesures nécessaires pour se conformer audit règlement.

En vue de garantir que les modalités d’accès aux données sont appropriées pour tenir compte d’aspects particulièrement sensibles en matière de protection, de sécurité ou de confidentialité des données, le coordinateur pour les services numériques de l’État membre d’établissement devrait pouvoir exiger, sur la base des informations reçues dans la demande d’accès aux données, que l’accès aux données soit fourni par l’intermédiaire d’environnements de traitement sécurisés. Dans de tels cas, le coordinateur pour les services numériques de l’État membre d’établissement devrait veiller à ce que l’environnement choisi fonctionne conformément à la technologie la plus appropriée et permette aux chercheurs agréés d’atteindre leurs objectifs de recherche.

Afin d’assurer la cohérence des informations transmises aux fournisseurs de données par les coordinateurs pour les services numériques de l’État membre d’établissement, il est nécessaire de préciser le contenu des demandes motivées.

Pour préserver les intérêts des fournisseurs de données, réduire la fréquence des demandes de modification sur la durée et faciliter la formulation des demandes d’accès aux données pertinentes par les chercheurs, le coordinateur pour les services numériques de l’État membre d’établissement qui a émis les demandes motivées devrait publier sur le portail pour l’accès aux données en vertu du DSA un aperçu de chaque demande motivée, y compris toute modification et mise à jour de celle-ci.

Afin de garantir que le coordinateur pour les services numériques de l’État membre d’établissement dispose des informations pertinentes pour évaluer une demande de modification et de faciliter une approche uniforme de l’évaluation des demandes de modification, le fournisseur de données devrait être tenu de préciser les motifs de cette demande, conformément à l’article 40, paragraphe 5, du règlement (UE) 2022/2065. Plus précisément, lorsque le coordinateur pour les services numériques de l’État membre d’établissement évalue une demande de modification justifiée par le fait que le fournisseur de données n’a pas accès aux données, il devrait être en mesure d’examiner si cette allégation est dûment étayée, par exemple par l’inexistence des données demandées, ou par des restrictions techniques telles que le chiffrement, et il devrait disposer des informations nécessaires pour examiner si l’absence d’accès est permanente ou temporaire. Il devrait être clair, à cet égard, que les considérations commerciales ne devraient pas être considérées comme un motif de refus automatique de l’accès aux données demandées, mais plutôt comme un motif de modification du moyen de fournir l’accès aux données, ce qui peut conduire à imposer des exigences supplémentaires en matière de sécurité et de confidentialité des données.

Lorsqu’une demande de modification a été présentée, les fournisseurs de données devraient, pour favoriser un règlement efficace des litiges et encourager la recherche d’une solution mutuellement acceptable, pouvoir demander aux coordinateurs pour les services numériques des États membres d’établissement de participer à la médiation. Cette participation devrait être volontaire tout au long du processus de médiation et ne devrait pas aboutir à un résultat contraignant pour le coordinateur pour les services numériques de l’État membre d’établissement, qui reste compétent pour statuer sur les demandes de modification. Toutes les parties participant au processus de médiation devraient s’engager de bonne foi et s’efforcer de parvenir à un accord équitable et mutuellement acceptable.

Afin d’éviter que la médiation ne prolonge indéfiniment le processus d’accès aux données, la transmission de la demande écrite de médiation, la sélection du médiateur et le processus de médiation proprement dit devraient respecter des calendriers précis. Les coordinateurs pour les services numériques de l’État membre d’établissement devraient fixer un délai pour le processus de médiation en ce qui concerne une demande motivée donnée et le médiateur devrait être habilité à mettre un terme au processus de médiation dans des circonstances particulières.

Afin de maintenir la confiance mutuelle entre les parties participant à la médiation, le coordinateur pour les services numériques de l’État membre d’établissement devrait veiller à ce que le médiateur proposé satisfasse aux exigences d’impartialité et d’indépendance et possède une expertise pertinente de l’objet de la médiation.

Pour faciliter la prise de décision éclairée et efficace en ce qui concerne le processus d’accès aux données, les coordinateurs pour les services numériques devraient avoir la possibilité de demander des avis d’experts sur des éléments spécifiques du processus d’accès aux données, tels que la détermination des modalités d’accès, y compris les interfaces appropriées, la formulation de la demande motivée et toute demande de modification présentée par le fournisseur de données. Les experts consultés devraient posséder une expertise avérée dans le domaine sur lequel leur avis est demandé et être indépendants. En particulier, ils ne devraient pas avoir de conflit d’intérêts découlant, par exemple, d’un quelconque lien avec les chercheurs demandeurs ou avec le fournisseur de données.

Afin d’accroître la transparence et de permettre aux coordinateurs pour les services numériques de s’appuyer sur l’expertise qu’ils ont acquise au fil du temps, il convient d’enregistrer dans AGORA chaque demande de consultation d’experts et le suivi généré par celle-ci.

Pour faciliter le contrôle effectif du respect des conditions énoncées dans la demande motivée, il convient que le fournisseur de données informe le coordinateur pour les services numériques de l’État membre d’établissement, dans un délai de trois jours ouvrables à compter de la date à laquelle l’accès est accordé aux chercheurs agréés et à compter de la date de la fin de l’accès.

Afin de permettre aux chercheurs agréés d’utiliser les données demandées à des fins de recherche et de fournir des informations contextuelles pertinentes, les fournisseurs de données devraient communiquer aux chercheurs agréés les métadonnées et la documentation pertinentes décrivant les données mises à disposition, telles que les livres de codes, les journaux des modifications et la documentation sur l’architecture.

Pour faciliter la réalisation de recherches utiles par les chercheurs agréés, notamment en leur permettant de combiner les données demandées avec les données disponibles par l’intermédiaire d’autres sources, les fournisseurs de données ne devraient imposer aucune restriction aux outils analytiques utilisés par les chercheurs agréés, y compris les bibliothèques logicielles pertinentes, ni formuler des exigences en matière d’archivage, de stockage, de mise à jour et de suppression, à moins qu’elles ne soient explicitement mentionnées dans les modalités d’accès définies dans la demande motivée.

Lorsque les données fournies aux chercheurs agréés comprennent des données à caractère personnel au sens de l’article 4 du règlement (UE) 2016/679, le fournisseur de données devrait respecter les règles énoncées dans ledit règlement. En particulier, l’article 40, paragraphe 4, du règlement (UE) 2022/2065 crée une obligation légale au sens de l’article 6, paragraphe 1, point c), du règlement (UE) 2016/679 pour tout traitement de données à caractère personnel nécessaire pour que le fournisseur de données donne accès aux données spécifiées dans la demande motivée. Lorsque des catégories particulières de données à caractère personnel au sens de l’article 9 du règlement (UE) 2016/679 doivent être traitées, le présent règlement satisfait à l’exigence énoncée à l’article 9, paragraphe 2, point g), du règlement (UE) 2016/679.

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil(⁴) et a rendu un avis le 4 décembre 2024.

Après consultation du comité européen des services numériques conformément à l’article 40, paragraphe 13, du règlement (UE) 2022/2065 et après son approbation,