Guide Data Governance Act (DGA) : comment se mettre en conformité ?

Qu'est-ce que le Data Governance Act ?

Le DGA vise à instaurer la confiance nécessaire au partage des données dans l'Union. Son pari : beaucoup de données ne sont pas partagées faute de cadre de confiance clair. Le DGA crée ce cadre, avec des acteurs neutres et des règles transparentes.

Il ne crée pas de droit d'accès aux données (c'est le rôle du Data Act), mais organise les conditions du partage : comment réutiliser certaines données publiques, comment un intermédiaire neutre peut mettre en relation détenteurs et utilisateurs de données, comment encourager le don de données à des fins d'intérêt général.

C'est un texte structurant pour l'écosystème des données, notamment pour les acteurs qui veulent bâtir des plateformes ou des services de partage de données de confiance.

Les quatre apports du DGA

Le DGA repose sur quatre briques complémentaires. Situer votre projet parmi elles est la première étape.

Qui est concerné ?

Le DGA concerne surtout les acteurs du partage de données, mais aussi les entreprises qui souhaitent réutiliser des données publiques ou participer à des espaces de données.

• Fournisseurs de services d'intermédiation de données : obligations de déclaration et de neutralité.
• Organismes d'altruisme des données reconnus dans l'Union.
• Organismes du secteur public détenant des données réutilisables.
• Entreprises réutilisant des données publiques ou participant à des espaces de données sectoriels.

DGA, Data Act et RGPD

Le DGA s'inscrit dans un ensemble : il ne remplace ni le Data Act, ni le RGPD, mais les complète.

• Data Act : crée des droits d'accès concrets ; le DGA crée la gouvernance et la confiance du partage.
• RGPD : s'applique dès que des données personnelles sont partagées ou réutilisées.
• Neutralité : les intermédiaires de données ne peuvent pas exploiter les données pour leur compte.
• Complémentarité : DGA (cadre) + Data Act (droits) + RGPD (protection) forment la stratégie européenne des données.

Quelles sanctions en cas de non-conformité ?

Les sanctions sont fixées par les États membres et doivent être effectives, proportionnées et dissuasives. Les manquements sur données personnelles relèvent en parallèle du RGPD.

Comment se mettre en conformité : la feuille de route en 6 étapes

Étape 1 — Situer votre projet dans le DGA

Déterminez si vous relevez du DGA et à quel titre : intermédiaire de données, organisme d'altruisme, réutilisateur de données publiques, participant à un espace de données.

Cette qualification détermine l'ensemble de vos obligations.

• Identifiez votre rôle dans le partage de données.
• Repérez la ou les briques du DGA concernées.
• Documentez cette analyse de périmètre.

Étape 2 — Si intermédiaire : se déclarer et garantir la neutralité

Les fournisseurs de services d'intermédiation doivent se déclarer auprès de l'autorité compétente et respecter des obligations strictes de neutralité : ne pas utiliser les données pour d'autres finalités, garantir l'équité et la sécurité.

La neutralité est le cœur du modèle : elle distingue l'intermédiaire de confiance des plateformes qui exploitent les données.

• Déclarez votre service d'intermédiation.
• Garantissez la neutralité et l'équité d'accès.
• N'exploitez pas les données pour votre compte.

Étape 3 — Si altruisme : structurer le partage d'intérêt général

Pour l'altruisme des données, respectez les conditions du statut d'organisme reconnu : transparence, information des personnes, garanties de sécurité et finalités d'intérêt général.

Ce cadre facilite le don de données pour la recherche ou les politiques publiques, en toute confiance.

• Respectez les conditions du statut reconnu.
• Informez clairement les personnes et détenteurs.
• Limitez l'usage aux finalités d'intérêt général.

Étape 4 — Si réutilisation de données publiques

Respectez les conditions de réutilisation des données protégées détenues par le secteur public (confidentialité, propriété intellectuelle, données personnelles) et les modalités techniques imposées.

La réutilisation est encadrée : elle ne doit pas compromettre la protection des données concernées.

• Vérifiez les conditions de réutilisation applicables.
• Respectez confidentialité et propriété intellectuelle.
• Sécurisez les données personnelles réutilisées.

Étape 5 — Articuler avec le RGPD et le Data Act

Dès que des données personnelles sont concernées, appliquez le RGPD (base légale, information, sécurité, droits). Coordonnez aussi votre démarche avec le Data Act si vous exercez des droits d'accès aux données.

Le DGA ne dispense jamais du RGPD : il s'y ajoute.

• Traitez les données personnelles sous l'angle RGPD.
• Reliez vos flux au registre des traitements.
• Coordonnez DGA et Data Act le cas échéant.

Étape 6 — Documenter et sécuriser

Formalisez votre conformité : neutralité, transparence, sécurité, conditions de partage. Tenez la documentation prête pour l'autorité compétente.

La confiance, cœur du DGA, repose sur des garanties documentées et vérifiables.

• Documentez neutralité, transparence et sécurité.
• Tenez la documentation prête pour l'autorité.
• Réévaluez en cas d'évolution de votre activité.

Les erreurs fréquentes à éviter

• Confondre DGA (gouvernance et confiance) et Data Act (droits d'accès concrets).
• Omettre la déclaration obligatoire pour les intermédiaires de données.
• Négliger l'exigence de neutralité, cœur du modèle d'intermédiation.
• Oublier l'articulation avec le RGPD dès que des données personnelles circulent.
• Réutiliser des données publiques sans respecter les conditions de protection applicables.
• Sous-estimer l'importance de la documentation et de la transparence pour instaurer la confiance.