Depuis le 24 septembre 2023, un règlement européen que personne ne cite dans les médias grands publics est entré en pleine application : le Data Governance Act (DGA), ou règlement sur la gouvernance des données. Il ne remplace pas le RGPD. Il le prolonge, en posant une question que le RGPD n'avait pas tranchée : à qui appartient la valeur des données, et qui peut les faire circuler ?
La réponse n'est pas simple. Et elle vous concerne directement.
Ce que le DGA change en pratique
Le RGPD encadre la collecte et le traitement de vos données. Il dit ce que les entreprises ont le droit de faire avec elles. Le DGA va plus loin : il organise leur réutilisation à grande échelle, notamment par des acteurs publics et des chercheurs.
Concrètement, le DGA crée trois nouvelles catégories :
1. La réutilisation des données des organismes publics. Les administrations accumulent d'énormes volumes de données potentiellement utiles pour la recherche ou l'intérêt général - données de santé anonymisées, données de mobilité, statistiques économiques. Jusqu'ici, les conditions de réutilisation étaient floues et souvent bloquées. Le DGA impose un cadre : les organismes publics peuvent mettre ces données à disposition, mais avec des garde-fous stricts, notamment pour les données personnelles sensibles (santé, judiciaire). Ils ne peuvent pas les céder exclusivement à des entreprises privées, ni facturer au-delà du coût marginal de mise à disposition.
2. Les services d'intermédiation de données. C'est la nouveauté la plus structurante. Le DGA crée une nouvelle catégorie juridique : les intermédiaires de confiance, certifiés et enregistrés auprès des autorités compétentes. En France, deux autorités distinctes supervisent deux catégories distinctes : la DINUM est l'autorité compétente pour l'enregistrement des services d'intermédiation de données (rôle précisé par la loi SREN de mai 2024), tandis que la CNIL tient le registre des organisations d'altruisme des données. Ce n'est pas un registre commun, et les obligations diffèrent selon la catégorie. Ces intermédiaires agissent comme tiers neutres entre vous (qui détenez des données) et des entreprises ou chercheurs qui voudraient les utiliser. Ils ne peuvent pas vendre vos données pour leur propre compte. Leur modèle repose sur la facilitation, pas l'exploitation.
3. L'altruisme des données. Vous pouvez désormais choisir de partager volontairement vos données personnelles pour des causes d'intérêt général reconnues - recherche médicale, changement climatique, services publics. Des organisations enregistrées comme "organisations d'altruisme des données" peuvent collecter ces consentements dans un cadre transparent et auditable. Ce n'est pas une obligation : c'est un nouveau droit à l'action positive.
Pourquoi c'est une rupture avec le modèle actuel
Le modèle dominant depuis quinze ans est simple : vous produisez des données, des plateformes les captent, les croisent et les monétisent à votre insu. Le RGPD a posé des limites théoriques à cela. Le DGA essaie de construire une alternative.
L'idée est de permettre une circulation des données qui n'est pas pilotée par la captation unilatérale des GAFAM, mais par des intermédiaires certifiés dont le rôle est défini par la loi et dont les activités sont contrôlées. C'est un pari, pas une certitude - mais c'est explicitement pensé comme une réponse à la concentration des données dans quelques silos privés.
La Commission européenne y voit la brique de base des espaces européens des données : des environnements sectoriels (santé, mobilité, agriculture, finance) où les données circulent selon des règles communes, sans passer par les infrastructures de Meta ou Google.
Ce que vous pouvez faire aujourd'hui
Pour l'instant, l'impact direct sur votre quotidien est limité. Le registre des intermédiaires certifiés en France est encore peu peuplé. L'altruisme des données n'a pas encore engendré de plateforme grand public notable.
Mais deux choses changent dès maintenant :
Vous avez un droit de regard renforcé sur les données publiques qui vous concernent. Si une administration détient des données sensibles vous concernant et souhaite les mettre à disposition pour une réutilisation - même anonymisée - le DGA exige qu'elle mette en place des environnements techniques sécurisés (accès distant dans des "salles des données" virtuelles) et qu'elle démontre que la vie privée des personnes concernées est préservée. La CNIL joue un rôle central dans ces contrôles en France.
Si vous utilisez des services de partage de données, il est possible de consulter le registre DINUM pour vérifier si un service est bien enregistré comme intermédiaire DGA. Un acteur non enregistré qui se présente comme "courtier de confiance" ou "intermédiaire neutre" n'a aucune obligation légale dans ce sens - il peut très bien revendre vos données comme n'importe quelle plateforme classique. Le registre est public ; en l'absence d'une entrée, l'affirmation d'"intermédiation de confiance" n'a aucune base réglementaire.
Les limites que personne ne mentionne
Le DGA ne s'applique pas aux données détenues par des entreprises privées. Si votre opérateur téléphonique ou votre mutuelle accumule des données sur vous, le règlement ne les oblige pas à les rendre accessibles. Ce périmètre public/privé est une limite structurelle importante.
Par ailleurs, l'altruisme des données repose sur votre consentement explicite. Or on sait depuis des années que la plupart des mécanismes de consentement en ligne sont conçus pour orienter vers "oui" plutôt que vers un choix libre. Il faudra voir comment les organisations d'altruisme des données conçoivent leurs interfaces - la réglementation impose la transparence, pas la neutralité de l'UX.
Enfin, le DGA ne résout pas le problème de la dominance des grandes plateformes sur les données comportementales. Pour ça, le DSA (Digital Services Act) et le DMA (Digital Markets Act) sont les textes pertinents. Le DGA s'attaque à un problème adjacent : la circulation des données de valeur entre acteurs de bonne foi.
Les textes officiels : Règlement (UE) 2022/868 (Journal officiel de l'UE) et la page de référence de la Commission européenne sur les espaces de données. Si vous avez des questions sur vos droits face à une réutilisation de données publiques vous concernant, le service de plainte de la CNIL reste le point d'entrée selon l'organisme concerné. Pour identifier les acteurs qui collectent des données vous concernant avant toute démarche, le moteur de recherche fairmi.fr peut aider à qualifier le responsable de traitement.