DOCUMENT DE TRAVAIL DES SERVICES DE LA COMMISSION RÉSUMÉ DE L'ANALYSE D'IMPACT accompagnant le document: PROPOSITION DE RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL concernant un cadre applicable à la libre circulation des données à caractère non personnel dans l’Union européenne

Résumé de l’analyse d’impact

Analyse d'impact relative à la proposition législative établissant un cadre pour la libre circulation des données dans l'UE

A. Nécessité d’une action

Pourquoi? Quel est le problème abordé?

Dans l'Union européenne, la possibilité de créer une économie fondée sur les données et de tirer profit des nouvelles technologies d'exploitation des données est entravée par une série d'obstacles à la mobilité des données, qui ont des répercussions sur les entreprises et leurs activités dans le marché unique. Aussi, les obstacles à la mobilité des données dans le marché unique européen ont été désignés comme le problème majeur. Les facteurs sous-jacents à ce problème sont les restrictions législatives et administratives en matière de localisation, la tendance à localiser les données sous l'effet de l'insécurité juridique et d'un manque de confiance dans le marché, ainsi que les pratiques dites d’«enfermement propriétaire», qui freinent la mobilité des données entre les prestataires de services de stockage et/ou de traitement des données et les systèmes informatiques.

Quel objectif cette initiative devrait-elle atteindre?

L'initiative a pour objectif de réaliser un marché plus compétitif et plus intégré à l’échelle de l’UE pour les services et les activités de stockage et/ou de traitement des données. Il s'agit plus particulièrement de réduire le nombre et la portée des restrictions en matière de localisation des données, de renforcer la sécurité juridique, de favoriser l'accessibilité transfrontière des données à des fins de contrôle réglementaire, d'améliorer les conditions dans lesquelles les utilisateurs peuvent changer de prestataire de services de stockage et/ou de traitement de données ou transférer leurs données pour les rapatrier vers leurs propres systèmes informatiques, ainsi que d'accroître la confiance dans le stockage et/ou le traitement de données transfrontières et la sécurité de ces opérations.

Quelle est la valeur ajoutée d’une action à l’échelle de l’Union?

La création d'une économie européenne compétitive fondée sur les données permettra de bénéficier d'économies d'échelle et d'assurer le stockage et le traitement des données sur une base transfrontière dans l’UE. Une action au niveau des États membres ne permettrait pas d’assurer la sécurité juridique nécessaire à l’exercice de ces activités dans l’ensemble de l'UE ou de rétablir la confiance nécessaire pour la bonne santé du secteur du stockage et/ou du traitement des données. L'intervention de l'UE contribuerait également à garantir un stockage sécurisé des données pour l'ensemble de l'UE.

B. Solutions

Quelles sont les options législatives et non législatives qui ont été envisagées? Y a-t-il une option privilégiée? Pourquoi?

Option 0 – Scénario de base. Cette option n’impliquerait pas de modification de la politique de l'UE.

Option 1 – Initiatives non législatives. Cette option consisterait à établir des lignes directrices pour améliorer le contrôle de l'application des instruments existants de l'UE à l'égard des restrictions injustifiées imposées par les États membres en matière de localisation des données. La disponibilité des données à des fins de contrôle réglementaire devrait être facilitée en conformité avec les règles existantes des États membres. Des lignes directrices au niveau de l'UE sur les meilleures pratiques devraient faciliter le changement de prestataire de services d’informatique en nuage ainsi que le portage des données vers un autre prestataire de services ou leur rapatriement vers les propres systèmes informatiques de l'utilisateur.

Option 2 – Cadre de coopération et initiative législative reposant sur des principes. Cette option consacrerait le principe de libre circulation des données dans l'UE en interdisant les mesures injustifiées en matière de localisation des données, hormis pour des raisons touchant à la sécurité nationale, et en exigeant la notification de toute mesure nouvelle en matière de localisation des données. Les entreprises qui stockent et/ou traitent leurs données dans un autre État membre seraient tenues de les communiquer à une autorité réglementaire si la demande leur en est faite en application de la loi. Des conditions favorables devraient être créées pour le changement de prestataire de services d'informatique en nuage et le portage des données en vue de leur communication à un nouveau prestataire ou de leur rapatriement sur les propres systèmes informatiques des utilisateurs, et des dispositions spécifiques devraient favoriser l'établissement de normes communes et/ou de dispositifs de certification fiables pour assurer la sécurité du stockage et/ou du traitement des données. Des points de contact uniques désignés par les États membres et un groupe paneuropéen réunissant ces points de contact devraient assurer les échanges et la coopération nécessaires pour la mise au point d'approches communes et de meilleures pratiques ainsi que la mise en œuvre effective des principes instaurés.

Variante A - Sous-option 2a. En lieu et place d’une législation et d'une régulation conjointe du portage des données, cette sous-option prévoirait une approche auto-régulatrice pour améliorer les conditions de portage des données lors du changement de prestataire ou du rapatriement des données vers les propres systèmes informatiques des utilisateurs, y compris les processus, calendriers et tarifs éventuellement applicables. Quant à la sécurité du stockage et du traitement des données, cette sous-option officialiserait le fait que les exigences de sécurité déjà applicables continuent de s'appliquer aux utilisateurs professionnels lorsqu’ils stockent ou traitent leurs données dans d'autres États membres de l'UE, même si ces opérations font l'objet d'une externalisation, par exemple, auprès d'un prestataire de services d'informatique en nuage.

Option 3 – Initiative législative exhaustive. Cette option permettrait d'appliquer des règles entièrement harmonisées aux exigences injustifiées en matière de localisation des données (listes blanches ou noires). Un cadre de coopération obligatoire permettrait de garantir aux autorités de régulation l’accès transfrontière aux données dont elles ont besoin. Les prestataires de services d'informatique en nuage seraient tenus de faciliter le portage des données et de fournir des informations suffisamment détaillées sur les processus, les contraintes techniques et les coûts. Des normes communes et un dispositif de certification européen distinct seraient mis au point pour garantir la sécurité du stockage et/ou du traitement des données dans le cadre de la prestation de services d'informatique en nuage.

Qui soutient quelle option?

61,9 % des personnes répondant à la consultation publique ont déclaré que les restrictions en matière de localisation des données devraient être supprimées et 55,3 % se sont déclarées favorables à une approche législative à cet effet. Dans une lettre adressée à Donald Tusk, président du Conseil européen, 16 États membres se sont expressément prononcés pour une approche législative. Les parties prenantes semblent donc préférer, dans un souci de clarté et de sécurité, une approche législative (option 2 ou 3) pour résoudre le problème des restrictions en matière de localisation des données et d'accessibilité des données à des fins de contrôle réglementaire. Toutefois, certains éléments donnent à penser qu'une action législative portant sur la sécurité, le changement de prestataire et le portage des données ne devrait pas être trop détaillée car elle pourrait alors produire des effets pervers. Au vu des éléments recueillis, les utilisateurs professionnels de services de stockage et de traitement de données de l'UE préfèrent l'option 2 ou 3, tandis que les prestataires de services d'informatique en nuage préfèrent l'option 2a. Les pouvoirs publics des États membres préfèrent l'option 2.

C. Incidences de l'option privilégiée

Quels sont les avantages de l’option privilégiée (ou, à défaut, des options principales)?

Cette option garantirait la suppression effective des restrictions injustifiées existant actuellement en matière de localisation et préviendrait l'apparition de nouvelles restrictions en instaurant un principe juridique clair, accompagné d'une procédure de contrôle. En sensibilisant les parties prenantes aux principes juridiques établis par le règlement, elle renforcera également la sécurité juridique sur le marché. De plus, en encourageant l’élaboration de codes de conduite pour le changement de prestataire et le portage des données, elle donnerait lieu à un marché intérieur plus compétitif pour les prestataires de services d'informatique en nuage.

Quels sont les coûts de l’option privilégiée (ou, à défaut, des options principales)?

Les plus touchés par l’initiative en termes de coûts financiers, bien que dans une mesure restant modérée, sont les prestataires de services de stockage et de traitement de données. Des coûts de mise en conformité pourraient être occasionnés par les analyses juridiques, l'élaboration de nouvelles clauses contractuelles types pour le changement de prestataire de services de stockage et de traitement de données (en nuage), la rédaction de codes de conduite, la normalisation, etc. Des coûts supplémentaires pourraient résulter de la migration des données d'anciens clients vers un nouveau site et la perte de parts de marché au profit d'autres ou de nouveaux prestataires de services d'informatique en nuage.

Quelle sera l'incidence sur les entreprises, les PME et les microentreprises?

Les start-ups et les PME sont nettement favorables à une action législative sur la libre circulation des données afin d'améliorer la sécurité juridique et les conditions de changement de prestataire car elles bénéficieraient ainsi d'une réduction directe des coûts et, partant, d'une position plus concurrentielle sur le marché. Parmi les coûts spécifiques qui pourraient être évités figurent les coûts de duplication des infrastructures informatiques, par exemple, lorsqu'une PME exerce ses activités dans plusieurs États membres, dont un ou plusieurs appliquent des restrictions en matière de localisation des données.

Y aura-t-il une incidence notable sur les budgets nationaux et les administrations nationales?

La charge administrative modérée qu'auront à subir les autorités publiques des États membres sera liée à l'affectation de ressources humaines à une coopération structurée entre les États membres dans les points de contact uniques et au respect du processus de notification et d'évaluation dans le cadre du mécanisme de transparence prévu par la directive sur la transparence dans le marché unique. Le coût annuel moyen pourrait s'élever, au total, à 34 539 EUR par État membre.

Y aura-t-il d’autres incidences notables?

Oui, il y aura d'importantes retombées positives sur le développement économique grâce au renforcement de l'économie européenne fondée sur les données et à la création d'un marché plus concurrentiel pour la fourniture de services de stockage et de traitement des données. Il pourrait s'ensuivre, par exemple, des réductions de coûts pour les utilisateurs professionnels. L'initiative conduirait à une réduction des coûts actuels à supporter par les utilisateurs professionnels, notamment sous la forme d'une baisse des coûts pour les entreprises faisant appel à des services de stockage et de traitement de données et les entreprises exerçant ou ayant l'intention d'exercer des activités transfrontières, ou d'une diminution des frais de lancement de nouveaux produits ou services.

D. Suivi

Quand la législation sera-t-elle réexaminée?

Une évaluation complète pourrait être réalisée 5 ans après l'entrée en application des règles. Cette évaluation sera réalisée en étroite coopération avec les points de contact uniques des États membres et sur la base des informations fournies par ces derniers.