Communication — 52023XX01054

a.

établirait les règles selon lesquelles des catégories spécifiques de «données clients» dans le domaine financier (7) (y compris des données à caractère personnel) peuvent être consultées, partagées et utilisées par les établissements financiers et les prestataires de services d’information financière (les «entités éligibles» (8)), agissant soit en tant que détenteurs (9), soit en tant qu’utilisateurs (10) de données;

b.

donnerait au client, qui peut être une personne physique ou morale (11), le droit de demander au détenteur de données de partager ces données avec un utilisateur de données aux fins et dans les conditions convenues entre l’utilisateur de données et le client (12);

c.

imposerait certaines obligations aux utilisateurs de données qui reçoivent des données à la demande des clients et fixerait certaines limites quant à la manière dont les données des clients peuvent être utilisées (13);

d.

mandaterait l’Autorité bancaire européenne (ci-après l’«ABE») et l’Autorité européenne des assurances et des pensions professionnelles (ci-après l’«AEAPP»), en coopération avec le comité européen de la protection des données (ci-après l’«EDPB»), pour élaborer des orientations ciblées portant sur les domaines dans lesquels le partage des données et l’accès envisagé dans la proposition pourraient entraîner des risques d’exclusion plus élevés pour les clients (14), établissant ainsi un «périmètre d’utilisation des données» (15);

e.

permettrait aux clients de surveiller et de gérer les permissions d’accès aux données qu’ils ont accordées aux utilisateurs de données au moyen de tableaux de bord des permissions d’accès aux données financières. (qui doivent être obligatoirement mis en place par les détenteurs de données) (16); et

f.

introduirait des exigences pour la création et la gouvernance des systèmes de partage de données financières — dont les détenteurs de données, les utilisateurs de données et les organisations de consommateurs seraient parties — afin d’élaborer (entre autres) des normes en matière de données et d’interfaces et un cadre contractuel et normalisé commun régissant l’accès à des ensembles de données spécifiques (17).

(1)

préciser dans le considérant 48 que le traitement des données à caractère personnel dans le cadre de la proposition de règlement doit être effectué conformément au RGPD (19), au RPDUE et à la directive vie privée et communications électroniques (20);

(2)

délimiter clairement les catégories de données à caractère personnel visées à l’article 2, paragraphe 1, de la proposition, en tenant compte de la nature des services et produits financiers proposés par les entités éligibles énumérées à l’article 2, paragraphe 2, de la proposition et des risques encourus par les personnes dont les données à caractère personnel seraient consultées et utilisées par les utilisateurs de données;

(3)

exclure explicitement les données créées à la suite d’un profilage de la définition des «données clients» figurant à l’article 3, paragraphe 3, de la proposition;

(4)

éviter toute ambiguïté entre le terme «permission» au sens de la proposition et la base juridique du traitement en vertu du RGPD, en précisant en outre dans le considérant 48 que la permission ne doit pas être interprétée comme un «consentement», un «consentement explicite» ou une «nécessité d’exécuter un contrat» tels que définis dans le RGPD;

(5)

insérer dans le dispositif de la proposition une disposition qui interdirait le refus des services financiers énumérés à l’article 2, paragraphe 2, de la proposition aux clients qui n’installent pas et n’utilisent pas le tableau de bord des permissions en vertu de l’article 8 de la proposition ou ne permettent pas d’une autre manière le partage de données par les détenteurs de données avec les utilisateurs de données en vertu de la proposition;

(6)

inclure à l’article 6 de la proposition l’obligation pour les utilisateurs de données d’indiquer clairement dans leurs demandes d’accès aux clients les types particuliers de données clients auxquels ils souhaitent avoir accès;

(7)

modifier le libellé de l’article 6, paragraphe 2, de la proposition comme suit: «Un utilisateur de données ne peut demander des données clients et y accéder en vertu de l’article 5, paragraphe 1 que lorsqu’elles sont adéquates, pertinentes et nécessaires aux fins et aux conditions pour lesquelles le client lui a donné sa permission»;

(8)

préciser qu’un utilisateur de données ne peut contacter des clients à des fins de prospection que sous réserve de leur consentement préalable ou en leur proposant des offres de produits ou de services similaires à ceux pour lesquels il a accédé à des données clients et dans les conditions prévues à l’article 13, paragraphe 2, de la directive vie privée et communications électroniques;

(9)

inclure, à l’article 7 de la proposition, une référence explicite à la nécessité de se conformer aux règles et lignes directrices sectorielles existantes de l’UE concernant l’accès aux données à caractère personnel et leur utilisation aux fins de la fourniture des services et produits financiers entrant dans le champ d’application de la proposition;

(10)

prévoir une consultation formelle de l’EDPB, tant par l’ABE que par l’AEAPP, lors de l’élaboration des orientations proposées relatives au périmètre d’utilisation des données, en ajoutant à l’article 7, paragraphe 4, après «coopèrent étroitement», le libellé «et sous réserve d’une consultation formelle de»;

(11)

prévoir l’adoption d’orientations au titre de l’article 7, sous réserve de la consultation formelle de l’EDPB, le plus tôt possible compte tenu de la date d’applicabilité de la proposition;

(12)

étendre le champ d’application des orientations visées à l’article 7 à d’autres produits et services financiers importants entrant dans le champ d’application de la proposition;

(13)

préciser que les orientations visées à l’article 7 devraient également porter, le cas échéant, sur les limites de la combinaison de «données clients» obtenues en vertu de la proposition avec d’autres types de données à caractère personnel;

(14)

exiger des utilisateurs de données au titre de l’article 8, paragraphe 4, point b), qu’ils informent également les détenteurs de données du compte client, du produit financier ou du service financier auquel l’accès est demandé;

(15)

exiger des utilisateurs de données en vertu de l’article 8, paragraphe 4, point b), qu’ils informent les détenteurs de données de la base juridique en vertu de l’article 6, paragraphe 1, du RGPD et (le cas échéant) de l’exception en vertu de l’article 9, paragraphe 2, du RGPD sur laquelle ils s’appuieraient pour accéder aux données à caractère personnel contenues dans l’ensemble de données clients;

(16)

préciser à l’article 8 de la proposition que le tableau de bord des permissions ne devrait pas être conçu de manière à encourager les clients à accorder ou retirer des permissions, ni de manière à les influencer indûment dans un sens ou dans l’autre;

(17)

exiger des utilisateurs de données qu’ils démontrent de manière appropriée aux détenteurs de données qu’ils ont obtenu la permission du client d’accéder aux données clients détenues par le détenteur de données;

(18)

si les utilisateurs de données peuvent demander l’accès aux données clients pour le compte d’un client, exiger des détenteurs de données qu’ils demandent la preuve des pouvoirs de représentation obtenus auprès du client (et des utilisateurs de données qu’ils fournissent cette preuve);

(19)

modifier l’article 14, paragraphe 7, de la proposition afin de préciser que les autorités compétentes peuvent retirer l’agrément qu’elles ont accordé à un prestataire de services d’information financière dans les cas où les autorités de contrôle au titre du RGPD établissent que le prestataire de services d’information financière a enfreint ses obligations au titre de la législation de l’UE en matière de protection des données;

(20)

prévoir une définition des «services d’information financière» à l’article 3 de la proposition;

(21)

exiger des systèmes de partage de données financières qu’ils définissent les mesures techniques et organisationnelles minimales que leurs membres devraient mettre en œuvre pour garantir un niveau de sécurité approprié pour les données à caractère personnel échangées;

(22)

dans le considérant 25 de la proposition, remplacer le mot «semblables» après «élaborer des codes de conduite» par «conformes à l’article 40 du RGPD»;

(23)

préciser que les autorités de contrôle au titre du RGPD font partie des «autres autorités publiques concernées» ou des «autres autorités compétentes» que les autorités compétentes doivent consulter conformément à l’article 14, paragraphe 1, et à l’article 10, paragraphe 6, de la proposition; et

(24)

faire explicitement référence aux autorités de contrôle au titre du RGPD à l’article 18, paragraphe 3, de la proposition.