Règlement délégué (UE) 2025/2050 de la Commission du 1er juillet 2025 complétant le règlement (UE) 2022/2065 du Parlement européen et du Conseil en établissant les conditions et procédures techniques selon lesquelles les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne doivent partager des données avec des chercheurs agréés

Le présent règlement établit les procédures et les conditions techniques permettant aux chercheurs agréés d’accéder aux données détenues par les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne, conformément à l’article 40, paragraphe 4, du règlement (UE) 2022/2065, en particulier: a) les conditions techniques relatives à la mise au point et au fonctionnement d’un portail d’accès aux données; b) les procédures et les conditions techniques applicables à la gestion du processus d’accès aux données par les coordinateurs pour les services numériques et les fournisseurs de données; c) les exigences relatives à la formulation de demandes motivées et à l’évaluation des demandes de modification; d) les conditions techniques applicables à la fourniture de l’accès aux données par les fournisseurs de données.

Aux fins du présent règlement, les définitions figurant à l’article 4 du règlement (UE) 2016/679 et à l’article 3 du règlement (UE) 2018/1725 s’appliquent. De plus, on entend par: 1) «demande d’accès aux données»: les informations et la documentation pertinente soumises par les chercheurs demandeurs au coordinateur pour les services numériques de l’État membre d’établissement ou au coordinateur pour les services numériques de l’État membre de l’organisme de recherche auquel le chercheur principal est affilié, afin d’obtenir le statut de «chercheur agréé» mentionné à l’article 40, paragraphe 8, premier alinéa, du règlement (UE) 2022/2065, pour un projet de recherche particulier nécessitant l’accès aux données d’un fournisseur de données; 2) «processus d’accès aux données»: les étapes et procédures qui peuvent conduire à la fourniture d’un accès aux données tel que mentionné à l’article 40, paragraphe 4, du règlement (UE) 2022/2065; 3) «chercheur demandeur»: toute personne physique qui demande l’accès aux données tel que mentionné à l’article 40, paragraphe 4, du règlement (UE) 2022/2065, soit individuellement, soit en tant que membre d’un groupe ou d’une entité; 4) «chercheur principal»: le chercheur demandeur qui soumet la demande d’accès aux données à titre individuel ou pour le compte d’une entité ou d’un groupe de chercheurs demandeurs; 5) «fournisseur de données»: un fournisseur d’une très grande plateforme en ligne ou d’un très grand moteur de recherche en ligne désigné comme tel conformément à l’article 33, paragraphe 4, du règlement (UE) 2022/2065, auquel une demande motivée pourrait être adressée; 6) «demande motivée»: une demande motivée d’accès aux données au titre de l’article 40, paragraphe 4, du règlement (UE) 2022/2065; 7) «demande de modification»: une demande de modification au titre de l’article 40, paragraphe 5, du règlement (UE) 2022/2065, présentée par le fournisseur de données au coordinateur pour les services numériques de l’État membre d’établissement à la suite de la réception d’une demande motivée; 8) «environnement de traitement sécurisé»: un environnement de traitement sécurisé au sens de l’article 2, point 20), du règlement (UE) 2022/868 du Parlement européen et du Conseil .

1 La Commission met en place et héberge un portail pour l’accès aux données en vertu du DSA.

2 Les fonctions du portail pour l’accès aux données en vertu du DSA sont les suivantes: a) soutenir et rationaliser la gestion du processus d’accès aux données pour les chercheurs, les fournisseurs de données et les coordinateurs pour les services numériques; b) servir de guichet numérique central pour les informations concernant le processus d’accès aux données et faciliter les échanges d’informations au titre du présent règlement entre les chercheurs demandeurs, les chercheurs agréés, les fournisseurs de données et les coordinateurs pour les services numériques.

3 Le portail pour l’accès aux données en vertu du DSA est interopérable avec le système de partage d’informations AGORA établi par le règlement d’exécution (UE) 2024/607. Les coordinateurs pour les services numériques ont accès, dans AGORA, aux informations soumises par l’intermédiaire du portail pour l’accès aux données en vertu du DSA.

4 Les fournisseurs de données disposent d’un compte sur le portail pour l’accès aux données en vertu du DSA.

5 Pour participer au processus d’accès aux données, les candidats chercheurs disposent d’un compte sur le portail pour l’accès aux données en vertu du DSA.

1 Les coordinateurs pour les services numériques sont considérés comme des responsables du traitement distincts en ce qui concerne le traitement des données à caractère personnel qu’ils effectuent aux fins de la gestion du processus d’accès aux données et de la publication des informations pertinentes.

2 La Commission est considérée comme un sous-traitant des données à caractère personnel traitées dans le cadre du portail pour l’accès aux données en vertu du DSA.

3 Les responsabilités de la Commission en tant que sous-traitant pour les activités de traitement des données menées dans le cadre du portail pour l’accès aux données en vertu du DSA sont définies à l’annexe.

1 Lorsque des données à caractère personnel sont enregistrées et échangées par l’intermédiaire du portail pour l’accès aux données en vertu du DSA, le traitement n’a lieu que dans la mesure où il est proportionné et nécessaire aux fins du processus d’accès aux données et de la publication des informations pertinentes.

2 Le traitement de données à caractère personnel dans le cadre du portail pour l’accès aux données en vertu du DSA ne peut avoir lieu que pour les catégories suivantes de personnes concernées: a) les personnes physiques qui disposent d’un compte sur le portail pour l’accès aux données en vertu du DSA; b) les personnes physiques dont les données à caractère personnel figurent sur le portail pour l’accès aux données en vertu du DSA ou dans tout autre échange en vertu du présent règlement concernant le processus d’accès aux données.

3 Le traitement de données à caractère personnel dans le cadre du portail pour l’accès aux données en vertu du DSA ne peut avoir lieu que pour les catégories suivantes de données à caractère personnel: a) les données d’identité, telles que le nom, l’identifiant de l’utilisateur; b) les coordonnées, telles que l’adresse, l’adresse électronique et autres renseignements; c) les données à caractère personnel contenues dans les documents prouvant l’affiliation à un organisme de recherche, ainsi que toute autre information à caractère personnel jugée nécessaire aux fins de la participation au processus d’accès aux données.

4 Le traitement des données à caractère personnel mentionné au paragraphe 1 s’effectue au moyen d’infrastructures informatiques situées dans l’Espace économique européen.

1 Chaque coordinateur pour les services numériques et chaque fournisseur de données établissent un point de contact spécifique, chargé de fournir des informations et un soutien sur le processus d’accès aux données.

2 Les coordinateurs pour les services numériques et les fournisseurs de données communiquent dès que possible leurs points de contact à la Commission. La Commission publie les coordonnées des points de contact mentionnés au paragraphe 1 dans l’interface publique du portail pour l’accès aux données en vertu du DSA.

3 Chaque coordinateur pour les services numériques veille à ce que les coordonnées du point de contact établi en vertu du paragraphe 1 soient disponibles et facilement consultables sur son interface en ligne, et à ce qu’elles soient accompagnées d’un lien vers le portail pour l’accès aux données en vertu du DSA.

4 Les fournisseurs de données veillent à ce que les informations suivantes soient disponibles et facilement consultables sur leurs interfaces en ligne: a) les coordonnées du point de contact qu’ils ont établi conformément au paragraphe 1; b) un lien vers le portail pour l’accès aux données en vertu du DSA; c) un catalogue de données DSA, qui décrit les ressources en données auxquels il est possible d’accéder aux fins énoncées à l’article 40, paragraphe 4, du règlement (UE) 2022/2065, ainsi que leur structure de données et leurs métadonnées; d) des propositions de modalités d’accès aux données figurant dans le catalogue conformément au point c), adaptées au niveau de sensibilité des différentes ressources en données.

5 Les informations mentionnées au paragraphe 4, points c) et d), sont régulièrement mises à jour, notamment pour refléter les données relatives aux évaluations des risques effectuées conformément à l’article 34 du règlement (UE) 2022/2065 et aux audits réalisés au titre de l’article 37 dudit règlement.

1 Dans un délai de 80 jours ouvrables à compter de la présentation d’une demande d’accès aux données, le coordinateur pour les services numériques de l’État membre d’établissement, en tenant dûment compte des conditions préalables énoncées à l’article 8 et, le cas échéant, de toute autre évaluation pertinente à ces fins, décide si une demande motivée peut être formulée et prend l’une des mesures suivantes: a) il formule une demande motivée, la soumet au fournisseur de données et informe le chercheur principal qu’une demande motivée a été soumise; b) il informe le chercheur principal des raisons pour lesquelles la demande motivée n’a pas pu être formulée.

2 Lorsque, dans des cas dûment justifiés, le coordinateur pour les services numériques de l’État membre d’établissement a besoin d’un délai supplémentaire pour formuler une demande motivée, il en informe le chercheur principal dès que possible, indique les raisons du retard et communique une nouvelle date pour prendre les mesures mentionnées au paragraphe 1.

Le coordinateur pour les services numériques de l’État membre d’établissement décide si une demande motivée peut être formulée en tenant compte des éléments suivants: a) pour chaque chercheur demandeur: i) une confirmation d’affiliation à un organisme de recherche au sens de l’article 2, point 1), de la directive (UE) 2019/790 du Parlement européen et du Conseil ; ii) une déclaration d’indépendance à l’égard des intérêts commerciaux pertinents pour le projet spécifique pour lequel les données sont demandées; iii) l’engagement de mettre gratuitement à la disposition du public les résultats de ses travaux de recherche; b) des informations sur le financement du projet de recherche pour lequel les données sont demandées; c) une description des données demandées, y compris le format, la portée et, si possible, les attributs spécifiques, les métadonnées pertinentes et la documentation relative aux données, en tenant compte également des informations mises à disposition conformément à l’article 6, paragraphe 4, du présent règlement; d) des informations sur la nécessité et la proportionnalité de l’accès aux données et sur les calendriers des travaux de recherche pour lesquels les données sont demandées; e) des informations sur les risques recensés en termes de confidentialité, de sécurité des données et de protection des données à caractère personnel, qui sont associés aux données auxquelles il serait possible d’accéder, une description des mesures techniques, juridiques et organisationnelles qui seront mises en place, y compris, dans la mesure du possible, des propositions de modalités d’accès, pour atténuer ces risques lors du traitement des données demandées; f) une description des activités de recherche à mener avec les données demandées; g) un résumé de la demande d’accès aux données contenant les éléments suivants: i) le sujet des travaux de recherche; ii) le fournisseur de données auquel les données sont demandées; iii) une description des données demandées, telle que mentionnée au point c).

1 Le coordinateur pour les services numériques de l’État membre d’établissement détermine les modalités, y compris les mesures techniques, juridiques et organisationnelles, que le fournisseur de données doit utiliser pour octroyer aux chercheurs agréés l’accès aux données.

2 Les coordinateurs pour les services numériques sont autorisés à consulter les autorités de contrôle concernées instituées en vertu de l’article 51 du règlement (UE) 2016/679.

3 Lorsqu’il détermine les modalités d’accès, le coordinateur pour les services numériques de l’État membre d’établissement tient compte des informations fournies dans la demande d’accès aux données, en particulier les informations mentionnées à l’article 8, point e), en tenant également compte des droits et des intérêts des fournisseurs de données et des bénéficiaires du service concerné, y compris la protection des informations confidentielles et des secrets d’affaires, et en préservant la sécurité de leur service et des informations mises à disposition par les fournisseurs de données conformément à l’article 6, paragraphe 4, point d).

4 Outre les éléments mentionnés au paragraphe 3, le coordinateur pour les services numériques de l’État membre d’établissement tient compte, lorsqu’il détermine les modalités d’accès, des éléments suivants: a) lorsque l’accès implique le traitement de données à caractère personnel: i) l’évaluation des risques concernant le traitement des données à caractère personnel telle que décrite à l’article 8, point e), y compris, le cas échéant, les analyses d’impact relatives à la protection des données au sens de l’article 35 du règlement (UE) 2016/679; ii) les mesures techniques et organisationnelles envisagées, telles que présentées conformément à l’article 8, point e); b) les mesures de sécurité du réseau pertinentes, le chiffrement, les mécanismes de contrôle d’accès, les politiques de sauvegarde, les mécanismes d’intégrité des données, les plans de réaction en cas d’incident; c) le cas échéant, des informations sur la période de conservation prévue et les plans de destruction des données pertinents; d) toute mesure organisationnelle telle que les procédures d’examen en interne, les restrictions des droits d’accès et le partage d’informations; e) toute clause contractuelle proposée, telle que des accords de non-divulgation, des accords concernant les données et tout autre type de déclarations écrites, pour convenir d’éventuelles conditions d’accès et de traitement entre le chercheur principal et le fournisseur de données; f) l’existence d’une formation sur la sécurité des données et la protection des données à caractère personnel reçue par les chercheurs demandeurs; g) la nécessité éventuelle d’environnements de traitement sécurisés pour traiter les données.

5 Lorsque le coordinateur pour les services numériques de l’État membre d’établissement estime qu’un environnement de traitement sécurisé doit être utilisé pour donner accès aux données demandées, il exige des documents attestant que l’opérateur de cet environnement: a) précise les conditions d’accès à l’environnement de traitement sécurisé afin de réduire au minimum le risque de lecture, de copie, de modification ou de suppression non autorisées des données hébergées dans l’environnement de traitement sécurisé; b) veille à ce que les chercheurs agréés n’aient accès qu’aux données couvertes par la demande motivée, au moyen d’identités d’utilisateur individuelles et uniques et de modes d’accès confidentiels; c) tient des registres identifiables de l’accès à l’environnement de traitement sécurisé pendant la période nécessaire pour vérifier et contrôler toutes les opérations de traitement dans cet environnement; d) veille à ce que la puissance de calcul dont disposent les chercheurs agréés soit appropriée et suffisante aux fins du projet de recherche; e) contrôle l’efficacité des mesures énumérées aux points a) à d).

1 Une demande motivée contient aux moins les éléments suivants: a) la date à partir de laquelle le fournisseur de données donne accès aux données demandées et la date à laquelle cet accès prend fin; b) les modalités d’accès déterminées conformément à l’article 9; c) le résumé de la demande d’accès aux données mentionné à l’article 8, point g).

2 Le coordinateur pour les services numériques de l’État membre d’établissement peut faire figurer dans la demande motivée les noms et coordonnées de tous les chercheurs agréés mentionnés dans la demande d’accès aux données lorsque cela est nécessaire pour permettre l’accès aux données demandées, conformément aux modalités d’accès précisées dans la demande motivée.

3 Si la fourniture de l’accès implique un transfert de données à caractère personnel vers un pays tiers ou à des organisations internationales au sens du chapitre V du règlement (UE) 2016/679, la demande motivée devrait inclure des informations concernant la nécessité de mettre en place un mécanisme de transfert approprié ou d’y faire référence, afin de garantir le respect des dispositions dudit règlement.

1 Lorsqu’une demande motivée est formulée, le coordinateur pour les services numériques de l’État membre d’établissement publie un aperçu de cette demande motivée dans l’interface publique du portail pour l’accès aux données en vertu du DSA. L’aperçu contient tous les éléments suivants: a) le résumé de la demande d’accès aux données mentionné à l’article 8, point g); b) les modalités d’accès déterminées conformément à l’article 9.

2 L’aperçu prévu au paragraphe 1 est mis à jour pour tenir compte de tout changement résultant d’une modification d’un ou de plusieurs éléments à la suite de l’examen d’une demande de modification ou du résultat d’une médiation conformément à l’article 13.

1 Dès que le coordinateur pour les services numériques de l’État membre d’établissement reçoit une demande de modification au titre de l’article 40, paragraphe 5, du règlement (UE) 2022/2065, il en informe le chercheur principal concerné.

2 Lorsqu’il se prononce sur une demande de modification présentée en vertu de l’article 40, paragraphe 5, point a), du règlement (UE) 2022/2065, le coordinateur pour les services numériques de l’État membre d’établissement tient compte des éléments suivants: a) l’existence de motifs dûment établis pour expliquer l’absence d’accès aux données alléguée; b) le caractère permanent ou temporaire de l’absence d’accès aux données.

3 Lorsqu’il statue sur une demande de modification présentée en vertu de l’article 40, paragraphe 5, point b), du règlement (UE) 2022/2065, le coordinateur pour les services numériques de l’État membre d’établissement tient compte de tous les éléments suivants: a) l’existence d’une motivation dûment établie concernant les vulnérabilités alléguées et leur importance; b) la probabilité et la gravité du préjudice résultant des vulnérabilités importantes alléguées; c) la mesure dans laquelle les modalités d’accès énoncées dans la demande motivée atténuent effectivement le risque de survenance d’un tel préjudice.

4 À tout moment au cours de l’évaluation d’une demande de modification, le coordinateur pour les services numériques de l’État membre d’établissement peut demander au fournisseur de données ou au chercheur principal toute information complémentaire qu’il juge nécessaire pour mener à bien son évaluation.

5 Cette demande d’informations complémentaires est présentée dès que possible afin que le fournisseur de données ou le chercheur principal dispose d’un délai de réponse suffisant et, en tout état de cause, que cela n’ait pas d’incidence sur le délai fixé à l’article 40, paragraphe 6, deuxième alinéa, du règlement (UE) 2022/2065. Lorsque le fournisseur de données ou le chercheur principal ne fournit pas du tout les informations demandées, ne les fournit pas dans un délai fixé par le coordinateur pour les services numériques de l’État membre d’établissement, ou ne les fournit que partiellement, le coordinateur prend sa décision dans le délai fixé à l’article 40, paragraphe 6, du règlement (UE) 2022/2065, sur la base des informations qui ont été mises à sa disposition dans un délai raisonnable.

1 Si le fournisseur de données est en désaccord avec la décision du coordinateur pour les services numériques de l’État membre d’établissement en ce qui concerne la demande de modification, le fournisseur de données peut, dans un délai de cinq jours ouvrables à compter de la communication faite par le coordinateur pour les services numériques de l’État membre d’établissement conformément à l’article 40, paragraphe 6, deuxième alinéa, du règlement (UE) 2022/2065, demander par écrit au coordinateur de participer à un processus de médiation.

2 Le coordinateur pour les services numériques de l’État membre d’établissement n’est pas tenu de participer au processus de médiation.

3 La demande écrite mentionnée au paragraphe 1 comprend une description concise des éléments spécifiques de la décision, tels que communiqués par le coordinateur pour les services numériques de l’État membre d’établissement conformément à l’article 40, paragraphe 6, deuxième alinéa, du règlement (UE) 2022/2065, qui sont contestés par le fournisseur de données.

4 Le coordinateur et le fournisseur de données conviennent de la désignation d’un médiateur et entament la médiation dans un délai de 20 jours ouvrables à compter de la présentation de la demande de médiation conformément au paragraphe 3.

5 Avant de donner son accord sur la désignation d’un médiateur, le coordinateur vérifie que le médiateur est impartial et indépendant et possède l’expertise pertinente en rapport avec l’objet décrit dans la demande écrite visée au paragraphe 1.

6 Le fournisseur de données supporte tous les coûts de la médiation.

7 Le coordinateur pour les services numériques de l’État membre d’établissement informe le chercheur principal de la demande de médiation mentionnée au paragraphe 1 dans les meilleurs délais et peut décider d’inviter le chercheur principal à participer à la médiation en tant que partie. Lorsque la demande d’accès aux données a été soumise au coordinateur pour les services numériques de l’organisme de recherche, le coordinateur pour les services numériques de l’État membre d’établissement peut inviter le coordinateur pour les services numériques de l’organisme de recherche à participer au processus de médiation. Une invitation à participer au processus de médiation émanant du coordinateur pour les services numériques de l’État membre d’établissement n’oblige pas la partie invitée à prendre part à ce processus.

8 La participation à la médiation ne porte pas atteinte au droit des parties d’engager une procédure judiciaire à tout moment avant, pendant ou après la médiation.

9 Le coordinateur pour les services numériques de l’État membre d’établissement fixe, pour la médiation, un délai qui ne dépasse pas 40 jours ouvrables à compter du jour de l’ouverture du processus de médiation conformément au paragraphe 4.

10 Le médiateur peut mettre fin à la médiation avant l’expiration de ce délai dans l’un des cas suivants: a) l’une des parties demande explicitement qu’un terme soit mis à la médiation; b) il apparaît clairement que le comportement des parties au cours de la médiation, notamment l’absence de bonne foi, rend improbable la conclusion d’un accord.

11 Lorsque la médiation aboutit à un accord entre les parties, le coordinateur pour les services numériques de l’État membre d’établissement tient compte de cet accord et, le cas échéant, modifie la demande motivée et en informe le chercheur principal.

12 Lorsque les parties ne parviennent pas à un accord, le coordinateur pour les services numériques de l’État membre d’établissement informe le fournisseur de données que la décision du coordinateur pour les services numériques de l’État membre d’établissement concernant la demande de modification, telle que communiquée en dernier lieu conformément à l’article 40, paragraphe 6, deuxième alinéa, du règlement (UE) 2022/2065, est considérée comme valable et sert de base pertinente pour les étapes ultérieures du processus, et en informe le chercheur principal.

13 Le coordinateur pour les services numériques de l’État membre d’établissement enregistre dans AGORA un compte rendu sommaire de la médiation, établi par le médiateur et signé par toutes les parties. Ce compte rendu contient les informations suivantes: a) la date de la demande écrite de médiation émanant du fournisseur de données; b) l’identité et les coordonnées des parties; c) les dates de début et de fin de la médiation; d) le résultat de la médiation, y compris tout accord conclu ou le motif pour lequel la médiation a pris fin.

1 Avant de formuler une demande motivée ou de prendre une décision sur une demande de modification, le coordinateur pour les services numériques peut décider de consulter des experts.

2 Les experts sont indépendants et impartiaux, possèdent une expertise pertinente et des compétences avérées et disposent des capacités et des ressources nécessaires pour exécuter la tâche prévue, sans retard injustifié.

3 Pour attester de leur impartialité, les experts signent une déclaration confirmant qu’ils: a) n’ont aucun lien financier ou personnel avec le fournisseur de données ou les chercheurs demandeurs; b) ne sont pas intéressés par l’issue du processus d’accès aux données; c) sont libres de tout conflit d’intérêts.

4 Le coordinateur pour les services numériques encode dans AGORA toute consultation effectuée en vertu du paragraphe 1, ainsi que l’avis d’expert reçu en réponse à la consultation, dans les meilleurs délais.

1 Les fournisseurs de données informent le coordinateur pour les services numériques de l’État membre d’établissement, dans un délai de trois jours ouvrables: a) que l’accès aux données demandées a été accordé à des chercheurs agréés, conformément à la demande motivée; b) qu’il a été mis fin à l’accès des chercheurs agréés.

2 Les fournisseurs de données communiquent aux chercheurs agréés toute information supplémentaire nécessaire pour accéder aux données demandées et les comprendre, telles que les livres de codes, les journaux des modifications et la documentation relatives à l’architecture. Si la fourniture de ces informations peut être à l’origine d’une vulnérabilité importante des services du fournisseur de données, ce dernier informe le coordinateur pour les services numériques de l’État membre d’établissement de ce risque et propose, dans la mesure du possible, d’autres informations.

3 Lorsqu’ils donnent accès à des données, les fournisseurs de données n’imposent pas aux chercheurs agréés des obligations en matière de gestion des données, telles que des exigences en matière d’archivage, de stockage, de mise à jour et de suppression, ou des limitations à l’utilisation d’outils analytiques standard, susceptibles d’entraver la réalisation de la recherche concernée, à moins que ces exigences ou limitations ne soient explicitement mentionnées dans la demande motivée.

4 Lorsque des données à caractère personnel sont traitées, les fournisseurs de données n’imposent aux chercheurs agréés aucune condition relative au traitement des données à caractère personnel partagées autre que celles spécifiées dans la demande motivée.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.