Source: OJ L 277, 27/10/2022, p. 1–102 · Consolidated text

Article 40 Accès aux données et contrôle des données

Summary What does Article 40 of the DSA regulation say?

This is a detailed article establishing the data access framework that applies to providers of very large online platforms and very large online search engines.

It creates two distinct data access tracks: one for regulatory oversight by the Digital Services Coordinator of establishment and the Commission, and one for independent academic research.

Connecting directly to the systemic risk obligations in Articles 34 and 35, this article is the mechanism through which those risk assessment and mitigation obligations can actually be scrutinised and verified from the outside.

A notable feature is the "vetted researcher" status, a formal accreditation process managed by Digital Services Coordinators that unlocks access to platform data for qualifying academics, with the Commission given the power to set technical conditions for all data sharing through delegated acts.

Important points:

Provide access to compliance-relevant data to the Digital Services Coordinator of establishment or the Commission upon reasoned request, and be prepared to explain the design, logic, functioning, and testing of algorithmic systems, including recommender systems.
Provide access to data for researchers who have been granted vetted researcher status by the Digital Services Coordinator of establishment, with the sole purpose of researching systemic risks in the Union as defined under Article 34(1).
Providers may challenge a researcher data access request within 15 days if they lack access to the data or if granting access would create significant security vulnerabilities or expose confidential information, including trade secrets, but must propose alternative means of access.

Springlex's summary of the article is a reading aid, not a substitute for the legal text.

1. Les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne donnent au coordinateur pour les services numériques de l’État membre d’établissement ou à la Commission, à leur demande motivée et dans un délai raisonnable spécifié dans cette demande, l’accès aux données nécessaires pour contrôler et évaluer le respect du présent règlement.
1. Les coordinateurs pour les services numériques et la Commission n’utilisent les données auxquelles ils ont eu accès conformément au paragraphe 1 qu’à des fins de contrôle et d’évaluation du respect du présent règlement et tiennent dûment compte des droits et intérêts des fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne et des destinataires du service concerné, y compris la protection des données à caractère personnel, la protection des informations confidentielles, en particulier les secrets d’affaires, et le maintien de la sécurité de leur service.
1. Aux fins du paragraphe 1, les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne expliquent, à la demande du coordinateur pour les services numériques de l’État membre d’établissement ou de la Commission, la conception, la logique, le fonctionnement et la procédure de test de leurs systèmes algorithmiques, y compris leurs systèmes de recommandation.
1. Sur demande motivée du coordinateur pour les services numériques de l’État membre d’établissement, les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne fournissent, dans un délai raisonnable spécifié dans la demande, l’accès aux données à des chercheurs agréés qui satisfont aux exigences énoncées au paragraphe 8 du présent article, à la seule fin de procéder à des recherches contribuant à la détection, au recensement et à la compréhension des risques systémiques dans l’Union tels qu’ils sont énoncés à l’article 34, paragraphe 1, ainsi qu’à l’évaluation du caractère adéquat, de l’efficacité et des effets des mesures d’atténuation des risques prises en vertu de l’article 35.
1. Dans les quinze jours suivant la réception d’une demande visée au paragraphe 4, les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne peuvent demander au coordinateur pour les services numériques de l’État membre d’établissement de modifier la demande, lorsqu’ils considèrent ne pas être en mesure de fournir l’accès aux données demandées pour une des deux raisons suivantes:
  1. ils n’ont pas accès aux données;
  2. fournir l’accès aux données entraînera d’importantes vulnérabilités pour la sécurité de leur service ou la protection d’informations confidentielles, en particulier des secrets d’affaires.
1. Les demandes de modification en vertu du paragraphe 5 contiennent des propositions exposant une ou plusieurs solutions alternatives qui permettent de donner accès aux données demandées ou à d’autres données appropriées et suffisantes aux fins de la demande.
2. Le coordinateur pour les services numériques de l’État membre d’établissement se prononce sur la demande de modification dans les quinze jours et communique au fournisseur de la très grande plateforme en ligne ou du très grand moteur de recherche en ligne sa décision et, le cas échéant, la demande modifiée et le nouveau délai pour donner suite à la demande.
1. Les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne facilitent et fournissent l’accès aux données conformément aux paragraphes 1 et 4 par l’intermédiaire d’interfaces appropriées spécifiées dans la demande, y compris des bases de données en ligne ou des interfaces de programmation d’application.
1. Sur demande dûment motivée de chercheurs, le coordinateur pour les services numériques de l’État membre d’établissement accorde auxdits chercheurs le statut de chercheurs agréés pour la recherche spécifique visée dans la demande et adresse une demande motivée d’accès aux données au fournisseur de la très grande plateforme en ligne ou du très grand moteur de recherche en ligne conformément au paragraphe 4, lorsque les chercheurs démontrent qu’ils remplissent l’ensemble des conditions suivantes:
  1. ils sont affiliés à un organisme de recherche tel qu’il est défini à l’article 2, point 1), de la directive (UE) 2019/790;
  2. ils sont indépendants de tous intérêts commerciaux;
  3. leur demande indique la source de financement des recherches;
  4. ils sont à même de respecter les exigences spécifiques en matière de sécurité et de confidentialité des données correspondant à chaque demande ainsi que de protéger les données à caractère personnel, et ils décrivent dans leur demande les mesures techniques et organisationnelles appropriées qu’ils ont mis en place à cet effet;
  5. dans leur demande, ils démontrent que leur accès aux données et les périodes d’accès demandées sont nécessaires et proportionnés aux fins poursuivies par leur recherche et que les résultats escomptés de cette recherche contribueront aux fins énoncées au paragraphe 4;
  6. les activités de recherche prévues sont menées aux fins énoncées au paragraphe 4;
  7. ils se sont engagés à mettre gratuitement à la disposition du public les résultats de leurs recherches dans un délai raisonnable après l’achèvement de celles-ci, sous réserve des droits et des intérêts des destinataires du service concerné, conformément au règlement (UE) 2016/679.
2. Dès réception de la demande visée au présent paragraphe, le coordinateur pour les services numériques de l’État membre d’établissement informe la Commission et le comité.
1. Les chercheurs peuvent également soumettre leur demande au coordinateur pour les services numériques de l’État membre de l’organisme de recherche auquel ils sont affiliés. Dès réception de la demande visée au présent paragraphe, le coordinateur pour les services numériques procède à une évaluation initiale visant à déterminer si les différents chercheurs remplissent toutes les conditions énoncées au paragraphe 8. Le coordinateur pour les services numériques concerné envoie la demande, accompagnée des documents justificatifs présentés par les chercheurs ainsi que de l’évaluation initiale, au coordinateur pour les services numériques de l’État membre d’établissement. Le coordinateur pour les services numériques de l’État membre d’établissement adopte dans les meilleurs délais, une décision quant à l’octroi à un chercheur du statut de chercheur agréé.
2. Tout en tenant dûment compte de l’évaluation initiale fournie, la décision finale d’octroyer à un chercheur le statut de chercheur agréé relève de la compétence du coordinateur pour les services numériques de l’État membre d’établissement, conformément au paragraphe 8.
1. Le coordinateur pour les services numériques ayant octroyé le statut de chercheur agréé et adressé la demande motivée d’accès aux données aux fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne en faveur d’un chercheur agréé, adopte une décision mettant fin à cet accès s’il constate, à la suite d’une enquête menée soit de sa propre initiative, soit sur la base d’informations reçues de tiers, que le chercheur agréé ne remplit plus les conditions établies au paragraphe 8, et informe le fournisseur de la très grande plateforme en ligne ou du très grand moteur de recherche en ligne concerné de sa décision. Avant de mettre fin à l’accès, le coordinateur pour les services numériques donne au chercheur agréé la possibilité de réagir aux conclusions de l’enquête et à son intention de mettre fin à l’accès.
1. Les coordinateurs pour les services numériques de l’État membre d’établissement communiquent au comité les noms et les coordonnées des personnes physiques ou des entités auxquelles ils ont accordé le statut de chercheur agréé conformément au paragraphe 8, ainsi que l’objet de la recherche pour laquelle la demande a été soumise, ou l’informent qu’ils ont mis fin à l’accès aux données conformément au paragraphe 10 si c’est le cas.
1. Les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne donnent accès, sans retard injustifié, aux données, y compris, lorsque cela est techniquement possible, aux données en temps réel, à condition que ces données soient publiquement accessibles sur leur interface en ligne aux chercheurs, y compris ceux qui sont affiliés à des organismes et des associations à but non lucratif, qui remplissent les conditions énoncées au paragraphe 8, points b), c), d) et e), et qui utilisent les données uniquement à des fins de recherches contribuant à la détection, à la détermination et à la compréhension des risques systémiques dans l’Union en vertu de l’article 34, paragraphe 1.
1. Après consultation du comité, la Commission adopte des actes délégués qui complètent le présent règlement en établissant les conditions techniques dans lesquelles les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne partagent des données en vertu des paragraphes 1 et 4 et les fins auxquelles ces données peuvent être utilisées. Ces actes délégués établissent les conditions spécifiques dans lesquelles un tel partage de données avec des chercheurs peut avoir lieu en conformité avec le règlement (UE) 2016/679, ainsi que les indicateurs objectifs pertinents, les procédures et, si nécessaire, les mécanismes consultatifs indépendants à l’appui du partage de données, en tenant compte des droits et des intérêts des fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne et des destinataires du service concernés, y compris la protection des informations confidentielles, notamment les secrets d’affaires, et en préservant la sécurité de leur service.

Relevant recitals

Considérant 96 Data access requests for compliance monitoring

Afin de surveiller et d’évaluer de manière appropriée le respect par les très grandes plateformes en ligne et les très grands moteurs de recherche en ligne des obligations prévues par le présent règlement, le coordinateur pour les services numériques de l’État membre d’établissement ou la Commission peut exiger l’accès à des données spécifiques ou la communication de celles-ci, y compris les données relatives aux algorithmes. Une telle exigence peut porter, par exemple, sur les données nécessaires pour évaluer les risques et les éventuels préjudices causés par les systèmes de la très grande plateforme en ligne ou du très grand moteur de recherche en ligne, les données concernant l’exactitude, le fonctionnement et les tests des systèmes algorithmiques de modération des contenus, des systèmes de recommandation ou des systèmes de publicité, y compris, le cas échéant, les données et algorithmes d’entraînement, ou encore les données concernant les processus et les résultats de la modération des contenus ou des systèmes internes de traitement des réclamations au sens du présent règlement. Ces demandes d’accès aux données ne devraient pas comprendre les demandes de production d’informations spécifiques sur des destinataires individuels du service visant à déterminer si ces destinataires respectent d’autres dispositions applicables du droit de l’Union ou du droit national. Les enquêtes menées par des chercheurs sur l’évolution et la gravité des risques systémiques en ligne sont particulièrement importantes pour corriger les asymétries d’information et établir un système résilient d’atténuation des risques, informer les fournisseurs des plateformes en ligne, les fournisseurs des moteurs de recherche en ligne, les coordinateurs pour les services numériques, les autres autorités compétentes, la Commission et le public.

Considérant 97 Vetted researcher access to platform data

Le présent règlement fournit donc un cadre permettant de contraindre à donner aux chercheurs agréés affiliés à un organisme de recherche au sens de l’article 2 de la directive (UE) 2019/790, lesquels organismes peuvent comprendre, aux fins du présent règlement, les organisations de la société civile qui mènent des recherches scientifiques dans le but principal de soutenir leur mission d’intérêt public, l’accès aux données provenant des très grandes plateformes en ligne et des très grands moteurs de recherche en ligne. Il convient que l’ensemble des demandes d’accès aux données en vertu de ce cadre soient proportionnées et protègent de manière appropriée les droits et les intérêts légitimes, y compris les données à caractère personnel, les secrets d’affaires et autres informations confidentielles, de la très grande plateforme en ligne ou du très grand moteur de recherche en ligne et de toute autre partie concernée, y compris les destinataires du service. Toutefois, aux fins de la réalisation de l’objectif du présent règlement, la prise en compte des intérêts commerciaux des fournisseurs ne devrait pas conduire à un refus d’accès aux données nécessaires à l’objectif de recherche spécifique lié à une demande introduite au titre du présent règlement. À cet égard, sans préjudice de la directive (UE) 2016/943 du Parlement européen et du Conseil(³²), les fournisseurs devraient garantir un accès approprié aux chercheurs, y compris, si nécessaire, en prenant des mesures de protection technique, par exemple par l’intermédiaire de coffres de données. Les demandes d’accès aux données pourraient, par exemple, porter sur le nombre de vues ou concerner, le cas échéant, d’autres types d’accès aux contenus par les destinataires du service avant leur retrait par les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne.

Considérant 98 Access to publicly accessible platform data

En outre, lorsque les données sont accessibles au public, ces fournisseurs ne devraient pas empêcher les chercheurs répondant à un sous-ensemble approprié de critères d’utiliser ces données à des fins de recherche qui contribuent à la détection, à la détermination et à la compréhension des risques systémiques. Ils devraient fournir à ces chercheurs l’accès aux données accessibles au public, y compris, lorsque cela est techniquement possible, en temps réel, par exemple les données relatives aux interactions agrégées avec le contenu de pages publiques, de groupes publics ou de personnalités publiques, y compris les données relatives aux impressions et aux échanges, telles que le nombre de réactions, de partages et de commentaires des destinataires du service. Les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne devraient être encouragés à coopérer avec les chercheurs et à élargir l’accès aux données pour suivre les préoccupations sociétales grâce à des initiatives volontaires, y compris au moyen d’actions et de procédures convenus dans le cadre de codes de conduite ou de protocoles de crise. Ces fournisseurs et ces chercheurs devraient accorder une attention particulière à la protection des données à caractère personnel et veiller à ce que tout traitement de données à caractère personnel respecte le règlement (UE) 2016/679. Les fournisseurs devraient anonymiser ou pseudonymiser les données à caractère personnel, sauf dans les cas où cela rendrait impossible l’objectif de recherche poursuivi.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.