Pour y parvenir, les législateurs européens ont mis en place un certain nombre de textes afin d’encadrer les différents aspects et problématiques posées par le traitement des données : RGPD, Acte sur la gouvernance des données (en vigueur depuis 2023), Loi sur les données (Data Act), Directive  concernant les données ouvertes et la réutilisation des informations du secteur public (Open Data Directive), le règlement relatif à la libre circulation des données à caractère non personnel dans l’Union européenne, le règlement sur la cybersécurité (2019). Par l’adoption de ces textes, l’objectif de l’UE est de construire un espace européen unique des données, dans lequel celles-ci seraient facilement accessibles par les usagers tout en garantissant un niveau de sécurité optimale.

Les textes mis en place jusqu’à aujourd’hui portent tous sur des aspects différents de l’arsenal européen portant sur les données, mais sont complémentaires dans la poursuite des objectifs globaux de l’Europe, notamment en matière de protection des citoyens et de facilitation de l’innovation. Cet arsenal comprend notamment :

• Le règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD), entré en vigueur en 2016 et en application en 2018 (harmonise les règles de traitement des données à caractère personnel dans toute l’Union européenne.
• Le Data Act, ou règlement sur les données, entré en vigueur en 2024 et en application en septembre 2025 (permet un accès équitable aux données et une utilisation équitable des données ; vise responsabiliser les utilisateurs, tant les consommateurs que les entreprises, en leur donnant un plus grand contrôle sur les données générées par leurs appareils connectés) ;
• La Directive Données ouvertes, entrée en vigueur en 2019 (Open Data Directive ; concerne les aspects économiques de la réutilisation de l’information plutôt que l’accès des citoyens à l’information. Il encourage les pays de l’UE à mettre autant d’informations que possible à disposition en vue de leur réutilisation) ;
• L’IA Act, entré en vigueur en 2024 et qui entrera en application de manière progressive entre 2025 et 2027 (introduit la notion de risque relatif aux systèmes d’IA, donne une définition des différents acteurs du secteurs tels que « fournisseur » ou « diffuseur » et met à leur charge de nouvelles obligations).

Le RGPD

Le règlement européen sur la protection des données personnelles, lors de son adoption par l’Union Européenne, a eu un impact conséquent sur ses citoyens. L’une de ses grandes nouveautés est qu’il impose un encadrement strict aux entreprises vis-à-vis du traitement de leurs données, rendant nécessaire une mise en conformité des entreprises et établissements européens.

Trois objectifs principaux guident le RGPD :

• renforcer les droits des personnes,
• responsabiliser les acteurs traitant des données,
• crédibiliser la régulation grâce à une coopération renforcée entre les autorités de protection des données.

Autre nouveauté, il définit la notion de « donnée personnelle », qui permet une plus grande protection des personnes physiques, du fait du traitement qu’il impose vis-à-vis de ce type de donnée.

Le Data Act

Le Data Act est aussi appelé « règlement sur les données ». Ce texte vise à une responsabilisation des utilisateurs vis-à-vis des données qu’ils génèrent du fait de l’utilisation de leurs appareils connectés en leur donnant plus de contrôle sur celles-ci, par exemple en facilitant le transfert continu de données de valeur entre les détenteurs de données et les utilisateurs de données, tout en préservant leur confidentialité.

Le Data Act facilite aussi l’accès et l’utilisation des données par le secteur public par la mise en place de règles permettant aux organismes du secteur public d’accéder aux données détenues par le secteur privé et de les utiliser à des fins d’intérêt public spécifiques.

Enfin, il apporte à l’arsenal européen d’autres règles visant à faciliter le transfert des données d’un fournisseur à l’autre pour les utilisateurs par exemple, afin de préparer la création d’un marché européen des données.

La Directive Données ouvertes

La Directive Données Ouvertes concerne principalement le secteur public et le traitement que ses acteurs font des données dans le cadre de leur activité. Elle prévoit notamment la fourniture d’un accès en temps réel à des données dynamiques par des moyens techniques adéquats, l’accroissement de la fourniture de données publiques aux fins de réutilisation, ou encore la mise en place d’un cadre pour les conditions de réuitilisation des documents du secteur public afin d’encadrer l’utilisation de ces informations dans des conditions équitables, proportionnées et non discriminatoires.

L’IA Act

Un panorama détaillé de ce texte est exposé dans l’article suivant : Panorama de l’IA ACT.

Les principes mis en place dans l’IA Act visent dans leur globalité à éviter et/ou limiter les discriminations et à préserver les libertés fondamentales des citoyens. Pour ce faire, le règlement a introduit de nouvelles notions telles que celles d’utilisateurs et de fournisseur, mis à la charge des fournisseurs d’IA de nouvelles obligations, et défini des encadrements des différents systèmes d’IA en fonction de leur niveau de risque.