Vos données de passeport ne peuvent être ni revendues ni réutilisées, et votre contrat doit le dire

Le règlement batteries encadre ce qu'un prestataire a le droit de faire des données qu'il stocke pour vous. Cinq clauses à vérifier avant de signer avec une plateforme de passeports.

Un passeport batterie rassemble ce qu'un fabricant a de plus sensible : composition, fournisseurs, performances réelles, empreinte carbone détaillée. La plupart des entreprises confieront ces données à une plateforme. Le règlement a prévu ce cas, et il est plus protecteur qu'on ne le croit.

Ce que dit l'article 78

Le règlement (UE) 2023/1542 fixe les exigences essentielles de la conception technique du passeport. Trois d'entre elles concernent directement la relation avec un prestataire.

Point c). Les données du passeport sont stockées par l'opérateur économique responsable, ou par des opérateurs autorisés à agir pour son compte. Le recours à un prestataire est donc explicitement admis.

Point d). Lorsque les données sont stockées ou traitées par ces opérateurs, ils ne sont pas autorisés à les vendre, à les réutiliser ou à les traiter, en tout ou en partie, au-delà de ce qui est nécessaire à la fourniture du service de stockage ou de traitement.

Point e). Le passeport reste disponible après que l'opérateur économique responsable a cessé d'exister ou cessé son activité dans l'Union.

S'y ajoute l'article 77, paragraphe 5 : toutes les informations du passeport reposent sur des standards ouverts, dans un format interopérable, transférable, lisible par machine, structuré et interrogeable, sans dépendance à l'égard d'un fournisseur.

Ce que l'interdiction couvre vraiment

La formule est large : vendre, réutiliser, traiter au-delà du service. Elle vise donc aussi des pratiques courantes dans le logiciel en ligne :

• constituer des comparatifs sectoriels à partir des données des clients, même agrégées, sans accord exprès ;
• alimenter un service tiers, par exemple un courtier de données ou une place de marché de matières ;
• entraîner des modèles sur les données des clients pour enrichir une offre vendue à d'autres.

Rien n'interdit à un prestataire de proposer ces services. Mais ils supposent votre accord, distinct du contrat de base, et ne peuvent pas être une contrepartie cachée d'un tarif attractif.

Cinq clauses à chercher dans le contrat

1. La finalité. Le contrat doit dire que les données de passeport ne sont traitées que pour fournir le service. Une clause générale autorisant l'usage des données « pour améliorer nos produits » ne suffit pas.
2. La propriété et l'export. Vous devez pouvoir récupérer l'intégralité de vos données, à tout moment, dans un format ouvert et documenté. Demandez un exemple d'export avant de signer.
3. Le sort des passeports publiés à la fin du contrat. Supprimer les données d'un ancien client est la norme. Pour des passeports publiés, c'est incompatible avec leur maintien jusqu'au recyclage. Le contrat doit distinguer les deux.
4. La continuité. Que se passe-t-il si le prestataire cesse son activité ? Une réponse orale ne vaut rien. Il faut un mécanisme décrit : séquestre, copie, redirection des adresses.
5. La sous-traitance. Les mêmes interdictions doivent s'imposer à l'hébergeur et aux sous-traitants du prestataire. Demandez la liste.

Et les données personnelles ?

Un passeport batterie contient peu de données personnelles, mais il peut en contenir : nom d'un signataire, coordonnées d'un contact, identité d'un acheteur dans certains usages. Le règlement général sur la protection des données s'applique alors en plus, avec son propre contrat de sous-traitance. Les deux régimes se cumulent, ils ne se remplacent pas.

Un test de cohérence

Lisez les conditions générales et la politique de confidentialité du prestataire côte à côte. Si l'une annonce la suppression des données trente jours après la résiliation et l'autre une conservation de quinze ans pour les passeports, l'une des deux est fausse. Demandez laquelle.