Le Data Act s’applique : accès et partage des données des objets connectés

Le règlement (UE) 2023/2854, dit Data Act, s’applique à compter de ce 12 septembre 2025. Adopté fin 2023, il complète le RGPD, qui protège les données personnelles, par un texte qui organise l’accès aux données produites par l’usage des objets connectés et leur partage entre acteurs économiques. Il ne crée pas de droit de propriété sur les données ; il fixe qui peut y accéder, à quelles conditions, et avec quelles protections.

Une machine agricole, un ascenseur, un compteur, un véhicule, un appareil médical connecté, un équipement industriel : tous produisent des données d’usage que, jusqu’ici, seul le fabricant exploitait le plus souvent. Le règlement change cette répartition.

Quatre changements à retenir

Un droit d’accès pour l’utilisateur. L’utilisateur d’un produit connecté ou d’un service connexe, qu’il s’agisse d’une entreprise ou d’un particulier, peut obtenir les données générées par son usage. Il peut aussi demander qu’elles soient transmises à un tiers de son choix, par exemple un réparateur indépendant ou un prestataire de maintenance. Les grands contrôleurs d’accès désignés au titre du règlement sur les marchés numériques ne peuvent pas être destinataires de ces transmissions.

Des contrats de partage encadrés. Lorsque le détenteur des données les met à disposition d’une autre entreprise, il le fait à des conditions équitables, raisonnables et non discriminatoires. Les clauses abusives imposées unilatéralement en matière d’accès et d’utilisation des données sont privées d’effet. Les secrets d’affaires restent protégés, avec des mécanismes de confidentialité et, dans des cas encadrés, la possibilité de refuser le partage.

Un accès pour les organismes publics en cas de besoin exceptionnel. Une autorité publique peut demander des données détenues par une entreprise pour répondre à une urgence publique, ou pour une mission d’intérêt public lorsque ces données ne peuvent être obtenues autrement. Le texte borne strictement ce cas.

Un changement de fournisseur de nuage facilité. Les fournisseurs de services de traitement de données doivent permettre à leurs clients de migrer vers un autre fournisseur, ou de revenir sur leurs propres infrastructures, sans obstacles techniques, contractuels ou commerciaux injustifiés. Les frais de changement disparaissent progressivement.

Un calendrier en plusieurs temps

Le 12 septembre 2025 n’est qu’une première étape. Plusieurs obligations entrent en application plus tard.

• 12 septembre 2025application générale du règlement
• 12 septembre 2026produits mis sur le marché conçus pour un accès facile aux données
• 12 janvier 2027fin des frais de changement de fournisseur de nuage
• 12 septembre 2027clauses abusives : extension à certains contrats antérieurs

L’obligation de concevoir les produits pour que les données soient accessibles par défaut, directement par l’utilisateur, vise ceux mis sur le marché après le 12 septembre 2026. Pour les produits déjà commercialisés, le droit d’accès s’exerce sur demande, dans les conditions prévues par le texte. Les micro et petites entreprises sont dispensées de certaines obligations de partage lorsqu’elles sont fabricants ou fournisseurs.

Par où commencer

Le règlement concerne trois catégories d’organisations, parfois en même temps : celles qui fabriquent ou exploitent des produits connectés (détenteurs de données), celles qui les utilisent (et peuvent désormais réclamer leurs données), et celles qui achètent des services de nuage.

• Recenser les produits connectés que vous fabriquez, vendez ou utilisez, et les données qu’ils produisent.
• Distinguer, dans ces données, ce qui relève de données personnelles (RGPD) et de secrets d’affaires.
• Préparer une procédure de réponse aux demandes d’accès : identification du demandeur, délais, format, sécurité de la transmission.
• Relire les contrats de partage de données et de services de nuage au regard des nouvelles règles, en particulier les clauses de sortie.
• Pour les utilisateurs : identifier les données d’équipements que vous auriez intérêt à récupérer, pour la maintenance, l’énergie ou la planification.

Le fil conducteur de ces chantiers est la traçabilité : savoir qui a demandé quelles données, ce qui a été transmis, à qui, sur quelle base, et pouvoir le démontrer. C’est l’objet de notre produit Gouvernance, et l’un des terrains de notre expertise cybersécurité et conformité, où le Data Act rejoint NIS 2, le RGPD et les règles sectorielles dans une même démarche.

1. Règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données (règlement sur les données), Journal officiel de l’Union européenne.
2. Commission européenne, pages d’information et questions-réponses consacrées au règlement sur les données.