Data Act (Règlement européen sur les données)

Le Data Act (règlement européen sur les données) est le règlement (UE) 2023/2854 du 13 décembre 2023. Il fixe des règles horizontales sur l’accès, le partage et la portabilité des données générées par les produits connectés et les services associés. Applicable à partir du 12 septembre 2025.

Objectif

Compléter le cadre numérique européen sur l’angle économique de la donnée :

• Démocratiser l’accès aux données générées par les objets connectés (voitures, machines industrielles, capteurs, électroménager)
• Réduire le verrouillage des fournisseurs cloud (vendor lock-in)
• Faciliter le partage B2B et B2G (entreprise vers administration)

À distinguer du Data Governance Act (DGA), qui pose les structures (espaces de données, intermédiaires) ; le Data Act pose les droits substantiels.

Champ d’application

IoT et données industrielles

Tous les produits connectés mis sur le marché UE et les services associés (fabricants, fournisseurs de services).

Fournisseurs de services de traitement de données

Cloud, edge, services de calcul.

Détenteurs de données B2B

Fournisseurs de données soumis à une obligation légale de partage.

Administrations publiques

Demandeurs de données dans des situations d’exception (urgence, mission d’intérêt public).

Principales obligations

Accès aux données par l’utilisateur

L’utilisateur d’un produit connecté (entreprise ou particulier) peut accéder gratuitement aux données qu’il a générées et les partager avec un tiers de son choix (réparateur indépendant, maintenance prédictive, autre service).

Conception “access by design”

Les fabricants doivent concevoir leurs produits pour que les données soient accessibles par défaut dès la conception.

Transparence pré-contractuelle

Avant l’achat, le fabricant doit informer l’utilisateur des données collectées, de la fréquence, du format, et de ses droits d’accès.

Switching cloud

• Suppression progressive des frais de portabilité (gratuité à partir de 2027)
• Délai max 30 jours pour basculer vers un autre fournisseur
• Interopérabilité technique : formats ouverts, API, documentation

B2G dans les situations d’exception

Les administrations peuvent demander aux entreprises l’accès à des données dans des situations d’urgence (catastrophe naturelle, crise sanitaire) ou pour une mission d’intérêt public spécifique. Pas de partage gratuit en routine.

Clauses contractuelles abusives

Encadrement des contrats B2B : interdiction des clauses manifestement déséquilibrées entre PME et grandes entreprises sur le partage de données.

Articulation avec d’autres textes

• RGPD : prévaut sur les données personnelles. Le Data Act se concentre sur les données non personnelles, mais s’applique aussi aux données mixtes.
• Data Governance Act : structures de partage (espaces de données, services d’intermédiation altruiste). Le Data Act fournit les droits, le DGA les véhicules.
• DMA : portabilité au sein des plateformes désignées gatekeepers — règles plus strictes que le Data Act sur ce périmètre.
• IA Act : qualité des données pour les systèmes à haut risque.

Sanctions

Définies par les États membres (le règlement laisse de la marge). En France, le projet de loi de transposition fixe les autorités compétentes (CNIL pour le volet personnel, ARCEP envisagée pour le cloud).

Enjeux pour les organisations

Fabricants industriels

Refonte de l’architecture produit : APIs, formats, mécanismes d’authentification utilisateur. Risque de désintermédiation par des tiers (réparateurs indépendants, services de maintenance concurrents).

Fournisseurs cloud

Forte pression sur les modèles tarifaires (frais de sortie). Obligation d’interopérabilité — les standards techniques restent en discussion via les actes délégués.

Entreprises utilisatrices

Levier important pour les PME : accès aux données qu’elles génèrent, possibilité de comparer/changer de fournisseur. Encore faut-il avoir l’expertise pour exploiter ces données.

Cabinets AP

Dossier en cours de précision via les actes d’exécution Commission (formats techniques, modèles de contrat). Forte activité de lobbying côté fabricants automobiles, fournisseurs cloud, fédérations PME.

Sources officielles

• Règlement (UE) 2023/2854
• Commission européenne — Data Act