Le Data Act, règlement européen sur les données applicable depuis le 12 septembre 2025, donne aux utilisateurs d’objets connectés le droit d’accéder aux données qu’ils génèrent et de les partager. Il encadre aussi les contrats de données entre professionnels et facilite le changement de fournisseur de cloud. Ce guide explique les obligations du Data Act et les clauses à prévoir dans vos contrats.
Qu’est-ce que le Data Act ?
Le règlement (UE) 2023/2854 sur les données, dit Data Act, s’applique depuis le 12 septembre 2025. Il part d’un constat : les données produites par une machine, une voiture, un appareil ménager ou un équipement industriel restent le plus souvent entre les mains du fabricant, alors que c’est l’utilisateur qui les génère. Le Data Act rééquilibre ce rapport.
Il ne remplace pas le RGPD : lorsque les données sont personnelles, les deux textes s’appliquent ensemble, et le RGPD prime en cas de conflit.
Qui est concerné par le Data Act ?
- les fabricants de produits connectés : tout objet qui collecte des données sur son utilisation ou son environnement et peut les transmettre (machines industrielles, véhicules, équipements médicaux, objets domestiques) ;
- les fournisseurs de services connexes : applications et logiciels sans lesquels le produit ne remplit pas certaines fonctions ;
- les détenteurs de données et les entreprises qui les reçoivent ;
- les fournisseurs de services en nuage et, plus largement, de services de traitement de données ;
- toute entreprise qui conclut des contrats portant sur des données avec un autre professionnel.
Les micro et petites entreprises sont dispensées des obligations de partage pour les produits qu’elles fabriquent ; les entreprises moyennes en bénéficient pendant un an après la mise sur le marché d’un nouveau produit.
Quelles sont les principales obligations du Data Act ?
Rendre les données accessibles à l’utilisateur
L’utilisateur d’un produit connecté doit pouvoir accéder aux données que génère son utilisation, facilement, gratuitement et, si possible, directement depuis le produit. Pour les produits mis sur le marché depuis le 12 septembre 2026, cet accès doit être prévu dès la conception.
Partager les données avec un tiers choisi par l’utilisateur
À la demande de l’utilisateur, le détenteur doit mettre les données à la disposition d’un tiers, par exemple un réparateur indépendant ou un prestataire de maintenance. Ce partage se fait à des conditions équitables, raisonnables et non discriminatoires, contre une compensation raisonnable. Le tiers ne peut pas utiliser ces données pour développer un produit concurrent.
Ne pas imposer de clauses abusives
Une clause relative à l’accès aux données ou à leur utilisation, imposée unilatéralement à une autre entreprise, est sans effet si elle est abusive. Le Data Act dresse une liste noire (par exemple, exclure sa responsabilité en cas de faute lourde) et une liste grise de clauses présumées abusives.
Permettre de changer de fournisseur de cloud
Le client d’un service en nuage doit pouvoir changer de fournisseur, ou rapatrier ses données, sans obstacle technique, contractuel ou commercial. Les frais de changement sont réduits jusqu’au 12 janvier 2027, puis interdits.
Protéger les données non personnelles contre les accès étrangers
Les fournisseurs de services de traitement de données doivent prendre des mesures pour empêcher l’accès d’un État tiers aux données non personnelles qu’ils hébergent, lorsqu’il contreviendrait au droit de l’Union.
Quelles clauses prévoir dans les contrats soumis au Data Act ?
Le Data Act s’applique d’abord par les contrats. Voici, concrètement, ce que les opérateurs doivent revoir ou rédiger.
1. L’information avant la vente ou la location
Avant de conclure le contrat de vente, de location ou de crédit-bail d’un produit connecté, le vendeur doit informer l’acheteur, de manière claire : quelles données le produit génère (type, format, volume estimé), si elles sont produites en continu, où elles sont stockées, et comment l’utilisateur peut y accéder, les récupérer et les effacer. Pour un service connexe, il faut aussi indiquer qui détient les données, à quelles fins elles seront utilisées et si elles seront partagées. Ces mentions doivent figurer dans vos conditions générales ou votre documentation commerciale.
2. Le contrat d’utilisation des données avec l’utilisateur
Le fabricant ou le fournisseur ne peut utiliser les données non personnelles générées par le produit que sur le fondement d’un contrat conclu avec l’utilisateur. Ce contrat doit préciser :
- les données concernées et les finalités pour lesquelles le détenteur peut les utiliser ;
- l’interdiction de les utiliser pour obtenir des informations sur la situation économique de l’utilisateur qui pourraient lui nuire ;
- les conditions dans lesquelles les données peuvent être transmises à des partenaires ;
- les mesures de confidentialité destinées à protéger les secrets d’affaires contenus dans les données.
3. Le contrat de partage avec un tiers
Lorsque l’utilisateur demande le partage de ses données avec un tiers, un contrat entre le détenteur et ce tiers fixe les modalités du partage : format et fréquence de transmission, mesures techniques de protection, montant de la compensation, finalités autorisées, interdiction de développer un produit concurrent, durée de conservation, sort des données à la fin du contrat. Pour une PME, la compensation ne peut pas dépasser le coût de la mise à disposition. Les litiges peuvent être portés devant un organe de règlement des litiges certifié.
4. Le contrôle des clauses entre entreprises
Tous les contrats de données imposés à un partenaire doivent être relus au regard des clauses interdites et présumées abusives. Sont notamment visées les clauses qui excluent les recours en cas d’inexécution, qui permettent à une partie d’accéder aux données de l’autre de manière préjudiciable, qui empêchent l’autre partie d’utiliser les données qu’elle a fournies, ou qui imposent un préavis de résiliation déraisonnablement court. Ces règles s’appliquent aux contrats conclus depuis le 12 septembre 2025 et, à partir du 12 septembre 2027, à certains contrats de longue durée conclus avant.
5. Le contrat de services en nuage
Le contrat de cloud doit désormais prévoir par écrit : le droit du client de changer de fournisseur ou de rapatrier ses données, un préavis de deux mois au plus pour engager le changement, une période de transition de trente jours en principe, pendant laquelle le fournisseur assiste le client, la liste exhaustive des données et applications exportables, une période d’au moins trente jours pour récupérer les données, l’effacement complet des données à l’issue du changement, et les frais éventuels.
6. Les clauses types de la Commission
Par une recommandation du 19 novembre 2025, la Commission européenne a publié des clauses contractuelles types pour l’accès aux données et leur utilisation, ainsi que des clauses types pour les contrats de cloud. Elles ne sont pas obligatoires, mais elles offrent une base solide, que nous adaptons à chaque situation.
Quel est le calendrier du Data Act ?
- 12 septembre 2025 : application générale (accès, partage, clauses abusives, cloud) ;
- 12 septembre 2026 : accès aux données dès la conception pour les nouveaux produits ;
- 12 janvier 2027 : suppression des frais de changement de fournisseur de cloud ;
- 12 septembre 2027 : contrôle des clauses abusives étendu à certains contrats anciens.
Des modifications du Data Act sont en discussion dans le cadre de l’« omnibus numérique » : refus de partage plus large pour protéger les secrets d’affaires, assouplissement des règles de changement de cloud pour certains contrats anciens. Nous suivons ces évolutions et mettrons cette page à jour lors de leur adoption.
Quelles sanctions en cas de non-respect ?
Les sanctions sont fixées par chaque État membre et doivent être effectives et dissuasives. Lorsque des données personnelles sont en cause, les autorités de protection des données peuvent prononcer les amendes prévues par le RGPD, jusqu’à 4 % du chiffre d’affaires annuel mondial. Une clause abusive est en outre privée d’effet, et l’utilisateur ou le tiers lésé peut agir en justice.
Comment se mettre en conformité avec le Data Act ?
- Qualifier votre situation : fabricant, fournisseur de service connexe, détenteur, destinataire de données ou fournisseur de cloud, et vérifier les dispenses applicables.
- Recenser les données générées par vos produits et services, leur lieu de stockage et leurs usages actuels.
- Organiser l’accès : procédure de demande, moyens techniques, protection des secrets d’affaires.
- Mettre à jour vos contrats : information précontractuelle, contrat d’utilisation des données, contrats de partage, contrats de cloud, relecture des clauses imposées à vos partenaires.
- Attester la conformité par un pack documentaire daté et une attestation signée électroniquement.
Le Data Act se combine souvent avec le RGPD et l’IA Act : nous traitons ces textes ensemble dans le cadre de notre offre Conformité Data.
Combien coûte une mise en conformité Data Act ?
L’audit Data Act, comme la rédaction des contrats, est proposé à partir de 3 000 € HT. Le devis précise le nombre de produits, de services et de contrats concernés.
RÉFÉRENCES :
- Règlement (UE) 2023/2854 du 13 décembre 2023 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données (Data Act), notamment articles 3 à 13, 23 à 29, 32, 40 et 50
- Recommandation de la Commission européenne du 19 novembre 2025 relative aux clauses contractuelles types non contraignantes sur l’accès aux données et leur utilisation et aux clauses types pour les contrats d’informatique en nuage
- Règlement (UE) 2016/679 (RGPD)
À lire aussi : Conformité numérique, Data Act : l’accès obligatoire aux données des objets connectés B2B
