Data Act : obligations et échéances pour les entreprises

Qu'est-ce que le Data Act ?

Le Data Act, ou règlement sur les données, est le règlement (UE) 2023/2854 du 13 décembre 2023. Il part d'un constat simple : une machine industrielle, une voiture ou un thermostat connecté produisent des quantités de données, mais seul le fabricant en profite le plus souvent.

Le texte veut rééquilibrer la situation. Son article 1er fixe six objectifs : l'accès des utilisateurs aux données de leurs produits connectés, le partage de données entre entreprises, la mise à disposition de données au secteur public en cas de besoin exceptionnel, le changement de fournisseur cloud, la protection contre l'accès illicite de pays tiers et l'interopérabilité.

Comme le RGPD ou DORA, c'est un règlement et non une directive : il s'applique tel quel dans tous les États membres. Il ne faut pas le confondre avec le Data Governance Act de 2022, qui encadre surtout les intermédiaires de données et la réutilisation des données publiques.

Pour une direction juridique, le Data Act est d'abord une affaire de contrats. Contrats de vente ou de location d'équipements connectés, contrats de partage de données, contrats cloud : tous doivent être relus à la lumière de ses règles, avec des échéances qui s'étalent jusqu'en 2027.

Les échéances du Data Act, de 2025 à 2027

Le Data Act est applicable depuis le 12 septembre 2025, mais plusieurs obligations ont leur propre calendrier, fixé par les articles 29 et 50. Avant de planifier une action, il faut donc savoir quelle date s'applique à quel objet : un produit, un contrat ou un service cloud.

Sources : articles 29 et 50 du règlement (UE) 2023/2854. Tableau établi par l'équipe Tallos au 20 octobre 2026.

Les deux échéances à anticiper en 2027

12 janvier 2027 : la fin des frais de changement. Depuis janvier 2024, un fournisseur cloud ne peut facturer que des frais réduits, limités à ses coûts directs. À partir du 12 janvier 2027, il ne peut plus en facturer aucun pour le processus de changement. Les abonnements et les pénalités de résiliation anticipée restent en revanche régis par le contrat.

12 septembre 2027 : les contrats anciens. Les règles sur les clauses abusives s'appliquent déjà aux contrats conclus après le 12 septembre 2025. Elles s'étendront aux contrats conclus avant cette date s'ils sont à durée indéterminée, ou s'ils expirent au moins dix ans après le 11 janvier 2024, soit en 2034 ou plus tard.

Concrètement, un contrat de fourniture de données signé en 2023 pour une durée indéterminée devra être relu avant septembre 2027. Un contrat de trois ans signé la même année, lui, n'est pas concerné. Encore faut-il savoir quels contrats entrent dans chaque catégorie, ce qui suppose un inventaire.

Qui est concerné par le Data Act ?

Le Data Act ne vise pas un secteur, mais des rôles. Une même entreprise peut en cumuler plusieurs, par exemple en achetant des machines connectées tout en hébergeant ses données chez un fournisseur cloud. Les principaux rôles sont les suivants :

• Les fabricants de produits connectés et les fournisseurs de services connexes, comme une application qui pilote l'équipement, quel que soit leur lieu d'établissement.
• Les utilisateurs de ces produits dans l'Union, entreprises ou particuliers, qui obtiennent des droits sur les données générées.
• Les détenteurs et les destinataires de données, qui doivent mettre les données à disposition ou les reçoivent à la demande de l'utilisateur.
• Les entreprises parties à un contrat de données, protégées contre les clauses abusives qui leur sont imposées.
• Les fournisseurs de services cloud et plus largement de services de traitement de données, ainsi que leurs clients.
• Les organismes publics, qui peuvent demander des données en cas de besoin exceptionnel.

Les petites structures bénéficient d'un allègement ciblé. Les obligations de partage liées aux produits connectés ne s'appliquent pas aux données générées par les produits des microentreprises et petites entreprises, à condition qu'elles ne soient pas liées à une entreprise plus grande ni sous-traitantes pour la fabrication (article 7).

Les grandes plateformes, elles, sont tenues à l'écart d'une autre manière : une entreprise désignée comme contrôleur d'accès au sens du Digital Markets Act ne peut pas être destinataire des données qu'un utilisateur fait transmettre à un tiers (article 5, paragraphe 3).

Produits connectés : le droit d'accès et de partage

C'est le cœur historique du texte. Les données concernées sont celles qui portent sur la performance, l'utilisation et l'environnement du produit, à l'exclusion du contenu : les heures de fonctionnement d'une machine ou ses codes d'erreur, oui ; le film enregistré par une caméra, non.

Des données accessibles dès la conception

Les produits mis sur le marché après le 12 septembre 2026 doivent être conçus pour que leurs données soient accessibles par défaut à l'utilisateur, gratuitement, dans un format structuré et lisible par machine (article 3, paragraphe 1). Pour un fabricant, cette obligation se traite au stade de la conception, pas de la vente.

Avant la signature d'un contrat de vente, de location ou de crédit-bail, le vendeur doit aussi informer l'utilisateur : type et volume de données générées, lieu de stockage, durée de conservation, et moyens d'y accéder ou de les effacer (article 3, paragraphe 2). Ces mentions ont toute leur place dans vos conditions générales.

Un accès sur simple demande, et le partage avec un tiers

Lorsque l'utilisateur ne peut pas accéder lui-même aux données, le détenteur doit les lui fournir sans retard injustifié, sans frais et avec la même qualité que celle dont il dispose (article 4). Une simple demande électronique suffit.

L'utilisateur peut aussi demander que ses données soient transmises à un tiers de son choix, par exemple un réparateur indépendant ou un prestataire de maintenance (article 5). Pour l'utilisateur, ce partage est gratuit. Entre le détenteur et le tiers destinataire, en revanche, une compensation peut être prévue.

Cette compensation doit être raisonnable et non discriminatoire, et peut inclure une marge (article 9). Les modalités de mise à disposition sont convenues selon des conditions équitables, raisonnables et non discriminatoires, la formule « FRAND » bien connue des négociateurs de licences (article 8).

Le fabricant n'est pas pour autant désarmé : le règlement prévoit des garde-fous pour ses secrets d'affaires, qui doivent être identifiés et protégés par des mesures proportionnées avant toute communication. Ce n'est donc pas une porte ouverte, mais ce n'est plus un coffre-fort.

Les clauses contractuelles abusives

C'est la partie du Data Act qui concerne le plus directement les juristes. L'article 13 prévoit qu'une clause relative à l'accès aux données, à leur utilisation ou à la responsabilité en cas de manquement, imposée unilatéralement par une entreprise à une autre, ne lie pas cette dernière si elle est abusive.

Point important : la protection vaut quelle que soit la taille des entreprises. Une clause est abusive lorsqu'elle s'écarte manifestement des bonnes pratiques commerciales en matière de données, contrairement à la bonne foi et à un usage loyal. Le texte dresse ensuite deux listes, l'une de clauses toujours abusives, l'autre de clauses présumées abusives.

Source : article 13, paragraphes 4 et 5, du règlement (UE) 2023/2854. Sélection établie par l'équipe Tallos ; la liste des clauses présumées abusives est plus longue.

Une clause est considérée comme imposée unilatéralement lorsque l'autre partie n'a pas pu en influencer le contenu malgré une tentative de négociation. C'est à celui qui a rédigé la clause de prouver le contraire. Le réflexe à prendre est donc simple : conserver la trace des échanges de négociation.

Les juristes français reconnaîtront une logique proche de l'article 1171 du Code civil sur les contrats d'adhésion, ou de l'article L.442-1 du Code de commerce sur le déséquilibre significatif. Le Data Act ajoute une grille européenne propre aux données, qui s'applique en plus de ces règles nationales.

Pour aider les entreprises, l'article 41 charge la Commission européenne de recommander des clauses contractuelles types, non contraignantes, pour les contrats de partage de données et les contrats cloud. Elles constituent un bon point de départ pour mettre à jour vos modèles.

Changer de fournisseur cloud

Le Data Act s'attaque à l'enfermement propriétaire, le fameux « vendor lock-in ». Les fournisseurs de services de traitement de données doivent supprimer les obstacles commerciaux, techniques et contractuels qui empêchent leurs clients de partir vers un concurrent ou de revenir sur leurs propres serveurs (article 23).

L'article 25 impose ensuite un contenu minimal au contrat cloud, qui doit être écrit et remis au client avant la signature. Parmi les mentions obligatoires :

• un préavis de deux mois au plus pour lancer le changement de fournisseur ;
• une période de transition de trente jours calendaires au maximum, pendant laquelle le service continue et le fournisseur assiste le client ;
• une période d'au moins trente jours pour récupérer les données une fois la transition terminée ;
• la liste exhaustive des données et actifs numériques qui peuvent être transférés ;
• l'effacement complet des données du client à l'issue de la période de récupération ;
• la participation du fournisseur à la stratégie de sortie du client.

Une exception existe pour les services conçus sur mesure pour un client et qui ne sont pas proposés à grande échelle dans le catalogue du fournisseur : certaines obligations, dont la suppression des frais, ne s'y appliquent pas (article 31).

Ces exigences rejoignent celles de DORA pour le secteur financier, qui impose déjà des stratégies de sortie pour les prestataires critiques. Nous les détaillons dans notre guide sur la réglementation DORA.

Secteur public et accès international

Le besoin exceptionnel. Les organismes publics, la Commission et la Banque centrale européenne peuvent demander des données à une entreprise lorsqu'ils démontrent un besoin exceptionnel (articles 14 et 15). Il s'agit principalement de réagir à une situation d'urgence, ou d'exécuter une mission d'intérêt public prévue par la loi lorsque les données manquent. La demande doit être motivée.

L'accès des autorités étrangères. Les fournisseurs cloud doivent prendre des mesures techniques, organisationnelles et contractuelles pour empêcher l'accès d'une autorité d'un pays tiers aux données non personnelles stockées dans l'Union, lorsque cet accès risque d'entrer en conflit avec le droit européen ou national (article 32).

Sanctions et autorité de contrôle

Le règlement ne fixe pas lui-même de barème. Il demande aux États membres de prévoir des sanctions effectives, proportionnées et dissuasives, en tenant compte notamment de la gravité de l'infraction et du chiffre d'affaires de son auteur (article 40).

Il prévoit toutefois un renfort : pour les manquements aux règles sur les produits connectés, le partage de données et le secteur public, les autorités de protection des données peuvent infliger des amendes selon l'article 83 du RGPD. Le plafond est alors celui du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

En France, le projet de loi d'adaptation au droit de l'Union présenté le 10 novembre 2025 prévoit de confier à l'Arcep la mise en œuvre du Data Act, avec des pouvoirs d'enquête, de sanction et de règlement des différends, comme l'indique l'avis rendu par l'Arcep le 5 janvier 2026. La CNIL reste compétente dès que des données personnelles sont en jeu.

Le texte pourrait aussi évoluer : en novembre 2025, la Commission a proposé, dans son paquet « omnibus numérique », de modifier certaines règles du Data Act. Tant qu'une réforme n'est pas adoptée et publiée, ce sont les dates et obligations actuelles qui s'appliquent.

Data Act et RGPD : comment ils s'articulent

Le Data Act couvre les données personnelles et non personnelles. Il s'applique toutefois sans préjudice du RGPD (article 1er, paragraphe 5) : lorsque des données personnelles sont en jeu, le RGPD continue de s'appliquer, avec ses bases légales, ses droits et ses autorités de contrôle, et prévaut en cas de conflit.

En pratique, l'utilisateur d'un produit n'est pas toujours la personne concernée. Les données d'une machine louée par une entreprise peuvent révéler l'activité des salariés qui la conduisent. Avant de transmettre des données à un tiers, il faut donc vérifier qu'une base légale RGPD le permet, et associer votre DPO à l'analyse.

Le Data Act s'ajoute ainsi à une liste déjà longue de textes européens à articuler. Si votre entreprise conçoit ou déploie des systèmes d'IA entraînés sur ces données, notre guide sur l'IA Act détaille les obligations qui s'y superposent.

Les étapes pour se mettre en conformité

Le Data Act s'applique déjà, et ses échéances de 2027 se préparent dès maintenant, surtout lorsqu'elles supposent de renégocier des contrats. Voici une feuille de route en six étapes, à adapter à vos activités.

1. Qualifier vos rôles. Fabricant, utilisateur, détenteur ou destinataire de données, client ou fournisseur cloud : listez les situations dans lesquelles votre entreprise se trouve, et vérifiez si l'exception de l'article 7 vous concerne.
2. Inventorier les contrats. Recensez les contrats qui portent sur des données ou des services cloud, avec leur date de signature et leur durée, pour savoir lesquels relèvent des règles de 2025 et lesquels basculeront en 2027.
3. Relire les clauses de données. Comparez chaque contrat aux listes de l'article 13 : limitation de responsabilité, usage des données, droit d'obtenir une copie, résiliation, modification du prix.
4. Mettre à jour vos contrats cloud. Vérifiez les mentions de l'article 25, les frais de changement facturés avant et après le 12 janvier 2027, et préparez votre stratégie de sortie.
5. Adapter vos produits et vos CGV. Si vous fabriquez des produits connectés, organisez l'accès aux données et complétez l'information précontractuelle.
6. Articuler avec le RGPD. Pour chaque flux de données, identifiez la part de données personnelles, la base légale applicable et le rôle de chacun.

Auditer vos contrats de données

Les étapes 2 à 4 représentent le plus gros du travail : retrouver les bons contrats, puis vérifier clause par clause s'ils respectent l'article 13 et, pour le cloud, l'article 25. Sur un portefeuille de plusieurs dizaines de contrats, cette relecture manuelle prend vite des semaines.

Avec Tallos, vous intégrez ces exigences à votre playbook juridique, puis l'outil analyse chaque contrat dans Word, signale les clauses à risque ou manquantes et propose une reformulation en suivi des modifications. Ses analyses s'appuient uniquement sur le droit en vigueur.

Pour en savoir plus sur la méthode, consultez notre guide sur l'analyse de contrat par IA, et pour obtenir les avenants nécessaires, notre article sur la négociation de contrat avec l'IA.