Data Act en vigueur : votre entreprise est-elle prête ?

Entrée en application Data Act ce 12 septembre 2025 : votre entreprise est-elle prête ?

À compter de ce 12 septembre 2025, le  règlement sur les données (Data Act), entre en application (presque dans son intégralité). Ce règlement marque un tournant dans la manière dont les entreprises doivent gérer et partager les données, en particulier les entreprises actives dans le domaine de l’IoT (Internet des objets) et les entreprises qui offrent services de traitement de données (SaaS, IaaS, PaaS…).

La conformité n’est donc plus une option, mais une exigence légale dont le non-respect est assorti de sanctions.

Qu’est-ce qui change aujourd’hui pour votre entreprise ?

Le Data Act impose une série d’obligations, parmi lesquelles on retrouve :

1. Obligation de partage des données IoT : le règlement impose une obligation de mettre à disposition des utilisateurs (et des tiers désignés par ceux-ci) les données générées par les produits connectés, services connexes et assistants virtuels (dans la mesure où ils interagissent avec un produit connecté ou un service connexe). Ainsi, l’utilisateur d’un véhicule connecté pourrait demander l’accès pour lui-même aux données générées par ce véhicule, mais aussi solliciter le partage de ces données avec un tiers, par exemple un garage spécialisé dans la réparation des véhicules connectés ou le fournisseur d’une application permettant l’évaluation des performances du véhicule.
2. Obligation d’information précontractuelle : une série d’informations doivent obligatoirement être fournies aux utilisateurs avant la conclusion du contrat relatif à un produit connecté, un service connexe ou un assistant virtuel (par exemple, le volume estimé, le type et le format des données, leur durée de conservation, ou encore la manière dont l’utilisateur peut avoir accès aux données).
3. Protection contre les clauses abusives : le Data Act interdit certaines clauses réputées abusives dans les contrats portant sur l’accès et l’utilisation de données. Sont non seulement visées les données IoT couvertes par les obligations de partage prévues dans le Data Act, mais aussi les données soumises à d’autres obligations légales de partage.
4. Accès aux données par le secteur public : les entreprises détenant des données peuvent se voir réclamer le partage de celles-ci par un organisme du secteur public, la Commission européenne, la Banque centrale européenne ou un organe de l’Union dans une situation d’urgence ou, sous certaines conditions, pour l’exécution d’une mission d’intérêt public spécifique.
5. Changement de service de traitement de données : le Data Act vise à faciliter le passage d’un service de traitement de données à un autre (par exemple, les services de type SaaS, IaaS ou encore PaaS). Dans cette perspective, il impose aux fournisseurs de services la mise en place d’un certain nombre de mesures tant opérationnelles que contractuelles.
6. Accès et transfert internationaux illicites de données à caractère non personnel : le Data Act impose en outre aux fournisseurs de services de traitement de données la mise en place de mesures techniques, juridiques et organisationnelles appropriées (notamment de type contractuel) pour empêcher les autorités publiques de pays tiers d’accéder à des données à caractère non personnel et de les transférer en contravention avec la législation nationale ou de l’Union européenne.
7. Interopérabilité et contrats intelligents : le Data Act impose des exigences en matière d’interopérabilité des espaces de données (par exemple, le futur espace européen des données de santé (EHDS)). Des exigences sont en outre imposées pour le déploiement de contrats intelligents dans le cadre de l’exécution d’accords de partage de données. Des normes harmonisées devraient être élaborées dans ces domaines.

Comment se préparer et s’adapter ?

Une analyse et, le cas échéant, une adaptation des pratiques de votre entreprise est nécessaire pour se conformer au Data Act. Cela implique notamment de :

• Identifier les types de services et de données qui sont concernés par les obligations légales ;
• Revoir et adapter vos contrats;
• Élaborer des documents d’information précontractuelle;
• Établir une stratégie de partage des données (tant pour l’IoT que pour les services de traitement de données) déterminant clairement les données qui doivent légalement être partagées et celles qui ne doivent pas l’être ;
• Intégrer dans les processus internes une procédure de traitement des demandes de partage de données IoT et/ou de changement de service de traitement de données (à coordonner avec les procédures applicables aux demandes relatives au RGPD) ;
• Analyser les mesures à mettre en place pour empêcher l’accès et le transfert internationaux illicites de données à caractère non personnel.