Data Act
Règlement sur les données (règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données)
Règlement (UE) 2023/2854 du 13 décembre 2023
En deux mots
Le Data Act donne aux utilisateurs d'objets connectés (machines, véhicules, équipements) le droit d'accéder aux données que ces objets produisent et de les partager avec le prestataire de leur choix. Il interdit les clauses abusives imposées à une entreprise dans les contrats sur les données et facilite le changement de fournisseur de services en nuage en supprimant progressivement les obstacles et les frais de sortie.
Qui est concerné
Les fabricants et vendeurs de produits connectés et de services numériques associés commercialisés dans l'Union (avec une exemption pour les micro et petites entreprises), les fournisseurs de services en nuage et de logiciels hébergés (SaaS, IaaS, PaaS), toute entreprise concluant des contrats portant sur l'accès ou l'utilisation de données, et indirectement tous les clients de ces services.
Sanctions
Sanctions fixées par chaque État membre, effectives, proportionnées et dissuasives (art. 40) ; en France, pouvoirs d'enquête et de sanction de l'Arcep (loi SREN, extension prévue par le projet de loi DDADUE). Pour les manquements touchant des données personnelles, la CNIL peut prononcer les amendes du RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Autorité de contrôle
Arcep (autorité compétente pour la mise en œuvre du règlement et la régulation des services d'informatique en nuage, en vertu de la loi SREN du 21 mai 2024, rôle étendu par le projet de loi DDADUE en cours d'examen) ; CNIL pour les aspects relatifs aux données personnelles.
État au 14 octobre 2026 : le règlement est applicable depuis le 12 septembre 2025 (droits d'accès et de partage des données des produits connectés, clauses contractuelles abusives entre entreprises, accès des organismes publics en cas de besoin exceptionnel, changement de fournisseur de services en nuage, interopérabilité). Depuis le 12 septembre 2026, les produits connectés et services connexes mis sur le marché doivent être conçus pour rendre les données accessibles par défaut (art. 3, paragraphe 1). À venir : à compter du 12 janvier 2027, les fournisseurs de services en nuage ne pourront plus facturer aucun frais de changement de fournisseur (frais limités au coût réel jusque-là) ; à compter du 12 septembre 2027, l'interdiction des clauses abusives s'étendra aux contrats conclus avant le 12 septembre 2025 à durée indéterminée ou expirant au plus tôt dix ans après le 11 janvier 2024. Seulement proposé : l'Omnibus numérique sur les données (proposition COM(2025) 837 du 19 novembre 2025) intégrerait au Data Act le Data Governance Act, la directive sur les données ouvertes et le règlement sur la libre circulation des données non personnelles ; il ajouterait un motif de refus de partage lié aux secrets d'affaires (risque de transfert vers des pays tiers), resserrerait l'accès des organismes publics aux seules urgences publiques et exempterait des règles de changement de fournisseur les services sur mesure et ceux des PME et petites entreprises de taille intermédiaire pour les contrats conclus avant le 12 septembre 2025. Ce texte n'est pas adopté : le Coreper n'a pas réussi à arrêter le mandat du Conseil le 7 octobre 2026, le Parlement européen n'a pas encore voté (projet de rapport du 22 juin 2026) et les trilogues n'ont pas commencé ; le droit applicable reste le texte d'origine. En France, la loi SREN désigne l'Arcep pour l'informatique en nuage ; le projet de loi DDADUE, adopté par le Sénat le 18 février 2026, doit compléter ses missions et pouvoirs de sanction.
Ce que couvre le questionnaire
| Questions de périmètre | 4 |
| Produits connectés : conception et information | 3 |
| Accès et partage des données des produits connectés | 5 |
| Contrats de données et demandes des organismes publics | 3 |
| Changement de fournisseur de services en nuage | 5 |
Version 1 du questionnaire.