Guide Data Act : comment se mettre en conformité ?

Qu'est-ce que le Data Act ?

Le Data Act (règlement européen sur les données) vise à libérer la valeur des données en garantissant un accès plus juste et une meilleure interopérabilité. Il part d'un constat : une part immense des données générées par les objets connectés reste captée par les seuls fabricants, au détriment des utilisateurs et de l'innovation.

Il complète le Data Governance Act, mais avec une logique différente : là où le DGA crée un cadre de gouvernance et des tiers de confiance, le Data Act crée des droits d'accès concrets et immédiatement opposables.

Trois grands axes structurent le texte : le droit des utilisateurs d'accéder aux données de leurs objets connectés et de les partager ; des règles pour rendre le changement de service cloud plus simple et moins coûteux ; et la protection des entreprises, en particulier des PME, contre les clauses contractuelles déséquilibrées.

Qui est concerné ?

Le Data Act touche un large écosystème autour des données industrielles et des objets connectés. Beaucoup d'acteurs y sont soumis sans l'avoir anticipé.

• Fabricants d'objets connectés : industrie, automobile, domotique, dispositifs médicaux, agriculture, électroménager.
• Fournisseurs de services liés : maintenance prédictive, applications compagnon, services de données associés au produit.
• Fournisseurs de services cloud et d'edge : obligations de portabilité et d'interopérabilité.
• Toute entreprise qui reçoit, détient ou partage des données au titre du règlement, y compris les destinataires tiers désignés par l'utilisateur.

Les trois piliers du Data Act

Comprendre les trois piliers permet de situer précisément vos obligations selon votre activité.

Quelles obligations concrètes ?

Au quotidien, la conformité Data Act se traduit par des exigences précises, à intégrer à vos produits et à vos contrats.

• Concevoir les produits pour que les données soient accessibles à l'utilisateur par défaut (« access by design »).
• Informer clairement, avant l'achat, sur la nature, le volume et la fréquence des données générées et sur les modalités d'accès.
• Mettre les données à disposition de l'utilisateur ou du tiers qu'il désigne, sans entrave injustifiée et dans un format exploitable.
• Faciliter la migration entre fournisseurs cloud et supprimer progressivement les frais de changement.
• Éviter les clauses contractuelles abusives à l'égard des PME.
• Protéger les secrets d'affaires par des mesures proportionnées lors du partage.

Quelles sanctions en cas de non-conformité ?

Les sanctions sont fixées par chaque État membre et doivent être effectives, proportionnées et dissuasives. Dès que des données personnelles sont concernées, les plafonds du RGPD s'ajoutent.

Comment se mettre en conformité : la feuille de route en 7 étapes

Étape 1 — Cartographier vos flux de données produit

Identifiez les objets connectés que vous fabriquez ou exploitez et les données qu'ils génèrent : capteurs, télématique, logs machine, données d'usage. Distinguez données personnelles et non personnelles, et repérez celles qui relèvent du droit d'accès de l'utilisateur.

Cette cartographie est le socle : elle détermine ce que vous devez rendre accessible, à qui, et sous quelle forme. Localisez aussi le stockage et les traitements associés.

• Inventoriez capteurs, télématique et journaux techniques.
• Distinguez données brutes, dérivées et données personnelles.
• Localisez le stockage et les traitements associés.

Étape 2 — Rendre les données accessibles par conception

Adaptez vos produits et interfaces pour permettre à l'utilisateur d'accéder facilement, en continu et dans un format exploitable, aux données qu'il génère. L'« access by design » suppose souvent des évolutions techniques (API, exports) à planifier tôt.

L'objectif est de supprimer les entraves injustifiées : l'utilisateur doit pouvoir récupérer ses données ou les faire transmettre à un tiers sans obstacle disproportionné.

• Prévoyez des API ou exports standardisés pour l'utilisateur.
• Documentez les modalités d'accès et de transmission à un tiers.
• Évitez tout verrouillage technique injustifié.

Étape 3 — Mettre à jour l'information précontractuelle

Avant l'achat ou la souscription, l'utilisateur doit savoir quelles données le produit va générer, en quel volume, à quelle fréquence, et comment y accéder ou les partager. Intégrez cette information à vos supports commerciaux et contractuels.

Cette transparence en amont est une nouveauté structurante : elle doit être claire, complète et compréhensible.

• Décrivez les données générées et leur fréquence.
• Expliquez les modalités d'accès et de partage.
• Intégrez cette information aux fiches produit et contrats.

Étape 4 — Réviser vos contrats

Passez en revue vos CGV et vos contrats de partage de données pour supprimer les clauses potentiellement abusives (limitations unilatérales, déséquilibres imposés) et intégrer les modalités d'accès et de partage conformes.

Cette révision protège aussi vos partenaires PME et sécurise vos relations sur le long terme.

• Identifiez et supprimez les clauses déséquilibrées.
• Ajoutez des clauses d'accès et de partage conformes.
• Encadrez la protection des secrets d'affaires lors du partage.

Étape 5 — Adapter vos offres cloud

Si vous êtes fournisseur cloud ou edge, préparez la portabilité et l'interopérabilité : procédures de migration documentées, formats exploitables, et suppression progressive des frais de changement de fournisseur.

L'enjeu est de ne plus verrouiller vos clients : la fluidité devient une exigence légale autant qu'un argument commercial.

• Documentez des procédures de migration claires.
• Supprimez progressivement les frais de sortie.
• Travaillez l'interopérabilité et les formats de données.

Étape 6 — Protéger les secrets d'affaires

Le partage de données ne doit pas signifier divulgation de vos secrets industriels. Mettez en place des mesures techniques et contractuelles proportionnées pour partager les données utiles tout en protégeant ce qui relève du secret d'affaires.

Le règlement prévoit des garde-fous : identifiez précisément ce qui est protégé et encadrez son partage.

• Identifiez les données couvertes par le secret d'affaires.
• Encadrez leur partage par des mesures et clauses adaptées.
• Documentez la justification des restrictions.

Étape 7 — Articuler avec le RGPD et le DGA

Lorsque les données sont personnelles, appliquez les garanties RGPD : base légale, information, sécurité, droits des personnes. Le Data Act ne remplace pas le RGPD, il s'y ajoute.

Coordonnez aussi votre démarche avec le Data Governance Act si vous intervenez comme intermédiaire de données ou dans un espace de données.

• Traitez les données personnelles sous l'angle RGPD.
• Reliez vos flux Data Act à votre registre des traitements.
• Vérifiez votre rôle éventuel au regard du DGA.

Les erreurs fréquentes à éviter

• Penser que le Data Act ne concerne que les données personnelles : il couvre aussi, et surtout, les données industrielles.
• Négliger l'information précontractuelle sur les données générées par le produit.
• Conserver des frais de sortie cloud ou des architectures qui verrouillent le client.
• Oublier l'articulation avec le RGPD lorsque des données personnelles circulent.
• Sous-estimer les évolutions techniques nécessaires à l'« access by design ».
• Maintenir des clauses déséquilibrées vis-à-vis de partenaires PME.
• Confondre Data Act (droits d'accès) et Data Governance Act (gouvernance et intermédiaires).

Comment Data Comply One vous accompagne

Data Comply One vous aide à cartographier vos flux de données et à documenter vos obligations Data Act au sein de la même plateforme que votre conformité RGPD, AI Act, NIS2 et DORA — sans multiplier les outils ni les silos.

Nos experts sécurisent l'articulation délicate entre données personnelles et non personnelles, revoient vos clauses de partage et de sortie cloud, et structurent votre gouvernance des données de bout en bout. Deux modes s'offrent à vous : gérer votre conformité vous-même avec le logiciel, ou l'externaliser à nos experts qui la pilotent pour vous directement sur la plateforme.

Ce module dédié est bientôt disponible dans la plateforme : demandez une démo pour le tester en avant-première.

Où en êtes-vous ? ·