Éditeurs de logiciels & Data Act : ce qui change pour le cloud

De quoi parle Data Act ?

Le Data Act poursuit deux objectifs : donner aux utilisateurs l’accès aux données qu’ils génèrent et fluidifier le marché des services de données en levant les verrous propriétaires. Il complète le RGPD sans s’y substituer : le RGPD vise les données personnelles, le Data Act l’accès et le partage des données, personnelles ou non.

Il vise à la fois les fabricants de produits connectés et les fournisseurs de services de traitement de données.

Le secteur « Éditeurs de logiciels » est-il concerné ?

Les éditeurs proposant des services de traitement de données (cloud, SaaS) sont directement visés par les obligations de changement de fournisseur et de portabilité. Les éditeurs de produits connectés le sont au titre de l’accès des utilisateurs aux données générées.

Un éditeur SaaS classique est donc concerné dès lors qu’il stocke et traite des données pour ses clients, indépendamment de son secteur.

Obligations détaillées

Sanctions & risques

Les sanctions sont fixées par chaque État membre ; elles doivent être effectives, proportionnées et dissuasives, avec la possibilité d’un alignement sur les plafonds du RGPD pour les manquements touchant des données personnelles.

Au-delà de la sanction, la non-conformité devient un handicap commercial : la portabilité est désormais un critère d’achat, et un verrouillage propriétaire un motif d’éviction.

Calendrier d’application

• 1Entrée en vigueur. Le règlement est entré en vigueur début 2024.
• 2Application. La majorité des obligations s’applique depuis le 12 septembre 2025 ; la suppression des frais de switching suit un calendrier progressif.

Erreurs fréquentes dans le secteur

• 1Frais de sortie dissuasifs. Maintenir des frais élevés qui contreviennent à l’objectif de switching.
• 2Formats propriétaires. Rendre l’export impossible ou inexploitable faute de format ouvert.
• 3Clauses abusives. Conserver des clauses de partage de données déséquilibrées.
• 4Confusion avec le RGPD. Croire que la conformité RGPD suffit, alors que le Data Act ajoute des obligations propres.

Cas pratique

Un éditeur SaaS facturait des frais élevés et ne proposait qu’un export partiel au format propriétaire. Un client PME invoque le Data Act pour migrer. L’éditeur met en place un export complet dans un format standard, révise ses CGU pour supprimer les frais de sortie et documente une procédure de switching — transformant une contrainte réglementaire en argument commercial de transparence.

Feuille de route de mise en conformité

1. 1

   Recenser les données. Cartographier les données générées et stockées par le service.

2. 2

   Outiller l’export. Mettre en place des mécanismes de portabilité et d’interopérabilité.

3. 3

   Réviser les contrats. Adapter les CGU et les clauses de sortie, supprimer les clauses abusives.

4. 4

   Documenter le switching. Formaliser les procédures de changement de fournisseur.

5. 5

   Informer. Communiquer aux clients leurs nouveaux droits et les modalités d’accès.

Questions fréquentes