Data Act : comment mettre votre entreprise en conformité

Introduction

Le règlement européen sur les données, entré en application progressive depuis 2024, impose aux entreprises commercialisant des produits connectés de nouvelles obligations d’accès et de partage des données, dont le calendrier de mise en conformité s’étend jusqu’en 2027.

Le champ d’application du texte

Le règlement UE 2023/2854 s’applique depuis janvier 2024 et devient pleinement obligatoire au 12 septembre 2025. Il concerne l’ensemble des produits et services connectés commercialisés en Europe, indépendamment de la nationalité de leur fournisseur.

Les entreprises concernées

Les fabricants de produits connectés, les prestataires de services numériques associés, ainsi que les détenteurs et destinataires de données doivent se conformer à ce texte. Les microentreprises et les petites structures indépendantes bénéficient toutefois d’exemptions partielles.

Le calendrier progressif de déploiement

Les obligations contractuelles s’appliquent depuis septembre 2025. Les exigences de conception des produits suivront en 2026. Les restrictions tarifaires applicables au changement de prestataire cloud entreront en vigueur en janvier 2027. Une extension du dispositif aux contrats déjà conclus interviendra enfin en septembre 2027.

Les obligations principales imposées

Le texte impose un accès gratuit aux données pour les utilisateurs, leur droit de réutilisation et de partage avec des tiers, ainsi qu’une interopérabilité renforcée entre systèmes. Les contrats en vigueur ne doivent pas limiter indûment ces droits nouvellement reconnus.

Les sanctions encourues en cas de manquement

Chaque État membre doit établir un régime de sanctions efficaces, proportionnées et dissuasives. En France, les violations pourraient relever du droit cloud, avec des amendes jusqu’à 5 % du chiffre d’affaires, du RGPD, jusqu’à 20 millions d’euros, ou du droit pénal, avec une peine pouvant atteindre 5 ans d’emprisonnement.

Anticiper sa mise en conformité

Réviser dès maintenant les contrats liés aux produits connectés, avant l’échéance de septembre 2025, permet d’éviter un risque de sanction cumulée sur plusieurs fondements. Notre expertise en droit du numérique accompagne cette mise en conformité.

En résumé

• Le Data Act s’applique à tous les produits et services connectés commercialisés en Europe.
• Son déploiement s’échelonne de septembre 2025 à septembre 2027 selon les obligations concernées.
• Il impose l’accès gratuit aux données, leur réutilisation et l’interopérabilité entre systèmes.
• Les sanctions peuvent cumuler droit cloud, RGPD et droit pénal selon la nature du manquement.