Conformité Data Act des objets connectés.

Le règlement (UE) 2023/2854. Entré en vigueur le 11 janvier 2024, il s’applique depuis le 12 septembre 2025. Il donne aux utilisateurs d’objets connectés et de services liés le droit d’accéder aux données que ces produits génèrent et de les partager avec des tiers. Il fixe aussi des règles sur les conditions de partage entre entreprises, les clauses contractuelles abusives et le changement de fournisseur cloud.

Depuis le 12 septembre 2025, l’utilisateur peut demander ses données (article 4) et les faire partager avec un tiers (article 5), que le produit ait été mis sur le marché avant ou après cette date, et vendeurs, loueurs et fournisseurs de services liés doivent donner l’information précontractuelle (article 3(2)–(3)). Les objets connectés et services liés mis sur le marché de l’UE après le 12 septembre 2026 doivent être conçus pour que les données soient accessibles par défaut (article 3(1)). La mise sur le marché se compte à l’unité, pas au modèle : les exemplaires d’un modèle lancé plus tôt sont aussi couverts.

Les produits et services liés doivent être conçus pour que les données du produit, celles du service lié et les métadonnées nécessaires pour les interpréter soient accessibles à l’utilisateur par défaut : facilement, de façon sécurisée, gratuitement, dans un format complet, structuré, couramment utilisé et lisible par machine. Lorsque c’est pertinent et techniquement possible, elles doivent être directement accessibles. Selon la FAQ de la Commission, l’accès direct peut se faire sur l’appareil ou via un serveur distant, comme une API, et il n’impose pas de refonte pour l’accès direct dans tous les cas.

Un produit connecté obtient, génère ou collecte des données sur son utilisation ou son environnement et peut les communiquer par un réseau, une connexion physique ou un accès sur l’appareil ; sa fonction principale n’est pas de stocker ou traiter des données pour autrui. Exemples : électroménager, machines industrielles, véhicules, dispositifs médicaux, smartphones ; les prototypes sont hors champ. Un service lié est un service numérique lié au produit à l’achat, ou ajouté ensuite, sans lequel le produit ne pourrait pas assurer l’une de ses fonctions, comme une app qui règle la température d’un réfrigérateur. La connectivité, l’alimentation électrique, la réparation et l’analyse ne sont pas des services liés.

Les données brutes et prétraitées « facilement disponibles » du produit et du service lié, avec leurs métadonnées, personnelles ou non, que le détenteur peut obtenir sans effort disproportionné. Les données déduites ou dérivées (issues d’algorithmes propriétaires) et les contenus (textes, audio, œuvres audiovisuelles) sont exclus. Anonymiser ou chiffrer les données ne suffit pas à les sortir du champ.

Le plus souvent, mais pas forcément. Le détenteur est celui qui contrôle l’accès aux données facilement disponibles : le fabricant, une entreprise à qui il délègue, ou un fournisseur de service lié. Un même produit peut avoir plusieurs détenteurs.

Pour le produit (article 3(2)) : le type, le format et le volume estimé des données ; si elles sont générées en continu et en temps réel ; où elles sont stockées et combien de temps ; comment l’utilisateur peut y accéder, les récupérer ou les effacer. Pour un service lié (article 3(3)), en plus : l’identité et les coordonnées du détenteur, l’usage qu’il compte faire des données, la façon de les partager avec un tiers, le droit de réclamation, qui détient les secrets d’affaires, et la durée du contrat. L’information sur le produit incombe au vendeur, au loueur ou au bailleur, produits d’occasion compris ; celle sur le service lié, à son fournisseur.

Oui (article 5). Le détenteur doit mettre les données à la disposition d’un tiers choisi par l’utilisateur, gratuitement pour l’utilisateur, sans retard injustifié et, le cas échéant, en temps réel. Le tiers ne peut les utiliser que pour les finalités convenues avec l’utilisateur, et pas pour développer un produit concurrent. Les contrôleurs d’accès du DMA ne peuvent pas être destinataires. Le détenteur peut demander au tiers une compensation raisonnable (article 9).

Pas à l’utilisateur : l’accès au titre des articles 3, 4 et 5 est gratuit pour lui. Un tiers peut se voir demander une compensation raisonnable et non discriminatoire, qui peut inclure une marge ; pour les PME et les organismes de recherche à but non lucratif, elle est plafonnée au coût. La Commission a publié en février 2026 un projet de lignes directrices sur son calcul.

Les obligations d’accès et de partage du chapitre II ne s’appliquent pas aux produits fabriqués ou conçus, ni aux services liés fournis, par des micro et petites entreprises, à condition qu’elles n’aient pas de partenaire ou d’entreprise liée plus grande et ne fabriquent ni ne conçoivent le produit en sous-traitance. Il en va de même pour une entreprise devenue moyenne depuis moins d’un an, et pour les produits d’une entreprise moyenne pendant un an après leur mise sur le marché (article 7).

Chaque État membre désigne ses autorités compétentes. En Allemagne, la Bundesnetzagentur, selon la loi d’application en vigueur depuis le 30 mai 2026. En France, l’Arcep est l’autorité désignée par le projet de loi d’adaptation, encore au Parlement en octobre 2026, avec la CNIL pour les données personnelles. Les sanctions sont fixées par chaque État et doivent être effectives, proportionnées et dissuasives. Pour les manquements aux chapitres II, III et V, les autorités de protection des données peuvent infliger des amendes du niveau du RGPD, dans leur compétence.

Le RGPD prévaut pour les données personnelles. Le Data Act ajoute un droit d’accès et de portabilité propre aux objets connectés, qui couvre aussi les données non personnelles et, le cas échéant, fonctionne en temps réel. Partager les données personnelles d’autres personnes exige toujours une base légale au titre du RGPD.