Data Act : données des objets connectés, cloud et contrats

Dossier tenu à jour. Dernière mise à jour le 1^er novembre 2026. Prochaine revue le 1^er décembre 2026. Temps de lecture : 19 minutes.

Dossier Souveraineté et cloud

Sommaire

1. Calendrier d’application
2. Ce que couvre le règlement
3. Les données des produits connectés
4. Mise à disposition entre entreprises
5. Les clauses abusives dans les contrats de données
6. Les données demandées par les organismes publics
7. Changer de fournisseur de cloud
8. Accès des gouvernements étrangers et interopérabilité
9. Autorités et sanctions en France
10. L’omnibus numérique
11. Les documents de la Commission
12. Nos analyses sur ce texte
13. Ce que nous ne savons pas encore
14. Questions fréquentes
15. Historique des mises à jour
16. Textes et sources officielles

Calendrier d’application

• 22 décembre 2023 Publication du règlement au Journal officiel de l’Union européenne.
• 11 janvier 2024 Entrée en vigueur. Selon la lettre de l’article 29, paragraphe 2, les frais de changement de fournisseur de cloud sont limités dès cette date aux coûts directement liés, alors que le règlement n’est applicable qu’au 12 septembre 2025.
• 12 septembre 2025 Application générale. Le chapitre IV sur les clauses abusives vise les contrats conclus après cette date. Date limite de notification des régimes nationaux de sanctions (article 40).
• 19 novembre 2025 Proposition d’omnibus numérique de la Commission, qui modifierait le règlement.
• 1^er décembre 2025 En France, les frais de transfert de données lors d’un changement de fournisseur de cloud sont plafonnés à zéro euro (arrêté du 17 novembre 2025, pris sur le fondement de la loi SREN).
• 18 février 2026 Le Sénat adopte le projet de loi qui désignerait l’Arcep comme autorité compétente.
• 2 juillet 2026 L’Arcep publie ses lignes directrices sur les frais de changement de fournisseur et sur les frais de transfert de données en cas de recours simultané à plusieurs fournisseurs.
• 12 septembre 2026 Les produits connectés et services connexes mis sur le marché après cette date doivent être conçus pour rendre les données accessibles à l’utilisateur par défaut, et directement lorsque c’est pertinent et techniquement possible (article 3, paragraphe 1).
• 21 octobre 2026 Mandat de négociation du Conseil sur l’omnibus numérique.
• 12 janvier 2027 Plus de frais de changement de fournisseur de cloud, frais de transfert des données compris (article 29, paragraphe 1). Les articles 27 à 30 et le I de l’article 33 de la loi SREN cessent de s’appliquer (article 64, IV), sauf si le DDADUE, dont la version du Sénat réécrit ce calendrier, en dispose autrement.
• 12 septembre 2027 Le chapitre IV s’applique aux contrats conclus au plus tard le 12 septembre 2025, s’ils sont à durée indéterminée ou expirent au plus tôt le 11 janvier 2034 (article 50).
• 12 septembre 2028 Date limite de l’évaluation du règlement par la Commission (article 49).

Ce que couvre le règlement

Le Data Act réunit des règles de nature différente, qui ne visent pas les mêmes entreprises et ne s’appliquent pas aux mêmes dates :

Chapitre	Ce qu’il règle	Depuis quand
II (articles 3 à 7)	Accès de l’utilisateur aux données de ses produits connectés, partage avec un tiers de son choix	12 septembre 2025 ; conception des produits mis sur le marché après le 12 septembre 2026
III (articles 8 à 12)	Conditions auxquelles un détenteur met des données à disposition d’une autre entreprise lorsqu’il y est tenu	12 septembre 2025 ; pour les obligations prévues par d’autres textes, celles entrées en vigueur après cette date
IV (article 13)	Clauses abusives sur les données imposées par une entreprise à une autre	Contrats conclus après le 12 septembre 2025 ; 12 septembre 2027 pour certains contrats antérieurs
V (articles 14 à 22)	Données demandées par les organismes publics en cas de besoin exceptionnel	12 septembre 2025
VI (articles 23 à 31)	Changement de fournisseur de services de traitement de données (cloud)	12 septembre 2025 ; plus aucun frais de changement au 12 janvier 2027
VII (article 32)	Protection des données non personnelles contre l’accès illicite de gouvernements étrangers	12 septembre 2025
VIII (articles 33 à 36)	Interopérabilité, espaces de données, contrats intelligents	12 septembre 2025
IX (articles 37 à 42)	Autorités, sanctions, clauses types	12 septembre 2025

Quelques définitions commandent tout le reste (article 2). Un produit connecté obtient, génère ou recueille des données sur son utilisation ou son environnement et peut les communiquer ; sa fonction première n’est pas de stocker, de traiter ou de transmettre des données pour le compte d’une autre partie que l’utilisateur. Un service connexe est un service numérique, logiciel compris, relié au produit de telle sorte que son absence empêcherait l’une de ses fonctions, ou connecté ensuite pour ajouter, mettre à jour ou adapter ses fonctions. L’utilisateur est la personne, physique ou morale, qui possède le produit, en a l’usage par contrat ou reçoit les services connexes. Le détenteur de données est celui qui a le droit ou l’obligation de les utiliser et de les mettre à disposition, en pratique souvent le fabricant. Les définitions complètes figurent dans notre lexique.

Les données des produits connectés

Le fabricant et le fournisseur du service connexe doivent permettre à l’utilisateur d’accéder aux données que son usage génère, ainsi qu’aux métadonnées nécessaires pour les interpréter :

• Par conception : les produits mis sur le marché après le 12 septembre 2026 sont conçus pour que les données et les métadonnées nécessaires soient, par défaut, accessibles à l’utilisateur de manière aisée, sécurisée et sans frais, dans un format complet, structuré, couramment utilisé et lisible par machine, et, lorsque c’est pertinent et techniquement possible, directement accessibles (article 3, paragraphe 1).
• Avant le contrat : le vendeur ou le loueur du produit, et le fournisseur du service connexe, informent l’utilisateur notamment du type et du volume de données et de la manière d’y accéder ; le fournisseur du service connexe indique aussi l’identité du détenteur (article 3, paragraphes 2 et 3).
• Sur demande : à défaut d’accès direct, le détenteur fournit les données facilement accessibles sans retard injustifié, sans frais, avec la même qualité que celle dont il dispose, en continu et en temps réel lorsque c’est possible (article 4, paragraphe 1).
• Partage avec un tiers : à la demande de l’utilisateur, le détenteur met les données à disposition d’un tiers désigné, sans frais pour l’utilisateur (article 5, paragraphe 1). Le tiers peut, lui, devoir une compensation (article 9).

L’utilisateur et le tiers ne peuvent pas utiliser les données pour développer un produit connecté concurrent (article 4, paragraphe 10, et article 6). Un contrôleur d’accès désigné au titre du Digital Markets Act ne peut pas être ce tiers (article 5, paragraphe 3). Le détenteur, de son côté, ne peut utiliser les données non personnelles qu’en vertu d’un contrat avec l’utilisateur (article 4, paragraphe 13). Le RGPD prévaut en cas de conflit pour les données personnelles (article 1^er, paragraphe 5).

Le secret des affaires n’est pas une raison suffisante pour refuser. Le détenteur peut exiger des mesures de confidentialité avant toute divulgation, bloquer le partage faute d’accord sur ces mesures ou le suspendre si elles ne sont pas respectées et, à titre exceptionnel, refuser au cas par cas s’il démontre qu’un préjudice économique grave reste très probable malgré ces mesures ; dans chacun de ces cas, il motive sa décision par écrit et la notifie à l’autorité compétente (article 4, paragraphes 6 à 8, et article 5, paragraphes 9 à 11).

Ce chapitre ne s’applique pas aux données des produits fabriqués ou conçus, ni des services connexes fournis, par une microentreprise ou une petite entreprise, sauf si elle a une entreprise partenaire ou liée qui n’en est pas une, ou si elle agit en sous-traitance pour fabriquer ou concevoir le produit ou fournir le service. Il ne s’applique pas non plus, pendant un an, à une entreprise qualifiée de moyenne depuis moins d’un an, ni aux produits qu’une moyenne entreprise a mis sur le marché depuis moins d’un an (article 7, paragraphe 1). Ces droits ne peuvent pas être écartés par contrat (article 7, paragraphe 2).

Mise à disposition entre entreprises

Lorsqu’un détenteur est tenu de mettre des données à disposition d’une autre entreprise, à la demande d’un utilisateur ou en vertu d’un autre texte, il le fait à des conditions équitables, raisonnables, non discriminatoires et transparentes, sans exclusivité sauf demande de l’utilisateur (article 8). Il peut demander une compensation raisonnable, qui peut inclure une marge ; pour une PME ou un organisme de recherche à but non lucratif, elle ne peut pas dépasser les coûts (article 9, paragraphes 1 et 4). Il doit expliquer comment il la calcule (paragraphe 7).

Les litiges peuvent être portés devant des organes de règlement des litiges certifiés par les États membres, qui statuent en principe dans les 90 jours ; leur décision ne lie les parties que si celles-ci ont expressément accepté son caractère contraignant avant le début de la procédure (article 10). La Commission a soumis à consultation, du 30 janvier au 20 février 2026, un projet de lignes directrices sur la compensation raisonnable (article 9, paragraphe 5) ; nous n’en avons pas trouvé de version définitive au 1^er novembre 2026.

Les clauses abusives dans les contrats de données

Une clause portant sur l’accès aux données, leur utilisation ou la responsabilité et les recours liés aux données, imposée unilatéralement par une entreprise à une autre, ne lie pas cette dernière si elle est abusive (article 13, paragraphe 1). Le texte vise toutes les entreprises, quelle que soit leur taille. Est abusive la clause qui s’écarte manifestement des bonnes pratiques commerciales, contrairement à la bonne foi et à la loyauté (paragraphe 3).

Trois clauses sont toujours abusives (paragraphe 4) : exclure ou limiter la responsabilité en cas de faute intentionnelle ou de négligence grave, exclure les recours en cas d’inexécution, se réserver le droit exclusif de juger la conformité des données ou d’interpréter le contrat. D’autres sont présumées abusives (paragraphe 5), notamment celles qui empêchent l’autre partie d’utiliser les données qu’elle a fournies ou générées, d’en obtenir une copie ou de résilier dans un délai raisonnable, ou qui permettent de modifier substantiellement le prix sans motif valable ni droit de résiliation pour l’autre partie.

La clause est réputée imposée unilatéralement si l’autre partie n’a pas pu en influencer le contenu malgré une tentative de négociation ; celle qui l’a fournie doit prouver le contraire (paragraphe 6). L’objet principal du contrat et l’adéquation du prix ne sont pas contrôlés (paragraphe 8).

Le 19 novembre 2025, la Commission a approuvé le contenu d’un projet de recommandation de clauses types non contraignantes pour le partage de données et pour les contrats de cloud (article 41) ; elle l’adoptera formellement lorsque toutes les versions linguistiques seront disponibles, ce qui n’était pas le cas au 1^er novembre 2026, à notre connaissance.

Les données demandées par les organismes publics

Une entreprise doit mettre des données à disposition d’un organisme public, de la Commission, de la Banque centrale européenne ou d’un organe de l’Union qui démontre un besoin exceptionnel (article 14). Le besoin est exceptionnel dans deux cas (article 15) : réagir à une situation d’urgence publique lorsque les données ne peuvent pas être obtenues autrement en temps utile, ou, hors urgence et pour les seules données non personnelles, accomplir une mission d’intérêt public prévue par la loi lorsque tous les autres moyens, achat au prix du marché compris, sont épuisés. Les micro et petites entreprises sont exclues de ce second cas.

L’entreprise peut refuser ou demander une modification dans les 5 jours ouvrables en cas d’urgence, 30 jours ouvrables sinon (article 18). En cas d’urgence, la mise à disposition est gratuite, sauf pour les micro et petites entreprises ; dans l’autre cas, l’entreprise a droit à une compensation équitable couvrant ses coûts, plus une marge raisonnable (article 20). L’omnibus numérique supprimerait le cas hors urgence.

Changer de fournisseur de cloud

Le chapitre VI vise tous les services de traitement de données, de l’infrastructure (IaaS) au logiciel (SaaS). Le fournisseur doit lever les obstacles précommerciaux, commerciaux, techniques, contractuels et organisationnels qui empêchent le client de résilier, de conclure un contrat avec un autre fournisseur, de transférer ses données et ses actifs numériques ou d’atteindre l’équivalence fonctionnelle (article 23). Le contrat écrit doit prévoir (article 25) :

• un préavis de deux mois au plus pour lancer le changement ;
• une période transitoire de 30 jours calendaires au plus, pendant laquelle le fournisseur assiste le client et maintient le service, que le client peut prolonger une fois ;
• si cette période est techniquement irréalisable, une notification motivée dans les 14 jours ouvrables et une autre période de sept mois au plus ;
• la liste des données et actifs exportables, une période d’au moins 30 jours pour récupérer les données, puis leur effacement intégral ;
• les frais applicables, dans les limites de l’article 29.

Le règlement ne définit ni les frais de service standard ni les pénalités de résiliation anticipée. Après le 12 janvier 2027, la facture de départ se jouera donc, à notre avis, à leur frontière avec les frais de changement, devenus interdits. L’omnibus, s’il aboutit, autoriserait en outre des pénalités proportionnées dans les contrats à durée déterminée hors infrastructure.

Jusqu’au 12 janvier 2027, le fournisseur peut facturer des frais de changement réduits, plafonnés aux coûts directement liés au changement ; ensuite, il ne peut plus en facturer aucun, frais de transfert des données compris (article 29). Les frais de service standard et les pénalités de résiliation anticipée prévues au contrat, que le règlement ne définit ni les uns ni les autres, ne sont pas des frais de changement et peuvent encore être facturés ; le fournisseur doit les annoncer avant la signature (article 2, point 36, et article 29, paragraphe 4). Notre analyse de l’article 29 détaille ce qui pourra encore être facturé après cette date. En usage simultané de plusieurs fournisseurs, le transfert peut être facturé au coût, sans le dépasser (article 34).

Pour l’infrastructure, le fournisseur prend toutes les mesures raisonnables pour que le client atteigne l’équivalence fonctionnelle chez son nouveau fournisseur ; pour les autres services, il met gratuitement à disposition des interfaces ouvertes (article 30). Deux catégories échappent à une partie de ces règles : les services conçus pour l’essentiel sur mesure et non proposés à grande échelle dans le catalogue, exclus de l’article 29 et des obligations d’équivalence fonctionnelle et de compatibilité avec les normes d’interopérabilité (articles 23, point d, et 30, paragraphes 1 et 3), et les versions hors production fournies pour essai et évaluation pendant une durée limitée, exclues de tout le chapitre (article 31). Le client doit en être informé avant la signature.

L’article 50 ne prévoit de régime transitoire pour les contrats en cours que pour le chapitre IV. Nous en déduisons que le chapitre VI vise aussi les contrats de cloud conclus avant le 12 septembre 2025. L’omnibus numérique va dans le même sens : il dispenserait certains fournisseurs de renégocier ou de modifier ces contrats, ce qui suppose qu’ils sont aujourd’hui couverts.

Accès des gouvernements étrangers et interopérabilité

Avant toute discussion de prix, nous commencerions par lire ce que l’article 28 oblige chaque fournisseur à publier : la juridiction dont relève son infrastructure et la description de ses mesures contre l’accès de gouvernements tiers. Une limite à garder en tête : l’article 32, sur lequel reposent ces mesures, ne protège que les données non personnelles.

Les fournisseurs de cloud doivent prendre des mesures techniques, organisationnelles et juridiques pour empêcher qu’un gouvernement d’un pays tiers accède à des données non personnelles détenues dans l’Union, ou les fasse transférer, en violation du droit de l’Union ou d’un État membre (article 32, paragraphe 1). Une décision d’une juridiction ou d’une autorité d’un pays tiers n’est exécutable que sur le fondement d’un accord international ; à défaut, des conditions cumulatives s’appliquent, et le fournisseur ne transmet que le minimum de données et informe le client, sauf exception (paragraphes 2 à 5). Il publie la juridiction dont relève son infrastructure et une description de ces mesures (article 28). Sur un sujet voisin, voir notre article sur le décret 2026-272 et les données sensibles de l’État.

Le chapitre VIII fixe des exigences essentielles d’interopérabilité pour les participants aux espaces de données (article 33) et des exigences pour les contrats intelligents utilisés dans les accords de partage de données (article 36). La Commission a adressé une demande de normalisation aux organismes européens, acceptée par le CEN et le CENELEC le 7 juillet 2025. Enfin, le droit sui generis des producteurs de bases de données ne s’applique pas aux données issues d’un produit connecté ou d’un service connexe (article 43).

Autorités et sanctions en France

Chaque État désigne une ou plusieurs autorités compétentes et fixe les sanctions, effectives, proportionnées et dissuasives, et devait notifier ces sanctions à la Commission au plus tard le 12 septembre 2025 (articles 37 et 40, paragraphe 2). Les autorités de protection des données sont compétentes pour les données personnelles ; pour les violations des chapitres II, III et V, elles peuvent infliger des amendes jusqu’au plafond de l’article 83, paragraphe 5, du RGPD, soit 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu (article 40, paragraphe 4). La CNIL indique qu’elle contrôle l’application du règlement pour les données personnelles.

Au 1^er novembre 2026, aucune loi française n’a désigné l’autorité compétente pour le reste du règlement. Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE), déposé le 10 novembre 2025, a été adopté par le Sénat le 18 février 2026 et transmis à l’Assemblée nationale, qui ne l’a pas encore examiné. Dans sa version du Sénat (article 25), il ferait de l’Arcep l’autorité compétente pour tout le règlement sauf le chapitre VII, avec des pouvoirs d’enquête, le traitement des réclamations, la certification des organes de règlement des litiges et des sanctions jusqu’à 3 % du chiffre d’affaires mondial hors taxes, 5 % en cas de récidive. L’Arcep a publié le 5 janvier 2026 son avis n° 2025-1765 sur ce texte.

En attendant, les règles françaises sur le cloud issues de la loi SREN du 21 mai 2024 continuent de s’appliquer, sous le contrôle de l’Arcep : frais de transfert et de changement plafonnés aux coûts (article 27), plafond fixé à zéro euro pour le transfert de données depuis le 1^er décembre 2025, recommandation de l’Arcep du 2 octobre 2025 sur l’interopérabilité et la portabilité, lignes directrices du 2 juillet 2026. Ses articles 27 à 30 et le I de son article 33 cessent de s’appliquer le 12 janvier 2027 (article 64, IV), calendrier que le DDADUE réécrirait dans sa version du Sénat. Le code de commerce encadre en outre les avoirs d’informatique en nuage, interdit certaines ventes liées et réprime l’autopréférence (article L. 442-12, créé par l’article 26 de la loi SREN).

L’omnibus numérique

La proposition COM(2025) 837 du 19 novembre 2025 modifierait le Data Act sur plusieurs points, parmi lesquels :

• un motif supplémentaire de refus au titre du secret des affaires : le risque élevé d’obtention, d’utilisation ou de divulgation illicites par des entités de pays tiers, ou par des entités de l’Union qu’elles contrôlent, soumises à des juridictions offrant une protection plus faible ou non équivalente (articles 4, paragraphe 8, et 5, paragraphe 11, remplacés) ;
• un chapitre V limité aux situations d’urgence ;
• pour les services autres que l’infrastructure (IaaS) largement adaptés au client, ou fournis par une petite ou moyenne entreprise ou une petite entreprise à moyenne capitalisation, l’exclusion du chapitre VI, article 29 excepté, et de l’article 34 lorsque le contrat a été conclu au plus tard le 12 septembre 2025, sans obligation de le renégocier ;
• des pénalités de résiliation anticipée proportionnées autorisées dans les contrats de cloud à durée déterminée, hors infrastructure ;
• la suppression des exigences sur les contrats intelligents (article 36) et l’intégration dans le Data Act des règles sur l’intermédiation et l’altruisme en matière de données (règlement 2022/868), sur le libre flux des données (règlement 2018/1807) et sur la réutilisation des données publiques (directive 2019/1024), textes qui seraient abrogés.

Le Conseil a arrêté son mandat de négociation le 21 octobre 2026. Au Parlement européen, un projet de rapport commun des commissions ITRE et LIBE a été publié le 22 juin 2026 et des amendements déposés en juillet ; aucun vote en commission n’avait eu lieu au 1^er novembre 2026. Les négociations entre les deux institutions ne commenceront qu’une fois la position du Parlement arrêtée.

Les documents de la Commission

• Questions-réponses sur le Data Act, version 1.4 du 22 janvier 2026 ;
• orientations sur les données des véhicules, 12 septembre 2025 ;
• projet de recommandation de clauses types (19 novembre 2025) et projet de lignes directrices sur la compensation raisonnable (consultation close le 20 février 2026), sans version définitive trouvée ;
• page de la Commission consacrée au règlement, qui recense la plupart de ces documents.

Aucun acte délégué ou d’exécution fondé sur le règlement n’avait été adopté au 1^er novembre 2026, à notre connaissance.

Nos analyses sur ce texte

• Data Act : ce qu’un fournisseur cloud facture encore au client qui part en 2027 Frais de changement, pénalités, multi-cloud : ce que change le 12 janvier 2027. Analyse
• Lexique de la régulation numérique européenne Les définitions officielles du Data Act, du DMA, de l’AI Act et des autres textes, citées avec leur référence. Référence
• DMA : contrôleurs d’accès, obligations et sanctions Le règlement voisin sur les grandes plateformes, et l’enquête sur AWS et Azure. Dossier
• Calendrier des échéances numériques 2026-2027 Les dates du Data Act à côté de celles des autres textes, chacune reliée à sa source. Revu chaque mois

Ce que nous ne savons pas encore

• Le contenu final de l’omnibus numérique et sa date d’adoption, en particulier son effet sur les contrats de cloud conclus avant le 12 septembre 2025.
• La version définitive du DDADUE : autorité compétente, plafonds de sanction, sort des articles de la loi SREN, date d’adoption.
• La publication définitive des clauses types et des lignes directrices sur la compensation raisonnable.
• Le rôle de la DGCCRF, le Data Act ayant été ajouté au règlement européen sur la coopération en matière de protection des consommateurs (article 47).
• Les spécifications communes ou normes harmonisées d’interopérabilité du cloud : le délai de douze mois de l’article 30, paragraphe 3, court à compter de la publication de leurs références dans le répertoire central de l’Union.

Questions fréquentes

Je fabrique des objets connectés : que dois-je faire ?

Donner à l’utilisateur, sur demande, l’accès gratuit aux données générées par son usage et les partager avec le tiers qu’il désigne (articles 4 et 5), l’informer avant le contrat (article 3, paragraphe 2) et, pour les produits mis sur le marché après le 12 septembre 2026, les concevoir pour que les données soient accessibles par défaut, et directement lorsque c’est pertinent et techniquement possible. Les micro et petites entreprises sans partenaire ni entreprise liée plus grande, et qui ne fabriquent pas en sous-traitance, sont exemptées de ce chapitre ; les moyennes entreprises le sont temporairement (article 7, paragraphe 1).

Mon fournisseur de cloud peut-il encore me facturer mon départ ?

Jusqu’au 12 janvier 2027, seulement au coût directement lié au changement ; en France, le transfert de données est déjà plafonné à zéro euro. Ensuite, plus aucun frais de changement n’est permis ; les frais de service standard et les pénalités de résiliation anticipée prévues au contrat, qui ne sont pas des frais de changement, peuvent encore être facturés (article 2, point 36, et article 29). Le détail est dans notre analyse de l’article 29.

Qui contrôle le Data Act en France aujourd’hui ?

La CNIL pour les données personnelles. Pour le reste, aucune autorité n’est encore désignée par la loi ; le projet adopté par le Sénat confierait ce rôle à l’Arcep, qui contrôle déjà les règles cloud de la loi SREN jusqu’au 12 janvier 2027.

Une clause qui exclut la responsabilité de mon partenaire en cas de négligence grave est-elle valable ?

Si elle porte sur des données, qu’elle vous a été imposée unilatéralement et que le contrat a été conclu après le 12 septembre 2025, elle ne vous lie pas (article 13, paragraphe 4). Pour un contrat plus ancien, la règle s’appliquera à partir du 12 septembre 2027 s’il est à durée indéterminée ou expire au plus tôt le 11 janvier 2034.

Historique des mises à jour

1^er novembre 2026 : création du dossier.