Le droit
Ce que le règlement sur les données change, exactement
Cette page expose le mécanisme du règlement (UE) 2023/2854 (« Data Act ») tel qu'il s'applique aux produits connectés. Elle est écrite pour être utile même sans nous : un lecteur peut s'en servir pour exercer ses droits lui-même. Elle ne constitue pas un conseil juridique.
Les trois rôles
| Rôle | Qui | Ce que le règlement lui donne ou lui impose |
|---|---|---|
| Utilisateur | Celui qui possède ou loue l'objet — établissement, entreprise, particulier | Accéder aux données générées par l'usage de son objet ; en exiger la transmission à un tiers de son choix (art. 4 et 5) |
| Détenteur de données | Le plus souvent le fabricant, qui opère le cloud du produit | Donner accès aux données sans retard injustifié, à qualité équivalente à celle dont il dispose, en continu et en temps réel lorsque c'est techniquement possible (art. 4 et 5) |
| Tiers destinataire | Le prestataire que l'utilisateur mandate — notre rôle | Recevoir les données sur mandat, les traiter uniquement aux finalités convenues avec l'utilisateur (art. 6) |
Ce qui peut être exigé
- Les données générées par l'usage du produit, y compris les métadonnées nécessaires à leur interprétation (art. 2 et 4).
- Leur mise à disposition sans retard injustifié, gratuitement pour l'utilisateur (art. 4).
- Leur transmission directe à un tiers désigné par l'utilisateur, à qualité équivalente (art. 5). Le détenteur peut demander au tiers une compensation raisonnable et non discriminatoire (art. 9).
- Pour les produits connectés mis sur le marché après le 12 septembre 2026, une conception permettant l'accès direct aux données, par défaut, facilement (art. 3). Cette obligation ne s'applique pas au parc déjà installé — pour lui, seuls les droits d'accès des articles 4 et 5, en vigueur depuis septembre 2025, s'exercent.
Ce que le texte ne permet pas
- Couper le flux vers le fabricant. Le règlement crée un droit d'accès, pas un droit d'interruption. Le détenteur continue de recevoir les données. Ce qu'on obtient est un double, pas un remplacement.
- Concurrencer le produit avec ses propres données. Les données obtenues ne peuvent pas servir à développer un produit concurrent du produit connecté d'origine (art. 4 et 6).
- Profiler l'utilisateur. Le tiers destinataire ne peut pas utiliser les données reçues pour du profilage, sauf nécessité strictement liée au service demandé (art. 6).
- Garantir la réponse d'un fabricant. Le droit existe ; son exercice peut se heurter à un refus ou à un silence. Le refus se documente et s'oppose — c'est précisément un des objets de notre service.
Le calendrier
| Date | Ce qui s'applique |
|---|---|
| 12/09/2025 | Le règlement est applicable. Les droits d'accès et de transmission (art. 4 et 5) sont en vigueur. |
| 12/09/2026 | Obligation de conception pour l'accès direct aux données (art. 3) — uniquement pour les produits mis sur le marché après cette date. Le parc déjà installé n'est pas concerné ; ses droits d'accès existent déjà. Ce que change réellement cette date → |
| 01/2027 | Suppression progressive des frais de changement de fournisseur de traitement de données (art. 29). |
Questions fréquentes
Qui est le « détenteur de données » ? Est-ce toujours le fabricant ?
Non. Le détenteur est celui qui a la capacité de mettre les données à disposition — le plus souvent le fabricant, parce qu'il opère le cloud du produit, mais ce peut être le fournisseur d'un service connexe, un exploitant de plateforme ou un intégrateur. Un même produit peut avoir plusieurs détenteurs. C'est particulièrement fréquent en gestion technique de bâtiment, où l'équipement, la supervision et l'hébergement sont souvent portés par trois entreprises différentes. Identifier le bon interlocuteur est la première difficulté pratique d'une demande.
Mon parc déjà installé est-il concerné ?
Pour les droits d'accès (articles 4 et 5) : oui, quelle que soit la date de mise sur le marché des produits, depuis le 12 septembre 2025. Pour l'obligation de conception (article 3), qui s'applique au 12 septembre 2026 : non, elle ne vise que les produits mis sur le marché à partir de cette date. Le détail de cette distinction, qui est la source de confusion la plus répandue.
Quelle différence avec le RGPD ?
Le RGPD protège les données personnelles et donne des droits à la personne concernée. Le règlement sur les données organise l'accès aux données générées par l'usage d'un produit connecté, qu'elles soient personnelles ou non, au bénéfice de l'utilisateur — qui peut être une entreprise ou un établissement. Les deux textes se superposent : lorsque des données personnelles sont en jeu, le RGPD continue de s'appliquer pleinement, et le règlement sur les données ne crée pas à lui seul une base légale pour les traiter.
Le détenteur peut-il refuser ?
Il peut opposer certains motifs, notamment la protection de secrets d'affaires, dans des conditions encadrées, et il peut demander la vérification de la qualité d'utilisateur. Un refus doit être motivé. En pratique, le refus motivé, tout comme l'absence de réponse dans un délai raisonnable, se documente : c'est la matière d'une éventuelle réclamation ultérieure.
Le détenteur peut-il facturer la mise à disposition ?
Pas à l'utilisateur pour l'accès à ses propres données : il est gratuit. En revanche, lorsque les données sont transmises à un tiers désigné par l'utilisateur, le détenteur peut demander à ce tiers une compensation raisonnable et non discriminatoire (article 9). C'est une relation entre professionnels, distincte du droit d'accès lui-même.
Que faire si le détenteur ne répond pas ?
Conserver la preuve de la demande et de sa date, relancer, puis constater le silence à l'échéance. Le règlement prévoit des mécanismes de réclamation auprès de l'autorité compétente et de règlement des litiges. La désignation des autorités compétentes relève de chaque État membre ; pour le volet « données personnelles », la CNIL reste l'interlocuteur en France. Un dossier daté et complet est, dans tous les cas, le préalable indispensable.
Puis-je confier l'exercice de ces droits à un prestataire ?
Oui : l'article 5 prévoit expressément la transmission à un tiers désigné par l'utilisateur. Ce tiers ne peut traiter les données que pour les finalités convenues avec l'utilisateur, ne peut pas s'en servir pour développer un produit concurrent du produit connecté d'origine, et doit les effacer lorsqu'elles ne sont plus nécessaires à la finalité convenue. C'est notre rôle.
Références : règlement (UE) 2023/2854 du 13 décembre 2023, notamment articles 2, 3, 4, 5, 6, 9 et 29. Texte intégral sur EUR-Lex. Les analyses ci-dessus doivent être confrontées au texte et, pour toute décision, à un conseil juridique qualifié.