Quelles sont les missions de votre Avocat Data Act ?
Avocat Data Act, Maître Jonathan POUGET accompagne les entreprises qui doivent identifier leurs obligations au titre du règlement (UE) 2023/2854 relatif à des règles harmonisées concernant l’équité de l’accès aux données et de leur utilisation. Le Data Act est applicable depuis le 12 septembre 2025. Il ne remplace ni le RGPD ni le droit de la propriété intellectuelle : il organise notamment l’accès à certaines données générées par des produits connectés et services connexes, leur mise à disposition, certaines relations B2B et B2G, ainsi que des obligations spécifiques pesant sur les fournisseurs de services de traitement de données et de cloud.
L’intervention du cabinet consiste d’abord à déterminer si l’entreprise agit comme fabricant d’un produit connecté, fournisseur d’un service connexe, détenteur de données, destinataire de données, fournisseur de services de traitement de données ou simple utilisateur professionnel. Cette qualification conditionne les obligations à mettre en œuvre et évite d’appliquer mécaniquement le Data Act à des situations qui relèvent en réalité du RGPD, du droit des contrats ou du droit des bases de données.
I. Avocat Data Act : déterminer si votre entreprise est concernée
Le Data Act couvre plusieurs situations très différentes. Il peut concerner un fabricant de matériel connecté, un éditeur qui fournit un service indispensable au fonctionnement du produit, une plateforme recevant des données à la demande de l’utilisateur, ou encore un fournisseur de services cloud. Une première analyse consiste donc à cartographier les flux de données, les contrats et les rôles effectivement exercés.
L’audit doit distinguer les données générées par l’utilisation d’un produit connecté, les données issues d’un service connexe, les données personnelles et non personnelles, les données dérivées ou enrichies et les informations protégées par le secret des affaires. Cette cartographie permet de déterminer quelles données peuvent être demandées, par qui et dans quelles conditions.
II. Avocat Data Act : organiser l’accès aux données des produits connectés
Le Data Act vise à donner davantage de maîtrise aux utilisateurs sur les données générées par l’usage de certains produits connectés. L’entreprise doit vérifier si les utilisateurs peuvent accéder aux données pertinentes et, lorsque les conditions sont réunies, demander leur transmission à un tiers. Pour un fabricant ou un détenteur de données, cela implique souvent de revoir l’architecture technique, les parcours utilisateurs et les conditions contractuelles.
L’enjeu est de rendre l’accès effectif sans porter atteinte à la sécurité du produit, au secret des affaires ou aux droits de tiers. L’analyse juridique doit donc être articulée avec les contraintes techniques : authentification de l’utilisateur, identification du produit, format de transmission, fréquence de mise à disposition, contrôle de la qualité des données et prévention des usages abusifs.
III. Encadrer le partage des données avec des tiers
Lorsqu’un utilisateur demande qu’un tiers reçoive les données générées par un produit ou un service connexe, l’entreprise doit mettre en place un processus documenté. Le contrat avec le destinataire des données doit encadrer l’utilisation autorisée, la confidentialité, la sécurité, les restrictions de réutilisation et, lorsque cela est pertinent, les conditions économiques de la mise à disposition.
Le Data Act impose également d’être attentif aux clauses susceptibles de créer un déséquilibre contractuel dans certaines relations B2B relatives à l’accès et à l’utilisation de données. Le cabinet peut auditer les contrats existants et rédiger les clauses nécessaires pour sécuriser les échanges sans créer de restrictions excessives ou incompatibles avec le règlement.
IV. Articuler Data Act, RGPD et secret des affaires
La présence de données à caractère personnel ne fait pas disparaître le RGPD. Lorsqu’une demande d’accès ou de partage porte sur des données personnelles, l’entreprise doit vérifier l’existence d’une base juridique, respecter les principes de minimisation, de transparence et de sécurité et, selon les cas, identifier la personne concernée et la finalité du traitement. Le Data Act ne constitue pas une autorisation générale de traiter des données personnelles.
De même, le secret des affaires doit être pris en compte. Il peut justifier des mesures techniques ou contractuelles particulières, mais ne doit pas être invoqué de manière abstraite pour neutraliser tout droit d’accès. La documentation interne doit expliquer quelles informations sont réellement sensibles, pourquoi elles bénéficient d’une protection et quelles garanties permettent néanmoins un partage conforme.
V. Avocat Data Act : réviser les contrats cloud et les clauses de changement de fournisseur
Le Data Act comporte un volet important sur les services de traitement de données, notamment les services cloud. Les contrats doivent organiser le changement de fournisseur, la portabilité des données et actifs numériques, l’assistance à la migration, la continuité des services et la sécurité pendant la transition. L’article 25 du règlement prévoit que ces droits et obligations soient clairement définis dans un contrat écrit.
Pour les éditeurs SaaS, hébergeurs et fournisseurs cloud, l’audit contractuel doit être coordonné avec la page consacrée au contrat d’hébergement numérique et, le cas échéant, avec les conditions de réversibilité du service. Il faut éviter les clauses qui rendent le changement de prestataire excessivement difficile, tout en protégeant les données, les actifs numériques et les droits de propriété intellectuelle du fournisseur.
VI. Préparer la suppression progressive des frais de changement de fournisseur
Le règlement organise une suppression progressive des frais de changement de fournisseur de services de traitement de données. À compter du 12 janvier 2027, les fournisseurs concernés ne pourront plus imposer de frais de changement au client pour le processus visé par le règlement. Les contrats conclus ou renouvelés avant cette date doivent donc être analysés suffisamment tôt pour éviter de conserver des mécanismes tarifaires devenus incompatibles avec le texte.
Cette évolution peut avoir un impact commercial important sur les modèles SaaS et cloud : frais de sortie, coûts de migration, assistance technique, stockage temporaire, export de données et maintien d’un service pendant la transition doivent être distingués et justifiés juridiquement.
VII. Sécuriser les clauses relatives aux données dans les contrats B2B
La conformité ne se limite pas à ajouter une clause « Data Act ». Les documents contractuels doivent être cohérents avec l’architecture du service et les responsabilités réelles des parties. Il peut être nécessaire de revoir les conditions générales, contrats de licence, contrats SaaS, contrats API, contrats de maintenance, contrats de partenariat et accords de partage de données.
L’objectif est de préciser la propriété ou les droits d’usage sur les données, les conditions d’accès, la réutilisation, la confidentialité, les mesures de sécurité, les modalités d’export et les responsabilités en cas d’indisponibilité ou de transfert défectueux. Lorsque des bases de données structurées sont en jeu, l’analyse peut être complétée par la page Avocat pour bases de données.
VIII. Mettre en place une procédure interne de réponse aux demandes
Une entreprise exposée aux demandes d’accès ou de partage doit disposer d’un circuit opérationnel : réception de la demande, vérification de l’identité et de la qualité du demandeur, qualification des données, analyse des restrictions légales, préparation de l’export, traçabilité et conservation des preuves. Cette procédure réduit le risque de réponse contradictoire entre équipes juridiques, techniques et commerciales.
Le cabinet peut préparer une matrice de décision et des modèles de réponse pour les demandes récurrentes. Cela est particulièrement utile lorsque l’entreprise gère un parc important d’objets connectés, plusieurs catégories de clients ou différents niveaux d’accès aux données.
IX. Gérer les demandes d’accès des organismes publics
Le Data Act prévoit également, dans certaines circonstances exceptionnelles, des mécanismes permettant à des organismes publics d’obtenir certaines données détenues par des entreprises. Ce volet doit être traité séparément des demandes ordinaires d’un client ou d’un partenaire commercial. L’entreprise doit vérifier la base de la demande, son périmètre et les garanties applicables avant toute transmission.
La conservation d’une trace complète de la demande, des échanges et des données effectivement transmises est essentielle pour démontrer la conformité de la réponse et protéger les intérêts de l’entreprise.
X. Avocat Data Act : audit et mise en conformité
Une mission de mise en conformité peut comprendre la cartographie des produits et services, l’identification des rôles au sens du règlement, l’audit des flux de données, la revue des interfaces d’accès, l’analyse des contrats, la rédaction de nouvelles clauses, l’organisation des procédures internes et la formation des équipes concernées.
Maître Jonathan POUGET peut également intervenir lors de la négociation d’un contrat de partage de données ou d’un contrat cloud, lors d’un différend sur la portabilité, ou lorsqu’une entreprise conteste une demande qu’elle estime disproportionnée ou incompatible avec d’autres obligations juridiques.
XI. Préparer les documents et preuves de conformité
Une mise en conformité utile doit produire des documents exploitables par les équipes. Selon l’activité, il peut être nécessaire de constituer une cartographie des produits et services concernés, un inventaire des catégories de données, une matrice des droits d’accès, des modèles de réponse aux demandes, des clauses contractuelles types et une politique interne de partage de données. Ces documents doivent être cohérents avec les outils effectivement utilisés.
La preuve de conformité peut également reposer sur des journaux de demandes, des décisions internes documentées, des procédures de sécurité, des registres d’export et des comptes rendus de revue contractuelle. L’objectif n’est pas de créer une documentation excessive, mais de pouvoir expliquer pourquoi une demande a été acceptée, refusée ou encadrée.
XII. Anticiper les contrôles et les litiges liés à l’accès aux données
Les différends peuvent porter sur le refus d’accès, la qualité des données transmises, les conditions économiques, le secret des affaires, l’interopérabilité ou la réversibilité d’un service cloud. L’entreprise doit conserver les éléments techniques et contractuels lui permettant de justifier sa position. Une réponse imprécise à une demande peut ensuite fragiliser la défense en cas de contentieux.
Le cabinet peut intervenir en amont pour analyser une demande, rédiger une réponse motivée, négocier les conditions d’un partage ou préparer un dossier lorsque le différend devient contentieux. Cette approche permet de préserver la relation commerciale tout en sécurisant la position juridique de l’entreprise.
XIII. Data Act et modèles économiques fondés sur la donnée
Les entreprises qui valorisent des données issues d’objets connectés doivent revoir leurs modèles économiques. Le fait d’avoir financé la collecte ou le stockage de données ne signifie pas nécessairement qu’un droit exclusif peut être opposé à l’utilisateur dans toutes les situations. Il faut donc identifier ce qui relève d’un accès obligatoire, d’un service optionnel, d’une donnée enrichie ou d’un secret commercial légitime.
Cette analyse est particulièrement importante pour les acteurs de l’IoT, de la mobilité, de l’industrie, de la santé connectée ou de la maintenance prédictive. Un contrat correctement rédigé doit préserver la valeur économique du service sans neutraliser les droits que le règlement reconnaît aux utilisateurs.
XIV. Checklist de mise en conformité Data Act
- identifier les produits connectés et services connexes concernés ;
- cartographier les données générées et les personnes qui peuvent y accéder ;
- vérifier l’articulation avec le RGPD et le secret des affaires ;
- auditer les contrats de partage, cloud et SaaS ;
- organiser la portabilité et la réversibilité ;
- formaliser une procédure de réponse aux demandes ;
- former les équipes commerciales, juridiques et techniques ;
- conserver les preuves des décisions et transmissions effectuées.
FAQ – Data Act
Le Data Act remplace-t-il le RGPD ?
Non. Les deux textes peuvent s’appliquer simultanément. Le RGPD demeure applicable lorsqu’il existe un traitement de données à caractère personnel.
Une entreprise SaaS est-elle concernée ?
Elle peut l’être, notamment au titre des règles relatives aux services de traitement de données, au changement de fournisseur, à la portabilité et à l’interopérabilité selon la nature du service proposé.
Faut-il modifier les contrats existants ?
Une analyse est recommandée lorsque le contrat porte sur des données couvertes par le règlement ou sur un service de traitement de données. Les clauses de sortie, réversibilité, transfert et frais de changement doivent être examinées en priorité.
Conclusion : anticiper le Data Act par une approche contractuelle et technique
Le Data Act transforme la manière dont certaines entreprises organisent l’accès aux données, leur partage et la sortie de services cloud. La conformité suppose une lecture juridique du règlement, mais aussi une compréhension précise des flux techniques et des contrats. Votre Avocat Data Act peut accompagner l’entreprise dans cette démarche afin d’identifier les obligations réellement applicables et de sécuriser leur mise en œuvre.
Avocat Data Act
Contacter le cabinet
0607625574
