Data Act : depuis le 12 septembre 2026, un produit connecté se conçoit avec l'accès aux données

Le règlement européen sur les données (Data Act, règlement (UE) 2023/2854) est entré en application le 12 septembre 2025. Un an plus tard, le 12 septembre 2026, sa disposition la plus structurante pour un bureau d'études est devenue applicable : l'accès par conception.

Deux vagues, deux portées

Il est utile de distinguer ce qui s'applique depuis quand, parce que les deux obligations ne pèsent pas sur les mêmes équipes.

• Depuis le 12 septembre 2025 (articles 4 et 5) : l'utilisateur d'un produit connecté a le droit d'obtenir les données qu'il génère, gratuitement, dans un format structuré et lisible par une machine, et de les faire transmettre à un tiers de son choix. Lorsque l'accès direct n'est pas possible, le détenteur doit les fournir sur demande. C'est d'abord une obligation juridique et opérationnelle.
• Depuis le 12 septembre 2026 (article 3, paragraphe 1) : les produits connectés et services associés mis sur le marché à partir de cette date doivent être conçus de façon que les données soient accessibles par défaut, facilement et de manière sécurisée. C'est une obligation de conception — elle vise le produit, pas seulement le contrat.

Le législateur a laissé douze mois supplémentaires précisément parce que respecter l'article 3 suppose de toucher à l'architecture du produit, ce qui ne se fait pas par avenant contractuel.

Ce que « par conception » veut dire dans un cahier des charges

L'exigence est volontairement technologiquement neutre. En pratique, elle se traduit par quelques décisions à prendre tôt :

• Identifier les données du produit : mesures brutes, données d'usage, journaux de fonctionnement, métadonnées nécessaires à les interpréter. Ce sont les données « générées par l'utilisation », qu'elles soient personnelles ou non.
• Prévoir une voie d'accès : interface locale, API, export. Elle doit exister dès la mise sur le marché, pas être ajoutée au premier client qui la réclame.
• Choisir un format exploitable et le documenter : une trame binaire propriétaire non documentée ne satisfait pas « structuré, couramment utilisé et lisible par une machine ».
• Gérer les droits d'accès : l'utilisateur, un tiers qu'il désigne, et personne d'autre. Cela suppose une identité, une autorisation et une traçabilité côté appareil ou plateforme.
• Conserver le secret des affaires : le règlement prévoit des mesures de protection, mais elles doivent être motivées et proportionnées, pas invoquées en bloc pour tout refuser.

L'information avant la vente

L'article 3 impose aussi, avant la conclusion du contrat, d'informer l'utilisateur du type, du format et du volume des données générées, de la façon dont elles sont accessibles, de l'identité du détenteur et des conditions d'exercice de ses droits. Ces éléments relèvent de la documentation produit et de la fiche commerciale — pas uniquement des conditions générales.

Pourquoi cela change la conception, pas seulement la paperasse

Un produit conçu pour remonter ses données exclusivement vers le cloud du fabricant, sans interface locale ni export, demande une reprise de firmware pour se conformer. À l'inverse, un appareil qui expose déjà ses mesures sur une interface documentée — c'est le choix que nous faisons sur nos passerelles — n'a rien à rattraper. La question se décide au moment de l'architecture, bien avant le choix du microcontrôleur ou du protocole radio.

Elle rejoint une autre exigence du même calendrier européen : la sécurité des produits numériques, portée par le Cyber Resilience Act et la directive RED, que nous détaillons dans un article dédié. Donner accès aux données et sécuriser cet accès sont deux faces du même travail de conception.

Ce qu'il reste à surveiller

Deux points demandent de la vigilance. D'abord, les contrats : les clauses abusives en matière d'accès aux données entre entreprises sont encadrées depuis septembre 2025, avec un régime particulier pour les contrats de longue durée conclus avant cette date. Ensuite, la portabilité des services de traitement de données — le volet « changement de fournisseur cloud » du même règlement — dont les obligations les plus lourdes arrivent le 12 janvier 2027.

Comme toujours sur un texte récent, la qualification exacte de votre produit mérite un avis juridique : savoir si un équipement est un « produit connecté » au sens du règlement et qui en est le « détenteur de données » n'est pas toujours évident.

Sources

• Règlement (UE) 2023/2854 — Data Act (EUR-Lex)
• Greenberg Traurig — Obligations des fabricants d'appareils connectés
• August Debouzy — Entrée en application du Data Act