Data Act : reprenez la main sur les données de vos machines
La réponse courte
Pour une TPE, le Data Act n’est pas une contrainte mais un droit : celui d’accéder aux données produites par vos propres machines et objets connectés, et de les faire transmettre à qui vous voulez. Il s’applique depuis un an et n’est presque jamais exercé. Au 12 janvier 2027, les frais de sortie du cloud disparaissent — en France, ils sont déjà fixés à zéro.
En bref
Pour qui ? Tout dirigeant de TPE-PME qui possède une machine, un véhicule, un boîtier ou un équipement connecté — et tout médiateur numérique qui explique les objets connectés au grand public.
L’enjeu : le 12 septembre 2026, le règlement européen sur les données (« Data Act ») franchit sa deuxième marche. Tout produit connecté vendu après cette date devra être conçu pour vous restituer vos données. Mais l’essentiel du texte est déjà applicable depuis un an, et presque personne ne s’en sert.
Le chiffre clé : 0 € — le montant maximal des frais de transfert de données lors d’un changement de fournisseur cloud, fixé par arrêté ministériel sur proposition de l’Arcep.
Temps de lecture : 8 minutes.
Les réglementations numériques qui imposent des obligations — RGPD, AI Act, Cyber Resilience Act — occupent tout l’espace : on explique aux dirigeants ce qu’ils risquent et ce qu’ils doivent écrire. Le Data Act appartient à une autre famille. Pour l’immense majorité des TPE françaises, ce n’est pas une contrainte : c’est un droit. Un droit qui existe depuis le 12 septembre 2025 et que quasiment personne n’exerce. Le 12 septembre 2026, dans moins d’un mois, le règlement franchit une nouvelle étape : l’occasion de remettre les choses à l’endroit.
1. Ce qui change le 12 septembre — et ce qui est déjà en vigueur
Le règlement (UE) 2023/2854, dit « Data Act » ou « règlement sur les données », est publié depuis décembre 2023 et applicable depuis le 12 septembre 2025. Son objet tient en une phrase : les données produites par l’usage d’un objet connecté ne doivent plus rester la propriété exclusive de celui qui l’a fabriqué.
Le constat de départ parlera à beaucoup d’artisans. Vous achetez une machine équipée de capteurs. Vous l’utilisez, vous l’entretenez, vous générez par votre travail des milliers de mesures — heures de fonctionnement, températures, alertes, consommations. Ces données remontent chez le fabricant : elles servent à vous vendre un contrat de maintenance, parfois à empêcher un réparateur indépendant d’intervenir. Vous, vous n’y avez pas accès. Le Data Act renverse ce rapport. Son calendrier se lit en quatre dates.
| Date | Ce qui s’applique | Qui est concerné en premier |
|---|---|---|
| 12 sept. 2025 (passé) | Droit d’accès de l’utilisateur aux données de son objet connecté, droit de les faire transmettre à un tiers, interdiction des clauses contractuelles abusives entre entreprises, transparence précontractuelle des fournisseurs cloud. | Tous les utilisateurs professionnels et particuliers. |
| 12 sept. 2026 dans moins d’un mois | Obligation de conception : tout produit connecté mis sur le marché après cette date doit être conçu pour rendre les données directement accessibles à l’utilisateur. | Fabricants et fournisseurs de services associés. |
| 12 janv. 2027 | Suppression totale des frais de changement de fournisseur de services cloud. | Tout client d’un hébergeur, d’un SaaS, d’une sauvegarde en ligne. |
| 12 sept. 2027 | Extension de l’interdiction des clauses abusives aux contrats les plus anciens ; exigences sur les contrats automatisés. | Contrats B2B de partage de données. |
⚠️ Le contresens à ne pas commettre
Beaucoup d’articles résument l’échéance de septembre par « le Data Act entre en vigueur ». C’est faux, et cette confusion coûte cher aux utilisateurs. Ce qui arrive le 12 septembre 2026 concerne uniquement la conception des produits neufs : un équipement vendu avant cette date n’aura jamais à être modifié. En revanche, votre droit d’accéder aux données existe déjà depuis un an, y compris pour le matériel que vous avez acheté il y a cinq ans. Attendre septembre pour faire valoir ce droit, c’est perdre douze mois pour rien.
2. Trois droits que vous pouvez exercer dès demain matin
Le texte est technique, mais ce qu’il donne à un utilisateur professionnel se résume à trois demandes concrètes, opposables au fabricant ou au prestataire.
Premièrement, obtenir vos données. Si vous ne pouvez pas les récupérer directement depuis l’appareil ou son application, le détenteur des données doit vous les mettre à disposition « sans délai, gratuitement », dans un format lisible et réutilisable. Gratuitement : le mot figure dans le règlement. Les métadonnées nécessaires pour interpréter ces données en font partie — un fichier de mesures sans le dictionnaire qui explique les colonnes ne remplit pas l’obligation.
Deuxièmement, les faire transmettre à qui vous voulez. C’est le levier le plus puissant du texte, et le plus ignoré. Vous pouvez demander au détenteur d’envoyer ces données à un tiers de votre choix : un réparateur indépendant, un nouveau prestataire de maintenance, un bureau d’études, votre expert-comptable. Le transfert doit être fait dans les meilleurs délais, gratuitement pour vous, avec la même qualité que celle dont bénéficie le détenteur lui-même. C’est ce mécanisme qui casse le verrouillage du marché de l’après-vente.
Troisièmement, savoir avant d’acheter. Avant la signature d’un contrat portant sur un objet connecté — achat comme location — le vendeur doit vous indiquer quelles données seront générées, ce qu’il compte en faire, qui les détiendra et comment exercer vos droits. Une information qui, posée noir sur blanc dans un devis, change souvent la conversation.
Le Data Act ne tranche pas la question de savoir à qui appartiennent les données. Il tranche celle de savoir qui doit pouvoir y accéder — ce qui, en pratique, change davantage de choses.
✅ Ce que ça vaut concrètement
Un gîte équipé de serrures connectées peut récupérer l’historique de ses accès et le confier à un autre logiciel de gestion. Un exploitant agricole peut sortir les données de son tracteur pour les donner à un conseiller indépendant. Un garage, un boulanger, un installateur peuvent faire intervenir le réparateur de leur choix sans que le constructeur puisse leur opposer la rétention des données de diagnostic. Le règlement interdit d’ailleurs expressément au tiers destinataire d’utiliser ces données pour développer un produit concurrent, ou pour vous profiler.
3. Le volet cloud : votre contrat d’hébergement vaut plus cher qu’hier
Le second pan du Data Act ne parle plus d’objets, mais de services : hébergement, SaaS, sauvegarde en ligne, messagerie professionnelle. Le principe est le même — supprimer ce qui vous empêche de partir. Depuis septembre 2025, un fournisseur doit vous informer avant la signature des procédures de migration, des formats d’export disponibles et des limitations techniques. Et surtout, la ligne d’arrivée est fixée au 12 janvier 2027 : à cette date, plus aucun frais lié à un changement de fournisseur ne pourra vous être facturé. Ni frais de sortie des données, ni frais de résiliation adossés au départ.
La France a pris de l’avance. La loi SREN de mai 2024 avait confié à l’Arcep le soin d’encadrer ces tarifs ; l’Autorité a proposé de fixer à zéro euro le montant maximal des frais de transfert de données en cas de changement de fournisseur, et un arrêté ministériel a entériné ce montant fin 2025. Le 2 juillet 2026, l’Arcep a complété le dispositif par deux séries de lignes directrices précisant ce qui peut encore être facturé d’ici janvier 2027, et ce qui ne le peut pas — les coûts d’infrastructure et de fonctions support, notamment, sont écartés comme inhérents à l’activité du fournisseur.
Pour un dirigeant de TPE, la conséquence pratique est immédiate : le devis de migration que votre prestataire vous a chiffré l’an dernier n’a plus la même légitimité. Demandez le détail de ce qui est facturé. Demandez la date à laquelle ces frais tomberont à zéro. Et si vous renouvelez un contrat cette année, négociez-le en sachant qu’en janvier prochain, votre liberté de partir sera totale.
4. Et si c’est moi qui vends l’objet connecté ?
La question mérite d’être posée franchement, parce que beaucoup de petites entreprises se croient hors sujet à tort. Le Data Act ne raisonne pas en taille d’entreprise mais en rôle.
| Votre situation | Ce que le texte attend de vous |
|---|---|
| J’utilise du matériel connecté acheté ailleurs | Rien. Vous êtes titulaire de droits, pas d’obligations. |
| Je revends un produit connecté conçu par un autre | Relayer l’information précontractuelle : dire au client quelles données l’objet génère et qui les détient. |
| Je fabrique, j’assemble ou je vends sous ma propre marque | Concevoir l’accès aux données dès l’origine pour tout produit mis sur le marché après le 12 septembre 2026, et répondre aux demandes d’accès. |
| J’édite l’application ou la plateforme associée à l’objet | Vous pouvez être « détenteur de données » même sans fabriquer l’objet : les obligations d’accès vous incombent. |
ℹ️ L’exemption des très petites structures
Le règlement prévoit que les obligations de partage ne s’appliquent pas aux produits fabriqués ou aux services fournis par une micro ou une petite entreprise — moins de 50 salariés et moins de 10 millions d’euros de chiffre d’affaires ou de total de bilan. Attention toutefois : cette exemption tombe si l’entreprise est liée à un groupe qui, lui, dépasse ces seuils, ou si elle passe elle-même dans la catégorie supérieure. Elle protège l’artisan qui bricole un capteur, pas la filiale d’un industriel.
5. Qui contrôle, et que risque-t-on vraiment ?
Sur ce point les approximations abondent. Le Data Act n’a pas de plafond d’amende général : il renvoie à chaque État membre le soin de fixer des sanctions « effectives, proportionnées et dissuasives ». Et la France ne l’a toujours pas fait. Le projet de loi censé porter ce régime, adopté par le Sénat en février 2026, attend son examen à l’Assemblée nationale. Il désigne l’Arcep comme autorité compétente, dans le prolongement de son rôle sur le cloud issu de la loi SREN. La CNIL, elle, garde la main dès que des données personnelles sont en jeu.
🚨 « Pas de loi française » ne veut pas dire « pas de risque »
Trois expositions sont déjà bien réelles. D’abord, le règlement renvoie lui-même au RGPD pour les manquements touchant des données personnelles : la CNIL peut y appliquer le plafond de 20 millions d’euros ou 4 % du chiffre d’affaires mondial, sans attendre aucune loi de transposition. Ensuite, une clause contractuelle abusive imposée à une autre entreprise est inopposable de plein droit : aucune autorité n’a besoin d’intervenir, il suffit que le cocontractant la soulève devant un juge. Enfin, les recours privés — réclamation, action en justice, action de groupe côté consommateurs — sont ouverts depuis un an.
Reste ce qui pourrait bouger : la Commission a proposé en novembre 2025 un chantier de simplification du droit numérique, le « Digital Omnibus », dont un volet touche au Data Act. Le pan consacré à l’intelligence artificielle a abouti vite, publié au Journal officiel de l’Union le 24 juillet 2026 ; le volet données est nettement plus disputé et sans accord à ce jour. Ne pariez donc pas sur un assouplissement à court terme, et surtout pas sur un report de l’échéance de septembre.
6. Votre feuille de route, et une question à faire circuler
Pour une TPE, la préparation utile tient en quatre gestes, réalisables en une demi-journée.
Faites la liste de vos objets connectés. Le véhicule utilitaire, la machine de production, la pompe à chaleur, l’alarme, la serrure du gîte, le terminal de paiement, le thermostat de l’atelier. Vous serez surpris du nombre.
Pour chacun, posez trois questions au fournisseur, par écrit. Quelles données génère cet équipement ? Qui les détient ? Comment puis-je les récupérer, et comment puis-je vous demander de les transmettre à un prestataire de mon choix ? Un courriel suffit, et sa trace vaut mieux qu’un appel.
Relisez vos contrats cloud et SaaS. Cherchez les clauses de sortie, les frais d’export, les durées de préavis, et notez la date du 12 janvier 2027 dans votre agenda de renouvellement. Si vous concevez ou revendez sous votre marque, enfin, l’échéance de septembre est une échéance d’ingénierie : elle ne se rattrape pas après coup par un document.
ℹ️ Pour celles et ceux qui animent des ateliers
Le Data Act donne une question simple, utilisable en atelier grand public : « avant d’acheter cette montre, cette balance ou ce thermostat connecté, demandez comment vous récupérerez vos données le jour où vous changerez de marque ». C’est un excellent point d’entrée pour parler de dépendance aux plateformes, d’obsolescence des applications et de choix éclairé, sans jargon juridique et sans faire peur.
Ce qu’il faut retenir
- Le 12 septembre 2026 concerne la conception des produits neufs, pas le matériel déjà installé : rien à modifier sur l’existant.
- Votre droit d’accès aux données, lui, existe depuis le 12 septembre 2025, sur tous vos équipements connectés, quel que soit leur âge — et il est gratuit.
- Le droit de faire transmettre ces données au prestataire de votre choix est le vrai levier : il ouvre le marché de la maintenance et de la réparation.
- Côté cloud, les frais de changement de fournisseur disparaissent le 12 janvier 2027 — en France, le montant maximal des frais de transfert est déjà fixé à zéro euro.
- La loi française de sanction n’est pas encore votée, mais le risque existe déjà : plafond RGPD de 20 M€ ou 4 % du chiffre d’affaires mondial, nullité des clauses abusives, recours privés.
Il y a quelque chose d’un peu ironique dans ce texte : c’est probablement la réglementation numérique européenne la plus favorable aux petites entreprises depuis dix ans, et c’est celle dont elles ont le moins entendu parler. Les grands fabricants, eux, l’ont lue attentivement. Le décalage se joue là — pas dans la conformité, mais dans la connaissance de ses propres droits.
Num Compagny accompagne les TPE et les PME dans la maîtrise de leurs outils numériques : inventaire des équipements et services connectés, lecture des contrats cloud et SaaS, préparation des demandes d’accès aux données, et formation des équipes aux réglementations qui les concernent vraiment. Découvrez nos formations professionnelles.
