Accès aux données IoT : faire une demande Data Act

Pour obtenir les données d’une machine connectée, identifiez votre qualité d’utilisateur, le produit et les catégories recherchées. Lorsque l’accès direct est impossible, l’article 4 du Data Act permet de demander au détenteur les données facilement accessibles et leurs métadonnées utiles. L’accès est gratuit pour l’utilisateur, mais ne porte ni sur tout le système du fabricant ni sur n’importe quelle analyse commerciale.

Une demande efficace décrit aussi le résultat exploitable attendu : une période complète, des unités compréhensibles et des identifiants permettant de relier les fichiers. Voici comment préparer cette demande, organiser une transmission à un réparateur et examiner une réponse partielle.

Vérifier qui peut demander quoi

Le produit connecté obtient ou génère des données sur son utilisation ou son environnement et peut les communiquer. Un service numérique associé peut être un service connexe lorsqu’il répond à la définition de l’Art. 2(6). Toute application utilisée dans l’entreprise ne relève donc pas automatiquement de ce régime.

L’utilisateur peut être propriétaire, titulaire contractuel de droits temporaires d’utilisation ou bénéficiaire d’un service connexe. Une entreprise locataire peut ainsi avoir cette qualité ; le salarié qui conduit matériellement une machine ne détient pas nécessairement les droits correspondant au contrat de location. Le guide Data Act explique les différents rôles.

L’Art. 7(1) prévoit des exclusions pour certaines données de produits ou services de microentreprises ou petites entreprises, sous conditions tenant notamment à leurs liens avec d’autres entreprises et à la sous-traitance. Des exceptions temporaires concernent également les entreprises moyennes. Si le fournisseur invoque sa taille, demandez quelle branche du texte et quels faits rendent l’exclusion applicable. La seule formule « nous sommes une PME » ne tranche pas la question. Règlement (UE) 2023/2854, Art. 2 et 7.

Délimiter les données, sans réclamer tout le système

Les données facilement accessibles sont celles que le détenteur obtient légalement ou peut obtenir légalement par une simple opération, sans effort disproportionné. La demande peut viser des mesures et événements générés par l’utilisation, avec les informations nécessaires à leur interprétation. Elle n’oblige pas à créer après coup des mesures jamais produites.

L’Art. 4(1) impose notamment un format complet, structuré, couramment utilisé et lisible par machine, une qualité identique à celle dont bénéficie le détenteur, ainsi qu’une mise à disposition sans retard injustifié. Le continu et le temps réel dépendent de leur pertinence et de leur possibilité technique. Une capture du tableau de bord ne remplace donc pas nécessairement l’accès aux données visées par le texte.

Distinguez les mesures demandées d’un diagnostic élaboré par le fabricant. La température relevée, son horodatage et son unité ne se confondent pas avec une recommandation propriétaire de remplacement de la machine. Le droit d’accès ne donne pas, par lui-même, un droit général au code source. Data Act, Art. 2(15) à (17) et 4(1).

Une demande renseignée pour un atelier

Prenons un exemple fictif. L’Atelier Mornay loue un compresseur connecté C-17. Il veut comprendre des redémarrages nocturnes pendant une période déterminée. Le contrat, le produit et le service entrent, par hypothèse, dans le champ du chapitre II, sans exclusion de l’Art. 7. Le responsable maintenance porte la demande au nom de l’entreprise.

Le tableau ci-dessous prépare son périmètre. Il ne décrit pas les fonctionnalités vérifiées d’une marque réelle.

Écarter les noms ne garantit pas l’anonymat : les horaires peuvent parfois être rapprochés d’un planning individuel. Cette question est examinée séparément avant l’utilisation des données. La période est ici un choix opérationnel, pas une durée maximale fixée par le règlement.

La demande peut être formulée ainsi :

L’Atelier Mornay utilise le compresseur C-17 au titre du contrat de location L-48. En application de l’article 4 du Data Act, nous demandons les données facilement accessibles de pression, température, énergie et événements de fonctionnement du 1er au 20 septembre 2026 inclus. Merci de joindre les métadonnées nécessaires, notamment les unités, le fuseau horaire et la signification des codes. Nous ne demandons pas les noms ni les commentaires libres des techniciens. Merci de préciser le moyen sécurisé d’accès et, pour toute catégorie non fournie, son indisponibilité ou le motif de restriction.

Ce texte est un exemple adaptable, pas un formulaire réglementaire. Le responsable joint les éléments du contrat utiles pour établir le droit d’usage et son pouvoir d’agir, sans transmettre inutilement tout le dossier d’achat. L’Art. 4(5) limite les informations exigées à celles nécessaires pour vérifier la qualité d’utilisateur.

Gardez une copie datée de l’envoi, les pièces justificatives effectivement transmises et l’identité du destinataire. Si le support commercial renvoie vers une équipe spécialisée, conservez ce transfert. Il permet de relancer sur le périmètre initial sans reformuler une demande différente à chaque échange.

Faire transmettre les données à un réparateur

L’entreprise peut demander une mise à disposition auprès d’un tiers éligible sur le fondement de l’Art. 5. Dans notre exemple, elle choisirait un mainteneur indépendant pour analyser les redémarrages. Elle indique son identité, le périmètre des fichiers et la finalité convenue, plutôt que de transmettre le mot de passe de son propre compte.

Le tiers utilise les données dans les conditions convenues avec l’utilisateur et respecte les restrictions de l’Art. 6. Faire diagnostiquer ou réparer une machine ne signifie pas autoriser le développement d’un produit connecté concurrent. Les entreprises désignées comme contrôleurs d’accès au titre du DMA ne sont pas des tiers éligibles au titre de l’Art. 5(3). La fiche sur les droits d’usage contractuels IoT aide à formaliser ces limites.

La gratuité pour l’utilisateur ne signifie pas que toutes les relations économiques sont gratuites : une compensation peut être convenue entre détenteur et destinataire selon les Art. 8 et 9. Le prix de la prestation de maintenance constitue encore une question distincte. Demandez donc à quel service et à quelle relation se rapporte une somme réclamée, avant d’accepter une « facture d’accès » globale. Data Act, Art. 5, 6, 8 et 9.

Contrôler la réponse reçue

Le responsable maintenance compare la livraison à la demande, avec l’appui informatique si nécessaire. Il doit pouvoir retrouver les enregistrements du C-17, les trier et comprendre leurs unités sans reconstituer arbitrairement le sens des colonnes.

Supposons qu’une réponse fournisse les températures du 1er au 15 septembre et un fichier d’alarmes contenant seulement des codes numériques. L’atelier ne peut conclure ni à l’absence d’incident après le 15, ni à la signification d’un code qu’il ne connaît pas. Il prépare un complément précis :

Nous avons reçu les températures jusqu’au 15 septembre. Merci de compléter la période du 16 au 20 ou d’expliquer pourquoi ces données ne sont pas disponibles. Le fichier d’alarmes comporte un champ « code » sans dictionnaire ; merci de fournir les métadonnées permettant son interprétation. Nous conservons la réception comme partielle dans l’attente de ces éléments.

Un blanc, une valeur nulle et une absence de mesure ne sont pas interchangeables. De même, un compteur d’énergie cumulé ne se lit pas comme une consommation sur chaque intervalle. Si deux relevés fictifs donnent 12 400 puis 12 430 kWh, leur différence est de 30 kWh ; elle n’est exploitable que si l’unité, l’ordre temporel et l’absence de remise à zéro sont établis.

Consignez séparément les fichiers reçus, les catégories manquantes et les restrictions contestées. Une interface documentée peut convenir à un besoin récurrent, mais la réception d’un premier fichier ne démontre pas que les futurs accès sont opérationnels. Le périmètre des comptes et la révocation de l’accès du mainteneur doivent aussi être organisés.

Réagir à une restriction ou à un refus

Le secret d’affaires n’est pas une réponse globale suffisante. Les Art. 4(6) à (8) organisent l’identification des données protégées, les garanties proportionnées et les situations de suspension ou de refus. Le refus exceptionnel suppose notamment de démontrer un risque très probable de préjudice économique grave malgré les mesures prises. Demandez quelles données sont concernées et quelles garanties ont été examinées.

Une restriction de sécurité relève d’autres conditions : l’Art. 4(2) vise certaines exigences légales de sécurité du produit et de graves effets indésirables pour les personnes. Ce n’est pas une dispense générale déclenchée par le mot « cybersécurité ». Les voies de contestation prévues aux Art. 4(3) et 4(9) peuvent être mobilisées selon le motif, avec conservation de la réponse et des pièces. Ne contournez pas les protections techniques : l’Art. 4(11) l’interdit expressément.

Enfin, être propriétaire ou locataire d’un équipement n’autorise pas automatiquement l’accès aux données personnelles de ses utilisateurs. L’Art. 4(12), et l’Art. 5(7) pour le tiers, imposent notamment un fondement juridique valable lorsque le demandeur n’est pas la personne concernée. Le guide Data Act et RGPD explique cette articulation. Séparez alors les données techniques accessibles des données personnelles dont les conditions de communication restent à résoudre. Data Act, Art. 4 et 5.

Ce qu’il faut retenir

Identifiez le produit, votre droit d’usage, la période et les catégories utiles. Demandez les métadonnées avec les valeurs, puis documentez ce qui a réellement été remis. Une réponse partielle appelle un complément précis ; un refus appelle un motif et une analyse de ses conditions. L’accès gratuit de l’utilisateur, la transmission à un tiers et le respect du RGPD restent des questions distinctes.

FAQ

Le délai RGPD d’un mois s’applique-t-il automatiquement ?

Non. L’Art. 4(1) impose une mise à disposition sans retard injustifié. Une demande RGPD parallèle relève de son propre régime ; identifiez-la séparément au lieu de transposer son délai au Data Act.

Faut-il réclamer un accès en temps réel ?

Seulement si le besoin le justifie ; le texte ajoute la condition de possibilité technique. Pour analyser un incident passé, un historique exploitable peut répondre au besoin. Cela ne réduit pas les droits applicables à une autre demande nécessitant un flux continu.

L’accès dès la conception concerne-t-il tous les produits ?

L’Art. 50 applique l’obligation de l’Art. 3(1) aux produits et services mis sur le marché après le 12 septembre 2026. Cette date ne reporte pas globalement les autres droits du chapitre II, applicables depuis le 12 septembre 2025. Calendrier du règlement.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.