Data Act : calendrier d'application et dates clés

Le Data Act (règlement (UE) 2023/2854) suit un calendrier d’application échelonné sur plusieurs années. Contrairement a d’autres règlements européens qui entrent en application à une date unique, le législateur a prévu une mise en oeuvre progressive, certaines obligations s’appliquant des septembre 2025, d’autres n’entrant en vigueur qu’en 2027. Ce choix reflète la complexité des adaptations techniques et contractuelles que le règlement impose aux acteurs concernés.

Cet article récapitule l’ensemble des dates clés et leur signification concrète pour les entreprises.

Tableau synthétique du calendrier

Date	Événement	Dispositions concernées
13 décembre 2023	Publication au Journal officiel de l’Union européenne	Règlement (UE) 2023/2854
11 janvier 2024	Entrée en vigueur	Le règlement existe juridiquement mais n’est pas encore applicable
12 septembre 2025	Application générale	Chapitres II a V, VII et IX : accès aux données IoT, partagé B2B, accès du secteur public, interopérabilité
12 septembre 2025	Obligations de transparence cloud	Article 27 : obligations d’information précontractuelle des fournisseurs cloud
12 septembre 2025 - 11 janvier 2027	Periode transitoire pour les frais cloud	Les frais de changement de fournisseur sont réduits progressivement
12 janvier 2027	Suppression des frais de changement cloud	Article 29 : les fournisseurs ne peuvent plus facturer aucun frais lie au changement de fournisseur
12 septembre 2027	Application des exigences sur les contrats intelligents	Article 36 : exigences essentielles pour les contrats intelligents utilisés dans le partagé de données

Détail des étapes

11 janvier 2024 : entrée en vigueur

Le Data Act est entre en vigueur le vingtieme jour suivant sa publication au Journal officiel, soit le 11 janvier 2024. À cette date, le règlement a acquis une existence juridique mais n’a imposé aucune obligation directe aux opérateurs économiques. Cette date a néanmoins marque le début du délai de préparation pour les entreprises.

Le délai de vingt mois entre l’entrée en vigueur et l’application générale (septembre 2025) était destiné a permettre aux entreprises de :

• Analyser l’impact du règlement sur leurs activités.
• Adapter leurs produits connectés aux obligations de conception (design for access).
• Revoir leurs contrats de partagé de données.
• Mettre en place les infrastructures techniques nécessaires pour répondre aux demandes d’accès.

12 septembre 2025 : application générale

Le 12 septembre 2025 constitue la date pivot du calendrier. À compter de cette date, la quasi-totalité des obligations du Data Act sont devenues pleinement applicables et exécutoires. Concrètement, depuis cette date :

Pour les fabricants de produits connectés :

• Les produits connectés mis sur le marché doivent être conçus pour permettre l’accès aux données (article 3).
• Les utilisateurs peuvent exercer leur droit d’accès aux données (article 4).
• Les demandes de partagé avec des tiers doivent être honorees (article 5).
• Les informations précontractuelles sur les données générées doivent être fournies aux acheteurs.

Pour les entreprises détentrices de données :

• Les contrats de partagé de données B2B doivent respecter les exigences d’équité de l’article 13.
• Les clauses contractuelles abusives sont reputees non écrites.
• Les PME bénéficient de la protection renforcée prévue par le règlement.

Pour les fournisseurs de services cloud :

• Les obligations de transparence précontractuelle (article 27) s’appliquent : les clients doivent être informés des procédures de changement de fournisseur, des formats d’export disponibles et des limitations techniques.
• Le processus de changement de fournisseur est encadré : délai maximal de 30 jours, obligation de coopération, fourniture des données dans des formats ouverts.
• Les frais de changement commencent a être réduits progressivement.

Pour les organismes du secteur public :

• Le mécanisme d’accès aux données du secteur privé en cas de nécessité exceptionnelle (chapitre V) est opérationnel.

Il est important de souligner que les produits connectés mis sur le marché avant le 12 septembre 2025 ne sont pas soumis aux obligations de conception de l’article 3. Toutefois, le droit d’accès de l’utilisateur (article 4) s’applique aux données générées par ces produits à compter du 12 septembre 2025.

Periode transitoire : 12 septembre 2025 - 11 janvier 2027

Le Data Act prévoit une période transitoire de seize mois pour les frais de changement de fournisseur cloud. Pendant cette période :

• Les fournisseurs cloud peuvent encore facturer des frais lies au processus de migration, mais ces frais doivent être :

  • Transparents : le client doit connaître leur montant avant de s’engager.
  • Proportionnés : ils ne doivent pas dépasser les coûts réels supportés par le fournisseur.
  • Degressifs : ils doivent diminuer progressivement au cours de cette période.

• Les fournisseurs doivent publier un barème tarifaire détaillant les frais applicables au changement de fournisseur.

Cette période transitoire a été conçue pour permettre aux fournisseurs cloud d’adapter leurs modèles économiques à la suppression prochaine des frais de transfert.

12 janvier 2027 : suppression des frais de changement cloud

À compter du 12 janvier 2027, les fournisseurs de services de traitement de données ne peuvent plus facturer aucun frais lie au processus de changement de fournisseur. Cette interdiction couvre :

• Les frais de transfert de données (egress fees) lies à la migration.
• Les frais de résiliation anticipée spécifiquement lies au changement de fournisseur.
• Tout autre frais directement ou indirectement lie au processus de migration.

Cette date constitue un jalon majeur pour la concurrence sur le marché cloud européen. Elle devrait contribuer à réduire significativement les barrières au changement et a favoriser l’émergence de fournisseurs alternatifs, notamment européens.

12 septembre 2027 : contrats intelligents

La dernière étape du calendrier concerné les contrats intelligents (smart contracts) utilisés dans le cadre de l’exécution automatisée d’accords de partagé de données. L’article 36 du Data Act définit des exigences essentielles pour ces contrats intelligents :

• Robustesse et contrôle d’accès : les contrats intelligents doivent offrir des mécanismes de contrôle d’accès stricts et être protégés contre les manipulations.
• Interruptibilite et resiliabilite : il doit être possible d’interrompre l’exécution d’un contrat intelligent et de le résilier dans des conditions définies.
• Archivage : les transactions exécutées via des contrats intelligents doivent pouvoir être auditees.
• Continuite : des mécanismes doivent être prévus pour garantir la continuité de l’accès aux données en cas de défaillance technique du contrat intelligent.

Le délai supplémentaire de deux ans (par rapport à l’application générale) témoigne de la complexité technique de ces exigences et de la relative immaturité des technologies de contrats intelligents dans le contexte du partagé de données industrielles.

Dispositions relatives à la révision

Le Data Act prévoit également des clauses de révision :

• Au plus tard le 12 septembre 2028, la Commission européenne doit procéder à une évaluation du règlement et présenter un rapport au Parlement européen et au Conseil. Cette évaluation portera notamment sur l’efficacité des mécanismes d’accès aux données, l’impact sur l’innovation et la concurrence, et l’adéquation des sanctions.

• La Commission est également habilitée a adopter des actes délégués pour préciser les normes d’interopérabilité, les spécifications techniques des formats d’export et les exigences applicables aux contrats intelligents. Ces actes délégués pourront être adoptés à tout moment après l’entrée en vigueur du règlement.

Impact du calendrier sur la stratégie de conformité

Le calendrier échelonné du Data Act impose aux entreprises une approche de mise en conformité phasee :

Avant le 12 septembre 2025 (phase achevée) : les entreprises devaient avoir complété l’essentiel de leur mise en conformité : adaptation des produits connectés, mise en place des mécanismes d’accès, révision des contrats B2B, information précontractuelle des clients.

Entre septembre 2025 et janvier 2027 (phase en cours) : les fournisseurs cloud doivent préparer la suppression des frais de transfert et adapter leurs modèles économiques. Les entreprises clientes de services cloud disposent d’un levier de négociation croissant et doivent anticiper d’éventuelles migrations.

Avant septembre 2027 : les acteurs impliqués dans l’utilisation de contrats intelligents pour le partagé de données doivent s’assurer que leurs solutions respectent les exigences essentielles de l’article 36.

Points de vigilance

Plusieurs points méritent une attention particulière :

1. Pas de clause de “grand-fathering” générale : contrairement à certains règlements sectoriels, le Data Act ne prévoit pas d’exemption pour les produits existants en ce qui concerné le droit d’accès aux données. Les données générées après le 12 septembre 2025 par des produits antérieurs sont couvertes.

2. Droit national complémentaire : les États membres doivent adopter des dispositions nationales sur les sanctions et désigner les autorités compétentes. Le calendrier de transposition nationale peut varier selon les États.

3. Interactions avec d’autres règlements : le calendrier du Data Act doit être mis en perspective avec ceux du Data Governance Act (applicable depuis septembre 2023), du règlement sur l’IA (application échelonnée de 2024 à 2027) et du Cyber Resilience Act. La gestion simultanee de ces différentes échéances constitue un défi de coordination majeur pour les entreprises.

4. Actes délégués a venir : la Commission n’a pas encore adopté tous les actes délégués prévus par le règlement. Les entreprises doivent rester en veille réglementaire pour anticiper ces spécifications complémentaires qui pourront modifier les exigences techniques applicables.

Conclusion

Le calendrier du Data Act reflète une approche pragmatique du législateur européen, qui a souhaité donner aux acteurs économiques le temps nécessaire pour s’adapter à des obligations structurellement nouvelles. Néanmoins, la date du 12 septembre 2025 étant désormais passée, l’essentiel des obligations est pleinement applicable. Les entreprises qui n’ont pas encore complète leur mise en conformité s’exposent aux sanctions prévues par le règlement et le droit national de transposition. Pour une vision globale du cadre réglementaire, nous renvoyons à notre guide complet du Data Act.