Data Act et secret des affaires : quand refuser l'accès

C’est la première question que pose tout industriel confronté au Data Act : « puis-je refuser, au nom du secret des affaires ? » La réponse du règlement (UE) 2023/2854 est nuancée, et elle déçoit les deux camps. Le secret des affaires n’est pas un motif de refus général — mais il ouvre trois mécanismes distincts, dont deux permettent effectivement de ne pas transmettre. Encore faut-il en respecter la procédure, qui est précise et largement ignorée.

Ce que le Data Act protège réellement

Le règlement ne crée aucune définition autonome. Son article 2, point 18), renvoie à l’article 2, point 1), de la directive (UE) 2016/943 sur la protection des savoir-faire non divulgués. En France, cette définition est celle de l’article L. 151-1 du code de commerce, issu de la loi n° 2018-670 du 30 juillet 2018. Elle repose sur trois critères cumulatifs :

1. l’information n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes du secteur ;
2. elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ;
3. elle fait l’objet, de la part de son détenteur légitime, de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret.

Le troisième critère est celui qui fait perdre la plupart des dossiers. Une donnée que l’on n’a jamais identifiée comme confidentielle, jamais restreinte par un protocole d’accès, jamais couverte par une clause de confidentialité, n’est pas un secret d’affaires. Elle ne le devient pas parce qu’on l’invoque le jour où un utilisateur demande l’accès à ses données.

Deuxième malentendu fréquent : la donnée brute de capteur n’est pas, par nature, un secret d’affaires. La température relevée par une machine-outil, le kilométrage d’un véhicule, la fréquence de démarrage d’une pompe — prises isolément, ces valeurs ne satisfont ni au critère de valeur commerciale liée au secret, ni à celui de non-accessibilité. Ce qui peut relever du secret, c’est l’agrégation, la fréquence d’échantillonnage, la structure du modèle de données, les paramètres calculés, les seuils d’alerte, les données dérivées d’un algorithme propriétaire. Cette distinction gouverne toute la stratégie de refus. Elle recoupe celle, plus large, que j’ai développée à propos de la propriété des données IoT : le Data Act ne crée pas un droit de propriété sur la donnée, il organise des droits d’accès.

Le principe : divulgation encadrée, pas exception

Les articles 4(6) et 5(9) posent une règle voisine : les secrets d’affaires sont préservés et ne sont divulgués que sous condition — mesures de protection prises au préalable pour l’article 4(6), stricte nécessité au regard de la finalité convenue pour l’article 5(9). La divulgation reste donc le principe, la protection en est la condition.

Deux obligations pèsent sur le détenteur de données — ou sur le détenteur du secret d’affaires lorsque ce n’est pas la même personne :

Identifier. Le règlement impose d’identifier les données protégées au titre du secret des affaires, « y compris dans les métadonnées pertinentes ». C’est une exigence technique, pas une déclaration contractuelle. Elle suppose un marquage au niveau du flux de données lui-même, et donc un travail d’ingénierie qui doit être anticipé au stade de la conception du produit — le même stade que celui visé par l’obligation d’accessibilité par défaut de l’article 3(1), applicable aux produits mis sur le marché après le 12 septembre 2026. Voir notre analyse de l’accès aux données IoT sur ce point.

Convenir de mesures proportionnées. Le règlement énumère lui-même les instruments admissibles : modalités contractuelles types, accords de confidentialité, protocoles d’accès stricts, normes techniques, codes de conduite. La liste n’est pas limitative, mais elle donne le standard attendu.

Les deux articles diffèrent sur un point important. L’article 4(6), qui régit la relation avec l’utilisateur, exige « toutes les mesures nécessaires » pour préserver la confidentialité, en particulier vis-à-vis des tiers. L’article 5(9), qui régit la transmission à un tiers désigné par l’utilisateur, ajoute un filtre de proportionnalité en amont : les secrets d’affaires ne sont divulgués « que dans la mesure où cela est strictement nécessaire pour atteindre la finalité convenue entre l’utilisateur et le tiers ». Autrement dit, face à un tiers — typiquement un concurrent de votre service après-vente —, vous pouvez d’abord discuter du périmètre avant de discuter des mesures. C’est le levier le plus sous-utilisé du dispositif.

Les trois portes de sortie

Il faut distinguer trois mécanismes que la pratique confond systématiquement.

Mécanisme	Fondement	Condition	Effet
Retenir ou suspendre	Art. 4(7) (utilisateur) / Art. 5(10) (tiers)	Absence d’accord sur les mesures, non-mise en œuvre des mesures convenues, ou atteinte à la confidentialité	Blocage temporaire des seules données identifiées comme secrets d’affaires
Refuser	Art. 4(8) / Art. 5(11)	Circonstances exceptionnelles : probabilité élevée de préjudice économique grave, malgré les mesures prises	Refus au cas par cas, sur la demande spécifique
Restreindre pour raison de sécurité	Art. 4(2)	Atteinte aux exigences de sécurité du produit connecté avec effet négatif grave sur la santé, la sécurité ou la sûreté des personnes physiques	Restriction ou interdiction contractuelle

Le premier mécanisme est procédural : il sanctionne un défaut d’accord ou un manquement de l’autre partie. Il n’exige aucune démonstration de préjudice. C’est la voie normale.

Le deuxième est substantiel et volontairement étroit. Le règlement parle de « circonstances exceptionnelles » et impose de démontrer qu’il est « hautement probable » de subir un préjudice économique grave, malgré les mesures techniques et organisationnelles prises par l’autre partie. Il ne s’agit donc pas d’une alternative aux mesures de protection : il faut d’abord avoir joué le jeu, puis établir que cela ne suffit pas.

Le troisième n’a rien à voir avec le secret des affaires. Il concerne la sécurité du produit — cybersécurité d’un dispositif médical, intégrité d’un système embarqué —, se met en œuvre par la voie contractuelle et non par un refus unilatéral, et se rattache davantage aux logiques du Cyber Resilience Act et de l’article 32 du RGPD. Le confondre avec le secret des affaires est une erreur de qualification qui fragilise le dossier.

Ce que « préjudice économique grave » suppose de démontrer

Le règlement ne laisse pas la notion en l’état. Il énumère les éléments objectifs sur lesquels la démonstration doit reposer :

• le caractère exécutoire de la protection des secrets d’affaires dans les pays tiers concernés ;
• la nature et le niveau de confidentialité des données demandées ;
• le caractère unique et nouveau du produit connecté.

Ces trois critères dessinent en creux le profil du dossier qui passe : un produit récent, techniquement différenciant, dont les paramètres de fonctionnement sont réellement confidentiels, et un demandeur dont l’écosystème juridique n’offre pas de voies de recours effectives en cas de captation. À l’inverse, un équipement banalisé sur un marché mature, dont les données d’usage sont demandées par un prestataire de maintenance établi dans l’Union, ne remplit aucun des trois.

Le refus doit être apprécié au cas par cas, sur la demande d’accès aux données spécifiques en cause. Une politique générale de refus, une clause type dans les conditions générales, un paramétrage produit qui bloque toute extraction : rien de tout cela ne constitue un refus au sens de l’article 4(8). Ce serait au contraire une entrave au sens de l’article 4(4), qui interdit de rendre l’exercice des droits « indûment difficile », y compris par la conception de l’interface — la transposition, au Data Act, de la prohibition des dark patterns.

La procédure : c’est là que tout se joue

Dans mon expérience de conseil, les entreprises perdent rarement sur le fond. Elles perdent sur la forme, parce que la procédure de refus du Data Act comporte trois étapes cumulatives, dont la troisième est presque toujours oubliée.

1. Une décision dûment motivée. Le refus, la rétention ou la suspension doivent être « dûment motivés ». La motivation ne peut se limiter à l’invocation du secret : elle doit identifier les données concernées, expliquer en quoi elles satisfont les trois critères de l’article L. 151-1 du code de commerce, et — pour un refus fondé sur l’article 4(8) ou 5(11) — articuler la démonstration du préjudice sur les trois éléments objectifs ci-dessus.

2. Une communication écrite, sans retard injustifié. À l’utilisateur pour l’article 4, au tiers pour l’article 5. L’écrit n’est pas une formalité probatoire : c’est le point de départ des voies de recours de l’autre partie, et son absence rend le refus contestable en la forme.

3. Une notification à l’autorité compétente. C’est l’étape négligée. Les articles 4(7), 4(8), 5(10) et 5(11) imposent tous de notifier l’autorité compétente désignée au titre de l’article 37. En cas de rétention ou de suspension, la notification doit en outre identifier les mesures qui n’ont pas été convenues ou mises en œuvre et, le cas échéant, les secrets d’affaires dont la confidentialité a été compromise. L’article 4(2) impose lui aussi une notification à l’autorité compétente lorsque le détenteur refuse de partager les données, sans exiger ce même contenu.

En France, l’autorité compétente n’est toujours pas désignée à ce jour. Le projet de loi DDADUE, adopté par le Sénat le 18 février 2026 et transmis à l’Assemblée nationale, prévoit de confier ce rôle à l’Arcep, avec un pouvoir de sanction plafonné à 3 % du chiffre d’affaires mondial hors taxes (5 % en cas de réitération), ou 150 000 € à défaut d’activité permettant de déterminer ce plafond — 375 000 € en cas de réitération. Notre analyse du régime de sanctions du Data Act détaille l’état de la navette parlementaire.

Cette vacance ne dispense pas de l’obligation de notification : elle en complique seulement l’exécution. La position que je recommande est de constituer et dater le dossier de notification au moment du refus, et de l’adresser dès la désignation publiée. Un refus non notifié pendant un an, régularisé après coup, se défend mal — surtout devant une autorité qui disposera, au titre de l’article 37(5)(b), d’une compétence expresse pour connaître des réclamations portant sur les secrets d’affaires.

Le recours de l’autre partie

Le Data Act n’abandonne pas l’utilisateur ou le tiers face à un refus. Les articles 4(9) et 5(12) lui ouvrent deux voies, sans préjudice de son droit d’agir en justice à tout moment :

• une réclamation devant l’autorité compétente, qui décide « sans retard injustifié » si le partage doit débuter ou reprendre, et à quelles conditions ;
• un organe de règlement des différends certifié au titre de l’article 10, si les deux parties en conviennent.

Le pouvoir confié à l’autorité est notable : elle ne se borne pas à constater un manquement, elle fixe les conditions du partage. Elle peut donc imposer les mesures de protection que les parties n’ont pas su négocier. Pour un détenteur de données, cela signifie qu’un refus mal construit n’aboutit pas au statu quo, mais à une solution imposée — généralement moins favorable que celle qu’on aurait obtenue en négociant.

Construire un refus qui tient

Le dossier se prépare avant la demande, pas après.

Cartographier et marquer. Identifier, produit par produit et flux par flux, quelles données relèvent effectivement du secret des affaires, et matérialiser cette identification dans les métadonnées. C’est le préalable indispensable, exigé par les articles 4(6) et 5(9) eux-mêmes. Ce travail rejoint celui de l’inventaire décrit dans notre plan de préparation au Data Act.

Documenter les mesures de protection raisonnables. Chiffrement, cloisonnement, journalisation des accès, habilitations nominatives, clauses de confidentialité dans les contrats fournisseurs. Sans ces mesures, le troisième critère de l’article L. 151-1 n’est pas rempli et la qualification de secret d’affaires tombe — avant même que la discussion Data Act ne commence.

Préparer un cadre contractuel de partage. La Commission a publié le 19 novembre 2025, en application de l’article 41, des modalités contractuelles types pour l’accès et l’utilisation des données — comprenant des clauses sur la compensation raisonnable et sur la protection des secrets d’affaires — ainsi que des clauses contractuelles standard pour les contrats d’informatique en nuage. Ces modèles sont non contraignants, mais leur usage constitue un signal fort de bonne foi et fait gagner un temps considérable en négociation. Attention toutefois : un contrat de partage n’échappe pas au contrôle des clauses abusives de l’article 13. Une clause unilatéralement imposée qui subordonnerait l’accès à des conditions manifestement disproportionnées serait inopposable.

Prévoir les mesures techniques de protection. L’article 11(1) autorise expressément le détenteur de données à appliquer des mesures techniques — chiffrement, contrats intelligents — pour prévenir les accès non autorisés, à condition qu’elles ne discriminent pas entre destinataires et n’entravent pas l’exercice des droits d’accès. L’article 11(2) et (3) offre en outre un arsenal de réaction en cas d’abus avéré : effacement des données et de leurs copies, cessation de la production et de la commercialisation des biens ou services développés à partir de ces données, destruction des biens en infraction, information de l’utilisateur et indemnisation. Ces droits s’ouvrent notamment lorsque le tiers n’a pas maintenu les mesures convenues au titre de l’article 5(9), ou a développé un produit connecté concurrent. C’est la contrepartie du régime de partage, et elle est rarement exploitée.

Ne pas confondre les chapitres. Le régime décrit ici est celui du chapitre II (produits connectés). Pour le chapitre VI, relatif au changement de fournisseur de services de traitement de données, la logique est différente : l’article 2, point 38), exclut d’emblée de la définition des « données exportables » — définition qui vaut pour les articles 23 à 31 et pour l’article 35 — les actifs protégés par un droit de propriété intellectuelle ou constituant un secret d’affaires du fournisseur ou de tiers. La protection y est donc structurelle et non procédurale, comme le détaille notre guide de la portabilité cloud sous le Data Act.

Vous suivez la mise en œuvre du Data Act, du RGPD ou de l’AI Act dans votre organisation ? Recevez nos analyses de conformité chaque semaine : décryptages réglementaires, décisions des autorités et points pratiques, directement dans votre boîte mail.

Ce que l’omnibus numérique pourrait changer

La proposition de règlement « omnibus numérique » présentée par la Commission le 19 novembre 2025 (COM(2025) 837) ajouterait aux articles 4(8) et 5(11) un motif de refus supplémentaire : l’existence d’un risque élevé d’acquisition, d’utilisation ou de divulgation illicites des secrets d’affaires vers des pays tiers — ou vers des entités qu’ils contrôlent — dont le cadre juridique n’offre pas une protection équivalente, ou dont la mise en œuvre effective fait défaut. Le refus resterait soumis à une appréciation au cas par cas et à la notification à l’autorité compétente.

Ce motif recoupe partiellement l’un des trois éléments objectifs déjà prévus par le texte en vigueur — le caractère exécutoire de la protection dans les pays tiers —, mais il en ferait un fondement autonome, sans exiger la démonstration d’un préjudice économique grave. Pour un fabricant européen sollicité par un destinataire de données lié à un groupe extra-européen, l’écart est substantiel. La logique n’est pas sans rappeler celle qui gouverne les transferts de données hors UE depuis l’arrêt Schrems II : évaluer le droit du pays de destination, et non seulement les engagements contractuels du destinataire.

Prudence toutefois sur le calendrier. Au 6 août 2026, le volet « données » de l’omnibus numérique n’est pas entré en trilogue — contrairement au volet IA, adopté par le Parlement le 16 juin 2026 puis validé par le Conseil le 29 juin, et que nous avons analysé dans notre article sur l’omnibus IA. La position du Parlement sur le volet données est encore en cours de consolidation en commissions ITRE et LIBE, saisies au fond. Le texte final peut différer sensiblement de la proposition. Le droit applicable aujourd’hui reste celui des articles 4 et 5 dans leur rédaction de 2023.

Et si des données personnelles sont en cause

Un point d’articulation à ne pas manquer. Lorsque les données demandées comportent des données à caractère personnel et que l’utilisateur n’est pas la personne concernée, l’article 4(12) subordonne la mise à disposition à l’existence d’une base légale valable au sens de l’article 6 du RGPD — et, le cas échéant, au respect de l’article 9 du RGPD et de l’article 5(3) de la directive 2002/58/CE.

C’est une condition distincte du secret des affaires, et cumulative avec elle. Un détenteur de données peut donc être tenu de refuser sur le fondement du RGPD une demande qu’il aurait dû satisfaire au regard du Data Act. L’article 5(8) précise d’ailleurs que les défaillances du détenteur de données ou du tiers dans la mise en place des modalités de transmission ne peuvent faire obstacle à l’exercice des droits de la personne concernée, en particulier au droit à la portabilité de l’article 20 du RGPD. Cette articulation, qui est la principale source d’erreur de qualification en pratique, est développée dans notre comparaison des différences entre Data Act et RGPD et dans notre checklist de double conformité.

Ce qu’il faut retenir

• Le secret des affaires n’est pas un motif de refus général. Les articles 4(6) et 5(9) posent le principe inverse : divulgation, sous condition de mesures de protection convenues au préalable.
• Trois mécanismes distincts : retenir ou suspendre (art. 4(7)/5(10)) en cas de défaut d’accord ou de manquement, refuser au cas par cas (art. 4(8)/5(11)) en circonstances exceptionnelles, restreindre pour raison de sécurité du produit (art. 4(2)). Les confondre fragilise le dossier.
• Trois critères cumulatifs conditionnent la qualification même de secret d’affaires (art. L. 151-1 du code de commerce) : non-connu, valeur commerciale liée au secret, et mesures de protection raisonnables. Le troisième se prépare en amont ou ne se prépare pas.
• La procédure comporte trois étapes : motivation, écrit sans retard injustifié, et notification à l’autorité compétente au titre de l’article 37. La troisième est presque toujours omise.
• L’identification doit figurer dans les métadonnées. C’est une exigence technique du règlement, à traiter au stade de la conception du produit — au plus tard pour les produits mis sur le marché après le 12 septembre 2026.
• L’autre partie dispose d’un recours effectif : l’autorité compétente peut décider que le partage doit débuter ou reprendre, et en fixer les conditions. Un refus mal construit n’aboutit pas au statu quo.
• L’omnibus numérique ajouterait un motif « pays tiers », mais la proposition n’est pas entrée en trilogue au 6 août 2026. Le droit applicable demeure celui de 2023.

FAQ

Puis-je refuser l’accès aux données au seul motif du secret des affaires ?

Non, pas de manière générale. Le Data Act impose d’abord d’identifier les données protégées et de proposer à l’utilisateur ou au tiers des mesures techniques et organisationnelles proportionnées. Ce n’est qu’en cas d’absence d’accord, de non-mise en œuvre de ces mesures ou d’atteinte à la confidentialité que la rétention ou la suspension devient possible (art. 4(7) et 5(10)). Le refus pur et simple de l’article 4(8) suppose en outre de démontrer, au cas par cas, qu’il est hautement probable de subir un grave préjudice économique.

Les données brutes de mes capteurs sont-elles des secrets d’affaires ?

Rarement prises isolément. La qualification exige les trois critères cumulatifs de l’article L. 151-1 du code de commerce, notamment une valeur commerciale résultant du caractère secret et des mesures de protection raisonnables préexistantes. En pratique, ce sont plutôt l’agrégation, les paramètres calculés, les seuils d’alerte, la structure du modèle de données ou les données dérivées d’un algorithme propriétaire qui peuvent être qualifiés. Une valeur de capteur banale ne le sera pas.

À qui dois-je notifier un refus fondé sur le secret des affaires ?

À l’autorité compétente désignée au titre de l’article 37 du Data Act. La France ne l’a pas encore désignée : le projet de loi DDADUE, en cours d’examen à l’Assemblée nationale, prévoit de confier ce rôle à l’Arcep. En attendant, il est recommandé de constituer et dater le dossier de notification au moment du refus, et de l’adresser dès la publication de la désignation.

Que puis-je faire si un tiers détourne des données couvertes par le secret ?

L’article 11(2) et (3) ouvre plusieurs actions lorsque le tiers a obtenu les données par des moyens trompeurs, les a utilisées à des fins non autorisées — notamment pour développer un produit connecté concurrent —, les a divulguées illicitement, ou n’a pas maintenu les mesures convenues au titre de l’article 5(9) : effacement des données et de leurs copies, cessation de la production et de la commercialisation des biens ou services développés à partir de ces données, information de l’utilisateur et indemnisation.

Le régime est-il le même pour le cloud ?

Non. Le chapitre VI, relatif au changement de fournisseur de services de traitement de données, ne fonctionne pas par refus motivé. L’article 2, point 38), exclut directement de la définition des « données exportables » les actifs protégés par un droit de propriété intellectuelle ou constituant un secret d’affaires du fournisseur ou de tiers. La protection y est structurelle, et les obligations d’interopérabilité s’apprécient dans ce périmètre réduit.