Data Act : ce que l'accès aux données des objets connectés change pour les organisations

Intelligence artificielle et droit Publié le 18/09/2025 Dimitri Jorand

Le Data Act donne aux utilisateurs d'objets connectés un droit d'accès et de partage des données générées. Ce que cela change pour les contrats et le cloud.

La Commission européenne a rappelé le 12 septembre 2025 que le Data Act, entré en application, donne aux utilisateurs d'objets connectés un droit d'accès et de partage des données générées par ces appareils. Pour un centre hospitalier qui exploite des dispositifs médicaux connectés, une collectivité territoriale qui équipe ses bâtiments de capteurs, une entreprise qui gère une flotte de véhicules connectés ou un plateau technique biomédical, ce texte change concrètement la relation avec les fournisseurs de matériel et de services cloud.

Le Data Act ne parle pas d'intelligence artificielle. Il parle de données générées par l'usage d'un produit connecté ou d'un service lié. Il ne faut pas le confondre avec l'AI Act, qui encadre les systèmes d'IA selon leur niveau de risque, ni avec le RGPD, qui encadre les données à caractère personnel quelle que soit leur origine. Ces trois textes peuvent s'appliquer simultanément à un même appareil, avec des obligations distinctes pour des acteurs parfois différents.

Cet article explique ce que le Data Act change concrètement pour les organisations qui achètent, déploient ou exploitent des objets connectés, et comment articuler ce nouveau droit d'accès avec les règles déjà en vigueur sur les données personnelles et les données de santé.

Ce que couvre le Data Act

Le Data Act s'applique aux données générées par l'utilisation de produits connectés, capteurs de bâtiment, équipements industriels, véhicules de flotte, dispositifs médicaux connectés, et par les services numériques associés à ces produits. Il crée un droit d'accès pour l'utilisateur de l'objet, qu'il soit une personne physique ou une organisation, et un droit de demander le partage de ces données avec un tiers.

Ce droit vise à limiter les situations de dépendance à un seul fournisseur, en particulier quand un fabricant de matériel biomédical ou de capteurs conserve seul l'accès technique aux données produites par ses appareils. Un GHT qui a équipé plusieurs établissements avec des dispositifs connectés d'un même fournisseur peut désormais demander l'accès aux données générées, pour les exploiter en interne ou les transmettre à un autre prestataire.

Objets connectés en santé et médico-social : des cas concrets

Les dispositifs médicaux connectés, les capteurs de suivi à domicile utilisés par un SSIAD, les équipements de télésurveillance ou les capteurs environnementaux d'un EHPAD entrent potentiellement dans le champ du Data Act, dès lors qu'ils génèrent des données lors de leur utilisation. Cela ne veut pas dire que toutes les données de ces appareils deviennent librement partageables : les données personnelles de santé restent encadrées par le RGPD et par les règles sectorielles applicables aux données de santé, avec leurs conditions propres d'hébergement et de sécurité.

Bâtiments et flottes : des enjeux moins visibles mais réels

Une collectivité territoriale qui a installé des capteurs de consommation énergétique dans ses bâtiments publics, ou une entreprise privée qui gère une flotte de véhicules connectés, sont également concernées. Le Data Act leur permet d'exiger du fournisseur de capteurs ou du constructeur l'accès aux données de fonctionnement, pour les comparer entre prestataires ou pour changer de solution sans perdre l'historique.

Changer de fournisseur cloud : un droit facilité

Le Data Act comporte un second volet, distinct du droit d'accès aux données des objets connectés : il facilite le changement de fournisseur de service cloud en limitant les frais de transfert et en imposant des obligations d'interopérabilité progressives. Pour une direction des systèmes d'information hospitalière ou une association gestionnaire qui héberge ses outils numériques chez un prestataire cloud, cela signifie que les clauses contractuelles de réversibilité doivent être revues pour intégrer ces nouvelles garanties.

Ce volet ne dispense pas de vérifier, en parallèle, les exigences propres à l'hébergement des données de santé, qui relèvent de règles sectorielles distinctes du Data Act. Le Data Act facilite la portabilité technique, il ne remplace pas les autorisations ou certifications requises pour héberger des données de santé.

Clauses contractuelles à revoir

Cette vérification vaut aussi pour les prestataires de maintenance biomédicale, qui interviennent souvent sur des dispositifs connectés sans être les fournisseurs initiaux. Leur rôle contractuel doit être clarifié pour savoir qui, du fabricant, du prestataire de maintenance ou de l'établissement, est en mesure de répondre à une demande d'accès aux données.

Le Data Act impose de revisiter plusieurs clauses des contrats liés aux objets connectés et aux services cloud associés. La clause décrivant les données générées par l'appareil doit être précise, tout comme les modalités techniques d'accès à ces données. Les clauses de sortie et de réversibilité doivent intégrer les délais et frais désormais encadrés pour le changement de fournisseur cloud.

Il faut également vérifier que le contrat distingue les données couvertes par le Data Act, qui concernent l'usage de l'objet, des données personnelles couvertes par le RGPD, qui concernent des personnes identifiées ou identifiables. Un même flux de données peut relever des deux régimes en même temps, avec des obligations qui s'additionnent plutôt qu'elles ne se substituent.

Data Act, RGPD et AI Act : trois textes, trois objets

Le Data Act encadre l'accès aux données générées par les objets connectés et les services associés. Le RGPD encadre le traitement des données à caractère personnel, quel que soit le support. L'AI Act encadre les systèmes d'intelligence artificielle selon leur niveau de risque, avec des obligations différentes pour le fournisseur et pour le déployeur. Un capteur médical connecté relié à un algorithme de détection peut ainsi être concerné par les trois textes à la fois, chacun pour un objet distinct.

Pour les organisations qui pilotent à la fois des objets connectés et des systèmes d'IA, la lecture de notre article sur la pionniers de l’IA : comprendre l’appel à projets France 2030 avant de candidater permet de ne pas mélanger les deux logiques. Le décryptage édité par DEMETER sur le calendrier de l'AI Act reste utile pour situer les obligations propres à l'IA, sans se substituer au texte officiel ni au Data Act.

Objections fréquentes

« Nos capteurs ne traitent pas de données personnelles, le Data Act ne nous concerne donc pas » est une objection incomplète : le Data Act s'applique aux données générées par l'objet, qu'elles soient personnelles ou non. Autre objection répandue : « Le Data Act nous obligerait à tout partager avec n'importe qui », ce qui est inexact, puisque le droit de partage reste à l'initiative de l'utilisateur de l'objet, dans le respect des autres règles applicables, notamment le RGPD quand des données personnelles sont concernées.

1. Recenser les objets connectés utilisés. Dresser la liste des dispositifs médicaux, capteurs et véhicules connectés, avec leurs fournisseurs.
2. Identifier les données générées. Distinguer les données de fonctionnement des données personnelles éventuellement associées.
3. Relire les contrats fournisseurs. Vérifier les clauses d'accès aux données, de partage et de réversibilité.
4. Évaluer les besoins de partage. Déterminer si l'organisation souhaite transmettre des données à un autre prestataire.
5. Vérifier l'articulation avec le RGPD. S'assurer que le partage envisagé respecte les bases légales applicables aux données personnelles.
6. Contrôler les règles sectorielles santé. Vérifier que l'hébergement et le partage des données de santé restent conformes aux exigences propres à ce secteur.
7. Mettre à jour les clauses cloud. Intégrer les nouvelles règles sur les frais et délais de changement de fournisseur.

• La liste des objets connectés et de leurs fournisseurs est à jour.
• Les données générées par chaque objet sont identifiées et qualifiées.
• Les contrats précisent les modalités d'accès et de partage des données.
• Les clauses de réversibilité cloud intègrent les nouvelles limites de frais et de délais.
• La distinction entre données du Data Act et données personnelles du RGPD est documentée.
• Les règles sectorielles applicables aux données de santé ont été vérifiées séparément.
• Un interlocuteur interne est désigné pour instruire les demandes d'accès ou de partage.

Ce que votre organisation peut faire maintenant

Commencez par recenser les objets connectés déployés dans votre établissement ou votre organisation, avec le nom du fournisseur et le type de données générées. Confrontez ce recensement aux contrats en cours pour identifier les clauses à renégocier au prochain renouvellement. Notre diagnostic de maturité IA et notre audit dédié peuvent utilement compléter cette démarche lorsque les objets connectés alimentent aussi des systèmes d'intelligence artificielle.

Pour les projets combinant objets connectés et algorithmes d'aide à la décision, notre article sur la IA dans l'éducation et la formation : les réflexes CNIL pour protéger les données et notre santé mentale, Grande cause 2025 : construire une politique d'établissement crédible apportent des repères complémentaires. Un accompagnement conseil permet de sécuriser la renégociation contractuelle avec les fournisseurs concernés.

Conclusion

Le Data Act, rappelé par la Commission européenne le 12 septembre 2025, redistribue une partie du rapport de force entre les organisations qui utilisent des objets connectés et les fabricants qui les fournissent. Pour un établissement de santé, une collectivité ou une entreprise, l'enjeu immédiat est contractuel : savoir quelles données sont générées, par quel appareil, et sous quelles conditions elles peuvent être partagées ou transférées vers un autre prestataire. Cette démarche reste distincte des obligations du RGPD sur les données personnelles et de celles de l'AI Act sur les systèmes d'intelligence artificielle. Les articuler correctement évite les décisions prises dans l'urgence au moment d'un changement de fournisseur. Notre offre de services IA peut accompagner cette mise en cohérence contractuelle.

Questions fréquentes

Le Data Act concerne-t-il uniquement les objets grand public ?

Non, le Data Act s'applique aussi aux objets connectés professionnels, y compris les dispositifs médicaux connectés, les capteurs de bâtiment et les véhicules de flotte. L'utilisateur professionnel bénéficie du même droit d'accès aux données générées que l'utilisateur particulier.

Le Data Act remplace-t-il le RGPD pour les données personnelles ?

Non, le Data Act et le RGPD sont deux cadres distincts et cumulatifs. Le Data Act encadre l'accès aux données générées par un objet connecté, le RGPD encadre le traitement des données à caractère personnel, quelle que soit leur origine.

Un dispositif médical connecté relève-t-il aussi de l'AI Act ?

Il peut en relever s'il intègre un système d'intelligence artificielle, auquel cas l'AI Act s'applique en complément du Data Act et du RGPD, avec des obligations propres selon le rôle de fournisseur ou de déployeur.

Le Data Act oblige-t-il à partager les données avec n'importe quel tiers ?

Non, le partage reste à l'initiative de l'utilisateur de l'objet connecté, qui choisit le tiers destinataire. Ce partage doit par ailleurs respecter les autres règles applicables, notamment le RGPD si des données personnelles sont concernées.

Que change le Data Act pour un contrat de service cloud existant ?

Le Data Act encadre progressivement les frais et les délais de changement de fournisseur cloud, ce qui impose de revoir les clauses de réversibilité des contrats en cours, sans modifier les exigences propres à l'hébergement des données de santé.

Faut-il renégocier tous les contrats de dispositifs connectés immédiatement ?

Il est raisonnable de prioriser les contrats en cours de renouvellement et ceux liés à des fournisseurs en situation de dépendance technique forte, plutôt que de renégocier l'ensemble du parc en une seule fois.