La loi européenne sur les données (EU Data Act) est en vigueur depuis un an – et la plupart des boutiques en ligne ne s'en sont guère rendu compte. En partie à juste titre : de nombreuses obligations incombent aux fabricants et aux fournisseurs de services cloud, et non aux commerçants. Mais seulement en partie : ceux qui vendent des produits connectés sont déjà soumis à des obligations d’information, et la prochaine étape de la réglementation entrera en vigueur le 12 septembre 2026. Il est temps de faire un état des lieux honnête : quelles sont les règles en vigueur, qui sont concernées, et que nous réserve l’avenir ?
En bref
- Le Data Act (règlement (UE) 2023/2854) s’applique directement dans tous les États membres de l’UE depuis le 12 septembre 2025 (art. 50).
- Déjà en vigueur : toute personne vendant des produits connectés doit informer les acheteurs, avant la conclusion du contrat, des données générées par le produit (art. 3, al. 2) – cette obligation incombe au vendeur, et pas seulement au fabricant.
- À compter du 12 septembre 2026 : les produits connectés nouvellement mis sur le marché doivent être conçus de manière à permettre aux utilisateurs d’accéder directement à leurs données (« accessibilité dès la conception », art. 3, al. 1) – cette obligation s’applique principalement aux fabricants.
- Pour tout commerçant client d’un service cloud : le changement de prestataire d’hébergement, de SaaS et de services cloud sera facilité (délai de préavis maximal de 2 mois, exportation des données réglementée, art. 25) ; les frais de changement seront totalement supprimés à compter du 12 janvier 2027 (art. 29).
- Allemagne : la loi d’application (DADG) est en vigueur depuis le 30 mai 2026 ; l’autorité compétente et l’organisme de recours est l’Agence fédérale des réseaux.
- Le Data Act n’est pas une loi sur la protection des données: en matière de données à caractère personnel, le RGPD continue de s’appliquer sans modification.
Qu’est-ce que le Data Act – et qui concerne-t-il dans le commerce en ligne ?
Le Data Act régit la propriété des données générées par les appareils connectés lors de leur utilisation – du bracelet d’activité à la machine à café intelligente en passant par le traceur GPS – ainsi que les conditions dans lesquelles les clients du cloud peuvent changer de fournisseur. Pour les commerçants en ligne, il existe exactement deux rôles pertinents : en tant que vendeurs de produits connectés, ils sont soumis à leurs propres obligations d’information (nous y reviendrons plus loin). En tant que clients de services d’hébergement, de SaaS et de cloud, ils bénéficient de nouveaux droits de changement de fournisseur – ici, le commerçant est le bénéficiaire, et non le débiteur. Pour ceux qui ne vendent pas de produits connectés et ne concluent pas de contrats de données avec d’autres entreprises, le Data Act ne change pas grand-chose dans leur activité quotidienne – précisons d’emblée cette mise au point honnête.
Quelles sont les obligations des commerçants qui vendent des produits connectés ?
La règle la plus importante dans le quotidien d’une boutique en ligne est en vigueur depuis le 12 septembre 2025 – et est encore souvent négligée aujourd’hui : conformément à l’article 3, paragraphe 2, de la loi sur les données, le vendeur (« qui peut également être le fabricant ») doit informer l’acheteur d’un produit connecté, de manière claire et compréhensible, avant la conclusion du contrat: quelles données le produit génère, sous quel format et dans quelle mesure, s’il génère des données en continu et en temps réel, s’il stocke des données sur l’appareil ou sur un serveur et pendant combien de temps – ainsi que la manière dont l’utilisateur peut accéder à ces données, les consulter et les supprimer. Cela concerne également les simples revendeurs: toute personne proposant des appareils domotiques, des wearables, des traceurs GPS ou des appareils électroménagers connectés doit obtenir ces informations auprès du fabricant et les mettre à disposition sur la fiche produit – dans le XONIC Shop System, des onglets de produit ou des champs supplémentaires sont prévus à cet effet, afin que ces informations soient visibles avant l’achat. Une simplification concerne d’ailleurs le fabricant, et non la taille de la boutique : les données relatives aux produits fabriqués par des micro-entreprises ou des petites entreprises sont exemptées des obligations de transmission de données prévues par ce chapitre (art. 7).
Quels changements interviendront le 12 septembre 2026 ?
À compter du 12 septembre 2026, la phase de conception entrera en vigueur : les produits connectés et les services associés mis sur le marché après cette date devront être conçus de manière à ce que les utilisateurs puissent accéder aux données générées « de manière simple, sécurisée et gratuite, dans un format complet, structuré, couramment utilisé et lisible par machine » et, dans la mesure où cela est techniquement possible, directement (art. 3, al. 1, en liaison avec l’art. 50). Cette obligation s’applique en premier lieu aux fabricants et aux importateurs, et non aux commerçants. Concrètement, pour les distributeurs, cela signifie que pour les produits neufs qui seront intégrés à leur gamme à partir de l’automne 2026, les fiches techniques des fournisseurs devraient d’emblée inclure les informations relatives à l’accès aux données – ceux qui les demandent systématiquement lors de leurs achats remplissent ainsi, par la même occasion, leur propre obligation d’information prévue à l’article 3, paragraphe 2.
Quels sont les avantages de la loi sur les données pour chaque commerçant en tant que client du cloud ?
Le deuxième volet de la loi sur les données concerne tout commerçant utilisant un service d’hébergement, un système de boutique en ligne SaaS, un progiciel de gestion de stock dans le cloud ou un espace de stockage en ligne : les prestataires de services de traitement des données doivent permettre, tant sur le plan contractuel que technique, le passage à un autre prestataire (ou vers leur propre infrastructure) – avec un préavis maximal de deux mois pour le lancement du transfert, une période de transition réglementée, un accès aux données pendant au moins 30 jours après cette période et la garantie de suppression une fois le transfert effectué (art. 25). Les frais de changement ne peuvent d’ores et déjà être facturés qu’à un tarif réduit couvrant uniquement les coûts – et ne seront plus du tout autorisés à compter du 12 janvier 2027 (art. 29). Un aspect particulièrement pertinent dans la pratique : les frais de changement incluent expressément les frais d’extraction de données – les frais de sortie (egress fees) tant discutés pour le téléchargement de ses propres données (art. 2, n° 36). Les frais d’utilisation habituels et les pénalités convenues en cas de résiliation anticipée ne sont pas concernés par cette mesure. Sont concernés tous les modèles de mise à disposition, y compris les systèmes de boutique en ligne SaaS, les solutions de gestion des stocks dans le cloud et les services de messagerie électronique hébergés. Quiconque se sent prisonnier de son fournisseur actuel dispose ainsi, pour la première fois, d’un droit de résiliation exécutoire incluant l’exportation des données – et, en cas de problèmes, d’un point de contact (voir ci-dessous). Indépendamment de cela, il est déjà utile, dès le choix du système, de vérifier dans quels formats les produits, les clients et les commandes peuvent être exportés.
Qui veille au respect de la loi sur les données en Allemagne – et quelles sont les sanctions en cas d’infraction ?
Depuis le 30 mai 2026, la loi d’application allemande, à savoir la loi relative à l’application et à l’exécution du règlement sur la protection des données (DADG), est en vigueur. L’autorité compétente est l’Agence fédérale des réseaux: elle fait office de point de contact central, informe le public, assure la surveillance nationale et gère un portail dédié aux réclamations – ce qui présente également un intérêt pour les commerçants qui, en tant que clients du cloud, se heurtent à des obstacles lorsqu’ils souhaitent changer de fournisseur. Pour les données à caractère personnel, le ou la commissaire fédéral(e) à la protection des données et à la liberté d’information reste compétent(e) (article 16 de la DADG).
Le barème des amendes prévu par la DADG (article 15) est échelonné : jusqu’à 5 millions d’euros pour les incitations illicites à la fourniture de données à l’égard des utilisateurs (pour les entreprises dont le chiffre d’affaires total dépasse 250 millions d’euros, l’amende peut également atteindre 2 % du chiffre d’affaires total), jusqu’à 500 000 € notamment pour les infractions à l’obligation de conception prévue à l’article 3, paragraphe 1, et aux obligations de mise à disposition des données, et jusqu’à 100 000 € et 50 000 € pour les autres infractions. À noter pour les commerçants : l’obligation d’information précontractuelle du vendeur prévue à l’article 3, paragraphe 2, ne figure pas dans ce catalogue – les commerçants ne risquent donc pas directement d’amende administrative à ce titre. Cela ne signifie toutefois pas que cette obligation soit sans conséquence : la littérature spécialisée la classe parmi les règles de conduite sur le marché, dont la violation peut faire l’objet d’une mise en demeure de la part de concurrents et d’associations en vertu du droit de la concurrence. Le risque concret pour les commerçants provient donc moins des autorités que de la concurrence.
Data Act et RGPD – quelles sont les règles applicables aux données à caractère personnel ?
Le Data Act relève du droit de l’économie des données, et non du droit de la protection des données. Dès lors que les données sur les produits sont à caractère personnel – ce qui est souvent le cas pour les appareils utilisés par les clients finaux –, le RGPD s’applique sans modification en parallèle : les bases juridiques, les droits des personnes concernées et les obligations d’effacement restent en vigueur ; le Data Act ne crée pas de nouvelle autorisation de traitement. Pour les exploitants de boutiques en ligne, rien ne change donc au niveau des processus existants en matière de protection des données ; les deux réglementations se complètent. Nous avons résumé dans notre article « Système de boutique en ligne conforme au RGPD » les éléments fondamentaux d’un système de boutique conforme à la protection des données.
Le calendrier du Data Act
| Date | Disposition |
|---|---|
| 11 janvier 2024 | Entrée en vigueur du règlement (UE) 2023/2854. |
| depuis le 12 septembre 2025 | La loi sur les données (Data Act) s'applique immédiatement (art. 50) : notamment les obligations d'information précontractuelles lors de la vente de produits connectés (art. 3, al. 2), les droits d'accès aux données des utilisateurs, les droits de changement de fournisseur de cloud (chap. VI), interdiction des clauses abusives relatives aux données dans les nouveaux contrats B2B (chap. IV). |
| depuis le 30 mai 2026 | Entrée en vigueur de la loi allemande de transposition (DADG) : l’Agence fédérale des réseaux en tant qu’autorité compétente et instance de recours, barème des amendes. |
| à partir du 12 septembre 2026 | « Accessibilité dès la conception » : les produits connectés et les services associés nouvellement mis sur le marché doivent offrir un accès direct aux données (art. 3, al. 1, en liaison avec l'art. 50). |
| À compter du 12 janvier 2027 | Interdiction totale des frais de changement de fournisseur de services de traitement des données (art. 29, al. 1). |
| à compter du 12 septembre 2027 | Les règles relatives aux clauses du chapitre IV s’appliquent également aux contrats existants (conclus jusqu’au 12 septembre 2025), à condition qu’ils soient à durée indéterminée ou d’une durée allant au moins jusqu’en 2034 (art. 50). |
Que doivent faire les commerçants dès maintenant ?
- Passer en revue leur gamme de produits : quels articles sont des « produits connectés » au sens de la loi sur les données (appareils capables de collecter et de transmettre des données d’utilisation ou d’environnement) ? Exemples typiques : domotique, appareils portables, traceurs GPS, appareils ménagers et de jardinage intelligents, outils connectés.
- Demander les informations au fabricant : pour ces articles, demander au fournisseur les informations visées à l’article 3, paragraphe 2, et les mettre à disposition sur la page du produit – cette obligation est déjà en vigueur.
- Achats à partir de l’automne 2026 : pour les produits neufs, prêter attention au stade de conception – les fiches techniques des produits devront à l’avenir contenir systématiquement des informations sur l’accès aux données.
- Vérifier les contrats de cloud : les délais de préavis supérieurs à deux mois et les frais de changement forfaitaires ne sont plus autorisés pour les services de traitement des données ; à compter du 12 janvier 2027, aucun frais de changement ne pourra plus être facturé.
- Ne pas modifier les processus liés au RGPD : le Data Act ne remplace pas l’obligation de protection des données – et ne crée pas de nouvelle base juridique.
Remarque : cet article ne constitue pas un conseil juridique (à la date de clôture de la rédaction). Pour obtenir des informations contraignantes concernant votre gamme de produits et vos contrats, veuillez vous adresser à des cabinets d’avocats spécialisés et aux chambres de commerce et d’industrie.
Questions fréquentes sur le Data Act
Sources
- Règlement (UE) 2023/2854 (Data Act) – EUR-Lex (source primaire, en particulier les articles 3, 25, 29, 40 et 50)
- Commission européenne : Règlement sur les données (Data Act)
- Loi relative à l'application et au contrôle du respect du règlement sur les données (DADG), Journal officiel fédéral 2026 I n° 157
- Agence fédérale des réseaux : Data Act – Informations et portail de réclamations
