À qui appartiennent vos données ?

Une échéance dans dix jours

Le 12 septembre 2026, le dernier volet majeur du Data Act européen — le règlement (UE) 2023/2854 — entre en application. À compter de cette date, tout produit connecté mis sur le marché européen devra être conçu de façon que les données qu'il génère soient accessibles à celui qui l'utilise.

Pas accessibles sur demande. Pas accessibles après un ticket au support et six semaines d'attente. Accessibles par défaut, dans un format structuré et lisible par machine, et gratuitement.

Le reste du Data Act s'applique depuis le 12 septembre 2025. Ce qui change maintenant, c'est que « il faudrait revoir tout le firmware » cesse d'être un argument recevable pour les nouveaux produits. Si vous le mettez sur le marché européen après cette date, l'accès doit être intégré dès la conception.

Ce qu'est un produit connecté

Le périmètre est plus large qu'on ne l'imagine. Le règlement vise tout produit physique qui obtient, génère ou collecte des données sur son propre usage, ses performances ou son environnement, et qui les communique — par un réseau, une connexion physique ou un accès sur l'appareil.

Concrètement : machines industrielles, véhicules connectés, dispositifs médicaux et de bien-être, objets portables, systèmes de gestion technique de bâtiment, électronique de marine, matériel de cuisine professionnelle, et toute une série d'équipements ordinaires qui enregistrent discrètement de la télémétrie.

Sont également couverts les services associés : la couche numérique explicitement liée au fonctionnement du produit et capable d'en modifier le comportement. Diagnostic à distance, maintenance prédictive, navigation, tableaux de bord de flotte — tout cela entre dans le champ au même titre que le matériel.

Une limite importante : l'obligation porte sur les données brutes et prétraitées immédiatement disponibles. Les données que vous avez réellement dérivées ou déduites grâce à vos propres investissements — modèles de scoring, résultats analytiques, savoir-faire propriétaire — ne sont pas ce que le règlement vous demande de livrer.

Ce qu'exige réellement « l'accès dès la conception »

L'article 3(1) pose la règle de conception : lorsque cela est pertinent et techniquement réalisable, les données du produit et du service associé doivent être directement accessibles à l'utilisateur, de manière simple, sécurisée et exhaustive, dans un format structuré et lisible par machine — et, le cas échéant, en continu et en temps réel.

L'article 3 impose aussi une obligation de transparence qui joue avant la vente. L'acheteur doit être informé à l'avance du type, du format et du volume de données générées, des modalités d'accès, de l'identité du détenteur des données et de ses coordonnées, de la transmission éventuelle à des tiers, des voies de réclamation et des conditions de fin de la relation.

L'article 4 ouvre à l'utilisateur un droit d'accès gratuit à ces données. L'article 5 lui permet d'ordonner au détenteur de les transmettre au tiers de son choix — c'est la disposition qui va véritablement recomposer le marché de la maintenance.

Pour la plupart des entreprises, l'exercice relève moins de la rédaction juridique que de l'ingénierie et du développement web : une API, une voie d'export, un portail authentifié, et une documentation honnête de ce que l'appareil enregistre.

Monaco n'est pas dans l'UE — qui est donc concerné

Monaco n'est pas un État membre de l'Union européenne, et le Data Act n'est pas du droit monégasque. Il ne s'applique pas à une transaction purement locale entre deux entreprises de la Principauté.

Mais le champ du règlement suit le marché, non le fabricant. Il vise les produits connectés et services associés mis à disposition sur le marché de l'Union, quel que soit le lieu d'établissement du fournisseur. Une société immatriculée à Monaco qui vend ou loue des équipements connectés à des clients en France, en Italie ou ailleurs dans l'Union est concernée pour ces produits.

Lorsque des données personnelles sont en jeu, le régime monégasque issu de la loi n° 1.565 du 3 décembre 2024 et le contrôle de l'APDP s'appliquent en parallèle — les deux cadres coexistent au lieu de se substituer l'un à l'autre, et le travail de cartographie mené pour la conformité en protection des données vous mènera déjà loin ici.

Les sanctions sont fixées par chaque État membre, et non au niveau central. Lorsque le manquement touche aussi des données personnelles, les autorités de contrôle peuvent mobiliser des amendes de niveau RGPD — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. C'est un plafond, pas une prévision, mais il donne le ton.

Ce que la plupart des entreprises monégasques ne voient pas

Lire le Data Act uniquement comme une contrainte, c'est passer à côté de la moitié qui joue en votre faveur. La plupart des entreprises de la Principauté ne fabriquent pas d'appareils : elles en sont utilisatrices, et le règlement en fait des bénéficiaires.

Pensez à ce qu'une entreprise monégasque exploite déjà : gestion technique du bâtiment et climatisation, ascenseurs, bornes de recharge, terminaux de paiement, froid commercial en restauration, navigation et supervision connectées à bord d'un navire. Chacun de ces systèmes produit des données qui, jusqu'ici, circulaient dans un seul sens — vers le fournisseur, qui vous revend ensuite l'analyse.

Depuis le 12 septembre 2025, vous pouvez déjà exiger ces données. À partir de 2026, les nouveaux équipements devront être construits pour que vous puissiez y accéder. Et l'article 5 vous permet de les rediriger vers un prestataire de maintenance indépendant plutôt que vers le fournisseur d'origine. Pour le yachting et l'immobilier en particulier — où les contrats de service sont longs, coûteux et difficiles à quitter — c'est un vrai levier commercial. Les acteurs du yachting et de la gestion d'actifs connectés ont intérêt à examiner leurs contrats fournisseurs maintenant, pas en 2027.

Une autre date mérite d'être notée. L'article 13 prive d'effet les clauses B2B abusives imposées unilatéralement en matière d'accès et d'usage des données. À partir du 12 septembre 2027, ce contrôle s'étendra aussi aux contrats de longue durée déjà en cours — ceux à durée indéterminée, ou courant au-delà de janvier 2034. Un contrat signé aujourd'hui ne doit pas présumer que la clause « données » du fournisseur est gravée dans le marbre.

Que faire avant l'échéance

Si vous vendez des produits connectés dans l'Union : inventoriez ce que vos appareils enregistrent réellement, tranchez entre données brutes et données véritablement dérivées, spécifiez la voie d'accès et réécrivez la documentation précontractuelle. L'ingénierie prend en général plus de temps que la paperasse.

Si vous achetez des équipements connectés : listez vos fournisseurs, demandez à chacun par écrit comment accéder à vos propres données, et vérifiez ce que votre contrat actuel prévoit avant de le reconduire. Ce seul exercice est souvent rentable.

Dans les deux cas, la question est d'abord une question d'architecture de données avant d'être juridique, et elle relève de la même conversation que votre stratégie digitale d'ensemble.

Une réserve nécessaire : ceci est une synthèse, non un conseil juridique. Le Data Act interagit avec des règles sectorielles, le droit de la protection des données et vos propres contrats d'une manière qui dépend de votre situation précise, et le détail de l'application varie selon les États membres. Lorsque la réponse engage votre feuille de route produit ou vos relations fournisseurs, faites-la confirmer par un avocat.

Si vous concevez, vendez ou dépendez de produits connectés à Monaco et que vous ne savez pas de quel côté vous vous situez, contactez-nous — nous ferons le point avec vous.