Votre voiture enregistre en permanence votre style de conduite : accélérations, freinages, consommation, itinéraires. Votre bracelet de santé mesure votre sommeil, votre rythme cardiaque, vos calories. Votre thermostat sait à quelle heure vous rentrez, à quelle heure vous partez. Jusqu'ici, ces données restaient enfermées chez le fabricant ou dans son application. Depuis le 12 septembre 2025, un règlement européen change cette règle : le Data Act (Représentation de la Commission européenne en France, 12 septembre 2025).
Ce que le Data Act ajoute au RGPD
Depuis 2018, le RGPD encadre vos données personnelles : votre nom, votre email, votre adresse, votre historique de commandes. Le Data Act (Règlement UE 2023/2854) élargit le périmètre : il couvre l'ensemble des données produites par un objet connecté, personnelles ou non (CNIL, 22 décembre 2025). Les mesures de votre montre, les logs de votre voiture, les données de capteurs de votre lave-linge : tout ce que l'objet enregistre entre dans le champ.
La CNIL précise que les données doivent être mises à disposition « sans frais, en toute sécurité, dans un format compréhensible et réutilisable ». Autrement dit : pas de PDF illisible ni de format propriétaire qui bloque toute réutilisation.
Le règlement couvre une longue liste d'appareils : montre connectée, bracelet de santé, thermostat intelligent, véhicule connecté, boîtier télématique, assistant vocal, machine industrielle équipée de capteurs. Si l'appareil communique via internet ou un autre réseau, il tombe dans le champ.
Ce que vous pouvez demander dès maintenant
Trois nouveaux droits sont opérationnels depuis le 12 septembre 2025.
Accéder aux données brutes de votre appareil. Vous pouvez exiger du fabricant qu'il vous transmette les données que génère votre objet, dans un format exploitable. Pour une voiture connectée, cela couvre les données de conduite, la géolocalisation, l'usure des composants. Pour un bracelet de santé, les mesures brutes, pas seulement les graphiques agrégés que l'app veut bien afficher.
Faire partager vos données à un tiers de votre choix. Vous pouvez demander au fabricant d'envoyer vos données à un autre acteur : un garage indépendant pour diagnostiquer votre voiture, une application concurrente de suivi santé, un assureur qui propose un tarif basé sur votre vraie conduite. La CNIL précise que ce partage doit se faire « dans les meilleurs délais, gratuitement pour l'utilisateur ». Fin du verrou technique qui obligeait à rester chez le constructeur.
Sortir des clauses contractuelles abusives. Les contrats signés après le 12 septembre 2025 ne peuvent plus vous interdire de partager vos données ou vous facturer cet accès. Les contrats antérieurs restent valides pour l'instant. Ils devront être mis en conformité d'ici septembre 2027.
Pour les données personnelles, le RGPD reste le texte de référence. La CNIL le rappelle : « en cas de contradiction entre les deux textes, c'est le RGPD qui prévaut lorsque des données personnelles sont concernées ». Vos droits d'accès, de rectification et d'opposition ne changent pas, le Data Act les complète.
Le calendrier qui compte pour vous
Septembre 2026. Les fabricants devront concevoir leurs nouveaux appareils pour que les données soient directement accessibles à l'utilisateur sans passer par une demande formelle. Concrètement : un bouton « exporter mes données » attendu par défaut sur les nouveaux produits.
Janvier 2027. Les fournisseurs cloud ne pourront plus facturer de frais de transfert quand vous changez de prestataire. Le règlement organise déjà une migration en 30 jours maximum, à compter d'aujourd'hui (Data Security Breach, septembre 2025). C'est une brèche majeure dans le verrouillage des géants américains du cloud.
Septembre 2027. Les clauses abusives des contrats signés avant l'entrée en vigueur du règlement deviennent inopposables. Si votre contrat d'assurance auto connectée ou votre abonnement à un service IoT vous empêche encore de récupérer vos données, il tombera.
Où ça va coincer
Le Data Act est un beau texte. Son application, elle, va grincer, pour au moins trois raisons.
D'abord, la procédure. Le règlement dit « accès gratuit dans les meilleurs délais ». Il ne fixe pas de délai chiffré comme les 30 jours du droit d'accès RGPD. Les fabricants récalcitrants vont probablement jouer sur ce flou pendant les premières années. Les premières décisions de la CNIL et de la Cour de justice de l'UE fixeront la jurisprudence.
Ensuite, le format. « Compréhensible et réutilisable » reste subjectif. Un CSV brut de 800 000 lignes de télémétrie automobile est techniquement conforme, humainement inexploitable. La qualité réelle de l'accès dépendra des standards sectoriels qui émergeront.
Enfin, la connaissance du droit. Un droit qui n'est pas connu n'est jamais exercé. Le Data Act ne fera bouger les pratiques que si les utilisateurs commencent à envoyer des demandes. La CNIL a publié une fiche pédagogique en décembre 2025. C'est un début, ce n'est pas encore une campagne d'information massive.
Un levier de plus dans la panoplie
Le RGPD vous donne la main sur vos données personnelles. Le Data Act vous donne la main sur les données que produisent vos objets. Ensemble, ces deux textes couvrent presque tout ce qui vous concerne dans l'économie numérique : ce que vous saisissez, ce que vous générez en utilisant un service, ce que vos appareils enregistrent en arrière-plan.
Reste à s'en servir. La prochaine fois qu'un fabricant vous répond que « les données appartiennent à l'appareil » ou que « leur export n'est pas prévu », le Data Act est votre argument. C'est aussi celui de tout garage indépendant, application tierce ou service concurrent qui voudra utiliser vos données à votre demande.