Les frais de sortie courent encore jusqu'au 12 janvier 2027

L'intitulé officiel est « règlement sur les données ». La Commission l'appelle Data Act. Les deux désignent le Journal officiel du 22 décembre 2023. Ce calendrier n'est pas celui du Cyber Resilience Act, qui porte sur la cybersécurité des produits, pas sur le droit d'en extraire les données [2].

Cinq dates, dont deux déjà passées

L'article 50 sépare l'entrée en vigueur et l'application. L'entrée en vigueur est le vingtième jour après la publication du 22 décembre 2023. L'article n'écrit pas la date calendaire. L'article 29, paragraphe 2, fait commencer les frais réduits « à compter du 11 janvier 2024 ». La page de la Commission, lue le 27 septembre 2026, écrit que le règlement est entré en vigueur le 11 janvier 2024 et applicable le 12 septembre 2025 [2].

L'application générale est le 12 septembre 2025. Deux reports sont dans le même article. L'obligation de l'article 3, paragraphe 1, ne joue que pour les produits connectés et les services connexes « mis sur le marché après le 12 septembre 2026 ». Le chapitre IV, sur les contrats, s'applique aux contrats conclus après le 12 septembre 2025. Pour les contrats conclus ce jour-là ou avant, il ne s'applique qu'à partir du 12 septembre 2027, et seulement s'ils sont à durée indéterminée ou s'ils arrivent à échéance au moins dix ans après le 11 janvier 2024 [1].

Le chapitre III, celui des mises à disposition déjà exigées par un autre texte de l'Union ou par une loi nationale prise pour l'appliquer, ne couvre que les obligations qui entrent en vigueur après le 12 septembre 2025 [1]. La page « Data Act explained » reprend la publication du 22 décembre 2023 et l'application depuis le 12 septembre 2025. Elle décrit la suppression des frais de changement, y compris les frais de sortie des données, à compter du 12 janvier 2027, et la période transitoire du 11 janvier 2024 au 12 janvier 2027, pendant laquelle le fournisseur peut facturer les coûts supportés. Ces échéances, avec celles des autres textes, sont rassemblées sur la page réglementation numérique [3].

L'utilisateur, le détenteur, et le tiers qu'il désigne

L'article 2, point 5, définit le produit connecté : un objet qui obtient, génère ou recueille des données sur son utilisation ou son environnement, capable de les communiquer par un service de communications électroniques, une connexion physique ou un accès intégré, et dont la fonction première n'est pas de stocker, traiter ou transmettre des données pour le compte d'un tiers. L'utilisateur, point 12, est la personne à qui le produit appartient, ou à qui un droit temporaire d'usage a été cédé, ou qui reçoit le service connexe. Le détenteur de données, point 13, est celui qui a le droit ou l'obligation de les utiliser et de les mettre à disposition [1].

L'article 3, paragraphe 1, demande que le produit soit conçu et fabriqué, et le service connexe conçu et fourni, pour que ces données, avec les métadonnées nécessaires pour les lire, soient par défaut accessibles à l'utilisateur : aisément, de façon sécurisée, sans frais, dans un format complet, structuré, couramment utilisé et lisible par machine. Lorsque c'est pertinent et techniquement possible, l'accès est direct. Cette phrase ne vise, par l'article 50, que les mises sur le marché postérieures au 12 septembre 2026 [1].

Si l'accès direct manque, l'article 4 oblige le détenteur à rendre les données accessibles sans retard injustifié, à la même qualité que celle dont il dispose, sans frais, sur simple demande, et, lorsque c'est possible, en continu et en temps réel. L'article 5 ajoute le tiers : sur demande de l'utilisateur, le détenteur transmet les mêmes données à ce tiers, sans frais pour l'utilisateur. Le règlement ne fixe pas, dans ces articles, un prix de cette transmission [1].

L'article 7 retire le chapitre à certaines petites structures. Les obligations de partage ne s'appliquent pas aux données nées de l'usage d'un produit fabriqué ou conçu, ou d'un service fourni, par une microentreprise ou une petite entreprise, si elle n'a pas d'entreprise partenaire ou liée qui sortirait de ces tailles, et si elle ne sous-traite pas la fabrication, la conception ou le service. Une entreprise moyenne depuis moins d'un an, et les produits qu'elle met sur le marché pendant un an, sont traités de même. Les seuils de la recommandation 2003/361/CE, à laquelle l'article 2 renvoie, n'ont pas été ouverts. Une clause qui écarte ces droits au détriment de l'utilisateur « n'est pas contraignante » pour lui [1].

Deux mois de préavis, trente jours de bascule, des frais encore au coût

L'article 23 vise les services de traitement de données. Le fournisseur doit permettre de passer à un service du même type chez un autre, de revenir sur une infrastructure sur site, ou d'utiliser plusieurs fournisseurs en même temps. Il supprime les obstacles précommerciaux, commerciaux, techniques, contractuels et organisationnels, par les mesures des articles 25, 26, 27, 29 et 30. Ce droit de sortie est celui qui intéresse une migration de cloud. Le lieu d'hébergement, et donc le cloud souverain, n'est pas une rubrique de l'article 23 [1].

L'article 25 met les droits du client dans un contrat écrit, remis avant la signature, stockable et reproductible. Le préavis maximal pour lancer le changement « ne dépasse pas deux mois ». Ensuite, une période transitoire obligatoire, d'au plus trente jours calendaires, pendant laquelle le contrat reste applicable : le fournisseur assiste le client, maintient la continuité, signale les risques connus qui relèvent de lui, et garde un niveau élevé de sécurité pendant le transfert [1].

L'article 29 fixe le prix de cette opération en deux temps. À compter du 12 janvier 2027, « aucun frais de changement de fournisseur ». Du 11 janvier 2024 jusqu'à cette date, des frais réduits sont possibles. Ils « ne dépassent pas les coûts supportés » directement liés au processus. Avant le contrat, le fournisseur indique les frais de service standard, les pénalités de résiliation anticipée, et ces frais réduits. La page explicative de la Commission range dans ces frais ceux de sortie des données, qu'elle appelle data egress. Le texte de l'article 29 lu ici parle de « frais de changement de fournisseur », pas du mot anglais [3].

Une proposition du 19 novembre 2025, pas un règlement

La procédure 2025/0360(COD), lue le 27 septembre 2026 sur l'Observatoire législatif, a pour statut : « En attente de la décision de la commission parlementaire ». La proposition COM(2025) 0837 a été publiée le 19 novembre 2025 et annoncée en plénière le 19 janvier 2026. Elle liste, parmi les actes à modifier, le règlement 2023/2854. Un projet de rapport date du 22 juin 2026. Des amendements ont été déposés en commission le 27 juillet 2026. Aucune ligne du dossier n'est un texte adopté. Le fichier de la proposition n'a pas été ouvert : les articles qu'elle réécrirait ne sont pas décrits ici [4].

Le même dossier liste l'abrogation du règlement (UE) 2022/868 parmi les actes visés par la proposition. Cette abrogation n'est donc pas en vigueur. Les rapporteurs nommés le 25 février 2026 sont Aura Salla, pour la commission de l'industrie, et Marina Kaljurand, pour la commission des libertés. Ce sont leurs fonctions dans le dossier, pas une appréciation de leur travail [4].

Le registre des sanctions n'a pas été ouvert

L'article 40 laisse chaque État membre fixer des sanctions effectives, proportionnées et dissuasives. Il devait en informer la Commission au plus tard le 12 septembre 2025. La Commission tient un registre public de ces mesures. Ce registre n'a pas été ouvert : on ne dit pas si la France y figure, ni à quel montant. L'article lu ne pose pas de plafond en euros ni en pourcentage du chiffre d'affaires [1].

La page de la Commission nomme trois documents d'accompagnement, non ouverts ici : une foire aux questions, un projet de recommandation sur des clauses modèles non contraignantes, et des orientations sur les données des véhicules. Elle annonce aussi un guichet juridique, le Data Act Legal Helpdesk, sans en publier le nombre de questions traitées [2].

Sources

1. Règlement (UE) 2023/2854 du 13 décembre 2023, Journal officiel du 22 décembre 2023, HTML EUR-Lex, eur-lex.europa.eu, consulté le 27 septembre 2026.
2. Commission européenne, page « Data Act » (date de mise à jour non affichée), digital-strategy.ec.europa.eu, consulté le 27 septembre 2026.
3. Commission européenne, « Data Act explained » (date de mise à jour non affichée), digital-strategy.ec.europa.eu, consulté le 27 septembre 2026.
4. Parlement européen, Observatoire législatif, procédure 2025/0360(COD), oeil.europarl.europa.eu, consulté le 27 septembre 2026.