7 min de lecture<\/p>\n
Le Bundestag a adopt\u00e9 le 26 mars la loi de mise en \u0153uvre du Data Act, activant ainsi le r\u00e8glement europ\u00e9en Data Act en Allemagne. Les fabricants allemands d\u2019objets connect\u00e9s disposent d\u00e9sormais de cinq mois pour adapter leurs produits \u00e0 la norme Access by Design. L\u2019Agence f\u00e9d\u00e9rale des r\u00e9seaux (Bundesnetzagentur) devient l\u2019autorit\u00e9 charg\u00e9e du contr\u00f4le, avec des amendes pouvant atteindre 500 000 euros. Une exception importante est pr\u00e9vue pour les PME de moins de 50 employ\u00e9s \u2013 mais pas pour les autres.<\/strong><\/p>\n Le Data Act europ\u00e9en est applicable dans toute l\u2019Europe depuis le 12 septembre 2025. Ce r\u00e8glement d\u00e9termine qui peut acc\u00e9der aux donn\u00e9es g\u00e9n\u00e9r\u00e9es par des produits connect\u00e9s et les services associ\u00e9s \u2013 du robot de traite en Souabe au syst\u00e8me d\u2019ascenseur d\u2019un immeuble de bureaux, en passant par les plateformes SaaS de gestion de flottes. Ce que le cadre europ\u00e9en ne pr\u00e9cisait pas, ce sont les modalit\u00e9s nationales de mise en \u0153uvre : quelle autorit\u00e9 est comp\u00e9tente, comment les infractions sont sanctionn\u00e9es, et qui finance l\u2019application.<\/p>\n C\u2019est pr\u00e9cis\u00e9ment ce que le Bundestag a r\u00e9gl\u00e9 le 26 mars 2026, lors de la 13e semaine civile. La loi de mise en \u0153uvre du Data Act d\u00e9signe l\u2019Agence f\u00e9d\u00e9rale des r\u00e9seaux comme autorit\u00e9 de surveillance comp\u00e9tente et \u00e9tablit la base juridique pour les enqu\u00eates, les demandes de renseignements, les mesures provisoires et les astreintes. En m\u00eame temps, la loi tranche le diff\u00e9rend entre \u00c9tat f\u00e9d\u00e9ral et L\u00e4nder : la BNetzA supervise les demandes de donn\u00e9es adress\u00e9es aux autorit\u00e9s f\u00e9d\u00e9rales, tandis que les L\u00e4nder restent responsables de leurs propres \u00e9tablissements \u2013 une concession au f\u00e9d\u00e9ralisme qui a marqu\u00e9 les d\u00e9bats au cours de la proc\u00e9dure parlementaire.<\/p>\n Lors des auditions, le nombre de notions juridiques floues a \u00e9t\u00e9 critiqu\u00e9. La loi utilise des formulations telles que conditions raisonnables<\/em>, dans les meilleurs d\u00e9lais<\/em> ou sans retard injustifi\u00e9<\/em>, qui ne prendront forme qu\u2019avec la pratique d\u2019application et les lignes directrices de la BNetzA. Pour les entreprises, cela signifie une certaine incertitude juridique durant les premiers mois \u2013 mais aussi une marge de man\u0153uvre, puisque l\u2019autorit\u00e9 entend d\u2019abord guider par des recommandations plut\u00f4t que par des sanctions.<\/p>\n D\u00e9finition<\/p>\n Access by Design<\/strong> d\u00e9signe l\u2019obligation technique de concevoir les produits connect\u00e9s de mani\u00e8re \u00e0 ce que les utilisateurs ou des tiers mandat\u00e9s puissent acc\u00e9der aux donn\u00e9es produites sans effort de d\u00e9veloppement suppl\u00e9mentaire. L\u2019acc\u00e8s doit \u00eatre simple, s\u00e9curis\u00e9, structur\u00e9 et fourni dans un format lisible par machine \u2013 g\u00e9n\u00e9ralement via une API document\u00e9e.<\/p>\n<\/div>\n Le Data Act s\u2019adresse \u00e0 deux groupes d\u2019entreprises simultan\u00e9ment : les fabricants de produits connect\u00e9s et les fournisseurs de services associ\u00e9s d\u2019une part, les prestataires de services cloud d\u2019autre part. Pour les PME du DACH, cela signifie que pratiquement tout constructeur de machines \u00e9quipant ses installations de t\u00e9l\u00e9m\u00e9trie est consid\u00e9r\u00e9 comme fabricant au sens du r\u00e8glement. Tout fournisseur SaaS traitant des donn\u00e9es clients est un prestataire de services de traitement de donn\u00e9es.<\/p>\n L\u2019\u00e9l\u00e9ment d\u00e9cisif r\u00e9side dans le champ d\u2019application : le r\u00e8glement s\u2019applique aux produits mis pour la premi\u00e8re fois sur le march\u00e9 apr\u00e8s le 12 septembre 2026. Les machines d\u00e9j\u00e0 vendues ne sont pas soumises \u00e0 l\u2019obligation d\u2019Access-by-Design \u2013 un d\u00e9tail important, car il att\u00e9nue l\u2019obligation de mise \u00e0 niveau. Les fabricants doivent cependant adapter leurs gammes de produits existantes au plus tard lors de la prochaine g\u00e9n\u00e9ration de mat\u00e9riel \u2013 avec suffisamment de temps pour les certifications, les mises \u00e0 jour logicielles et les ajustements contractuels.<\/p>\n Le principal all\u00e8gement pour les PME est l\u2019exception pr\u00e9vue \u00e0 l\u2019article 7 du r\u00e8glement europ\u00e9en. Les entreprises comptant moins de 50 salari\u00e9s et r\u00e9alisant un chiffre d\u2019affaires annuel inf\u00e9rieur \u00e0 10 millions d\u2019Euros sont exempt\u00e9es des obligations d\u2019acc\u00e8s. Selon les statistiques de la Chambre de commerce et d\u2019industrie, cela concerne plus de 90 % des constructeurs de machines allemands. Il faut cependant noter l\u2019application diff\u00e9r\u00e9e : une entreprise d\u00e9passant ces seuils au cours d\u2019un exercice devra se conformer aux obligations les ann\u00e9es suivantes \u2013 un risque de planification pour les entreprises en phase de croissance.<\/p>\n En revanche, aucune exception n\u2019est pr\u00e9vue pour les r\u00e8gles de changement de cloud. Celles-ci s\u2019appliquent \u00e0 tous les prestataires de services de traitement de donn\u00e9es, quelle que soit la taille de l\u2019entreprise. Une PME SaaS employant 30 personnes doit donc permettre \u00e0 ses clients de changer de prestataire sans frais de sortie forfaitaires \u2013 m\u00eame si elle est exempt\u00e9e des obligations li\u00e9es aux produits IoT. Cette distinction est cruciale pour l\u2019analyse des \u00e9carts dans sa propre gamme de produits.<\/p>\n Le Data Act regroupe trois ensembles d\u2019obligations distincts, \u00e0 traiter s\u00e9par\u00e9ment sur le plan organisationnel. Le premier volet concerne l\u2019acc\u00e8s aux donn\u00e9es par les utilisateurs. Les fabricants de produits connect\u00e9s doivent garantir que l\u2019acheteur d\u2019une machine ou l\u2019utilisateur d\u2019un logiciel ait un acc\u00e8s direct aux donn\u00e9es g\u00e9n\u00e9r\u00e9es par le produit et les services associ\u00e9s. Cet acc\u00e8s doit \u00eatre rapide, s\u00e9curis\u00e9 et, en r\u00e8gle g\u00e9n\u00e9rale, sans frais suppl\u00e9mentaires. Pour les produits mis sur le march\u00e9 avant le 12 septembre 2026, ces obligations d\u2019Access-by-Design ne s\u2019appliquent pas encore \u2013 mais les fabricants devraient profiter de la p\u00e9riode transitoire pour adapter leurs produits existants et pr\u00e9parer les voies de mise \u00e0 jour logicielle.<\/p>\n Le deuxi\u00e8me volet porte sur le changement de fournisseur cloud. Depuis le 12 septembre 2025, les prestataires de services de traitement de donn\u00e9es \u2013 c\u2019est-\u00e0-dire les fournisseurs de cloud public classiques, mais aussi les fournisseurs SaaS sectoriels \u2013 ne peuvent plus imposer d\u2019obstacles artificiels \u00e0 leurs clients pour changer de prestataire. Les contrats doivent clairement indiquer les dur\u00e9es d\u2019engagement, les d\u00e9lais de pr\u00e9avis et les r\u00e8gles de sortie. \u00c0 partir du 12 janvier 2027, les prestataires ne pourront plus facturer de frais de sortie forfaitaires \u2013 seuls seront autoris\u00e9s les co\u00fbts justifi\u00e9s par la migration effective des donn\u00e9es. Pour les hyperscalers, cela repr\u00e9sente une remise en cause majeure de leurs mod\u00e8les tarifaires \u00e9tablis, tandis que pour les clients, c\u2019est un levier significatif dans les n\u00e9gociations contractuelles.<\/p>\n Le troisi\u00e8me volet r\u00e9git l\u2019acc\u00e8s aux donn\u00e9es par les autorit\u00e9s publiques dans des situations exceptionnelles. Les autorit\u00e9s peuvent, dans des cas de crise clairement d\u00e9finis \u2013 catastrophes naturelles, pand\u00e9mies, cyberattaques majeures \u2013 acc\u00e9der directement aux donn\u00e9es des entreprises si celles-ci sont n\u00e9cessaires pour g\u00e9rer la crise. Les conditions sont strictement encadr\u00e9es, mais les entreprises doivent \u00eatre techniquement pr\u00e9par\u00e9es \u00e0 r\u00e9pondre \u00e0 de telles demandes. La loi d\u2019application pr\u00e9cise quelles autorit\u00e9s en Allemagne sont habilit\u00e9es \u00e0 formuler ces demandes et quel r\u00f4le joue la Bundesnetzagentur en tant qu\u2019instance de contr\u00f4le.<\/p>\n Sources : R\u00e8glement UE 2023\/2854, Bundestag allemand, semaine 13\/2026, BMWK<\/p>\n La date cl\u00e9 du calendrier est le 12 septembre 2026. \u00c0 compter de cette date, l’obligation \u00ab Access by Design \u00bb s’appliquera \u00e0 tous les produits mis sur le march\u00e9 pour la premi\u00e8re fois apr\u00e8s celle-ci. Les fabricants qui souhaitent lancer de nouvelles g\u00e9n\u00e9rations de produits sur le march\u00e9 \u00e0 l’automne 2026 doivent d\u00e9j\u00e0 finaliser l’architecture de leurs interfaces de donn\u00e9es, r\u00e9diger la documentation des API et faire valider leurs concepts d’acc\u00e8s par leur service juridique. Celui qui commence seulement en ao\u00fbt sera en retard.<\/p>\n Avec la loi d’application, la Bundesnetzagentur endosse une nouvelle mission de r\u00e9gulation dans un domaine jusqu’ici fragment\u00e9 entre protection des donn\u00e9es, droit de la concurrence et politique num\u00e9rique. Elle devient le point de contact central pour les plaintes, les demandes d’information et les questions d’interpr\u00e9tation. L’autorit\u00e9 peut lancer des enqu\u00eates, obliger les entreprises \u00e0 fournir des renseignements, \u00e9mettre des injonctions provisoires et, si n\u00e9cessaire, infliger des amendes coercitives.<\/p>\n Source : Bundestag allemand, s\u00e9ance pl\u00e9ni\u00e8re semaine 13\/2026<\/p>\n 500 000 euros par infraction repr\u00e9sentent un montant mod\u00e9r\u00e9 au niveau international \u2013 le RGPD pr\u00e9voit jusqu’\u00e0 20 millions d’euros, le Digital Markets Act jusqu’\u00e0 dix pour cent du chiffre d’affaires mondial. Mais pour un constructeur de machines de taille moyenne r\u00e9alisant 25 millions d’euros de chiffre d’affaires annuel, une amende \u00e0 six chiffres constitue un frein tangible, surtout si plusieurs infractions sont constat\u00e9es simultan\u00e9ment. Plus importante que le montant absolu est la port\u00e9e symbolique : la BNetzA est une autorit\u00e9 op\u00e9rationnelle comptant 3 200 collaborateurs et dot\u00e9e d’une exp\u00e9rience en mati\u00e8re d’application des r\u00e8gles \u2013 de la r\u00e9gulation des t\u00e9l\u00e9communications \u00e0 la supervision du march\u00e9 de l’\u00e9nergie, en passant par le secteur postal. Elle ne laissera pas le Data Act rester lettre morte.<\/p>\n Ce \u00e0 quoi les PME peuvent s’attendre d\u00e8s maintenant, ce sont les premi\u00e8res lignes directrices et consultations de la Bundesnetzagentur \u2013 g\u00e9n\u00e9ralement pr\u00e9vues pour l’\u00e9t\u00e9 2026. Ces lignes directrices pr\u00e9ciseront les notions juridiques ind\u00e9termin\u00e9es, fourniront des mod\u00e8les de contrats pour le cloud et donneront des indications sur la d\u00e9limitation entre l’exception pour les PME et les obligations r\u00e9guli\u00e8res. Ceux qui ont le temps de participer activement aux consultations pourront influencer l’interpr\u00e9tation dans leur sens \u2013 des associations comme le VDMA et Bitkom pr\u00e9parent d\u00e9j\u00e0 des documents de positionnement \u00e0 cet effet.<\/p>\n Pour les entreprises du secteur interm\u00e9diaire, une d\u00e9marche structur\u00e9e selon six \u00e9tapes claires, r\u00e9alisables dans les cinq prochains mois, est fortement recommand\u00e9e :<\/p>\n Celui qui aura trait\u00e9 ces six \u00e9tapes d\u2019ici fin juin abordera septembre sereinement. Celui qui ne se r\u00e9veillera qu\u2019en ao\u00fbt devra compter sur les orientations de la BNetzA et les ateliers de transition des associations professionnelles \u2013 faisable, mais inutilement stressant.<\/p>\n Le Data Act s’inscrit dans un ensemble de r\u00e9glementations europ\u00e9ennes qui occuperont les entreprises du secteur interm\u00e9diaire en 2026. La mise en \u0153uvre de la NIS2<\/a> concerne la cybers\u00e9curit\u00e9 des secteurs critiques, l’acte europ\u00e9en sur l’IA (AI Act)<\/a> encadre l’utilisation des syst\u00e8mes d’intelligence artificielle, en particulier les applications \u00e0 haut risque, l’obligation de facturation \u00e9lectronique<\/a> transforme la comptabilit\u00e9, et le euro num\u00e9rique<\/a> soul\u00e8ve de nouvelles questions pour les processus de paiement. Le Data Act s’ajoute \u00e0 ce quatuor comme quatri\u00e8me pilier majeur, avec des chevauchements multiples : avec la NIS2 sur les obligations de d\u00e9claration et de protection des syst\u00e8mes connect\u00e9s, avec l\u2019AI Act sur la gestion des donn\u00e9es d\u2019entra\u00eenement, et avec la facturation \u00e9lectronique sur les formats de donn\u00e9es.<\/p>\nL\u2019essentiel en bref<\/h2>\n
\n
Ce que la loi de mise en \u0153uvre pr\u00e9voit depuis le 26 mars<\/h2>\n
Qui est concern\u00e9 \u2013 et qui b\u00e9n\u00e9ficie de l\u2019exception pour les PME<\/h2>\n
Les trois blocs d\u2019obligations : acc\u00e8s, changement de fournisseur et acc\u00e8s des autorit\u00e9s<\/h2>\n
Calendrier : Ce qui doit s’appliquer et quand<\/h2>\n
\n\n
\n \nDate limite<\/th>\n Obligation<\/th>\n Concern\u00e9s<\/th>\n<\/tr>\n<\/thead>\n \n 12 septembre 2025<\/td>\n Possibilit\u00e9 de changement de cloud, clauses contractuelles, acc\u00e8s des autorit\u00e9s<\/td>\n Tous les prestataires de services de traitement de donn\u00e9es<\/td>\n<\/tr>\n \n 26 mars 2026<\/td>\n Loi d’application allemande adopt\u00e9e, la BNetzA d\u00e9sign\u00e9e comme autorit\u00e9 de contr\u00f4le<\/td>\n Toutes les entreprises actives en Allemagne<\/td>\n<\/tr>\n \n 12 septembre 2026<\/td>\n Access by Design pour les nouveaux produits connect\u00e9s<\/td>\n Fabricants de produits IoT (hors PME)<\/td>\n<\/tr>\n \n 12 janvier 2027<\/td>\n Fin des frais de sortie forfaitaires<\/td>\n Tous les fournisseurs de services cloud<\/td>\n<\/tr>\n \n 2028<\/td>\n \u00c9valuation par la Commission europ\u00e9enne de l’impact sur les PME<\/td>\n L’exception pour les PME est remise en question<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Le r\u00f4le de la Bundesnetzagentur<\/h2>\n
Plan en six points pour les entreprises du secteur interm\u00e9diaire<\/h2>\n
\n
Positionnement : le Data Act dans le paysage r\u00e9glementaire 2026<\/h2>\n