Le droit d’accès aux données dans le cadre du règlement sur les données

Le règlement sur les données offre deux moyens pour accéder aux données des objets connectés : 

• soit les utilisateurs peuvent y accéder directement si la conception de l’objet connecté le permet ;
• soit les utilisateurs doivent effectuer une demande auprès du détenteur des données.

Les détenteurs de données sont tenus à une obligation d’information auprès des utilisateurs des objets connectés.

Les produits connectés mis sur le marché de l’Union européenne après le 12 septembre 2026 doivent être conçus de manière à rendre les données de ces produits et services connectés accessibles à l’utilisateur si cela est techniquement possible et pertinent. 

Depuis le 12 septembre 2025, l’utilisateur peut néanmoins demander la mise à disposition des données de ses objets connectés à leur détenteur (cf. accès sur demande aux données des objets connectés).

Le règlement sur les données impose aux fabricants de produits connectés et aux fournisseurs de services connexes de concevoir leurs objets connectés de façon à rendre les données relatives à ces objets accessibles à l’utilisateur. 

Le fabricant de produits connectés peut être, par exemple, le constructeur d’engins industriels (pelleteuse, tractopelle, etc.) ou agricoles (tracteur, moissonneuse batteuse, etc.), ou encore de montres ou d’enceintes connectées. Le fournisseur de services connexes peut être, par exemple, l’éditeur du logiciel qui permet de contrôler une voiture à distance (verrouillage des portes, température, etc.). 

L’accès direct aux données des objets connectés couvre les données à caractère personnel et non personnel relatives aux produits connectés et leurs services connexes, sans préjudice d’autres règles, en particulier le RGPD.

Les données relatives aux produits connectés sont « les données générées par l'utilisation d'un produit connecté que le fabricant a conçu pour qu'elles puissent être extraites, au moyen d'un service de communications électroniques, d'une connexion physique ou d'un dispositif d'accès intégré, par un utilisateur, un détenteur de données ou un tiers, y compris, le cas échéant, le fabricant ».

Les données relatives aux services connexes sont « les données représentant la numérisation des actions de l'utilisateur ou des événements liés au produit connecté, enregistrées intentionnellement par l'utilisateur ou générées en tant que produit annexe de l'action de l'utilisateur lors de la fourniture d'un service connexe par le fournisseur ». 

Il s’agit à la fois des données qui sont enregistrées intentionnellement par l’utilisateur (trajets enregistrés dans un GPS, activation de la climatisation, etc.), et des données qui résultent indirectement de son action (données générées par les capteurs de l’objet connecté comme la vitesse des roues d’un véhicule, etc.). 

Les services couverts par cette définition sont ceux qui impliquent un échange de données entre le produit connecté et le fournisseur de services, et qui sont explicitement liés à l'utilisation des fonctions du produit connecté dans le sens où ils peuvent avoir une incidence sur l’action ou le comportement du produit connecté, ainsi que leurs métadonnées. Tel est le cas, par exemple, d’une application de gestion des appareils domotiques (aspirateurs, volets, chauffage, etc.).

En revanche, les services relatifs à la fourniture d'énergie et la fourniture de connectivité sont exclus de cette définition. 

Les notions de données relatives aux produits connectés et aux services connexes visent les seules données qui ne sont pas substantiellement modifiées, c’est-à-dire les données brutes (données générées automatiquement par des capteurs, statut des composants d’un véhicule comme les portes, les fenêtres, etc.), les données prétraitées (données traitées dans le but de les rendre compréhensibles et utilisables avant leur traitement et leur analyse ultérieurs), ainsi que leurs métadonnées (ex : horodatage).

En revanche, les données dérivées ou déduites des données brutes obtenues à la suite d'investissements supplémentaires sont exclues de cette notion. Il s’agirait, par exemple, des données de prédiction comme les estimations du niveau de carburant en fonction du style de conduite, de l'historique des trajets et d'autres facteurs.

A partir du 12 septembre 2026, les fabricants de produits connectés et les fournisseurs de services connexes ont l’obligation de concevoir leurs objets et leurs services pour qu’ils assurent un accès direct de l’utilisateur aux données qu’il a générées lorsque cela est « pertinent et techniquement possible ». 

Si l’accès direct est prévu, les données doivent être accessibles « de manière aisée, sécurisée, sans frais, dans un format complet, structuré, couramment utilisé et lisible par machine, et sont, lorsque cela est pertinent et techniquement possible, directement accessibles à l'utilisateur ».

En pratique, l’accès aux données peut être assuré par l’utilisation d’une interface numérique (API, portail internet, etc.). 

Si l’utilisateur ne peut pas accéder directement aux données des objets connectés, il peut demander à leur détenteur de les mettre à sa disposition.

L’obligation de mise à disposition des données des objets connectés s’applique à leur détenteur qui peut être, selon les cas, le fabricant du produit connecté, le fournisseur du service connexe, ou encore leur vendeur, leur loueur, ou leur bailleur. 

Dans la grande majorité des situations, le détenteur des données sera une entreprise privée ou publique, mais il peut aussi être une association ou une administration, voire d’un particulier.

Au-delà des fabricants des produits connectés et des fournisseurs de services connexes, il peut s’agir, en fonction des situations, par exemple, d’une entreprise qui possède une flotte de voiture et les loue à des clients (particuliers ou professionnels), ou bien d’une entreprise d’installation d’appareils domotiques.

Cette obligation s’applique aux « données facilement accessibles », à savoir « les données relatives à un produit et les données relatives à un service connexe qu'un détenteur de données obtient légalement ou peut obtenir légalement à partir du produit connecté ou du service connexe, sans effort disproportionné allant au-delà d'une simple opération ». Cette obligation couvre également les métadonnées pertinentes nécessaires à l’interprétation et à l’utilisation des données facilement accessibles.

Les données facilement accessibles peuvent être, par exemple, des données qu’il est possible d’exporter au moyen de la conception de l’objet connecté ou par des moyens techniques d'accès aux données. A l’inverse, les données qu’un objet connecté génère mais qu’il n’a pas vocation à stocker ou transmettre ne sont pas des données facilement accessibles. 

La demande de mise à disposition des données par l’utilisateur

La mise à disposition des données facilement accessibles doit être demandée par l’utilisateur de l’objet connecté ou par un tiers autorisé à agir pour son compte, et par voie électronique lorsque c’est techniquement possible 

Pour vérifier le statut de l’utilisateur, le détenteur des données peut lui demander de fournir les informations strictement nécessaires à cette fin (informations d’identité, contrat d’achat, de location, etc.) à travers un mécanisme permettant l'exécution automatique de la demande. 

Le détenteur de données ne conserve pas les informations qui ne sont pas nécessaires à la bonne exécution de la demande d'accès de l'utilisateur et à la sécurité et à la maintenance de l'infrastructure de données.

Les conditions et les modalités de la mise à disposition des données

Le détenteur des données doit répondre à la demande de l’utilisateur et mettre les données à disposition « sans retard injustifié, à un niveau de qualité identique à celui dont bénéficie le détenteur de données, de manière aisée, sécurisée, sans frais, dans un format complet, structuré, couramment utilisé et lisible par machine et, lorsque cela est pertinent et techniquement possible, en continu et en temps réel ». 

Les restrictions potentielles à la mise à disposition des données 

Cependant, dans l’hypothèse où la mise à disposition des données facilement accessibles est susceptible de porter atteinte à la sécurité de l’objet connecté et entraîner de graves effets indésirables pour la santé, la sûreté ou la sécurité des individus, l’utilisateur et le détenteur des données peuvent décider de restreindre ou interdire l'accès aux données, leur utilisation ou leur partage ultérieur par contrat. Dans le cas où un détenteur de données refuse de partager des données pour ces motifs, il notifie son refus à l'autorité compétente. 

En cas de litige avec le détenteur de données concernant les restrictions ou interdictions contractuelles relatives l'accès aux données, leur utilisation ou leur partage ultérieur, les utilisateurs peuvent introduire une réclamation auprès de l’autorité compétente ou convenir avec le détenteur de données, de saisir un organe de règlement des litiges.

Le règlement sur les données impose des obligations particulières aux parties pour la mise en œuvre de cette obligation.

Le détenteur de données doit :

• simplifier l’exercice des droits de l’utilisateur par sa présentation des choix qu’il offre à l’utilisateur ou par l’interface numérique au sein de laquelle les données sont mises à disposition ;
• supprimer les données relatives à l'accès de l'utilisateur (données de connexion, données d’identification, etc.).

L'utilisateur de données doit :

• s'abstenir de nuire au détenteur des données : soit par le recours à des moyens coercitifs pour accéder aux données ou par le fait de tirer avantage de lacunes dans l'infrastructure technique destinée à protéger les données ;
• s’abstenir d’utiliser les données dont il obtient l’accès pour développer un produit qui concurrence l’objet connecté dont les données proviennent, voire les partager avec un tiers dans cette intention.
• s’abstenir d’utiliser les données dont il obtient l’accès pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production du fabricant ou, le cas échéant, du détenteur de données.

Le règlement sur les données prévoit que les secrets d’affaires, au sens de la directive (UE) 2016/943 dont la définition est transposée par les articles L.151-1 et suivants du code de commerce, sont préservés et ne sont divulgués que lorsque les détenteurs et les utilisateurs de données prennent toutes les « mesures nécessaires » en vue de préserver leur confidentialité. 

Le détenteur des données ou des secrets d'affaires recense les données protégées et convient avec l'utilisateur de mesures techniques et organisationnelles pour préserver la confidentialité des données partagées (par exemple des clauses contractuelles types, accords de confidentialité, protocoles d'accès stricts, normes techniques, application de codes de conduite, etc.).

La protection générale des secrets d’affaires

Le détenteur de données peut toutefois bloquer ou suspendre le partage des données couvertes par les secrets d'affaires dans trois situations : 

• lorsque le détenteur et l’utilisateur des données échouent à s’accorder sur les mesures nécessaires à mettre en place ;
• lorsque l'utilisateur ne met pas en œuvre les mesures convenues avec le détenteur des donnée ;
• lorsque l'utilisateur compromet la confidentialité des secrets d’affaires.

Dans ce cas, le détenteur de données doit motiver sa décision et la communiquer par écrit à l'utilisateur sans retard injustifié. 

Il doit, en outre, notifier à l’autorité compétente qu’il a refusé ou suspendu le partage de données et en explique les raisons (mesures convenues qui n'ont pas été mises en œuvre, secrets d'affaires dont la confidentialité a été compromise, etc.).

La protection des secrets d’affaires en cas de préjudice économique grave

Dans des circonstances exceptionnelles, le détenteur de données qui détient des secrets d’affaires peut enfin refuser une demande d'accès aux données, au cas par cas, s’il peut démontrer qu’il risque d’encourir « un préjudice économique grave » en raison de la divulgation de secrets d'affaires malgré les mesures techniques et organisationnelles prises par l'utilisateur.

Dans cette situation, le détenteur de données doit alors : 

• étayer sa démonstration avec des éléments objectifs et, notamment, l'opposabilité de la protection des secrets d'affaires dans les pays tiers, la nature et le niveau de confidentialité des données demandées, ainsi que le caractère unique et neuf du produit connecté ;
• communiquer sa décision à l’utilisateur par écrit et sans retard injustifié ;
• notifier sa décision à l’autorité compétente, en l’expliquant.

Le règlement sur les données prévoit que les informations sur les données susceptibles d’être générés par l’utilisation du produit connecté ou du service connexe et des modalités d’accès aux données de leurs objets connectés soient communiqués aux utilisateursavant la conclusion d’un contrat d’achat, de location ou de bail. 

L’obligation d’information pèse sur le vendeur, le loueur ou le bailleur du produit connecté ou le fournisseur d’un service connexe. Il doit s’acquitter de cette obligation que les objets connectés soient neufs ou d’occasion.

Avant la signature d’un contrat relatif à un produit connecté ou un service connexe, l’utilisateur de l’objet connecté doit recevoir, de manière claire et compréhensible, certaines informations. 

Pour un produit connecté, l’utilisateur doit se faire communiquer le type, le format et le volume estimé des données que le produit connecté est capable de générer, si le produit connecté est capable de générer des données en continu et en temps réel, ou encore si le produit connecté est capable de stocker des données sur un dispositif intégré ou sur un serveur distant, y compris, le cas échéant, la durée de conservation prévue, la manière dont l’utilisateur peut accéder aux données, les extraire ou les effacer. 

Pour un service connexe, l’utilisateur doit notamment connaître la nature, le volume estimé et la fréquence de collecte des données relatives au produit que le détenteur de données potentiel devrait obtenir, si le détenteur de données potentiel a l’intention d’utiliser lui-même des données et, le cas échéant, les finalités pour lesquelles ces données sont utilisées.