Le Data Act européen est l'un des textes de régulation technologique les plus lourds de conséquences que l'Europe ait adoptés depuis le RGPD, et il porte une échéance qui compte dès maintenant. À partir du 12 septembre 2026, les produits connectés mis sur le marché de l'UE devront être construits de sorte que les données qu'ils génèrent soient accessibles aux personnes qui les utilisent. Pour quiconque travaille avec des données de localisation, ce n'est pas une abstraction juridique lointaine. Les données de position sont exactement le type de données générées par les machines que vise le texte.
Cet article explique ce qu'est le Data Act, en quoi il diffère du RGPD, pourquoi les données de localisation en occupent le centre, et ce qu'il implique si vous construisez des produits avec une API de cartographie ou de localisation.
Ce que le Data Act régule réellement
Le Data Act, officiellement Regulation (EU) 2023/2854, répond à une question simple que le RGPD ne pose pas : qui a le droit d'utiliser les données qu'un produit connecté crée ? Pendant des années, la réponse a été, en pratique, le fabricant. Une machine, un véhicule ou un capteur générait de grands volumes de données, et ces données remontaient vers celui qui avait construit l'appareil, souvent sans moyen simple pour l'utilisateur d'y accéder.
Le Data Act change ce réglage par défaut. L'utilisateur d'un produit connecté, la personne ou l'entreprise qui l'a acheté ou loué, a le droit d'accéder aux données qu'il génère et de les partager avec un tiers de son choix. Le fabricant ne peut plus traiter ces données comme un actif exclusif. Le texte introduit aussi des règles sur l'équité des clauses contractuelles de partage de données, des garde-fous contre les clauses abusives imposées aux petites entreprises, et des obligations qui facilitent le passage d'un fournisseur cloud à un autre.
Point crucial : le texte couvre à la fois les données personnelles et non personnelles. C'est ce que beaucoup oublient. Le RGPD ne touche que les données relatives à des personnes identifiables. Le Data Act touche l'ensemble du flux qu'un appareil produit, qu'un individu y soit identifiable ou non.
Data Act et RGPD : deux lois, un même flux de données
La confusion la plus répandue est que le Data Act remplacerait ou diluerait d'une manière ou d'une autre le RGPD. Il ne fait ni l'un ni l'autre. Les deux sont conçus pour fonctionner ensemble, et ils régissent des choses différentes.
Le RGPD régit les données personnelles : il fixe les conditions dans lesquelles vous pouvez collecter, traiter et partager des informations sur des personnes identifiables. Le Data Act régit l'accès et la portabilité des données générées par les machines : il oblige les fabricants à ouvrir les données que leurs produits créent et laisse les utilisateurs les déplacer ailleurs.
Là où ils se rencontrent, les deux s'appliquent. Prenez une trace de localisation issue d'un véhicule connecté. Elle est générée par une machine, donc les règles d'accès et de portabilité du Data Act s'appliquent. Elle identifie aussi les déplacements d'un conducteur, c'est donc une donnée personnelle, et le RGPD s'applique également. Une demande de partage au titre du Data Act ne prime jamais sur le RGPD : il vous faut toujours une base légale, vous devez toujours les garanties habituelles, et vous ne pouvez toujours pas remettre des données personnelles à un tiers d'une manière que le RGPD interdirait. Le Data Act ouvre une porte ; le RGPD décide toujours qui peut la franchir.
Pourquoi les données de localisation en occupent le centre
De toutes les données que génèrent les produits connectés, les données de localisation comptent parmi les plus précieuses et les plus sensibles, ce qui explique précisément pourquoi elles constituent un cas d'école déterminant pour le texte.
Véhicules connectés, traceurs de flotte, matériel de livraison, machines agricoles et d'innombrables capteurs IoT produisent un flux continu de données de position. Au titre du Data Act, l'utilisateur de ce produit a le droit d'atteindre ce flux et de le porter vers le service qu'il préfère. Une entreprise de logistique qui exploite le matériel télématique d'un tiers peut demander ses propres données de mouvement sous une forme exploitable. Un agriculteur peut emporter les données machine vers un outil d'analyse indépendant. Un conducteur peut déplacer son historique de trajets.
Pour les équipes qui construisent ces produits, trois obligations passent d'optionnelles à structurelles :
- L'accès par défaut. À partir de septembre 2026, un nouveau produit connecté doit être conçu de sorte que les données qu'il génère soient accessibles sans procédure sur mesure ni obstacle.
- La portabilité. Les utilisateurs peuvent emporter leurs données ailleurs, ce qui signifie qu'elles doivent sortir sous une forme qu'un autre système peut réellement ingérer.
- L'interopérabilité. Des données que l'on ne peut pas comprendre en aval ne sont pas vraiment portables : les formats ouverts et les références stables comptent donc.
Rien de tout cela n'est satisfait par un export propriétaire que seuls vos propres outils savent lire. Une portabilité qui dépend de votre verrouillage n'est pas de la portabilité.
Concevoir un produit pour les obligations du Data Act
Les trois obligations du texte, l'accès, la portabilité et l'interopérabilité, se traduisent par des choix d'ingénierie concrets. Faites-les bien pendant la construction et l'obligation ne vous coûte presque rien ; rattrapez-les après qu'un utilisateur a déposé une demande, et cela coûte très cher.
Construisez le chemin d'accès avant qu'on le demande. À partir de septembre 2026, un nouveau produit connecté doit exposer les données qu'il génère par défaut, pas via un ticket de support et deux semaines d'attente. Le moment le moins coûteux pour concevoir un point de terminaison propre et documenté qui renvoie à un utilisateur ses propres données, c'est pendant que vous construisez la fonctionnalité, pas après l'exercice du droit.
Rendez l'export réellement portable. Une portabilité que seuls vos propres outils savent lire n'est pas de la portabilité. Des données qui quittent votre système en GeoJSON, un standard ouvert documenté, satisfont l'obligation d'interopérabilité par construction ; un blob propriétaire est une plainte qui n'attend que d'être déposée. Les formats ouverts sont l'assurance la moins chère qu'offre le texte.
Évitez le verrouillage sur les identifiants et les géocodes. Lorsque vous transformez une adresse en coordonnées ou attachez un identifiant à un lieu, préférez des références qu'un autre système peut résoudre, afin qu'un utilisateur qui porte ses données vers un concurrent n'arrive pas avec des clés inutilisables. Voyez Qu'est-ce qu'un géocode pour comprendre pourquoi la couche des coordonnées compte ici.
Une chose que le texte ne tranche pas, c'est le droit de quelle juridiction régit les données en premier lieu. C'est une question connexe mais distincte, la souveraineté des données, et elle mérite d'être décidée délibérément plutôt que par le hasard de l'endroit où votre API se trouve exécutée. Nous la traitons dans Souveraineté des données et données de localisation.
Comment MapAtlas s'inscrit dans le Data Act
Le Data Act récompense les données ouvertes, portables et non verrouillées, et c'est précisément ainsi que MapAtlas renvoie ses résultats par défaut. Notre Geocoding API et notre Search API restituent coordonnées et lieux dans des formats ouverts documentés plutôt que dans un conteneur propriétaire, de sorte que l'export que vous devez à vos utilisateurs au titre du texte est quelque chose que vous avez déjà, et non quelque chose à rétro-concevoir plus tard.
Rien de cela ne rend la conformité automatique. Le Data Act est satisfait par la façon dont vous concevez votre produit, rédigez vos contrats et gouvernez vos données, pas par un fournisseur unique. Ce que la bonne infrastructure apporte, c'est la disparition du rattrapage : si votre couche de localisation est déjà ouverte et portable, les obligations les plus difficiles du texte sont remplies à la source.
Pour les briques de base, Qu'est-ce que le géocodage inversé traite de la transformation des positions en adresses, Qu'est-ce que GeoJSON explique le format ouvert qui rend l'obligation de portabilité triviale, et notre page cartes conformes au RGPD montre comment le traitement européen fonctionne sur toute la plateforme. La réglementation est exigeante, mais pour une fois le chemin conforme et le chemin bien conçu ne font qu'une seule et même route.
Questions fréquemment posées
Qu'est-ce que le Data Act européen ?
Le Data Act européen (Regulation (EU) 2023/2854) est une loi européenne qui détermine qui peut accéder aux données générées par les produits connectés et les services associés, et les utiliser. Son idée centrale : les données qu'un appareil produit, qu'il s'agisse d'une voiture, d'un capteur, d'une machine ou d'un wearable, doivent être accessibles à l'utilisateur qui les a générées, et non verrouillées par le fabricant. La plupart de ses dispositions s'appliquent depuis le 12 septembre 2025, et à partir du 12 septembre 2026 les nouveaux produits connectés mis sur le marché devront être conçus pour que ces données soient accessibles par défaut. Il s'ajoute au RGPD sans le remplacer : le RGPD régit les données personnelles, tandis que le Data Act régit l'accès et le partage des données générées par les machines, qu'elles soient personnelles ou non.
En quoi le Data Act européen diffère-t-il du RGPD ?
Le RGPD porte sur la protection des données personnelles : il encadre la manière dont vous collectez, traitez et partagez des informations qui identifient une personne. Le Data Act porte sur l'accès et la portabilité des données générées par les machines : il oblige les fabricants à rendre disponibles à l'utilisateur les données créées par un produit connecté, et permet à cet utilisateur de les partager avec des tiers. Là où les deux se recoupent, par exemple une trace de localisation à la fois générée par une machine et personnelle, les deux textes s'appliquent en même temps. Le Data Act n'affaiblit pas le RGPD : une demande de partage au titre du Data Act doit toujours respecter les bases légales et les garanties du RGPD.
Que signifie le Data Act européen pour les données de localisation ?
Les données de localisation comptent parmi les exemples les plus nets de données générées par les machines couvertes par le texte. Un véhicule connecté, un traceur de flotte, un appareil de livraison ou un capteur IoT produit en continu des données de position, et au titre du Data Act l'utilisateur de ce produit a le droit d'y accéder et de les porter vers le service de son choix. Pour quiconque développe des fonctionnalités de localisation, la conséquence pratique est que la portabilité et l'interopérabilité des données cessent d'être des options pour devenir des exigences de conception. Si une trace de localisation est rattachée à une personne, elle est aussi une donnée personnelle, et le RGPD s'applique par-dessus.
Quand le Data Act européen entre-t-il en vigueur ?
Le Data Act est entré en vigueur en janvier 2024 et est devenu applicable le 12 septembre 2025. Une autre échéance clé tombe le 12 septembre 2026 : les produits connectés et services associés mis sur le marché de l'UE à partir de cette date devront être conçus pour que les données qu'ils génèrent soient, par défaut, facilement, en toute sécurité et, le cas échéant, directement accessibles à l'utilisateur. Les obligations de changement de fournisseur cloud et d'interopérabilité s'appliquent progressivement sur la même période. L'application relève des autorités compétentes désignées par chaque État membre, si bien que les sanctions exactes varient d'un pays à l'autre.
Comment les API cartographiques peuvent-elles favoriser la conformité à des réglementations régionales comme le Data Act ?
Une API de cartographie ou de localisation ne peut pas vous rendre conforme à elle seule, car la conformité dépend de la conception de votre produit, de vos contrats et de votre gouvernance des données. Ce que fait le bon fournisseur, c'est supprimer les frictions : une API qui traite les requêtes de localisation à l'intérieur de l'UE, expose les données dans des formats ouverts et portables comme GeoJSON et évite de vous enfermer dans des identifiants propriétaires rend bien plus faciles à satisfaire les obligations d'accès, de portabilité et d'interopérabilité du Data Act, tout en facilitant en parallèle des réglementations régionales voisines comme le RGPD. MapAtlas traite les données de localisation à l'intérieur de l'UE par défaut et renvoie les résultats dans des formats ouverts, ce qui réduit la surface de conformité.
