Position paper sur l’article 33 du Data Act

Le Data Act régit les échanges de données issues des objets connectées. Le règlement a été publié le 13 décembre 2023 et est applicable depuis le 12 septembre 2025. Il s’inscrit dans une législation européenne sur la protection des données qui inclut notamment le Data Governance Act de 2022 et le Règlement général sur la protection des données de 2016 (protection des données personnelles). Ce cadre fait aujourd’hui l’objet d’une mise à jour à travers la réforme de l’Omnibus numérique mais les dispositions concernées du Data Act ne devrait pas faire l’objet de modifications.

Cette nouvelle réglementation a un impact significatif sur les participants des data spaces puisqu’elle érige l’interopérabilité comme une obligation légale de description des données et des métadonnées, plutôt qu’une nécessité technique. Ainsi, l’article 33, paragraphe 1, du Data Act impose une série “d’exigences essentielles” d’interopérabilité.

• (a) Description du contenu du jeu de données (restrictions d’utilisation, licences, méthode de collecte, qualité et incertitude des données) dans un format lisible par machine lorsque cela est applicable ;
• (b) Description accessible publiquement et cohérente des structures de données, (formats, vocabulaires, schémas de classification, taxonomies et listes de codes) ;
• (c) Description suffisante des moyens techniques d’accès (par exemple des API), de leurs conditions d’utilisation et de leur qualité de service, pour permettre un accès et une transmission automatisés des données (en continu, par téléchargement en masse ou en temps réel) dans un format lisible par machine (lorsque c’est techniquement possible et n’entrave pas le bon fonctionnement du produit connecté) ;
• (d) Le cas échéant, les moyens permettant l’interopérabilité des outils d’automatisation de l’exécution des accords de partage de données, tels que les contrats intelligents (« smart contracts »).

Les paragraphes suivants (3 à 8) prévoient par ailleurs une présomption de conformité via la mise en place de normes harmonisées et de spécifications communes. Ainsi, le Data Act a permis à la Commission européenne de lancer une consultation sur la standardisation des normes de partage de données (Trusted Data Transactions). Celle-ci a débuté en 2023 et le premier de trois standards a été publié en avril 2026 (Terminologie, concepts et mécanismes, 18235-1:2026). Cette harmonisation des normes n’aboutira pas à un standard exploitable avant plusieurs années, rendant ainsi la présomtpion de conformité limitée pour le moment.

Ces normes encouragent avant tout l’utilisation des data spaces et l’échange des données en sécurité (interopérabilité en action). Même si les data spaces ont des domaines et des enjeux variés, l’entrée de ces obligations techniques dans le champ légal permet d’harmoniser le partage de donnée et d’encourager les bonnes pratiques. Il ne s’agit pas d’une obligation générale de mettre à disposition des données brutes non partagées, mais bien de décrire suffisamment les données et métadonnées des échanges existants afin de faciliter les échanges.

L’exigence de description “suffisante” des jeux de données crée une pression vers davantage de transparence sur la nature (brute, dérivée, agrégée) des données partagées. Cette pratique pourra renforcer la confiance entre participants grâce à une meilleure documentation de la provenance et de la qualité des données.

En pratique, un participant qui souhaite se prévaloir de la présomption de conformité associée aux futures normes harmonisées sera incité à utiliser lesdites normes et à documenter les traitements, voire à conserver une traçabilité jusqu’à la donnée source. Cependant, en l’absence de normes standardisées à ce stade, les obligations spécifiques des participants ne sont pas claires.

Bien que le partage à minima de métadonnées permette aux catalogues d’être plus fournis et visibles, on peut interroger l’opportunité d’un partage des données brutes “en continu, en masse ou en temps réel”. Certains acteurs estiment en effet que certains jeux de métadonnées brutes auraient peu d’intérêt à être partagés, justement parce qu’ils ne sont pas traités en interne. La typologie introduite par le Data Act peut aussi rendre l’identification des différentes métadonnées difficile, menant ainsi à une mauvaise application involontaire du texte.

La nouvelle réglementation encourage également le recours aux smart contracts, une pratique en cours d’implémentation dans de nombreux data spaces. À ce titre, la Commission européenne a adopté en annexe du Data Act des “clauses contractuelles types non contraignantes concernant l’accès aux données et leur utilisation”. Cette recommandation publiée le 19 novembre 2025, facilite grandement le travail des data spaces qui peuvent ensuite adapter ces clauses types aux besoins de leurs domaines spécifiques. Pourtant, malgré ces encouragements réglementaires, des difficultés techniques liées à la traduction en langage ODRL (lisible par machine) demeurent et ralentissent l’utilisation généralisée des smart contracts.

Le texte n’apporte pas de clarifications sur les sanctions encourues en cas de non-conformité aux obligations d’interopérabilité. Il mentionne juste le rôle des autorités chargées de vérifier sa bonne application à l’Article 40 (il s’agit de l’ARCEP et de la CNIL en France), sans inclure l’Article 33 dans les cas faisant l’objet d’amendes. L’ARCEP, à l’origine chargée seulement du contrôle de trois entreprises de télécommunication, doit aujourd’hui faire face à une multiplication des acteurs et à un manque de moyens pour mener sa mission de contrôle à bien.

Même si le manque d’interopérabilité pourrait potentiellement faire naître un préjudice en cas d’échec de l’échange de données, ces obligations ne font pas l’objet de sanctions car elles reflètent avant tout des bonnes pratiques.

Bien que le Data Act soit entré en vigueur en 2025, l’application complète du texte est retardée par l’absence de standards associés. Les participants des data spaces sont tout de même encouragés à documenter de façon proportionnée la méthodologie de collecte et la qualité des données partagées, en distinguant clairement, dans les métadonnées, les données brutes des données dérivées ou agrégées (afin de sécuriser les échanges de données).

Par ailleurs, des clarifications seraient utiles, par voie de lignes directrices de la Commission ou d’actes délégués, sur l’articulation entre l’article 33 du Data Act et les d’autres régimes légaux. En effet, certaines données brutes sensibles et personnelles relèvent du RGPD. Le Data Act ne doit pas être lu comme un fondement juridique autonome justifiant la divulgation de données brutes qui resteraient par ailleurs protégées à un autre titre.

Pour finir, EONA-X va poursuivre le dialogue avec les représentants de l’ARCEP et des autres data spaces afin de proposer une documentation à jour à ses membres. Une fois que les standards auront été entièrement publiés, nous pourrons aussi proposer des formations sur la conformité à destination des participants qui souhaitent s’afficher “Data Act Compliant”.