Depuis le 12 septembre, le droit européen impose aux produits connectés de donner accès à leurs propres données dès la conception : l'obligation ne vise que le prochain modèle qu'une marque lance, pas celui déjà en rayon

Ce qui a réellement changé le 12 septembre

L'article 2, paragraphe 5, du Data Act définit largement le produit connecté : un objet qui obtient, génère ou recueille des données concernant son utilisation ou son environnement et peut communiquer ces données produit, dont la fonction principale n'est pas elle-même de stocker, traiter ou transmettre des données pour le compte d'un tiers. Cela dépasse largement les routeurs et les capteurs industriels : un babyphone connecté, une bouilloire connectée, un traceur d'activité, un jouet Bluetooth ou une valise intelligente entrent tous dans le champ. L'article 3, paragraphe 1, impose ensuite que ces produits, ainsi que tout service connexe vendu avec eux, soient conçus pour que les données qu'ils génèrent soient accessibles à l'utilisateur par défaut, sans que celui-ci ait à les demander, dans un format complet, structuré, couramment utilisé et lisible par machine, sans frais. Avant le 12 septembre 2026, cette obligation existait sur le papier mais n'avait pas de date d'entrée en application propre pour le volet conception du produit ; le reste du Data Act, les règles de partage de données entre entreprises, de portabilité entre fournisseurs cloud et de clauses contractuelles abusives, était déjà en vigueur depuis un an. À compter du 12 septembre 2026, tout produit connecté qu'une marque place pour la première fois sur le marché européen doit être conçu, et non corrigé après coup, pour respecter l'article 3, paragraphe 1.

Les chiffres derrière l’échéance

Un chiffre marque l'entrée en application de l'obligation de conception elle-même. Un autre marque son décalage par rapport au reste du Data Act. Le troisième indique le nombre de régimes nationaux distincts qui l'appliquent désormais.

Le vrai sujet : la ligne de conformité passe par la date de lancement du SKU, pas par la catégorie de produit

La plupart des articles consacrés à l'échéance du 12 septembre la présentent comme une règle uniforme : les produits connectés doivent désormais donner à leurs utilisateurs accès à leurs propres données. Ce cadrage passe sous silence le fait que l'article 3, paragraphe 1, ne se rattache ni à la catégorie de produit ni à la marque, mais à la date à laquelle un produit précis a été mis pour la première fois sur le marché de l'UE. Un modèle de bouilloire connectée vendu depuis 2023 reste indéfiniment en dehors de l'obligation de conception, quelle que soit la quantité de données qu'il collecte, sauf si la marque met une nouvelle version sur le marché. Une bouilloire quasi identique d'un concurrent lancée ce mois-ci doit, elle, être conçue avec un accès aux données par défaut dès le premier jour. Deux appareils fonctionnellement proches, deux statuts juridiques différents, décidés uniquement par la date de lancement. Cela fait de la notion de « mise sur le marché », déjà utilisée par le droit européen des produits pour le marquage CE et le règlement général sur la sécurité des produits, une question de conformité des données autant qu'une question de sécurité : une marque qui relabellise, change de fournisseur ou ajoute une fonctionnalité à un produit connecté existant doit savoir si ce changement constitue la mise sur le marché d'un nouveau produit, car c'est cet événement qui déclenche le délai de l'article 3, paragraphe 1, et non l'âge du produit ni la collecte de données en elle-même.

Pourquoi c'est important pour les marques

Trois catégories d'acteurs devraient lire au-delà de la date qui fait la une. Premièrement, toute marque vendant des produits physiques connectés dans l'UE, appareils électroménagers intelligents, objets portables, jouets connectés, bagages ou appareils de beauté, a désormais besoin d'un enregistrement, produit par produit, de la date de première mise sur le marché de l'UE, car cette seule date détermine si l'article 3, paragraphe 1, s'applique. Désormais, « l'accès aux données dès la conception » doit figurer sur la même liste de contrôle de lancement produit que le marquage CE et la conformité au règlement général sur la sécurité des produits, et non être traité comme un projet informatique séparé géré après le lancement. Deuxièmement, l'application n'est pas centralisée comme celle du RGPD : chacun des 27 États membres désigne sa propre autorité compétente, et le règlement laisse le régime de sanctions au droit national plutôt que de fixer un montant unique à l'échelle de l'UE, de sorte qu'une marque vendant le même produit connecté dans plusieurs États membres peut se retrouver face à des autorités différentes appliquant des sanctions différentes au même manquement de conception. Troisièmement, il ne faut pas confondre cette obligation avec deux autres obligations européennes arrivant la même semaine : l'obligation de signalement des vulnérabilités sous 24 heures du règlement sur la cyber-résilience, entrée en application la veille, le 11 septembre 2026, et qui, contrairement à l'obligation de conception du Data Act, couvre explicitement les produits déjà vendus avant son échéance, et le passeport numérique de produit prévu par le règlement sur l'écoconception pour des produits durables, qui porte sur les données de cycle de vie et de durabilité, non sur l'accès aux données par l'utilisateur. Trois régimes européens distincts, trois périmètres différents, tombant à quelques jours d'intervalle sur le même catalogue de produits connectés.

Deux lectures de l’échéance du 12 septembre

Questions fréquentes