Un four industriel, une montre de santé ou une machine agricole produit des informations utiles pendant son fonctionnement. Pourtant, une clause affirmant que « toutes les données appartiennent au fabricant » ne précise ni qui peut les consulter ni ce qu’il peut en faire.
Le règlement européen sur les données, appelé Data Act, organise l’accès aux données générées par les objets connectés et leur partage. Pour négocier utilement, il faut distinguer les acteurs, les catégories de fichiers, les usages autorisés et les règles de confidentialité.
A retenir : les droits d’accès aux données IoT
- Accès effectif aux données générées pendant l’utilisation d’un produit connecté
- Usages contractuels définis par catégorie, finalité et destinataire
- Partage possible avec un tiers choisi, sous conditions applicables
- Protection distincte des données personnelles et des secrets d’affaires
Définir le périmètre de l’accès aux données des objets connectés
Identifier l’utilisateur, le détenteur et les données concernées
Le Data Act ne désigne pas un propriétaire universel de toutes les informations issues d’une machine. Il définit notamment des droits pour l’utilisateur et des obligations pour le détenteur des données, qui n’est pas automatiquement le seul fabricant présent sur l’installation.
Selon l’article 2 du règlement, l’utilisateur peut être propriétaire du produit, titulaire d’un droit temporaire d’usage ou bénéficiaire d’un service connexe. Un salarié qui manipule une machine n’est donc pas nécessairement l’utilisateur contractuel habilité à présenter une demande.
Pour illustrer cette distinction, imaginons qu’Atelier Noro exploite un four connecté et souscrive un service de suivi énergétique. Son contrat devrait identifier les mesures du four, leurs métadonnées et les informations nominatives des comptes opérateurs dans des catégories séparées.
Les catégories à cartographier :
- Mesures brutes, comme la température ou la consommation
- Métadonnées, notamment les unités, horaires et références des capteurs
- Données personnelles liées aux comptes et aux opérateurs
- Analyses déduites grâce à un traitement ou un algorithme propriétaire
Une valeur de température accompagnée d’une unité et d’un horodatage reste différente d’une prédiction de panne issue d’un algorithme complexe. Selon le considérant 15, certaines informations dérivées par des investissements supplémentaires peuvent relever d’un traitement distinct ; un simple prétraitement ne suffit toutefois pas à exclure automatiquement une donnée.
Tenir compte du calendrier et de la conception des produits
Cette cartographie doit aussi intégrer le calendrier réglementaire et les exclusions prévues par le texte. Le Data Act s’applique généralement depuis le 12 septembre 2025, tandis que l’obligation de conception prévue à l’article 3, paragraphe 1, concerne les produits et services mis sur le marché après le 12 septembre 2026.
Selon le règlement, certaines exclusions de l’article 7 concernent notamment des microentreprises ou petites entreprises dans les conditions prévues par le texte. La qualité de PME de l’acheteur ne suffit donc pas, à elle seule, à écarter ses droits.
Repères pour négocier l’annexe :
- Produit connecté et service connexe concernés
- Personnes habilitées à demander ou recevoir les fichiers
- Format, métadonnées, fréquence et durée de disponibilité
- Exclusions réglementaires vérifiées pour la situation considérée
Selon la CNIL, le règlement donne aux personnes qui possèdent ou utilisent un objet connecté un moyen d’accéder aux données générées par son usage. Une fois le périmètre établi, la rédaction doit préciser concrètement les modalités et les usages.
| Élément | Exemple pour Atelier Noro | Point à préciser au contrat |
|---|---|---|
| Produit | Four connecté F-12, hypothèse fictive | Référence et services associés |
| Mesure | Température et consommation | Unité, fréquence et période disponible |
| Métadonnée | Horodatage et capteur source | Documentation nécessaire à l’interprétation |
| Analyse | Prédiction de panne | Origine du calcul et statut à examiner |
Encadrer les usages, la confidentialité et le partage
Rédiger des droits d’accès réellement utilisables
Une fois les données définies, le contrat doit expliquer comment les obtenir. L’article 4, paragraphe 1, prévoit un accès sans retard injustifié, sécurisé et sans frais pour l’utilisateur, dans un format complet, structuré, couramment utilisé et lisible par machine, avec les métadonnées pertinentes.
Une capture d’écran peut donc se révéler insuffisante si l’entreprise a besoin d’exploiter les données dans son propre outil. Lorsque le continu ou le temps réel est pertinent et techniquement possible, les modalités d’accès doivent aussi en tenir compte.
Modalités d’export à négocier :
- Canal de transmission et personne de contact
- Format exploitable et documentation des champs
- Qualité comparable aux données utilisées par le détenteur
- Procédure de demande, de mise à jour et de résolution des incidents
Pour les données non personnelles facilement accessibles, l’article 4, paragraphe 13, impose un accord avec l’utilisateur sur leur utilisation. Atelier Noro pourrait autoriser le diagnostic des incidents et le suivi énergétique, tout en refusant une cession indéfinie à des partenaires.
La propriété des données ne répond pas à ces questions d’usage. Une annexe doit indiquer séparément ce que le fournisseur peut analyser, transmettre ou conserver ; une formule générale sur l’amélioration des services laisse trop de marge d’interprétation.
Organiser le partage avec un tiers choisi
Après l’accès direct, l’utilisateur peut demander que certaines données soient transmises à un tiers dans les conditions de l’article 5. Le contrat peut préciser la mission du destinataire sans transformer cette transmission en autorisation générale de revente.
Dans notre exemple, Atelier Noro choisit un bureau technique pour analyser la consommation du four. Le mandat peut limiter l’usage à cette étude, interdire le classement des salariés et prévoir l’effacement des données lorsque la mission prend fin, sauf accord applicable différent.
Contrôles avant transmission :
- Identité et rôle du destinataire désigné
- Finalité, période et catégories de données transmises
- Restrictions de retransmission et de réutilisation
- Mesures de confidentialité et preuve de suppression prévue
Selon les articles 8 et 9, les conditions de partage entre détenteur et tiers peuvent inclure une compensation encadrée. Cette relation ne doit pas être confondue avec l’accès de l’utilisateur, qui relève de règles distinctes.
Le règlement limite aussi les usages du destinataire : l’article 6 encadre notamment les finalités convenues et certaines retransmissions. Un service concurrent de maintenance ne correspond pas automatiquement au développement d’un produit connecté concurrent ; le contrat doit décrire l’activité réelle plutôt que s’appuyer sur une étiquette.
Protéger les données personnelles et préparer la fin du contrat
Distinguer données IoT et informations personnelles
Le partage des données IoT ne supprime pas les obligations du RGPD. Une série de mesures techniques peut devenir personnelle si ses horaires ou ses identifiants permettent de la relier à un salarié, même si son fichier ne contient aucun nom apparent.
Lorsque l’entreprise n’est pas la personne concernée, elle ne peut pas autoriser seule n’importe quel traitement nominatif. Les articles 4, paragraphe 12, et 5, paragraphe 7, renvoient à la nécessité d’un fondement valable au titre du RGPD et, le cas échéant, au respect des autres conditions applicables.
Le consentement n’est donc pas une formule à insérer systématiquement : la base juridique dépend du traitement envisagé. Il faut préciser les finalités, les destinataires, les rapprochements possibles, les durées de conservation et les mesures de cybersécurité.
Un accord de sous-traitance au titre de l’article 28 du RGPD ne donne pas, à lui seul, au fournisseur le droit de réutiliser les informations pour ses propres objectifs. Pour préserver la confidentialité, le contrat doit distinguer les traitements effectués pour le compte du client des usages indépendants du prestataire.
Vérifications sur les données personnelles :
- Risque de rattachement à une personne identifiable
- Base juridique et finalité documentées
- Destinataires et rapprochements raisonnablement prévisibles
- Mesures de sécurité et durée de conservation définies
Prévoir les secrets d’affaires et la portabilité des données
La protection des secrets d’affaires ne justifie pas de qualifier tout fichier de confidentiel sans distinction. Les articles 4 et 5 prévoient des garanties et des procédures encadrées ; un refus exceptionnel doit répondre aux conditions prévues et ne peut reposer sur une crainte abstraite.
Une annexe peut identifier les éléments réellement sensibles, limiter les destinataires, imposer un canal sécurisé et organiser des engagements de confidentialité. Ces précautions doivent protéger les informations sans neutraliser par principe l’accès aux mesures nécessaires à l’utilisateur.
La portabilité des données dépend aussi de leur qualité pratique : un fichier sans unité, horodatage interprétable ou description des capteurs peut être techniquement transmis mais inutilisable. L’interopérabilité exige donc des formats documentés et des données compréhensibles par les outils du client ou du tiers autorisé.
Enfin, le contrat doit répartir la clôture des accès, la récupération des fichiers utiles et l’effacement des copies. Pour le destinataire, l’article 6, paragraphe 1, prévoit la suppression lorsque les données ne sont plus nécessaires à la finalité convenue, sauf accord contraire concernant les données non personnelles.
| Enjeu | Question contractuelle | Mesure pratique |
|---|---|---|
| Secret d’affaires | Quels fichiers précis sont protégés ? | Accès limité et confidentialité ciblée |
| Données personnelles | Un opérateur peut-il être identifié ? | Examen RGPD avant transmission |
| Interopérabilité | L’export est-il interprétable ailleurs ? | Format documenté et métadonnées utiles |
| Fin de prestation | Qui conserve ou efface chaque copie ? | Responsable, délai et confirmation écrits |
Pour éviter les contradictions, confrontez l’annexe aux conditions générales : accès annoncé comme gratuit, mais export facturé ; tiers autorisé dans une clause, puis interdit dans une autre. Le Data Act rend non contraignantes pour l’utilisateur certaines clauses qui réduisent ses droits impératifs, sans entraîner automatiquement la nullité de tout le contrat.
Source : Règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 ; Commission nationale de l’informatique et des libertés, « Le règlement sur les données (Data Act) ».
