Data Act : l'accès du secteur public à vos données

Cinq jours ouvrables. C’est le délai dont vous disposez pour décliner une demande d’accès à vos données émanant d’un organisme public en situation d’urgence publique. Passé ce terme, l’obligation de transmettre devient inconditionnelle — et le chapitre V du Data Act fait partie des trois seuls chapitres du règlement dont la violation expose au plafond de l’article 83(5) du RGPD : 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Applicable depuis le 12 septembre 2025, ce mécanisme reste absent de la quasi-totalité des procédures internes que j’ai auditées cette année.

Ce que le chapitre V oblige réellement

L’article 14 du règlement (UE) 2023/2854 pose une règle simple dans son énoncé, redoutable dans ses effets : lorsqu’un organisme du secteur public, la Commission, la Banque centrale européenne ou un organe de l’Union démontre un besoin exceptionnel d’utiliser certaines données, y compris les métadonnées nécessaires pour les interpréter, afin d’accomplir ses missions légales d’intérêt public, les détenteurs de données qui sont des personnes morales — autres que des organismes du secteur public — mettent ces données à disposition sur demande dûment motivée.

Trois éléments méritent d’être isolés dès la lecture de cet article.

D’abord, le texte ne vise que les personnes morales. Un entrepreneur individuel ou une personne physique détentrice de données n’entre pas dans le champ du chapitre V.

Ensuite, l’obligation n’est pas conditionnée à la nature des données. Contrairement au chapitre II relatif aux produits connectés, le chapitre V ne se limite pas aux données de produits et de services connexes. Toute donnée sur laquelle vous exercez un contrôle peut faire l’objet d’une demande : données d’exploitation, données logistiques, données de trafic, données commerciales agrégées.

Enfin, et c’est le point le plus mal compris, il ne s’agit pas d’un pouvoir de réquisition. L’organisme demandeur supporte une charge de démonstration substantielle, et le règlement vous donne les moyens de la contrôler. La question opérationnelle n’est donc pas « puis-je refuser ? », mais « la demande que je viens de recevoir remplit-elle les conditions ? ».

Les deux voies d’accès : urgence publique et mission d’intérêt public

L’article 15 enferme le « besoin exceptionnel » dans deux hypothèses limitativement énumérées, aux régimes très différents. Le premier réflexe, à la réception d’une demande, consiste à identifier sur laquelle des deux elle se fonde — car tout le reste en découle : le périmètre des données mobilisables, le délai de réponse, et la gratuité ou non de la mise à disposition.

	Voie A — Urgence publique (art. 15(1)(a))	Voie B — Mission d’intérêt public (art. 15(1)(b))
Condition de fond	Données nécessaires pour répondre à une urgence publique	Données spécifiques dont l’absence empêche l’accomplissement d’une mission d’intérêt public expressément prévue par la loi
Subsidiarité exigée	Impossibilité d’obtenir les données par d’autres moyens en temps utile et de manière efficace, à des conditions équivalentes	Épuisement de tous les autres moyens : achat sur le marché au prix du marché, obligations de mise à disposition existantes, adoption de nouvelles mesures législatives
Nature des données	Données non personnelles et, si insuffisant, données personnelles pseudonymisées	Données non personnelles exclusivement
Micro et petites entreprises	Dans le champ	Hors du champ (art. 15(2))
Délai pour décliner ou faire modifier	5 jours ouvrables	30 jours ouvrables
Compensation	Gratuit, sauf micro et petites entreprises	Compensation équitable due

La notion d’urgence publique n’est pas laissée à l’appréciation du demandeur. L’article 2, point 30), la définit comme une situation exceptionnelle et limitée dans le temps — urgence de santé publique, catastrophe naturelle, catastrophe majeure d’origine humaine dont un incident de cybersécurité majeur — affectant négativement la population de l’Union ou d’un État membre, et déterminée ou officiellement déclarée conformément aux procédures prévues par le droit de l’Union ou le droit national. L’exigence de déclaration officielle est un point de contrôle précieux : en l’absence d’acte formel identifiable, la voie A est fermée, et avec elle le délai raccourci de cinq jours.

La voie B, elle, exige que la mission d’intérêt public soit « expressément prévue par la loi ». Le règlement cite deux exemples : la production de statistiques officielles, et l’atténuation d’une urgence publique ou le rétablissement après celle-ci. L’article 17(1)(h) impose d’ailleurs au demandeur d’indiquer la disposition légale qui lui attribue cette mission. Une demande qui se contente d’invoquer une compétence générale ne satisfait pas cette exigence.

Une exception mérite d’être signalée pour les statisticiens publics : l’article 15(3) dispense l’organisme demandeur de démontrer qu’il n’a pas pu acheter les données sur le marché lorsque la mission consiste à produire des statistiques officielles et que le droit national interdit un tel achat.

Micro et petites entreprises : une exclusion partielle, souvent surinterprétée

L’article 15(2) écarte les micro et petites entreprises du seul point b) du paragraphe 1. La lecture inverse s’impose : elles restent pleinement soumises à la voie A, celle de l’urgence publique. Une PME de trente salariés opérant un réseau de capteurs environnementaux peut donc recevoir une demande fondée sur l’article 15(1)(a) et devra y répondre dans les cinq jours ouvrables.

La contrepartie figure à l’article 20. Son paragraphe 1 impose la gratuité aux détenteurs « autres que les micro et petites entreprises » ; son paragraphe 3 précise que ces dernières peuvent réclamer une compensation. Autrement dit : obligation identique, mais mise à disposition facturable.

Taille de l’entreprise	Voie A (urgence publique)	Voie B (mission d’intérêt public)
Micro entreprise (< 10 salariés, ≤ 2 M€)	Obligée — compensation possible	Hors du champ
Petite entreprise (< 50 salariés, ≤ 10 M€)	Obligée — compensation possible	Hors du champ
Entreprise moyenne et au-delà	Obligée — gratuit	Obligée — compensation équitable due

Les seuils sont ceux de la recommandation 2003/361/CE, à laquelle le Data Act renvoie. Le calcul se fait en consolidant les entreprises liées et partenaires : une filiale de dix salariés détenue par un groupe de cinq mille ne sera pas une petite entreprise au sens du texte.

La grille de contrôle de l’article 17 : dix mentions obligatoires

C’est ici que se joue l’essentiel du travail juridique. L’article 17(1) impose au demandeur dix mentions, et l’article 17(2) neuf exigences de forme et de fond. Une demande incomplète ouvre un motif de refus autonome au titre de l’article 18(2)©.

Voici la grille que je recommande d’appliquer, point par point, dès la réception :

#	Exigence (art. 17(1))	Ce que vous vérifiez concrètement
a	Spécification des données requises, métadonnées incluses	Le périmètre est-il défini par catégories identifiables, ou par une formule ouverte du type « toutes les données relatives à » ?
b	Démonstration des conditions de l’article 15	Acte de déclaration d’urgence cité ? Preuve de l’épuisement des autres moyens ?
c	Finalité, usage prévu, durée de cet usage	La durée est-elle bornée ? Un usage indéterminé ne satisfait pas le texte
d	Date prévisible d’effacement par toutes les parties	Mention présente, même approximative ?
e	Justification du choix du détenteur sollicité	Pourquoi vous, et pas un concurrent ou une source publique ?
f	Identité des autres organismes et tiers destinataires	Liste nominative, ou renvoi vague à « les services concernés » ?
g	Mesures techniques de protection si données personnelles	Pseudonymisation prévue ? Anonymisation possible en amont par vos soins ?
h	Disposition légale attribuant la mission d’intérêt public	Référence précise à un texte, ou invocation d’une compétence générale ?
i	Délai de mise à disposition et délai de l’article 18(2)	Le demandeur doit vous rappeler votre propre délai pour décliner
j	Efforts pour éviter d’engager votre responsabilité	Le demandeur a-t-il anticipé vos autres obligations légales ?

L’article 17(2) ajoute des exigences de forme qui constituent autant de points de contrôle : demande écrite, en langage clair et compréhensible pour le détenteur ; spécifique quant au type de données et correspondant à des données que vous contrôlez au moment de la demande ; proportionnée quant à la granularité, au volume et à la fréquence d’accès ; respectueuse de vos objectifs légitimes, dont la protection des secrets d’affaires ; portant sur des données non personnelles d’abord, les données personnelles pseudonymisées ne pouvant être demandées que si l’insuffisance des premières est démontrée ; et vous informant des sanctions encourues au titre de l’article 40.

Deux mécanismes de transparence méritent une attention particulière. L’article 17(2)(g) impose qu’une demande émanant d’un organisme du secteur public soit transmise au coordinateur de données de l’État membre où cet organisme est établi, lequel la publie en ligne sans retard injustifié — sauf risque pour la sécurité publique. L’article 17(2)(i) impose, lorsque des données personnelles sont demandées, une notification à l’autorité de contrôle RGPD de l’État membre concerné, soit la CNIL en France. Ces deux canaux vous donnent des moyens de vérification externes : une demande qui n’a jamais été publiée alors qu’elle aurait dû l’être est une demande fragile.

Recevez nos analyses conformité chaque semaine. Data Act, RGPD, AI Act, NIS2 : les textes s’empilent et leurs mécanismes procéduraux se ressemblent rarement. Décryptages écrits par un docteur en droit, sans jargon inutile — inscrivez-vous à la newsletter.

Cinq jours ou trente : construire le réflexe procédural

L’article 18(1) pose le principe : le détenteur met les données à disposition sans retard injustifié, en tenant compte des mesures techniques, organisationnelles et juridiques nécessaires.

L’article 18(2) ouvre la fenêtre de contestation. Vous pouvez décliner la demande ou en solliciter la modification sans retard injustifié et, en tout état de cause, au plus tard cinq jours ouvrables après réception s’il s’agit de données nécessaires pour répondre à une urgence publique, trente jours ouvrables dans les autres cas de besoin exceptionnel.

Les motifs sont limitativement énumérés — il n’y en a que trois :

• (a) vous n’exercez pas de contrôle sur les données demandées ;
• (b) une demande similaire, pour la même finalité, a déjà été présentée par un autre organisme public, la Commission, la BCE ou un organe de l’Union, et vous n’avez pas été informé de l’effacement des données au titre de l’article 19(1)© ;
• © la demande ne satisfait pas aux conditions des paragraphes 1 et 2 de l’article 17.

Le motif © est celui qui compte en pratique : il transforme la grille de l’article 17 en outil de défense. Notez que le motif (b) s’accompagne d’une obligation à sens unique — l’article 18(3) vous impose, si vous l’invoquez, d’indiquer l’identité de l’organisme qui avait présenté la demande antérieure.

Il n’existe aucun motif tiré du coût, de la charge de travail ou de la sensibilité commerciale. Le secret des affaires, en particulier, n’est pas un motif de refus au sens de l’article 18(2) : il ouvre un régime de protection distinct, décrit plus bas.

Le playbook J+0 à J+5

Cinq jours ouvrables, pour une demande qui arrive souvent par un canal non prévu — une boîte générique, un service juridique en congé, un accusé de réception qui traîne. Voici le déroulé que je recommande de formaliser avant la première demande, pas après.

J+0 — Réception et horodatage. Enregistrer la demande dans un registre dédié, horodater la réception, identifier immédiatement la voie invoquée (art. 15(1)(a) ou (b)). Le délai court à compter de la réception : cette date doit être incontestable.

J+1 — Contrôle de recevabilité. Passer la demande à la grille de l’article 17, point par point. Vérifier l’existence de l’acte de déclaration d’urgence si la voie A est invoquée. Vérifier la publication en ligne par le coordinateur de données. Vérifier, si des données personnelles sont visées, que la CNIL a été notifiée.

J+2 et J+3 — Cadrage technique. Localiser les données, confirmer que vous en avez le contrôle, identifier les secrets d’affaires et les marquer dans les métadonnées, évaluer la faisabilité d’une anonymisation. Cette étape est la plus longue, et c’est celle qui échoue quand la cartographie des traitements n’est pas à jour. Une entreprise qui ne sait pas où sont ses données ne tiendra pas le délai — c’est le type d’inventaire que Legiscope maintient à jour en continu.

J+4 — Décision et rédaction. Trois issues possibles : transmission, demande de modification, refus motivé. La demande de modification est très souvent la bonne réponse : elle préserve la coopération, purge les irrégularités et fait courir un nouveau délai sur la demande corrigée.

J+5 — Envoi et conservation. Transmettre la réponse par un canal traçable, archiver l’intégralité du dossier : demande initiale, grille de contrôle renseignée, avis interne, réponse, accusé de réception.

En cas de désaccord persistant, l’article 18(5) prévoit que l’affaire est portée devant l’autorité compétente désignée au titre de l’article 37 de l’État membre où le détenteur est établi — sujet sur lequel la France accuse un retard que je détaille en fin d’article.

Données personnelles : anonymiser d’abord, pseudonymiser ensuite

L’article 18(4) énonce une hiérarchie qu’il faut lire littéralement : lorsque les données demandées comportent des données à caractère personnel, le détenteur les anonymise correctement, sauf si la réponse à la demande exige la divulgation de données personnelles — auquel cas il les pseudonymise.

L’anonymisation n’est donc pas une faculté : c’est le régime de principe. Et la charge en pèse sur vous, ce qui suppose de savoir la conduire correctement. Une pseudonymisation présentée comme une anonymisation reste un traitement de données personnelles, avec toutes les conséquences qui s’y attachent — la distinction est développée dans notre analyse de la pseudonymisation et de l’anonymisation au sens du RGPD, et la méthode dans notre guide pour anonymiser des données personnelles.

Trois conséquences pratiques, côté RGPD, sont systématiquement omises :

La base légale. La transmission constitue un traitement au sens du RGPD. Lorsque la demande est régulière, elle repose sur une obligation légale à laquelle le responsable de traitement est soumis, au sens de l’article 6(1)© du RGPD : le Data Act fournit ici la norme externe exigée par l’article 6(3). Si la demande est irrégulière, cette base s’effondre — et vous devenez responsable d’une communication sans base légale.

Le registre. La transmission doit être documentée. Une entrée dédiée dans le registre des activités de traitement au titre de l’article 30 du RGPD, mentionnant la catégorie de destinataires et la durée de conservation, constitue la trace la plus solide en cas de contrôle ultérieur.

L’information des personnes. Lorsque les données sont communiquées à un destinataire nouveau, l’article 14 du RGPD et les exigences de transparence de l’article 5(1)(a) trouvent à s’appliquer, sous réserve des exceptions applicables. La question mérite d’être tranchée explicitement dans le dossier, pas laissée en suspens.

L’articulation générale entre les deux règlements — priorité du RGPD en cas de conflit, périmètres distincts, autorités différentes — est traitée dans notre comparaison des différences entre Data Act et RGPD et opérationnalisée dans la checklist de double conformité.

Secrets d’affaires : une protection réelle, mais conditionnelle

L’article 19(3) pose une règle de stricte nécessité : la divulgation de secrets d’affaires à un organisme public n’est requise que dans la mesure strictement nécessaire à la finalité de la demande. Le texte met alors deux obligations en miroir.

Côté détenteur — ou côté titulaire du secret lorsque les deux ne se confondent pas — : identifier les données protégées, y compris dans les métadonnées. Cette exigence technique n’a rien d’anecdotique. Un secret d’affaires non identifié dans les métadonnées au moment de la transmission est un secret que vous aurez du mal à faire valoir ensuite.

Côté organisme public : prendre, préalablement à la divulgation, toutes les mesures techniques et organisationnelles nécessaires pour préserver la confidentialité, y compris le recours à des clauses contractuelles types, des normes techniques et des codes de conduite.

À cela s’ajoute la protection de l’article 19(2), qui interdit à l’organisme destinataire — et aux tiers qui recevraient les données — d’utiliser ces données ou les informations qu’elles révèlent sur votre situation économique, vos actifs ou vos méthodes de production pour développer ou améliorer un produit connecté ou un service connexe concurrent, ni de les partager avec un tiers à cette fin.

Le régime de refus fondé sur le secret des affaires est en revanche propre au chapitre II et ne se transpose pas ici : notre article sur le Data Act et le secret des affaires détaille cette différence, qui est une source fréquente d’erreur de qualification.

La compensation : gratuite en urgence, facturable sinon

L’article 20 organise un régime à deux vitesses, calqué sur la distinction des deux voies d’accès.

En cas d’urgence publique (art. 15(1)(a)), la mise à disposition est gratuite pour tous les détenteurs autres que les micro et petites entreprises. Le règlement prévoit une contrepartie symbolique mais utile : l’organisme destinataire doit, à votre demande, procéder à une reconnaissance publique de votre contribution. C’est une disposition peu connue, et un levier de communication qu’il serait dommage de laisser passer.

Dans le cas de la mission d’intérêt public (art. 15(1)(b)), vous avez droit à une compensation équitable. Son assiette est définie par le texte : elle couvre les coûts techniques et organisationnels supportés pour répondre à la demande, y compris, le cas échéant, les coûts d’anonymisation, de pseudonymisation, d’agrégation et d’adaptation technique, ainsi qu’une marge raisonnable. Sur demande de l’organisme public, vous devez fournir les éléments de calcul des coûts et de la marge.

Situation	Compensation
Urgence publique, entreprise moyenne ou grande	Gratuit (+ reconnaissance publique sur demande)
Urgence publique, micro ou petite entreprise	Compensation équitable (art. 20(3))
Mission d’intérêt public	Compensation équitable : coûts + marge raisonnable
Statistiques officielles, achat interdit par le droit national	Aucune compensation (art. 20(4))

L’exception de l’article 20(4) est étroite mais réelle : lorsque la mission consiste à produire des statistiques officielles et que le droit national interdit l’achat de données, aucune compensation n’est due. Les États membres doivent notifier à la Commission les cas où leur droit interne prohibe cet achat.

Enfin, le désaccord sur le montant ne bloque pas la mise à disposition : l’article 20(5) prévoit que l’organisme public peut saisir l’autorité compétente de l’article 37 de l’État où le détenteur est établi. La pratique à retenir est donc de transmettre et facturer, en documentant précisément la méthode de calcul, plutôt que de subordonner la transmission à un accord préalable sur le prix.

Ce que l’organisme public n’a pas le droit de faire

Le chapitre V n’est pas à sens unique. L’article 19(1) impose au destinataire trois obligations dont vous êtes fondé à exiger le respect :

• ne pas utiliser les données d’une manière incompatible avec la finalité pour laquelle elles ont été demandées ;
• avoir mis en œuvre des mesures techniques et organisationnelles préservant la confidentialité et l’intégrité des données ainsi que la sécurité des transferts — une exigence dont l’esprit rejoint celle de l’article 32 du RGPD et qui suppose, côté public, une gestion rigoureuse des habilitations ;
• effacer les données dès qu’elles ne sont plus nécessaires à la finalité déclarée, et vous en informer sans retard injustifié, sauf obligation d’archivage au titre du droit d’accès aux documents administratifs.

Cette notification d’effacement n’est pas une formalité : elle conditionne votre capacité à invoquer le motif de refus de l’article 18(2)(b) lors d’une demande ultérieure portant sur la même finalité. Un registre des demandes reçues, avec suivi des notifications d’effacement, est donc un outil défensif direct.

L’article 17(3) ajoute une restriction structurante : les données obtenues au titre du chapitre V ne peuvent pas être mises à disposition pour réutilisation au sens du règlement (UE) 2022/868 (Data Governance Act) ou de la directive (UE) 2019/1024 sur les données ouvertes. Vos données ne basculeront donc pas dans l’open data par ce canal — une inquiétude fréquente et infondée.

Des échanges restent possibles entre organismes publics ou avec un tiers délégataire de fonctions d’inspection technique, mais l’article 17(4) les encadre : ils doivent avoir été annoncés dans la demande initiale au titre du point f), les obligations de l’article 19 s’imposent au tiers, et vous devez être notifié sans retard injustifié. Si vous estimez que vos droits ont été méconnus par cette transmission, l’article 17(5) vous ouvre une réclamation devant l’autorité compétente.

Le cas particulier de la recherche et des statistiques

L’article 21 autorise l’organisme public à partager les données reçues avec des personnes ou organisations menant des recherches scientifiques ou des analyses compatibles avec la finalité initiale, ainsi qu’avec les instituts nationaux de statistique et Eurostat pour la production de statistiques officielles.

Les garde-fous sont substantiels. Les bénéficiaires doivent agir à but non lucratif ou dans le cadre d’une mission d’intérêt public reconnue par le droit ; sont exclues les organisations sur lesquelles des entreprises commerciales exercent une influence significative susceptible de leur ouvrir un accès préférentiel aux résultats. Ils sont soumis aux mêmes obligations que l’organisme public au titre des articles 17(3) et 19. Ils peuvent en revanche conserver les données jusqu’à six mois après l’effacement par l’organisme public — dérogation expresse à l’article 19(1)©.

Surtout, l’article 21(5) impose une notification préalable détaillée au détenteur : identité et coordonnées du bénéficiaire, finalité, durée d’utilisation, mesures de protection technique et organisationnelle. En cas de désaccord, vous pouvez saisir l’autorité compétente. Le traitement à des fins de recherche scientifique ou statistique relève par ailleurs, s’agissant de données personnelles, des garanties de l’article 89 du RGPD.

Le maillon manquant en France : l’autorité compétente

Tout ce qui précède suppose une autorité de recours identifiée. L’article 37 du Data Act impose à chaque État membre de désigner une ou plusieurs autorités compétentes et, en cas de pluralité, un coordinateur de données. La France ne l’a pas encore fait.

Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE), déposé au Sénat le 10 novembre 2025, désigne l’Arcep comme autorité compétente au titre de l’article 37 et lui confère des pouvoirs d’enquête, de sanction et de règlement des différends. Le Sénat l’a adopté en première lecture le 18 février 2026 ; le texte a été transmis à l’Assemblée nationale le 20 février 2026, où il était encore en instance à la mi-août 2026. La CNIL conserve sa compétence pour les aspects relatifs aux données personnelles, en application de l’article 37(3).

Les conséquences pratiques de ce retard sont directes et méritent d’être anticipées :

• le canal de publication en ligne des demandes par le coordinateur de données, prévu à l’article 17(2)(g), n’est pas opérationnel en France ;
• les voies de recours des articles 17(5), 18(5) et 20(5) n’ont pas de destinataire désigné ;
• le régime national de sanctions de l’article 40(1) n’existe pas encore — mais l’exposition au titre de l’article 40(4), par renvoi à l’article 83 du RGPD, est quant à elle pleinement effective pour le chapitre V, comme l’analyse notre article sur les sanctions du Data Act.

Ma recommandation est simple : constituer et dater systématiquement le dossier, y compris les contestations que vous ne pouvez pas encore porter devant une autorité. Le jour où la désignation interviendra, un dossier daté vaudra bien mieux qu’une reconstitution a posteriori.

Ce qu’il faut retenir

• Deux voies, deux régimes. Urgence publique (art. 15(1)(a)) : 5 jours ouvrables pour décliner, données personnelles pseudonymisées possibles, gratuité. Mission d’intérêt public (art. 15(1)(b)) : 30 jours ouvrables, données non personnelles seulement, compensation équitable due. Identifier la voie invoquée est le premier réflexe.
• Trois motifs de refus, et trois seulement (art. 18(2)) : absence de contrôle sur les données, demande similaire antérieure non suivie d’effacement, non-conformité aux exigences de l’article 17. Ni le coût, ni la charge de travail, ni le secret des affaires ne constituent des motifs de refus autonomes.
• La grille de l’article 17 est votre principal outil de défense. Dix mentions obligatoires au paragraphe 1, neuf exigences de forme au paragraphe 2. Une demande incomplète est contestable au titre de l’article 18(2)©.
• Les micro et petites entreprises ne sont exclues que de la voie B. Elles restent soumises à l’urgence publique — mais peuvent réclamer une compensation là où les autres doivent transmettre gratuitement (art. 20(1) et 20(3)).
• Anonymiser est le principe, pseudonymiser l’exception (art. 18(4)). Et la charge pèse sur le détenteur, ce qui suppose une méthode maîtrisée et documentée.
• Identifier les secrets d’affaires dans les métadonnées avant toute transmission (art. 19(3)). Non identifiés, ils seront difficiles à faire valoir ensuite.
• La France n’a toujours pas désigné son autorité compétente. Le DDADUE prévoit l’Arcep ; le texte était encore devant l’Assemblée nationale à la mi-août 2026. L’exposition au plafond de l’article 83(5) du RGPD est pourtant, elle, déjà effective.

FAQ

Un organisme public peut-il exiger mes données sans justification particulière ?

Non. L’article 14 subordonne l’obligation à une demande dûment motivée et à la démonstration d’un besoin exceptionnel au sens de l’article 15. L’article 17 énumère dix mentions obligatoires, dont la démonstration que les conditions de l’article 15 sont réunies et l’indication de la disposition légale attribuant la mission d’intérêt public. Une demande qui ne satisfait pas ces exigences peut être déclinée au titre de l’article 18(2)©.

Quel est le délai exact pour refuser une demande d’accès ?

Cinq jours ouvrables à compter de la réception lorsque les données sont nécessaires pour répondre à une urgence publique, trente jours ouvrables dans les autres cas de besoin exceptionnel (art. 18(2)). Ces délais valent aussi bien pour un refus que pour une demande de modification de la demande. La date de réception doit être horodatée de manière incontestable : c’est elle qui fait courir le délai.

Puis-je facturer la mise à disposition des données ?

Cela dépend de la voie invoquée. En cas d’urgence publique, la mise à disposition est gratuite, sauf si vous êtes une micro ou une petite entreprise (art. 20(1) et 20(3)). Dans le cas d’une mission d’intérêt public, une compensation équitable est due : coûts techniques et organisationnels, y compris anonymisation, pseudonymisation, agrégation et adaptation technique, plus une marge raisonnable (art. 20(2)). Une exception existe pour les statistiques officielles lorsque le droit national interdit l’achat de données (art. 20(4)).

Mes données peuvent-elles finir en open data ?

Non, pas par ce canal. L’article 17(3) interdit expressément la mise à disposition pour réutilisation au sens du Data Governance Act (règlement (UE) 2022/868) et de la directive (UE) 2019/1024 sur les données ouvertes. Ces deux textes ne s’appliquent pas aux données détenues par les organismes publics au titre du chapitre V. Des échanges entre organismes publics restent possibles, mais uniquement s’ils ont été annoncés dans la demande initiale et avec notification au détenteur (art. 17(4)).

À qui m’adresser en cas de litige avec un organisme public en France ?

À ce jour, à aucune autorité désignée : la France n’a pas encore transposé l’article 37 du Data Act. Le projet de loi DDADUE prévoit de confier ce rôle à l’Arcep, avec maintien de la compétence de la CNIL pour les données personnelles ; le texte était encore en instance devant l’Assemblée nationale à la mi-août 2026. Il est recommandé de constituer et de dater le dossier de contestation au moment des faits, pour le porter dès la désignation publiée. Notre guide du Data Act et notre calendrier d’application suivent l’évolution de ce point.