Data Governance Act : ce qu'il impose vraiment en 2026

Le Data Governance Act est probablement le seul règlement européen sur les données qui vous expose à une amende de 3 % du chiffre d’affaires mondial — et que Bruxelles prévoit d’abroger. Ces deux affirmations sont vraies en même temps, et c’est exactement ce qui rend le sujet mal traité. Voici ce que le texte impose aujourd’hui, à qui, et ce qu’il faut en faire compte tenu de l’omnibus données.

Ce que le Data Governance Act régule (et ce qu’il ne régule pas)

Le règlement (UE) 2022/868 du 30 mai 2022 portant sur la gouvernance européenne des données — dit Data Governance Act ou DGA — est applicable depuis le 24 septembre 2023. Il ne crée aucun droit d’accès aux données, contrairement à ce que son nom laisse croire. C’est un texte d’infrastructure : il organise la confiance dans le partage, sans obliger personne à partager quoi que ce soit.

Il faut le distinguer nettement du Data Act, qui, lui, crée de véritables droits d’accès sur les données des produits connectés et impose la portabilité des services cloud. Les deux textes sont souvent confondus, y compris par des juristes. J’ai résumé ailleurs les différences entre le Data Act et le RGPD ; la ligne de partage avec le DGA est encore plus simple : le Data Act dit qui peut exiger quoi, le DGA dit à quelles conditions on peut se poser en tiers de confiance.

Le règlement s’articule autour de quatre blocs indépendants :

Bloc	Articles	Qui est concerné
Réutilisation des données publiques protégées	Chapitre II (art. 3-9)	Organismes du secteur public et réutilisateurs
Services d’intermédiation de données	Chapitre III (art. 10-15)	Plateformes de partage, places de marché de données, coopératives
Altruisme en matière de données	Chapitre IV (art. 16-25)	Associations, fondations, consortiums de recherche
Accès et transferts internationaux	Art. 31	Détenteurs de données non personnelles en UE

La quasi-totalité des entreprises françaises n’est concernée par aucun de ces quatre blocs. Mais celles qui le sont ont une obligation déclarative préalable, avec un régulateur identifié et un barème de sanctions déjà en vigueur — ce qui n’est toujours pas le cas pour le régime national de sanctions du Data Act.

Bloc 1 : la réutilisation des données publiques protégées

Le chapitre II vise une catégorie précise : les données détenues par des organismes du secteur public qui ne relèvent pas de l’open data, parce qu’elles sont couvertes par le secret commercial, le secret statistique, des droits de propriété intellectuelle de tiers, ou parce qu’elles contiennent des données à caractère personnel.

Le point essentiel, souvent manqué : le DGA n’oblige pas un organisme public à autoriser la réutilisation. Il fixe les conditions à respecter s’il décide de le faire. Concrètement, l’organisme doit appliquer des conditions non discriminatoires, transparentes, proportionnées et objectivement justifiées, et ne peut pas accorder de droits exclusifs, sauf exceptions strictement encadrées.

Sur le plan technique, le règlement privilégie l’accès dans un environnement de traitement sécurisé contrôlé par l’organisme public, plutôt que la transmission d’un jeu de données. Quand la sécurisation passe par la pseudonymisation ou l’anonymisation, l’organisme reste tenu de vérifier que le résultat empêche effectivement la réidentification — un point sur lequel les réutilisateurs se montrent souvent trop optimistes.

Chaque État membre doit désigner des organismes compétents pour assister le secteur public et mettre en place un point d’information unique recensant les ressources disponibles. Ce dispositif recoupe partiellement le chapitre du Data Act sur l’accès du secteur public aux données privées, qui fonctionne dans l’autre sens : là, c’est l’administration qui réclame vos données.

Pour les données de santé, ce bloc a été largement absorbé par le règlement sur l’espace européen des données de santé, qui organise son propre régime d’accès secondaire avec ses propres organismes d’accès.

Bloc 2 : êtes-vous un service d’intermédiation de données ?

C’est le bloc qui crée une obligation immédiate et sanctionnable. L’article 10 vise trois catégories :

1. les services d’intermédiation entre détenteurs de données et utilisateurs potentiels de données ;
2. les services d’intermédiation entre, d’une part, les personnes concernées souhaitant mettre à disposition leurs données personnelles (ou des personnes physiques mettant à disposition des données non personnelles) et, d’autre part, des utilisateurs potentiels ;
3. les services de coopératives de données.

La deuxième catégorie mérite l’attention des acteurs français : elle couvre les « portefeuilles de données » et les services de gestion des données personnelles, y compris ceux qui s’appuient sur des mécanismes proches du droit à la portabilité de l’article 20 du RGPD ou sur des dispositifs d’identité numérique. La frontière avec le portefeuille européen d’identité numérique est mince et mérite d’être qualifiée dossier par dossier.

Le test en quatre questions

Dans mon expérience de conseil, quatre questions suffisent à trancher la majorité des cas :

1. Établissez-vous une relation commerciale entre des détenteurs de données et des utilisateurs de données ? Si votre plateforme met en relation deux populations distinctes autour d’un partage de données, le sujet se pose.
2. La donnée est-elle l’objet de la relation, ou son sous-produit ? Un SaaS qui traite les données de ses clients pour leur rendre un service n’est pas un intermédiaire. Le considérant du règlement exclut expressément les prestataires qui obtiennent des données, y ajoutent une valeur substantielle et les revendent pour leur propre compte : ceux-là sont des revendeurs, pas des intermédiaires.
3. Agissez-vous comme tiers neutre ? L’agrégateur qui exploite les données pour son propre compte sort du champ. Le tiers de confiance qui ne fait que faciliter l’échange y entre.
4. Êtes-vous établi en France, ou votre représentant légal l’est-il ? Si oui, l’Arcep est votre autorité de notification.

Sont exclus, notamment, les services qui portent exclusivement sur des contenus protégés par le droit d’auteur, ceux utilisés à titre exclusif par un seul détenteur, et les services de courtage exercés par des organismes publics sans mise en relation entre acteurs.

La notification à l’Arcep

Depuis la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (loi SREN), dont l’article 11 désigne l’Autorité comme régulateur du chapitre III du DGA, l’Arcep est l’autorité compétente en France. Les prestataires dont l’établissement principal ou le représentant légal se situe en France doivent lui soumettre une notification préalablement à l’exercice de leur activité, conformément à l’article 11 du règlement.

Trois précisions pratiques :

• Il s’agit d’une notification, pas d’une autorisation. L’Arcep délivre, dans un délai d’une semaine à compter d’une notification dûment complétée, une déclaration standardisée confirmant que le dossier contient les informations nécessaires. Vous n’attendez pas d’agrément.
• Toute modification des informations communiquées doit être notifiée sous 14 jours, et une cessation d’activité sous 15 jours.
• Les prestataires déjà actifs à l’entrée en vigueur du règlement ont bénéficié d’une période transitoire, aujourd’hui expirée. En 2026, il n’y a plus de zone grise : soit vous êtes notifié, soit vous êtes en infraction.

L’exercice de l’activité est ensuite subordonné au respect des conditions cumulatives de l’article 12. Les plus structurantes en pratique :

• La séparation de l’activité : le service d’intermédiation doit être exercé par une personne morale distincte des autres activités du groupe (art. 12, a). C’est la contrainte qui coûte le plus cher à mettre en œuvre, parce qu’elle impose une réorganisation juridique, pas seulement contractuelle.
• L’interdiction d’usage détourné : les données intermédiées ne peuvent pas être utilisées à d’autres fins que la fourniture du service. Les métadonnées ne peuvent servir qu’à améliorer ce service.
• La neutralité tarifaire : conditions équitables, transparentes, non discriminatoires, et interdiction de subordonner l’accès à l’usage d’un autre service.
• La défense de l’intérêt des personnes concernées : le prestataire doit agir dans leur intérêt, les informer des usages envisagés et mettre à leur disposition des outils de recueil et de retrait du consentement.
• La continuité et la sécurité : mesures de prévention des pratiques frauduleuses, garanties de continuité en cas d’insolvabilité, mesures techniques et organisationnelles adaptées, cohérentes avec celles qu’impose l’article 32 du RGPD.

Un prestataire notifié peut ensuite demander à l’Arcep de confirmer sa conformité pour utiliser le label « prestataire de services d’intermédiation de données reconnu dans l’Union », assorti d’un logo. La France a été le premier État membre à délivrer ce label, à deux acteurs : M-iTrust et Hub One DataTrust. Le marché reste étroit : une dizaine de notifications reçues par l’Arcep, quelques dizaines à l’échelle de l’Union. Autrement dit, le nombre d’acteurs objectivement dans le champ et non notifiés est probablement supérieur au nombre d’acteurs notifiés.

Bloc 3 : l’altruisme en matière de données, et pourquoi la CNIL est en jeu

L’altruisme en matière de données est la mise à disposition volontaire de données, sans contrepartie, pour des motifs d’intérêt général : recherche scientifique, santé publique, environnement, mobilité, statistique publique. Pour les données personnelles, elle repose sur le consentement des personnes concernées ; pour les données non personnelles, sur l’autorisation de leurs détenteurs.

Le DGA crée un statut facultatif : une entité peut demander son inscription au registre public national des « organisations altruistes en matière de données reconnues dans l’Union ». Les conditions tiennent en trois exigences : poursuivre des objectifs d’intérêt général, être constituée sans but lucratif pour cette activité, et l’exercer via une structure fonctionnellement indépendante de ses autres activités. S’y ajoutent de fortes obligations de transparence — tenue d’un registre des utilisations, rapport annuel d’activité — et d’information des personnes concernées.

En France, c’est la CNIL qui est l’autorité compétente, en vertu de l’article 31 de la loi SREN. Le choix est cohérent : l’altruisme repose sur le consentement, et le consentement est le terrain de la CNIL.

Deux pièges méritent d’être signalés.

Premier piège : l’altruisme n’est pas une base légale. Il ne figure pas à l’article 6(1) du RGPD et ne crée aucun régime dérogatoire. L’article 1(3) du DGA est explicite : le règlement s’applique sans préjudice du RGPD, et en cas de conflit, c’est le droit de la protection des données qui prévaut. Une organisation altruiste reste un responsable de traitement ordinaire, tenue de choisir une base légale valable, de respecter les conditions de l’article 7 sur le consentement, de tenir un registre des traitements au sens de l’article 30 et, le cas échéant, de conduire une analyse d’impact.

Second piège : le consentement large. Les projets altruistes portent presque toujours sur de la recherche, donc sur des finalités qui ne peuvent pas être entièrement décrites au moment de la collecte. Le RGPD tolère un certain degré de généralité dans ce contexte, et l’article 89 prévoit des garanties appropriées, mais la tolérance a des limites. Quand des données sensibles sont en jeu — c’est-à-dire dans la plupart des projets de santé —, il faut le consentement explicite de l’article 9(2)(a), et un consentement explicite à finalité floue est fragile par construction.

Le règlement prévoit un formulaire européen de consentement à l’altruisme (art. 25), pensé de façon modulaire pour être adapté par secteur. Tant qu’il n’est pas disponible dans une version opposable, la seule position défendable consiste à construire son recueil de consentement sur le standard RGPD, et non sur une anticipation du futur formulaire.

Bloc 4 : l’accès international aux données non personnelles

L’article 31 est le pendant, pour les données non personnelles, du dispositif que le RGPD organise pour les données personnelles. Il impose aux détenteurs de données non personnelles conservées dans l’Union de prendre des mesures raisonnables pour empêcher un transfert ou un accès gouvernemental d’un pays tiers qui entrerait en conflit avec le droit de l’Union ou le droit national.

La logique est celle de l’arrêt Schrems II transposée hors du champ des données personnelles : une décision d’une juridiction ou d’une autorité administrative d’un pays tiers n’est exécutoire que si elle repose sur un accord international en vigueur. À défaut, il faut passer par les canaux d’entraide.

En pratique, cela se traite au même endroit que les transferts hors UE et les clauses contractuelles types de l’article 46 : dans la revue contractuelle de vos fournisseurs cloud et dans vos contrats de sous-traitance. Séparer l’analyse « données personnelles » de l’analyse « données non personnelles » revient à faire deux fois le même travail.

Le régime de sanctions applicable en France

C’est le point qui distingue le DGA de la plupart des textes « données » récents : le régime national existe déjà.

Manquement	Autorité	Plafond
Obligations des prestataires d’intermédiation (chap. III)	Arcep	3 % du chiffre d’affaires mondial ou 150 000 €
Idem, en cas de réitération de la même obligation sous 5 ans	Arcep	5 % du chiffre d’affaires mondial ou 375 000 €
Obligations des organisations altruistes (chap. IV)	CNIL	10 M€ ou 2 % du chiffre d’affaires annuel mondial, radiation du registre, mise en demeure

L’article 12 de la loi SREN a doté l’Arcep de pouvoirs d’enquête, d’accès aux données, de contrôle et de sanction. L’article 31 a fait de même pour la CNIL sur le volet altruisme. La comparaison avec le Data Act est éclairante : deux ans après l’adoption du DGA, la France disposait déjà d’un régime répressif opérationnel, alors que le régime national de sanctions du Data Act n’est toujours pas adopté. Les sanctions du RGPD restent par ailleurs applicables en parallèle dès qu’un traitement de données personnelles est en cause : le DGA ne les absorbe pas.

L’omnibus données : le DGA va disparaître. Et alors ?

Le 19 novembre 2025, la Commission a présenté un paquet « omnibus numérique » couvrant à la fois l’IA et le droit des données. Le paquet a été scindé : le volet IA a été adopté, le volet données reste en négociation.

Ce volet données propose une consolidation radicale : abroger le DGA, la directive open data (UE) 2019/1024 et le règlement (UE) 2018/1807 sur la libre circulation des données non personnelles, et transférer leurs dispositions utiles dans le Data Act. Sur les blocs qui nous intéressent, la proposition prévoit notamment :

• l’enregistrement des prestataires d’intermédiation deviendrait volontaire et non plus obligatoire ;
• les conditions d’exercice seraient assouplies — une séparation fonctionnelle suffirait, au lieu de la séparation en personne morale distincte ;
• les registres nationaux d’intermédiaires et d’organisations altruistes seraient remplacés par un registre unique au niveau de l’Union ;
• côté altruisme, les lignes directrices nationales, le recueil de règles et les modèles de formulaire de consentement seraient supprimés.

Une adoption est envisagée autour de la fin 2026, pour une entrée en application probablement échelonnée en 2027-2028. Trois conséquences pratiques.

Un. Rien de tout cela n’est en vigueur. Le DGA s’applique intégralement aujourd’hui, avec ses sanctions. Une notification omise en 2026 ne sera pas régularisée rétroactivement par une réforme de 2028.

Deux. La direction de la réforme est un allègement, pas un durcissement. Cela change la stratégie : sur les investissements structurels lourds — typiquement la filialisation imposée par l’article 12(a) —, il est raisonnable de calibrer le calendrier plutôt que de tout engager immédiatement, à condition de documenter cet arbitrage.

Trois. L’obligation de notification, elle, coûte peu. Continuer à l’ignorer en pariant sur son abandon futur est un arbitrage à mauvais rendement : quelques heures de dossier contre un plafond de 3 % du chiffre d’affaires mondial.

Que faire concrètement

Une revue en cinq étapes, réalisable en une demi-journée pour la plupart des organisations :

1. Qualifier. Passez vos offres au test en quatre questions du bloc 2. Documentez la réponse par écrit, y compris — et surtout — quand elle est négative. Une qualification motivée est votre première ligne de défense en cas de contrôle.
2. Notifier. Si vous êtes dans le champ, la notification à l’Arcep se fait en ligne et l’accusé standardisé arrive sous une semaine. Il n’y a aucune raison de différer.
3. Auditer l’article 12. Séparation juridique, usage des métadonnées, tarification, outils de consentement, plan de continuité. C’est ici que se trouvent les vrais écarts.
4. Articuler avec le RGPD. Le DGA ne remplace rien : registre, bases légales, durées de conservation, transferts hors UE, sécurité. Un audit RGPD à jour couvre déjà 80 % du travail. C’est précisément ce type de cartographie transverse — un traitement, plusieurs règlements — que Legiscope automatise.
5. Suivre l’omnibus. Le volet données est en négociation ; la version finale peut différer sensiblement de la proposition de novembre 2025.

Enfin, si vous manipulez des données publiques réutilisées ou des jeux de données issus du web, vérifiez en parallèle votre conformité en matière de collecte automatisée : le DGA ne légalise aucune collecte qui ne le serait pas déjà, et les données synthétiques ne sont pas une échappatoire universelle.

Recevez nos analyses conformité chaque semaine. Data Act, DGA, AI Act, NIS2 : je décrypte les textes et leurs implications pratiques, sans jargon inutile. Inscrivez-vous à la newsletter.

Ce qu’il faut retenir

• Le DGA (règlement (UE) 2022/868) est applicable depuis le 24 septembre 2023. Il n’ouvre aucun droit d’accès aux données : il encadre la réutilisation des données publiques protégées, les services d’intermédiation, l’altruisme et l’accès international aux données non personnelles.
• Si vous exploitez un service d’intermédiation de données depuis la France, la notification préalable à l’Arcep est obligatoire (art. 11), et l’activité est soumise aux conditions cumulatives de l’article 12 — dont l’exercice via une personne morale distincte.
• Le régime français de sanctions est déjà en vigueur : jusqu’à 3 % du chiffre d’affaires mondial ou 150 000 € (Arcep, intermédiation), porté à 5 % ou 375 000 € en cas de réitération sous cinq ans ; jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les organisations altruistes (CNIL).
• Le DGA ne déroge en rien au RGPD : l’article 1(3) fait prévaloir le droit de la protection des données en cas de conflit. L’altruisme n’est pas une base légale.
• L’omnibus données propose d’abroger le DGA et d’en transférer la substance dans le Data Act, avec un enregistrement devenu volontaire. Rien n’est adopté : le texte actuel reste pleinement opposable en 2026.

FAQ

Quelle différence entre le Data Governance Act et le Data Act ?

Le DGA organise la confiance dans le partage de données — statut des intermédiaires, altruisme, réutilisation des données publiques protégées — sans créer de droit d’accès. Le Data Act crée de véritables droits : accès de l’utilisateur aux données de son produit connecté, partage B2B, portabilité cloud. Le premier fixe les règles du jeu, le second distribue les cartes.

Mon SaaS est-il un service d’intermédiation de données ?

Dans l’immense majorité des cas, non. Un éditeur qui traite les données de son client pour lui rendre un service agit comme sous-traitant au sens de l’article 28 du RGPD, pas comme tiers de confiance entre deux populations distinctes. La qualification d’intermédiaire suppose une mise en relation entre des détenteurs et des utilisateurs de données, la donnée étant l’objet même de la relation. En cas de doute, formalisez l’analyse par écrit.

Le DGA s’applique-t-il aux données non personnelles seulement ?

Non, il couvre les deux. Certains blocs visent spécifiquement les données personnelles (l’intermédiation au bénéfice des personnes concernées, l’altruisme fondé sur le consentement), d’autres exclusivement les données non personnelles (l’article 31 sur l’accès international). Quand des données personnelles sont en cause, le RGPD s’applique en totalité et prévaut en cas de conflit.

Faut-il attendre l’omnibus avant de se mettre en conformité ?

Non pour la notification, qui coûte quelques heures et évite un plafond de sanction à 3 % du chiffre d’affaires mondial. La question se pose différemment pour les investissements structurels comme la filialisation de l’activité d’intermédiation, que la réforme envisage d’assouplir. Dans ce cas, calibrez le calendrier et documentez l’arbitrage — l’obligation reste, elle, pleinement en vigueur.

---

Thiébaut Devergranne est docteur en droit, spécialisé en droit des nouvelles technologies depuis plus de 20 ans, dont 6 années passées au sein des services du Premier ministre (SGDN/DCSSI). Il est le fondateur de donneespersonnelles.fr et de Legiscope.