Sanctions Data Act : le régime applicable en France

Le Data Act est applicable depuis le 12 septembre 2025. À la même date, chaque État membre devait avoir notifié à la Commission son régime de sanctions. Dix mois et demi plus tard, la France ne l’a toujours pas fait : le texte censé le porter est encore en navette parlementaire. Cela ne signifie pas qu’aucune sanction n’est encourue — c’est même l’inverse qui mérite d’être compris.

Ce que le Data Act sanctionne, et ce qu’il ne sanctionne pas lui-même

Le règlement (UE) 2023/2854 adopte une architecture répressive à trois étages, très différente de celle du RGPD. Confondre ces étages est la principale source d’erreur dans l’appréciation du risque.

Le premier étage est un renvoi au droit national. L’article 40(1) impose aux États membres de « déterminer le régime des sanctions applicables aux violations du présent règlement » et de prendre toute mesure nécessaire pour en assurer la mise en œuvre. Ces sanctions doivent être « effectives, proportionnées et dissuasives ». Le règlement ne fixe ni plafond, ni barème, ni grille de calcul. C’est le même choix de conception que celui retenu pour DORA, et l’opposé de celui du RGPD.

Le deuxième étage est un renvoi direct au RGPD, et c’est le seul endroit où le Data Act affiche un montant. L’article 40(4) prévoit que, pour les manquements aux obligations des chapitres II, III et V, les autorités de contrôle chargées du RGPD — la CNIL en France — peuvent, dans les limites de leur compétence, infliger des amendes administratives conformément à l’article 83 du RGPD, à hauteur du plafond de l’article 83(5) : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. L’article 40(5) prévoit un mécanisme symétrique confié au Contrôleur européen de la protection des données pour le chapitre V, sur le fondement de l’article 66 du règlement (UE) 2018/1725 et dans la limite du montant visé à son article 66(3).

Le troisième étage n’est pas une sanction administrative du tout : c’est la sanction civile. L’article 13 frappe de non-opposabilité les clauses contractuelles abusives imposées unilatéralement à une autre entreprise. Aucune amende n’est prononcée : la clause est simplement privée d’effet. C’est un mécanisme redoutablement efficace, parce qu’il joue sans intervention d’une autorité et qu’il peut être soulevé par le cocontractant devant le juge.

Le périmètre exact du renvoi à l’article 83 du RGPD

La lecture précise de l’article 40(4) est déterminante, car elle délimite la seule exposition chiffrée aujourd’hui certaine. Trois chapitres seulement sont visés :

Chapitre	Objet	Articles
II	Partage de données B2C et B2B issues des produits connectés	Art. 3 à 7
III	Obligations des détenteurs tenus de mettre des données à disposition en vertu du droit de l’Union	Art. 8 à 12
V	Mise à disposition de données aux organismes du secteur public en cas de besoin exceptionnel	Art. 14 à 22

Une précision s’impose sur le chapitre III : en vertu de l’article 50, il ne s’applique qu’aux obligations de mise à disposition découlant d’actes du droit de l’Union — ou de droit national adopté conformément à celui-ci — entrés en vigueur après le 12 septembre 2025. Son champ est donc, à ce jour, largement prospectif. L’exposition immédiatement effective au titre de l’article 40(4) porte en pratique sur les chapitres II et V.

Sont hors de ce renvoi : le chapitre IV (clauses abusives), le chapitre VI (changement de fournisseur de services cloud, art. 23 à 31), le chapitre VII (accès et transfert internationaux illicites de données à caractère non personnel) et le chapitre VIII (interopérabilité). Pour ces blocs — qui concernent au premier chef les fournisseurs cloud et SaaS — l’exposition dépend intégralement du régime national à venir.

Deuxième limite, souvent oubliée : l’article 40(4) ne s’applique que « dans les limites de leur compétence ». Or, l’article 37(3) précise que les autorités de contrôle RGPD sont responsables du contrôle du Data Act « dans la mesure où la protection des données à caractère personnel est concernée ». Une machine-outil connectée qui ne génère que des données industrielles ne relève donc pas de la CNIL. Un véhicule connecté, un objet domestique ou un dispositif médical, si — et l’articulation entre les deux textes devient alors centrale, ce que détaille notre analyse des différences entre Data Act et RGPD.

Les critères d’appréciation posés par l’article 40(3)

Même là où le règlement délègue les montants, il n’abandonne pas la méthode. L’article 40(3) impose aux États membres de tenir compte des recommandations de l’EDIB (comité européen de l’innovation dans le domaine des données) et d’une liste non exhaustive de six critères :

• la nature, la gravité, l’ampleur et la durée du manquement ;
• les mesures prises par le contrevenant pour atténuer ou réparer le dommage causé ;
• les manquements antérieurs du contrevenant ;
• les avantages financiers obtenus ou les pertes évitées du fait du manquement, dans la mesure où ils peuvent être établis de manière fiable ;
• tout autre facteur aggravant ou atténuant applicable aux circonstances de l’espèce ;
• le chiffre d’affaires annuel réalisé dans l’Union par le contrevenant au cours de l’exercice précédent.

Ces critères ressemblent volontairement à ceux de l’article 83(2) du RGPD, dont la pratique décisionnelle de la CNIL offre déjà une grille de lecture utilisable. Deux points méritent attention. Le quatrième critère — l’avantage financier retiré — est particulièrement adapté aux modèles économiques fondés sur la rétention de données : refuser l’accès aux données d’usage d’un parc de machines pour verrouiller un marché de la maintenance produit un bénéfice mesurable, qui a vocation à être réintégré dans le calcul. Le sixième critère retient le chiffre d’affaires réalisé dans l’Union, et non le chiffre d’affaires mondial, contrairement à l’article 83(5) du RGPD auquel renvoie pourtant l’article 40(4). Cette asymétrie interne au règlement est réelle et devra être arbitrée par les droits nationaux.

Les pouvoirs que les autorités nationales doivent détenir

L’article 37(5) ne se contente pas d’exiger des sanctions : il dresse la liste des missions et pouvoirs que les États doivent conférer à leurs autorités compétentes. Le point (d) est le plus significatif. Les autorités doivent pouvoir infliger des sanctions pécuniaires effectives, proportionnées et dissuasives, « qui peuvent comprendre des astreintes et des sanctions à effet rétroactif », ou engager des procédures judiciaires en vue du prononcé d’amendes.

Deux mots méritent d’être soulignés. L’astreinte transforme la logique : il ne s’agit plus seulement de punir un manquement passé, mais de contraindre à l’exécution — logique déjà bien connue en droit français de la régulation économique. L’effet rétroactif, formulation inhabituelle, vise les situations où un manquement a produit ses effets sur une période antérieure au contrôle ; il ouvre la voie à des sanctions couvrant la durée entière du manquement, et non le seul instant de sa constatation.

L’article 37(5) impose également le traitement des réclamations, y compris celles portant sur les secrets d’affaires (point b), la conduite d’enquêtes (point c) et la surveillance du retrait effectif des frais de changement de fournisseur prévu à l’article 29 (point i). Ce dernier point est à retenir : la disparition totale des frais de migration cloud au 12 janvier 2027 fait l’objet d’une mission de contrôle explicitement nommée dans le règlement.

En France : un régime toujours en construction

C’est ici que le sujet devient concret pour les entreprises françaises.

L’échéance du 12 septembre 2025 n’a pas été tenue

L’article 40(2) imposait aux États membres de notifier à la Commission, au plus tard le 12 septembre 2025, leurs règles et mesures en matière de sanctions, la Commission tenant un registre public régulièrement mis à jour. La France ne l’a pas fait, faute de véhicule législatif adopté.

Le véhicule existe pourtant. Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (dit « DDADUE »), déposé au Sénat le 10 novembre 2025 sous le n° 118 avec engagement de la procédure accélérée, désigne l’Arcep comme autorité compétente au sens de l’article 37 du Data Act et lui confère des pouvoirs d’enquête, de sanction et de règlement des différends. Le Sénat l’a adopté en première lecture le 18 février 2026 (texte n° 63) ; le texte a été transmis à l’Assemblée nationale le 20 février 2026 sous le n° 2518, où il est toujours pendant fin juillet 2026.

Pourquoi l’Arcep, et non la CNIL

Le choix peut surprendre les praticiens de la protection des données. Il s’explique par deux considérations.

D’abord, l’article 37(4)(b) du Data Act exige que l’autorité chargée des articles 23 à 31 et 34 à 35 — le bloc cloud et interopérabilité — « possède une expérience dans le domaine des données et des services de communications électroniques ». La rédaction pointe naturellement vers un régulateur sectoriel des infrastructures numériques.

Ensuite, la France avait anticipé. La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (loi SREN) avait déjà désigné l’Arcep comme régulateur des services d’informatique en nuage et des prestataires de services d’intermédiation de données, précisément en prévision de l’application du Data Act. Dans son avis n° 2025-1765 du 4 septembre 2025, rendu public le 5 janvier 2026, l’Autorité inscrit explicitement ces nouvelles missions dans le prolongement de la loi SREN — tout en attirant l’attention du Gouvernement « sur la nécessité, du fait de la charge de travail impliquée, de renforcer ses moyens, en particulier humains ».

La CNIL n’est pas pour autant écartée. Elle conserve la compétence que lui reconnaît directement l’article 37(3) du règlement dès lors que des données à caractère personnel sont en cause, et le pouvoir de sanction de l’article 40(4). Reste une question de gouvernance à trancher : si la France désigne plusieurs autorités compétentes au sens de l’article 37(1), elle devra choisir parmi elles un coordinateur en matière de données au titre de l’article 37(2) — point de contact unique chargé de faciliter la coopération. La compétence de la CNIL découlant directement du règlement et non d’une désignation nationale, cette obligation n’est pas automatique.

Quels montants attendre ?

C’est la question que tout le monde pose, et il faut y répondre avec prudence. L’hypothèse dominante parmi les commentateurs est celle d’un adossement au régime de sanctions dont l’Arcep dispose déjà depuis la loi SREN, exprimé en pourcentage du chiffre d’affaires mondial hors taxes et majoré en cas de réitération dans un délai de cinq ans. Ce n’est qu’une anticipation : les montants définitivement retenus ne seront connus qu’à l’issue de la navette et de la promulgation. Toute affirmation catégorique sur un plafond national aujourd’hui est prématurée.

En revanche, trois expositions sont d’ores et déjà certaines, et c’est sur elles qu’il faut raisonner.

Les trois expositions déjà effectives

L’amende RGPD. Le renvoi de l’article 40(4) est d’application directe : il ne dépend d’aucune loi de transposition. Un manquement aux chapitres II ou V portant sur des données à caractère personnel peut être sanctionné par la CNIL jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, dès aujourd’hui — le chapitre III s’y ajoutera au fur et à mesure de l’entrée en vigueur des actes de l’Union qui le déclenchent. C’est le point que les analyses d’exposition sous-estiment le plus systématiquement.

La nullité contractuelle. Le chapitre IV n’a besoin d’aucune autorité pour produire ses effets. Une clause abusive au sens de l’article 13 est inopposable, et le juge peut le constater dans un litige ordinaire. Pour les contrats conclus après le 12 septembre 2025, le régime est déjà applicable ; pour les contrats conclus au plus tard à cette date, il ne s’appliquera qu’à compter du 12 septembre 2027, et à la double condition qu’ils soient à durée indéterminée ou qu’ils arrivent à échéance au moins dix ans après le 11 janvier 2024 — c’est-à-dire à partir du 11 janvier 2034. Notre analyse des clauses abusives sous le Data Act détaille les listes noire et grise de l’article 13.

Les recours privés. L’article 38 ouvre un droit de réclamation devant l’autorité compétente, et l’article 39 un droit à un recours juridictionnel effectif. Surtout, l’article 48 du Data Act modifie la directive (UE) 2020/1828 pour inscrire le règlement à son annexe I : les manquements au Data Act peuvent donc donner lieu à des actions représentatives, sous réserve du champ propre de cette directive — elle ne protège que les intérêts collectifs des consommateurs et suppose l’intervention d’une entité qualifiée. Les manquements purement B2B, à commencer par ceux de l’article 13, en restent exclus. L’article 47 ajoute par ailleurs le règlement au champ du règlement (UE) 2017/2394 sur la coopération en matière de protection des consommateurs. Le contentieux privé n’attend pas la loi française.

Dans mon expérience de conseil, c’est cette dernière dimension qui déplace le curseur. Une entreprise qui refuse l’accès aux données d’un produit connecté à un concurrent légitimement mandaté par l’utilisateur ne s’expose pas seulement à une amende hypothétique : elle s’expose à une action en concurrence déloyale, à la nullité de ses clauses de verrouillage et, si des données personnelles sont en jeu, à une plainte CNIL. Les trois voies peuvent être actionnées simultanément.

Ce qu’il faut faire d’ici la fin 2026

Deux échéances rapprochées justifient d’agir sans attendre la loi française.

12 septembre 2026 — l’obligation de conception prévue à l’article 3(1), qui impose que les produits connectés et services connexes soient conçus de manière à rendre les données accessibles à l’utilisateur par défaut, s’applique aux produits mis sur le marché après cette date. C’est une obligation d’ingénierie, pas de documentation : elle ne se rattrape pas a posteriori. Notre guide sur l’accès aux données IoT en détaille les modalités.

12 janvier 2027 — suppression totale des frais de changement de fournisseur de services de traitement de données (art. 29), dont le contrôle est expressément confié aux autorités compétentes par l’article 37(5)(i). Les fournisseurs concernés doivent avoir revu leur grille tarifaire et leur documentation de portabilité cloud avant cette date.

En pratique, la préparation utile tient en quatre points : cartographier les données générées par vos produits et services connexes en distinguant données personnelles et non personnelles, auditer les clauses de vos contrats B2B au regard de l’article 13, documenter vos refus d’accès fondés sur les secrets d’affaires (l’article 37(5)(b) donne compétence à l’autorité pour en connaître), et vérifier que votre calendrier de mise en conformité intègre les deux échéances ci-dessus.

Ce qu’il faut retenir

• Le Data Act ne fixe aucun plafond d’amende général : l’article 40(1) renvoie au droit de chaque État membre, qui doit prévoir des sanctions effectives, proportionnées et dissuasives.
• Une seule exposition est chiffrée dans le règlement : l’article 40(4) permet à la CNIL d’appliquer l’article 83 du RGPD, jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial, pour les manquements aux chapitres II, III et V impliquant des données personnelles. Elle joue dès aujourd’hui pour les chapitres II et V, le chapitre III restant largement prospectif.
• La France n’a pas respecté l’échéance du 12 septembre 2025 : le projet de loi DDADUE, adopté par le Sénat le 18 février 2026, est toujours en cours d’examen à l’Assemblée nationale. Les montants nationaux restent inconnus.
• L’Arcep sera l’autorité compétente, dans le prolongement de la loi SREN du 21 mai 2024, avec pouvoirs d’enquête, de sanction et de règlement des différends. La CNIL conserve la compétence « données personnelles » au titre de l’article 37(3).
• Les sanctions civiles n’attendent pas la loi : inopposabilité des clauses abusives (art. 13), droit de réclamation (art. 38), recours juridictionnel (art. 39) et actions représentatives via la directive (UE) 2020/1828 (art. 48), ces dernières étant réservées aux intérêts collectifs des consommateurs.
• Deux échéances proches : le 12 septembre 2026 pour l’accessibilité des données par conception (art. 3(1)) et le 12 janvier 2027 pour la suppression des frais de migration cloud (art. 29).

Vous suivez la mise en œuvre du Data Act, du RGPD ou de l’AI Act dans votre organisation ? Recevez nos analyses de conformité chaque semaine : décryptages réglementaires, décisions des autorités et points pratiques, directement dans votre boîte mail.

FAQ

Quel est le montant maximal d’une amende Data Act ?

Il n’existe pas de plafond harmonisé au niveau européen. Le seul montant inscrit dans le règlement résulte du renvoi de l’article 40(4) à l’article 83(5) du RGPD, soit 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, mais il ne concerne que les manquements aux chapitres II, III et V impliquant des données à caractère personnel. Pour les autres manquements, notamment ceux relatifs au cloud, les montants dépendront du régime national français, non encore adopté.

Qui sanctionne les manquements au Data Act en France ?

Deux autorités auront vocation à intervenir. L’Arcep, désignée comme autorité compétente par le projet de loi DDADUE en cours d’examen, disposera de pouvoirs d’enquête, de sanction et de règlement des différends. La CNIL conserve, directement au titre de l’article 37(3) du règlement, le contrôle du Data Act dans la mesure où la protection des données à caractère personnel est concernée, avec le pouvoir de sanction de l’article 40(4).

Peut-on être sanctionné alors que la France n’a pas adopté son régime national ?

Oui, sur trois fondements distincts. La CNIL peut appliquer l’article 83 du RGPD par le renvoi de l’article 40(4), qui est d’application directe. Les clauses contractuelles abusives sont inopposables de plein droit en vertu de l’article 13, sans intervention d’une autorité. Enfin, les actions représentatives sont ouvertes, dans le champ consumériste de la directive (UE) 2020/1828, depuis l’inscription du Data Act à son annexe I par l’article 48 du règlement.

Que risque un fournisseur cloud qui facture encore des frais de migration ?

Jusqu’au 12 janvier 2027, le régime de l’article 29 est transitoire : depuis le 11 janvier 2024, le fournisseur peut encore facturer des frais réduits, mais ceux-ci ne peuvent excéder les coûts qu’il supporte directement du fait du changement concerné. Il ne s’agit donc pas d’une obligation de facturer, mais d’un plafond. Le contrôle du retrait de ces frais est explicitement confié aux autorités compétentes par l’article 37(5)(i). En l’absence de régime national de sanction, le principal risque immédiat est contractuel et concurrentiel : inopposabilité des clauses tarifaires, litige avec le client sortant et exposition à une action en concurrence déloyale.