~/teaching · eu digital sovereignty · séance 5
La stratégie européenne des données, en production : le Data Act et le DGA pour les ingénieurs
Ce que le Data Governance Act et le Data Act obligent quelqu'un à construire, et là où ça casse en production. Résumé d'une conférence invitée à l'Université du Luxembourg
Avertissement. Support pédagogique, écrit à titre personnel : ni avis juridique, ni position d'un employeur. Avant de vous appuyer sur un article, lisez-le au Journal officiel ; l'état des propositions est donné au 17 octobre 2026.
Résumé
La stratégie européenne pour les données de février 2020 promettait un marché unique des données. Deux règlements la font entrer dans les systèmes : le règlement sur la gouvernance des données (Data Governance Act, DGA), règlement (UE) 2022/868, qui crée des rôles de confiance, et le règlement sur les données (Data Act), règlement (UE) 2023/2854, qui crée des droits sur les données produites par les machines et des obligations pour les fabricants, les détenteurs de données et les fournisseurs de cloud.
Cette page lit les deux textes comme doit le faire une équipe de plateforme : comme un carnet de commandes (backlog). Chaque nouveau droit d'accès est une nouvelle interface, et chaque nouvelle interface une nouvelle surface d'attaque (attack surface). Trois cas le rendent concret (changement de cloud, accès d'une autorité étrangère, accès aux données des produits), puis quatre défaillances montrent où la conformité casse avant même qu'un juriste n'intervienne.
Elle résume la séance 5 du cours EU Digital Sovereignty à l'Université du Luxembourg (20 octobre 2026). Les slides sont publiques, avec les notes de l'orateur sous chaque slide.
Plan du deck
- Ouverture. Un droit sans SDK ; la thèse de l'heure ; trois polices pour trois voix (ce que dit le texte, ce que quelqu'un construit, ce qu'on peut citer).
- Les deux instruments. Deux textes, deux métiers ; les trois rôles du DGA ; le Data Act lu comme un carnet de commandes ; l'omnibus numérique qui abrogerait le DGA.
- Trois cas. Quitter un fournisseur de cloud (articles 23 à 31), une autorité étrangère qui demande des données européennes (article 32), une fonctionnalité imposée aux produits connectés (articles 3 à 5).
- En production. Identité, preuve, qualité, la frontière des données personnelles ; les régimes voisins qui demandent les mêmes journaux ; une liste de contrôle ; quatre idées reçues.
- Questions. Un glossaire du droit vers l'ingénierie, quatre questions à débattre, et où lire les textes.
Data Governance Act ou Data Act : deux textes, deux métiers
Le DGA propose des statuts que personne n'est obligé de prendre ; le Data Act crée des droits que quelqu'un doit servir.
| Data Governance Act | Data Act | |
|---|---|---|
| Référence | Règlement (UE) 2022/868 | Règlement (UE) 2023/2854 |
| Entrée en vigueur | 23 juin 2022 | 11 janvier 2024 |
| Application | 24 septembre 2023 (art. 38) | 12 septembre 2025 (art. 50) |
| Posture | Habilitante : des rôles et un cadre de confiance | Prescriptive : des droits et des obligations dures |
| Vraie question | Qui peut servir d'intermédiaire de confiance ? | Qui peut lire, déplacer et transférer les données des machines ? |
| Statut | Abrogation proposée (COM(2025) 837) | S'applique ; modifications proposées |
Le DGA crée trois rôles. Les organismes publics peuvent autoriser la réutilisation de données protégées (confidentielles, sensibles sur le plan commercial ou personnelles) sous conditions (chapitre II, articles 3 à 9), ce qui veut dire des environnements de traitement sécurisés et un circuit d'accès avec piste d'audit. Les services d'intermédiation de données (data intermediation services) doivent se notifier auprès d'une autorité compétente (article 11) et, selon l'article 12, point a), ne peuvent pas utiliser les données à d'autres fins et doivent fournir le service par une personne morale distincte : une frontière d'isolement qu'il faut pouvoir démontrer. Les organisations altruistes en matière de données (data altruism organisations) peuvent être inscrites dans un registre public et porter le label d'organisation altruiste reconnue dans l'Union (article 17).
Le Data Act adopte la posture inverse. Le chapitre II donne aux utilisateurs de produits connectés l'accès aux données que leur usage génère (article 4) et le droit de les faire partager avec un tiers (article 5). Le chapitre III impose des conditions équitables, raisonnables et non discriminatoires quand un détenteur de données (data holder) doit les mettre à disposition (article 8). Le chapitre V permet aux organismes publics de demander des données en cas de besoin exceptionnel. Le chapitre VI encadre le changement de fournisseur de cloud. L'article 32 traite de l'accès gouvernemental illicite d'un pays tiers aux données non personnelles. Le chapitre VIII ajoute l'interopérabilité et des exigences essentielles pour les contrats intelligents (smart contracts), dont un moyen de les arrêter (article 36, paragraphe 1, point b)).
Accès aux données des produits : l'UE a imposé une fonctionnalité
Depuis le 12 septembre 2025, l'utilisateur d'un produit connecté peut demander ses données ; les produits mis sur le marché après le 12 septembre 2026 doivent être conçus pour cela.
L'article 3, paragraphe 1, impose de concevoir les produits connectés et les services connexes de sorte que les données du produit et du service connexe, avec les métadonnées nécessaires pour les interpréter, soient par défaut accessibles à l'utilisateur facilement, de manière sécurisée, gratuitement, dans un format complet, structuré, couramment utilisé et lisible par machine, et directement lorsque c'est pertinent et techniquement possible. Selon l'article 50, cette obligation de conception vaut pour les produits et services mis sur le marché après le 12 septembre 2026. Les paragraphes 2 et 3 de l'article 3 ajoutent une information précontractuelle.
Quand l'accès direct est impossible, le détenteur de données les met à disposition sur demande (article 4) ou les partage avec un tiers désigné par l'utilisateur (article 5). Une entreprise désignée contrôleur d'accès (gatekeeper) au titre du règlement sur les marchés numériques n'est pas un tiers éligible (article 5, paragraphe 3). Les secrets d'affaires (trade secrets) sont préservés par des mesures convenues avant la divulgation ; à défaut d'accord, le détenteur peut retenir ou suspendre le partage, et ne peut refuser que dans des circonstances exceptionnelles, de façon motivée (article 4, paragraphes 6 à 8). Le chapitre II ne s'applique pas aux données des produits fabriqués, ou des services connexes fournis, par des micro et petites entreprises (article 7).
| Le texte crée | Le système reçoit | La défaillance que vous connaissez |
|---|---|---|
| Un droit d'accès aux données du produit | Un chemin de lecture authentifié vers la télémétrie interne | Contrôle d'accès défaillant au niveau de l'objet (broken object-level authorisation) |
| Le partage avec un tiers | Un flux de délégation à jetons | Hameçonnage du consentement (consent phishing) : l'autorisation OAuth donnée à une appli hostile |
| La preuve que l'utilisateur est l'utilisateur | Un lien entre une personne et un appareil revendu | Ingénierie sociale de la demande |
| La protection des secrets d'affaires | Un filtrage champ par champ | Sur-divulgation d'un export jamais relu |
| La disponibilité de l'accès | Un point d'accès public sur un parc industriel | Déni de service |
Changer de cloud sous le Data Act : l'horloge court jusqu'au 12 janvier 2027
À partir du 12 janvier 2027, un fournisseur de cloud ne peut plus facturer un client qui part ; d'ici là, il ne peut facturer que les coûts directement liés au changement.
L'horloge du changement de fournisseur
- 11 janvier 2024. Entrée en vigueur. Les frais de changement de fournisseur (switching charges) ne peuvent excéder les coûts supportés par le fournisseur et directement liés au changement (article 29, paragraphes 2 et 3).
- 12 septembre 2025. Le règlement s'applique. Le contrat doit décrire la procédure de changement, l'assistance due, une période de transition de 30 jours civils au plus (article 25, paragraphe 2, point a)) et un préavis de deux mois au plus (article 25, paragraphe 2, point d)).
- 12 janvier 2027. Plus aucun frais de changement (article 29, paragraphe 1). Le prix ordinaire du service demeure ; les frais de sortie des données en cas d'usage en parallèle ne peuvent répercuter que les coûts supportés (article 34).
Pour les services d'infrastructure (ressources informatiques modulables et élastiques limitées aux éléments d'infrastructure), le fournisseur source prend des mesures raisonnables pour que le client atteigne l'équivalence fonctionnelle (functional equivalence) sur le service de destination (article 30, paragraphe 1). Les autres services offrent gratuitement des interfaces ouvertes (article 30, paragraphe 2).
Côté ingénierie, les données sont la moitié facile : des exports ouverts, documentés, lisibles par machine. Les fonctions sont la moitié difficile : files gérées, services d'identité et environnements sans serveur ont rarement un équivalent ailleurs. Et l'observabilité est l'angle mort : tableaux de bord, règles d'alerte, traces et rétention vivent dans les outils du fournisseur. Un plan de sortie jamais répété est un document, pas une capacité.
Remarque (La place financière). Les entités financières doivent déjà des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes, au titre de DORA, article 28, paragraphe 8, du règlement (UE) 2022/2554. Un projet, deux fondements juridiques.
Article 32 : quand une autorité étrangère demande des données européennes
Les fournisseurs doivent prendre des mesures contre l'accès gouvernemental étranger illicite aux données non personnelles détenues dans l'UE ; la localisation ne règle rien, la garde des clés si.
L'article 32, paragraphe 1, oblige les fournisseurs de services de traitement de données à prendre des mesures techniques, organisationnelles et juridiques adéquates, contrats compris, pour empêcher l'accès gouvernemental international ou d'un pays tiers aux données non personnelles détenues dans l'Union, et leur transfert, lorsque cela serait contraire au droit de l'Union ou national. Une décision d'un pays tiers n'est reconnue ou exécutoire que sur la base d'un accord international, comme un traité d'entraide judiciaire (paragraphe 2). À défaut, le fournisseur ne peut s'y conformer que si la décision est motivée, proportionnée et précise, et si son objection motivée peut être examinée par une juridiction compétente de ce pays (paragraphe 3). L'article 28 ajoute que les fournisseurs publient la juridiction dont relève leur infrastructure.
| Couche | Ce qui la décide |
|---|---|
| L1 La société mère | La propriété traverse les frontières ; une filiale européenne peut répondre à une décision du groupe |
| L2 L'entité exploitante | Quelle personne morale signe le contrat, et sous quel droit elle peut recevoir un ordre |
| L3 Le personnel à privilèges | La contrainte atteint des personnes, pas des centres de données |
| L4 L'infrastructure | Où reposent les octets : la couche dont tout le monde parle, et la garantie la plus faible |
| L5 Les clés | Si le fournisseur peut déchiffrer, on peut le lui ordonner : la garde, pas la localisation, est le contrôle |
Quatre contrôles en découlent : des clés gardées hors de portée du fournisseur, une carte de chaque entité et personne qui peut être contrainte, une procédure documentée de refus et d'escalade, et un journal de chaque demande reçue et de la réponse donnée. Le 3 juin 2026, la Commission a proposé un Cloud and AI Development Act (COM(2026) 502), dont l'article 16 créerait un cadre européen de souveraineté du cloud ; c'est une proposition.
Là où la conformité casse en production
Quatre choses cassent avant qu'un juriste n'intervienne : l'identité, la preuve, la qualité des données et la frontière entre données personnelles et non personnelles.
- Identité. Le droit appartient à l'utilisateur ; les systèmes connaissent des comptes, des numéros de série et des contrats, pas des personnes au fil des reventes et des locations.
- Preuve. Qu'avez-vous divulgué, à qui, quand, sur quelle base ? Trente jours de rétention des journaux ne suffisent pas à répondre.
- Qualité. La télémétrie interne tolère les trous et les horloges qui dérivent ; une fois sortie de la maison, un trou devient un litige.
- La frontière. Le Data Act couvre les données personnelles et non personnelles (article 1, paragraphe 2) et s'applique sans préjudice du RGPD, qui prévaut en cas de conflit (article 1, paragraphe 5). Un identifiant de machine plus un horodatage identifient souvent une personne : classer champ par champ, consigner la décision, la réexaminer à chaque changement de schéma.
| Texte | Ce qu'il demande | Où |
|---|---|---|
| RGPD, règlement (UE) 2016/679 | Registre des traitements ; violation notifiée dans les 72 heures si possible | Art. 30, art. 33 |
| NIS2, directive (UE) 2022/2555 | Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois | Art. 23(4) |
| DORA, règlement (UE) 2022/2554 | Registre des accords avec les prestataires TIC ; stratégies de sortie ; incident majeur notifié dans les 4 heures après sa classification et au plus tard 24 heures après en avoir eu connaissance | Art. 28(3), 28(8) ; règl. dél. 2025/301, art. 5 |
| AI Act, règlement (UE) 2024/1689 | Les systèmes à haut risque journalisent automatiquement ; journaux gardés au moins six mois | Art. 12, 19(1), 26(6) |
Le calendrier de l'AI Act a bougé en 2026 : le règlement (UE) 2026/1744 (omnibus numérique sur l'IA, JO du 24 juillet 2026) applique les obligations des systèmes à haut risque de l'annexe III à partir du 2 décembre 2027 et celles des produits de l'annexe I à partir du 2 août 2028. La conclusion de l'architecte : sous ce régime, la conformité est un problème de télémétrie. Un régulateur vous demande de montrer ce qui s'est passé, et montrer ce qui s'est passé, c'est de l'observabilité, conçue pour les ingénieurs plutôt que pour la preuve.
L'omnibus numérique : l'un des deux textes est proposé à l'abrogation
La Commission a proposé en novembre 2025 d'abroger le DGA et de l'intégrer au Data Act ; au 17 octobre 2026, ce n'est qu'une proposition.
L'omnibus numérique (Digital Omnibus), COM(2025) 837 du 19 novembre 2025 (procédure 2025/0360(COD)), abrogerait le Data Governance Act, le règlement sur la libre circulation des données à caractère non personnel (en gardant son interdiction des exigences de localisation) et la directive sur les données ouvertes, et déplacerait l'intermédiation et l'altruisme dans un nouveau chapitre du Data Act, avec un enregistrement volontaire. L'accès des entreprises vers les pouvoirs publics serait limité aux urgences publiques, et les services cloud sur mesure et les petits fournisseurs auraient un régime de changement allégé pour les contrats conclus avant le 12 septembre 2025.
Où en est-on : le projet de rapport conjoint des commissions ITRE et LIBE du Parlement européen est daté du 22 juin 2026, des amendements ont été déposés le 27 juillet 2026, sans vote en commission ; le Conseil n'a pas adopté de mandat de négociation, inscrit à l'ordre du jour du Coreper du 21 octobre 2026. La leçon d'ingénierie : construire des capacités, pas des numéros d'article. Savoir identifier ses données, les déplacer, prouver qui y a touché : cela survit à toutes les réécritures.
Au Luxembourg : qui contrôle quoi
La CNPD contrôle les données personnelles et les intermédiaires du DGA ; l'ILR pilote NIS2 et, si le projet de loi 8809 est voté, le Data Act.
| Texte | Instrument luxembourgeois | Autorité |
|---|---|---|
| RGPD | Loi du 1er août 2018 | CNPD |
| Data Governance Act | Loi du 19 décembre 2025 (projet 8395A) | CNPD pour l'intermédiation et l'altruisme ; Commissariat du Gouvernement à la souveraineté des données pour la réutilisation |
| Data Act | Projet de loi 8809, déposé le 28 juillet 2026, en commission | ILR, autorité compétente et coordinateur des données ; CNPD pour les données personnelles ; amendes jusqu'à un million d'euros |
| NIS2 | Loi du 5 mai 2026 | ILR ; CSSF pour la banque et les infrastructures des marchés financiers |
| AI Act | Projet de loi 8476, en commission | CNPD, autorité de surveillance du marché par défaut, avec des autorités sectorielles |
À retenir
- Lire chaque obligation comme une spécification : qui la construit, qui l'exploite, qui prouve qu'elle a tourné ?
- Le Data Act s'applique depuis le 12 septembre 2025 ; l'accès dès la conception vaut pour les produits mis sur le marché après le 12 septembre 2026.
- Les frais de changement de cloud sont plafonnés aux coûts directement liés jusqu'au 12 janvier 2027 et interdits ensuite ; la transition de 30 jours et le préavis de deux mois s'appliquent déjà.
- Face à l'accès étranger, la garde des clés pèse plus que la localisation des données.
- Un chemin d'accès imposé est une surface d'attaque dès le jour où il existe : modéliser les menaces des droits, pas seulement du système.
- Sous ces textes, la conformité se prouve par des journaux, des traces et des registres gardés dès la conception, des années avant la question.
Glossaire
- détenteur de données (data holder)
- La partie qui a le droit ou l'obligation d'utiliser et de mettre à disposition les données (Data Act, article 2, point 13) ; en pratique, le propriétaire du système qui doit servir la demande.
- accessible dès la conception (accessible by design)
- L'obligation de l'article 3, paragraphe 1, sur les produits connectés : une exigence de définition du produit, pas une fonction tardive.
- équivalence fonctionnelle (functional equivalence)
- Rétablir un niveau minimal de fonctionnalité sur le service d'infrastructure de destination après le changement (article 2, point 37, et article 30, paragraphe 1).
- séparation structurelle (structural separation)
- Pour les services d'intermédiation de données, une personne morale distincte et aucune autre utilisation des données (DGA, article 12, point a)) : une frontière d'isolement à démontrer.
- frais de changement de fournisseur (switching charges)
- Les frais du changement lui-même, distincts du prix du service ; supprimés le 12 janvier 2027 (article 29).
- service d'intermédiation de données (data intermediation service)
- Un intermédiaire neutre qui établit des relations commerciales entre détenteurs et utilisateurs de données (DGA, chapitre III).
- altruisme en matière de données (data altruism)
- Le partage volontaire de données pour des objectifs d'intérêt général, comme la recherche, par des organisations reconnues (DGA, chapitre IV).
Sources officielles
Chaque affirmation juridique du deck et de cette page a été vérifiée sur ces pages le jour de la révision. Les numéros d'articles renvoient aux textes publiés au Journal officiel.
- Règlement (UE) 2023/2854 (Data Act), OJ L, 22.12.2023. eur-lex.europa.eu/eli/reg/2023/2854/oj
- Règlement (UE) 2022/868 (Data Governance Act), OJ L 152, 3.6.2022. eur-lex.europa.eu/eli/reg/2022/868/oj
- Communication COM(2020) 66 final, Une stratégie européenne pour les données, 19.2.2020. eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52020DC0066
- Proposition COM(2025) 837 (omnibus numérique), procédure 2025/0360(COD), Observatoire législatif. oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)
- Règlement (UE) 2016/679 (GDPR). eur-lex.europa.eu/eli/reg/2016/679/oj
- Règlement (UE) 2024/1689 (AI Act). eur-lex.europa.eu/eli/reg/2024/1689/oj
- Règlement (UE) 2026/1744 (omnibus numérique sur l'IA), OJ L, 24.7.2026. eur-lex.europa.eu/eli/reg/2026/1744/oj
- Directive (UE) 2022/2555 (NIS2). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Règlement (UE) 2022/2554 (DORA). eur-lex.europa.eu/eli/reg/2022/2554/oj
- Commission Delegated Règlement (UE) 2025/301 (délais de notification des incidents DORA). eur-lex.europa.eu/eli/reg_del/2025/301/oj
- Règlement (UE) 2025/327 (espace européen des données de santé). eur-lex.europa.eu/eli/reg/2025/327/oj
- Commission européenne, espaces européens communs des données. digital-strategy.ec.europa.eu/en/policies/data-spaces
- Commission européenne, FAQ sur le Data Act (6.9.2024). digital-strategy.ec.europa.eu/en/library/commission-publishes-frequently-asked-questions-about-data-act
- Commission européenne, projet de clauses contractuelles types et de clauses cloud (19.11.2025). digital-strategy.ec.europa.eu/en/library/draft-recommendation-non-binding-model-contractual-terms-data-access-and-use-and-non-binding
- Commission européenne, proposition de Cloud and AI Development Act, COM(2026) 502. digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada
- Chambre des Députés, projet de loi 8809 (mise en œuvre du Data Act). www.chd.lu/fr/dossier/8809
- Chambre des Députés, projet de loi 8476 (mise en œuvre de l'AI Act). www.chd.lu/fr/dossier/8476
- Legilux, loi du 5 mai 2026 sur la cybersécurité (NIS2), Mémorial A n° 225. legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo
- Legilux, loi du 1er août 2018 portant organisation de la CNPD. legilux.public.lu/eli/etat/leg/loi/2018/08/01/a686/jo
À propos de cette page
Écrite par l'enseignant à partir des slides du deck, comme un résumé public. Le deck lui-même est public : chaque slide porte sa ligne de source, et les notes de l'orateur se lisent sous chaque slide.
Support pédagogique, écrit à titre personnel : ni avis juridique, ni position d'un employeur. Avant de vous appuyer sur un article, lisez-le au Journal officiel ; l'état des propositions est donné au 17 octobre 2026.
Révision : .