Sanctions et application
Sanctions et application du Data Act UE
Le Data Act UE est appliqué par les autorités nationales de chaque pays de l'UE. Il n'existe pas d'amende unique à l'échelle de l'UE, mais les sanctions doivent être effectives, proportionnées et dissuasives — et lorsque des données à caractère personnel sont en jeu, des amendes du niveau du RGPD peuvent s'ajouter.
Qui applique le Data Act ?
Chaque État membre de l'UE désigne une ou plusieurs autorités compétentes chargées d'appliquer et de faire respecter le Data Act (art. 37). Lorsqu'un pays en désigne plusieurs, l'une d'elles agit comme « coordinateur pour les données » afin d'assurer une application cohérente entre les secteurs.
Les autorités de protection des données restent compétentes pour les parties du Data Act qui portent sur des données à caractère personnel. Les régulateurs sectoriels — par exemple dans l'énergie, l'automobile ou les télécommunications — peuvent également intervenir dans leurs domaines.
Quelles sont les sanctions ?
Contrairement au RGPD, le Data Act ne fixe pas de plafond d'amende unique à l'échelle de l'UE. Chaque État membre fixe plutôt ses propres sanctions, qui doivent être effectives, proportionnées et dissuasives (art. 40). Les États membres devaient notifier leurs règles en matière de sanctions à la Commission européenne avant le 12 septembre 2025, de sorte que les montants exacts varient d'un pays à l'autre.
Pour fixer une sanction, les autorités tiennent compte de facteurs tels que la nature, la gravité, l'ampleur et la durée de l'infraction, les mesures prises pour atténuer le préjudice, les infractions antérieures, l'avantage financier obtenu et le chiffre d'affaires annuel de l'auteur dans l'UE.
Quand des amendes RGPD s'ajoutent
Lorsqu'une infraction porte sur des données à caractère personnel, les autorités de protection des données peuvent appliquer le régime d'amendes propre au RGPD au titre de l'article 83 — jusqu'à 20 millions d'€ ou 4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Le Data Act ne remplace pas le RGPD, de sorte que les deux régimes peuvent s'appliquer à la même activité.
Plus que des amendes
Conséquences au-delà des sanctions financières
Clauses contractuelles nulles
Les clauses contractuelles abusives relatives à l'accès aux données et à leur utilisation sont automatiquement nulles et inapplicables (art. 13) — indépendamment de toute amende.
Réclamations
Les utilisateurs et les clients professionnels peuvent introduire une réclamation auprès de l'autorité compétente (art. 38), ce qui peut déclencher une enquête.
Injonctions de mise en conformité
Les autorités peuvent exiger que vous mettiez en conformité vos produits, services ou contrats — et pas seulement imposer une amende.
Risque commercial et réputationnel
Un changement de fournisseur bloqué, un accès aux données refusé ou des conditions abusives peuvent nuire aux relations clients et entraîner des litiges.
Réduire le risque
Comment réduire votre risque de sanction
Connaître votre autorité
Identifiez l'autorité compétente — et tout coordinateur pour les données — dans chaque pays de l'UE où vous exercez.
Corriger les clauses nulles
Examinez les contrats B2B à la recherche des clauses interdites de l'art. 13 et supprimez-les avant qu'une contrepartie ne les conteste.
Traiter correctement les demandes
Documentez la manière dont vous recevez, vérifiez et traitez les demandes d'accès aux données et de changement de fournisseur, afin de réduire le risque de réclamations.
Cartographier le chevauchement avec le RGPD
Lorsque le partage porte sur des données à caractère personnel, assurez-vous d'une base légale au titre du RGPD pour éviter une double exposition aux amendes.
Vérifiez votre exposition
Voyez où se trouvent vos lacunes de conformité
Répondez à quelques questions pour obtenir une indication gratuite des points où votre entreprise pourrait être exposée à un risque de sanction au titre du Data Act.