Cyber-Management
FR / ENRéserver une consultation

Data Governance Act

Data Governance Act (DGA) : votre entreprise est-elle concernée ?

Il vise surtout les entreprises qui servent d’intermédiaire, mutualisent ou donnent des données. Voyez où vous en êtes.

Réserver une consultation gratuite de 25 minutes

Êtes-vous concerné ?

Le Data Governance Act vous concerne-t-il ?

Oui à la première : vous avez des obligations directes, dès aujourd’hui. Oui aux autres : le règlement vous touche plus légèrement, ou par vos contrats. Les critères exacts figurent plus bas, dans la partie destinée à votre DSI.

  • Mettez-vous en relation ceux qui détiennent des données et ceux qui veulent les utiliser ?Place de marché de données, plateforme d’échange sectorielle, espace de données personnelles, courtier en données. Vous devez le notifier à l’autorité compétente (l’Arcep en France) avant de commencer.
  • Réutilisez-vous des données protégées détenues par des organismes publics ?Des données couvertes par le secret des affaires, le secret statistique ou les droits de tiers. Des conditions de réutilisation précises s’appliquent.
  • Collectez-vous des données données pour l’intérêt général ?Pour la recherche, la santé, le climat ou l’urbanisme. Vous pouvez être reconnu comme organisation altruiste en matière de données, un label de confiance.
  • Participez-vous à un espace de données sectoriel, ou travaillez-vous avec un intermédiaire ?Santé, mobilité, énergie, agriculture, industrie. Attendez-vous à ce que ses règles vous atteignent par vos contrats.

Pas concerné ?

Aucune de ces situations ? Pas d’obligation directe, en général.

Les hébergeurs, les services d’analyse et les entreprises qui utilisent les données pour leur propre compte ne sont pas des intermédiaires de données. Le RGPD s’applique toujours aux données personnelles partagées. Le Data Act, texte distinct, peut viser vos produits connectés.

Ce qui change pour vous

Neutre, déclaré, et séparé de vos autres activités.

Le Data Governance Act fixe des règles pour le partage des données, pas pour leur traitement. Il s’applique depuis le 24 septembre 2023. Le délai de grâce des intermédiaires de données déjà actifs a pris fin le 24 septembre 2025.

Un intermédiaire de données notifie l’Arcep avant de commencer, reste neutre et n’utilise pas les données pour son propre compte. Il sépare aussi ce service de ses autres activités. Opérer sans notification peut conduire à une suspension.

Le vrai risque est d’être arrêté, et de perdre la confiance dont vit une activité de partage de données. La réponse : un statut clair, puis la notification et la gouvernance attendues. Quand des données personnelles sont partagées, le RGPD s’applique pleinement.

Par où commencer

Confirmer votre statut, puis mettre la gouvernance en place.

Ce que nous livrons

  • Une réponse documentée pour chaque activité : obligations directes, indirectes, ou hors champ
  • Pour un intermédiaire : le dossier de notification, et les règles de neutralité et de séparation
  • Pour l’altruisme : le dossier d’enregistrement et la transparence que le label exige
  • Une seule conception qui couvre le Data Governance Act et le RGPD quand des données personnelles sont partagées
  • La préparation aux espaces de données sectoriels auxquels vous participez

Qui fait quoi

Nous pilotons la gouvernance. Votre équipe informatique garde la technique.

Ce que nous pilotons

  • Établir comment le règlement s’applique à chaque activité
  • Préparer le dossier de notification ou d’enregistrement (vous le déposez)
  • Rédiger les règles de neutralité, de séparation et de transparence
  • Aligner la conception sur le RGPD

Ce qui reste chez votre prestataire informatique

  • Mettre en place la séparation des accès et les mesures de sécurité
  • Conserver les journaux et traces que les règles exigent
  • Exploiter la plateforme au quotidien

Nous vérifions son travail au regard des règles, pour que les preuves tiennent face à l’autorité.

Pour commencer

Première étape : confirmer votre statut.

Vous savez, activité par activité, si le Data Governance Act s’applique et ce qu’il demande. La suite est dimensionnée selon votre rôle (intermédiaire, altruisme ou réutilisateur), au forfait.

Prix
Forfait fixe

Devis ferme après l'appel gratuit.

Réserver une consultation gratuite de 25 minutes

Pour votre DSI, DPO ou DAF

Ce que le DGA exige réellement.
  1. 01Ch. II · Art. 3–9

    Réutilisation des données protégées du secteur public

    Les organismes publics doivent respecter des conditions spécifiques : mesures techniques et organisationnelles appropriées, frais proportionnés, transparence sur les conditions de réutilisation.

  2. 02Ch. III · Art. 10–15

    Services d'intermédiation de données

    Les prestataires doivent notifier l'autorité nationale compétente avant de commencer à opérer. Ne peuvent utiliser les données pour leurs propres fins commerciales. Doivent maintenir une stricte séparation entre l'intermédiation et les autres activités. Doivent mettre en œuvre des mesures techniques et de sécurité appropriées.

  3. 03Ch. IV · Art. 16–25

    Altruisme des données

    Les organisations reconnues doivent satisfaire à des exigences spécifiques de gouvernance, transparence, sécurité et responsabilité — registre public des usages, restriction aux finalités altruistes déclarées, rapports d'activité annuels à l'autorité compétente.

  4. 04Ch. VI · Art. 29–30

    Comité européen de l'innovation des données

    L'EDIB coordonne le développement de standards communs pour les espaces européens de données — écosystèmes sectoriels en santé, énergie, mobilité, agriculture, industrie.

Sanctions nationales — et suspension opérationnelle.

Le DGA est appliqué par les autorités nationales compétentes désignées par chaque État membre. Les sanctions de non-conformité sont fixées par la loi nationale — le DGA exige qu'elles soient effectives, proportionnées et dissuasives.

Les prestataires de services d'intermédiation de données opérant sans notification, ne respectant pas les obligations de neutralité ou détournant les données qui leur sont confiées font face à une suspension d'activité et, selon la mise en œuvre nationale, à des sanctions financières significatives. Les désignations varient selon les États membres — en France, l'Arcep est l'autorité compétente pour l'intermédiation de données (loi SREN de mai 2024), en lien avec la CNIL lorsque des données personnelles sont en jeu ; les autres États désignent leurs propres autorités. Les prestataires d'intermédiation opérant aujourd'hui sans notification sont déjà en violation, quel que soit le pays.

  • Structure des sanctions

    Nationale

    chaque État membre fixe des sanctions qui doivent être effectives, proportionnées et dissuasives.

  • Sanction opérationnelle

    Suspension

    les intermédiaires de données opérant sans notification font face à une suspension.

  • Autorité compétente

    Par État

    chaque État membre désigne la sienne — l'Arcep en France, par exemple.

Calendrier type

Dépend du périmètre. La plupart des missions sont une construction de gouvernance ciblée.

  1. Semaines 1–2

    Cadrage

    Confirmation de l'applicabilité directe vs indirecte du DGA. Cartographie des flux de données. Identification des obligations spécifiques par chapitre.

  2. Semaines 3–8

    Construction de la gouvernance

    Préparation à la notification, cadre de neutralité, contrôles de sécurité et transparence, conception du registre public (cas altruisme).

  3. En continu

    Conformité opérationnelle

    Rapports d'activité annuels (organisations d'altruisme), interactions avec l'autorité de contrôle, alignement RGPD pour les flux de données personnelles.

FAQ

Ce que nous demandent équipes données, juridiques et DSI sur le DGA.

À qui le DGA s’applique-t-il exactement ?
Le Data Governance Act est le règlement (UE) 2022/868. Les obligations directes visent quelques catégories : les organismes publics détenant des données protégées par des règles de confidentialité (secret des affaires, données statistiques, propriété intellectuelle de tiers), au titre du chapitre II ; les prestataires de services d'intermédiation de données (places de marché, échanges sectoriels, espaces de données personnelles, courtiers), qui notifient avant d'opérer ; et les organisations altruistes en matière de données, qui peuvent s'enregistrer pour obtenir un label. Les participants aux espaces européens de données et les entreprises dont les clients sont intermédiaires le ressentent indirectement, par des clauses contractuelles de neutralité, de transparence et de sécurité.
Le DGA s'applique-t-il à mon entreprise si nous ne sommes pas un intermédiaire de données ?
Les obligations directes du DGA pèsent principalement sur les prestataires de services d'intermédiation de données et les organisations d'altruisme. Si votre organisation ne fournit pas ces services et ne réutilise pas de données protégées du secteur public, le DGA ne vous impose pas d'obligations directes. Il peut tout de même vous affecter indirectement — si vous participez à un espace sectoriel de données, si vos clients ou partenaires sont des intermédiaires ou organismes publics soumis au DGA, ou si vous fournissez des produits connectés dont les données peuvent relever du Data Act associé.
Qu'est-ce qu'un intermédiaire de données sous le DGA ?
Un prestataire qui facilite le partage volontaire de données entre détenteurs de données et utilisateurs — agissant comme tiers neutre. Exemples : places de marché de données, échanges sectoriels, services de gestion de données personnelles, plateformes de courtage. Le DGA exclut explicitement les fournisseurs de cloud, les services d'analyse et les autres entreprises qui traitent les données pour leurs propres fins commerciales plutôt que de faciliter le partage entre tiers.
Comment le DGA s'articule-t-il avec le RGPD quand les données partagées incluent des données personnelles ?
Le RGPD continue de s'appliquer pleinement : le DGA régit le partage, le RGPD le traitement. Le DGA ne crée aucune nouvelle base légale ; il crée un cadre de gouvernance dans lequel un partage conforme au RGPD se fait plus efficacement. Un intermédiaire qui manipule des données personnelles doit respecter à la fois les règles de neutralité et de notification du DGA, et la base légale, les droits des personnes et les obligations de sécurité du RGPD, ainsi que le droit national.
Que sont les espaces européens de données et comment cela peut-il affecter notre activité ?
Des écosystèmes sectoriels (santé, mobilité, énergie, agriculture, industrie, finance) où les organisations mutualisent et partagent des données dans des conditions gouvernées et standardisées, rendues possibles par le DGA. Dans ces secteurs, y participer peut devenir une attente des clients, un prérequis des marchés publics ou un avantage concurrentiel. L'Espace européen des données de santé (EHDS), par exemple, crée déjà des obligations de gouvernance importantes pour la santé et la santé numérique.
Quelle est la différence entre le Data Governance Act et le Data Act ?
Ils sont complémentaires mais distincts. Le DGA établit l'infrastructure de gouvernance pour le partage volontaire — régimes d'enregistrement, cadres de réutilisation des données du secteur public. Le Data Act (Règlement (UE) 2023/2854, applicable depuis le 12 septembre 2025) donne aux utilisateurs de produits connectés et de services associés le droit d'accéder et de partager les données générées par ces produits — IoT, électroménagers connectés, machines industrielles. DGA = qui peut partager des données et sous quelles conditions. Data Act = qui a le droit d'accéder aux données générées par les produits connectés.
Y a-t-il une échéance de conformité DGA à respecter ?
Le DGA s'applique depuis le 24 septembre 2023. Les prestataires qui fournissaient déjà des services d'intermédiation le 23 juin 2022 disposaient d'une période transitoire jusqu'au 24 septembre 2025 (article 37) ; elle est expirée, et tout prestataire qui opère aujourd'hui sans notification à son autorité nationale compétente est en infraction. Les nouveaux prestataires doivent notifier avant de commencer.

À découvrir

Régulation européenne adjacente.

RGPD

Continue de s'appliquer pleinement quand les données partagées sous le DGA incluent des données personnelles. Le DGA est l'infrastructure de partage ; le RGPD régit le traitement.

En savoir plus

EU Cybersecurity Act

Régulation numérique européenne adjacente — toutes deux partie de la stratégie marché unique numérique.

En savoir plus

NIS2

Lorsque les services d'intermédiation soutiennent des infrastructures critiques, les obligations NIS2 peuvent aussi s'appliquer.

En savoir plus
Retour au hub conformité