Tu travailles sur du SaaS, de la data, du cloud, du no-code, de l'IoT ou de l'IA ? Voici comment le Data Act change les exports, la réversibilité et les clauses à vérifier.
Tu ouvres l’outil SaaS de ton client pour préparer une migration. Le brief paraît simple : exporter les données, reconstruire les tableaux de bord ailleurs, couper l’ancien abonnement. Sauf qu’au moment de télécharger, l’export est incomplet, les pièces jointes restent bloquées, et le client te demande : « On a le droit de récupérer quoi, exactement ? »
J’ai déjà vu ce scénario sur des migrations qui semblaient purement techniques. Le blocage ne venait pas du script, mais du contrat ou d’une dépendance que personne n’avait documentée.
Depuis le 12 septembre 2025, la plupart des dispositions du Data Act s’appliquent, selon la CNIL. Si tu touches au SaaS, à la data, au cloud, au no-code, à l’IoT ou à l’IA, c’est une question de contrat et de réversibilité. Ce guide ne remplace pas un avocat, il te donne une méthode.
Le Data Act est le nom courant du règlement UE 2023/2854. La Commission européenne le présente comme un cadre pour rendre les données plus accessibles et mieux réparties. Il donne plus de contrôle aux utilisateurs sur les données générées par des produits connectés, et encadre les contrats qui empêchent de changer de fournisseur de services de traitement de données : cloud, edge, PaaS et SaaS.
Tu es concerné si tu interviens là où les données circulent : développement ou maintenance SaaS, intégration no-code, BI et data engineering, cloud et FinOps, IA branchée sur une base client, IoT, CRM ou ERP. L’ancienne approche « on verra l’export à la fin » ne tient plus. Il faut savoir qui détient les données, dans quel format elles sortent, combien coûte la migration et ce qui reste chez le prestataire après le contrat.
Dès qu’une mission dépend d’un export, d’une API ou d’un outil cloud, la réversibilité devient un point contractuel.
Le RGPD continue de s’appliquer dès qu’une donnée personnelle est en jeu : base légale, sécurité, droits des personnes, rôle de responsable de traitement ou de sous-traitant. Une adresse email ou un historique de support suffisent.
L’AI Act s’ajoute si tu livres un chatbot, un scoring ou un assistant métier (voir le guide AI Act pour freelances). Et la propriété intellectuelle reste un sujet à part : code, base enrichie, modèle ou secret d’affaires relèvent d’autres règles, détaillées dans le guide sur la propriété intellectuelle en freelance.
On identifie donc la nature des données, puis on applique tous les cadres qui correspondent.
Le règlement est entré en vigueur le 11 janvier 2024. Pour une mission signée en 2026, on est déjà dans la phase opérationnelle.
| Date | Ce qui change | Impact pour un freelance |
|---|---|---|
| 12 septembre 2025 | Application de la plupart des dispositions | Les contrats SaaS, cloud, data ou IoT se relisent sous l’angle accès, partage et réversibilité. |
| 12 septembre 2026 | Les nouveaux objets connectés et services associés doivent rendre leurs données directement accessibles quand c’est techniquement possible | Les missions IoT intègrent l’accès aux données dès la conception. |
| 12 janvier 2027 | Fin des frais de changement de fournisseur de services cloud | Les audits cloud distinguent prestation facturable et frais interdits. |
| 12 septembre 2027 | Les règles sur les clauses abusives couvrent aussi certains contrats antérieurs au 12 septembre 2025 (durée indéterminée ou échéance au moins dix ans après le 11 janvier 2024) | Les vieux contrats SaaS imposés par un acteur dominant peuvent être réexaminés. |
Jusqu’au 12 janvier 2027, le fournisseur peut encore facturer des frais de changement réduits, limités aux coûts qu’il supporte directement. Ensuite, ces frais disparaissent pour les opérations nécessaires au changement.
Attention à la nuance : une mission de migration ne devient pas gratuite. Tu peux toujours facturer ton audit, ton nettoyage, ton mapping ou ta documentation. Ce qui est visé, ce sont les frais imposés par le fournisseur source pour freiner la sortie. Dans ton devis, sépare donc trois lignes : frais du fournisseur, coûts techniques inévitables (stockage temporaire, trafic réseau, environnement de test) et ta prestation.
Le Data Act donne aux utilisateurs de produits connectés et de services associés un meilleur accès aux données générées par leur usage, personnelles ou non. Dans une mission, cela se traduit en quatre réflexes.
Accéder aux données. Le client doit savoir quelles données existent, où elles sont et comment y accéder : saisies, logs d’usage, métadonnées, historiques, fichiers joints. Si tu construis un outil interne, documente dès le départ les tables, les champs et les formats.
Les partager avec un tiers. L’utilisateur peut demander que certaines données soient transmises au destinataire de son choix : toi, un autre prestataire, un nouvel éditeur. Exemple : un client veut transmettre les données de son outil de flotte connecté à un consultant BI. Il faut alors vérifier le droit d’accès, les secrets d’affaires, la sécurité et le format.
Obtenir des formats exploitables. Un CSV sans dictionnaire de données ni identifiant stable ne sert à rien. La Commission insiste sur des formats couramment utilisés et lisibles par machine. Demander un export exploitable, ce n’est pas être pénible, c’est protéger la continuité du projet.
Distinguer données brutes et résultats dérivés. Le texte vise les données brutes et prétraitées, avec les métadonnées nécessaires pour les comprendre. Un scoring propriétaire, un modèle prédictif ou un indicateur calculé par une méthode interne peut sortir du périmètre et relever du secret d’affaires.
Un bon export ne se limite pas au fichier. Il inclut le contexte qui permet de réutiliser les données sans deviner.
La réutilisation n’est pas illimitée pour autant. Dans un projet IA, on n’utilise pas les données d’un client pour améliorer une solution revendue à d’autres sans autorisation écrite.
Avant de promettre quoi que ce soit, clarifie ton rôle. C’est là que les contrats deviennent dangereux : le client pense acheter une conformité globale, alors que tu vends une prestation technique limitée.
| Ton rôle | Exemple de mission | Point de vigilance |
|---|---|---|
| Simple prestataire | Exporter une base, créer un dashboard | Ne pas promettre plus que le périmètre livré |
| Sous-traitant RGPD | Migrer un CRM avec prospects et tickets support | Signer ou vérifier le DPA |
| Éditeur SaaS freelance | Vendre un outil métier hébergé | Prévoir exports, suppression et assistance à la sortie |
| Intégrateur | Connecter Notion, HubSpot, Make ou une API | Documenter flux, accès et dépendances |
| Hébergeur indirect | Faire tourner l’application sur ton compte cloud | Cadrer sauvegardes, délais et coûts de sortie |
Dès que tu traites des données personnelles pour le compte du client, tu es sous-traitant RGPD. Le contrat de traitement (DPA) fixe alors les finalités, les catégories de données, la durée, la sécurité, les sous-traitants ultérieurs et la restitution en fin de mission. Le Data Act s’ajoute sans retirer aucune obligation RGPD.
Sur une mission IA, ce contrat doit aussi couvrir les embeddings, les logs de prompts et ce que conservent les fournisseurs de modèles. Liste les outils qui reçoivent des données (OpenAI, Make, Airtable, AWS…) et prévois comment supprimer l’index et les fichiers temporaires à la fin.
Si tu exploites ton propre SaaS, même petit, tu peux être directement visé par les obligations de changement de fournisseur. Et si tu es le seul à comprendre l’architecture, ton départ bloque le client. Ton livrable inclut une cartographie des flux, la liste des accès et une procédure d’export.
Si ta mission touche aux données d’un client, relis au moins ces points dans ton contrat et dans celui du fournisseur.
Propriété et réutilisation. « Les données restent la propriété du client » ne suffit pas. La clause doit distinguer données du client, données d’usage, livrables, scripts et modèles. Et dire si tu peux réutiliser les données pour tester, faire une démo ou entraîner un modèle. Si ce n’est pas écrit, tu t’abstiens.
Réversibilité. Quels exports et formats ? Pièces jointes, logs et historiques inclus ? Combien de temps pour récupérer les données après résiliation ? Quelle assistance est incluse, laquelle est facturée ? Que se passe-t-il si l’ancien outil limite l’API ?
Clauses abusives B2B. Le Data Act vise les clauses imposées unilatéralement sur l’accès et l’utilisation des données. Méfie-toi de celles qui empêchent le client d’obtenir une copie de ses données, autorisent une réutilisation large sans finalité ou imposent un préavis trop court pour migrer. Ton rôle est de les repérer et de recommander une relecture juridique, pas de trancher seul.
Responsabilité et recette. Une migration peut échouer à cause d’un export incomplet de l’éditeur ou de données corrompues. Limite ta responsabilité à ce que tu maîtrises et prévois une recette avant de couper l’ancien outil.
Le guide contrat de mission freelance détaille la rédaction de ces clauses. Côté cloud, la réversibilité est aussi un argument commercial : le guide devenir consultant FinOps freelance montre comment la vendre.
Ce qui protège le mieux un freelance, ce n’est pas une promesse large. C’est un périmètre précis, documenté et vérifiable.
Le Data Act ne doit pas te faire peur. Il t’oblige à poser de meilleures questions. Avant d’accepter une mission qui touche aux données d’un client, prends 30 minutes :
Et si ton client te dit que personne ne lui a jamais demandé ça, réponds que c’est justement ce qui évite les mauvaises surprises.
Oui, le statut ne change rien. Un micro-entrepreneur qui intervient sur des données client, un outil SaaS, une migration cloud ou un objet connecté peut être concerné. Le niveau d'obligation dépend du rôle joué, pas de la forme juridique.
Pas toujours, mais relis-les si tu manipules, héberges ou rends accessibles des données client. Elles doivent rester cohérentes sur la confidentialité, les outils tiers, la restitution, la suppression et les limites de responsabilité.
Non. Le Cloud Act permet à certaines autorités américaines de demander des données à des fournisseurs soumis au droit américain. Le Data Act européen prévoit au contraire des garanties contre l'accès de gouvernements de pays tiers aux données non personnelles détenues dans l'Union européenne.
25 juin 2026 · 9 min
8 mai 2026 · 8 min
4 juillet 2026 · 8 min
