Data Act et robots chirurgicaux : quels droits pour les établissements de santé sur les données générées ?

SÉRIE « ROBOTS CHIRURGICAUX & DATA ACT » — ARTICLE 1

Eléonore Scaramozzino, Avocate au Barreau de Paris -Constellation Avocats

12 Novembre 2026

Un robot d’assistance chirurgicale produit à chaque intervention des milliers de données : cinématique des bras, durée d’utilisation des instruments, journaux d’erreurs, télémétrie. Ces données remontent le plus souvent vers les serveurs du fabricant. Depuis le 12 septembre 2025, le règlement européen sur les données (Data Act) donne à l’établissement de santé qui utilise le robot de véritables droits sur ces données. Ce premier article de notre série fait le point sur le champ d’application du texte, les droits ouverts aux établissements et leurs limites.

L’essentiel

• Les robots chirurgicaux et les dispositifs médicaux connectés sont des « produits connectés » au sens du Data Act. Aucune exclusion sectorielle ne les écarte.
• L’« utilisateur » titulaire des droits est, en principe, l’établissement de santé qui possède, loue ou se voit mettre à disposition le robot.
• Il peut accéder gratuitement aux données brutes et prétraitées du robot, et les faire transmettre au tiers de son choix (mainteneur indépendant, éditeur, entrepôt de données de santé…).
• Le fabricant ne peut exploiter les données non personnelles du robot qu’en vertu d’un contrat avec l’établissement : c’est un levier de négociation majeur.
• Ces droits s’exercent dans le respect du RGPD, de la sécurité des patients et du secret des affaires du fabricant.

1. Le Data Act s’applique-t-il aux robots chirurgicaux ?

1.1 Un texte applicable depuis le 12 septembre 2025

Le règlement (UE) 2023/2854 du 13 décembre 2023 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données (Data Act) est applicable depuis le 12 septembre 2025. L’obligation de concevoir les produits de manière à rendre les données directement accessibles (« access by design », article 3, § 1) s’applique quant à elle aux produits connectés mis sur le marché après le 12 septembre 2026.

Le règlement s’applique aux produits connectés mis sur le marché de l’Union et aux services connexes qui leur sont associés, quel que soit le lieu d’établissement du fabricant.

1.2 Le robot chirurgical, un « produit connecté »

Selon l’article 2, point 5, du Data Act, un produit connecté est un bien qui :

• obtient, génère ou collecte des données concernant son utilisation ou son environnement ;
• est capable de communiquer ces données par l’intermédiaire d’un service de communications électroniques, d’une connexion physique ou d’un accès sur l’appareil ;
• n’a pas pour fonction première le stockage, le traitement ou la transmission de données pour le compte d’une autre partie que l’utilisateur.

Les robots d’assistance chirurgicale (bras robotisés, consoles opératoires, instruments connectés, capteurs de force et de positionnement), les autres équipements du bloc opératoire connecté (« chirurgie 4.0 ») et les dispositifs médicaux communicants (implants cardiaques connectés, pompes à insuline, dispositifs de monitorage ou de télésurveillance) remplissent ces trois critères. Ils génèrent en continu des données techniques et d’usage (durée d’utilisation, angles articulaires, cinématique, télémétrie, cycles d’usure, journaux d’erreurs, calibrage des instruments) et disposent de fonctions d’export, de connexion réseau ou de synchronisation avec les serveurs du fabricant.

Les logiciels et plateformes du fabricant qui pilotent le robot à distance, en assurent la maintenance prédictive ou en analysent les performances peuvent, en outre, constituer des services connexes (article 2, point 6) soumis aux mêmes obligations.

Le Data Act ne prévoit aucune exclusion pour les dispositifs médicaux régis par le règlement (UE) 2017/745 (MDR) ou pour les dispositifs de diagnostic in vitro régis par le règlement (UE) 2017/746 (IVDR). Les deux corps de règles s’appliquent donc cumulativement.

Figure 1 – Les régimes applicables aux données des robots chirurgicaux et dispositifs médicaux connectés

1.3 Qui est l’« utilisateur » titulaire des droits ?

L’utilisateur est la personne physique ou morale qui possède le produit connecté ou à qui des droits temporaires d’utilisation ont été transférés par contrat (location, crédit-bail, mise à disposition), ou qui reçoit un service connexe (article 2, point 12).

Pour un robot chirurgical, l’utilisateur est donc en principe l’établissement de santé, qu’il ait acquis le robot ou qu’il en dispose dans le cadre d’un contrat de location ou de mise à disposition couplé à l’achat de consommables. Le chirurgien n’est généralement pas « utilisateur » au sens du texte. Le patient ne l’est pas davantage : il est en revanche la personne concernée au sens du RGPD lorsque les données le concernent. La situation est différente pour les dispositifs implantés ou portés par le patient, dont celui-ci peut être l’utilisateur.

1.4 Quelles données sont concernées ?

Le droit d’accès porte sur les données brutes (générées par les capteurs) et prétraitées (rendues exploitables sans analyse supplémentaire), ainsi que sur les métadonnées nécessaires à leur interprétation, comme l’horodatage. Il ne couvre pas les données dérivées ou déduites issues d’un traitement additionnel par le fabricant, par exemple un score de performance calculé par ses algorithmes.

Le chapitre II ne s’applique pas aux produits fabriqués par des micro et petites entreprises (article 7), hypothèse marginale pour les grands fabricants de robots chirurgicaux mais à vérifier pour certaines start-up de la medtech.

2. Quels sont les droits de l’établissement de santé ?

2.1 Une information avant la signature du contrat

Avant la conclusion du contrat d’achat, de location ou de crédit-bail, le vendeur ou le loueur doit fournir à l’établissement une information claire sur le type, le format et le volume estimé des données générées, leur caractère continu et en temps réel, leur lieu et leur durée de conservation, ainsi que les modalités d’accès, d’extraction et d’effacement (article 3, § 2 et 3).

Pour les établissements publics, cette obligation est un levier concret : elle peut être intégrée aux documents de la consultation et aux critères d’analyse des offres lors de l’achat d’un robot chirurgical.

2.2 L’accès par conception (« access by design »)

En application de l’article 3, § 1, les produits connectés mis sur le marché depuis le 12 septembre 2026 doivent être conçus et fabriqués de manière que les données de produit et de service connexe soient, par défaut, accessibles à l’utilisateur de façon simple, sécurisée et gratuite, dans un format complet, structuré, couramment utilisé et lisible par machine, et, lorsque cela est pertinent et techniquement possible, directement.

2.3 Le droit d’accès (article 4)

Lorsque l’établissement ne peut pas accéder directement aux données depuis le robot, le détenteur des données (le plus souvent le fabricant) doit les lui fournir, à sa demande, sans retard injustifié, gratuitement, dans un format structuré et lisible par machine, et, lorsque c’est pertinent et techniquement possible, en continu et en temps réel (article 4, § 1).

Figure 2 – Le droit d’accès de l’article 4 du Data Act

2.4 Le droit de partage avec un tiers (article 5)

L’établissement peut exiger que le détenteur transmette les données à un tiers de son choix, par exemple pour :

• permettre à un mainteneur ou réparateur indépendant d’assurer la maintenance préventive et corrective du robot ;
• alimenter un éditeur de logiciel d’interopérabilité ou une plateforme d’analyse agrégeant les données de dispositifs hétérogènes ;
• verser des données dans un entrepôt de données de santé ou un projet de recherche, sous réserve du respect du RGPD (voir ci-dessous).

La mise à disposition est gratuite pour l’établissement. Le détenteur peut en revanche demander au tiers destinataire une compensation raisonnable (article 9). Les entreprises désignées comme contrôleurs d’accès au titre du Digital Markets Act ne peuvent pas être destinataires (article 5, § 3).

Figure 3 – Qui accède à quelles données ? Robot chirurgical et dispositif médical implanté

2.5 Un encadrement de l’exploitation des données par le fabricant

C’est l’un des apports les plus importants du texte, et souvent le moins connu : le détenteur ne peut utiliser les données non personnelles facilement disponibles qu’en vertu d’un contrat avec l’utilisateur (article 4, § 13). Il ne peut pas non plus les mettre à disposition de tiers à des fins commerciales sans y avoir été autorisé par ce contrat (article 4, § 14).

Concrètement, l’exploitation par le fabricant des données d’usage du robot (amélioration de ses produits, entraînement d’algorithmes, études de marché) doit reposer sur une clause contractuelle conclue avec l’établissement. Celui-ci dispose ainsi d’une base de négociation pour encadrer ces usages, obtenir des contreparties ou un retour d’information.

3. Les limites : RGPD, sécurité des patients et secret des affaires

3.1 Le RGPD et le droit des données de santé prévalent

Le Data Act s’applique sans préjudice du RGPD et de la loi Informatique et Libertés. En cas de conflit, les règles de protection des données personnelles prévalent (article 1, § 5). Le Data Act ne crée aucune base légale nouvelle pour le traitement de données de santé :

• lorsque l’établissement n’est pas la personne concernée, le détenteur ne peut lui transmettre des données personnelles que s’il existe une base légale au sens de l’article 6 du RGPD et, pour les données de santé, une exception au titre de l’article 9 (article 4, § 12, du Data Act) ;
• en droit français, l’article 6 de la loi n° 78-17 du 6 janvier 1978 pose le principe d’interdiction du traitement des données de santé et renvoie aux exceptions applicables (soins, recherche dans le domaine de la santé selon les formalités prévues par la loi) ;
• des données pseudonymisées demeurent des données personnelles : seule une anonymisation effective les fait sortir du champ du RGPD ;
• lorsque des données de santé sont hébergées par un tiers pour le compte de l’établissement, les règles d’hébergement de données de santé (article L. 1111-8 du code de la santé publique) doivent être respectées.

3.2 La sécurité des patients et la cybersécurité

L’exercice des droits d’accès et de partage ne doit pas compromettre la sécurité du dispositif. L’établissement et le détenteur peuvent restreindre ou interdire par contrat l’accès, l’utilisation ou le partage des données lorsque ces opérations risqueraient de porter atteinte aux exigences de sécurité du produit prévues par le droit de l’Union ou national, avec des effets négatifs graves sur la santé ou la sécurité des personnes (article 4, § 2). Le détenteur qui refuse un partage pour ce motif doit le notifier à l’autorité compétente.

Ces restrictions s’articulent avec les exigences essentielles de sécurité, de performance et de cybersécurité du MDR. Un fabricant pourrait ainsi justifier le refus d’ouvrir un flux en temps réel pendant une intervention si cette ouverture créait une vulnérabilité pour l’intégrité de la procédure chirurgicale. Le raisonnement rejoint, par analogie, celui retenu par la Cour de justice en droit de la concurrence : dans l’arrêt Alphabet e.a. du 25 février 2025 (aff. C-233/23), elle a admis qu’un refus d’interopérabilité peut être justifié lorsque l’ouverture compromettrait l’intégrité ou la sécurité de la plateforme, ce motif devant être établi et non simplement invoqué.

3.3 L’interdiction de développer un produit concurrent

Ni l’établissement ni le tiers destinataire ne peuvent utiliser les données obtenues pour développer un produit connecté concurrent du robot dont elles sont issues (article 4, § 10, et article 6, § 2, e). L’établissement ne peut pas davantage les utiliser pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production du fabricant.

3.4 Le secret des affaires du fabricant

Le Data Act n’écarte pas le secret des affaires (algorithmes, code embarqué, savoir-faire), mais il en organise la conciliation avec le droit d’accès :

• les données protégées par le secret des affaires ne sont communiquées que si l’utilisateur et le détenteur ont pris les mesures de confidentialité nécessaires (accords de confidentialité, mesures techniques de protection) (article 4, § 6) ;
• à défaut d’accord sur ces mesures, ou si l’utilisateur ne les respecte pas, le détenteur peut suspendre le partage, par une décision motivée notifiée à l’autorité compétente (article 4, § 7) ;
• à titre exceptionnel, le détenteur peut refuser l’accès s’il démontre, au cas par cas et sur la base d’éléments objectifs, qu’il est hautement probable qu’il subisse un préjudice économique grave (article 4, § 8).

En droit français, la notion de secret des affaires est définie à l’article L. 151-1 du code de commerce. Surtout, l’article L. 151-7 du même code prévoit que le secret des affaires n’est pas opposable lorsque sa divulgation est requise ou autorisée par le droit de l’Union : le fabricant ne peut donc pas opposer un refus général et doit passer par les mécanismes, encadrés, du Data Act.

Ce point est en discussion : la proposition de règlement « omnibus numérique » présentée par la Commission le 19 novembre 2025, toujours en négociation, prévoit de renforcer les motifs de refus fondés sur le secret des affaires, notamment en cas de risque de transfert vers des pays tiers. Nous suivrons son évolution dans cette série.

4. Quels recours en cas de refus ?

En cas de désaccord, l’établissement peut saisir l’autorité compétente ou, d’un commun accord avec le détenteur, un organe de règlement des litiges certifié (article 10), sans préjudice d’une action devant les juridictions. En France, l’Arcep a vocation à être l’autorité compétente pour l’application du Data Act, la CNIL demeurant compétente pour les questions de données personnelles (projet de loi « DDADUE », adopté par le Sénat le 18 février 2026).

5. En pratique : ce que les établissements peuvent faire dès maintenant

1. Cartographier les robots et dispositifs connectés du bloc opératoire et identifier, pour chacun, le détenteur des données et le contrat applicable.
2. Exiger l’information précontractuelle de l’article 3 dans tout nouvel achat ou renouvellement, et l’intégrer aux documents de la consultation.
3. Formaliser une demande d’accès aux données des équipements existants (article 4) et, le cas échéant, une demande de partage vers un tiers (article 5).
4. Revoir les contrats d’acquisition, de location et de maintenance : clauses d’usage des données par le fabricant (article 4, § 13), confidentialité, maintenance tierce.
5. Associer le DPO et le RSSI pour sécuriser la base légale RGPD, l’anonymisation éventuelle et la cybersécurité des flux.

À suivre dans cette série

• RGPD et transferts des données issues des robots chirurgicaux
• Les clauses contractuelles : ce que le Data Act interdit (clauses abusives, article 13)
• Le contrat de maintenance conforme au Data Act
• Arcep : procédure et recours

Constellation Avocats accompagne les établissements de santé, les fabricants et les acteurs de la medtech dans la mise en conformité au Data Act, la négociation des contrats d’acquisition et de maintenance d’équipements connectés et la valorisation des données de santé. Pour échanger sur votre situation : Maitre Eléonore Scaramozzino escaramozzino@constellation.law

.

Références

• Règlement (UE) 2023/2854 (Data Act) — EUR-Lex
• Arcep — Le droit d’accès aux données dans le cadre du règlement sur les données
• CJUE, 25 février 2025, Alphabet e.a., C-233/23 — Curia
• Code de commerce, articles L. 151-1 et suivants — Légifrance

Cet article présente des informations générales à jour au 12 novembre 2026. Il ne constitue pas une consultation juridique et ne saurait se substituer à un conseil adapté à votre situation.