Data Act : données des robots chirurgicaux, RGPD et recours

SÉRIE « ROBOTS CHIRURGICAUX & DATA ACT » — ARTICLE 2

Eléonore Scaramozzino, Avocate au Barreau de Paris-Constellation

14 Novembre 2026

Le règlement (UE) 2023/2854 sur les données (Data Act) bouleverse l’économie du service après-vente et de la maintenance des robots chirurgicaux et dispositifs médicaux connectés. Le fabricant, détenteur des données, doit rendre les données générées par l’équipement accessibles à l’établissement utilisateur ou au mainteneur tiers de son choix. Cette ouverture doit être conciliée avec la protection des secrets d’affaires, le RGPD et le code de la santé publique. Après un premier article consacré aux droits des établissements, ce deuxième volet précise quelles données peuvent être transférées, à quelles conditions et selon quelles voies de recours.

L’essentiel

Seules les données brutes et prétraitées (et leurs métadonnées) sont « portables » ;
les données dérivées par les algorithmes du fabricant en sont exclues.
Un fabricant qui présente des données brutes comme « enrichies » pour échapper à ses obligations peut être confondu par un audit technique, une mesure d’instruction in futurum ou l’intervention du régulateur.
Le secret des affaires n’est pas un motif de refus général : il se gère par des mesures de confidentialité ; le refus reste exceptionnel et doit être notifié à l’autorité compétente
Tout transfert de données issues d’un dispositif médical suppose une vérification RGPD préalable : base légale, secret médical, pseudonymisation, sécurité, transferts hors UE.
La compensation demandée au tiers destinataire doit être équitable, raisonnable et non discriminatoire (FRAND) ; elle est limitée aux coûts pour les PME et organismes de recherche.

1. Quelles données sont « portables » ?

1.1 Données brutes et données enrichies

Le Data Act distingue les données générées par l’utilisation du produit connecté (données brutes, prétraitées et métadonnées), accessibles de plein droit, et les données dérivées ou inférées issues d’un investissement algorithmique propre au fabricant, qui ne relèvent pas du droit d’accès (art. 2, points 1, 15 et 16 ; considérants 14 à 16).

Critère	Données brutes et prétraitées : accès garanti par le Data Act	Données dérivées ou inférées : hors périmètre
Origine	Générées directement par les capteurs, l’usage de l’opérateur ou les composants matériels du dispositif (télémétrie brute, journal des erreurs, cycles moteurs, température, pressions, état de la batterie).	Calculées a posteriori par un traitement propre au fabricant, reposant sur des algorithmes complexes ou des modèles d’IA.
Degré de traitement	Données brutes et données prétraitées nécessaires à leur lisibilité : conversion du signal binaire en unités métriques, horodatage, filtrage du bruit des capteurs, métadonnées de structure.	Analyses prédictives, scores de maintenance prédictive, diagnostics algorithmiques, corrélations issues de modèles d’apprentissage profond.
Régime d’accès	Accès obligatoire et gratuit pour l’utilisateur, sans retard injustifié, dans un format structuré et lisible par machine (art. 4) ; partage avec un tiers sur demande (art. 5).	Pas d’obligation de communication au titre du Data Act ; protection éventuelle par le secret des affaires ou la propriété intellectuelle.
Exemples (chirurgie robotique)	Angles d’articulation des bras, coordonnées spatiales brutes, durée des temps de veille, journaux de tension électrique.	Modèle probabiliste d’usure mécanique, score d’efficacité clinique calculé par l’IA du fabricant.

Tableau – Données brutes et données enrichies issues d’un robot chirurgical

1.2 Comment prouver qu’une donnée « enrichie » est en réalité une donnée brute ?

Un fabricant peut être tenté de présenter des données brutes comme des données dérivées pour échapper à ses obligations. Plusieurs leviers techniques et juridiques permettent de rétablir la qualification.

Audit technique et analyse des métadonnées

Horodatage et structure du signal : une corrélation directe entre les journaux d’événements du matériel (capteurs de couple, télémétrie robotique, pressions, durées de fonctionnement) et les séries temporelles transmises par le fabricant révèle l’absence de transformation algorithmique substantielle.
Formats d’export : des fichiers structurés génériques (JSON, CSV, journaux XML bruts), sans enrichissement sémantique ni modélisation prédictive propriétaire, plaident pour la qualification de données brutes.

Mesures d’instruction in futurum (art. 145 CPC)

Motif légitime et séquestre provisoire : l’établissement utilisateur peut solliciter du juge, en référé ou sur requête, une mesure d’instruction avant tout procès pour établir la chaîne de traitement informatique et l’absence de modification substantielle des flux.
Expertise technique : le juge peut désigner un expert informatique indépendant chargé de vérifier si la prétendue valeur ajoutée ne se réduit pas à une conversion de format ou à un chiffrement artificiel.

Les pouvoirs du régulateur

Inopposabilité du secret des affaires à l’autorité : le secret des affaires n’est pas opposable lorsque sa divulgation est requise ou autorisée par le droit de l’Union ou le droit national, notamment dans l’exercice des pouvoirs d’enquête et de contrôle des autorités administratives (art. L. 151-7 C. com.).
Transparence des coûts : dans le cadre de ses procédures de règlement des différends, l’Arcep peut exiger la production d’éléments comptables justificatifs. Elle l’a fait, en matière de réseaux de fibre optique, dans sa décision n° 2024-1278-RDPI du 11 juin 2024. Une logique comparable pourrait s’appliquer aux coûts d’« enrichissement » allégués par un fabricant.

1.3 La clause de portabilité des données

Les contrats d’acquisition, de location et de maintenance devraient comporter une clause d’accès et de portabilité conforme au Data Act prévoyant notamment :

la mise à disposition continue, directe et sans frais des données brutes et métadonnées générées par l’équipement ;
l’accès par des interfaces sécurisées et des standards ouverts (API) ;
la faculté de transfert à des tiers désignés par l’établissement ;
l’encadrement du secret des affaires sans entrave à l’accès effectif ;
l’interdiction d’utiliser les données pour concevoir un produit concurrent ;
les stipulations de conformité au RGPD propres aux données de santé.

2. Le secret des affaires est-il opposable ?

Le Data Act permet au détenteur de subordonner la communication de données contenant des secrets d’affaires à des mesures techniques et organisationnelles appropriées (art. 4, § 6 à 8, pour l’accès par l’utilisateur ; art. 5, § 9 à 11, pour le partage avec un tiers). Le secret ne constitue pas, en revanche, un motif général de refus.

2.1 Trois conditions cumulatives, à la charge du fabricant

Il appartient au détenteur de démontrer que l’information remplit les trois critères de l’article L. 151-1 du code de commerce :

Caractère non public : l’information (plans techniques, schémas de codage, coûts de revient, marges) n’est pas généralement connue ou aisément accessible aux professionnels du secteur.
Valeur commerciale, effective ou potentielle, tenant à son caractère secret.
Mesures raisonnables de protection mises en place en amont : marquage « secret des affaires », accords de confidentialité, sécurisation informatique.

2.2 Articuler portabilité et savoir-faire protégé

Le principe : le partage, assorti de mesures de protection. Le détenteur ne peut invoquer un secret d’affaires pour refuser de manière générale la portabilité. Il doit communiquer les données dès lors que des mesures appropriées sont convenues : accords de confidentialité, chiffrement, interfaces d’accès restreintes.

La séparation technique. Lorsque la télémétrie brute est entremêlée avec des algorithmes ou un savoir-faire exclusif, les parties organisent une séparation logique :

extraction des données brutes : seules les variables d’état, de diagnostic et d’usage sont exportées dans un format standardisé et interopérable ;
protection des éléments algorithmiques : pondérations internes, codes sources et logiques propriétaires restent sous séquestre ou sont masqués.

La suspension. Si les parties ne s’accordent pas sur les mesures nécessaires, ou si l’utilisateur ou le tiers ne les respecte pas, le détenteur peut suspendre le partage des données concernées, par une décision motivée notifiée à l’autorité compétente (art. 4, § 7 ; art. 5, § 10).

L’exception : le refus. À titre exceptionnel, le détenteur peut refuser la communication (art. 4, § 8 ; art. 5, § 11) s’il démontre, au cas par cas et sur la base d’éléments objectifs, qu’en dépit des mesures de protection il est hautement probable que la divulgation lui cause un préjudice économique grave. Il doit motiver son refus par écrit et le notifier sans retard injustifié à l’autorité compétente.

Ce régime pourrait évoluer : la proposition de règlement « omnibus numérique » de la Commission (19 novembre 2025), en cours de négociation, envisage d’élargir les motifs de refus, notamment en cas de risque de transfert de secrets d’affaires vers des pays tiers.

2.3 Les recours contre un refus abusif

Si le fabricant refuse de communiquer les données, ou exige des mesures de protection disproportionnées qui rendent l’accès impossible, plusieurs voies sont ouvertes :

La saisine de l’autorité compétente (art. 37 du Data Act) : en France, l’Arcep a vocation à exercer ce rôle, en coordination avec la CNIL pour les données personnelles. Le projet de loi « DDADUE », adopté par le Sénat le 18 février 2026, prévoit de lui confier des pouvoirs d’enquête, de sanction et de règlement des différends au titre du Data Act.
Les organes certifiés de règlement des litiges (art. 10) : les parties peuvent leur soumettre un différend relatif aux conditions d’accès, au caractère FRAND de la compensation ou aux mesures de protection du secret des affaires. La décision ne lie les parties que si elles en sont expressément convenues.
Le référé : le juge des référés du tribunal judiciaire ou du tribunal des activités économiques peut ordonner sous astreinte la communication des données, pour faire cesser le trouble manifestement illicite résultant de la violation d’une obligation légale de partage (art. 835 et 873 CPC).
La mesure d’instruction in futurum (art. 145 CPC) : elle permet d’obtenir la production des données ou des preuves techniques du refus. Le juge applique alors le régime procédural de protection du secret des affaires (art. L. 153-1 et R. 153-1 et s. C. com.) : séquestre provisoire, consultation en cercle restreint, communication sous forme de résumé.

Devant le juge, la Cour de cassation admet que le droit à la preuve peut justifier la production d’éléments couverts par le secret des affaires, à condition que cette production soit indispensable et proportionnée au but poursuivi (Cass. com., 5 février 2025, n° 23-10.953). Et, plus largement, le secret des affaires n’est pas opposable lorsque la communication est requise par le droit de l’Union (art. L. 151-7 C. com.) : le fabricant doit donc passer par les mécanismes encadrés du Data Act.

3. Check-list RGPD avant tout transfert de données issues d’un dispositif médical

Le Data Act s’applique sans préjudice du droit de la protection des données personnelles, qui prévaut en cas de conflit (art. 1, § 5). En matière de santé, le niveau d’exigence est renforcé.

3.1. Qualifier les données et les acteurs

Les données : les données techniques (journaux, mesures biomécaniques, images opératoires) révèlent-elles, même indirectement, l’état de santé d’un patient ? Si oui, ce sont des données concernant la santé (art. 4, point 15, et art. 9 RGPD).
Les parties : le mainteneur tiers intervient-il comme sous-traitant de l’établissement (art. 28 RGPD) ou comme responsable de traitement distinct ?

3.2. Identifier la base légale et l’exception (art. 6 et 9 RGPD)

Base de licéité (art. 6) : exécution d’un contrat, obligation légale, mission d’intérêt public…
Exception à l’interdiction (art. 9, § 2) : gestion des systèmes et services de soins de santé (point h), motifs d’intérêt public dans le domaine de la santé publique, tels que la matériovigilance et la sécurité des dispositifs médicaux (point i).

3.3. Respecter le secret médical (code de la santé publique)

Articles L. 1110-4 et L. 1110-12 CSP : les prestataires techniques ne font pas partie de l’équipe de soins et ne doivent pas accéder à des données médicales identifiantes inutiles à la maintenance.
Accès distants encadrés : pas d’accès permanent sans contrôle de l’établissement (validation des sessions, interdiction des comptes génériques non traçables).

3.4. Sécuriser et pseudonymiser (art. 32 RGPD)

Pseudonymisation robuste : séparer les données utiles à la maintenance de tout identifiant direct du patient.
Risque de ré-identification : des données pseudonymisées restent des données personnelles. La CNIL l’a rappelé en sanctionnant un responsable d’entrepôts de données de santé de 5 millions d’euros (délib. SAN-2026-008 du 26 mai 2026).
Chiffrement des flux et des bases, authentification multifacteur.

3.5. Documenter (AIPD et contrats)

Analyse d’impact (art. 35 RGPD) à jour, intégrant les risques propres à la maintenance à distance.
Contrat de sous-traitance (art. 28, § 3 RGPD) : clauses d’audit et notification des violations au responsable de traitement dans les meilleurs délais, pour lui permettre de notifier la CNIL dans les 72 heures (art. 33).

3.6. Encadrer les flux hors de l’Union (art. 44 et s. RGPD)

Télémaintenance ou hébergement hors EEE : clauses contractuelles types de la Commission et analyse d’impact du transfert (TIA).
Hébergement par un prestataire certifié HDS (art. L. 1111-8 CSP).

4. La compensation due par le tiers : le principe FRAND

Toute mise à disposition de données à un tiers doit se faire à des conditions équitables, raisonnables et non discriminatoires (FRAND) (art. 8). Le contrat entre le fabricant et le tiers destinataire, par exemple un mainteneur indépendant, devrait prévoir :

Une compensation raisonnable (art. 9) : elle tient compte des coûts de mise à disposition (formatage, diffusion électronique, stockage) et des investissements dans la collecte et la production des données ; elle peut inclure une marge. Lorsque le destinataire est une PME ou un organisme de recherche à but non lucratif, elle ne peut excéder les coûts. La méthode de calcul doit être communiquée au destinataire.
La non-discrimination (art. 8, § 3) : pas de différence de traitement injustifiée entre catégories comparables de destinataires, y compris les entreprises partenaires ou liées au fabricant.
Les spécifications techniques : fréquence d’extraction (temps réel, continu ou par lots), protocoles de transmission sécurisés, formats structurés, ouverts et lisibles par machine (JSON, XML, CSV).
L’exclusion des clauses abusives (art. 13) : une clause relative à l’accès aux données ou à la responsabilité imposée unilatéralement à une autre entreprise ne la lie pas si elle est abusive. C’est le cas, par exemple, d’une clause excluant la responsabilité pour faute lourde ; est présumée abusive celle qui permet au détenteur de modifier unilatéralement la nature, le format ou la qualité des données à partager.
Le recours à un organe de règlement des litiges certifié (art. 10) pour tout différend tarifaire ou technique.

5. Saisir l’Arcep : ce que prévoit le projet de loi

À noter. Les procédures décrites ci-dessous reposent sur le projet de loi « DDADUE », qui doit confier à l’Arcep des pouvoirs de règlement des différends et de sanction au titre du Data Act, sur le modèle des articles L. 36-8 et L. 36-11 du code des postes et des communications électroniques (CPCE). Elles devront être confirmées par le texte définitivement adopté.

5.1 Deux voies distinctes

La réclamation pour manquement, qui vise à faire constater le manquement du détenteur et peut déclencher une procédure d’enquête et de sanction (modèle de l’art. L. 36-11 CPCE).
Le règlement de différend, procédure contradictoire permettant à l’Arcep de trancher un litige technique ou tarifaire et de fixer des conditions d’accès équitables et contraignantes (modèle de l’art. L. 36-8 CPCE).

Lorsque le litige porte sur des données personnelles, notamment de santé, l’Arcep et la CNIL ont vocation à coopérer. Si le refus caractérise un abus de position dominante, l’Autorité de la concurrence peut également être saisie.

5.2 La procédure de sanction

Sur le modèle de l’article L. 36-11 du CPCE, la procédure repose sur une séparation entre les fonctions de poursuite et d’instruction, exercées par la formation de règlement des différends, de poursuite et d’instruction (RDPI), et la fonction de jugement, confiée à la formation restreinte (art. L. 130 CPCE). Elle est distincte de la procédure de règlement des différends, qui ne permet pas de prononcer de sanction.

Instruction et mise en demeure : saisie par une personne intéressée ou agissant d’office, la formation RDPI ouvre une instruction et, si un manquement est caractérisé, met l’entreprise en demeure de s’y conformer dans un délai déterminé. En cas d’atteinte grave et immédiate, des mesures conservatoires peuvent être ordonnées.
Notification des griefs : à défaut de mise en conformité, les griefs sont notifiés et le dossier transmis à la formation restreinte, dont les membres n’ont participé à aucun acte de poursuite.
Phase contradictoire : l’entreprise consulte le dossier, présente ses observations écrites et est entendue, assistée de ses conseils.
Décision : la formation restreinte délibère hors la présence du rapporteur. Dans le cadre actuel du CPCE, l’amende peut atteindre 3 % du chiffre d’affaires hors taxes (5 % en cas de réitération) ; les plafonds applicables au Data Act seront fixés par la loi d’adaptation (art. 40 du Data Act). La décision peut être publiée.

5.3 Délais et recours

Prescription : sur le modèle du CPCE, l’Arcep ne peut être saisie de faits remontant à plus de trois ans sans acte tendant à leur recherche, leur constatation ou leur sanction.
Décisions de règlement de différend : recours en annulation ou en réformation devant la cour d’appel de Paris dans le délai d’un mois suivant leur notification, puis pourvoi en cassation dans le délai d’un mois (art. L. 36-8 CPCE).
Décisions de sanction : recours de pleine juridiction devant le Conseil d’État. Le recours n’étant pas suspensif, un référé-suspension peut être formé (art. L. 521-1 CJA), sous condition d’urgence et de doute sérieux sur la légalité de la décision.

À suivre dans cette série

Les clauses contractuelles : ce que le Data Act interdit
Le contrat de maintenance conforme au Data Act
Saisir l’Arcep : retour sur le texte définitif

Constellation Avocats accompagne les établissements de santé, les fabricants et les acteurs de la medtech dans la mise en conformité au Data Act, la négociation des contrats d’acquisition et de maintenance d’équipements connectés, la protection du secret des affaires et la conformité RGPD des transferts de données de santé. Pour échanger sur votre situation : contacter Me Eléonore Scaramozzino, escaramozzino@constellation.law ou sur rendez-vous au 8 rue Saint Fiacre 75002 PARIS

Références

Cet article présente des informations générales à jour au 14 novembre 2026. Il ne constitue pas une consultation juridique et ne saurait se substituer à un conseil adapté à votre situation.

Data Act et robots chirurgicaux : à quelles conditions transférer les données ?

SÉRIE « ROBOTS CHIRURGICAUX & DATA ACT » — ARTICLE 2

Eléonore Scaramozzino, Avocate au Barreau de Paris-Constellation