Le Digital Markets Act impose aux contrôleurs d'accès des obligations croissantes de portabilité et d'accès temps réel aux données. Avec l'extension du DMA au cloud en 2026, les ETI doivent revoir leurs architectures d'API avant que ces droits ne deviennent exploitables.
Depuis son entrée pleine en application, le Digital Markets Act (DMA) inaugure une régulation ex ante inédite en Europe : au lieu de sanctionner a posteriori des abus déjà commis, il impose dès la désignation des "contrôleurs d'accès" (gatekeepers) des obligations structurantes — interopérabilité, portabilité, fin des auto-préférences, transparence publicitaire, neutralité des écosystèmes applicatifs. Jusqu'ici, ces obligations visaient surtout les moteurs de recherche, les magasins d'applications, les réseaux sociaux et la messagerie.
2026 marque un tournant. Le 25 juin 2026, la Commission européenne a annoncé ses conclusions préliminaires selon lesquelles Amazon Web Services (AWS) et Microsoft Azure devraient être désignés gatekeepers au titre du DMA pour leurs services de cloud computing. Fait notable : la Commission a désigné les deux entreprises comme gatekeepers alors même que leurs services cloud ne remplissaient pas les seuils quantitatifs du DMA pour la désignation. C'est la première fois que le règlement est appliqué sur une base purement qualitative, et la première fois qu'il touche l'infrastructure cloud elle-même — la couche sur laquelle reposent la quasi-totalité des systèmes d'information des entreprises européennes.
Pour justifier cette extension, la Commission estime, dans les deux cas, qu'AWS et Azure, respectivement premier et second fournisseurs de cloud en taille dans l'UE, constituent une passerelle importante entre les entreprises et leurs clients dans l'UE. Une décision finale sur la désignation est attendue d'ici la fin de l'année 2026, et les entreprises disposeraient de six mois à compter de la notification finale pour se mettre en conformité avec les obligations du DMA : interdiction de l'auto-préférence, interopérabilité renforcée, portabilité des données et encadrement des pratiques commerciales verrouillant les clients, dont les frais de sortie.
Pour comprendre les obligations à venir, il faut distinguer deux régimes juridiques distincts qui coexistent dans le règlement.
L'article 6(9) concerne la portabilité des données des utilisateurs finaux. Il prévoit que les gatekeepers doivent fournir aux utilisateurs finaux (et aux tiers autorisés) une portabilité effective — ainsi qu'un accès continu et en temps réel — aux données fournies ou générées par l'usage de la plateforme du gatekeeper. Concrètement, cela se traduit par des interfaces techniques dédiées : les gatekeepers doivent fournir la portabilité des données que les utilisateurs ont fournies ou générées en utilisant leur plateforme, des outils gratuits pour faciliter cette portabilité, ainsi qu'un accès continu et en temps réel à ces données. L'article 6(10), lui, s'adresse directement aux entreprises clientes des gatekeepers. Les gatekeepers doivent, sur demande et gratuitement, fournir aux utilisateurs professionnels (et à tout tiers autorisé) un accès continu et en temps réel aux données, y compris les données personnelles, fournies ou générées par l'utilisateur professionnel ou par les utilisateurs finaux interagissant avec les produits ou services de l'utilisateur professionnel dans le cadre de l'utilisation des services de plateforme essentiels du gatekeeper.
La différence entre les deux notions — accès et portabilité — est juridiquement structurante. L'obligation de "portabilité" exige la divulgation des données dans un format réutilisable et n'est donc pas identique à un simple "accès", mais les deux doivent être fournis sur une base continue et en temps réel. Pour une ETI qui consomme des API de plateformes cloud ou publicitaires désignées gatekeepers, cela signifie concrètement la possibilité d'extraire ses données non plus en batch mensuel mais en flux continu, dans un format structuré exploitable par un système tiers.
Un point de friction technique mérite une attention particulière pour les équipes data : l'articulation entre les exigences du DMA et celles du RGPD. Les gatekeepers désignés doivent garantir un "accès continu et en temps réel" aux données, ce qui peut nécessiter la mise en œuvre de solutions techniques complexes, alors que le RGPD prévoit que les responsables de traitement n'ont pas à adopter ou maintenir des systèmes techniquement compatibles. Par ailleurs, le champ de l'obligation de portabilité du DMA inclut les données à la fois fournies et générées par l'utilisateur, tandis que le champ des obligations du RGPD ne couvre que les données fournies par l'utilisateur.
Cette divergence a une conséquence directe pour les ETI qui construisent des pipelines d'ingestion de données tierces : le périmètre de ce qui est « portable » au titre du DMA est plus large que celui du droit à la portabilité du RGPD, mais sa mise en œuvre technique reste à la main des gatekeepers tant que des standards communs n'existent pas. Quand des données personnelles d'utilisateurs finaux sont en jeu, le partage de données au titre de l'article 6(10) du DMA ne peut avoir lieu que si l'utilisateur professionnel obtient le consentement préalable de l'utilisateur final et respecte le principe de minimisation des données du RGPD. Les équipes conformité et data doivent donc construire conjointement les mécanismes de recueil de consentement, sujet que nous développons par ailleurs dans le cadre de nos missions de conseil en gouvernance des données.
Sur le papier, les obligations sont claires. Dans les faits, l'accès aux API de portabilité reste inégal selon les gatekeepers. Une étude indépendante menée auprès de développeurs ayant tenté d'exploiter ces API a conclu qu'il subsiste des barrières significatives pour les développeurs souhaitant accéder aux API proposées par les gatekeepers ; si Alphabet est en tête en matière d'accessibilité, le processus reste lent et la vérification de sécurité constitue un obstacle important ; les autres gatekeepers devraient améliorer significativement leur accessibilité, et aucun participant n'a pu accéder aux outils de portabilité d'un autre gatekeeper.
Pour les ETI, ce constat a une implication opérationnelle directe : il ne faut pas se fier à la seule existence juridique d'un droit à la portabilité pour dimensionner un projet d'intégration. Chaque gatekeeper a construit sa propre approche technique. Google propose une Data Portability API, Microsoft fournit des outils d'export de données, et Meta a mis en place une fonctionnalité Download Your Information (DYI). Trois implémentations, trois formats, trois logiques d'authentification — ce qui impose aux équipes techniques des ETI de maintenir des connecteurs spécifiques plutôt qu'une interface unique.
L'extension annoncée du DMA à AWS et Azure est la plus directement concernée par les intégrations data des entreprises françaises. Si la désignation est confirmée, les obligations attendues porteraient notamment sur des exigences d'interopérabilité technique permettant à un client de basculer d'un cloud à un autre sans reconstruire son infrastructure, des droits de portabilité des données pour les workloads migrant vers un autre cloud ou vers le on-premise, et des limites sur les pratiques de self-preferencing.
Pour les équipes data des ETI, cela ouvre trois chantiers concrets à anticiper dès maintenant :
Un point rassurant pour les directions data des ETI : les obligations ne sont pas réservées aux grands comptes. Les obligations d'interopérabilité et de portabilité des données, si elles sont imposées, bénéficieraient à toutes les tailles de clients, y compris les PME et les startups qui subissent aujourd'hui les mêmes coûts de bascule que les grands comptes, proportionnellement plus lourds pour elles.
La temporalité réglementaire reste incertaine — une décision finale sur AWS et Azure est attendue d'ici la fin de l'année, avec une application opérationnelle probablement décalée à 2027. Mais l'expérience des gatekeepers déjà désignés (recherche, app stores, messagerie) montre que les équipes data qui ont anticipé la structuration de leurs flux d'échange ont gagné un temps précieux au moment de l'entrée en vigueur effective.
Trois réflexes sont à adopter dès maintenant par les directions data des ETI :
Ces chantiers recoupent largement les missions que nous menons avec nos clients ETI sur la structuration de leur architecture data et sur la mise en conformité de leurs flux d'API. Pour approfondir ces enjeux dans votre contexte sectoriel, notre équipe peut échanger directement avec vos équipes data et conformité.
Le DMA, en s'étendant du mobile vers le cloud, confirme une tendance de fond : la portabilité des données cesse d'être une option contractuelle négociée au cas par cas pour devenir une obligation structurelle intégrée dans l'architecture même des plateformes. Les ETI qui anticipent cette bascule dès 2026 éviteront les refontes précipitées lorsque les obligations deviendront pleinement opposables.
Nous utilisons des cookies de mesure d'audience et de suivi publicitaire pour comprendre la fréquentation du site et l'efficacité de nos annonces. Rien n'est déposé sans votre accord. En savoir plus