Data Act (Reglamento (UE) 2023/2854):
Data Act (Reglamento (UE) 2023/2854):
Coordenadas prácticas y obligaciones clave para las empresas en la nueva economía del dato
La gestión y el acceso al dato se han convertido en un elemento estratégico para la competitividad de las organizaciones. En este contexto, el Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828 (en adelante, “Data Act”) se erige como pieza central de la Estrategia Europea de Datos, al fijar las reglas horizontales sobre quién puede acceder a y usar datos generados por productos conectados y servicios relacionados y al introducir obligaciones específicas para servicios de procesamiento de datos como cloud y edge computing.
La arquitectura del Data Act cubre, entre otros, el acceso por diseño y reutilización de datos, condiciones contractuales B2B, acceso del sector público en casos de necesidad excepcional, cambio de proveedor (cloud switching) y requisitos de interoperabilidad (incluidos smart contracts que ejecuten acuerdos de compartición de datos).
A diferencia del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de datos de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, “RGPD”), centrado exclusivamente en la protección de datos personales, el Data Act abarca tanto datos personales como no personales, y prioriza el acceso y uso del dato como activo económico, corrigiendo las asimetrías de poder existentes entre fabricantes, proveedores de servicios y usuarios -tanto empresas, como consumidores finales-. La coordinación con el RGPD es obligada cuando haya datos personales -pues prevalece el RGPD como norma especial-. A su vez, el Data Act incorpora salvaguardas para secretos empresariales y derechos de propiedad intelectual.
El Data Act afecta a fabricantes de productos conectados que se comercializan en la Unión Europea (en adelante, “UE”), a proveedores de servicios de procesamiento de datos (IasS, PaasS, SaaS, edge), así como terceros receptores de datos. Adicionalmente, cabe tener presente que la aplicación es extraterritorial cuando los productos o servicios se comercializan u ofrecen a usuarios de la UE o se prestan servicios de tratamiento en el mercado europeo o tratan datos de clientes de la UE.
Principales tareas u obligaciones para las organizaciones
1. Identificación del ámbito de aplicación
El primer paso para cualquier organización consiste en determinar si se encuentra dentro del ámbito de aplicación del Reglamento. Para ello, deberá de valorarse si la entidad en cuestión, comercializa productos conectados o presta servicios relacionados en el mercado de la UE. En caso afirmativo, la organización se encontrará dentro del ámbito de aplicación del Data Act.
Adicionalmente, por un lado, deberá realizarse la identificación del rol bajo el Data Act, que se determinar en función de las siguientes categorías: (i) fabricante de producto conectado (IoT, consumo o industrial), (ii) proveedor de servicio relacionado (apps, plataformas, asistentes virtuales), (iii) titular de datos que tiene control de hecho sobre los datos generados, (iv) usuario, (v) tercero receptor al que el usuario designa para recibir los datos, (vi) proveedor de servicio de procesamiento de datos con acceso bajo demanda a recursos de computación escalable (definición amplia de cloud), (vii) organismo del sector público u órgano de la UE con derecho de acceso a datos en caso de necesidad excepcional.
Por otro lado, resultará esencial identificar la tipología de datos personales afectados, para ver si se encuentran dentro del ámbito de aplicación. Los “datos fácilmente disponibles” del producto o servicio incluyen datos observados y preprocesados (p. ej., telemetría, estados, métricas de rendimiento, metadatos). Quedarían fuera los datos inferidos o derivados (analítica, scores o modelizaciones posteriores del fabricante/proveedor).
En términos prácticos, y con ánimo meramente ilustrativo, podrían entrar dentro del ámbito de aplicación los fabricantes de electrodomésticos inteligentes y productos wearables que generan telemetría de uso, maquinaria industrial o automoción conectada, apps disponibles en los productos anteriores como wearables, así como asistentes virtuales, así como distribuidores o integradores, clientes empresariales o proveedores cloud/edge.
2. Acceso y uso del dato: “acceso por diseño” derechos del usuario y límites.
El Data Act introduce un conjunto de derechos y obligaciones que transforman la relación entre fabricantes, proveedores y usuarios:- Acceso por diseño y cronograma: los productos conectados y servicios relacionados deben permitir el acceso por defecto a los datos fácilmente disponibles y metadatos necesarios, con aplicación general desde el 12 de septiembre de 2025 y transiciones concretas sobre determinados elementos técnicos de diseño y rotulado hasta 2026 y 2027, según el producto.
- Derecho a compartir datos con terceros: el usuario -tanto empresas, como consumidores finales-, podrá obtener sus datos o designar a un tercero para recibirlos en formato estructurado, de uso común y legible por máquina, excluyendo los datos inferidos o derivados.
- Interoperabilidad y estandarización: el suministro debe favorecer la interoperabilidad, por lo que la Comisión podrá impulsar estándares y actos de ejecución, así como publicar modelos contractuales para facilitar el intercambio B2B en condiciones FRAND.
- Condiciones FRAND (Fair, Reasonable and Non-Discriminatory) y términos abusivos B2B: cualquier acceso y uso de los datos generados por productos conectados y servicios debe ser justa, razonable y no discriminatoria y gozar de una compensación razonable. Además, el Data Act invalida, cuando sean impuestas unilateralmente, ciertas cláusulas abusivas en contratos B2B de acceso o uso de datos.
- Transparencia precontractual: antes de la contratación debe informarse al usuario sobre qué datos se generan, cómo se almacenan y quién puede acceder a ellos, así como los fines y condiciones de acceso.
3. Acceso del sector público en situaciones excepcionales
Las administraciones y organismos de la UE pueden requerir datos a empresas en casos de “necesidad excepcional” como emergencias públicas, respetando la debida proporcionalidad y respeto a la confidencialidad, secreto y derechos de propiedad intelectual y, en su caso, compensación. Las empresas deben establecer procedimientos que permitan responder de forma ágil y segura a estas solicitudes garantizando la evaluación, trazabilidad, medidas técnicas y/o contractuales, así como la integridad y seguridad de los datos.4. Obligaciones específicas para servicios cloud y edge
Uno de los ejes más relevantes del Data Act es la reducción de barreras para facilitar la migración de proveedor en la nube mediante, entre otras medidas: (i) la portabilidad y eliminación de barreras técnicas o comerciales, garantizando la eliminación de impedimentos para que el cliente pueda migrar su información y servicios; (ii) la interoperabilidad, asegurando que los proveedores hagan uso de APIs o interfaces abiertas que permitan que distintos sistemas se comuniquen entre sí y de formatos compatibles; y, (iii) las salvaguardas frente a accesos indebidos, estableciendo obligaciones adicionales para evitar accesos no autorizados, especialmente desde terceros países.Estas medidas buscan reforzar la competencia en el mercado cloud y facilitar la creación de ecosistemas interoperables.
5. Protección de secretos empresariales y coordinación con el RGPD
Debe de garantizarse un correcto equilibrio a fin de que el intercambio de datos no comprometa los secretos empresariales ni la información confidencial de la compañía, o genere mayores riesgos en este ámbito. En este sentido. el Data Act exige la adopción de medidas para evitar divulgaciones indebidas y obliga a coordinar cualquier tratamiento de datos personales con los principios y garantías consolidadas por el RGPD y el criterio de las autoridades europeas en materia de protección de datos personales.En términos prácticos, esto se traduce en medidas técnicas, organizativas y contractuales como NDA reforzados, entornos seguros, marcado y segmentación de logs, entre otros.
6. Contratos y operación interna: de la teoría a la práctica.
El Data Act introduce nuevas exigencias ya comentadas en el presente artículo, lo que se traduce, en el ámbito de la contratación, en (i) cláusulas de acceso por diseño y transparencia; (ii) términos FRAND para B2B; (iii) cláusulas prohibidas cuando se impongan unilateralmente; (iv) switching adendum en cloud/edge; (v) salvaguardas de secretos y trade-secret handling; o, (vi) Smart contracts con requisitos de seguridad, parada segura y reset.Además, las organizaciones deben revisar y adecuar a nivel operativo sus procesos internos, establecer mapas de datos y reforzar los mecanismos de autenticación, registro y auditoría a fin de garantizar que son capaces de cumplir con las obligaciones establecidas por este nuevo marco normativo.
Hacia un nuevo modelo empresarial impulsado por el dato
La entrada en aplicación del Data Act supone mucho más que una actualización normativa, representa un cambio cultural en la forma de gestionar los datos en las organizaciones y la relación con los usuarios. En un entorno donde los dispositivos conectados, la inteligencia artificial y los modelos basados en datos avanzan a gran velocidad, disponer de un marco claro para el acceso, uso e intercambio del dato será una ventaja competitiva determinante. Este marco normativo deberá de tener una transposición en el modelo de negocio de las organizaciones y en todos sus procesos y políticas.Así pues, el Data Act es una palanca estratégica: las empresas que alineen producto, contratos y operación con los hitos 2025‑2027 reducirán riesgos y podrán monetizar datos respetando RGPD, secretos y propiedad intelectual. La anticipación (datos, cloud, B2B) será diferencial.
Cronograma de aplicación
- 11 de enero de 2024 àEntrada en vigor del Data Act.
- 12 de septiembre de 2025 àAplicación general (IoT: derechos del usuario y obligaciones de data holder; B2B FRAND/unfair terms; cloud switching e interoperabilidad; public sector access por necesidad excepcional).
- 2026–2027 à Hitos escalonados (p. ej., requisitos técnicos/rotulado y elementos de diseño aplicables a productos introducidos en el mercado a partir de 2026/2027; prohibición total de switching charges desde 12.01.2027).
Régimen de cumplimiento y sanciones
En materia de autoridades de control, se establece la obligación de los Estados miembros de designar autoridades competentes y un régimen sancionador “efectivo, proporcionado y disuasorio”.Por último, cabe recordar que el Data Act no fija cuantías cerradas en su régimen sancionador, pero diversos análisis prevén alineación con niveles del RGPD , con lo que podría alcanzarse hasta 4% de la facturación global o 20 M€, en función de las transposiciones nacionales que se vayan adoptando-.
