El pasado 11 de enero de 2024 entró en vigor el Reglamento Europeo 2023/2854 sobre normas armonizadas para un acceso justo a los datos y su utilización (“Data Act” o “Reglamento de Datos”).
Antecedentes y objetivo de la Data Act
Debido al creciente uso del Internet de las Cosas (IoT), y la aparición de empresas de gran tamaño que han acumulado y monetizado grandes volúmenes de datos, ha surgido la necesidad de ofrecer una mayor equidad en la distribución del valor de los datos entre los distintos agentes del mercado. En palabras de la Comisión Europea, se trata de una norma clave en la Estrategia Europea de Datos que complementará las medidas ya adoptadas con la Ley de Gobernanza de Datos, cuya entrada en vigor tuvo lugar en septiembre de 2023.
En este sentido, si bien la Ley de Gobernanza de Datos regula los procesos que facilitan el intercambio voluntario de datos, la Data Act aclara quién puede crear valor a partir de los datos y en qué condiciones. Con la aplicación conjunta de estas normas, la Unión Europea (UE) pretende facilitar un acceso fiable y seguro a los datos y contribuir al establecimiento de un mercado único de datos.
Por tanto, el objetivo principal de la Data Act es facilitar el intercambio y la reutilización de datos entre los diferentes agentes del mercado único digital. Los productos conectados deberán diseñarse y fabricarse de forma que los usuarios (empresas o consumidores) puedan acceder, utilizar y compartir los datos generados de una forma fácil y segura. Dicho lo anterior, es importante destacar que la Data Act es aplicable tanto a los datos personales como no personales y, por lo tanto, interactúa con el Reglamento General de Protección de Datos (RGPD), si bien, cuando se trate de datos personales deberá prevalecer, en tanto que norma especial, el RGPD.
En cuanto a la aplicación subjetiva de la Data Act, se aplicará a:
- los fabricantes de productos conectados introducidos en el mercado de la UE, y los proveedores de servicios relacionados, independientemente del lugar de establecimiento;
- los usuarios de la UE de dichos productos conectados o servicios;
- los titulares de datos, con independencia del lugar de establecimiento, que pongan datos a disposición de los destinatarios de datos de la Unión;
- los destinatarios de datos de la UE a cuya disposición se ponen datos;
- los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la UE que soliciten a los titulares de datos que pongan datos a su disposición cuando exista una necesidad excepcional de dichos datos para el desempeño de alguna tarea específica realizada en interés público, y a los titulares de datos que proporcionen esos datos en respuesta a dicha solicitud;
- los proveedores de servicios de tratamiento de datos, con independencia de su lugar de establecimiento, que presten dichos servicios a clientes de la Unión y;
- los participantes en espacios de datos y proveedores de aplicaciones que utilicen contratos inteligentes y personas cuya actividad comercial, empresarial o profesional implique el despliegue de contratos inteligentes para terceros en el contexto de la ejecución de un acuerdo.
En cambio, las obligaciones dispuestas en la Data Act, con carácter general, no se aplicarán a los datos generados mediante el uso de productos conectados fabricados o diseñados o servicios relacionados prestados por una microempresa o pequeña empresa.
Lo mismo aplicará a las empresas que hayan adquirido la consideración de “medianas empresas” hace menos de un año, y cuando se trate de productos conectados, durante un año después de que una mediana empresa los haya introducido en el mercado.
Principales medidas y objetivos estratégicos
La Data Act pretende alcanzar los siguientes objetivos:
- Aumentar la seguridad jurídica para las empresas y los consumidores que participan en la generación de datos, especialmente en el IoT, estableciendo normas claras sobre el uso permisible de los datos y las condiciones asociadas para facilitar la transferencia entre los titulares de los datos y los usuarios.
- Mitigar el abuso de desequilibrios contractuales que impiden un intercambio equitativo de datos, protegiendo las condiciones contractuales injustas. Especialmente, proteger a las PYMES contra prácticas desleales de las grandes empresas que ejercen una posición en el mercado considerablemente más fuerte. En este sentido, se facilitarán modelos de cláusulas contractuales no vinculantes que favorezcan el equilibrio en las negociaciones de intercambio de datos.
- Permitir a los organismos públicos poder acceder a los datos en poder del sector privado y utilizarlos con fines de interés público, como, por ejemplo, en situaciones de emergencia o mandato legal. Promover la competencia y reducción de costes facilitando el intercambio fluido de datos entre proveedores de servicios de tratamientos de datos en el mercado de la nube de la UE, así como fomentando la interoperabilidad eficiente de los datos.
- La protección del contenido de bases de datos específicas.
Implicaciones prácticas para usuarios y proveedores
Habida cuenta que el objetivo es tratar de conseguir una mayor compartición de datos, en la práctica encontraremos, entre otros, los siguientes efectos:
- Las personas y las empresas tendrán derecho a acceder a los datos producidos mediante la utilización de objetos, máquinas y dispositivos inteligentes.
- Los usuarios de los productos conectados podrán optar por compartir estos datos con terceros, permitiendo a los proveedores de servicios postventa (como el servicio de reparación), mejorar sus servicios, así como fomentar una competencia leal con servicios similares prestados por los fabricantes de los productos. En consecuencia, los usuarios tendrán la opción de elegir proveedores de reparación y mantenimiento a su elección, dándose precios más bajos en el mercado de los servicios postventa.
- Accesibilidad de los datos relativos al rendimiento de los equipos industriales, pudiéndose mejorar su eficiencia. Las industrias, como la agricultura o la construcción, podrán optimizar sus ciclos operativos, líneas de producción o su gestión en general, siendo más eficientes, aprovechándose de las tecnologías de aprendizaje automático.
Desafíos para las empresas ante la nueva normativa
Estos son algunos de los retos con los que se podrán encontrar las empresas para poder adecuar su actividad a la Data Act:
- Identificar y clasificar los datos que generan o se poseen según la naturaleza (personales o no personales), el origen y su régimen jurídico (por ejemplo, si se encuentran protegidos por derechos de propiedad intelectual).
- Protección de los datos personales, garantizando el cumplimiento del RGPD como norma especial y que el acceso a los datos personales no comprometa la privacidad de los usuarios, aplicando medidas técnicas y organizativas suficientes.
- Implementar medidas y políticas de seguridad de los datos que se compartan, protegiendo los datos contra accesos no autorizados. Estableciendo criterios para el acceso, utilización e intercambio de los datos.
- En consonancia con lo anterior, implementar medidas técnicas y organizativas para garantizar la calidad, la interoperabilidad, la portabilidad y la trazabilidad de los datos.
- Establecer mecanismos de gobernanza de datos para dejar bien definidas las responsabilidades y obligaciones de las distintas partes implicadas.
- Adaptar los contratos con los usuarios de los datos para definir debidamente el acceso, uso y puesta en común de los datos generados por el producto conectado o servicio relacionado.
- Velar por el cumplimiento de las obligaciones de información, notificación y cooperación exigidos por la norma, tanto con las autoridades competentes como con los usuarios y proveedores de datos, los intermediarios y las plataformas de datos, así como cualquier actor involucrado.
Fecha de aplicación
La Data Act tiene rango de Reglamento y, por lo tanto, será directamente aplicable a todos los Estados miembro sin necesidad de transposición a partir del próximo 12 de septiembre de 2025.
¿Necesitas ayuda para implementar la Data Act? Te ayudamos, ¡contáctanos!
