Las 10 claves del Data Act: el nuevo reglamento europeo sobre el acceso regulado de datos

En vigor desde este pasado 12 de septiembre, el Data Act o el «reglamento sobre normas armonizadas para un acceso y uso justos de los datos» busca equilibrar los derechos del usuario frente a los deberes de los titulares de los datos

En el norte de Europa, Ana, una agricultora moderna instalada en las nuevas tecnologías del siglo XXI, observa cómo su tractor inteligente envía información sobre consumo de combustible, rendimiento y condiciones de terreno directamente a su software de gestión agrícola. Hasta hace poco tiempo, esos datos estaban bloqueados por el fabricante, obligándola a depender de sus servicios de mantenimiento y software, más costosos y menos flexibles. Cuando entró en vigor el Data Act Ana pudo acceder a toda esa información, compartirla con proveedores independientes y tomar decisiones más eficientes sobre sus cultivos, reduciendo costes y aumentando así su productividad.

Este ejemplo ilustra la transformación que busca la nueva normativa: que los datos, considerados como el nuevo petróleo de la sociedad digital del siglo XXI puedan aprovecharse de forma justa y competitiva.

Una normativa a priori exigente que si llega a pasarse por alto por parte de empresas y particulares, puede llegar a contraer multitud de conflictos legales. Con el fin de evitar este tipo de situaciones, aquí te dejamos los aspectos estrella a tener en cuenta:

• Relación entre el Data Act y el Reglamento General de Protección de Datos

Una de las interrogantes más reclamadas sobre esta nueva regulación es ver cómo afecta la aplicación de la misma a normativas como el RGPD. La propia Comisión Europea despeja todo tipo de dudas con este asunto a través de un documento que responde a multitud de cuestiones acerca del Data Act. 

La segunda pregunta planteada ya menciona los cambios respecto al Reglamento General de Protección de Datos, que se resuelve citando, primeramente, el artículo 1 apartado 5, expresando que “el RGPD se aplica al tratamiento de datos personales en el marco de la Ley de Datos”. Por ello, las autoridades de protección de datos son competentes para hacer cumplir las obligaciones que se derivan directamente del RGPD. El precepto número 37.3 deja claro también que “en lo que respecta a la protección de datos personales, las autoridades de protección de datos son responsables de supervisar la aplicación de la Ley de datos y pueden basarse en las tareas y competencias establecidas en el RGPD”.

• Artículos 4 y 5: el corazón del Data Act

El precepto número cuarto establece primeramente que el usuario legítimo de un producto conectado, ya sea propietario, arrendatario, etcétera goza del derecho fundamental de acceder y utilizar los datos generados mediante su interacción con dicho producto. Este derecho abarca una amplia gama de información: desde datos introducidos deliberada y consciente hasta aquellos generados de forma automática por el funcionamiento del dispositivo, consumo, entorno e interacciones. Así, el titular de los datos deberá facilitar este acceso de manera gratuita, expedita y en formatos técnicamente aprobados. 

Por otro lado, el artículo 5 incide en que el usuario posee la facultad de designar a terceros como los destinatarios de sus datos. El titular estará obligado a facilitar esta transmisión bajo los mismos estándares técnicos y temporales, sin imponer obstáculos injustificados de naturaleza técnica, económica o contractual.

• Control de usos secundarios de los datos

Hilado con los dos anteriores artículos citados, el Data Act otorga a los usuarios el control sobre qué hace el fabricante con sus datos no personales. El fabricante podrá utilizarlos para mejorar sus productos o crear estadísticas, pero necesitará dos cosas: un acuerdo transparente con el usuario sobre las finalidades y garantizar que no perjudique su competitividad. Para ceder datos a terceros, debe estar expresamente previsto en el contrato. 

Volviendo al caso de Ana la agricultora, conforme a la nueva Ley de Datos podrá acceder gratuitamente a sus datos de uso, enviarlos a una empresa de análisis agrícola y decidir si el fabricante puede usarlos para mejorar sus futuros tractores.

• Equilibrio contractual

Tal y como se ha comentado al principio del presente artículo, el Data Act busca compensar los derechos de los usuarios frente a las obligaciones de los titulares de datos. Para ello, dicta ciertos límites como podrían ser:

1. Proteger de secretos comerciales, ya que el acceso no puede revelar know-how protegido. 
2. Una compensación económica justa, razonable y no discriminatoria siguiendo las condiciones FRAND.
3. Coordinación con el RGPD: el Data Act aplica tanto a datos no personales como personales. Con estos últimos deberá cumplirse estrictamente el RGPD, pues los derechos del Data Act complementarán los de este reglamento. 
4. Control de cláusulas abusivas B2B: las empresas no pueden imponer unilateralmente términos que distorsionen el equilibrio contractual. Si así fuere, serán consideradas como “no puestas”.

• Impacto en las empresas

Para los fabricantes y proveedores, la nueva Ley de Datos obliga a las empresas a adaptarse en varios aspectos clave, como por ejemplo inventariar qué datos generan sus productos, dónde los guardan y cómo facilitar el acceso a usuarios y terceros. Esto incluye, entre otros, crear APIs funcionales o tener que diseñar contratos transparentes que especifique para qué pueden usar los datos no personales y bajo qué condiciones pueden compartirlo con terceros.

• Acceso del sector público en emergencias

Siguiendo el artículo 15, las Administraciones Públicas pueden solicitar datos a empresas para responder a emergencias públicas como desastres naturales o crisis sanitarias. Este acceso excepcional debe justificarse por una necesidad pública, ser proporcional y causar la mínima carga posible. Los datos se usarán únicamente para la finalidad específica de emergencia.

• Portabilidad entre proveedores de nube

También establece nuevas reglas para facilitar el intercambio entre proveedores de servicios de nube. Los usuarios podrán solicitar la portabilidad de sus datos y apps sin penalizaciones económicas desproporcionadas. Esto busca acabar con el vendor lock-in (dependencia hacia el proveedor) y fomentar la competencia en el mercado de la nube europea.

• Revisión del derecho sui generis de bases de datos

Esta normativa revisa y aclara el alcance del derecho sui generis sobre bases de datos. Se busca así equilibrar la protección de la inversión en bases de datos con la necesidad de facilitar el acceso a los datos, evitando que este derecho se convierta en un obstáculo para la economía de datos.

• Seguridad jurídica y cláusulas modelo

La Ley de Datos proporciona mucha más certidumbre jurídica estableciendo reglas claras sobre el uso permisible de datos y condiciones asociadas. Con esta premisa, la Comisión Europea desarrollará cláusulas modelo para facilitar la redacción de contratos justos e intercambio de datos, especialmente útiles para las pymes.

• Entrada en vigor y aplicación

El Data Act entró en vigor el 11 de enero de 2024 y es aplicable desde el 12 de septiembre de este año. Tal y como se ha citado al principio, la Comisión Europea ha establecido un servicio de asistencia jurídica específico con finalidad de orientación (FAQs, guías prácticas…). 

Imagen:  freepik