Guía Data Act: ¿cómo cumplir con la normativa?

¿Qué es el Data Act?

El Data Act (Reglamento europeo sobre datos) tiene como objetivo liberar el valor de los datos garantizando un acceso más justo y una mejor interoperabilidad. Parte de una constatación: una proporción inmensa de los datos generados por los objetos conectados permanece en manos exclusivas de los fabricantes, en detrimento de los usuarios y de la innovación.

Complementa el Data Governance Act, pero con una lógica diferente: mientras que el DGA crea un marco de gobernanza y terceros de confianza, el Data Act crea derechos de acceso concretos e inmediatamente oponibles.

Tres grandes ejes estructuran el texto: el derecho de los usuarios a acceder a los datos de sus objetos conectados y a compartirlos; reglas para hacer el cambio de servicio en la nube más sencillo y menos costoso; y la protección de las empresas, en particular de las pymes, frente a cláusulas contractuales desequilibradas.

¿Quién está afectado?

El Data Act afecta a un amplio ecosistema en torno a los datos industriales y los objetos conectados. Muchos actores están sujetos a él sin haberlo anticipado.

• Fabricantes de objetos conectados: industria, automoción, domótica, dispositivos médicos, agricultura, electrodomésticos.
• Proveedores de servicios asociados: mantenimiento predictivo, aplicaciones complementarias, servicios de datos vinculados al producto.
• Proveedores de servicios cloud y de edge: obligaciones de portabilidad e interoperabilidad.
• Cualquier empresa que reciba, posea o comparta datos en virtud del reglamento, incluidos los destinatarios terceros designados por el usuario.

Los tres pilares del Data Act

Comprender los tres pilares permite situar con precisión sus obligaciones en función de su actividad.

¿Cuáles son las obligaciones concretas?

En el día a día, el cumplimiento del Data Act se traduce en requisitos precisos que deben integrarse en sus productos y contratos.

• Diseñar los productos para que los datos sean accesibles al usuario por defecto («access by design»).
• Informar claramente, antes de la compra, sobre la naturaleza, el volumen y la frecuencia de los datos generados y sobre las modalidades de acceso.
• Poner los datos a disposición del usuario o del tercero que este designe, sin obstáculos injustificados y en un formato utilizable.
• Facilitar la migración entre proveedores cloud y suprimir progresivamente las tarifas de cambio.
• Evitar las cláusulas contractuales abusivas frente a las pymes.
• Proteger los secretos comerciales mediante medidas proporcionadas durante el intercambio.

¿Qué sanciones se aplican en caso de incumplimiento?

Las sanciones son fijadas por cada Estado miembro y deben ser efectivas, proporcionadas y disuasorias. Cuando se trata de datos personales, se añaden los límites máximos del RGPD.

Cómo lograr la conformidad: la hoja de ruta en 7 pasos

Paso 1 — Cartografiar sus flujos de datos de producto

Identifique los objetos conectados que fabrica o explota y los datos que generan: sensores, telemática, logs de máquina, datos de uso. Distinga datos personales y no personales, y localice los que están sujetos al derecho de acceso del usuario.

Esta cartografía es la base: determina qué debe hacer accesible, a quién y en qué formato. Localice también el almacenamiento y los tratamientos asociados.

• Inventaríe sensores, telemática y registros técnicos.
• Distinga datos brutos, derivados y datos personales.
• Localice el almacenamiento y los tratamientos asociados.

Paso 2 — Hacer los datos accesibles por diseño

Adapte sus productos e interfaces para permitir al usuario acceder de forma fácil, continua y en un formato explotable a los datos que genera. El «access by design» implica a menudo evoluciones técnicas (API, exportaciones) que deben planificarse con antelación.

El objetivo es eliminar las barreras injustificadas: el usuario debe poder recuperar sus datos o hacer que se transmitan a un tercero sin obstáculos desproporcionados.

• Prevea API o exportaciones estandarizadas para el usuario.
• Documente las modalidades de acceso y transmisión a un tercero.
• Evite cualquier bloqueo técnico injustificado.

Paso 3 — Actualizar la información precontractual

Antes de la compra o suscripción, el usuario debe saber qué datos generará el producto, en qué volumen, con qué frecuencia y cómo acceder a ellos o compartirlos. Integre esta información en sus soportes comerciales y contractuales.

Esta transparencia previa es una novedad estructural: debe ser clara, completa y comprensible.

• Describa los datos generados y su frecuencia.
• Explique las modalidades de acceso y de compartición.
• Integre esta información en las fichas de producto y contratos.

Paso 4 — Revisar sus contratos

Revise sus condiciones generales de venta y sus contratos de intercambio de datos para eliminar las cláusulas potencialmente abusivas (limitaciones unilaterales, desequilibrios impuestos) e integrar las modalidades de acceso y compartición conformes.

Esta revisión también protege a sus socios pymes y asegura sus relaciones a largo plazo.

• Identifique y elimine las cláusulas desequilibradas.
• Añada cláusulas de acceso y compartición conformes.
• Encuadre la protección de los secretos empresariales durante el intercambio.

Paso 5 — Adaptar sus ofertas cloud

Si es proveedor cloud o edge, prepare la portabilidad y la interoperabilidad: procedimientos de migración documentados, formatos explotables y eliminación progresiva de las tarifas de cambio de proveedor.

El reto es dejar de bloquear a sus clientes: la fluidez se convierte en una exigencia legal además de un argumento comercial.

• Documente procedimientos de migración claros.
• Elimine progresivamente las tarifas de salida.
• Trabaje la interoperabilidad y los formatos de datos.

Paso 6 — Proteger los secretos empresariales

El intercambio de datos no debe significar la divulgación de sus secretos industriales. Implemente medidas técnicas y contractuales proporcionadas para compartir los datos útiles protegiendo al mismo tiempo lo que constituye un secreto empresarial.

El reglamento prevé salvaguardas: identifique con precisión lo que está protegido y encuadre su intercambio.

• Identifique los datos cubiertos por el secreto empresarial.
• Encuadre su intercambio mediante medidas y cláusulas adaptadas.
• Documente la justificación de las restricciones.

Paso 7 — Articular con el RGPD y el DGA

Cuando los datos sean personales, aplique las garantías del RGPD: base legal, información, seguridad, derechos de las personas. El Data Act no sustituye al RGPD, sino que se añade a él.

Coordine también su enfoque con el Data Governance Act si actúa como intermediario de datos o en un espacio de datos.

• Trate los datos personales desde la perspectiva del RGPD.
• Vincule sus flujos del Data Act a su registro de tratamientos.
• Verifique su posible rol en relación con el DGA.

Los errores frecuentes que hay que evitar

• Pensar que el Data Act solo concierne a los datos personales: también cubre, y sobre todo, los datos industriales.
• Descuidar la información precontractual sobre los datos generados por el producto.
• Mantener costes de salida cloud o arquitecturas que vinculan al cliente.
• Olvidar la articulación con el RGPD cuando circulan datos personales.
• Subestimar los cambios técnicos necesarios para el «access by design».
• Mantener cláusulas desequilibradas con respecto a socios pymes.
• Confundir el Data Act (derechos de acceso) y el Data Governance Act (gobernanza e intermediarios).

Cómo Data Comply One le acompaña

Data Comply One le ayuda a cartografiar sus flujos de datos y a documentar sus obligaciones en materia de Data Act dentro de la misma plataforma que su cumplimiento del RGPD, AI Act, NIS2 y DORA, sin multiplicar las herramientas ni los silos.

Nuestros expertos aseguran la delicada articulación entre datos personales y no personales, revisan sus cláusulas de intercambio y de salida cloud, y estructuran su gobernanza de datos de extremo a extremo. Dispone de dos modalidades: gestionar su cumplimiento usted mismo con el software, o externalizarlo a nuestros expertos, que lo gestionan directamente en la plataforma.

Este módulo dedicado estará disponible próximamente en la plataforma: solicite una demo para probarlo en primicia.

¿En qué punto se encuentra? ·