Guía Data Governance Act (DGA): ¿cómo lograr la conformidad?

¿Qué es el Data Governance Act?

El DGA tiene como objetivo instaurar la confianza necesaria para el intercambio de datos en la Unión. Su apuesta: muchos datos no se comparten por falta de un marco de confianza claro. El DGA crea ese marco, con actores neutrales y normas transparentes.

No crea un derecho de acceso a los datos (ese es el papel del Data Act), sino que organiza las condiciones del intercambio: cómo reutilizar determinados datos públicos, cómo un intermediario neutral puede poner en contacto a titulares y usuarios de datos, y cómo fomentar la donación de datos con fines de interés general.

Es un texto estructurante para el ecosistema de datos, especialmente para los actores que desean construir plataformas o servicios de intercambio de datos de confianza.

Las cuatro aportaciones del DGA

El DGA se articula en torno a cuatro pilares complementarios. Identificar en cuál se encuadra su proyecto es el primer paso.

¿Quién está afectado?

El DGA afecta principalmente a los actores del intercambio de datos, pero también a las empresas que desean reutilizar datos públicos o participar en espacios de datos.

• Proveedores de servicios de intermediación de datos: obligaciones de declaración y de neutralidad.
• Organismos de altruismo de datos reconocidos en la Unión.
• Organismos del sector público que poseen datos reutilizables.
• Empresas que reutilizan datos públicos o participan en espacios de datos sectoriales.

DGA, Data Act y RGPD

El DGA forma parte de un conjunto: no reemplaza ni al Data Act ni al RGPD, sino que los complementa.

• Data Act: crea derechos de acceso concretos; el DGA establece la gobernanza y la confianza en el intercambio.
• RGPD: se aplica en cuanto se comparten o reutilizan datos personales.
• Neutralidad: los intermediarios de datos no pueden explotar los datos en su propio beneficio.
• Complementariedad: DGA (marco) + Data Act (derechos) + RGPD (protección) conforman la estrategia europea de datos.

¿Qué sanciones se aplican en caso de incumplimiento?

Las sanciones son fijadas por los Estados miembros y deben ser efectivas, proporcionadas y disuasorias. Los incumplimientos relativos a datos personales quedan sujetos paralelamente al RGPD.

Cómo lograr la conformidad: la hoja de ruta en 6 pasos

Paso 1 — Situar su proyecto en el DGA

Determine si está sujeto al DGA y en qué calidad: intermediario de datos, organismo de altruismo, reutilizador de datos públicos, participante en un espacio de datos.

Esta calificación determina el conjunto de sus obligaciones.

• Identifique su papel en el intercambio de datos.
• Localice el bloque o los bloques del DGA aplicables.
• Documente este análisis de perímetro.

Paso 2 — Si es intermediario: declararse y garantizar la neutralidad

Los proveedores de servicios de intermediación deben declararse ante la autoridad competente y respetar obligaciones estrictas de neutralidad: no utilizar los datos para otras finalidades, garantizar la equidad y la seguridad.

La neutralidad es el núcleo del modelo: distingue al intermediario de confianza de las plataformas que explotan los datos.

• Declare su servicio de intermediación.
• Garantice la neutralidad y la equidad de acceso.
• No explote los datos por cuenta propia.

Paso 3 — Si es altruismo: estructurar el intercambio de interés general

Para el altruismo de datos, respete las condiciones del estatuto de organismo reconocido: transparencia, información a las personas, garantías de seguridad y finalidades de interés general.

Este marco facilita la cesión de datos para la investigación o las políticas públicas, con total confianza.

• Respete las condiciones del estatuto reconocido.
• Informe claramente a las personas y a los titulares.
• Limite el uso a las finalidades de interés general.

Paso 4 — Si reutilización de datos públicos

Respete las condiciones de reutilización de los datos protegidos en poder del sector público (confidencialidad, propiedad intelectual, datos personales) y las modalidades técnicas impuestas.

La reutilización está regulada: no debe comprometer la protección de los datos en cuestión.

• Verifique las condiciones de reutilización aplicables.
• Respete la confidencialidad y la propiedad intelectual.
• Proteja los datos personales reutilizados.

Paso 5 — Articular con el RGPD y el Data Act

Cuando se traten datos personales, aplique el RGPD (base jurídica, información, seguridad, derechos). Coordine también su enfoque con el Data Act si ejerce derechos de acceso a los datos.

El DGA nunca exime del RGPD: se añade a él.

• Trate los datos personales desde la perspectiva del RGPD.
• Vincule sus flujos al registro de tratamientos.
• Coordine DGA y Data Act cuando proceda.

Paso 6 — Documentar y proteger

Formalice su cumplimiento: neutralidad, transparencia, seguridad, condiciones de intercambio. Mantenga la documentación lista para la autoridad competente.

La confianza, núcleo del DGA, se fundamenta en garantías documentadas y verificables.

• Documente neutralidad, transparencia y seguridad.
• Mantenga la documentación lista para la autoridad.
• Reevalúe en caso de evolución de su actividad.

Los errores frecuentes que hay que evitar

• Confundir el DGA (gobernanza y confianza) con el Data Act (derechos de acceso concretos).
• Omitir la declaración obligatoria para los intermediarios de datos.
• Descuidar el requisito de neutralidad, pieza clave del modelo de intermediación.
• Olvidar la articulación con el RGPD cuando circulan datos personales.
• Reutilizar datos públicos sin respetar las condiciones de protección aplicables.
• Subestimar la importancia de la documentación y la transparencia para generar confianza.