Imagen generada con IA.
El RGPD lleva ocho años marcando el paso en materia de protección de datos personales, pero la Unión Europea acaba de aprobar una norma hermana, mucho menos conocida entre las pymes, que regula algo distinto y, en muchos aspectos, igual de relevante: qué pasa con todos los datos —personales y no personales— que generan los dispositivos conectados que hoy están en cualquier negocio, desde una máquina de café inteligente hasta el software de gestión de un taller. Se trata del Reglamento de Datos de la UE (Data Act), ya de plena aplicación, y que conviene entender bien porque sus obligaciones no se limitan, ni mucho menos, a los fabricantes de tecnología.
¿Qué es el Data Act y en qué se diferencia del RGPD?
El Data Act (Reglamento (UE) 2023/2854) se publicó en el Diario Oficial de la UE el 22 de diciembre de 2023, entró en vigor el 11 de enero de 2024 y es plenamente aplicable desde el 12 de septiembre de 2025. Su objetivo no es proteger la privacidad de las personas —esa es la función del RGPD—, sino regular quién puede acceder, usar e intercambiar los datos que generan los productos y servicios conectados, sean o no datos personales.
Hasta ahora, buena parte de esos datos quedaban bajo el control casi exclusivo del fabricante del dispositivo o de la plataforma tecnológica que lo gestiona. El Data Act busca revertir esa situación: da a los usuarios el derecho a acceder a los datos que generan sus propios dispositivos, a compartirlos con terceros de su elección y a usarlos para contratar otros servicios, y fija además reglas para el intercambio de datos entre empresas y con el sector público.
Cuando entre los datos afectados hay datos personales, el RGPD sigue aplicándose en paralelo y, en caso de conflicto entre ambas normas, prevalece el RGPD. El Data Act no sustituye ni debilita la protección de datos personales: añade una capa adicional de reglas sobre el acceso y el uso económico de los datos, personales o no.
Obligaciones de acceso e intercambio de datos de productos conectados (IoT)
El corazón del reglamento son los llamados productos conectados: cualquier objeto físico que obtiene, genera o recoge datos sobre su uso o su entorno y que puede transmitirlos a través de un servicio de comunicación electrónica, una conexión física o un acceso local al dispositivo. En la práctica, esto incluye desde maquinaria industrial y vehículos hasta electrodomésticos inteligentes, sistemas de climatización, dispositivos médicos o software de gestión conectado a sensores.
El Data Act establece, entre otras, estas obligaciones:
- El usuario del dispositivo tiene derecho a acceder de forma gratuita a los datos que este genera, en un formato completo, estructurado y de uso habitual, y —cuando sea técnicamente posible— en tiempo real.
- El usuario puede compartir esos datos con terceros de su elección (por ejemplo, un servicio técnico independiente o un taller distinto al oficial), sin que el fabricante pueda impedirlo ni penalizarlo por ello.
- Cuando el intercambio se produce entre empresas, debe hacerse en condiciones justas, razonables y no discriminatorias, y se prohíben las cláusulas contractuales abusivas que las grandes empresas venían imponiendo a proveedores más pequeños.
- En situaciones excepcionales de interés público (emergencias, catástrofes, ciberataques), las administraciones pueden exigir a determinadas empresas el acceso a ciertos datos, de forma proporcionada y limitada en el tiempo.
¿Afecta a mi empresa aunque no fabrique IoT?
Esta es, probablemente, la pregunta más importante para una pyme española. La respuesta corta es: puede afectarte igualmente, y no hace falta que fabriques dispositivos conectados para estar dentro del ámbito de la norma. El Data Act se aplica también a:
- Cualquier empresa que use productos conectados en su actividad diaria —maquinaria industrial, vehículos de flota, sistemas de climatización o seguridad conectados, software con sensores— como usuaria de esos datos, con derecho a solicitar acceso a ellos.
- Proveedores de servicios en la nube o de tratamiento de datos (cloud, edge computing), que deben facilitar la portabilidad de los datos de sus clientes y evitar mecanismos que dificulten el cambio de proveedor.
- Empresas que reciben datos de terceros como destinatarias en el marco de acuerdos de intercambio, que deben respetar las condiciones de uso pactadas y no emplear los datos para fines distintos a los autorizados.
En la práctica, cualquier pyme que utilice maquinaria conectada, vehículos con telemetría, sistemas de climatización inteligentes o software de gestión con sensores integrados debería revisar qué datos generan esos equipos, quién tiene acceso real a ellos hoy y si los contratos con esos proveedores reflejan ya el derecho a solicitar esos datos.
Calendario de aplicación y sanciones
El reglamento es plenamente aplicable desde el 12 de septiembre de 2025, salvo algunas obligaciones específicas sobre el diseño de productos conectados para facilitar el acceso a los datos, que se aplican a partir de septiembre de 2026 para los productos y servicios puestos en el mercado a partir de esa fecha.
El Data Act no establece directamente un catálogo de sanciones propio como hace el RGPD con sus multas de hasta el 4% de la facturación global. En su lugar, obliga a cada Estado miembro a definir su propio régimen de infracciones y sanciones aplicable al incumplimiento del reglamento, lo que significa que España deberá aprobar normativa de desarrollo para fijar las consecuencias concretas del incumplimiento a nivel nacional.
Data Act y RGPD: cómo coexisten ambas normativas
El Data Act y el RGPD no son normas alternativas, sino complementarias, y conviene tenerlo claro para no confundir las obligaciones de una y otra:
- El RGPD regula la protección de las personas físicas en el tratamiento de sus datos personales: exige una base jurídica, informar a los interesados, respetar sus derechos, etc.
- El Data Act regula el acceso, el intercambio y el uso económico de los datos generados por productos y servicios conectados, sean o no datos personales.
- Cuando quien solicita acceso a unos datos no es el propio titular de estos, esos datos personales solo podrán ponerse a su disposición si existe una base jurídica válida conforme al RGPD, por ejemplo el consentimiento del interesado.
- En caso de conflicto entre ambas normas, prevalece el RGPD.
Para una empresa que ya tenga su Registro de Actividades de Tratamiento (RAT) y sus bases jurídicas bien documentadas conforme al RGPD, adaptarse al Data Act consiste, sobre todo, en mapear qué productos conectados usa o pone en el mercado, qué datos generan, y revisar los contratos con fabricantes y proveedores para que reflejen los nuevos derechos de acceso e intercambio.
Conclusión
El Data Act amplía el terreno de juego más allá de la privacidad: convierte el acceso a los datos generados por la maquinaria, los vehículos y el software conectado de cualquier empresa en una cuestión de cumplimiento normativo, con obligaciones que afectan tanto a quien fabrica esos productos como a quien simplemente los usa en su negocio. Ignorar esta norma por pensar que «solo va de tecnología» es un error habitual que conviene corregir cuanto antes, revisando qué dispositivos conectados forman ya parte de la actividad diaria de la empresa.
En Dataibérica ayudamos a pymes y autónomos a identificar sus obligaciones de protección de datos y a mantener actualizada su documentación de cumplimiento ante cada nueva normativa europea. Si tu empresa utiliza maquinaria, vehículos o software conectado y quieres saber qué te afecta del Data Act, contacta con nosotros y lo revisamos sin compromiso.
Fuente principal: ElDerecho.com — Data Act: la nueva era de los datos en Europa.
