Data Act: todo lo que necesitas saber
Cronología de la implementación del Data Act
11 enero 2024 → Entrada en vigor.
12 septiembre 2025 → Aplicación general de obligaciones de acceso.
12 septiembre 2026 → Obligación de Acceso por defecto
12 enero 2027 → Prohibición total de cobrar por cambio de proveedor
12 septiembre 2027 → Aplicación a contratos existentes (cláusulas abusivas)
¿Qué es el Data Act?
Reglamento europeo que establece normas armonizadas para el acceso equitativo a los datos generados por productos conectados y servicios digitales relacionados.
- Aplica a datos personales y no personales.
- Promueve la reutilización, portabilidad e interoperabilidad de datos en toda la UE.
- Crea nuevos derechos para usuarios y obligaciones para titulares de datos
¿A quién afecta?
- Fabricantes de productos conectados
- Usuarios de productos y servicios digitales en la UE
- Proveedores de servicios de tratamiento de datos (incluye cloud)
- Organismos públicos
- Excluidas: Microempresas y pequeñas empresas
¿Cuáles son las principales Obligaciones?
Fabricantes como titulares de datos:
- Acceso por defecto, gratuito y en tiempo real de los usuarios
- Información precontractual sobre tipo, volumen y formato de datos
- Términos justos, razonables y no discriminatorios
Proveedores cloud:
- Portabilidad sin barreras técnicas ni comerciales
- Eliminación progresiva de costes (total en 2027)
- Prohibición de cláusulas de permanencia abusivas
- Transparencia sobre ubicación de infraestructura
¿Cuáles son los derechos de los Usuarios?
- Acceso directo y gratuito a los datos generados
- Derecho a compartir datos con terceros
- Portabilidad mejorada (complementa el RGPD)
- Protección frente a cláusulas abusivas
¿Cómo protegen los titulares de datos sus secretos comerciales?
- Deberá identificar los datos y metadatos correspondientes como secretos comerciales.
- Podrá rechazar justificadamente la solicitud de acceso o parte de ella por un perjuicio económico grave demostrable
- Se podrá acudir a la resolución de conflictos mediante órganos certificados (en un máximo de 90 días)
- Para solicitudes de acceso de entidades públicas:
- En caso de emergencia pública se proporcionarán los datos anonimizados preferentemente y pseudonimizados si es necesario
- En el caso de un interés público no urgente se dará acceso a datos no personales únicamente
¿Cuál es el régimen sancionador?
- Antes del 12 de septiembre de 2025 cada Estado Miembro designará obligatoriamente una o varias autoridades competentes
- Las sanciones serán coordinadas con las autoridades del RGPD en el caso de verse involucrados datos personales
- Multas de hasta 20 millones € o el 4% del volumen de negocio global
- Los Estados Miembros establecerán sanciones efectivas, proporcionadas y disuasorias
- Los criterios de valoración atenderán a la gravedad, la duración, los beneficios obtenidos y el volumen de negocio, entre otros.
- Las entidades extracomunitarias deberán designar un representante legal
