El Reglamento (UE) 2023/2854, conocido como Data Act o Reglamento de Datos, entró en aplicación el 12 de septiembre de 2025. A diferencia del RGPD, que regula datos personales, el Data Act regula el acceso y uso de datos generados por productos conectados y servicios relacionados. Eso incluye prácticamente cualquier máquina, sensor, vehículo o dispositivo IoT que genere datos durante su funcionamiento.
El impacto es considerable para las empresas que usan maquinaria conectada, flotas de vehículos, sistemas de automatización industrial o cualquier producto que recopile datos de uso. Muchos de esos datos han estado históricamente en manos del fabricante del producto o de la plataforma que gestiona el servicio. El Data Act cambia eso.
Qué regula el Data Act y qué no
El Data Act regula los datos generados por el uso de productos conectados y servicios relacionados. No sustituye al RGPD: cuando esos datos son o contienen datos personales, el RGPD sigue aplicando en paralelo. El Data Act añade una capa de derechos sobre los datos en sí, con independencia de si son personales o no.
Quedan fuera del ámbito del Data Act los datos que el fabricante o proveedor genera de forma independiente del uso del producto, el contenido protegido por derechos de propiedad intelectual, y los secretos comerciales, con las matizaciones que establece el propio Reglamento sobre el acceso a datos de terceros.
El derecho de acceso a los datos del producto
El artículo 4 del Data Act establece que el usuario de un producto conectado tiene derecho a acceder en tiempo real a los datos que ese producto genera durante su uso. Ese acceso debe ser gratuito, fácil y seguro. Si el producto no permite el acceso directo al usuario, el fabricante está obligado a facilitarlo a través de un tercero que el usuario designe.
Para las empresas, esto abre posibilidades concretas. Una empresa que opera maquinaria industrial alquilada puede reclamar al fabricante los datos de rendimiento, consumo y mantenimiento que la propia máquina genera. Hasta ahora, esos datos solían quedar en el ecosistema del fabricante o del proveedor de la plataforma de gestión.
Las obligaciones para las plataformas de servicios de datos
El Data Act impone obligaciones específicas a los proveedores de servicios de procesamiento de datos, que incluyen plataformas cloud, servicios SaaS y cualquier proveedor que procese datos por cuenta de otro. Las más relevantes:
- Portabilidad de datos: el proveedor debe facilitar la migración de datos a otro proveedor de forma estructurada, de uso común y legible por máquina. El artículo 23 fija un plazo máximo de 30 días para completar la migración.
- Interoperabilidad: los proveedores de servicios de procesamiento deben cumplir con especificaciones técnicas mínimas de interoperabilidad, que la Comisión desarrolla mediante actos delegados.
- Prohibición de retención abusiva: no pueden utilizar la dependencia técnica del cliente como mecanismo para retener datos o dificultar el cambio de proveedor.
- Cláusulas contractuales abusivas: el artículo 13 establece que las cláusulas en contratos B2B que limiten el acceso o uso de datos de forma desequilibrada entre grandes empresas y pymes son nulas de pleno derecho.
La relación con el RGPD: dónde se solapan
El solapamiento más frecuente ocurre en dispositivos de consumo y productos de salud conectados. Un medidor de glucosa conectado genera datos que son simultáneamente datos de salud bajo el RGPD y datos de producto bajo el Data Act. En esos casos, el acceso a los datos requiere cumplir ambas normas: las condiciones de acceso del Data Act y la base jurídica del RGPD para tratar datos de salud.
La Comisión Europea ha publicado orientaciones preliminares para gestionar esa superposición, pero la articulación práctica aún genera incertidumbre en sectores como la salud digital, la automoción y la industria 4.0.
Qué deben revisar las empresas españolas ahora
Tres cosas concretas. Primero, los contratos con fabricantes de maquinaria o dispositivos conectados: si no contienen cláusulas sobre acceso a los datos generados por el producto, probablemente no reflejan los derechos que el Data Act otorga al usuario desde septiembre de 2025.
Segundo, los contratos con proveedores cloud o SaaS: si no contemplan la portabilidad de datos en los términos del artículo 23, el proveedor puede estar incumpliendo el Reglamento.
Tercero, el registro de actividades de tratamiento: si los datos del producto son también datos personales, el tratamiento derivado del acceso a esos datos bajo el Data Act necesita su propia entrada en el RAT con base jurídica, finalidad y plazo de conservación.
Fuentes: Reglamento (UE) 2023/2854 (Data Act), artículos 4, 13, 23 y 33; Reglamento (UE) 2016/679 (RGPD), artículo 9; Orientaciones de la Comisión Europea sobre la interacción Data Act-RGPD (2025).
