El EU Data Act ya está en vigor ¿cumple tu organización con las nuevas exigencias del Reglamento?

Los productos conectados y los servicios relacionados deberán estar diseñados para garantizar que los datos generados, así como los metadatos necesarios para su interpretación, sean accesibles de forma sencilla, segura y gratuita, utilizando un formato estructurado y de uso común. En caso de que el usuario no pueda acceder directamente a estos datos, el titular de los mismos estará obligado a facilitárselos sin demora, asegurando que el acceso se realice con la misma calidad y facilidad que la disponible para el propio titular.

Cabe destacar que, a partir del 12 de septiembre de 2026, todos los nuevos productos conectados y servicios relacionados deberán permitir el acceso directo del usuario a los datos generados, en consonancia con el principio de “acceso por diseño” introducido por el Reglamento.

Por otro lado, antes de formalizar un contrato de compraventa, alquiler o arrendamiento de un producto conectado, la empresa deberá informar al usuario, como mínimo, sobre los siguientes aspectos:

• Tipo, formato y volumen estimado de los datos generados.
• Si el producto genera datos de forma continua y en tiempo real.
• Ubicación y periodo de almacenamiento de los datos.
• Modalidades de acceso, extracción o supresión de los datos por parte del usuario, así como las condiciones aplicables.

Asimismo, antes de celebrar un contrato de prestación de un servicio relacionado, será obligatorio informar al usuario, a título ilustrativo que no limitativo, de: (i) Tipo, volumen estimado y frecuencia de recopilación de los datos del producto, (ii) Modalidades de acceso o extracción de los datos, medidas de almacenamiento y duración de la conservación, (iii) Si el proveedor utilizará los datos fácilmente disponibles, con qué finalidad y si los compartirá con terceros, (iv),Identidad y datos de contacto del titular de los datos, así como la dirección geográfica en la que está establecido, etc.

El Reglamento establece un régimen transitorio para la aplicación de sus disposiciones contractuales. Así, para los contratos celebrados a partir del 12 de septiembre de 2025, las obligaciones del Reglamento serán de aplicación inmediata. Sin embargo, para los contratos suscritos el 12 de septiembre de 2025 o antes, las nuevas obligaciones solo serán exigibles a partir del 12 de septiembre de 2027, siempre que se trate de contratos de duración indefinida o cuyo vencimiento esté previsto al menos diez años después del 11 de enero de 2024.

En el marco del nuevo Reglamento Europeo, las empresas que operan con productos conectados y servicios relacionados se ven obligadas a implementar medidas técnicas y organizativas adecuadas para salvaguardar la confidencialidad de los datos y proteger los secretos comerciales.

Adicionalmente, en materia de protección de datos, el EU Data Act no sustituye, sino que complementa las obligaciones ya establecidas por el Reglamento General de Protección de Datos. Por consiguiente, el acceso y uso de datos personales solo será legítimo si se apoya en una base legal válida conforme a la normativa vigente en protección de datos. De este modo, el EU Data Act y el RGPD coexisten y deben aplicarse de forma conjunta para garantizar una protección adecuada de la información. 

El EU Data Act introduce importantes novedades para facilitar la transición entre proveedores de servicios en la nube, eliminando barreras técnicas, contractuales y económicas que hasta ahora dificultaban la migración de datos y activos digitales.

En virtud de estas disposiciones, los contratos deberán especificar de manera clara y detallada los derechos del cliente en caso de cambio de proveedor, incluyendo los procedimientos aplicables, los plazos —que no podrán exceder de 30 días naturales para completar la migración—, la asistencia técnica disponible y la eliminación de los datos una vez finalizado el proceso.

Además, a partir del 12 de enero de 2027, los proveedores de servicios de tratamiento de datos no podrán aplicar cargos por el cambio de proveedor; hasta esa fecha, únicamente podrán repercutir costes reducidos y directamente relacionados con la migración. Asimismo, los proveedores estarán obligados a proporcionar documentación suficiente que garantice la portabilidad de los datos y la interoperabilidad entre servicios de distintos proveedores.

Adicionalmente, el EU Data Act refuerza la seguridad durante todo el proceso de migración, exigiendo la adopción de medidas técnicas, organizativas y jurídicas que impidan el acceso o la transferencia internacional ilícita de datos no personales por parte de autoridades de terceros países, salvo que exista un acuerdo internacional o se cumplan estrictos requisitos legales.

En cumplimiento del EU Data Act, las empresas no podrán imponer cargos a los usuarios por el acceso a los datos generados ni por permitir que estos los compartan libremente con terceros de su elección. No obstante, el Reglamento contempla la posibilidad de que, en el marco de relaciones entre empresas, se pueda acordar una compensación económica por la puesta a disposición de dichos datos. En este sentido, para determinar la compensación aplicable, se tendrán en cuenta diversos factores, tales como:

• Los costes incurridos para poner los datos a disposición, incluyendo los necesarios para el formateo, la difusión electrónica y el almacenamiento.
• Las inversiones realizadas en la recogida y producción de los datos.
• El volumen, formato y naturaleza de los datos compartidos.

Con el objetivo de garantizar la transparencia y la equidad en la determinación de estos costes, la Comisión Europea publicará directrices específicas que orientarán el cálculo de la compensación correspondiente.