A pesar de su carácter transversal, la Data Act llama la atención no solo por sus nobles objetivos y las nuevas reglas del juego que impone, sino también por otros aspectos más secundarios, como puede ser un redactado excesivamente vago en algunos artículos clave que nos abocan inevitablemente a la confusión, pasándole delibera y anticipadamente la patata caliente al TJUE para que nos alumbre el camino de la interpretación, con conceptos clave ausentes de definición y conceptos jurídicos indeterminados, que a más de uno le estarán acentuando la migraña o la imaginación.

Además de las notorias erratas de traducción en las versiones oficiales en diferentes idiomas, cambiando sustancialmente el significado de algunos de sus preceptos, en función de la versión que uno lea.

Pero si hay algo que realmente clama al cielo, es lo descaradamente desapercibido que está pasando a pesar de su inminente aplicación, debido a la total consagración -casi mesiánica- que le estamos otorgando al Reglamento de Inteligencia Artificial, monopolizando el foco normativo y relegándolo al segundo plano, como ese invitado incómodo al que nadie quiere mirar, pero que tiene las llaves del edificio.

Con un enfoque intersectorial y un alcance extraterritorial, con una rabiosa interacción con el RGPD, este nuevo reglamento va a suponer un punto de inflexión.

La Data Act ya está aquí, y está aquí para quedarse.

¡Pero no todo puede ser tan negativo! La Data Act tiene realmente aspectos muy positivos, empezando por su principal objetivo, que es desmantelar el monopolio de datos, de modo que estos dejen de estar solamente en manos de los fabricantes y puedan ser accedidos, usados y monetizados por los usuarios, que, en definitiva, son los generadores de esos datos.

Con el fin de responder a las necesidades de la economía digital y eliminar obstáculos en un mercado interior de datos, el Reglamento establece un marco armonizado que especifica quién tiene derecho a utilizar los datos, en qué condiciones y sobre qué base.

Empecemos por el principio:

Generalmente, al adquirir un producto tradicional, el usuario recibe el producto, con sus componentes y accesorios. Sin embargo, en la era del Internet-Of-Things (IoT) disponemos de productos, tanto de uso industrial como de uso doméstico, que están conectados a internet y son capaces de generar datos nuevos por el simple uso del producto. Estos datos, se suman al producto, pero hasta la fecha, solo han sido accesibles, y, por ende, utilizados y explotados por el fabricante o el titular de los datos (que en la mayoría de los casos suele ser la misma entidad), sin que el usuario, que es quien los genera en primer lugar, pueda beneficiarse en manera alguna de estos. Y aquí es donde, en esencia, entra este Reglamento en juego, otorgando a las personas y empresas el derecho a acceder a los datos producidos mediante la utilización de objectos, máquinas y dispositivos inteligentes.

En este sentido, la definición de “dato” es total, pues lo abarca, por definición, practicamente todo: cualquier representación digital de actos, hechos o información, en formato sonoro, visual o audiovisual. Y sí, como has imaginado, también incluye datos de carácter personal.

-RGPD entró en el chat-.

Esos datos generados por el uso de un producto conectado representan tanto la digitalización de las acciones del usuario como de eventos. Es decir, abarcan tanto los datos registrados de manera intencionada, como los datos resultantes indirectamente de la intervención del usuario, así como los datos relativos a las interacciones del producto conectado. Es decir: datos personales, datos no personales, datos relativos al rendimiento, datos relativos al uso, al no-uso y datos relativos al entorno de los productos conectados y los servicios relacionados.

Por ejemplo, podríamos estar hablando tanto de los registros de actividad de una máquina industrial, como los datos generados automáticamente por sus sensores (p.ej. velocidad, temperatura, humedad, etc.), así como de los datos registrados por aplicaciones integradas, incluidas las aplicaciones que indican el estado del hardware y los fallos de funcionamiento.

Esto incluye también los datos generados por el producto conectado durante el periodo en el que el usuario no interviene, como cuando este decide no utilizarlo durante un periodo de tiempo determinado, dado que el estado de un aparato, por ejemplo, sus pilas o baterías, suele variar cuando este se encuentra en modo de espera o apagado.

En lo material:

El ámbito material de aplicación del Reglamento se centra en los datos brutos (datos primarios), es decir, en esos datos que se generan automáticamente en el producto conectado sin ninguna forma de tratamiento posterior, así como en los datos pre-tratados, que son aquellos datos que, previamente a su tratamiento y análisis, han sido objeto de un tratamiento destinado a hacerlos comprensibles y que puedan ser utilizados. Por ejemplo, con un sencillo cambio de formato que permita la lectura de esos datos.

Cabe destacar que esto no debe interpretarse en el sentido de imponer al fabricante o al titular de datos una obligación de realizar inversiones sustanciales en el limpiado y la transformación de los datos, pues como ha recientemente puntualizado la Comisión Europea, se espera que el usuario o tercero destinatario de los datos, tenga un nivel razonable de capacidad técnica para interpretar esos datos.

A todo esto, el legislador ha optado por incluir los metadatos correspondientes para facilitar esa interpretación y utilización de dichos datos.

En cambio, toda la información que se infiera o se derive (datos secundarios) de tales datos, como resultado de inversiones adicionales en la asignación de valores o conocimientos que aportan los datos, en particular, mediante algoritmos complejos, no están sujetos a la obligación del titular de datos de ponerla a disposición de un usuario o destinatario.

A modo de ejemplo:

Datos derivados: podrían ser informaciones obtenidas a partir de otros datos mediante cálculos: si tienes una lista de cifras de ventas, los ingresos totales serían datos derivados.

Datos inferidos: podrían ser informaciones deducidas a partir de datos existentes: predecir las preferencias de tu cliente basándose en su historial de compras.

El motivo principal de su exclusión es, por un lado, el hecho de que el Reglamento no pretenda desincentivar la inversión interna por parte del fabricante o del titular de los datos en tecnologías de datos, y por el otro, evitar conflictos de propiedad intelectual, ya que los datos protegidos por IP (p.ej. patentes, diseños, copyrights) quedan excluidos.

Por eso, todo gira en torno a los datos primarios, y no en el contenido como tal.

Por poner un ejemplo: si estás leyendo un e-book, escuchando música en Spotify o mirando Boston Legal (recomendadísima) en Netflix, podrás tener acceso como usuario a los datos que genere tu SmartTV donde indique que tal día como hoy, de 09:00h a 12:00h, la aplicación de Netflix estuvo activa, pero no al contenido de lo que leíste, escuchaste o viste, pues obviamente se trataría de contenido protegido por derechos de autor.

Secretos comerciales:

Entrando en materia de exclusiones, y dada la vasta definición de “dato” bajo el prisma la Data Act, que como veremos a continuación, implicará alguna que otra “friction by Design” con el RGPD, si hay un tema más caliente que Córdoba en agosto es el hecho de que los secretos comerciales no quedan excluidos de la obligación por parte del fabricante o titular de los datos de ponerlos a disposición del usuario o de un tercero de su elección.

Repito: los secretos comerciales no están excluidos. Ni frente al usuario ni frente a un tercero que esté actuando en su representación, siempre y cuando haya una condición que se cumpla: los secretos comerciales se preservarán y se revelarán cuando el titular de datos y el usuario hayan adoptado medidas técnicas y organizativas (las famosas “TOMs”) necesarias para preservar su confidencialidad, tales como cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso estrictos, aplicación de códigos de conducta, etc.

Y es solo en caso de desacuerdo sobre las medidas a implementar, o cuando el usuario no las aplique debidamente, donde el titular, por regla general, podrá retener o suspender esa puesta a disposición de los datos identificados como secretos comerciales.

El Reglamento establece algunas excepciones de dudosa aplicabilidad en la práctica (p.ej. una demostración del riesgo concreto basada en elementos objetivos de la alta probabilidad de sufrir un perjuicio económico grave que implique una pérdida económica significativa como consecuencia directa de su revelación…) a esta regla, terminando todas ellas con la obligación de notificar a la autoridad competente de tu negativa a compartir tus secretos comerciales tras el requerimiento por parte de un usuario o de un tercero actuando en su nombre.

Este es un tema que promete generar mucho litigio, pues a parte de la legitima negativa por parte de empresas de tener que verse obligados a compartir semejante información sensible en términos de negocio con cualquier usuario o tercero que este capacitado para solicitarlo, no deja de ser en sí paradójico: si el titular de los datos tiene que firmar un contrato con terceros donde, entre otras cosas, se especifiquen los secretos comerciales y las medidas a adoptar para preservar su confidencialidad, en si se contradice la idea de secreto comercial, ya que un secreto comercial es, por definición, una información que no es generalmente conocida ni fácilmente accesible, incluso entre las personas que normalmente manejan ese tipo de información. Compartir listas exhaustivas de secretos comerciales con miles de destinatarios y usuarios, implica, a la larga, que esos datos se acaben volviendo generalmente conocidos, y por ende, pierdan su valor comercial.

A título personal, soy de la opinión de que parte de la respuesta la encontramos en el mismo Reglamento: todos los datos sujetos a las obligaciones impuestas por la Data Act emanan de una premisa clave: el diseño. Los datos que los fabricantes tienen la obligación legal de compartir a partir del 12 de Setiembre de 2025, son, por definición, los que ellos mismos han diseñado para que puedan ser extraídos de sus productos (ya sea mediante una conexión física o electrónica), y, por ende, compartidos.

Si un dato no ha sido diseñado para ser extraído del producto conectado, queda automáticamente fuera del alcance del Reglamento. Así que, quizás, sería una buena estrategia, dentro de la libertad de empresa de la que gozan los fabricantes, empezar a identificar los datasets críticos y plantearse la viabilidad, costes y las consecuencias de rediseñar ciertos aspectos…

Huelga decir que una gran cantidad de datos agregados, aunque por separado no constituyan un secreto comercial, pueden utilizarse para determinar cómo funciona un dispositivo o para descubrir secretos comerciales.

En lo territorial:

En cuanto al ámbito territorial, la Data Act tiene un régimen parecido al del RGPD, pues se aplica independientemente del lugar de establecimiento de los fabricantes, proveedores de servicios y titulares de datos. Los fabricantes y proveedores establecidos fuera de la UE deben cumplir con la normativa si su producto conectado o servicio relacionado se introduce y comercializa en el mercado de la UE y, en el caso de los titulares de datos, si ponen los datos a disposición de destinatarios de datos en la UE.

Aquí es vital matizar conceptos: “introducir en el mercado” hace referencia a la transferencia de propiedad, posesión u otro derecho de propiedad entre dos agentes que ocurre después la fase de fabricación. Como tal, un producto conectado solo se ‘introduce en el mercado’ una vez. Todas las operaciones posteriores se consideran como ‘puesta a disposición en el mercado’.

Por cierto, el concepto se refiere a cada producto individual, no a un tipo de producto.

Los usuarios están definidos como personas físicas o jurídicas que poseen un producto conectado o a la que se le han transferido contractualmente derechos temporales de uso (p.ej. leasing). Basta con que estén en la Unión para poder hacer uso de los derechos que les otorga el Reglamento.

En cuanto a los actores se refiere, y para hacer las cosas un poquito más complicadas, existe una especie de multiverso paralelo donde múltiples combinaciones entre ellos son posibles:

Un mismo producto conectado puede tener varios usuarios independientes y de procedencia dispar. Por ejemplo, una empresa (titular de datos) de alquiler de coches, que cada vez que alquila un coche (producto conectado) a una persona distinta (usuario), tiene que poder garantizar el tratamiento separado de los datos de cada usuario distinto, garantizando su confidencialidad y el acceso de estos por separado. También se puede dar el caso que quien alquila (usuario) el coche, no sea una persona física sino una jurídica (otra empresa), relegando a la ecuación la figura de persona física al conductor final del coche, que también puede tener interés en acceder a sus datos para poder subirlos a una app de un tercero (destinatario) que evalúe su manera de conducir y le de consejos para reducir el gasto de gasolina.

Por otro lado, un producto conectado puede tener más de un titular de datos, que necesitan interactuar entre sí. O también se puede dar una situación en la que tengamos un fabricante y un titular de datos que sean empresas diferentes. O diferentes usuarios. O un proveedor de servicios relacionados con el producto conectado que no sea ni el fabricante ni el titular. O incluso un fabricante que también es titular, pero decide contratar a otra entidad para que desempeñe la función de titular de los datos para la totalidad o parte de los productos conectados que fabrica.

Realmente las posibles constelaciones hibridas y variopintas que pueden y van a surgir con este marco regulatorio en una economía global como la nuestra, van a suponer un reto interesante a nivel contractual. Pero las historietas para no dormir las dejaremos para otro día.

“Friction by Design”

La Data Act, en un intento de virtuosismo literario con poca credibilidad práctica, afirma por activa y por pasiva ya en su primer articulado, que sus disposiciones no afectan ni al RGPD ni a la veterana Directiva ePrivacy (ePD), matizando caballerosamente que, en caso de conflicto, les cederá el paso, pues el Derecho aplicable en materia de protección de datos personales o de la intimidad deberá prevalecer. Ambas normativas disponen del mismo rango, pero están dotadas de una norma de conflicto a favor de la protección de datos. Esto implica que ambas normativas deben armonizarse en la medida de lo posible en su aplicación, y solo cuando surja una contradicción irreconciliable, no deberá aplicarse la disposición pertinente a la Data Act, parar garantizar la plena protección de los datos personales.

A tenor de lo anteriormente expuesto, la definición de ‘dato’ bajo la Data Act engloba los datos de carácter personal, quedando automática y paralelamente sujetos al régimen del RGPD. A mayor abundamiento, cuando los datos personales y los no personales de un conjunto de datos estén indisolublemente vínculos (datasets mixtos), también quedarán sujetos a la primacía del RGPD.

Esto lógicamente implica que todo tratamiento de datos personales en virtud de la Data Act deberá cumplir con el RGPD, empezando por el requisito de disponer de una base jurídica válida para el tratamiento con arreglo al Art.6 RGPD, y, cuando proceda, con una excepción del Art.9 RGPD e incluso del Art.5.3. ePD.

Sin embargo, la Data Act como tal, a diferencia de lo que hemos visto con otra normativa reciente europea, no constituye una base jurídica para el tratamiento como tal.

Es decir, el Reglamento impone a los titulares de datos la obligación de poner los datos personales a disposición de los usuarios o de los terceros elegidos por el usuario. Para eso, deberá proporcionarse el acceso a los datos personales que el titular de datos trate basándose siempre en alguna de las bases jurídicas del Art.6 RGPD.

No obstante, cuando el usuario no sea el interesado, el presente Reglamento no contiene ninguna base jurídica para que se proporcione acceso a los datos personales o estos se pongan a disposición de un tercero, y no concede ningún nuevo derecho al titular de datos a utilizar los datos personales generados por el uso de un producto conectado o de un servicio relacionado.

Llegados a este punto, la Data Act, cual atleta olímpico, hace una pirueta con doble tirabuzón:

• 1er tirabuzón: semi-invirtiendo la carga de la prueba al proponer que “podría redundar en interés del usuario facilitar el cumplimiento de los requisitos establecidos en el Art.6”. Es decir, en caso de sofocos buscando una base legitimadora, se le puede pedir al usuario que colabore un poco y nos traiga de casa un consentimiento firmado bajo el brazo o, al menos, una LIA ponderada como Dios manda.
• 2o tirabuzón: luego, por si fuera poco, introduce a modo de traca la palabra mágica “anonimización” como vía de escape. Huelga recordar que la anonimización (cada más cuestionable en términos absolutos, habida cuenta de la tecnología actual) constituye un tratamiento en sí, el cual también requiere de base legal.

En conclusión: la Data Act no constituye una base jurídica ni para la recogida o generación de datos personales por parte del titular de datos, ni para proporcionar el acceso a eso datos.

-RGPD salió del chat-.

Cierto es que, antes de determinar en qué base jurídica del RGPD podemos subsumir nuestra empresa, en un contexto de cesión de datos a terceros, deberíamos evaluar detenidamente si los datos de carácter personal afectados realmente lo son, en base a la doctrina Scania y demás jurisprudencia del TJUE.

En otro orden de cosas, también cabe destacar los siguientes extremos en cuanto a la interacción con el RGPD:

• Los datos personales solo pueden ser solicitados por un responsable del tratamiento o un interesado.
• El encargado de tratamiento no es ni usuario ni titular de datos.
• Cuando el titular de datos y el usuario sean corresponsables del tratamiento, deberán determinar de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de la Data Act.
• Por otro lado, cuando el usuario sea el interesado, el derecho de acceso y el de portabilidad con base al RGPD no se ve afectado por la Data Act. Cuando la parte solicitante (usuario) de los datos es también el interesado, la base jurídica del Art.6 RGPD no suele plantear problemas, pues bastaría, por ejemplo, con su consentimiento, el cual, posiblemente formaría parte implícita de la propia solicitud de acceso.
• Sin embargo, cuando el usuario no sea el interesado, sino una empresa (incluido un empresario individual), el usuario tendrá la consideración de responsable del tratamiento. Por consiguiente, dicho usuario, que como responsable desea solicitar los datos personales generados por el producto conectado, deberá tener también una base lícita del RGPD para el tratamiento, como puede ser el consentimiento del interesado, un interés legítimo o la ejecución de un contrato en el que el interesado sea parte.

Supongo que en un futuro será común que, en estos escenarios, las empresas que deseen utilizar datos personales pidan el consentimiento de los interesados, o bien recogiéndolos ellos mismos para luego adjuntarlos a la solicitud de acceso, o bien pidiéndoles directamente a los interesados que envíen ellos mismos sus consentimientos al titular de los datos.

En otro orden de cosas, en cuanto a la aplicación y ejecución de ambos reglamentos se refiere, la Data Act establece que cada Estado miembro designará a una (o varias) autoridad nacional competente para garantizar la aplicación y ejecución del Reglamento. Sin embargo, también establece, que las autoridades de control responsables de supervisar el RGPD, tendrán la responsabilidad de supervisar también la Data Act en todo lo que respecta a la protección de datos personales.

En caso de designar una autoridad de control para la Data Act que no sea la propia autoridad responsable del RGPD, quedará por ver como se garantiza una supervisión homogénea y coordinada, sin que termine siendo un lastre técnico y burocrático para el afectado que se atreva a hacer valer sus derechos.

Y todo esto… ¿para qué?

Como sucintamente nombrado al inicio del post, la idea final es que este nuevo marco regulatorio, aparte de conllevar una democratización de los datos al permitir un acceso más justo y equitativo, elimine los obstáculos del intercambio de datos, los silos, cuellos de botella, desde un punto de vista técnico y contractual, sin abuso de desequilibrios, produciéndose un auténtico incremento de la competitividad y la innovación, impulsando el desarrollo de nuevos modelos de negocios basados en la reutilización de esos datos para nuevos fines y de modo ilimitado, sin pérdida de calidad ni de cantidad.

Así las cosas, más allá de teorías y objetivos nobles, ahora tocará esperar a que la realidad se imponga y nos muestre si este paso pionero que hemos dado a nivel europeo ha sido un acierto, o por el contrario, hemos acabado exponiendo y regalando a nuestros competidores el “know-how” que nutre nuestro tejido industrial, ahogados en un laberinto de solicitudes y protocolos.

Sergi Ariño Mayans

Abogado

La entrada La Data Act ya está aquí… y el silencio es ensordecedor se publicó primero en Citizen8.