Sin darnos cuenta, en nuestro día a día nos rodeamos de aplicaciones y tecnología que va recopilando nuestros datos. El Internet de las Cosas (IoT), por ejemplo, nos acompaña, nos localiza, sabe qué compramos, qué nos interesa o con quién hablamos. Piensa en todos los datos que genera tu coche, tu reloj inteligente o incluso tu aspiradora robot. ¿Quién se queda con toda esa información?
La Unión Europea está respondiendo a esa pregunta con la creación de una normativa europea que establece reglas para un acceso justo y un uso equitativo de los datos, especialmente de los generados por productos conectados (Internet de las Cosas) y servicios relacionados: El Data Act (Reglamento UE 2023/2854).
Con ella, busca democratizar el acceso a los datos generados por productos conectados, pero ¿cómo se vincula con el ya conocido Reglamento General de Protección de Datos (RGPD), la ley que protege nuestros datos personales?
Empecemos por el principio: ¿Qué regula el Data Act?
Aunque el Data Act entró en vigor en enero de 2024, la fecha clave para empresas y usuarios es el 12 de septiembre de 2025, cuando ha empezado a aplicarse de forma efectiva. Además, desde el 12 de septiembre de 2026, los productos conectados que se introduzcan en el mercado deberán estar diseñados para facilitar el acceso a los datos.
El objetivo del Data Act es que los datos generados por productos conectados (vehículos inteligentes, dispositivos IoT, aplicaciones) sean accesibles y reutilizables bajo condiciones justas y transparentes.
En la práctica, el Data Act te permitirá:
- Acceder a tus propios datos: si usas un coche conectado, tendrás derecho a consultar y reutilizar la información que genera sobre consumo, mantenimiento o rutas (Comisión Europea).
- Compartirlos en condiciones justas: las empresas no podrán retener en exclusiva los datos de sus dispositivos; deberán permitir que otros actores (talleres, aseguradoras, startups) accedan bajo reglas transparentes.
- Impulsar la innovación: al abrir el acceso a los datos, se fomenta la competencia y la creación de nuevos servicios digitales.
- Proteger secretos empresariales y propiedad intelectual: todo ello sin poner en riesgo la seguridad de la información ni los derechos de las compañías.
El reglamento no distingue sólo entre datos personales y no personales: abarca ambos, siempre que estén vinculados a la actividad de un dispositivo o servicio digital.
¿Cómo se conecta el Data Act con el Reglamento General de Protección de Datos (RGPD)?
El RGPD regula exclusivamente el tratamiento de datos personales, garantizando derechos como acceso, rectificación, supresión o portabilidad. En cambio, el Data Act se centra en el uso y acceso a los datos generados por dispositivos, que pueden ser personales o no.
La conexión entre ambos es clave:
- Si los datos son personales, se aplican ambas normativas. El Data Act no sustituye al RGPD, sino que lo complementa.
- En caso de conflicto normativo, prevalece el RGPD. Así lo recuerda la Comisión Europea en su explicación sobre el Data Act (fact sheet oficial).
- El principio de transparencia es común: las personas deben ser informadas sobre qué datos se generan, quién puede acceder a ellos y con qué finalidad.
Ejemplos cotidianos:
- Tu smartwatch mide tu frecuencia cardiaca. Según el Data Act, puedes acceder a esos datos y compartirlos con otra app de salud. Según el RGPD, solo pueden tratarse si respetan principios como seguridad y limitación de finalidad.
- Tu coche conectado recopila información sobre tu estilo de conducción. Puedes reutilizar esos datos, pero si te identifican como persona, deberán gestionarse bajo las garantías del RGPD.
- Una app de fitness guarda tus entrenamientos. Tú decides si compartes esos datos con un nutricionista o con otra plataforma, siempre con la protección adicional que garantiza el RGPD.
¿Qué implica para tu empresa?
- Revisar contratos y políticas: deberás asegurarte de que tus condiciones de uso y acuerdos con terceros cumplen con el acceso justo a los datos.
- Diseñar productos “data-friendly”: si fabricas o distribuyes productos conectados, tendrás que habilitar mecanismos claros para que los usuarios accedan a su información.
- Aplicar doble cumplimiento: cuando los datos sean personales, el Data Act y el RGPD se aplican juntos.
- Prepararte para los plazos: septiembre de 2025 marca el inicio de la aplicación, y 2026 añade obligaciones de diseño
El Data Act, lejos de ser solo un nuevo obstáculo legal, es una oportunidad de crecimiento. Entender cómo se relaciona con el RGPD te permitirá no solo evitar sanciones, sino también generar confianza con tus clientes al demostrar que su información está segura y bajo su control.
Si tienes cualquier duda, en Gesprodat, no solo te ayudamos a cumplir con la normativa, sino a convertir esta obligación en una ventaja competitiva en la nueva era del dato.