Data Act: qué exige el nuevo Reglamento Europeo de Datos a tu empresa
Si tu empresa fabrica o comercializa productos conectados, ofrece servicios digitales asociados a esos productos, o simplemente contrata infraestructura en la nube, es probable que el Data Act ya afecte a tu actividad, lo sepas o no. El Reglamento Europeo de Datos no es una norma más de protección de datos personales, como el RGPD, sino una pieza distinta de la estrategia europea de datos centrada en algo más amplio: quién puede acceder a los datos generados por el uso de productos y servicios, y en qué condiciones se pueden compartir entre empresas.
Muchas organizaciones siguen tratando el Data Act como un asunto exclusivamente legal, algo que resolverá el departamento jurídico revisando contratos. Es un error de planteamiento. La norma tiene implicaciones directas en cómo se diseñan los productos conectados, cómo se documentan los flujos de datos internos y con qué proveedores cloud se trabaja, lo que la convierte también en una cuestión de arquitectura tecnológica.
En este artículo repasamos qué obligaciones concretas introduce el Data Act, cómo se relaciona con el Data Governance Act, y por qué los espacios de datos son la infraestructura más natural para cumplir la norma sin convertirlo en un proyecto interminable, y para aprovechar las oportunidades de negocio que también trae consigo.
Qué es el Data Act y a quién afecta
El Data Act es el Reglamento Europeo de Datos aprobado en el marco de la estrategia europea de datos, cuyo objetivo es garantizar un reparto más justo del valor generado por los datos entre quienes fabrican dispositivos conectados, quienes los usan y quienes ofrecen servicios sobre esos datos.
Afecta principalmente a tres tipos de actores:
Fabricantes y proveedores de productos conectados: cualquier dispositivo que genere datos durante su uso y pueda comunicarlos, desde maquinaria industrial hasta equipamiento de climatización o sensores de proceso.
Proveedores de servicios relacionados: empresas que ofrecen aplicaciones o servicios digitales asociados al funcionamiento de esos productos.
Proveedores de servicios de tratamiento de datos en la nube y edge: empresas de cloud computing, cuyas condiciones de cambio de proveedor quedan reguladas por la norma.
La idea central es sencilla de enunciar, aunque compleja de implementar: los datos generados por el uso de un producto no pertenecen en exclusiva a quien lo fabrica, y el usuario del producto, sea una persona o una empresa, tiene derecho a acceder a esos datos y a decidir con quién compartirlos.
El derecho de acceso a los datos de dispositivos conectados
Uno de los pilares del Data Act es el derecho del usuario de un producto conectado a acceder a los datos que ese producto genera, y a poder cederlos a un tercero de su elección, incluido un competidor del fabricante original.
Pensemos en una cooperativa agroalimentaria de Castilla y León que utiliza maquinaria de procesado conectada, cuyos sensores registran continuamente datos de rendimiento, consumo energético y mantenimiento. Hasta ahora, esos datos solían quedar en manos del fabricante de la maquinaria, que los usaba para mejorar sus propios servicios de mantenimiento predictivo, sin que la cooperativa tuviera una vía sencilla para acceder a ellos ni para llevarlos a otro proveedor de análisis de datos.
Con el Data Act, la cooperativa tiene derecho a solicitar esos datos directamente o a pedir que se transfieran a un tercero, por ejemplo, una consultora que le ofrezca un servicio de optimización de mantenimiento más ajustado a sus necesidades. Esto obliga a los fabricantes a rediseñar sus productos y servicios pensando desde el principio en la portabilidad de los datos que generan, no solo en explotarlos internamente.
Para las empresas fabricantes, esta obligación implica revisar aspectos muy concretos:
Qué datos genera exactamente cada producto y en qué formato se almacenan.
Qué mecanismos técnicos existen para exportarlos de forma legible y estructurada.
Qué cláusulas contractuales actuales podrían entrar en conflicto con este derecho de acceso.
Condiciones justas de compartición de datos entre empresas
El Data Act también regula las condiciones bajo las cuales una empresa debe compartir datos con otra cuando la ley u otra empresa lo solicita en el marco de la norma. El objetivo es evitar cláusulas abusivas que, en la práctica, hagan imposible ejercer el derecho de acceso aunque exista sobre el papel.
Esto se traduce en varios principios que las empresas deben incorporar a sus políticas de compartición de datos:
La compensación por compartir datos, cuando proceda, debe ser razonable y no puede convertirse en una barrera disuasoria.
Las condiciones contractuales de acceso a datos no pueden imponerse de forma unilateral y desproporcionada a la parte más débil de la relación.
Debe existir transparencia sobre qué datos se comparten, con qué finalidad y durante cuánto tiempo.
Para una empresa mediana que hasta ahora compartía datos con clientes o proveedores mediante acuerdos ad hoc, poco documentados y gestionados por correo electrónico o ficheros sueltos, esto supone un cambio de enfoque: hace falta un marco de gobernanza que registre qué se comparte, bajo qué condiciones y con quién, de forma trazable.
Cambio de proveedor cloud sin fricciones
Otro bloque relevante del Data Act tiene que ver con la facilidad para cambiar de proveedor de servicios de tratamiento de datos en la nube. La norma busca eliminar las barreras técnicas, contractuales y económicas que hoy dificultan migrar de un proveedor cloud a otro, un fenómeno conocido como dependencia del proveedor o vendor lock-in.
En la práctica, esto obliga a los proveedores cloud a facilitar la portabilidad de los datos y configuraciones de sus clientes, a reducir progresivamente las penalizaciones económicas por cambio de proveedor y a garantizar un mínimo de interoperabilidad entre servicios equivalentes.
Para una empresa que depende de un único proveedor cloud para almacenar sus datos operativos, esto es una buena noticia: refuerza su capacidad de negociación y reduce el riesgo de quedar atrapada en condiciones poco competitivas simplemente porque cambiar de proveedor resultaría demasiado costoso o técnicamente complejo.
Data Act y Data Governance Act: piezas complementarias
Conviene no confundir el Data Act con el Data Governance Act, aunque ambos formen parte de la misma estrategia europea de datos y se refuercen mutuamente.
El Data Governance Act se centra en crear mecanismos de confianza para facilitar el intercambio de datos: regula figuras como los intermediarios de datos neutrales y el altruismo de datos, y establece principios para que organismos del sector público reutilicen determinados datos protegidos de forma segura.
El Data Act, en cambio, se centra en derechos y obligaciones más concretas: acceso a datos de productos conectados, condiciones de compartición B2B y portabilidad entre proveedores cloud.
Dicho de otro modo, el Data Governance Act establece el marco de confianza y los mecanismos que hacen posible compartir datos con garantías, mientras que el Data Act define qué datos concretos deben poder compartirse y en qué condiciones. Una empresa que quiera cumplir ambas normas de forma coherente necesita una infraestructura capaz de aplicar políticas de acceso granulares y de dejar constancia verificable de cada intercambio de datos.
Por qué un espacio de datos es la infraestructura natural para cumplir el Data Act
Cumplir el Data Act mediante procesos manuales, contratos sueltos y exportaciones puntuales de ficheros es posible a pequeña escala, pero se vuelve insostenible en cuanto una empresa tiene varios productos conectados, varios clientes solicitando acceso a sus datos y varios socios con los que comparte información de forma recurrente.
Un espacio de datos moderno resuelve esta complejidad porque incorpora, de fábrica, los elementos que el Data Act exige de facto:
Un conector con gateway mTLS que garantiza que cada transferencia de datos se realiza de forma autenticada y cifrada, dejando constancia de quién accede a qué.
Un motor de políticas basado en Open Policy Agent, que permite definir de forma granular quién puede acceder a cada conjunto de datos, bajo qué condiciones y durante cuánto tiempo, sin necesidad de gestionarlo caso por caso.
Un módulo de transferencia compatible con bases de datos, APIs, ficheros y flujos en tiempo real, que facilita exportar los datos generados por un producto conectado en un formato reutilizable por terceros.
Un registro de acuerdos verificable, que deja constancia trazable de las condiciones bajo las que se ha compartido cada conjunto de datos, algo especialmente útil para demostrar cumplimiento ante una auditoría o una reclamación.
Una clearing house que certifica las transacciones de datos realizadas, aportando la trazabilidad que el Data Act exige en materia de condiciones justas de compartición.
Para una empresa fabricante de equipamiento conectado con sede en Castilla y León, esto significa poder atender la solicitud de un cliente que pide acceder a los datos de sus máquinas sin montar un desarrollo a medida cada vez: el conector del espacio de datos ya está preparado para autenticar al solicitante, aplicar la política de acceso correspondiente y dejar registro de la transacción.
De la obligación legal a la oportunidad de negocio
Es tentador ver el Data Act únicamente como una carga de cumplimiento, pero la norma también abre oportunidades reales. Las empresas que se adelanten a construir una infraestructura sólida de compartición de datos podrán ofrecer a sus clientes y socios un acceso a datos más ágil y confiable que la competencia, lo que se convierte en un argumento comercial diferencial.
Además, una empresa que participa en un espacio de datos no solo cumple con sus obligaciones de acceso, sino que gana visibilidad sobre qué datos genera, cómo fluyen y quién los usa, información que suele revelar oportunidades de mejora operativa que antes pasaban desapercibidas.
La soberanía del dato, en este contexto, no significa cerrar el acceso a la información, sino tener el control real sobre las condiciones en las que se comparte. Esa es precisamente la filosofía que sostiene la estrategia europea de datos, y la que hace que el Data Act y los espacios de datos encajen de forma casi natural.
Prepara tu empresa para el Data Act
Adaptarse al Data Act no exige reinventar toda la infraestructura de datos de tu empresa, pero sí requiere una base tecnológica capaz de gestionar el acceso, la trazabilidad y las condiciones de compartición de forma ordenada. Un espacio de datos moderno ofrece esa infraestructura ya preparada, con gobernanza de políticas, transferencia segura y trazabilidad integrada desde el primer día.
Si tu empresa produce dispositivos conectados o gestiona datos que otras organizaciones podrían necesitar, busca un socio tecnológico con experiencia en espacios de datos que pueda ayudarte a valorar cómo encajar tu operativa dentro de este marco normativo sin fricciones innecesarias.