En enero de 2024, la Unión Europea dio un paso significativo en su estrategia digital con la entrada en vigor del Reglamento (UE) 2023/2854, conocido como Data Act, aprobado en diciembre de 2023 y publicado en el Diario Oficial el 22 de diciembre de ese año. Aunque su aplicación general comenzó el pasado 12 de septiembre de 2025, esta norma se considera una pieza clave del ecosistema normativo digital europeo.
Su objetivo es crear un mercado único europeo de datos justo, seguro y favorable a la innovación, dinamizando un entorno en el que, según estimaciones de la Comisión, más del 80 % de los datos industriales generados por dispositivos conectados a Internet permanecen hoy infrautilizados.
Desde el punto de vista estructural, la Data Act se articula como una norma horizontal que afecta tanto al diseño técnico de los dispositivos como a las relaciones jurídicas que surgen entre titulares de datos, proveedores de servicios y terceros reutilizadores.
Pese a su envergadura, ha tenido escaso eco en el debate público nacional y en la agenda empresarial, a diferencia de otros países como Alemania o Francia. Sin embargo, se trata de una norma estratégica dentro de la arquitectura digital europea. Junto con el Reglamento de Gobernanza de Datos (DGA), el Reglamento de Mercados Digitales (DMA), la Ley de Servicios Digitales (DSA) y el Reglamento de Inteligencia Artificial (RIA), forma parte de un ecosistema digital interoperable.
Su verdadero alcance no reside solo en lo que regula, sino en cómo reordena las reglas del juego para el acceso, el uso, la portabilidad y el intercambio de datos en el mercado europeo. Esta Estrategia Europea de Datos persigue reforzar la competitividad de la UE en la economía digital. Según estimaciones de la Comisión, el impacto económico potencial podría alcanzar los 270.000 millones de euros adicionales en el PIB europeo hasta 2028.
Data Act: norma estratégica
La norma, tal como explicó Ramsés Gallego, Chief Technologist Cybersecurity de DXC Technology, en su ponencia sobre la Data Act durante el XV Cloud Security Alliance Summit celebrado en Madrid, parte de un principio innovador: los usuarios finales —particulares o empresas— tendrán derecho a acceder a los datos que generan mediante el uso de dichos productos, incluso cuando estos sean tratados inicialmente por fabricantes o proveedores.
Este derecho de acceso y portabilidad obliga a las empresas a rediseñar sus arquitecturas de datos y a modificar cláusulas contractuales estándar, siempre bajo la premisa de la prestación del consentimiento adecuado por parte del usuario.
Esta lógica protectora del usuario se ve complementada por reglas que limitan el poder de la industria digital, como la prohibición de cláusulas contractuales abusivas y la obligación de garantizar la interoperabilidad de los datos, así como la transparencia de los formatos utilizados.
El Artículo 4 reconoce expresamente el derecho de acceso a los datos generados por el producto conectado, mientras que el Artículo 5 regula la transmisión directa a terceros autorizados, siempre bajo consentimiento informado.
Entre las implicaciones jurídicas más destacadas figura la consolidación de una titularidad funcional del dato, en la que el usuario no adquiere la propiedad del mismo, pero sí un conjunto de derechos exclusivos de acceso, uso y cesión. Esta posición redefine el equilibrio entre privacidad, libre competencia y modelos de negocio basados en el control del dato.
Finalmente, el reglamento introduce un mecanismo de acceso por interés público, que permite a las Administraciones, en el marco de sus competencias, acceder a ciertos datos en casos de emergencia o necesidad pública excepcional, bajo condiciones estrictas de proporcionalidad y finalidad.
Mientras que el Reglamento de Gobernanza de Datos (Data Governance Act), vigente desde septiembre de 2023, creó las estructuras para favorecer el intercambio de datos, la Data Act aclara quién puede generar valor a partir de ellos y en qué condiciones. Esto afecta directamente a sectores clave como:
Una nueva era regulatoria
La Data Act inaugura una nueva era regulatoria, en la que la gobernanza del dato se articula en torno a los principios de accesibilidad y equidad funcional, con implicaciones directas para el equilibrio de derechos y deberes contractuales y extracontractuales de fabricantes, plataformas y usuarios en toda la Unión Europea.
Este Reglamento se presenta como un potente motor para la innovación y la creación de nuevos empleos, y permitirá a la UE posicionarse a la vanguardia de la nueva economía basada en datos.
En la práctica, como ejemplo ilustrativo, un agricultor podrá dirigirse al fabricante de su tractor para solicitar acceso a los datos que genera el funcionamiento del vehículo, y usarlos directamente o cederlos a un tercero que le ayude a optimizar la gestión de sus cosechas.
Con la entrada en vigor de este Reglamento comunitario —de aplicación directa en nuestro país— los usuarios, ya sean consumidores o empresarios, deben poder acceder de forma sencilla y sin barreras económicas a los datos que generan, incluso para compartirlos con terceros. Los titulares de la información tendrán derecho a utilizarla en las condiciones acordadas con el cliente. Esto implica un cambio de mentalidad para las empresas, que deberán prepararse para esta nueva realidad.
Oportunidades y retos
Sobre las oportunidades que genera la Data Act, el abogado Leandro Núñez, socio de Audens y secretario general de ENATIC, destaca su utilidad desde múltiples perspectivas: los datos recopilados por estas herramientas pertenecen a los usuarios, no a los fabricantes, y deben estar accesibles para ellos.
El reglamento está diseñado pensando en los fabricantes, aunque en España existen pocos actores relevantes en ese sector. La Comisión Europea había advertido que muchos de estos datos acababan en manos de empresas chinas o estadounidenses, que los utilizaban para innovar. De ahí la creación de un Mercado Único de Datos.
El reto, según apuntan diversos juristas, consiste en adaptarse más rápido que los competidores. Para ello, no basta con revisar políticas internas y cláusulas contractuales: es necesario adoptar una visión sistémica del reglamento. Las empresas que deseen liderar esta transformación deberán contar con equipos multidisciplinares que incluyan asesores legales e ingenieros.
A partir de ahora, como una de las principales conclusiones de la entrada en vigor de la Data Act, cualquier producto que esté pensado para conectarse a Internet deberá garantizar que los datos generados por su uso sean accesibles para el usuario.
Si te haces socio de ISMS Forum, formarás parte de la mayor red activa de organizaciones y expertos comprometidos con la Seguridad de la Información en España.
