El pasado 11 de enero de 2024 entró en vigor el Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifica el Reglamento (UE) 2017/2934 y la Directiva (UE) 2020/1828 (en adelante, “Data Act”).
La aprobación y entrada en vigor de la Data Act responde a la Estrategia Europea de Datos de la Unión Europea, que persigue la creación de un marco único de datos a nivel de la UE, permitiendo que estos fluyan libremente entre sectores, en beneficio de empresas y consumidores.
En el marco de esta estrategia, la Data Act regula el uso de los datos generados por el uso de productos o servicios conectados a internet (IoT), y tiene como principales objetivos (i) aumentar la accesibilidad a los datos, garantizando el derecho a que los usuarios (tanto personas físicas como jurídicas) de un producto conectado o de un servicio relacionado puedan acceder a determinados datos generados por dicho producto conectado o servicio relacionado, y puedan utilizarlos compartiéndolos con terceros de su elección, y (ii) mejorar los servicios postventa de los usuarios, y, concretamente, de los consumidores.
Para una correcta comprensión de la Data Act, es necesario analizar la norma desde cuatro puntos de vista diferentes:
- El ámbito subjetivo de aplicación, para determinar sobre qué operadores económicos recaen las obligaciones de la Data Act.
- El ámbito material de aplicación, para determinar sobre qué datos, productos conectados y servicios relacionados se aplica la Data Act.
- Una vez analizadas estas dos cuestiones, es necesario identificar las obligaciones específicas y concretas derivadas de la Data Act para aquellos sujetos obligados por la norma.
- El contrato como instrumento jurídico para cumplir con las obligaciones de la Data Act y prever en él cuestiones adicionales.
1 – Ámbito subjetivo de aplicación. ¿Sobre quién recaen las obligaciones derivadas de la Data Act?
El grueso de las obligaciones que se prevén en la Data Act recaen sobre los titulares de datos (diseñadores y fabricantes de productos conectados, y proveedores de servicios relacionados). Cabe destacar, igualmente, que la Data Act prevé alguna obligación para aquellos terceros que reciban, por cuenta del titular, datos relativos al producto conectado o servicio relacionado.
Al margen de las obligaciones, el texto prevé una serie de derechos que podrá ejercer, precisamente frente a los titulares de datos, el “usuario”, entendiendo por tal aquella persona física o jurídica que posee un producto conectado o que recibe servicios relacionados.
En este sentido, y respecto del término “usuario”, es importante diferenciarlo del concepto de “consumidor” conforme a la normativa de protección del consumidor, en la medida en que, con arreglo a lo dispuesto en la Data Act, una empresa que adquiera un producto conectado o contrate un servicio relacionado será considerada “usuaria” en lo relativo al acceso justo a los datos, y, por tanto, podrá ejercer frente al titular de datos los derechos reconocidos por el Reglamento.
2 – Ámbito material de aplicación. ¿Sobre qué recae la Data Act?
Las disposiciones de la Data Act aplican sobre los productos conectados que, a través de sus componentes o sistemas operativos, obtengan, generen o recopilen datos relativos al rendimiento, uso o entorno, del producto conectado o servicio relacionado, incluyendo los metadatos que pudieran generarse.
La siguiente relación de productos conectados recoge algunos ejemplos de productos que son susceptibles de obtener, generar y/o recopilar este tipo de datos a través de sus componentes digitales:
- Vehículos inteligentes, que pueden recoger datos de rendimiento .
- Equipos sanitarios y de estilo de vida, como pulseras de salud, etc.
- Buques y aeronaves, que pueden recabar datos sobre rendimiento o condiciones meteorológicas.
- Equipos domésticos y bienes de consumo, como relojes inteligentes, electrodomésticos conectados a internet.
- Productos médicos y sanitarios, como marcapasos inteligentes.
- Maquinaria agrícola e industrial, como por ejemplo maquinaria para procesos productivos o sistemas de riego inteligentes.
- Dispositivos de seguridad, como sistemas de seguridad para el hogar, por ejemplo cámaras de seguridad conectadas, sistemas de alarma, cerraduras inteligentes, etc.
- Dispositivos de entretenimiento, tales como televisores inteligentes.
Asimismo, las disposiciones de la Data Act también aplican sobre proveedores de servicios en la nube (cloud), en la medida en que el Reglamento pretende facilitar el intercambio de datos entre servicios de tratamientos de datos.
3 – Obligaciones para titulares de datos
Las obligaciones que los titulares de datos (fabricantes y diseñadores de productos conectados y prestadores de servicios relacionados) han de cumplir para con los usuarios en virtud de la Data Act son exigibles y aplicables desde la propia fase de diseño y fabricación. En este sentido, la Data Act establece que los productos conectados “se diseñarán y fabricarán y los servicios conectados se prestarán” de manera tal que los datos sean, por defecto, de fácil acceso, de manera segura y gratuita, en un formato completo, estructurado y de lectura mecánica.
Al margen de ello, las principales obligaciones a cumplir por los titulares de datos son las que siguen:
- Deber de información al usuario. El titular de datos deberá proporcionar al usuario información sobre, entre otros, el tipo, el formato y el volumen estimado de datos que el producto conectado es capaz de generar.
- Facilitar al usuario el acceso sin demora indebida a los correspondientes metadatos necesarios para interpretar y utilizar los datos generados por el producto conectado o servicio relacionado de una manera inmediata y sencilla.
- No dificultar el derecho de acceso a los datos de los usuarios, y, en el mismo sentido, no solicitar información innecesaria del usuario para que este pueda ejercitar de manera efectiva el derecho de acceso a los datos.
- En caso de que el usuario solicite al titular de datos que ponga a disposición de un tercero (destinatario de datos) los datos generados por el producto conectado o servicio relacionado, el titular de datos tendrá la obligación de poner a disposición de dicho tercero los datos fácilmente disponibles y los metadatos correspondientes necesarios para interpretar y utilizar dichos datos sin demora indebida, con facilidad, con seguridad, en un formato completo, estructurado, de utilización habitual y de lectura mecánica. Para el caso de relaciones entre empresas, el titular de datos y el destinatario de datos podrán fijar una compensación por la puesta a disposición de los datos, que, en todo caso, se deberá acordar en condiciones justas, razonables, no discriminatorias y de manera transparente.
4 – El contrato como instrumento jurídico para cumplir con las obligaciones de la Data Act y prever en él cuestiones adicionales
La Data Act establece que el instrumento jurídico para acordar el uso y acceso a los datos entre titular de datos y usuario deberá ser un contrato. El titular de datos, por tanto, podrá aprovechar la perfección de dicho contrato para proporcionar al usuario toda aquella información que las obligaciones de la Data Act prevén (a través de las propias cláusulas del contrato, a través de su inclusión en los términos y condiciones aplicables al caso, etc.).
Igualmente, el contrato permitirá fijar a las partes (titular de datos – usuario), cuestiones relativas a otros aspectos previstos en la Data Act y que, a pesar de no constituir derechos y/u obligaciones en sentido estricto, resultan de interés para los contratantes, entre otros:
- La posibilidad de poner a disposición de terceros los datos generados por el producto conectado o servicio relacionado con fines comerciales o no comerciales.
- La manera en que las partes prevén preservar los secretos comerciales y la confidencialidad de los datos compartidos (know how empresarial). Para ello, las partes podrán firmar acuerdos de confidencialidad, regirse por cláusulas contractuales tipo, prever códigos de conducta que configuran la utilización de los datos, etc.
- La forma y términos en los que los usuarios podrán ejercitar los derechos concedidos por la Data Act (portabilidad, acceso, etc.)
- Cuestiones relativas a los conflictos que, inter partes, pudieran suscitarse (órgano de resolución de conflictos, etc.).
En síntesis, la entrada en vigor y aplicación directa de la Data Act (al tratarse de un Reglamento Europeo) tendrá efectos y consecuencias en las relaciones jurídico-contractuales que, en adelante, usuarios, —sean consumidores o no— y titulares de datos (fabricantes, diseñadores, comercializadores y prestadores de productos conectados o servicios relacionados) mantengan entre sí. Asimismo, la aplicación de la Data Act también afectará al diseño de los productos conectados y servicios relacionados, en la medida en que los diseñadores y fabricantes deberán tener en cuenta las obligaciones dispuestas por el Reglamento desde la fase inicial de su proceso productivo.
A medida que surjan conflictos derivados de la aplicación de la Data Act, será de interés analizar el impacto que el Reglamento tendrá en cada Estado Miembro, ya que el legislador europeo ha dejado a criterio y elección de cada uno de los Estados Miembros el establecimiento del régimen sancionador aplicable a las infracciones de la Data Act, lo que, en la práctica, podría dar lugar a sanciones de distinta cuantía ante una misma infracción, dependiendo del país en el que se cometa la misma.
