Data Act: qué implica para tu empresa
El Data Act (Reglamento (UE) 2023/2854) se aplica desde el 12 de septiembre de 2025 y cambia cómo usan y comparten datos las empresas. En concreto, decide quién usa los datos de los productos conectados, cómo se comparten y cómo se cambia de proveedor cloud. Por eso, si fabricas dispositivos IoT, prestas servicios asociados o contratas servicios en la nube, tienes obligaciones concretas con plazos hasta 2027.
En 30 segundos: los usuarios de productos conectados pueden acceder a sus datos y compartirlos con terceros. Además, las cláusulas abusivas sobre datos entre empresas no vinculan, y los organismos públicos pueden pedir datos en emergencias. También será gratis cambiar de proveedor cloud desde el 12 de enero de 2027. Por último, los datos no personales quedan protegidos frente a gobiernos de fuera de la UE. El Data Act se aplica directamente a las empresas, sin ley española.
Calendario del Data Act para las empresas
Está en vigor desde el 11 de enero de 2024, pero sus obligaciones se activan por fases (art. 50). Texto completo en EUR-Lex.
| Fecha | Qué empieza a aplicarse | A quién afecta |
|---|---|---|
| 12/09/2025 | Aplicación general: acceso y compartición de datos (arts. 4 a 6), información precontractual, cláusulas abusivas en contratos nuevos, peticiones de organismos públicos, cambio de proveedor cloud con tasas limitadas al coste | Fabricantes, servicios relacionados, proveedores cloud y sus clientes |
| 12/09/2026 | Acceso a los datos desde el diseño (art. 3.1) para productos y servicios relacionados introducidos en el mercado después de esa fecha | Fabricantes y proveedores de servicios relacionados |
| 12/01/2027 | Supresión total de las tasas por cambio de proveedor, incluida la salida de datos (art. 29) | Proveedores cloud y edge |
| 12/09/2027 | Cláusulas abusivas (capítulo IV) también en contratos celebrados hasta el 12/09/2025, si son indefinidos o vencen al menos 10 años después del 11/01/2024 | Empresas con contratos de datos de larga duración |
La fecha del artículo 3.1 se mide unidad a unidad. Así, lo introducido antes no queda sujeto, aunque siga a la venta.
Roles del Data Act: quién es quién entre empresas
- Usuario: persona o empresa que posee, alquila o arrienda un producto conectado, o recibe un servicio relacionado.
- Titular de datos: quien tiene el derecho o la obligación de usar y poner a disposición los datos. Suele ser el fabricante o el proveedor del servicio relacionado.
- Destinatario de datos: empresa distinta del usuario que recibe los datos, como el taller o la aseguradora que elige el usuario.
- Proveedor de servicios de tratamiento de datos: proveedor cloud o edge (IaaS, PaaS, SaaS) sujeto a las reglas de cambio de proveedor.
Por ejemplo, un fabricante de maquinaria puede ser titular de datos ante sus clientes y cliente de un proveedor cloud. Por eso, conviene que las empresas revisen su rol en el Data Act caso por caso.
Qué exige el Data Act a las empresas según su tipo
Fabricantes de productos conectados
Debes entregar al usuario, a petición y sin coste, los datos del producto fácilmente disponibles, con sus metadatos. Si es técnicamente viable, la entrega debe ser continua y en tiempo real (art. 4). También debes compartirlos con el tercero que indique (art. 5). Antes de vender, hay que informar de qué datos genera el producto. Solo puedes usar los datos no personales si lo pactas con el usuario. Asimismo, para negarte a compartir por secretos comerciales debes probar un perjuicio económico grave muy probable. Más en la página para fabricantes de producto conectado.
Proveedores de servicios relacionados
Si ofreces una app o servicio que controla un producto conectado, como la app de un termostato, eres titular de esos datos. Así que tienes las mismas obligaciones de información, acceso y compartición.
Clientes y proveedores de servicios cloud
El contrato cloud debe fijar por escrito un preaviso máximo de dos meses para iniciar el cambio. Además, debe prever una transición máxima de 30 días naturales (hasta siete meses si se justifica la inviabilidad técnica). También debe garantizar al menos 30 días para recuperar los datos y el borrado completo al final (art. 25). Hasta el 12 de enero de 2027, el proveedor solo puede cobrar los costes directos del cambio; después, nada. Asimismo, debe publicar sus medidas frente al acceso ilícito de gobiernos de terceros países (arts. 28 y 32). Si vendes SaaS a empresas, estas obligaciones del Data Act son tuyas.
Exenciones del Data Act para pequeñas y medianas empresas
El acceso a datos de productos que exige el Data Act no obliga a micro y pequeñas empresas, salvo que tengan asociadas o vinculadas de mayor tamaño o fabriquen por encargo de otra (art. 7). Las medianas tienen un año de margen al pasar a serlo y durante el primer año de cada producto. Las reglas cloud, en cambio, no eximen por tamaño, y a una pyme destinataria de datos solo se le puede cobrar el coste (art. 9).
Cláusulas abusivas, cláusulas tipo y acceso de organismos públicos
El capítulo IV del Data Act protege a todas las empresas frente a cláusulas sobre datos impuestas unilateralmente. Algunas son siempre abusivas, por ejemplo excluir la responsabilidad por dolo o negligencia grave, y otras se presumen abusivas (art. 13). Así, la cláusula abusiva no vincula a quien se le impuso. En noviembre de 2025 la Comisión publicó su recomendación con términos contractuales tipo para datos y cláusulas tipo para contratos cloud (art. 41), inicialmente solo en inglés. Son modelos voluntarios y adaptables.
El capítulo V permite a organismos públicos, la Comisión y el BCE pedir datos por necesidad excepcional: una emergencia pública o, fuera de ella, una tarea de interés público prevista por ley que no puedan cubrir de otro modo (solo datos no personales). En emergencias, el Data Act obliga a medianas y grandes empresas a entregar los datos gratis, mientras que las micro y pequeñas pueden pedir compensación. Fuera de emergencias, en cambio, están exentas.
Sanciones y relación con el RGPD, el CRA y el Digital Omnibus
Sanciones y autoridad competente en España
Cada Estado fija sanciones efectivas, proporcionadas y disuasorias y designa autoridades competentes (arts. 37 y 40). En lo que afecta a datos personales vigilan las autoridades de protección de datos (en España, la AEPD). Pueden multar con el régimen del RGPD hasta 20 millones de euros o el 4 % de la facturación anual mundial. Sin embargo, a 14 de octubre de 2026 no consta que España haya designado la autoridad competente general ni aprobado su régimen sancionador. Eso no suspende las obligaciones del Data Act para las empresas, que son directamente aplicables.
RGPD y CRA
Si chocan, prevalece el RGPD. Además, las empresas no pueden usar el Data Act como base jurídica para tratar datos personales. Por ejemplo, si quien pide los datos no es el interesado (una empresa de flotas cuyos vehículos conducen sus empleados), necesitas una base del artículo 6 del RGPD. El Reglamento de Ciberresiliencia (UE) 2024/2847 obliga a notificar vulnerabilidades explotadas e incidentes graves desde el 11 de septiembre de 2026. Después, aplica el resto desde el 11 de diciembre de 2027. Así, el Data Act pide acceso seguro y el CRA fija cómo protegerlo. Lo detallamos en las obligaciones del Cyber Resilience Act.
Qué cambiaría el Digital Omnibus
El 19 de noviembre de 2025 la Comisión presentó la propuesta de Digital Omnibus (COM(2025) 837). En concreto, integraría en el Data Act el Reglamento de Gobernanza de Datos y ampliaría la negativa por secretos comerciales. Además, limitaría el capítulo V a emergencias, suprimiría el artículo 36 (contratos inteligentes) y aligeraría el cambio de proveedor en ciertos contratos cloud anteriores al 12 de septiembre de 2025. Sin embargo, a 14 de octubre de 2026 sigue en negociación: el Consejo debate textos de compromiso sin posición cerrada y no hay acuerdo con el Parlamento. Mientras, las empresas deben aplicar el Data Act tal como está.
Qué deben hacer ahora las empresas ante el Data Act
- Inventaria productos, servicios y datos: cuáles están disponibles, cuáles son personales y qué secretos comerciales contienen.
- Asigna roles en cada relación y comprueba si te aplica la exención de micro y pequeña empresa.
- Prepara el canal de acceso: formulario o API, verificación de identidad, información precontractual y acceso desde el diseño en productos nuevos.
- Revisa contratos: cláusulas de datos frente al artículo 13 y contratos cloud frente al artículo 25.
- Coordina por último Data Act, RGPD y CRA en un único mapa de controles para varias normativas.
Preguntas frecuentes
¿Desde cuándo es obligatorio el Data Act para las empresas?
Desde el 12 de septiembre de 2025 para casi todo. Sin embargo, el acceso desde el diseño rige para productos introducidos después del 12 de septiembre de 2026. Además, las tasas cloud desaparecen el 12 de enero de 2027.
¿Se aplica el Data Act a las pequeñas y medianas empresas?
En parte. Las micro y pequeñas empresas independientes quedan fuera de las obligaciones del Data Act sobre acceso a datos de productos. Pero no de las reglas cloud, y se benefician de la protección frente a cláusulas abusivas.
¿Qué diferencia hay entre el Data Act y el RGPD?
El RGPD protege los datos personales. En cambio, el Data Act regula quién accede y usa los datos, personales o no, que generan productos y servicios. Se aplican a la vez y, si hay conflicto, prevalece el RGPD.
¿Puede mi proveedor cloud cobrarme por cambiar de proveedor?
Hasta el 12 de enero de 2027, solo los costes directamente vinculados al cambio. Desde esa fecha no puede cobrar ninguna tasa por el cambio ni por la salida de datos asociada.
¿Quién sanciona el Data Act a las empresas en España?
En lo que afecta a datos personales, la AEPD. Para el resto, la autoridad que designe España; sin embargo, a octubre de 2026 esa designación no consta.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC gestiona el Data Act en el mismo sistema que el resto de tus normas: un control, varias normas. Así, inventarías productos, datos y roles, asignas obligaciones servicio por servicio y enlazas cada control con el RGPD y el CRA. Además, guardas evidencias de contratos y solicitudes, y el registro de terceros recoge tus proveedores cloud. El reloj regulatorio también te avisa de los plazos de 2027. Consulta la ficha del Data Act o solicita una demo.
