Data Act, en cristiano: qué te pide y cómo no volverte loco

El Data Act pone orden en tres frentes: datos que generan los objetos conectados (IoT), “cambios de nube” sin dramas y acceso de la Administración a datos privados cuando haya un interés público claro. Empieza a aplicarse el 12 de septiembre de 2025, con calendarios específicos para algunos capítulos y contratos.

Lo esencial en 1 minuto

• IoT con reglas claras: si vendes o usas productos conectados, el usuario debe poder acceder y reutilizar los datos que genera el dispositivo y sus servicios asociados. Hablamos de datos “en bruto” o ligeramente preprocesados; lo inferido por algoritmos queda fuera salvo acuerdo.

• Nube sin bloqueo: contratos y proveedores deben facilitar el “switching”: exportar datos y configuraciones en formatos legibles, con cooperación de buena fe entre proveedor saliente y entrante para que el cambio no pare el negocio.

• B2G (empresa→Administración): se podrán pedir datos para fines de interés público (emergencias, estadísticas, investigación pública), con salvaguardas sobre secretos e IP, y límites en el uso posterior.

• GDPR sigue mandando: si hay datos personales, el Data Act no crea una nueva base legal ni se lleva por delante la privacidad ni ePrivacy. Juegan juntos.

Si haces (o usas) IoT

Piensa en dos tipos de datos:

• Datos de producto (lo que el propio dispositivo genera por su uso) y datos de servicios relacionados (lo que se genera al prestar el servicio del dispositivo). Ambos se deben poder poner a disposición del usuario en condiciones razonables. Lo que no entra por obligación es lo que tu empresa deduce con modelos o lógicas propietarias.

Ejemplos rápidos: un ascensor que reporta vibraciones y fallos, un tractor con telemetría, un wearable con métricas de uso. Esos datos base son del campo de juego del Data Act; el “insight premium” que construyes encima, no por defecto.

Si dependes de la nube

El Data Act pone negro sobre blanco el plan de salida:

• Tu proveedor debe informarte del proceso de cambio, formatos exportables, herramientas y restricciones conocidas.

• Todos los implicados deben cooperar para mover datos (y cuando proceda, activos digitales como máquinas virtuales o contenedores) de forma segura, a tiempo y sin paradas innecesarias.

• El objetivo: interoperabilidad y capacidad real de elegir proveedor o ir a multi-cloud sin ataduras artificiosas.

Si eres Administración… o proveedor con datos “de interés público”

Habrá supuestos en los que la Administración pueda solicitar datos para emergencias, estadística oficial o investigación con misión pública. Eso no es barra libre: hay notificaciones, límites de uso y protección de lo sensible.

Calendario sin letra pequeña

• Regla general: aplica desde el 12/09/2025.

• IoT: la obligación principal para productos conectados aplica a los puestos en el mercado después del 12/09/2026.

• Contratos de la nube y otros del Cap. IV: valen para los firmados tras el 12/09/2025; los anteriores, si son indefinidos o muy largos, se adaptan como tarde el 12/09/2027.

Tu plan en 30 días (realista)

1. Mapa de datos: qué dispositivos/servicios generan datos, cuáles son personales y cuáles no (para aplicar GDPR donde toque).

2. Cláusulas tipo IoT: en contratos con clientes/partners, define qué datos “en bruto” das, cómo, en qué formato y con qué límites de uso.

3. APIs y exportación: documenta endpoints y procesos de extracción; evita “dependencias mágicas” que bloqueen la salida.

4. Runbook de switching: tiempos, formatos, validaciones, roles del proveedor saliente y del entrante; incluye activos digitales si aplican.

5. B2G-ready: procedimiento para peticiones públicas con salvaguardas (IP, secretos, retención, trazabilidad).

6. Privacidad y seguridad: separa datos personales/no personales, registra quién accede y por qué, y revisa transferencias internacionales en la nube.

Mini-glosario útil

• Datos “en bruto”: lo que sale del sensor o se registra sin “cocina” algorítmica extra. Dentro del Data Act.

• Datos inferidos/derivados: lo que tu sistema calcula a partir de los brutos (modelos, scoring, sensor fusion). Fuera por defecto.

• Switching: cambiar de proveedor de servicios de datos (nube/edge) sin perder datos ni funcionalidad esencial.

El Data Act no te pide reinventar la rueda, te pide documentarla y que gire sin chirridos entre actores. Quien llegue a septiembre con contratos claros, APIs decentes y un plan de salida en la nube, tendrá menos fricción legal y técnica… y más margen para innovar. En una próxima pieza puedo compartir plantillas de cláusulas y un checklist técnico de “API amable con Data Act” para que aterrices esto sin sustos.

"¿Por qué esta magnífica tecnología científica, que ahorra trabajo y nos hace la vida mas fácil, nos aporta tan poca felicidad? La repuesta es esta, simplemente: porque aún no hemos aprendido a usarla con tino." (Albert Einstein)