EU Data Act: acceso a los datos de productos conectados y qué cambia el 12 de septiembre de 2026

El derecho europeo de producto da hoy dos respuestas completamente distintas a la pregunta «de quién son los datos de un producto». El pasaporte digital de producto la responde para los datos estáticos: material, origen, reparabilidad, conformidad — información que fija el fabricante y que se consulta a través de un soporte de datos por consumidores, autoridades y recicladores. El Data Act la responde para los datos dinámicos: horas de funcionamiento, códigos de error, lecturas de sensores, perfiles de consumo — todo lo que solo existe cuando alguien usa el producto. Los dos regímenes abordan el mismo aparato desde lados opuestos.

El Reglamento (UE) 2023/2854 se aplica desde el 12 de septiembre de 2025. El segundo paso decisivo llega ahora: a partir del 12 de septiembre de 2026, todo producto conectado que se introduzca por primera vez en el mercado debe diseñarse de modo que los datos que genera sean, por defecto, fácil, segura y gratuitamente accesibles de forma directa. Ya no es un deber de responder a solicitudes, sino un requisito de diseño — recae sobre el desarrollo de producto, no sobre el departamento jurídico. Este artículo explica qué rige desde esa fecha, dónde están los límites y en qué puntos el Data Act se cruza con el pasaporte digital de producto.

---

Lo más importante en resumen

• El Data Act es el Reglamento (UE) 2023/2854. Entró en vigor el 11 de enero de 2024 y se aplica directamente en todos los Estados miembros desde el 12 de septiembre de 2025, sin necesidad de transposición nacional.
• Desde el 12 de septiembre de 2025 rige el acceso previa solicitud. El usuario puede pedir los datos de producto generados por su uso (artículo 4) y exigir que el titular de los datos los transmita a un tercero (artículo 5), por ejemplo a un taller independiente.
• El 12 de septiembre de 2026 se añade el «acceso desde el diseño». El artículo 3, apartado 1, se aplica a productos conectados y servicios relacionados introducidos en el mercado después de esa fecha: los datos deben ser directamente accesibles por defecto, cuando sea pertinente y técnicamente viable. Un portal con formulario de solicitud deja de bastar.
• Los productos ya en el mercado quedan fuera del artículo 3, apartado 1. Siguen bajo el acceso previa solicitud. La fecha se vincula a la introducción en el mercado, no a la venta al cliente final.
• El secreto empresarial no es una causa general de negativa. En principio debe divulgarse si el titular de los datos y el destinatario acuerdan medidas técnicas y organizativas proporcionadas. La negativa solo cabe en supuestos estrictos y debe motivarse.
• Las microempresas y pequeñas empresas están exentas. Según el artículo 7, el capítulo II no se aplica a productos y servicios de empresas con menos de 50 empleados y un volumen de negocios o balance no superior a 10 millones EUR, salvo que estén vinculadas a una empresa mayor o actúen como fabricante por contrato.
• La ejecución es nacional. Cada Estado miembro designa autoridades competentes y fija las sanciones. En Alemania la ley de aplicación (DA-DG) está en vigor desde el 30 de mayo de 2026 y designa a la Bundesnetzagentur como autoridad coordinadora.
• El Data Act no sustituye al pasaporte digital de producto. Regula datos de uso y derechos de acceso; el DPP regula datos maestros y obligaciones de publicación. Cumplir ambos exige un modelo de datos que los mantenga separados.

Qué regula el Data Act — y qué no

El Data Act no es una norma de protección de datos. No decide si pueden tratarse datos personales — eso corresponde al RGPD, que se aplica en paralelo y prevalece en caso de conflicto. El Data Act decide otra cosa: quién puede acceder a los datos que un producto genera con su uso y en qué condiciones.

El reglamento contiene cuatro bloques:

• Capítulo II — acceso a los datos del producto. El núcleo para los fabricantes de aparatos conectados. El usuario obtiene acceso a los datos generados por su uso y puede cederlos a terceros.
• Capítulos III y IV — condiciones equitativas. Cuando los datos se ponen a disposición en virtud de una obligación legal, las condiciones deben ser justas, razonables y no discriminatorias (FRAND). Las cláusulas abusivas impuestas unilateralmente entre empresas no son vinculantes.
• Capítulo V — acceso del sector público. Las autoridades pueden solicitar datos en situaciones de necesidad excepcional, como emergencias.
• Capítulo VI — cambio de servicio en la nube. Los proveedores deben permitir el traslado a otro servicio. Las tarifas de cambio se eliminan gradualmente y no podrán cobrarse a partir del 12 de enero de 2027.

Lo que el reglamento no crea es un derecho de propiedad sobre los datos. Concede derechos de acceso, no una posición dominical. Y no permite al usuario emplear los datos para desarrollar un producto competidor: esa prohibición figura expresamente en el texto.

Producto conectado, titular de los datos, usuario: los tres conceptos de los que todo depende

Producto conectado es todo objeto que obtiene, genera o recoge datos sobre su uso o su entorno y puede comunicarlos mediante un servicio de comunicaciones electrónicas, una conexión física o un acceso en el propio dispositivo. El alcance es más amplio de lo que la mayoría de empresas supone: vehículos, maquinaria agrícola, líneas de producción, ascensores, bombas de calor, electrodomésticos, productos sanitarios, wearables — y expresamente máquinas que solo entregan sus datos por un puerto de servicio local.

Quedan excluidos los objetos cuya función principal es almacenar, procesar o transmitir datos por cuenta de terceros: servidores, routers, cámaras como meros equipos de transmisión. Lo decisivo es si recoger datos es un subproducto de la función real o la función misma.

Titular de los datos es quien, por contrato o por ley, tiene el derecho o la posibilidad efectiva de utilizarlos: normalmente el fabricante, a veces el operador de la plataforma en la nube. Usuario es quien posee, alquila o arrienda el producto. En bienes de equipo no suele ser ni el fabricante ni un consumidor, sino una empresa intermedia. Quien no sepa asignar estos tres papeles en su propia cartera de productos no podrá cumplir las obligaciones.

Dos regímenes de datos, un producto: Data Act y DPP comparados

	Data Act (2023/2854)	Pasaporte digital de producto (ESPR)
Tipo de datos	Datos de uso: sensores, horas de funcionamiento, códigos de error	Datos maestros: material, origen, reparabilidad, conformidad
Origen	De forma continua, durante el funcionamiento	Antes de la introducción en el mercado, estáticos hasta su actualización
Legitimados	El usuario y los terceros que designe	Consumidores, autoridades, recicladores, distribuidores, por nivel de acceso
Vía de acceso	En el propio aparato o mediante interfaz	Soporte de datos en el producto (código QR, GS1 Digital Link)
Desencadenante	Una solicitud de acceso o el deber de diseño	Un acto delegado para el grupo de productos
Calendario	Desde 12.09.2025; acceso desde el diseño desde 12.09.2026	Grupo por grupo desde 2027 (textiles primero)
¿Público?	No, bilateral entre legitimados	En parte sí, con acceso público escalonado

La conclusión práctica: ambos regímenes necesitan la misma base — una identidad de producto inequívoca y un modelo de datos mantenido — pero responden a preguntas distintas. Mezclarlos en un único catálogo de campos produce un conjunto que no sirve ni al usuario ni a la vigilancia del mercado.

Qué rige desde el 12 de septiembre de 2025

Acceso previa solicitud (artículo 4)

El usuario puede pedir los datos del producto y del servicio relacionado que estén fácilmente disponibles: sin demora indebida, en la misma calidad y formato en que los tiene el titular, gratuitamente y, cuando sea técnicamente viable, de forma continua y en tiempo real. «Fácilmente disponibles» significa datos brutos y preprocesados que el titular pueda obtener sin esfuerzo desproporcionado. Los resultados analíticos que incorporan su propio conocimiento quedan fuera.

Transmisión a un tercero (artículo 5)

A petición del usuario, el titular debe transmitir los datos a un tercero designado. Es la disposición con mayor efecto de mercado: abre a talleres independientes, empresas de mantenimiento y proveedores de analítica un canal que hasta ahora controlaba el fabricante. En ese sentido el Data Act completa el derecho a reparar por el lado de los datos. Los guardianes de acceso en el sentido del Reglamento de Mercados Digitales quedan excluidos como destinatarios.

Condiciones equitativas y FRAND (capítulos III y IV)

Cuando una empresa pone datos a disposición en virtud de una obligación legal, las condiciones deben ser justas, razonables y no discriminatorias. Frente a consumidores y frente a microempresas y pequeñas empresas no cabe exigir una contraprestación que supere los costes de puesta a disposición. Las cláusulas de acceso a datos impuestas unilateralmente y no razonables no vinculan entre empresas.

Cambio de proveedor en la nube (capítulo VI)

Los proveedores de servicios de tratamiento de datos deben permitir el traslado a otro proveedor o a infraestructura propia, con plazos contractuales y sin obstáculos técnicos. Las tarifas de cambio se suprimen por fases y desde el 12 de enero de 2027 no podrán cobrarse en absoluto. Para los fabricantes importa porque la telemetría de sus equipos suele residir en un gran proveedor de nube.

Qué cambia el 12 de septiembre de 2026: acceso desde el diseño

El artículo 3, apartado 1, exige que los productos conectados y los servicios relacionados se diseñen y presten de manera que los datos del producto y del servicio sean, por defecto, fácil, segura y gratuitamente accesibles, en un formato completo, estructurado, de uso común y legible por máquina y, cuando sea pertinente y técnicamente viable, directamente accesibles para el usuario.

El cambio respecto de la situación actual es de fondo:

• Hasta ahora: el usuario pregunta, el fabricante entrega. Basta un portal de servicio con formulario y plazo de tramitación.
• Desde el 12.09.2026: el acceso debe estar incorporado al producto. Sin solicitud, sin desbloqueo, sin software del fabricante como única vía.

La fecha se vincula a la introducción en el mercado. Los productos comercializados por primera vez en la Unión antes de esa fecha permanecen bajo el régimen anterior, aunque se sigan vendiendo después. Para la planificación de producto significa que toda serie cuyo arranque de producción caiga después del 12 de septiembre de 2026 debe incorporar la interfaz. Reequipar aparatos con ciclos de desarrollo largos rara vez es rentable, por lo que la decisión se toma de hecho en los proyectos de ingeniería en curso.

La salvedad «cuando sea pertinente y técnicamente viable» no es una vía de escape. Permite gradaciones en aparatos sin pantalla y sin conexión permanente, pero exige una justificación documentada. Quien la invoque debería dejar la valoración por escrito: en un litigio es la única prueba.

Qué datos quedan cubiertos — y dónde está el límite

Quedan cubiertos los datos brutos y preprocesados que el producto genera o recoge durante su uso: horas de servicio, temperaturas, niveles de llenado, número de ciclos, códigos de error y de diagnóstico, datos de localización, valores de consumo.

No quedan cubiertos:

• Datos derivados o inferidos en los que han intervenido algoritmos, modelos o valoraciones propias. El valor bruto de un sensor de vibración debe entregarse; el índice de vida útil restante calculado a partir de él, no.
• Datos que no están fácilmente disponibles, es decir, que solo podrían obtenerse con un esfuerzo desproporcionado.
• Contenidos sin relación con el uso del producto.

Sobre el secreto empresarial la expectativa habitual es errónea. No es una causa de exclusión: la información protegida debe en principio divulgarse siempre que el titular y el destinatario acuerden previamente medidas técnicas y organizativas proporcionadas — acuerdos de confidencialidad, restricciones de acceso, encapsulamiento técnico. La negativa es excepcional, debe motivarse y notificarse a la autoridad competente. Una empresa sin una clasificación de qué campos contienen secretos empresariales no puede en la práctica acogerse a esa excepción.

Deberes de información precontractual

El artículo 3, apartados 2 y 3, adelanta parte de la obligación. Antes de que el usuario compre, alquile o arriende un producto conectado o contrate un servicio relacionado, debe informársele en lenguaje claro y comprensible de:

• el tipo, formato y volumen estimado de datos que el producto generará previsiblemente,
• si los datos se generan de forma continua y en tiempo real,
• cómo se almacenan y durante cuánto tiempo,
• cómo accede el usuario a ellos y puede pedir su supresión,
• quién es el titular de los datos, con identidad y datos de contacto,
• si el titular pretende usarlos él mismo y si los comparte con terceros.

Esta información pertenece a la comunicación precontractual, no a una nota al pie de las condiciones generales, y debe coincidir con lo que el aparato hace realmente. En la práctica acaba en una ficha de datos propia, mantenida junto a las instrucciones de uso digitales.

Quién está exento: microempresas y pequeñas empresas

El artículo 7 excluye la aplicación del capítulo II a los productos y servicios relacionados fabricados o prestados por microempresas y pequeñas empresas en el sentido de la Recomendación 2003/361/CE: menos de 50 empleados y un volumen de negocios anual o balance general anual no superior a 10 millones EUR.

La exención decae en dos supuestos:

• La empresa tiene una empresa asociada o vinculada que no es micro ni pequeña. Una filial de un grupo mayor no puede invocar su propia plantilla.
• La empresa actúa como fabricante por contrato o subcontratista de diseño. Fabricar por encargo de un fabricante mayor devuelve la obligación.

Las medianas empresas no están exentas. La idea extendida de que «las pymes quedan fuera» solo alcanza a la mitad inferior de la definición de pyme.

Ejecución nacional: Alemania como ejemplo

El Data Act se aplica directamente, pero la ejecución corresponde a los Estados miembros. Cada uno designa autoridades competentes y fija sanciones; el reglamento solo exige que sean efectivas, proporcionadas y disuasorias. Cuando intervienen datos personales, las autoridades de protección de datos pueden aplicar el techo del RGPD: hasta 20 millones EUR o el 4 por ciento del volumen de negocios anual mundial.

En Alemania la Data Act Durchführungsgesetz (DA-DG), en vigor desde el 30 de mayo de 2026, reparte competencias, y la Bundesnetzagentur actúa como autoridad coordinadora y punto de reclamaciones. Las empresas que venden en varios Estados miembros deberían aclarar pronto qué autoridad les corresponde: las reglas de competencia difieren y no existe una ventanilla única como en el RGPD.

Qué cambiaría el Digital Omnibus — y qué todavía no rige

La Comisión ha propuesto modificar el Data Act dentro del paquete Digital Omnibus. Dos puntos importan a los fabricantes:

• Mayor protección del secreto empresarial. Los titulares podrían denegar con más facilidad las solicitudes cuando la divulgación expondría conocimiento protegido a destinatarios vinculados con terceros países sin protección adecuada.
• Acceso público más estrecho. El amplio marco de «necesidad excepcional» del capítulo V se sustituiría por un régimen más ceñido, ligado esencialmente a emergencias reales.

Lo decisivo para planificar: la propuesta no toca las reglas centrales de acceso a datos y no ha sido adoptada. La fecha del 12 de septiembre de 2026 se mantiene. Aplazar la obligación de diseño esperando una relajación es aplazarla contra el derecho vigente.

Dónde convergen el Data Act y el pasaporte digital de producto

Cuatro puntos de encuentro concretos:

1. Identidad del producto. Ambos presuponen que un aparato es identificable de forma inequívoca. Quien implanta el GS1 Digital Link para el DPP dispone de la misma clave para asignar telemetría.
2. Reparación y repuestos. El DPP aporta la instrucción de reparación y la referencia de la pieza; el Data Act, el código de error del aparato. Solo juntos componen un proceso de servicio utilizable.
3. Niveles de acceso. El DPP trabaja con derechos escalonados para consumidores, autoridades y recicladores. El Data Act exige una gestión de derechos comparable para el usuario y los terceros designados. Construirlos por separado significa operar dos sistemas de permisos para las mismas personas.
4. La calidad del dato como cuello de botella. La causa más frecuente de que ambos proyectos se atasquen es la misma: datos de producto dispersos entre ERP, PIM, CAD y sistemas de servicio. Por qué la base de datos precede a la interfaz se explica en DPP y PIM.

Seis pasos para prepararse

1. Inventaríe los productos

Enumere todas las series que obtienen o transmiten datos, incluidas las legibles solo por un puerto de servicio local. Marque para cada una la fecha prevista o real de introducción en el mercado. Todo lo posterior al 12 de septiembre de 2026 cae bajo el artículo 3, apartado 1.

2. Asigne los papeles

Determine por serie quién es titular de los datos y quién usuario. En modelos de arrendamiento, alquiler y operación no es trivial y a menudo está regulado en contrato de forma distinta a la que presupone el reglamento.

3. Clasifique los campos de datos

Separe los datos brutos y preprocesados de los resultados derivados y marque los campos con secretos empresariales. Sin esa clasificación no se puede ni entregar con seguridad ni denegar con motivo.

4. Especifique la interfaz

Defina la vía de acceso directo: interfaz del aparato, API local, función de exportación abierta. Formato estructurado, de uso común y legible por máquina. Documente dónde el acceso directo no es técnicamente viable y por qué.

5. Redacte la información precontractual

Una ficha de datos por familia de producto con los puntos del artículo 3, apartados 2 y 3, acordada con ventas y marketing para que llegue de verdad al cliente antes de la firma.

6. Revise los contratos

Repase los contratos de suministro, servicio y nube en busca de cláusulas que limiten el acceso a datos o impongan contraprestaciones no razonables. Esas cláusulas no vinculan entre empresas y generan riesgo de responsabilidad si siguen en uso.

Cinco errores que salen caros

• Tratar el Data Act como un asunto de TI. El artículo 3, apartado 1, es un requisito de diseño. Corresponde al desarrollo de producto y al pliego de especificaciones, no a un registro de cumplimiento.
• Referir la fecha límite a la venta. Lo que cuenta es la introducción en el mercado, no la entrega al cliente final.
• Invocar el secreto empresarial en bloque. Sin clasificación por campos y sin ofrecer medidas de protección, el argumento no se sostiene.
• Confiar en la exención para pymes. Solo cubre a micro y pequeñas empresas y decae con la pertenencia a un grupo o la fabricación por contrato.
• Fundir DPP y Data Act en un único modelo de datos. Los datos estáticos de conformidad y los datos vivos de uso tienen ciclos de actualización, destinatarios y reglas de conservación distintos.

Preguntas frecuentes

¿Se aplica el Data Act a máquinas sin conexión a internet?

Sí, si recogen datos y pueden comunicarlos por una conexión física o un acceso en el propio dispositivo. Una máquina herramienta cuyos datos de funcionamiento solo se leen por un puerto de servicio local es un producto conectado a efectos del reglamento. El marco regulatorio más amplio en maquinaria se describe en el Reglamento de Máquinas (UE) 2023/1230.

¿Tengo que reequipar productos ya en el mercado?

No. El artículo 3, apartado 1, solo alcanza a los productos conectados introducidos en el mercado después del 12 de septiembre de 2026. Los aparatos anteriores siguen sujetos al acceso previa solicitud del artículo 4, que rige desde el 12 de septiembre de 2025 y también debe cumplirse.

¿Puedo cobrar por el acceso a los datos?

Al usuario no. Frente a un tercero designado por él cabe una contraprestación, pero debe ser no discriminatoria y razonable; frente a microempresas y pequeñas empresas no puede superar los costes de puesta a disposición.

¿En qué se diferencia el Data Act del RGPD?

El RGPD regula el tratamiento de datos personales y los derechos de los interesados. El Data Act regula el acceso a los datos derivados del uso del producto, sean personales o no. Si lo son, el RGPD se aplica además y prevalece en caso de conflicto.

¿Necesito un pasaporte digital de producto para cumplir el Data Act?

No: son obligaciones separadas con calendarios separados. En la práctica ambas descansan sobre la misma base de identificación inequívoca y datos de producto mantenidos, por lo que conviene implantarlas juntas. El punto de partida está en la checklist de implantación del DPP.

¿Qué sanciones hay?

Las fijan los Estados miembros. Deben ser efectivas, proporcionadas y disuasorias; cuando intervienen datos personales, las autoridades de protección de datos pueden aplicar el rango del RGPD de hasta 20 millones EUR o el 4 por ciento del volumen de negocios anual mundial. En Alemania la autoridad coordinadora es la Bundesnetzagentur.

¿Puede myDPP cumplir por mí las obligaciones del Data Act?

myDPP gestiona los datos maestros del producto y el pasaporte digital, es decir, el lado estático. La telemetría del aparato permanece en sus sistemas operativos. Lo que aporta myDPP es la identidad de producto inequívoca y el modelo de datos que permite asignar ambos mundos al mismo artículo; cómo se conecta con el ERP se describe en la guía de integración con ERP.

Sigue leyendo

• Pasaporte digital del producto en 15 minutos
• Reglamento ESPR: requisitos de ecodiseño
• Reglamento de Máquinas (UE) 2023/1230 y el DPP
• Cyber Resilience Act: ciberseguridad y DPP
• Derecho a reparar en la UE
• Instrucciones de uso digitales: requisitos
• DPP y PIM: por qué los datos de producto son el fundamento
• Integración del DPP con sistemas ERP
• Pasaporte de batería: requisitos UE y calendario
• Cómo implementar el DPP: checklist

Fuentes

• Reglamento (UE) 2023/2854 sobre normas armonizadas para un acceso justo a los datos y su utilización (Reglamento de Datos)
• Reglamento (UE) 2024/1781 por el que se establece un marco para fijar requisitos de diseño ecológico (ESPR)
• Recomendación 2003/361/CE sobre la definición de microempresas, pequeñas y medianas empresas
• Comisión Europea — Data Act
• Bundesnetzagentur — acceso y uso de datos (Data Act)