El Reglamento (UE) 2023/2854, conocido como Data Act o ley de datos europea, ya es de aplicación general en España desde septiembre de 2025. No estamos, por tanto, ante una norma futura que convenga vigilar: es derecho vigente que afecta a cualquier empresa que fabrique, venda o utilice productos conectados. Y 2026 trae un hito concreto que muchas compañías todavía no tienen en el radar.

El 12 de septiembre de 2026 entra en vigor la obligación de acceso por diseño: todos los productos conectados que se comercialicen a partir de esa fecha deberán fabricarse de modo que el usuario acceda directamente a los datos que generan. Quien diseñe hoy la próxima generación de su maquinaria o sus dispositivos ya está trabajando bajo ese requisito.

¿Qué es la ley de datos europea y a quién obliga?

El Data Act (Reglamento UE 2023/2854) es la norma que regula quién puede acceder a los datos generados por los productos conectados y los servicios asociados, en qué condiciones y con qué límites. Su objetivo es abrir los mercados de servicios digitales y desmontar los silos de información que, hasta ahora, dejaban esos datos en manos exclusivas del fabricante.

El ámbito de aplicación gira en torno al Internet de las Cosas (IoT). Una máquina industrial con sensores, una flota de vehículos, un sistema de climatización inteligente: cualquier equipo que capte datos de funcionamiento o de su entorno entra bajo este mandato. La lógica del legislador europeo es sencilla de resumir: que sea el cliente final, y no el fabricante, quien decida qué proveedor gestiona el mantenimiento predictivo o el análisis de rendimiento de sus activos.

El nuevo paradigma de la información descentralizada

Durante años, los fabricantes de dispositivos concentraron el control de las métricas y registros que recopilaban sus equipos. El Data Act rompe esa inercia. Se suma al Reglamento General de Protección de Datos (RGPD) y completa lo que la Comisión Europea llama la Estrategia Europea de Datos, con una idea de fondo: el usuario no adquiere la propiedad del dato, pero sí un derecho de acceso, uso y cesión que antes no tenía.

Conviene entender una consecuencia práctica de esto. El dato deja de ser un activo cautivo del fabricante para convertirse en un recurso que la empresa usuaria puede movilizar hacia el proveedor que elija. Ahí está el cambio de modelo de negocio que muchas organizaciones aún no han asimilado.

Calendario de aplicación: qué cambia realmente en 2026

Aquí conviene ser precisos, porque circula bastante confusión sobre las fechas:

La lectura para el empresario es doble. Las obligaciones esenciales ya son exigibles desde 2025. Y el diseño de producto tiene un plazo adicional que vence este año, lo que obliga a incorporar el requisito en cualquier desarrollo en curso.

Obligaciones y derechos de portabilidad

El Reglamento se traduce en tres directrices operativas que toda organización afectada debe interiorizar.

La primera es el acceso a los datos de los productos conectados: fabricantes y diseñadores deben proyectar sus dispositivos para que los datos disponibles sean accesibles por defecto, de forma directa y, cuando sea técnicamente posible, gratuita para el usuario. La segunda es la portabilidad: el cliente puede exigir que sus datos operativos se transfieran directamente a un tercero de su elección, por ejemplo un taller o un proveedor de mantenimiento independiente. La tercera es la eliminación de cláusulas abusivas: quedan prohibidos los pactos impuestos que bloqueen el intercambio legítimo de información o que penalicen económicamente el cambio de proveedor de nube.

Un matiz técnico que evita muchos malentendidos: el derecho de acceso abarca los datos brutos y preprocesados generados por el uso, pero no los datos inferidos o derivados que el fabricante elabora con su propia analítica. Tampoco alcanza a los datos generados antes del 12 de septiembre de 2025. La norma mira hacia delante, no hacia atrás.

La exención de las pymes y microempresas

Este punto interesa especialmente al tejido de pequeñas empresas, y suele pasarse por alto. El artículo 7.1 del Reglamento exime a las microempresas y pequeñas empresas de las obligaciones de compartición de datos: no están obligadas a implementar interfaces de acceso, ni a diseñar sus productos conforme al artículo 3, ni quedan sujetas al régimen FRAND y de compensación.

Ahora bien, la exención tiene una trampa que conviene conocer. Deja de aplicarse si la empresa pertenece a un grupo que supere los umbrales de la Recomendación 2003/361/CE. En nuestra experiencia asesorando a pymes con estructura de grupo, este detalle marca la diferencia entre estar exento o plenamente obligado, y no siempre resulta evidente a primera vista.

Data Act y RGPD: dos normas que conviven

La aplicación del Data Act exige una convivencia rigurosa con el RGPD, y aquí es donde se concentran los errores. Las corporaciones deben separar con precisión los datos puramente industriales de aquellos que contienen datos personales.

Hay una idea que insistimos en trasladar a nuestros clientes: el Data Act no crea una base jurídica autónoma para tratar datos personales. Si la información compartida identifica o hace identificable a una persona física, sigue siendo imprescindible una base legítima del artículo 6 del RGPD (consentimiento, contrato, interés legítimo). Por eso resulta preceptivo implantar protocolos de anonimización y seudonimización antes de autorizar cualquier acceso externo a ficheros compartidos. Cumplir una norma no exonera de la otra.

Adaptación corporativa y riesgos contractuales

Adecuarse a la ley de datos europea no es un trámite documental, sino una revisión de cómo la empresa gobierna su información. Las organizaciones que actúan como clientes de servicios digitales deben renegociar sus condiciones para asegurar que el proveedor de nube no retenga datos operativos legítimos de su actividad.

Un ejemplo ilustra el impacto. Una empresa de transporte con una flota de camiones sensorizados tiene derecho a extraer los registros de consumo, geolocalización y desgaste de componentes, y a entregarlos a un taller independiente de confianza para abaratar reparaciones, rompiendo el monopolio del fabricante del vehículo. El fabricante no puede bloquear esa transferencia amparándose sin más en el secreto comercial: solo puede exigir medidas de protección y, con carácter excepcional, negarse cuando acredite un riesgo serio, por ejemplo de ciberseguridad.

Es un escenario que ya vemos en la práctica. Desde nuestra sede de Valladolid hemos acompañado a operadores logísticos de Castilla y León que descubrieron, al revisar sus contratos de telemática, cláusulas de retención que impedían llevarse los datos de su propia flota a un taller externo. La solución pasó por renegociar esas condiciones antes de que el conflicto llegara a mayores. Cuando la discrepancia con el proveedor escala, la vía adecuada suele ser la litigación o el arbitraje contractual, pero lo eficiente es corregir el contrato a tiempo.

Esta obligación de trazar y compartir información conecta, además, con otras exigencias de cumplimiento que las empresas afrontan en paralelo, como la diligencia debida en la cadena de suministro. La gobernanza del dato ya no es un compartimento estanco.

El Ómnibus Digital: la reforma que se debate en 2026

En noviembre de 2025 la Comisión Europea presentó el paquete Ómnibus Digital, una propuesta que puede alterar el marco que acabamos de describir. Su ambición es simplificar la dispersión normativa de la economía del dato, y para ello plantea integrar dentro del Data Act tanto la Data Governance Act como la Directiva de Datos Abiertos, que quedarían derogadas.

La propuesta también toca el RGPD, y ahí está el punto polémico: pretende redefinir el concepto de «dato personal» incorporando la doctrina del Tribunal de Justicia de la UE sobre seudonimización. El Comité Europeo de Protección de Datos y el Supervisor Europeo emitieron en febrero de 2026 un dictamen conjunto que respalda la simplificación, pero advierte de que ese cambio va más allá de lo técnico y podría reducir el nivel de protección de las personas.

Nada de esto es todavía derecho aplicable. La propuesta está en plena negociación en el Parlamento y el Consejo, y su redacción final puede cambiar. Para las empresas, la consecuencia práctica es que conviene mantener una vigilancia jurídica activa durante todo el ejercicio, sin adelantar decisiones sobre un texto que aún no es definitivo.

La perspectiva de Interforo Abogados

En nuestro despacho vemos el Data Act menos como una carga y más como una ventaja competitiva para quien actúe con previsión. La seguridad jurídica en entornos automatizados ya no depende de restringir la información, sino de estructurar canales de compartición transparentes que reduzcan responsabilidades y eviten sanciones. Nuestro equipo de derecho mercantil integra la visión técnica con la estrategia de negocio, en coordinación con el área de digital y nuevas tecnologías, para que el cumplimiento normativo potencie y no limite la libertad comercial de nuestros clientes.

Hoja de ruta para la adecuación digital

Para transitar hacia el nuevo marco sin comprometer la actividad ordinaria, recomendamos cuatro medidas:

1. Inventariar los dispositivos IoT y productos conectados que la empresa comercialice o utilice en su cadena de producción.
2. Revisar las pólizas de servicios informáticos y las licencias de software en la nube vigentes, eliminando las restricciones de retención incompatibles con la norma.
3. Diseñar una política interna que delimite con claridad la frontera entre datos industriales y datos personales, bajo los estándares del RGPD.
4. Implantar soluciones técnicas que permitan exportar la información recopilada a petición del usuario o de terceros autorizados.