El 11 de enero de 2024 entró en vigor el Reglamento (UE) 2023/2854, veinte días después de su publicación en el Diario Oficial de la Unión Europea. El Reglamento se aplica desde el 12 de septiembre de 2025. Esta legislación impone nuevas obligaciones fundamentales a los fabricantes de productos conectados y a los proveedores de servicios relacionados, afectando a un amplio abanico de sectores: desde la industria manufacturera y la energía hasta la sanidad y la automoción. Se recomienda a cualquier persona que genere, procese o utilice datos en un contexto empresarial que examine con suficiente antelación el alcance de esta legislación.
¿Qué regula la Ley de Protección de Datos?
La Ley de Datos forma parte de la estrategia europea de datos, cuyo objetivo es fortalecer la posición competitiva de Europa en la economía de datos. El Reglamento establece normas sobre quién tiene acceso a los datos generados por el uso de productos o servicios y en qué condiciones deben compartirse dichos datos. Esto no implica un derecho general a todos los datos, sino un marco basado en seis áreas específicas: acceso del usuario a los datos de productos y servicios, intercambio B2B en condiciones justas, acceso público en casos de necesidad excepcional, cambio entre servicios de procesamiento de datos, protección contra el acceso de gobiernos internacionales a datos no personales e interoperabilidad.
Obligaciones para las empresas: diseño de productos
Los productos conectados deben diseñarse y fabricarse de forma que los datos generados sean, por defecto, fácilmente accesibles para el usuario de forma segura, gratuita y en un formato legible por máquina. Los usuarios de productos conectados —como dispositivos domésticos inteligentes, maquinaria industrial o vehículos— adquieren así el derecho a acceder a los datos que genera su uso. Los fabricantes y proveedores de servicios ya no pueden conservar esos datos exclusivamente para sí mismos.
Es importante destacar que esta obligación se aplica de forma gradual. Si bien la Ley de Protección de Datos en su conjunto entra en vigor el 12 de septiembre de 2025, la obligación de diseño y fabricación de productos conectados solo se aplica a los productos comercializados después del 12 de septiembre de 2026. Por lo tanto, los productos existentes aún no están cubiertos.
Condiciones justas en el intercambio de datos B2B
El Reglamento contiene normas específicas sobre cláusulas contractuales en contratos de datos B2BUna cláusula impuesta unilateralmente por una empresa a otra no vincula a esta última si es injusta. Se considera que una cláusula se ha impuesto unilateralmente cuando, a pesar de haber intentado negociar, la otra parte no ha podido influir en su contenido. La carga de la prueba recae sobre la parte que incluyó la cláusula.
Una cláusula se considera abusiva si su uso se desvía gravemente de las buenas prácticas comerciales y es contrario a la buena fe y la lealtad. El Reglamento cita como ejemplos cláusulas que excluyen la responsabilidad por dolo o negligencia grave, impiden a la otra parte utilizar sus propios datos, permiten la rescisión unilateral con un preaviso irrazonablemente corto o autorizan cambios sustanciales en el precio u otros cambios materiales de forma unilateral. La consecuencia jurídica es que la cláusula abusiva no vincula a la otra parte, mientras que las demás disposiciones contractuales permanecen vigentes en la medida en que la cláusula sea separable.
Interacción con el RGPD
La Ley de Datos coexiste con el Reglamento General de Protección de Datos, pero existe una importante interacción entre ambos. El Reglamento también abarca los datos personales, pero no los desvincula de la legislación sobre protección de datos. Cuando el usuario no es el interesado cuyos datos personales se solicitan, estos solo podrán facilitarse cuando exista una base jurídica válida en virtud del artículo 6 del RGPD. Por lo tanto, la Ley de Datos no crea una excepción independiente al RGPD: el acceso a los datos en virtud de la Ley de Datos no exime a las partes de sus obligaciones en virtud del RGPD, tampoco proporciona una base para la retención o reutilización posterior de los datos proporcionados más allá del propósito para el que fueron obtenidos.
Portabilidad y conmutación en la nube
Un capítulo aparte exige a los proveedores de servicios de procesamiento de datos que faciliten el cambio a otro proveedor. No podrán imponer obstáculos precomerciales, comerciales, técnicos, contractuales ni organizativos que impidan a los clientes cambiar de proveedor. A partir del 12 de enero de 2027, los proveedores de servicios de procesamiento de datos ya no podrán cobrar a los clientes cargos por cambio de proveedor. La transferencia efectiva de datos y configuraciones deberá realizarse sin demoras indebidas y, en ningún caso, tras un período transitorio obligatorio de un máximo de treinta días. Para las organizaciones que dependen en gran medida de un único proveedor de servicios en la nube, esto les ofrece una mayor capacidad de negociación al renovar o renegociar contratos.
Acceso público en casos de necesidad excepcional
El Reglamento otorga a los organismos del sector público la posibilidad, bajo estrictas condiciones, de exigir el acceso a datos privados en casos de necesidad excepcional, como una emergencia pública. En tal caso, los titulares de datos, con excepción de las microempresas y las pequeñas empresas, están obligados a facilitar gratuitamente los datos necesarios. En otros casos de necesidad excepcional, el titular de los datos tiene derecho a una compensación justa. Esta facultad está sujeta a los principios de proporcionalidad y subsidiariedad establecidos en el Reglamento.
Aplicación de la ley en los Países Bajos
En los Países Bajos, la aplicación de la normativa se ha incorporado al derecho mediante la Ley de Implementación de la Ley de Protección de Datos (Uitvoeringswet dataverordening). La Autoridad Neerlandesa para los Consumidores y los Mercados (ACM) es la autoridad competente para la mayor parte del Reglamento, incluidos los capítulos sobre datos de productos, intercambio B2B y portabilidad en la nube. La Autoridad Neerlandesa de Protección de Datos (AP) es competente para los aspectos sensibles a la privacidad y para el tratamiento de datos personales en virtud de determinados artículos y del Capítulo V. Ambas autoridades pueden emprender acciones coercitivas dentro de su ámbito de competencia mediante la imposición de una orden sujeta a una sanción o multa administrativa. La Ley de Implementación también prevé un acuerdo de cooperación e intercambio de información entre la ACM y la AP, de modo que ambas autoridades supervisoras puedan actuar de forma coordinada en cuestiones superpuestas.
¿Qué significa esto en la práctica?
Las empresas que desarrollan, importan o distribuyen productos conectados harían bien en revisar el diseño de sus productos y la estructura contractual conforme a la Ley de Protección de Datos. Para los productos que se comercialicen después del 12 de septiembre de 2026, la obligación de diseño y accesibilidad se aplica en su totalidad. Los proveedores de servicios que procesan datos en nombre de los usuarios deben evaluar qué obligaciones de intercambio de datos les son aplicables y si los acuerdos existentes, incluidas las cláusulas de datos redactadas unilateralmente, se ajustan a ellas.
Quienes esperan hasta que comience la aplicación de la normativa corren el riesgo de quedarse atrás. Adaptar los productos, servicios y contratos a las nuevas normas con suficiente antelación no solo es importante. una cuestión de cumplimientoPero también presenta oportunidades: quienes ofrecen a sus clientes transparencia y acceso a los datos destacan en un mercado cada vez más crítico con la forma en que las empresas gestionan los datos.
¿Tiene preguntas sobre las implicaciones de la Ley de Protección de Datos de la UE para su negocio o sus contratos? Los abogados de Law & More Estaremos encantados de ayudarle.
Preguntas frecuentes
¿La Ley de Protección de Datos ya se aplica a mis productos conectados actuales?
El Reglamento entra en vigor el 12 de septiembre de 2025, pero la obligación de diseñar productos conectados de forma que los usuarios puedan acceder a los datos solo se aplica a los productos comercializados después del 12 de septiembre de 2026. Los productos ya comercializados antes de esa fecha aún no están cubiertos. No obstante, se recomienda a fabricantes e importadores que adapten el desarrollo de sus productos a los nuevos requisitos desde ahora, para que los futuros productos cumplan con la normativa en el momento de su lanzamiento al mercado.
¿Qué debo hacer si mi contrato de datos contiene cláusulas que restringen el acceso a los datos?
Según la Ley de Protección de Datos, las cláusulas contractuales impuestas unilateralmente que impiden a la otra parte usar o explotar sus propios datos pueden considerarse abusivas y, por lo tanto, no vinculantes. Es recomendable revisar los contratos de datos existentes para detectar este tipo de cláusulas. La carga de la prueba de que una cláusula no fue impuesta unilateralmente recae sobre la parte que la incluyó. La renegociación temprana suele ser más efectiva que esperar a que la otra parte invoque el Reglamento.
¿Puedo compartir datos personales en virtud de la Ley de Protección de Datos sin una base jurídica amparada por el RGPD?
No. La Ley de Protección de Datos no constituye una base jurídica independiente para la divulgación de datos personales. Cuando el usuario no sea el titular de los datos personales solicitados, estos solo podrán facilitarse si existe una base jurídica válida conforme al artículo 6 del RGPD. Además, el acceso a los datos en virtud de la Ley de Protección de Datos no justifica la conservación ni la reutilización de los datos personales divulgados más allá de la finalidad original. Por lo tanto, es fundamental garantizar simultáneamente el cumplimiento del RGPD y de la Ley de Protección de Datos.
¿Puedo seguir cobrando comisiones por cambio de proveedor de servicios en la nube?
A partir del 12 de enero de 2027, los proveedores de servicios de procesamiento de datos tienen prohibido cobrar a sus clientes cargos por cambio de proveedor. Asimismo, a partir del 12 de septiembre de 2025, no se podrán imponer obstáculos técnicos, contractuales ni organizativos que dificulten el cambio. La transferencia efectiva de datos tras el cambio deberá realizarse sin demoras indebidas y completarse en un plazo máximo de treinta días. Los contratos vigentes que contengan plazos más largos o cargos por cambio deberán revisarse.
¿Qué autoridad supervisora es competente para hacer cumplir la Ley de Protección de Datos en los Países Bajos?
La aplicación del Reglamento se divide entre la Autoridad Neerlandesa de Consumidores y Mercados (ACM) y la Autoridad Neerlandesa de Protección de Datos (AP). La ACM es competente para la mayor parte del Reglamento, incluidas las disposiciones sobre datos de productos, el intercambio B2B y la portabilidad en la nube. La AP es competente para los aspectos sensibles a la privacidad y el tratamiento de datos personales contemplados en determinados artículos y en el Capítulo V. Ambas autoridades pueden imponer una orden sujeta a sanción o multa administrativa. Contra dichas decisiones se pueden interponer los recursos administrativos habituales, como la impugnación, el recurso y las medidas cautelares.
¿La Ley de Protección de Datos también se aplica a las pequeñas empresas?
El Reglamento establece distinciones según el tamaño de la empresa en algunos aspectos. Por ejemplo, las microempresas y las pequeñas empresas están exentas, en casos de solicitudes de datos de emergencia pública, de la obligación de facilitar los datos gratuitamente; en estos casos, tienen derecho a una compensación justa. Para las demás obligaciones —incluida la obligación de accesibilidad para productos conectados y el criterio de equidad para las condiciones B2B— no existe una exención general para las pequeñas y medianas empresas. Por lo tanto, los proveedores más pequeños de productos conectados o servicios en la nube también deben adaptar sus operaciones al Reglamento con suficiente antelación.
