Guía de cumplimiento del Reglamento de Datos (Data Act) para empresas: obligaciones, plazos, sanciones y checklist

En esta guía conocerás qué empresas están obligadas, los requisitos que establece, las posibles sanciones y las principales soluciones para garantizar su cumplimiento.

Base legal y resumen de la Ley de Datos

¿En qué se diferencia el Data Act del RGPD o Reglamento General de Protección de Datos?

El RGPD protege a las personas; el Data Act ordena el mercado de los datos.

El RGPD responde a la pregunta "¿cómo se protegen los datos de una persona?": se aplica solo a datos personales y da derechos al interesado, que siempre es una persona física.

El Data Act responde a "¿quién puede acceder a los datos y usarlos?": se aplica a datos personales y no personales generados por productos conectados, servicios relacionados y servicios de nube, y da derechos al usuario, que puede ser una persona o una empresa.

No compiten: se complementan. El Data Act amplía la portabilidad del art. 20 del RGPD a los datos no personales y garantiza su viabilidad técnica. Y en caso de conflicto entre ambos, prevalece siempre el RGPD (art. 1.5 del Data Act).

¿Qué empresas deben cumplir el Reglamento de Datos?

Empresas obligadas (art. 1.3)

• Fabricantes de productos conectados introducidos en el mercado de la Unión y proveedores de servicios relacionados.

• Proveedores de servicios de tratamiento de datos (IaaS, PaaS y SaaS y variantes) que presten servicio a clientes de la Unión.

• Participantes en espacios de datos y proveedores que desplieguen contratos inteligentes para la ejecución de acuerdos de intercambio de datos.

• Organismos del sector público, la Comisión Europea, el BCE y organismos de la Unión que soliciten datos por necesidad excepcional (capítulo V).

Empresas excluidas o con régimen especial (art. 7)

• Microempresas y pequeñas empresas (definidas por la Recomendación 2003/361/CE): quedan fuera de las obligaciones del capítulo II para los datos de productos que fabriquen o diseñen y servicios que presten.

• Medianas empresas recientes: exención durante un año desde que adquieren la condición de mediana empresa, y para los productos conectados, durante un año tras su introducción en el mercado.

Umbrales, matices territoriales y casos dudosos

• Si el producto conectado se introduce en el mercado de la Unión o el cliente de nube está en la Unión, el Reglamento se aplica aunque el proveedor sea extracomunitario (aplicación extraterritorial).

• No se consideran productos conectados los prototipos ni los bienes cuya función primaria sea almacenar, tratar o transmitir datos en nombre de terceros (por ejemplo, los servidores).

• Quedan fuera los contenidos (texto, audio, vídeo) grabados o reproducidos mediante el producto, y la información inferida o derivada mediante algoritmos de propiedad exclusiva.

• Los asistentes virtuales entran en el ámbito cuando interactúan con un producto conectado o servicio relacionado.

• Un titular de datos que es micro o pequeña empresa puede estar obligado si no es el fabricante del producto ni el proveedor del servicio relacionado.

Árbol de decisión: ¿Debo cumplir el Data Act en mi empresa?

Ejemplos por tamaño y sector

• Fabricante industrial de maquinaria con sensores que vende en la UE: obligado por el capítulo II en toda su gama nueva a partir del 12/09/2026.

• Pyme (60 empleados) que desarrolla un servicio SaaS o IaaS de gestión conectado a dispositivos de fichaje: obligada como proveedor de servicio relacionado y como proveedor de servicio de tratamiento de datos.

• Microempresa que fabrica un wearable propio sin empresas vinculadas: exenta del capítulo II; si crece a mediana empresa, dispondrá de un año de transición.

• Empresa de cualquier tamaño que usa flotas, maquinaria o dispositivos conectados: beneficiaria de los derechos de acceso y portabilidad; puede exigir los datos a sus proveedores.

Obligaciones que establece el Data Act para las empresas, una por una

Diseñar productos y servicios con acceso a los datos por defecto

El artículo 3.1 obliga a diseñar los productos conectados y los servicios relacionados de manera que sus datos y metadatos sean accesibles con facilidad, con seguridad, gratuitamente, en formato estructurado y de lectura mecánica y, cuando sea técnicamente viable, directamente desde el dispositivo. Informar antes de vender o contratar

Se debe informar al usuario, de forma clara, del tipo, formato y volumen de datos, de cómo se generan y almacenan y de cómo acceder a ellos, extraerlos o suprimirlos; en los servicios relacionados, los apartados 2 y 3 del artículo 3 añaden la identidad del titular de datos, los usos previstos, los terceros implicados o la duración del contrato.

Dar acceso al usuario a los datos fácilmente disponibles

El artículo 4 de la Ley de Datos señala que el titular debe facilitar al usuario los datos fácilmente disponibles y sus metadatos, sin demora indebida, gratis, con la misma calidad de que él dispone y en formato de lectura mecánica, mediante una solicitud simple por medios electrónicos.

Advertencia legal: según el artículo 7.2 del Reglamento, cualquier cláusula contractual que excluya, limite o modifique en perjuicio del usuario sus derechos de acceso y compartición de datos es nula y no le vincula, aunque la haya firmado. La renuncia pactada a estos derechos no tiene ningún efecto jurídico.

Compartir los datos con terceros a petición del usuario

A petición del usuario, los datos deben ponerse a disposición del tercero que este elija, sin demora, con la misma calidad, gratis para el usuario y en formato de lectura mecánica, tal y como establece el artículo 5. La relación se articula mediante contratos con medidas de confidencialidad y la compensación sólo puede exigirse al tercero, nunca al usuario.

Proteger los secretos comerciales sin bloquear el acceso

El titular debe identificar los datos protegidos como secreto comercial y pactar medidas de confidencialidad proporcionadas (NDA, protocolos de acceso, normas técnicas). Solo en circunstancias excepcionales, demostrando un probable perjuicio económico grave, puede denegar la solicitud concreta, por escrito y notificándolo a la autoridad competente.

Poner datos a disposición en condiciones FRAND

Cuando existe obligación legal de poner datos a disposición de un destinatario, las modalidades deben pactarse en condiciones justas, razonables, no discriminatorias y transparentes, el régimen que desarrollan los artículos 8 y 9.

No imponer cláusulas abusivas en contratos de datos B2B

Las cláusulas sobre acceso, utilización, responsabilidad y recursos impuestas unilateralmente a otra empresa no vinculan si son abusivas, esto es, si excluyen la responsabilidad por dolo o negligencia grave, impiden usar u obtener copia de los datos propios o permiten resolver con preavisos excesivamente cortos.

Atender solicitudes del sector público por necesidad excepcional

Los organismos públicos, la Comisión, el BCE y los organismos de la Unión pueden exigir datos mediante solicitud motivada en los dos supuestos del capítulo V: emergencias públicas y otras necesidades excepcionales previstas por ley, solo con datos no personales y compensación justa.

La empresa puede denegar o pedir modificaciones en 5 días hábiles en emergencias y en 30 en el resto, y debe anonimizar los datos personales cuando sea posible.

Facilitar el cambio de proveedor de nube

Los proveedores deben eliminar todo obstáculo al cambio y recogerlo en un contrato escrito que incluya, conforme al artículo 25, un período transitorio máximo de 30 días naturales y un preaviso máximo de 2 meses, además de mantener un registro en línea actualizado y ofrecer interfaces abiertas gratuitas.

Aclaración: el período transitorio de 30 días puede ampliarse hasta un máximo de 7 meses si el proveedor demuestra que técnicamente es inviable cumplirlo, notificándolo en los 14 días hábiles siguientes a la solicitud. El cliente, por su parte, tiene derecho a prorrogarlo una vez por el plazo que considere adecuado para sus fines.

Proteger frente a accesos internacionales ilícitos

Los proveedores de nube deben implementar las medidas técnicas, organizativas y jurídicas necesarias para impedir los accesos gubernamentales de terceros países a datos no personales que entren en conflicto con el Derecho europeo o nacional. Solo caben resoluciones amparadas en acuerdos internacionales o que cumplan las condiciones del artículo 32, entregando el mínimo de datos e informando al cliente.

Cumplir los requisitos de interoperabilidad

Los participantes en espacios de datos deben describir públicamente el contenido, las licencias, la calidad, los formatos y los medios técnicos de acceso de los datos que ofrecen.

Por su parte, los proveedores de contratos inteligentes deben garantizar solidez, control de acceso, interrupción segura y coherencia, con evaluación y declaración UE de conformidad.

Entrada en vigor: Calendario y plazos

Obligaciones periódicas: mantener actualizados el registro en línea de estructuras y formatos de datos exportables (art. 26), la información web sobre jurisdicción y medidas frente a accesos internacionales (art. 28) y los informes anuales de los órganos de resolución de litigios. Todas las fechas de esta guía son vigentes a 21 de julio de 2026.

Responsabilidades dentro de la empresa

Plan de cumplimiento paso a paso

Determinar la aplicabilidad

Clasificar cada producto, servicio y contrato según los capítulos del Reglamento que le aplican (fabricante, servicio relacionado, titular de datos, proveedor de nube o usuario). Se debe elaborar un informe de aplicabilidad por línea de producto y servicio.

Nombrar un responsable

Designar formalmente a un responsable del cumplimiento del Data Act, con mandato escrito, recursos y capacidad de decisión sobre las demás áreas. Basta un acta de nombramiento aprobada por dirección.

Hacer un diagnóstico de brechas

Comparar cada obligación aplicable con la situación real de la empresa en una matriz obligación–situación actual–brecha, y priorizar las brechas por riesgo y por fecha límite del calendario.

Inventariar los datos afectados

Construir un catálogo con los datos del producto, del servicio relacionado y los datos exportables de nube, marcando cuáles contienen secretos comerciales y cuáles datos personales.

Definir los controles técnicos

Diseñar y aprobar la arquitectura de acceso: API u otros mecanismos de acceso documentados, formatos estructurados y de lectura mecánica, un mecanismo de solicitud simple para el usuario e interfaces abiertas para el cambio de nube.

Aprobar las políticas internas

Redactar, aprobar y comunicar cuatro políticas:

• Uso de los datos del usuario

• Gestión de secretos comerciales

• Respuesta a solicitudes del sector público

• Respuesta a requerimientos de autoridades de terceros países.

Adaptar los contratos

Actualizar todas las plantillas: información precontractual, contrato de uso de datos con el usuario, contratos con terceros y destinatarios, contratos B2B sin cláusulas abusivas y contratos de nube con las cláusulas de cambio obligatorias.

Formar a los equipos

Impartir formación específica a producto, comercial, soporte y compliance, que son quienes recibirán las solicitudes de usuarios y terceros, y guardar los registros de asistencia como evidencia.

Implantar los registros y evidencias

Poner en marcha el registro de solicitudes de acceso y de denegaciones notificadas a la autoridad, el registro en línea de formatos y datos exportables y la página web con la jurisdicción y las medidas frente a accesos internacionales.

Auditar y corregir

Probar el sistema completo con tres simulacros: una solicitud de acceso de un usuario, una petición de portabilidad a un tercero y un proceso de cambio de nube. La auditoría interna documenta los fallos en un informe con acciones correctivas.

Revisar periódicamente

Repetir la revisión al menos una vez al año y, además, cada vez que la Comisión publique un acto nuevo (cláusulas tipo, directrices de compensación, especificaciones comunes) o la empresa lance o modifique un producto. El responsable del Data Act deja constancia en un acta de revisión.

Checklist de cumplimiento

Sanciones por no cumplir el Data Act

El artículo 40 del Data Act obliga a cada Estado miembro a establecer sanciones efectivas, proporcionadas y disuasorias. Por tanto, no existe una tabla europea única de infracciones leves, graves y muy graves aplicable de forma automática en España.

Para las infracciones de los capítulos II, III y V, las autoridades de control del RGPD pueden imponer, dentro de su ámbito de competencia, multas de acuerdo con el artículo 83 del RGPD y hasta el límite de su apartado 5: 20 millones de euros o el 4 % del volumen de negocio mundial anual total del ejercicio anterior, la cifra que resulte mayor.

Al fijar la sanción, la autoridad competente debe considerar, entre otros, estos factores:

• La naturaleza, gravedad, escala y duración de la infracción.

• Las medidas adoptadas para mitigar o reparar los daños.

• Las infracciones anteriores y el grado de cooperación con la autoridad.

• Los beneficios obtenidos o las pérdidas evitadas.

• Los factores agravantes o atenuantes y el volumen de negocio anual en la Unión.

La autoridad competente y la graduación concreta deben comprobarse conforme al régimen nacional aplicable al caso. La AEPD interviene cuando la infracción entra dentro de sus competencias en materia de protección de datos personales; no es correcto atribuirle de forma general toda la potestad sancionadora del Data Act.

Errores a evitar

• Tener una política de acceso a datos sin evidencias de aplicación: sin canal de solicitud operativo ni registros, la política no demuestra cumplimiento.

• Denegar el acceso invocando genéricamente el secreto comercial, sin identificar los datos ni proponer medidas de confidencialidad.

• Olvidar que las denegaciones y suspensiones de intercambio deben notificarse a la autoridad competente.

• Delegar la plataforma de datos o la nube sin supervisar: las obligaciones siguen siendo del titular y del proveedor de origen.

• No formar a comercial y soporte, que son quienes reciben las solicitudes de usuarios y terceros.

• Copiar cláusulas de empresas extranjeras que son incompatibles con las exigencias del Data Act.

Preguntas habituales sobre el Data Act

¿Cómo verifico que quien pide los datos es realmente el usuario? Se puede exigir una identificación adecuada para comprobar su condición, pero no se puede conservar esa información (ni los registros de acceso) más tiempo del imprescindible para ejecutar la solicitud y mantener la seguridad de la infraestructura.

¿Estoy obligado a entregar los datos en tiempo real si me lo piden? Solo cuando proceda y sea técnicamente viable. Si el producto o la plataforma no permiten un flujo continuo, la obligación se cumple con la entrega por solicitud en formato estructurado y de lectura mecánica; lo que no cabe es alegar inviabilidad cuando el titular sí dispone de ese flujo para sí mismo.

¿Puedo limitar por contrato el uso de los datos por motivos de seguridad? Sí. Usuario y titular pueden pactar limitaciones o prohibiciones de acceso, uso o intercambio cuando el tratamiento pueda socavar los requisitos de seguridad del producto y causar un efecto adverso grave para la salud o la seguridad de las personas. Si el titular se niega a compartir datos por esta vía, debe notificarlo a la autoridad competente.

¿Tengo que firmar de nuevo mi contrato de nube o vale el actual? Los derechos de cambio deben constar por escrito en el contrato, así que si el actual no recoge las cláusulas mínimas (período transitorio, preaviso, datos exportables, extracción y supresión), hay que pedir al proveedor una adenda o una versión adaptada.

Quiero dejar a mi proveedor de nube sin migrar a otro, solo borrar todo, ¿puedo? Sí. Al vencer el preaviso puedes optar por cambiar a otro proveedor, trasladar todo a tu propia infraestructura o simplemente suprimir tus datos exportables y activos digitales; el contrato se considera resuelto y el proveedor debe garantizar la supresión total.

Metodología y alcance

Redacción y revisión: 21 de julio de 2026. Esta guía parte del análisis directo del Reglamento (UE) 2023/2854 y de la documentación oficial de la Comisión Europea.

Las obligaciones legales se distinguen de las recomendaciones operativas. La aplicabilidad concreta depende del papel de la empresa, de su tamaño, del tipo de datos y del régimen nacional competente.