Cada sensor instalado en una red de agua, cada contador inteligente, cada etiqueta activa de trazabilidad y cada máquina conectada genera datos, y hasta hace poco quién podía usarlos lo decidía el contrato del fabricante. El Reglamento (UE) 2023/2854, conocido como Data Act o Reglamento de datos, lo cambia: desde el 12 de septiembre de 2025 el usuario de un producto conectado tiene derecho a acceder a los datos que ese producto genera y a que se compartan con el tercero que él elija, y desde el 12 de septiembre de 2026 los productos que se pongan en el mercado deben estar diseñados para que ese acceso sea directo. Esta guía explica, a 16 de septiembre de 2026, a quién obliga, qué datos entran, qué derechos tiene el usuario, qué cláusulas contractuales dejan de valer, qué cambia en los servicios en la nube y qué significa todo esto para un proyecto de sensorización IoT o de trazabilidad, sea de una Administración o de una empresa.

A quién obliga y desde cuándo

El Data Act entró en vigor el 11 de enero de 2024 y es aplicable desde el 12 de septiembre de 2025. Obliga a:

Fabricantes de productos conectados comercializados en la Unión: cualquier bien que obtenga, genere o recopile datos sobre su uso o su entorno y pueda comunicarlos (sensores, contadores, vehículos, maquinaria, electrodomésticos, dispositivos médicos, wearables).
Prestadores de servicios relacionados: el servicio digital sin el cual el producto no cumple alguna de sus funciones (la plataforma que recibe y muestra los datos del sensor, por ejemplo).
Titulares de datos en general, que es quien tiene el derecho o la capacidad de poner los datos a disposición.
Prestadores de servicios de tratamiento de datos (nube, edge) en cuanto al cambio de proveedor.

Y protege a los usuarios, que pueden ser personas físicas o jurídicas, incluidas las Administraciones públicas que compran o alquilan el producto.

Dos fechas más: la obligación de acceso desde el diseño del artículo 3 se aplica a los productos y servicios comercializados después del 12 de septiembre de 2026, y los costes de cambio de proveedor de nube deben desaparecer el 12 de enero de 2027.

Qué datos entran

Los datos de producto y los datos de servicio relacionado: los que el dispositivo genera al usarse (mediciones, estados, eventos, posición, consumos) y los metadatos necesarios para interpretarlos, tanto los que el usuario provoca como los que se generan en reposo. No entran los datos derivados o inferidos que el fabricante calcula a partir de ellos con algoritmos propios (una predicción de fuga, por ejemplo), aunque sí las lecturas que la alimentan. El reglamento protege los secretos comerciales del titular mediante medidas que acuerda con el usuario, pero no permite negar el acceso alegándolos salvo en casos excepcionales y motivados.

Los derechos del usuario

Acceso directo (artículo 3): el producto debe diseñarse para que los datos sean accesibles al usuario por defecto, fácilmente, de forma segura, gratuita, en un formato completo, estructurado, de uso común y legible por máquina y, cuando sea pertinente, en tiempo real.
Acceso a petición (artículo 4): si el acceso directo no es posible, el titular pone los datos a disposición del usuario sin demora indebida y gratis.
Compartición con terceros (artículo 5): a petición del usuario, el titular pone los datos a disposición del tercero que este designe, en las mismas condiciones, con una compensación razonable si el tercero es una empresa (y limitada al coste si es una pyme).
Información precontractual: antes de comprar, el usuario debe saber qué datos genera el producto, en qué volumen y formato, si es en tiempo real, cómo acceder a ellos y si el fabricante los usará él mismo.
Límites al titular: el fabricante solo puede usar los datos no personales del producto con un contrato con el usuario, y no puede emplearlos para conocer la situación económica o los procesos del usuario de forma que perjudique su posición comercial.

Cláusulas contractuales que dejan de valer

El capítulo IV declara no vinculantes las cláusulas abusivas impuestas unilateralmente a otra empresa sobre acceso y uso de datos: excluir la responsabilidad por dolo o negligencia grave, impedir al usuario acceder a sus datos o usarlos, permitir al titular rescindir con preaviso irrazonable, o dar al titular derechos exclusivos sobre datos que la otra parte ha generado. Para los contratos de sensorización y de plataformas IoT firmados con Administraciones y empresas, esto supone revisar quién puede hacer qué con los datos.

Nube: cambiar de proveedor sin penalización

El capítulo VI obliga a los prestadores de servicios en la nube a eliminar los obstáculos al cambio de proveedor: plazo máximo de transición, exportación de todos los datos y activos digitales en formatos abiertos, asistencia durante la migración y supresión de los costes de cambio a partir del 12 de enero de 2027. Para una Administración que contrata una plataforma IoT alojada, significa que el pliego puede exigir hoy lo que el reglamento impondrá mañana: salida completa, en formato reutilizable y sin coste.

Qué significa para un proyecto de sensorización o de trazabilidad

Modelo de datos abierto: cada lectura y cada evento con su identificador, su marca de tiempo y sus metadatos, en formatos estructurados y documentados; nada de datos atrapados en un formato propietario.
Acceso del usuario por diseño: interfaz o API para que la entidad titular del proyecto extraiga sus datos completos y, cuando proceda, en tiempo real, sin pedir permiso al fabricante del sensor.
Compartición gobernada: un mecanismo para que el usuario autorice a terceros (una empresa de mantenimiento, una universidad, otra Administración) y el sistema entregue los datos con registro de qué, a quién y cuándo.
Separación entre datos brutos y derivados: los modelos predictivos son del desarrollador; las lecturas que los alimentan son del usuario y deben poder entregarse.
Contratos revisados: con los fabricantes de dispositivos, para asegurar que sus datos llegan a la plataforma en abierto, y con los usuarios, para fijar usos, compensaciones y salida.
Cláusulas de salida en la nube: exportación íntegra, formatos abiertos y sin coste de cambio.
Secretos comerciales y seguridad: medidas técnicas y contractuales para proteger lo que deba protegerse sin bloquear el derecho de acceso.
Convivencia con el RGPD: cuando los datos del dispositivo son personales (contadores de vivienda, wearables), el Data Act no sustituye al RGPD; se aplican los dos.

En un proyecto de sensorización de redes de agua como el que describimos en sensorización IoT en redes de agua, esto se traduce en que el consorcio o el ayuntamiento titular debe poder extraer todas las lecturas de todos los sensores en formato abierto, y compartirlas con quien decida, sin depender del fabricante de cada equipo. En trazabilidad, en que los eventos registrados por etiquetas y lectores pertenecen a quien usa el sistema.

Relación con otras normas

El Data Act se suma al Reglamento de Gobernanza de Datos (2022/868), a la directiva de datos abiertos del sector público y al pasaporte digital de producto del ESPR, que explicamos en pasaporte digital de producto y trazabilidad NFC. Y prevé, en su capítulo V, que los organismos públicos puedan exigir datos a las empresas en situaciones de necesidad excepcional, como emergencias, con condiciones estrictas.

Cómo lo hace CEDESA

CEDESA desarrolla plataformas de sensorización, integración de datos y analítica predictiva para Administraciones y empresas, con proyectos como la sensorización de redes de agua del Consorcio de Medio Ambiente de Badajoz y los sistemas de trazabilidad NFC para la industria. Nuestro criterio de diseño coincide con el que ahora exige el Data Act: los datos son del titular del proyecto, viven en modelos abiertos y documentados, se exportan íntegros y cada compartición queda registrada. Con ENS, ISO 27001 e ISO 56001, esa gobernanza de datos está auditada y forma parte del ciclo de desarrollo.

Preguntas frecuentes sobre el Data Act y el IoT

¿Desde cuándo se aplica el Data Act?

Desde el 12 de septiembre de 2025 con carácter general. La obligación de diseñar los productos conectados para que el usuario acceda directamente a sus datos (artículo 3) se aplica a los productos y servicios comercializados después del 12 de septiembre de 2026, y la supresión de los costes de cambio de proveedor de nube, desde el 12 de enero de 2027.

¿Qué es un producto conectado según el Data Act?

Cualquier bien que obtenga, genere o recopile datos sobre su uso o su entorno y pueda comunicarlos por un servicio de comunicaciones o una conexión física: sensores, contadores, vehículos, maquinaria industrial, electrodomésticos, dispositivos médicos o wearables. El servicio digital sin el cual el producto no cumple sus funciones es un servicio relacionado y también entra.

¿Qué datos tiene derecho a recibir el usuario de un dispositivo IoT?

Los datos de producto y de servicio relacionado que el dispositivo genera al usarse, con los metadatos necesarios para interpretarlos, en formato estructurado, de uso común y legible por máquina, gratis y, cuando sea pertinente, en tiempo real. No incluye los datos derivados o inferidos que el fabricante calcula con sus propios algoritmos.

¿Puede el fabricante negarse a entregar los datos alegando secreto comercial?

Solo en casos excepcionales y motivados. La regla es que el titular y el usuario acuerdan medidas para proteger los secretos comerciales sin impedir el acceso; negarlo o suspenderlo exige demostrar un perjuicio económico grave y seguir el procedimiento del reglamento.

¿Qué cambia en los contratos de servicios en la nube?

Los prestadores deben facilitar el cambio de proveedor: plazo de transición limitado, exportación de datos y activos en formatos abiertos, asistencia en la migración y eliminación de los costes de cambio a partir del 12 de enero de 2027. Un pliego público puede exigir hoy esas condiciones.

Conclusión

El Data Act convierte en derecho lo que un proyecto IoT bien diseñado ya hacía: los datos que generan los dispositivos son del usuario, se entregan en formatos abiertos, se comparten con quien él decida y no quedan atrapados en la plataforma del fabricante ni en la nube del proveedor. Desde septiembre de 2026 además es una exigencia de diseño para los productos nuevos. Si tienes un proyecto de sensorización o de trazabilidad y no sabes si cumple, cuéntanos cómo se guardan y se extraen hoy tus datos.