El Data Act de la UE es una de las normas tecnológicas más trascendentales que Europa ha aprobado desde el RGPD, y tiene un plazo que importa justo ahora. A partir del 12 de septiembre de 2026, los productos conectados que se pongan en el mercado de la UE deberán construirse para que los datos que generan sean accesibles para las personas que los usan. Para cualquiera que trabaje con datos de localización, no es una abstracción jurídica lejana. Los datos de posición son exactamente el tipo de datos generados por máquinas de los que trata la norma.
Este artículo explica qué es el Data Act, en qué se diferencia del RGPD, por qué los datos de localización están en su centro y qué significa si construyes productos con una API de mapas o de localización.
Qué regula realmente el Data Act
El Data Act, formalmente Regulation (EU) 2023/2854, responde a una pregunta sencilla que el RGPD no plantea: ¿quién puede usar los datos que crea un producto conectado? Durante años la respuesta fue, en la práctica, el fabricante. Una máquina, un vehículo o un sensor generaba grandes volúmenes de datos, y esos datos regresaban a quien había construido el dispositivo, a menudo sin una vía sencilla para que la persona usuaria accediera a ellos.
El Data Act cambia ese valor predeterminado. La persona usuaria de un producto conectado, la persona o empresa que lo compró o arrendó, tiene derecho a acceder a los datos que genera y a compartirlos con un tercero de su elección. El fabricante ya no puede tratar esos datos como un activo exclusivo. La ley también introduce reglas sobre cláusulas contractuales justas para el intercambio de datos, salvaguardas frente a cláusulas abusivas impuestas a las empresas más pequeñas y obligaciones que facilitan el cambio entre proveedores de nube.
Un punto crucial: la norma cubre tanto los datos personales como los no personales. Esa es la parte que muchos pasan por alto. El RGPD solo alcanza a los datos sobre personas identificables. El Data Act alcanza todo el flujo que produce un dispositivo, se pueda identificar o no a una persona en él.
Data Act y RGPD: dos leyes, un mismo flujo de datos
La confusión más habitual es que el Data Act de algún modo sustituye o diluye el RGPD. No hace ni una cosa ni la otra. Los dos están diseñados para funcionar juntos y regulan cosas distintas.
El RGPD regula los datos personales: fija las condiciones bajo las cuales puedes recoger, tratar y compartir información sobre personas identificables. El Data Act regula el acceso y la portabilidad de los datos generados por máquinas: obliga a los fabricantes a abrir los datos que crean sus productos y deja que las personas usuarias los muevan a otro sitio.
Donde se encuentran, se aplican ambos. Piensa en un rastro de localización de un vehículo conectado. Está generado por una máquina, así que se aplican las reglas de acceso y portabilidad del Data Act. También identifica los movimientos de un conductor, así que es un dato personal, y el RGPD se aplica también. Una solicitud de intercambio al amparo del Data Act nunca prevalece sobre el RGPD: sigues necesitando una base jurídica, sigues debiendo las garantías habituales y sigues sin poder entregar datos personales a un tercero de una forma que el RGPD prohibiría. El Data Act abre una puerta; el RGPD sigue decidiendo quién puede cruzarla.
Por qué los datos de localización están en el centro
De todos los datos que generan los productos conectados, los de localización están entre los más valiosos y los más sensibles, y justo por eso son un caso de prueba definitorio para la norma.
Vehículos conectados, rastreadores de flotas, hardware de reparto, maquinaria agrícola e innumerables sensores IoT producen un flujo continuo de datos de posición. Al amparo del Data Act, la persona usuaria de ese producto tiene derecho a alcanzar ese flujo y a portarlo al servicio que prefiera. Una empresa de logística que opera hardware de telemática ajeno puede pedir sus propios datos de movimiento en una forma utilizable. Un agricultor puede llevarse los datos de la máquina a una herramienta de análisis independiente. Un conductor puede mover su historial de trayectos.
Para los equipos que construyen estos productos, tres obligaciones pasan de opcionales a estructurales:
- Acceso de forma predeterminada. Desde septiembre de 2026, un nuevo producto conectado debe diseñarse para que los datos que genera sean accesibles sin un proceso a medida y obstructivo.
- Portabilidad. Las personas usuarias pueden llevarse sus datos a otro sitio, lo que significa que tienen que salir en una forma que otro sistema pueda ingerir de verdad.
- Interoperabilidad. Los datos que no se pueden entender aguas abajo no son realmente portables, así que importan los formatos abiertos y las referencias estables.
Nada de esto se satisface con una exportación propietaria que solo tus propias herramientas pueden leer. Una portabilidad que depende de tu bloqueo no es portabilidad.
Diseñar un producto para las obligaciones del Data Act
Las tres obligaciones de la norma, acceso, portabilidad e interoperabilidad, se traducen en decisiones concretas de ingeniería. Aciértalas mientras construyes y la obligación casi no te cuesta nada; reajústalas después de que una persona usuaria presente una solicitud y cuesta muchísimo.
Construye la vía de acceso antes de que alguien la pida. Desde septiembre de 2026, un nuevo producto conectado debe exponer los datos que genera de forma predeterminada, no a través de un ticket de soporte y dos semanas de espera. El momento más barato para diseñar un endpoint limpio y documentado que devuelva a una persona usuaria sus propios datos es mientras construyes la función, no después de que se ejerza el derecho.
Haz que la exportación sea realmente portable. Una portabilidad que solo tus propias herramientas pueden leer no es portabilidad. Los datos que salen de tu sistema como GeoJSON, un estándar abierto documentado, satisfacen la obligación de interoperabilidad por construcción; un blob propietario es una reclamación esperando a presentarse. Los formatos abiertos son el seguro más barato que ofrece la norma.
Evita el bloqueo en identificadores y geocódigos. Cuando conviertes una dirección en coordenadas o asignas un ID a un lugar, prefiere referencias que otro sistema pueda resolver, para que una persona usuaria que porte sus datos a un competidor no llegue con claves inservibles. Consulta Qué es un geocódigo para ver por qué la capa de coordenadas importa aquí.
Algo que la norma no resuelve es qué ordenamiento jurídico rige los datos en primer lugar. Esa es una cuestión relacionada pero distinta, la soberanía de los datos, y conviene decidirla de forma deliberada en lugar de por el azar de dónde se ejecuta tu API. La tratamos en Data sovereignty y datos de localización.
Cómo encaja MapAtlas en el Data Act
El Data Act premia los datos abiertos, portables y no bloqueados, y así es exactamente como MapAtlas devuelve los resultados de forma predeterminada. Nuestra Geocoding API y nuestra Search API devuelven coordenadas y lugares en formatos abiertos documentados en lugar de en un contenedor propietario, de modo que la exportación que debes a tus personas usuarias según la norma es algo que ya tienes, no algo que tengas que aplicar ingeniería inversa más tarde.
Nada de esto hace el cumplimiento automático. El Data Act se satisface por cómo diseñas tu producto, redactas tus contratos y gobiernas tus datos, no por un único proveedor. Lo que aporta la infraestructura adecuada es eliminar el reajuste: si tu capa de localización ya es abierta y portable, las obligaciones más difíciles de la norma quedan cubiertas en el origen.
Para los componentes básicos, Qué es la geocodificación inversa trata cómo convertir posiciones de vuelta en direcciones, Qué es GeoJSON explica el formato abierto que hace trivial la obligación de portabilidad, y nuestra página de mapas conformes con el RGPD muestra cómo funciona el procesamiento europeo en toda la plataforma. La normativa es exigente, pero por una vez el camino conforme y el camino bien construido son la misma carretera.
Preguntas frecuentes
¿Qué es el Data Act de la UE?
El Data Act de la UE (Regulation (EU) 2023/2854) es una ley europea que regula quién puede acceder a los datos generados por los productos conectados y los servicios relacionados, y usarlos. Su idea central es que los datos que produce un dispositivo, ya sea un coche, un sensor, una máquina o un wearable, deben ser accesibles para la persona usuaria que los generó, y no quedar bajo llave del fabricante. La mayoría de sus disposiciones se aplican desde el 12 de septiembre de 2025 y, a partir del 12 de septiembre de 2026, los nuevos productos conectados que se pongan en el mercado deberán diseñarse para que esos datos sean accesibles de forma predeterminada. Convive con el RGPD en lugar de sustituirlo: el RGPD regula los datos personales, mientras que el Data Act regula el acceso y el intercambio de datos generados por máquinas, tanto personales como no personales.
¿En qué se diferencia el Data Act de la UE del RGPD?
El RGPD trata de proteger los datos personales: restringe cómo recoges, tratas y compartes información que identifica a una persona. El Data Act trata del acceso y la portabilidad de los datos generados por máquinas: obliga a los fabricantes a poner a disposición de la persona usuaria los datos que crea un producto conectado, y permite a esa persona compartirlos con terceros. Donde ambos se solapan, por ejemplo un rastro de localización que es a la vez generado por una máquina y personal, las dos leyes se aplican a la vez. El Data Act no debilita el RGPD: una solicitud de intercambio al amparo del Data Act sigue teniendo que respetar las bases jurídicas y las garantías del RGPD.
¿Qué significa el Data Act de la UE para los datos de localización?
Los datos de localización son uno de los ejemplos más claros de datos generados por máquinas que abarca la norma. Un vehículo conectado, un rastreador de flotas, un dispositivo de reparto o un sensor IoT produce datos de posición de forma continua y, al amparo del Data Act, la persona usuaria de ese producto tiene derecho a acceder a ellos y a portarlos a un servicio de su elección. Para quien desarrolla funciones de localización, la consecuencia práctica es que la portabilidad y la interoperabilidad de los datos dejan de ser un extra y se convierten en requisitos de diseño. Si un rastro de localización está ligado a una persona, también es un dato personal, así que el RGPD sigue aplicándose por encima.
¿Cuándo entra en vigor el Data Act de la UE?
El Data Act entró en vigor en enero de 2024 y es aplicable desde el 12 de septiembre de 2025. Un hito clave posterior cae el 12 de septiembre de 2026: los productos conectados y servicios relacionados que se pongan en el mercado de la UE a partir de esa fecha deberán diseñarse para que los datos que generan sean, de forma predeterminada, fácil y segura y, cuando proceda, directamente accesibles para la persona usuaria. Las obligaciones de cambio de proveedor de nube y de interoperabilidad entran en vigor de forma escalonada en el mismo periodo. La aplicación corresponde a las autoridades competentes designadas por cada Estado miembro, así que las sanciones exactas varían según el país.
¿Cómo pueden las API de mapas ayudar a cumplir normativas regionales como el Data Act?
Una API de mapas o de localización no puede hacerte cumplidor por sí sola, porque el cumplimiento depende del diseño de tu producto, de tus contratos y de tu gobernanza de datos. Lo que hace el proveedor adecuado es eliminar fricción: una API que procesa las consultas de localización dentro de la UE, expone los datos en formatos abiertos y portables como GeoJSON y evita atarte a identificadores propietarios hace mucho más fáciles de satisfacer las obligaciones de acceso, portabilidad e interoperabilidad del Data Act, y a la vez facilita normativas regionales vecinas como el RGPD. MapAtlas procesa los datos de localización dentro de la UE de forma predeterminada y devuelve los resultados en formatos abiertos, lo que mantiene reducida la superficie de cumplimiento.
