O Data Act da UE é uma das peças de regulação tecnológica mais consequentes que a Europa aprovou desde o GDPR, e tem um prazo que importa agora. A partir de 12 de setembro de 2026, os produtos conectados colocados no mercado da UE precisam ser construídos de modo que os dados que geram sejam acessíveis às pessoas que os usam. Para quem trabalha com dados de localização, isso não é uma abstração jurídica distante. Dados de posição são exatamente o tipo de dado gerado por máquina de que a lei trata.
Este artigo explica o que é o Data Act, como ele difere do GDPR, por que os dados de localização estão no centro dele e o que ele significa se você constrói produtos com uma API de mapas ou de localização.
O que o Data Act realmente regula
O Data Act, formalmente Regulation (EU) 2023/2854, responde a uma pergunta simples que o GDPR não faz: quem pode usar os dados que um produto conectado cria? Durante anos, a resposta era, na prática, o fabricante. Uma máquina, um veículo ou um sensor gerava grandes volumes de dados, e esses dados voltavam para quem construiu o dispositivo, muitas vezes sem uma forma simples de o usuário chegar até eles.
O Data Act muda o padrão. O usuário de um produto conectado, a pessoa ou empresa que o comprou ou alugou, tem o direito de acessar os dados que ele gera e de compartilhá-los com um terceiro à sua escolha. O fabricante não pode mais tratar esses dados como um ativo exclusivo. A lei também introduz regras sobre termos contratuais justos para compartilhamento de dados, salvaguardas contra cláusulas abusivas impostas a empresas menores e obrigações que facilitam a troca entre provedores de nuvem.
Fundamental: a lei cobre tanto dados pessoais quanto não pessoais. Essa é a parte que as pessoas deixam passar. O GDPR só alcança dados sobre pessoas identificáveis. O Data Act alcança todo o fluxo que um dispositivo produz, haja ou não um indivíduo identificável nele.
Data Act e GDPR: duas leis, um fluxo de dados
A confusão mais comum é achar que o Data Act de alguma forma substitui ou dilui o GDPR. Ele não faz nem uma coisa nem outra. Os dois foram desenhados para funcionar juntos, e regem coisas diferentes.
O GDPR rege dados pessoais: ele define as condições sob as quais você pode coletar, processar e compartilhar informações sobre pessoas identificáveis. O Data Act rege o acesso e a portabilidade de dados gerados por máquinas: ele obriga os fabricantes a abrir os dados que seus produtos criam e permite que os usuários os movam para outro lugar.
Onde eles se encontram, ambos se aplicam. Considere um rastro de localização de um veículo conectado. Ele é gerado por máquina, então as regras de acesso e portabilidade do Data Act se aplicam. Ele também identifica os movimentos de um motorista, então é dado pessoal, e o GDPR também se aplica. Uma solicitação de compartilhamento sob o Data Act nunca se sobrepõe ao GDPR: você ainda precisa de uma base legal, ainda deve as salvaguardas de sempre e ainda não pode entregar dados pessoais a um terceiro de um jeito que o GDPR proibiria. O Data Act abre uma porta; o GDPR ainda decide quem pode passar por ela.
Por que os dados de localização estão no centro
De todos os dados que os produtos conectados geram, os dados de localização estão entre os mais valiosos e os mais sensíveis, e é justamente por isso que são um caso de teste definidor para a lei.
Veículos conectados, rastreadores de frota, hardware de entrega, máquinas agrícolas e inúmeros sensores de IoT produzem um fluxo contínuo de dados de posição. Sob o Data Act, o usuário desse produto tem o direito de alcançar esse fluxo e de portá-lo para um serviço que preferir. Uma transportadora que opera o hardware de telemetria de outra pessoa pode pedir seus próprios dados de movimentação em um formato utilizável. Um agricultor pode levar dados de máquina para uma ferramenta de análise independente. Um motorista pode mover seu histórico de viagens.
Para as equipes que constroem esses produtos, três deveres passam de opcionais a estruturais:
- Acesso por padrão. A partir de setembro de 2026, um novo produto conectado deve ser projetado para que os dados que gera sejam alcançáveis sem um processo específico e obstrutivo.
- Portabilidade. Os usuários podem levar seus dados para outro lugar, o que significa que eles precisam sair em um formato que outro sistema consiga de fato ingerir.
- Interoperabilidade. Dados que não podem ser compreendidos rio abaixo não são realmente portáveis, então formatos abertos e referências estáveis importam.
Nada disso é atendido por uma exportação proprietária que só as suas próprias ferramentas conseguem ler. Portabilidade que depende do seu lock-in não é portabilidade.
Projetando um produto para os deveres do Data Act
Os três deveres da lei, acesso, portabilidade e interoperabilidade, se traduzem em escolhas concretas de engenharia. Acerte-os enquanto constrói e a obrigação quase não custa nada; adapte-os depois que um usuário fizer uma solicitação e o custo é alto.
Construa o caminho de acesso antes de alguém pedir. A partir de setembro de 2026, um novo produto conectado precisa expor os dados que gera por padrão, não por meio de um chamado de suporte e duas semanas de espera. A hora mais barata de projetar um endpoint limpo e documentado que devolva a um usuário os seus próprios dados é enquanto você constrói o recurso, não depois que o direito é exercido.
Torne a exportação genuinamente portável. Portabilidade que só as suas próprias ferramentas conseguem ler não é portabilidade. Dados que saem do seu sistema como GeoJSON, um padrão aberto documentado, satisfazem o dever de interoperabilidade por construção; um blob proprietário é uma reclamação esperando para ser registrada. Formatos abertos são o seguro mais barato que a lei oferece.
Evite lock-in em identificadores e geocódigos. Quando você transforma um endereço em coordenadas ou anexa um ID a um lugar, prefira referências que outro sistema consiga resolver, para que um usuário que porta seus dados para um concorrente não chegue com chaves inutilizáveis. Veja O Que É um Geocódigo para entender por que a camada de coordenadas importa aqui.
Uma coisa que a lei não resolve é qual jurisdição rege os dados em primeiro lugar. Essa é uma questão relacionada, mas distinta, a soberania de dados, e vale a pena decidi-la de forma deliberada em vez de por acaso, conforme o lugar onde a sua API por acaso roda. Tratamos disso em Soberania de Dados e Dados de Localização.
Como a MapAtlas se encaixa no Data Act
O Data Act recompensa dados abertos, portáveis e sem travas, e é assim que a MapAtlas devolve resultados por padrão. Nossa Geocoding API e nossa Search API devolvem coordenadas e lugares em formatos abertos documentados, e não em um contêiner proprietário, de modo que a exportação que você deve aos seus usuários sob a lei é algo que você já tem, e não algo que precisa fazer engenharia reversa depois.
Nada disso torna a conformidade automática. O Data Act é atendido pela forma como você projeta seu produto, redige seus contratos e governa seus dados, não por um único fornecedor. O que a infraestrutura certa faz é remover a adaptação posterior: se a sua camada de localização já é aberta e portável, os deveres mais difíceis da lei são cumpridos na origem.
Para os blocos de construção, O Que É Geocodificação Reversa trata de transformar posições de volta em endereços, O Que É GeoJSON explica o formato aberto que torna o dever de portabilidade trivial, e nossa página de mapas em conformidade com o GDPR mostra como o processamento europeu funciona em toda a plataforma. A regulação é exigente, mas, por uma vez, o caminho conforme e o caminho bem-engenheirado são a mesma estrada.
Perguntas frequentes
O que é o Data Act da UE?
O Data Act da UE (Regulation (EU) 2023/2854) é uma lei europeia que rege quem pode acessar e usar os dados gerados por produtos conectados e serviços relacionados. Sua ideia central é que os dados que um dispositivo produz, seja um carro, um sensor, uma máquina ou um wearable, devem ser acessíveis ao usuário que os gerou, e não trancados pelo fabricante. A maior parte de suas disposições vale desde 12 de setembro de 2025, e a partir de 12 de setembro de 2026 os novos produtos conectados colocados no mercado devem ser projetados para que esses dados sejam acessíveis por padrão. Ele convive com o GDPR em vez de substituí-lo: o GDPR rege dados pessoais, enquanto o Data Act rege o acesso e o compartilhamento de dados gerados por máquinas, sejam eles pessoais ou não.
Qual é a diferença entre o Data Act da UE e o GDPR?
O GDPR trata de proteger dados pessoais: ele restringe como você coleta, processa e compartilha informações que identificam uma pessoa. O Data Act trata do acesso e da portabilidade de dados gerados por máquinas: ele obriga os fabricantes a disponibilizar ao usuário os dados que um produto conectado cria e permite que esse usuário os compartilhe com terceiros. Onde os dois se sobrepõem, por exemplo em um rastro de localização que é ao mesmo tempo gerado por máquina e pessoal, as duas leis se aplicam ao mesmo tempo. O Data Act não enfraquece o GDPR: uma solicitação de compartilhamento sob o Data Act ainda precisa respeitar as bases legais e as salvaguardas do GDPR.
O que o Data Act da UE significa para dados de localização?
Dados de localização são um dos exemplos mais claros de dados gerados por máquinas cobertos pela lei. Um veículo conectado, um rastreador de frota, um dispositivo de entrega ou um sensor de IoT produz continuamente dados de posição, e sob o Data Act o usuário desse produto tem o direito de acessá-los e de portá-los para um serviço de sua escolha. Para quem constrói recursos de localização, a consequência prática é que portabilidade e interoperabilidade de dados deixam de ser diferenciais desejáveis e se tornam requisitos de projeto. Se um rastro de localização está ligado a uma pessoa, ele também é dado pessoal, então o GDPR continua se aplicando por cima.
Quando o Data Act da UE entra em vigor?
O Data Act entrou em vigor em janeiro de 2024 e passou a ser aplicável em 12 de setembro de 2025. Um marco importante seguinte cai em 12 de setembro de 2026: produtos conectados e serviços relacionados colocados no mercado da UE a partir dessa data devem ser projetados para que os dados que geram sejam, por padrão, fácil, segura e, quando for o caso, diretamente acessíveis ao usuário. As obrigações de troca de nuvem e de interoperabilidade entram em vigor de forma escalonada por volta do mesmo período. A fiscalização fica a cargo das autoridades competentes designadas por cada Estado-membro, então as penalidades exatas variam por país.
Como APIs de mapas podem ajudar na conformidade com regulações regionais como o Data Act?
Uma API de mapas ou de localização não torna você conforme sozinha, porque a conformidade depende do design do seu produto, dos seus contratos e da sua governança de dados. O que o fornecedor certo faz é remover atrito: uma API que processa consultas de localização dentro da UE, expõe dados em formatos abertos e portáveis como GeoJSON e evita prender você a identificadores proprietários torna os deveres de acesso, portabilidade e interoperabilidade do Data Act muito mais fáceis de cumprir, e ao mesmo tempo alivia regulações regionais vizinhas como o GDPR. A MapAtlas processa dados de localização dentro da UE por padrão e devolve resultados em formatos abertos, o que mantém pequena a superfície de conformidade.
