Los datos son un componente fundamental de la economía digital y un recurso esencial para garantizar las transiciones ecológica y digital. En los últimos años, el volumen de datos generados por los seres humanos y las máquinas ha aumentado exponencialmente. Sin embargo, la mayoría de los datos no se utilizan, o su valor se concentra en manos de pocas grandes empresas. La escasa confianza, los incentivos económicos contradictorios y los obstáculos tecnológicos impiden sacar pleno provecho del potencial de la innovación basada en los datos. Resulta por lo tanto crucial liberar este potencial ofreciendo oportunidades para la reutilización de los datos y eliminando los obstáculos al desarrollo de la economía de datos europea de conformidad con las normas europeas y respetando plenamente los valores europeos, en consonancia también con la misión de reducir la brecha digital para que todos se beneficien de estas oportunidades. Si se garantiza un mayor equilibrio en la distribución del valor de los datos, a la par con la nueva oleada de datos industriales no personales y la proliferación de productos conectados a la internet de las cosas, se creará un enorme potencial para impulsar una economía de los datos sostenible en Europa.

En el marco de la Directiva sobre los sistemas de transporte inteligentes, se han elaborado varios reglamentos delegados que seguirán desarrollándose, en particular para especificar la accesibilidad de los datos para el transporte de viajeros por carretera y multimodal, especialmente a través de los puntos de acceso nacionales. En la gestión del tránsito aéreo, los datos no operativos son importantes para mejorar la intermodalidad y la conectividad. Los datos operativos relacionados con la gestión del tránsito aéreo estarían sujetos al régimen específico definido en el marco del Cielo Único Europeo. En el seguimiento del tráfico marítimo, los datos relacionados con los buques (seguimiento y localización) son importantes para mejorar la intermodalidad y la conectividad: estos datos se inscriben en el régimen específico de la Directiva de sistemas de seguimiento y de información sobre el tráfico marítimo, y también entran en el ámbito de competencias del sistema y los servicios marítimos digitales. La propuesta de Reglamento relativa a la implantación de infraestructura para los combustibles alternativos especifica los tipos de datos pertinentes que deben suministrarse, en sinergia con el marco general establecido en la Directiva sobre los sistemas de transporte inteligentes.

El Reglamento relativo a un marco para la libre circulación de datos no personales establece un componente fundamental de la economía de los datos europea, garantizando que los datos no personales puedan almacenarse, tratarse y transferirse en cualquier lugar de la Unión. También presenta un enfoque autorregulador del problema de la dependencia de un solo proveedor en el ámbito de los proveedores de servicios de tratamiento de datos, introduciendo un código de conducta para facilitar el traslado de datos entre servicios en la nube («SWIPO», por sus siglas en inglés, es el código de conducta desarrollado por la industria para el cambio de proveedor de servicios en la nube y la portabilidad de los datos). La presente propuesta desarrolla este enfoque para ayudar a las empresas y a los ciudadanos a aprovechar al máximo el derecho a cambiar de proveedor y transferir datos. También es plenamente coherente con la Directiva sobre cláusulas contractuales abusivas en lo que respecta al Derecho contractual. En cuanto a los servicios en la nube, dado que el enfoque autorregulador no parece haber afectado significativamente a la dinámica del mercado, la presente propuesta presenta un enfoque regulador del problema destacado en el Reglamento relativo a un marco para la libre circulación de datos no personales.

La presente propuesta es coherente con las normas vigentes sobre el tratamiento de datos personales [incluido el Reglamento general de protección de datos (RGPD)], la protección de la vida privada y la confidencialidad de las comunicaciones y de cualquier dato (personal y no personal) almacenado en equipos terminales y accesible desde los mismos (la Directiva sobre la privacidad y las comunicaciones electrónicas, que será sustituida por el Reglamento sobre la privacidad y las comunicaciones electrónicas, actualmente objeto de negociaciones legislativas). La presente propuesta complementa los derechos existentes, en particular los derechos relativos a los datos generados por el producto de un usuario conectado a una red de comunicaciones electrónicas de acceso público.

Los servicios de computación en la nube rara vez se ofrecen en un solo Estado miembro. En consonancia con el RGPD y el Reglamento sobre la libre circulación de datos no personales, que permite a los consumidores y a las empresas tratar datos personales y no personales en cualquier lugar de la Unión que deseen, el tratamiento transfronterizo de datos dentro de la Unión es esencial para llevar a cabo actividades empresariales en el mercado interior. Por lo tanto, es fundamental que las disposiciones sobre el cambio de servicios de tratamiento de datos se apliquen a escala de la Unión, a fin de evitar una fragmentación perjudicial en un mercado de servicios de tratamiento de datos que, por lo demás, está unificado.

En las relaciones entre empresas, a pesar de que el intercambio de datos en este contexto es una práctica común, los encuestados que habían experimentado dificultades mencionaron distintos obstáculos como, por ejemplo, de carácter técnico (formatos, falta de normas: 69 %); de denegación total de acceso no vinculada a problemas de competencia (55 %) o de abuso de un desequilibrio contractual (44 %). En cuanto a las cuestiones contractuales, casi la mitad de los encuestados se mostraron a favor de un «control de abusividad» (46 %), mientras que más del doble de ellos no estaban a favor (21 %). Las pymes mostraron un fuerte apoyo (50 %) al control de abusividad, y un número significativo de grandes empresas también se manifestó a favor (41 %). Del mismo modo, el 46 % de las partes interesadas de todos los sectores mostraron su apoyo a normas generales de acceso basadas en condiciones justas, razonables y no discriminatorias (46 %). El 60 % de los encuestados, en particular las pymes y las microempresas (78 %), coincidieron en que las condiciones contractuales tipo podrían contribuir a un mayor intercambio de datos. El 70 % de las partes interesadas expresó la opinión de que existe un problema de equidad con los datos generados en el contexto de la internet de las cosas, y de que los fabricantes de productos o servicios relacionados no deben poder decidir unilateralmente qué ocurre con los datos generados por dichos productos. El 79 % de los encuestados consideró que los contratos inteligentes podrían ser una herramienta eficaz para poner técnicamente en marcha el acceso a los datos y su utilización en el contexto de los datos cogenerados de la internet de las cosas.

El Tribunal de Justicia de la Unión Europea ha profundizado en la cuestión de las inversiones sustanciales en una base de datos, aclarando que el derecho sui generis tiene por objeto proteger las inversiones en la recopilación de datos y no en su creación como subproducto de otra actividad económica. Sin embargo, persiste la incertidumbre en cuanto a la aplicación accidental o no intencionada del derecho sui generis a las bases de datos que contienen datos generados por máquinas, es decir, datos generados u obtenidos a partir del uso de productos o servicios conexos. Es necesario equilibrar los objetivos políticos de la protección de la propiedad intelectual e industrial de dichas bases de datos en el contexto de la economía de los datos, en la que la exclusividad de los datos como bien no rival se considera, en general, un obstáculo para la innovación. Para garantizar la coherencia con las intervenciones reguladoras presentadas en la presente propuesta, la intervención sobre el derecho sui generis aborda específicamente la aplicación problemática del derecho sui generis en el contexto de la internet de las cosas. Además, la Comisión también está preparando actualmente la evaluación del Reglamento (UE) 2018/1807, prevista para noviembre de 2022. Los informes iniciales de contratistas externos han mostrado el efecto limitado de los códigos de conducta SWIPO sobre el cambio de proveedor en la nube.

En el capítulo X, la intervención en el derecho sui generis de la Directiva sobre bases de datos no limita la protección de la propiedad intelectual. Contribuye más bien a la seguridad jurídica en los casos en que la protección del derecho sui generis no estaba clara anteriormente.

En el capítulo IV, un sistema justo y eficaz de protección contra las cláusulas contractuales abusivas en el intercambio de datos permitirá que las microempresas y las pequeñas y medianas empresas puedan llevar a cabo su actividad empresarial. Esta disposición restringe la libertad contractual de las empresas que recaen dentro del ámbito de aplicación de manera limitada, ya que solo se aplica a las cláusulas contractuales abusivas relativas al acceso a los datos y su utilización impuestas unilateralmente por una parte contratante a una microempresa, o una pequeña o mediana empresa. La disposición se justifica en cuanto las pymes suelen encontrarse en una posición negociadora más débil y a menudo no tienen más opción que aceptar cláusulas contractuales de «lo tomas o lo dejas». La libertad contractual no se ve afectada en gran medida, ya que solo se invalidan las cláusulas excesivas y abusivas, y el contrato celebrado, en la medida de lo posible, sigue siendo válido sin las cláusulas abusivas. Además, las partes todavía pueden negociar individualmente una cláusula contractual específica.

El derecho de acceso de terceros a los datos de la internet de las cosas a petición del usuario limita la libertad de empresa y la libertad contractual del fabricante o diseñador de un producto o servicio relacionado. Esta limitación se justifica en cuanto refuerza la protección de los consumidores, en especial al promover sus intereses económicos. Normalmente, el fabricante o diseñador de un producto o servicio relacionado tiene el control exclusivo del uso de los datos generados por el uso de un producto o servicio relacionado, por lo que contribuye a los efectos de dependencia y obstaculiza la entrada en el mercado de los agentes que ofrecen servicios posventa. El derecho de acceso a los datos de la internet de las cosas toma en cuenta esta situación al capacitar a los consumidores que utilizan productos o servicios relacionados para que puedan controlar de manera significativa cómo se utilizan los datos generados por su uso del producto o del servicio relacionado, y permitiendo la innovación por parte de más agentes del mercado. Por lo tanto, los consumidores pueden beneficiarse de una mayor variedad de servicios posventa, como la reparación y el mantenimiento, y ya no dependerán únicamente de los servicios del fabricante. La propuesta facilita la portabilidad de los datos del usuario a terceros y permite una oferta competitiva de servicios posventa, así como una innovación basada en datos más amplia y el desarrollo de productos o servicios no relacionados con los adquiridos o suscritos inicialmente por el usuario.

Al aclarar que el derecho sui generis previsto en la Directiva sobre bases de datos (Directiva 96/9/CE) no se aplica a las bases de datos que contengan datos obtenidos o generados por el uso de un producto o un servicio relacionado, la propuesta garantiza que el derecho sui generis no interferirá con los derechos de las empresas y los consumidores a acceder a los datos y utilizarlos y a compartir los datos en aplicación del presente Reglamento. Esta aclaración ajustará la aplicación del derecho sui generis al objetivo de la propuesta legislativa, y tendrá un impacto positivo en la aplicación uniforme de las normas en el mercado interior y en la economía de los datos.

El capítulo VII aborda el acceso ilícito de terceros a los datos no personales conservados en la Unión mediante servicios de tratamiento de datos ofrecidos en el mercado de la Unión. La propuesta no afecta a la base jurídica de las solicitudes de acceso a los datos que obren en poder de ciudadanos o empresas de la UE, y se entiende sin perjuicio del marco de protección de datos y privacidad de la Unión. Ofrece salvaguardias específicas, ya que los proveedores tienen que adoptar todas las medidas técnicas, jurídicas y organizativas razonables para evitar un acceso que entre en conflicto con las obligaciones concurrentes de proteger dichos datos en virtud del Derecho de la Unión, a menos que se cumplan condiciones estrictas. El Reglamento cumple los compromisos internacionales de la Unión en el marco de la OMC y en los acuerdos comerciales bilaterales.

El capítulo VI introduce requisitos reglamentarios mínimos de carácter contractual, comercial y técnico, impuestos a los proveedores de servicios de tratamiento de datos en la nube, el borde y otros servicios de tratamiento de datos, a fin de permitir el cambio entre dichos servicios. En particular, la propuesta garantiza que los clientes mantengan la equivalencia funcional (un nivel mínimo de funcionalidad) del servicio una vez que hayan cambiado a otro proveedor de servicios. La propuesta incluye una excepción para la inviabilidad técnica, pero impone la carga de la prueba en estos casos al proveedor de servicios. La propuesta no exige normas o interfaces técnicas específicas. Sin embargo, exige que los servicios sean compatibles con las normas europeas o las especificaciones técnicas de interoperabilidad abiertas, cuando existan.

El capítulo V crea un marco armonizado para la utilización, por parte de los organismos del sector público y las instituciones, órganos y organismos de la Unión, de los datos que obren en poder de las empresas en situaciones en las que exista una necesidad excepcional de obtener los datos solicitados. El marco se basa en la obligación de poner a disposición los datos y se aplicaría exclusivamente en caso de emergencia pública o en situaciones en las que los organismos públicos tengan una necesidad excepcional de utilizar determinados datos que no puedan obtenerse en el mercado, mediante la promulgación oportuna de nueva legislación o a través de obligaciones de información existentes. En caso de necesidad excepcional para responder a emergencias públicas, como emergencias de salud pública, o catástrofes naturales o provocadas por el ser humano de carácter grave, los datos se pondrán a disposición de forma gratuita. En otros casos de necesidad excepcional, en particular para prevenir o ayudar a la recuperación tras una emergencia pública, el titular de los datos que los ponga a disposición debe tener derecho a una compensación que incluya los costes relacionados con la puesta a disposición de los datos pertinentes más un margen razonable. Para garantizar que no se abusa del derecho a solicitar datos y que el sector público se hace responsable de su utilización, las solicitudes de datos deben ser proporcionadas, indicar claramente la finalidad que debe alcanzarse y respetar los intereses de la empresa que los pone a disposición. Las autoridades competentes garantizarían la transparencia y la disponibilidad pública de todas las solicitudes. También se encargarían de tramitar las reclamaciones resultantes.

El capítulo III establece las normas generales aplicables a las obligaciones de puesta a disposición de los datos. Cuando un titular de datos esté obligado a poner datos a disposición de un destinatario de datos en virtud del capítulo II o de otras disposiciones del Derecho de la Unión o de los Estados miembros, el marco general aclara las condiciones en las que se facilitan los datos y la compensación por la puesta a disposición. Cualquier condición deberá ser justa y no discriminatoria, y toda compensación deberá ser razonable, sin impedir que otras disposiciones del Derecho de la Unión o de la legislación nacional por la que se aplique el Derecho de la Unión excluyan la compensación o prevean una compensación inferior por la puesta a disposición de los datos. Cualquier compensación establecida para las pymes no podrá superar los costes incurridos por la puesta a disposición de los datos, a menos que se especifique lo contrario en la legislación sectorial. Los órganos de resolución de litigios certificados por los Estados miembros podrán ayudar a las partes que no estén de acuerdo sobre la indemnización o las condiciones para llegar a un acuerdo.

(7)El derecho fundamental a la protección de los datos personales está salvaguardado, en particular, por el Reglamento (UE) 2016/679 y el Reglamento (UE) 2018/1725. Además, la Directiva 2002/58/CE protege la vida privada y la confidencialidad de las comunicaciones, incluso mediante el establecimiento de condiciones para el almacenamiento de datos personales y no personales en los equipos terminales, y el acceso desde estos. Los mencionados instrumentos constituyen la base para un tratamiento de datos sostenible y responsable, incluso cuando los conjuntos de datos contienen una combinación de datos personales y no personales. El presente Reglamento complementa el Derecho de la Unión y se entiende sin perjuicio del mismo en materia de protección de datos y privacidad, en particular, en lo que se refiere al Reglamento (UE) 2016/679 y la Directiva 2002/58/CE. Ninguna disposición del presente Reglamento debe aplicarse o interpretarse de manera que se reduzca o limite el derecho a la protección de los datos personales o el derecho a la intimidad y la confidencialidad de las comunicaciones.

(5)El presente Reglamento garantiza que los usuarios de un producto o servicio relacionado en la Unión puedan acceder oportunamente a los datos generados por el uso de dicho producto o servicio relacionado y que puedan utilizarlos e incluso compartirlos con terceros de su elección. El presente Reglamento impone al titular de datos la obligación de poner los datos a disposición de los usuarios y de terceros designados por los usuarios en determinadas circunstancias. También garantiza que los titulares de datos pongan los datos a disposición de los destinatarios de datos en la Unión en condiciones justas, razonables y no discriminatorias y de manera transparente. Las normas de Derecho privado son fundamentales en el marco general del intercambio de datos. Por lo tanto, el presente Reglamento adapta las normas de Derecho contractual e impide la explotación de los desequilibrios contractuales que dificultan el acceso y la utilización equitativos de los datos para las microempresas y las pequeñas y medianas empresas en el sentido de la Recomendación 2003/361/CE. El presente Reglamento también garantiza que, cuando exista una necesidad excepcional, los titulares de datos pongan a disposición de los organismos del sector público de los Estados miembros y de las instituciones, órganos u organismos de la Unión los datos necesarios para el desempeño de las tareas realizadas en interés público. Además, el presente Reglamento pretende facilitar el cambio entre servicios de tratamiento de datos y mejorar la interoperabilidad de los datos y de los mecanismos y servicios de intercambio de datos en la Unión. El presente Reglamento no debe interpretarse como el reconocimiento o la creación de una base jurídica para que el titular de datos conserve los datos, tenga acceso a ellos o los trate, ni como la concesión de un nuevo derecho del titular de datos a utilizar los datos generados por el uso de un producto o servicio relacionado. En cambio, el presente Reglamento toma como punto de partida el control de que el titular de los datos efectivamente disfruta, de hecho o de derecho, sobre los datos generados por productos o servicios relacionados.

(26)En los contratos entre un titular de datos y un consumidor como usuario de un producto o servicio relacionado que genera datos, la Directiva 93/13/CEE se aplica a las cláusulas del contrato para garantizar que el consumidor no esté sujeto a cláusulas contractuales abusivas. En el caso de las cláusulas contractuales abusivas impuestas unilateralmente a microempresas o a pequeñas o medianas empresas, tal como se definen en el artículo 2 del anexo de la Recomendación 2003/361/CE, el presente Reglamento establece que dichas cláusulas abusivas no deben ser vinculantes para dichas empresas.

(24)El presente Reglamento impone a los titulares de datos la obligación de poner a disposición los datos en determinadas circunstancias. En la medida en que se traten datos personales, el titular de datos debe ser responsable del tratamiento con arreglo al Reglamento (UE) 2016/679. Cuando el usuario sea un interesado, los titulares de datos deben estar obligados a proporcionarle acceso a sus datos y a ponerlos a disposición de terceros elegidos por el usuario de conformidad con el presente Reglamento. Sin embargo, el presente Reglamento no crea una base jurídica en virtud del Reglamento (UE) 2016/679 para que el titular de datos facilite el acceso a los datos personales o los ponga a disposición de un tercero cuando así lo solicite un usuario que no un interesado, y no debe entenderse que concede ningún nuevo derecho al titular de datos a utilizar los datos generados por el uso de un producto o de un servicio relacionado. Esto se aplica, en particular, cuando el fabricante es el titular de datos. En tal caso, la base para que el fabricante utilice datos no personales debe ser un acuerdo contractual entre el fabricante y el usuario. Dicho acuerdo podrá formar parte del contrato de venta, alquiler o arrendamiento del producto. Toda cláusula contractual del acuerdo que estipule que el titular de datos puede utilizar los datos generados por el usuario de un producto o servicio relacionado debe ser transparente para el usuario, incluso en lo que respecta a la finalidad para la que el titular de datos pretenda utilizar los datos. El presente Reglamento no debe impedir las condiciones contractuales cuyo efecto sea excluir o limitar la utilización de los datos, o de determinadas categorías de los mismos, por parte del titular de datos. El presente Reglamento tampoco debe impedir los requisitos reglamentarios sectoriales específicos en virtud del Derecho de la Unión, o del Derecho interno compatible con el Derecho de la Unión, que excluirían o limitarían la utilización de determinados datos por parte del titular de datos por razones de orden público bien definidas.

(22)Los asistentes virtuales desempeñan un papel cada vez más importante en la digitalización de los entornos de consumo y son una interfaz fácil de utilizar que sirve para reproducir contenidos, buscar información o activar objetos físicos conectados a la internet de las cosas. Los asistentes virtuales pueden funcionar como una pasarela única, por ejemplo en un entorno doméstico inteligente, y registrar cantidades significativas de datos pertinentes sobre cómo interactúan los usuarios con productos conectados a la internet de las cosas, incluso los fabricados por otras partes, y pueden sustituir a las interfaces proporcionadas por el fabricante, como pantallas táctiles o aplicaciones para teléfonos inteligentes. Es posible que el usuario desee poner dichos datos a disposición de fabricantes terceros para permitir el desarrollo de servicios innovadores destinados a hogares inteligentes. Estos asistentes virtuales deben estar cubiertos por el derecho de acceso a los datos contemplado en el presente Reglamento, también en lo que respecta a los datos registrados antes de la activación del asistente virtual mediante la palabra de activación y a los datos generados cuando un usuario interactúa con un producto a través de un asistente virtual facilitado por una entidad distinta del fabricante del producto. Sin embargo, solo entran en el ámbito de aplicación del presente Reglamento los datos derivados de la interacción entre el usuario y el producto a través del asistente virtual. Los datos producidos por el asistente virtual que no estén relacionados con el uso de un producto no son objeto del presente Reglamento.

(20)En caso de que varias personas o entidades posean un producto o sean parte en un acuerdo de arrendamiento o alquiler y tengan acceso a un servicio relacionado, a la hora de diseñar el producto, el servicio relacionado o la interfaz pertinente, debe hacerse lo posible por que todas las personas puedan tener acceso a los datos que generan. Por lo general, se requiere a los usuarios de productos que generan datos la creación de una cuenta de usuario. Esta cuenta permite la identificación del usuario por parte del fabricante, y es un medio para comunicarse con vistas a realizar y tratar las solicitudes de acceso a datos. Los fabricantes o diseñadores de un producto que suelen utilizar varias personas deben establecer el mecanismo necesario que permita crear cuentas de usuario separadas para personas concretas, cuando proceda, o que varias personas puedan utilizar la misma cuenta de usuario. Debe concederse acceso al usuario mediante mecanismos de solicitud sencillos, de ejecución automática, que no requieran un examen o autorización por parte del fabricante o del titular de datos. Esto significa que los datos solo deben ponerse a disposición cuando el usuario lo desee realmente. Cuando no sea posible realizar la solicitud de acceso a los datos de manera automatizada, por ejemplo a través de una cuenta de usuario o de una aplicación móvil que acompañe al producto o servicio, el fabricante deberá informar al usuario de cómo puede acceder a los datos.

(19)En la práctica, no todos los datos generados por productos o servicios relacionados son fácilmente accesibles para sus usuarios, y a menudo existen pocas opciones de portabilidad de los datos generados por productos conectados a la internet de las cosas. Los usuarios no pueden obtener los datos necesarios para recurrir a proveedores de servicios de reparación y otros servicios, y las empresas no pueden poner en marcha servicios innovadores, más eficientes y prácticos. En muchos sectores, los fabricantes, aunque no tengan derecho legal a los datos, a menudo pueden determinar, a través del control del diseño técnico del producto o de los servicios relacionados, qué datos se generan y cómo se puede acceder a ellos. Por lo tanto, es necesario garantizar que los productos se diseñen y fabriquen de manera que los datos generados por su uso sean fácilmente accesibles para el usuario en todo momento, y que los servicios relacionados se presten de esa misma manera.

(14)Los productos físicos que, a través de sus componentes, obtengan, generen o recopilen datos relativos a su rendimiento, uso o entorno y que puedan comunicar dichos datos mediante un servicio de comunicaciones electrónicas disponible para el público (a menudo denominado «internet de las cosas») deben estar cubiertos por el presente Reglamento. Los servicios de comunicaciones electrónicas incluyen las redes telefónicas terrestres, las redes de televisión por cable, las redes basadas en satélites y las redes de comunicación de campo cercano. Dichos productos pueden incluir vehículos, equipos domésticos y bienes de consumo, productos médicos y sanitarios o maquinaria agrícola e industrial. Los datos representan la digitalización de las acciones y eventos de los usuarios y, en consecuencia, deben ser accesibles para el usuario, mientras que la información derivada o inferida a partir de estos datos, cuando se posea legalmente, no debe considerarse dentro del ámbito de aplicación del presente Reglamento. Estos datos pueden ser valiosos para el usuario y apoyan la innovación y el desarrollo de servicios digitales y de otros tipos que protegen el medio ambiente, la salud y la economía circular, en particular porque facilitan el mantenimiento y la reparación de los productos en cuestión.

(29)Un tercero al que se facilitan datos puede ser una empresa, un organismo de investigación o una organización sin ánimo de lucro. Al poner los datos a disposición del tercero, el titular de datos no debe explotar de manera abusiva su posición para buscar una ventaja competitiva en mercados en los que el titular de datos y el tercero puedan estar en competencia directa. Además, el titular de datos no debe utilizar ningún dato generado por el uso del producto o servicio relacionado con el fin de obtener información sobre la situación económica del tercero, sus activos o métodos de producción o para cualquier otro fin que pueda socavar la posición comercial del tercero en los mercados en los que opera.

(30)El uso de un producto o servicio relacionado puede generar datos relativos a una persona física identificada o identificable (el interesado), en particular cuando el usuario sea una persona física. El tratamiento de dichos datos está sujeto a las normas establecidas en virtud del Reglamento (UE) 2016/679, incluso cuando los datos personales y no personales de un conjunto de datos estén indisolublemente vinculados. El interesado puede ser el usuario u otra persona física. Los datos personales solo podrán ser solicitados por un responsable del tratamiento o un interesado. Un usuario que sea el interesado tiene derecho, en determinadas circunstancias, en virtud del Reglamento (UE) 2016/679, a acceder a los datos personales que le incumban, derecho que no se ve afectado por el presente Reglamento. En virtud del presente Reglamento, el usuario que sea una persona física tiene también derecho a acceder a todos los datos generados por el producto, tanto personales como no personales. Cuando el usuario no sea el interesado sino una empresa, incluido un empresario individual, y no en los casos de uso doméstico compartido del producto, el usuario será responsable del tratamiento en el sentido del Reglamento (UE) 2016/679. Por consiguiente, dicho usuario, como responsable del tratamiento que desea solicitar datos personales generados por el uso de un producto o un servicio relacionado, debe tener una base jurídica para el tratamiento de los datos con arreglo al artículo 6, apartado 1, del Reglamento (UE) 2016/679, como el consentimiento del interesado o el interés legítimo. Dicho usuario debe garantizar que el interesado esté debidamente informado de los fines especificados, explícitos y legítimos del tratamiento de dichos datos, y de la manera en que el interesado puede ejercer efectivamente sus derechos. Cuando el titular de datos y el usuario sean corresponsables del tratamiento en el sentido del artículo 26 del Reglamento (UE) 2016/679, están obligados a determinar, de manera transparente y mediante un acuerdo entre ellos, sus responsabilidades respectivas para garantizar el cumplimiento de dicho Reglamento. Debe entenderse que dicho usuario, una vez que los datos se hayan puesto a disposición, puede convertirse en titular de datos si cumple los criterios establecidos en el presente Reglamento y, por tanto, estar sujeto a la obligación de poner a disposición los datos en virtud del presente Reglamento.

(31)Los datos generados por el uso de un producto o servicio relacionado solo deben ponerse a disposición de un tercero a petición del usuario. Por lo tanto, el presente Reglamento complementa el derecho establecido en el artículo 20 del Reglamento (UE) 2016/679. Dicho artículo establece el derecho de los interesados a recibir los datos personales que les incumban en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otros responsables del tratamiento, cuando dichos datos se traten sobre la base del artículo 6, apartado 1, letra a), o del artículo 9, apartado 2, letra a), o de un contrato con arreglo al artículo 6, apartado 1, letra b). Los interesados también tienen derecho a que los datos personales se transmitan directamente de responsable a responsable, pero solo cuando sea técnicamente posible. El artículo 20 especifica que se trata de los datos facilitados por el interesado, pero no especifica si ello requiere un comportamiento activo por parte del interesado o si también es aplicable cuando un producto o servicio relacionado, por su diseño, observa el comportamiento de un interesado u otra información relacionada con un interesado de manera pasiva. El derecho establecido por el presente Reglamento complementa el derecho a la recepción y la portabilidad de datos personales en virtud del artículo 20 del Reglamento (UE) 2016/679 de varias maneras. Concede a los usuarios el derecho a acceder y poner a disposición de terceros cualquier dato generado por el uso de un producto o servicio relacionado, independientemente de que sean de carácter personal, de la distinción entre datos facilitados activamente u observados pasivamente y de la base jurídica del tratamiento. A diferencia de las obligaciones técnicas establecidas en el artículo 20 del Reglamento (UE) 2016/679, el presente Reglamento exige y garantiza la viabilidad técnica del acceso de terceros a todos los tipos de datos incluidos en su ámbito de aplicación, ya sean personales o no personales. El presente Reglamento también permite al titular de datos establecer una compensación razonable a cargo de terceros, pero no del usuario, por cualquier coste en que se incurra al proporcionar acceso directo a los datos generados por el producto del usuario. Si el titular de datos y un tercero no pueden acordar las condiciones de dicho acceso directo, no debe impedirse en modo alguno que el interesado ejerza los derechos recogidos en el Reglamento (UE) 2016/679, incluido el derecho a la portabilidad de los datos, buscando vías de recurso de conformidad con dicho Reglamento. En este contexto, debe entenderse que, de conformidad con el Reglamento (UE) 2016/679, un acuerdo contractual no permite el tratamiento de categorías especiales de datos personales por parte del titular de datos o del tercero.

(32)El acceso a todos los datos almacenados en equipos terminales, y a los que se acceda desde estos, está sujeto a la Directiva 2002/58/CE y requiere el consentimiento del abonado o usuario en el sentido de dicha Directiva, a menos que sea estrictamente necesario para prestar un servicio de la sociedad de la información expresamente solicitado por el usuario o el abonado (o únicamente para la transmisión de una comunicación). La Directiva 2002/58/CE («Directiva sobre la privacidad y las comunicaciones electrónicas») y la propuesta de Reglamento sobre la privacidad y las comunicaciones electrónicas protegen la integridad de los equipos terminales del usuario en lo que respecta al uso de las capacidades de tratamiento y almacenamiento y a la recopilación de información. Los equipos de internet de las cosas se consideran equipos terminales si están directa o indirectamente conectados a una red pública de comunicaciones.

(33)Con el fin de evitar la explotación de los usuarios, los terceros a los que se hayan facilitado datos a petición del usuario solo deben tratar los datos para los fines acordados con el usuario e intercambiarlos con otro tercero solo si ello es necesario para prestar el servicio solicitado por el usuario.

(34)En consonancia con el principio de minimización de datos, el tercero solo debe acceder a la información adicional necesaria para prestar el servicio solicitado por el usuario. Tras haber recibido acceso a los datos, el tercero debe tratarlos exclusivamente para los fines acordados con el usuario, sin injerencia del titular de datos. Para el usuario, debe ser tan fácil denegar o interrumpir el acceso del tercero a los datos como autorizarlo. El tercero no debe coaccionar, engañar o manipular al usuario de ningún modo, perjudicando o socavando la autonomía, la toma de decisiones o las opciones del usuario, o utilizando una interfaz digital con el usuario. En este contexto, los terceros no deben basarse en los denominados «patrones oscuros» a la hora de diseñar sus interfaces digitales. Los «patrones oscuros» son técnicas de diseño que empujan o engañan a los consumidores para que tomen decisiones que conllevan consecuencias negativas para sí mismos. Estas técnicas de manipulación pueden utilizarse para persuadir a los usuarios, en particular a los consumidores más vulnerables, a que incurran en comportamientos no deseados, y para engañarlos induciéndoles a tomar decisiones sobre transacciones de revelación de datos o para influir injustificadamente en la toma de decisiones de los usuarios del servicio, de tal manera que se socave y perjudique su autonomía, su toma de decisiones y su capacidad de elegir entre distintas opciones. Las prácticas comerciales habituales y legítimas que sean conformes con el Derecho de la Unión no deben considerarse por sí mismas como «patrones oscuros». Los terceros deben cumplir sus obligaciones en virtud del Derecho de la Unión pertinente, en particular los requisitos establecidos en la Directiva 2005/29/CE, la Directiva 2011/83/UE, la Directiva 2000/31/CE y la Directiva 98/6/CE.

(35)Los terceros también deben abstenerse de utilizar los datos para trazar perfiles de personas, a menos que sea estrictamente necesario para prestar el servicio solicitado por el usuario. El requisito de suprimir datos cuando ya no sean necesarios para el fin acordado con el usuario complementa el derecho de supresión del interesado con arreglo al artículo 17 del Reglamento (CE) n.º 2016/679. Cuando el tercero sea un proveedor de un servicio de intermediación de datos en el sentido de la [Ley de Gobernanza de Datos], se aplicarán las garantías para el interesado que establece dicho Reglamento. El tercero puede utilizar los datos para desarrollar un producto o servicio relacionado, nuevo e innovador, pero no para desarrollar un producto competidor.

(36)Las empresas emergentes, las pequeñas y medianas empresas y las empresas de sectores tradicionales con capacidades digitales menos desarrolladas tienen dificultades para acceder a los datos pertinentes. El presente Reglamento tiene por objeto facilitar el acceso de estas entidades a los datos, garantizando al mismo tiempo que las obligaciones correspondientes queden delimitadas de la manera más proporcionada posible para evitar extralimitaciones. Al mismo tiempo, en la economía digital ha surgido un pequeño número de empresas muy grandes con un poder económico considerable gracias a la acumulación y agregación de grandes volúmenes de datos y a la infraestructura tecnológica necesaria para su monetización. Algunas de estas empresas prestan servicios básicos de plataforma que controlan ecosistemas de plataformas enteros en la economía digital, y que los operadores del mercado existentes o nuevos no son capaces de desafiar o disputar. El [Reglamento sobre mercados disputables y equitativos en el sector digital (Ley de Mercados Digitales)] tiene por objeto corregir estas ineficiencias y desequilibrios permitiendo a la Comisión designar a un proveedor como «guardián de acceso», e impone una serie de obligaciones a dichos guardianes de acceso designados, como la prohibición de combinar determinados datos sin consentimiento, o la obligación de garantizar los derechos efectivos a la portabilidad de los datos en virtud del artículo 20 del Reglamento (UE) 2016/679. En consonancia con el [Reglamento sobre mercados disputables y equitativos en el sector digital (Ley de Mercados Digitales)], y habida cuenta de la inigualable capacidad de estas empresas para adquirir datos, la inclusión de dichas empresas guardianas de acceso como beneficiarias del derecho de acceso a los datos no sería necesaria para alcanzar el objetivo del presente Reglamento y, por tanto, sería desproporcionada en relación con los titulares de datos sujetos a dichas obligaciones. Esto significa que una empresa que presta servicios básicos de plataforma que ha sido designada como guardián de acceso no puede solicitar ni obtener acceso a los datos de los usuarios generados por el uso de un producto o servicio relacionado o por un asistente virtual sobre la base de las disposiciones del capítulo II del presente Reglamento. Debe entenderse que una empresa que presta servicios básicos de plataforma designada como guardián de acceso con arreglo a la Ley de Mercados Digitales incluye a todas las entidades jurídicas de un grupo de empresas en el que una entidad jurídica presta un servicio básico de plataforma. Además, los terceros a los que se faciliten datos a petición del usuario no podrán poner los datos a disposición de un guardián de acceso designado. Por ejemplo, el tercero no puede subcontratar la prestación de servicios a un guardián de acceso. Sin embargo, esto no impide que terceros utilicen servicios de tratamiento de datos ofrecidos por un guardián de acceso designado. Esta exclusión de los guardianes de acceso designados del ámbito de aplicación del derecho de acceso en virtud del presente Reglamento no impide a estas empresas obtener datos por otros medios legales.

(37)Habida cuenta del estado actual de la tecnología, resulta excesivamente gravoso imponer nuevas obligaciones de diseño en relación con los productos fabricados o diseñados y los servicios relacionados prestados por microempresas y pequeñas empresas. Sin embargo, no sucede así cuando se subcontrata a una microempresa o pequeña empresa para fabricar o diseñar un producto. En estas situaciones, la empresa que haya subcontratado a la microempresa o pequeña empresa puede compensar adecuadamente al subcontratista. No obstante, una microempresa o pequeña empresa puede estar sujeta a los requisitos establecidos en el presente Reglamento como titular de datos, cuando no sea el fabricante del producto o un proveedor de servicios relacionados.

(38)El presente Reglamento contiene normas generales de acceso, siempre que el titular de datos esté obligado por ley a poner los datos a disposición de un destinatario de datos. Dicho acceso debe basarse en condiciones justas, razonables, no discriminatorias y transparentes con el fin de garantizar la coherencia de las prácticas de intercambio de datos en el mercado interior, también entre distintos sectores, y de alentar y promover prácticas equitativas de intercambio de datos, incluso en ámbitos en los que no se concede dicho derecho de acceso a los datos. Estas normas generales de acceso no se aplican a las obligaciones de poner a disposición los datos en virtud del Reglamento (UE) 2016/679. El intercambio voluntario de datos no se ve afectado por estas normas.

(39)Sobre la base del principio de libertad contractual, las partes deben seguir siendo libres de negociar las condiciones precisas para la puesta a disposición de los datos en sus contratos, en el marco de las normas generales de acceso para la puesta a disposición de los datos.

(40)A fin de garantizar que las condiciones de acceso obligatorio a los datos sean equitativas para ambas partes, las normas generales sobre los derechos de acceso a los datos deben hacer referencia a la norma relativa a la necesidad de evitar cláusulas contractuales abusivas.

(41)Para compensar la falta de información sobre las condiciones de los distintos contratos, lo que dificulta que el destinatario de los datos evalúe si las condiciones de puesta a disposición de los datos no son discriminatorias, debe corresponder al titular de datos demostrar que una cláusula contractual no es discriminatoria. No se considera una discriminación ilegal que el titular de datos utilice cláusulas contractuales diferentes para poner a disposición los datos o una compensación diferente, si dichas diferencias están justificadas por razones objetivas. Estas obligaciones se entienden sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679.

(42)Con el fin de incentivar la inversión continua en la generación de datos valiosos, como la inversión en herramientas técnicas pertinentes, el presente Reglamento contiene el principio de que el titular de datos puede solicitar una compensación razonable cuando esté legalmente obligado a poner los datos a disposición del destinatario de los datos. Estas disposiciones no deben entenderse como un pago por los propios datos, sino, en el caso de las microempresas y las pequeñas o medianas empresas, por los costes en que se haya incurrido y las inversiones necesarias para poner los datos a disposición.

(43)En casos justificados, como cuando sea necesario proteger la participación y la competencia de los consumidores o promover la innovación en determinados mercados, el Derecho de la Unión o la legislación nacional que aplica el Derecho de la Unión pueden imponer una compensación regulada por la puesta a disposición de tipos de datos específicos.

(44)Con el fin de proteger a las microempresas y a las pequeñas y medianas empresas de cargas económicas excesivas que les dificultarían comercialmente el desarrollo y la gestión de modelos de negocio innovadores, la compensación por la puesta a disposición de los datos que pagarían no debe superar el coste directo de la puesta a disposición de los datos y no debe ser discriminatoria.

(45)Los costes directos de la puesta a disposición de los datos son los costes necesarios para la reproducción de los datos, su difusión por medios electrónicos y su almacenamiento, pero no los costes de recopilación o producción de datos. Los costes directos de la puesta a disposición de los datos deben limitarse a la parte atribuible a las solicitudes individuales, teniendo en cuenta que el titular de datos tendrá que establecer permanentemente las interfaces técnicas necesarias o los correspondientes programas informáticos y la conectividad. Los acuerdos a largo plazo entre los titulares de datos y los destinatarios de datos, por ejemplo a través de un modelo de suscripción, podrían reducir los costes relacionados con la puesta a disposición de los datos en transacciones regulares o repetitivas en una relación de negocios.

(46)La intervención no es necesaria cuando el intercambio de datos se realiza entre grandes empresas, ni cuando el titular de datos es una pequeña o mediana empresa y el destinatario de datos es una gran empresa. En tales casos, se considera que las empresas son capaces de negociar cualquier compensación si es razonable, teniendo en cuenta factores como el volumen, el formato, el carácter, la oferta y la demanda de los datos, así como los costes derivados de la recopilación y puesta a disposición del destinatario de datos.

(47)La transparencia es un principio importante a la hora de garantizar que la compensación solicitada por el titular de datos sea razonable o, cuando el destinatario de datos sea una microempresa o una pequeña o mediana empresa, que la compensación no supere los costes directamente relacionados con la puesta a disposición de los datos al destinatario de datos y que sea atribuible a la solicitud individual. A fin de que el destinatario de datos pueda evaluar y verificar que la compensación cumple los requisitos del presente Reglamento, el titular de datos debe facilitar al destinatario de datos la información necesaria para calcular la compensación con un nivel de detalle suficiente.

(48)Garantizar el acceso a formas alternativas de resolución de litigios nacionales y transfronterizos derivados de la puesta a disposición de los datos debe redundar en beneficio de los titulares y destinatarios de datos y, por lo tanto, reforzar la confianza en el intercambio de datos. Cuando las partes no puedan acordar condiciones justas, razonables y no discriminatorias para la puesta a disposición de los datos, los organismos de resolución de litigios deben ofrecer a las partes una solución sencilla, rápida y económica.