Source: EURLEX
Language: es
Format: md

**UNIÓN EUROPEA**

**EL PARLAMENTO EUROPEO** **EL CONSEJO**

**Estrasburgo, 13 de diciembre de 2023**
**(OR. en)**

**2022/0047 (COD)**
**LEX 2283**

**PE-CONS 49/1/23**

**REV 1**

**TELECOM 237**

**COMPET 781**

**MI 650**

**DATAPROTECT 205**

**JAI 1045**

**PI 116**

**CODEC 1418**

**REGLAMENTO**

**DEL PARLAMENTO EUROPEO Y DEL CONSEJO**

**SOBRE NORMAS ARMONIZADAS PARA UN ACCESO JUSTO**

**A LOS DATOS Y SU UTILIZACIÓN,**

**Y POR EL QUE SE MODIFICAN EL REGLAMENTO (UE) 2017/2394**

**Y LA DIRECTIVA (UE) 2020/1828**

**(REGLAMENTO DE DATOS)**

PE-CONS 49/1/23 REV 1

# **ES**

**REGLAMENTO (UE) 2023/…**

**DEL PARLAMENTO EUROPEO Y DEL CONSEJO**

**de 13 de diciembre de 2023**

**sobre normas armonizadas para un acceso justo a los datos y su utilización,**

**y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828**

**(Reglamento de Datos)**

**(Texto pertinente a efectos del EEE)**

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Banco Central Europeo **[1]**,

**1** DO C 402 de 19.10.2022, p. 5.

PE-CONS 49/1/23 REV 1 1

# **ES**

Visto el dictamen del Comité Económico y Social Europeo **[1]**,

Visto el dictamen del Comité de las Regiones **[2]**,

De conformidad con el procedimiento legislativo ordinario **[3]**,

**1** DO C 365 de 23.9.2022, p. 18.
**2** DO C 375 de 30.9.2022, p. 112.
**3** Posición del Parlamento Europeo de 9 de noviembre de 2023 (pendiente de publicación en
el Diario Oficial) y Decisión del Consejo de 27 de noviembre de 2023.

PE-CONS 49/1/23 REV 1 2

# **ES**

Considerando lo siguiente:

(1) En los últimos años, las tecnologías basadas en los datos han tenido efectos

transformadores en todos los sectores de la economía. En particular, la proliferación de

productos conectados a internet ha aumentado el volumen y el valor potencial de los datos

para los consumidores, las empresas y la sociedad. Los datos interoperables y de alta

calidad de diferentes ámbitos incrementan la competitividad y la innovación y garantizan

un crecimiento económico sostenible. Los mismos datos pueden utilizarse y reutilizarse

para diversos fines y de modo ilimitado, sin pérdida de calidad o cantidad.

(2) Los obstáculos al intercambio de datos impiden una asignación óptima de los datos en

beneficio de la sociedad. Esos obstáculos incluyen la falta de incentivos para que los

titulares de datos suscriban voluntariamente acuerdos sobre el intercambio de datos, la

incertidumbre sobre los derechos y las obligaciones en relación con los datos, los costes de

contratación y aplicación de interfaces técnicas, el elevado nivel de fragmentación de la

información en los silos de datos, la mala gestión de metadatos, la ausencia de normas para

la interoperabilidad semántica y técnica, los cuellos de botella que impiden el acceso a los

datos, la falta de prácticas comunes para el intercambio de datos y el abuso de los

desequilibrios contractuales en relación con el acceso a los datos y su utilización.

PE-CONS 49/1/23 REV 1 3

# **ES**

(3) En sectores caracterizados por la presencia de microempresas, pequeñas empresas y

medianas empresas tal como se definen en el artículo 2 del anexo de la

Recomendación 2003/361/CE de la Comisión **[1]** (pymes), a menudo escasean las

capacidades y competencias digitales necesarias para recopilar, analizar y utilizar datos, y

el acceso a estos queda limitado con frecuencia cuando un único agente los conserva en el

sistema o debido a la falta de interoperabilidad entre datos, entre servicios de datos o a

través de las fronteras.

(4) Con el fin de responder a las necesidades de la economía digital y eliminar los obstáculos

al buen funcionamiento del mercado interior de datos, es necesario establecer un marco

armonizado que especifique quién tiene derecho a utilizar los datos del producto o los

datos del servicio relacionado, en qué condiciones y sobre qué base. Por consiguiente, los

Estados miembros no deben adoptar ni mantener requisitos nacionales adicionales relativos

a las cuestiones que entran en el ámbito de aplicación del presente Reglamento, salvo que

así se disponga expresamente en él, ya que ello afectaría a la aplicación directa y uniforme

de este. Además, toda medida a nivel de la Unión debe entenderse sin perjuicio de las

obligaciones y los compromisos establecidos en los acuerdos comerciales internacionales

celebrados por la Unión.

**1** Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de
microempresas, pequeñas y medianas empresas (DO L 124 de 20.5.2003, p. 36).

PE-CONS 49/1/23 REV 1 4

# **ES**

(5) El presente Reglamento garantiza que los usuarios de un producto conectado o servicio

relacionado en la Unión puedan acceder oportunamente a los datos generados por el uso de

dicho producto conectado o servicio relacionado y que puedan utilizarlos, entre otros,

compartiéndolos con terceros de su elección. El presente Reglamento impone a los titulares

de datos la obligación de poner los datos a disposición de los usuarios y de terceros

elegidos por el usuario en determinadas circunstancias. También garantiza que los titulares

de datos pongan los datos a disposición de los destinatarios de datos en la Unión en

condiciones justas, razonables y no discriminatorias y de manera transparente. Las normas

de Derecho privado son fundamentales en el marco general del intercambio de datos. Por

lo tanto, el presente Reglamento adapta las normas de Derecho contractual e impide la

explotación de los desequilibrios contractuales que dificultan un acceso a los datos y una

utilización de estos que sean equitativos. El presente Reglamento también garantiza que,

cuando exista una necesidad excepcional, los titulares de datos pongan a disposición de los

organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de

la Unión los datos necesarios para el desempeño de alguna tarea específica realizada en

interés público. Además, el presente Reglamento pretende facilitar el cambio entre

servicios de tratamiento de datos y mejorar la interoperabilidad de los datos y de los

mecanismos y servicios de intercambio de datos en la Unión. El presente Reglamento no

debe interpretarse como el reconocimiento o la concesión de un nuevo derecho a los

titulares de datos a utilizar los datos generados por el uso de un producto conectado o

servicio relacionado.

PE-CONS 49/1/23 REV 1 5

# **ES**

(6) La generación de datos es el resultado de las acciones de al menos dos agentes, en

particular, el diseñador o fabricante de un producto conectado ―que en muchos casos

podría ser también proveedor de servicios relacionados― y el usuario del producto

conectado o servicio relacionado. La generación de datos plantea cuestiones de equidad en

la economía digital, ya que los datos registrados por el producto conectado o servicio

relacionado constituyen una información importante para los servicios de posventa, los

servicios auxiliares y otros servicios. Con el fin de aprovechar los importantes beneficios

económicos de los datos, también mediante el intercambio de datos sobre la base de

acuerdos voluntarios y el desarrollo por las empresas de la Unión de la creación de valor

impulsado por los datos, es preferible adoptar un enfoque general para asignar derechos en

materia de acceso y utilización de datos frente a la concesión de derechos exclusivos de

acceso y utilización. El presente Reglamento establece normas horizontales que podrían ir

seguidas de disposiciones de Derecho de la Unión o nacional que regulen la situación

específica de los sectores correspondientes.

PE-CONS 49/1/23 REV 1 6

# **ES**

(7) El derecho fundamental a la protección de los datos personales está salvaguardado, en

particular, por los Reglamentos (UE) 2016/679 **[1]** y (UE) 2018/1725 **[2]** del Parlamento

Europeo y del Consejo. Además, la Directiva 2002/58/CE del Parlamento Europeo y del

Consejo **[3]** protege la vida privada y la confidencialidad de las comunicaciones, incluso

mediante condiciones para el almacenamiento de datos personales y no personales en los

equipos terminales, y el acceso desde estos. Dichos actos legislativos de la Unión

constituyen la base para un tratamiento de datos sostenible y responsable, incluso cuando

los conjuntos de datos contengan una combinación de datos personales y no personales. El

presente Reglamento complementa el Derecho de la Unión y se entiende sin perjuicio del

Derecho de la Unión en materia de protección de datos personales y de la intimidad (o

privacidad), en particular, en lo que se refiere a los Reglamentos (UE) 2016/679 y

(UE) 2018/1725 y la Directiva 2002/58/CE. Ninguna disposición del presente Reglamento

debe aplicarse o interpretarse de manera que se reduzca o limite el derecho a la protección

de los datos personales o el derecho a la privacidad y la confidencialidad de las

comunicaciones.

**1** Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016,
relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016,
p. 1).
**2** Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre
de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de
datos personales por las instituciones, órganos y organismos de la Unión, y a la libre
circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la
Decisión n.º 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
**3** Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002,
relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector
de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones
electrónicas) (DO L 201 de 31.7.2002, p. 37).

PE-CONS 49/1/23 REV 1 7

# **ES**

Todo tratamiento de datos personales en virtud del presente Reglamento debe cumplir el

Derecho de la Unión en materia de protección de datos, incluido el requisito de una base

jurídica válida para el tratamiento con arreglo al artículo 6 del Reglamento (UE) 2016/679

y, cuando proceda, las condiciones del artículo 9 de dicho Reglamento y del artículo 5,

apartado 3, de la Directiva 2002/58/CE. El presente Reglamento no constituye una base

jurídica para la recogida o generación de datos personales por parte del titular de datos. El

presente Reglamento impone a los titulares de datos la obligación de poner los datos

personales a disposición de los usuarios o de los terceros elegidos por el usuario, previa

petición de dicho usuario. Debe proporcionarse dicho acceso a los datos personales que el

titular de datos trate basándose en cualquiera de las bases jurídicas mencionadas en el

artículo 6 del Reglamento (UE) 2016/679. Cuando el usuario no sea el interesado, el

presente Reglamento no contiene ninguna base jurídica para que se proporcione acceso a

los datos personales o estos se pongan a disposición de un tercero, y no debe entenderse

que concede ningún nuevo derecho al titular de datos a utilizar los datos personales

generados por el uso de un producto conectado o de un servicio relacionado. En esos casos,

podría redundar en interés del usuario facilitar el cumplimiento de los requisitos

establecidos en el artículo 6 del Reglamento (UE) 2016/679. Dado que el presente

Reglamento no debe afectar negativamente a los derechos de protección de datos de los

interesados, el titular de datos puede atender las solicitudes en esos casos, entre otros

modos, anonimizando los datos personales o, en el caso de que los datos fácilmente

disponibles contengan datos personales de varios interesados, transmitiendo únicamente

datos personales relativos al usuario.

PE-CONS 49/1/23 REV 1 8

# **ES**

(8) Los principios de minimización y protección de datos desde el diseño y por defecto son

esenciales cuando el tratamiento implica riesgos significativos para los derechos

fundamentales de las personas. Teniendo en cuenta los últimos avances técnicos, todas las

partes en el intercambio de datos, incluso el intercambio de datos comprendido dentro del

ámbito de aplicación del presente Reglamento, deben aplicar medidas técnicas y

organizativas para proteger esos derechos. Dichas medidas incluyen no solo la

seudonimización y el cifrado, sino también el uso de una tecnología cada vez más

disponible que permita llevar los algoritmos a los datos y obtener información valiosa sin

que sea necesaria la transmisión entre las partes ni la copia superflua de los datos brutos o

estructurados.

(9) Salvo que se disponga otra cosa en el presente Reglamento, este no afecta a las normas

nacionales de Derecho contractual, incluidas las relativas a la celebración, la validez o los

efectos de los contratos, ni a las consecuencias de la resolución unilateral de los contratos.

El presente Reglamento complementa el Derecho de la Unión ―y se entiende sin perjuicio

del Derecho de la Unión cuyo objetivo sea promover los intereses de los consumidores y

garantizar un elevado nivel de protección de los consumidores, así como proteger su salud,

su seguridad y sus intereses económicos, en particular, la Directiva 93/13/CEE del

Consejo **[1]** y las Directivas 2005/29/CE **[2]** y 2011/83/UE **[3]** del Parlamento Europeo y del

Consejo.

**1** Directiva 93/13/CEE del Consejo, de 5 de abril de 1993, sobre las cláusulas abusivas en los
contratos celebrados con consumidores (DO L 95 de 21.4.1993, p. 29).
**2** Directiva 2005/29/CE del Parlamento Europeo y del Consejo, de 11 de mayo de 2005,
relativa a las prácticas comerciales desleales de las empresas en sus relaciones con los
consumidores en el mercado interior, que modifica la Directiva 84/450/CEE del Consejo, las
Directivas 97/7/CE, 98/27/CE y 2002/65/CE del Parlamento Europeo y del Consejo y el
Reglamento (CE) n.º 2006/2004 del Parlamento Europeo y del Consejo («Directiva sobre las
prácticas comerciales desleales») (DO L 149 de 11.6.2005, p. 22).
**3** Directiva 2011/83/UE del Parlamento Europeo y del Consejo, de 25 de octubre de 2011,
sobre los derechos de los consumidores, por la que se modifican la Directiva 93/13/CEE del
Consejo y la Directiva 1999/44/CE del Parlamento Europeo y del Consejo y se derogan la
Directiva 85/577/CEE del Consejo y la Directiva 97/7/CE del Parlamento Europeo y del
Consejo (DO L 304 de 22.11.2011, p. 64).

PE-CONS 49/1/23 REV 1 9

# **ES**

(10) El presente Reglamento se entiende sin perjuicio de los actos jurídicos de la Unión y
nacionales que dispongan el intercambio de datos, el acceso a los datos y su utilización con
fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de
ejecución de sanciones penales, o a efectos aduaneros y fiscales, con independencia de la
base jurídica del Tratado de Funcionamiento de la Unión Europea (TFUE) en virtud de la
cual se hayan adoptado tales actos jurídicos de la Unión, y sin perjuicio de la cooperación
internacional en el ámbito mencionado, en particular, sobre la base del Convenio del
Consejo de Europa sobre la Ciberdelincuencia (STE n.º 185), hecho en Budapest
el 23 de noviembre de 2001. Dichos actos incluyen los Reglamentos (UE) 2021/784 **[1]**
(UE) 2022/2065 **[2]** y (UE) 2023/1543 **[3]** del Parlamento Europeo y del Consejo, y la Directiva
(UE) 2023/1544 del Parlamento Europeo y del Consejo **[4]** . El presente Reglamento no se
aplica a la recopilación, intercambio, acceso o utilización de datos en virtud del
Reglamento (UE) 2015/847 del Parlamento Europeo y del Consejo **[5]** y la Directiva
(UE) 2015/849 del Parlamento Europeo y del Consejo **[6]** . El presente Reglamento no se
aplica a las actividades que quedan fuera del ámbito de aplicación del Derecho de la Unión
y, en cualquier caso, no afecta a las competencias de los Estados miembros en materia de
seguridad pública, defensa o seguridad nacional, aduanas y administración fiscal o salud y
seguridad ciudadanas, con independencia del tipo de entidad a la que los Estados miembros
hayan confiado el desempeño de tareas en relación con dichas competencias.

**1** Reglamento (UE) 2021/784 del Parlamento Europeo y del Consejo, de 29 de abril de 2021,
sobre la lucha contra la difusión de contenidos terroristas en línea (DO L 172 de 17.5.2021,
p. 79).
**2** Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre
de 2022, relativo a un mercado único de servicios digitales y por el que se modifica la
Directiva 2000/31/CE (Reglamento de Servicios Digitales) (DO L 277 de 27.10.2022, p. 1).
**3** Reglamento (UE) 2023/1543 del Parlamento Europeo y del Consejo, de 12 de julio de 2023,
sobre las órdenes europeas de producción y las órdenes europeas de conservación a efectos
de prueba electrónica en procesos penales y de ejecución de penas privativas de libertad a
raíz de procesos penales (DO L 191 de 28.7.2023, p. 118).
**4** Directiva (UE) 2023/1544 del Parlamento Europeo y del Consejo, de 12 de julio de 2023,
por la que se establecen normas armonizadas para la designación de establecimientos
designados y de representantes legales a efectos de recabar pruebas electrónicas en procesos
penales (DO L 191 de 28.7.2023, p. 181).
**5** Reglamento (UE) 2015/847 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015,
relativo a la información que acompaña a las transferencias de fondos y por el que se deroga
el Reglamento (CE) n.º 1781/2006 (DO L 141 de 5.6.2015, p. 1).
**6** Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015,
relativa a la prevención de la utilización del sistema financiero para el blanqueo de capitales
o la financiación del terrorismo, y por la que se modifica el Reglamento (UE) n.º 648/2012
del Parlamento Europeo y del Consejo, y se derogan la Directiva 2005/60/CE del
Parlamento Europeo y del Consejo y la Directiva 2006/70/CE de la Comisión (DO L 141
de 5.6.2015, p. 73).

PE-CONS 49/1/23 REV 1 10

# **ES**

(11) El presente Reglamento no debe afectar al Derecho de la Unión que establece requisitos en

materia de diseño físico y datos para los productos que se introduzcan en el mercado de la

Unión, salvo que así se disponga expresamente en él.

(12) El presente Reglamento complementa y se entiende sin perjuicio del Derecho de la Unión

que establece requisitos de accesibilidad para determinados productos y servicios, en

particular, la Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo **[1]** .

(13) El presente Reglamento se entiende sin perjuicio de los actos jurídicos de la Unión y

nacionales de protección de los derechos de propiedad intelectual (que incluye, asimismo,

la propiedad industrial), incluidas las Directivas 2001/29/CE **[2]**, 2004/48/CE **[3]** y

(UE) 2019/790 **[4]** del Parlamento Europeo y del Consejo.

**1** Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo, de 17 de abril de 2019,
sobre los requisitos de accesibilidad de los productos y servicios (DO L 151 de 7.6.2019,
p. 70).
**2** Directiva 2001/29/CE del Parlamento Europeo y del Consejo, de 22 de mayo de 2001,
relativa a la armonización de determinados aspectos de los derechos de autor y derechos
afines a los derechos de autor en la sociedad de la información (DO L 167 de 22.6.2001,
p. 10).
**3** Directiva 2004/48/CE del Parlamento Europeo y del Consejo, de 29 de abril de 2004,
relativa al respeto de los derechos de propiedad intelectual (DO L 157 de 30.4.2004, p. 45).
**4** Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019,
sobre los derechos de autor y derechos afines en el mercado único digital y por la que se
modifican las Directivas 96/9/CE y 2001/29/CE (DO L 130 de 17.5.2019, p. 92).

PE-CONS 49/1/23 REV 1 11

# **ES**

(14) Los productos conectados que, a través de sus componentes o sistemas operativos,

obtengan, generen o recopilen datos relativos a su rendimiento, uso o entorno y que puedan

comunicar dichos datos mediante un servicio de comunicaciones electrónicas, una

conexión física o un acceso en el dispositivo, a menudo denominado «internet de las

cosas», deben incluirse en el ámbito de aplicación del presente Reglamento, a excepción de

los prototipos. Algunos ejemplos de estos servicios de comunicaciones electrónicas son, en

particular, las redes telefónicas terrestres, las redes de televisión por cable, las redes

basadas en satélites y las redes de comunicación de campo cercano. Los productos

conectados se encuentran en todos los aspectos de la economía y la sociedad, también en

infraestructuras privadas, civiles o comerciales, vehículos, equipos sanitarios y de estilo de

vida, buques, aeronaves, equipos domésticos y bienes de consumo, productos médicos y

sanitarios o maquinaria agrícola e industrial. Las opciones de diseño de los fabricantes y,

en su caso, el Derecho de la Unión o nacional que regule las necesidades y los objetivos

específicos del sector o las decisiones pertinentes de las autoridades competentes, deben

determinar qué datos puede poner a disposición un producto conectado.

PE-CONS 49/1/23 REV 1 12

# **ES**

(15) Los datos representan la digitalización de las acciones del usuario o de eventos y, en

consecuencia, deben ser accesibles para el usuario. Las normas que rigen el acceso a los

datos de los productos conectados y los servicios relacionados y su utilización en virtud del

presente Reglamento abordan los datos tanto de los productos como de los servicios

relacionados. El término «datos del producto» se refiere a los datos generados por el uso de

un producto conectado que el fabricante ha diseñado para que sean extraíbles del producto

conectado por un usuario, titular de datos o tercero, incluido, cuando proceda, el fabricante.

El término «datos del servicio relacionado» se refiere a los datos que representan también

la digitalización de las acciones del usuario o de eventos relativos al producto conectado,

generados durante la prestación de un servicio relacionado por parte del proveedor. Debe

entenderse que los datos generados por el uso de un producto conectado o servicio

relacionado abarcan los datos registrados de manera intencionada o los datos resultantes

indirectamente de la intervención del usuario, como los datos relativos al entorno o las

interacciones del producto conectado. Ello debe incluir los datos relativos a la utilización

de un producto conectado generados por una interfaz de usuario o a través de un servicio

relacionado, y no debe limitarse a la información de que dicha utilización se ha producido,

sino que debe incluir todos los datos generados por el producto conectado como resultado

de dicha utilización, tales como los datos generados automáticamente por sensores y los

datos registrados por aplicaciones integradas, incluidas las aplicaciones que indican el

estado del _hardware_ y los fallos de funcionamiento. Ello debe incluir también los datos

generados por el producto conectado o servicio relacionado durante los períodos en los que

el usuario no interviene, como cuando este decide no utilizar un producto conectado

durante un período de tiempo determinado y, en su lugar, mantenerlo en modo de espera o,

incluso, apagarlo, dado que el estado de un producto conectado o de sus componentes, por

ejemplo, sus pilas o baterías, puede variar cuando el producto conectado se encuentra en

modo de espera o apagado. El ámbito de aplicación del presente Reglamento incluye los

datos que no se modifican sustancialmente, es decir, los datos brutos, también conocidos

como datos fuente o datos primarios, que se refieren a puntos de datos que se generan

automáticamente sin ninguna forma de tratamiento posterior, así como los datos que,

previamente a su tratamiento y análisis, han sido objeto de un tratamiento destinado a

hacerlos comprensibles y que puedan ser utilizados.

PE-CONS 49/1/23 REV 1 13

# **ES**

Tales datos incluyen los datos recogidos a partir de un único sensor o de un grupo

conectado de sensores con el fin de hacer comprensibles los datos recogidos para casos de

uso más amplios, determinando una cantidad o una calidad física o la modificación de una

cantidad física, como la temperatura, la presión, el caudal, el audio, el valor del pH, el

nivel líquido, la posición, la aceleración o la velocidad. El término «datos pretratados» no

debe interpretarse en el sentido de imponer al titular de datos una obligación de realizar

inversiones sustanciales en el limpiado y la transformación de los datos. Los datos que se

han de poner a disposición deben incluir los metadatos pertinentes, incluido su contexto

básico y su sello de tiempo, necesarios para poder utilizar los datos, combinados con otros

datos (por ejemplo, ordenados y clasificados con otros puntos de datos relacionados con

ellos) o reformateados en un formato de utilización habitual. Estos datos pueden ser

valiosos para el usuario y apoyan la innovación y el desarrollo de servicios digitales y de

otro tipo para proteger el medio ambiente, la salud y la economía circular, entre otros,

porque facilitan el mantenimiento y la reparación de los productos conectados en cuestión.

En cambio, la información que se infiere o se deriva de tales datos, que es el resultado de

inversiones adicionales en la asignación de valores o conocimientos que aportan los datos,

en particular, mediante algoritmos complejos de propiedad exclusiva, incluidos los que

forman parte de programas informáticos de propiedad exclusiva, no debe considerarse

incluida en el ámbito de aplicación del presente Reglamento y, por consiguiente, no debe

estar sujeta a la obligación del titular de datos de ponerla a disposición de un usuario o un

destinatario de datos, a menos que se acuerde otra cosa entre el usuario y el titular de datos.

Estos datos podrían incluir, en particular, información derivada de la fusión de sensores, la

inferencia o la derivación de datos desde múltiples sensores, recogidos en el producto

conectado, utilizando algoritmos complejos de propiedad exclusiva y que podrían estar

protegidos por derechos de propiedad intelectual.

PE-CONS 49/1/23 REV 1 14

# **ES**

(16) El presente Reglamento permite a los usuarios de productos conectados beneficiarse de

servicios posventa, servicios auxiliares y otros servicios basados en datos recogidos por

sensores integrados en dichos productos, ya que la recopilación de esos datos puede tener

un valor para mejorar el rendimiento de los productos conectados. Es importante distinguir,

por una parte, entre los mercados de suministro de tales productos conectados dotados de

sensores y servicios relacionados y, por otra parte, los mercados de programas informáticos

y contenidos no relacionados, como los contenidos textuales, audiovisuales o de audio, a

menudo protegidos por derechos de propiedad intelectual. En consecuencia, no debe

aplicarse el presente Reglamento a los datos generados por dichos productos conectados

dotados de sensores cuando el usuario graba, transmite, muestra o reproduce contenidos,

así como los propios contenidos, que a menudo están protegidos por derechos de propiedad

intelectual (por ejemplo, para su utilización por un servicio en línea). Tampoco debe

aplicarse el presente Reglamento a los datos obtenidos, generados o a los que se haya

accedido desde el producto conectado, o que hayan sido transmitidos al producto

conectado, con fines de almacenamiento o alguna otra operación de tratamiento en nombre

de terceros que no sean el usurario, como pueda ser el caso respecto de los servidores o la

infraestructura en la nube que gestionen sus titulares íntegramente en nombre de terceros,

entre otros fines, por ejemplo, para su utilización por un servicio en línea.

PE-CONS 49/1/23 REV 1 15

# **ES**

(17) Es necesario establecer normas relativas a los productos que estén conectados a un servicio

relacionado en el momento de la compraventa, alquiler o arrendamiento de tal manera que

su ausencia impediría que el producto conectado desempeñe una o varias de sus funciones,

o que el fabricante o un tercero conecte posteriormente al producto a fin de aumentar o

adaptar la funcionalidad del producto conectado. Dichos servicios relacionados implican la

transferencia de datos entre el producto conectado y el proveedor del servicio y debe

entenderse que están vinculados expresamente al funcionamiento de las funciones del

producto conectado, como servicios que, en su caso, transmiten instrucciones al producto

conectado que pueden afectar a su funcionamiento o comportamiento. No deben tener la

consideración de servicios relacionados los servicios que no afectan al funcionamiento del

producto conectado y no implican la transferencia de datos o instrucciones al producto

conectado por parte del proveedor del servicio. Tales servicios podrían incluir, por

ejemplo, asesoría auxiliar, servicios de análisis o financieros o reparaciones y

mantenimiento periódicos. Los servicios relacionados pueden ofrecerse como parte del

contrato de compraventa, alquiler o arrendamiento. Los servicios relacionados podrían

también prestarse para productos del mismo tipo y los usuarios podrían esperar, de manera

razonable, que se presten dichos servicios habida cuenta del carácter del producto

conectado y cualquier declaración pública realizada por el vendedor, arrendador u otras

personas, o en nombre de estos, en fases previas de la cadena de transacciones, incluido el

fabricante. Dichos servicios relacionados pueden generar, por sí mismos, datos valiosos

para el usuario, independientemente de la capacidad de recopilación de datos del producto

conectado con el que estén interconectados. El presente Reglamento debe ser aplicable

asimismo a los servicios relacionados no prestados por el propio vendedor o arrendador,

sino por un tercero. En caso de duda sobre si el servicio se presta como parte del contrato

de compraventa, alquiler o arrendamiento, debe aplicarse el presente Reglamento. Ni el

suministro de energía ni la prestación de conectividad deben interpretarse como servicios

relacionados en virtud del presente Reglamento.

PE-CONS 49/1/23 REV 1 16

# **ES**

(18) Por usuario de un producto conectado debe entenderse la persona física o jurídica, como

una empresa, un consumidor o un organismo del sector público, que es propietario de un

producto conectado, ha recibido determinados derechos temporales, por ejemplo, mediante

un contrato de alquiler o arrendamiento, para acceder a los datos obtenidos a partir del

producto conectado o utilizarlos, o que recibe servicios relacionados respecto del producto

conectado. Estos derechos de acceso no deben obstaculizar ni alterar en modo alguno los

derechos de los interesados que puedan estar interactuando con un producto conectado o

un servicio relacionado con respecto a los datos personales generados por el producto

conectado o durante la prestación del servicio relacionado. El usuario asumirá los riesgos y

aprovechará las ventajas de utilizar el producto conectado y también deberá poder acceder

a los datos que genere. Por lo tanto, el usuario debe tener derecho a aprovechar los datos

generados por dicho producto conectado y cualquier servicio relacionado. También debe

considerarse usuario a un propietario, alquilador o arrendatario, incluso cuando varias

entidades puedan ser consideradas usuarios. En un contexto de múltiples usuarios, cada

usuario puede contribuir de manera diferente a la generación de datos y tener interés en

varias formas de utilización, como la gestión de la flota para una empresa de

arrendamiento o soluciones de movilidad para personas que utilizan un servicio de uso

compartido de vehículos.

PE-CONS 49/1/23 REV 1 17

# **ES**

(19) El término «alfabetización en materia de datos» se refiere a las capacidades, los

conocimientos y la comprensión que permiten a usuarios, consumidores y empresas, en

particular, las pymes incluidas en el ámbito de aplicación del presente Reglamento,

mejorar su concienciación sobre el valor potencial de los datos que generan, producen e

intercambian, y les motiva para ofrecer y proporcionar el acceso de conformidad con las

normas jurídicas pertinentes. La alfabetización en materia de datos debe ir más allá del

aprendizaje sobre herramientas y tecnologías, y debe aspirar a empoderar a los ciudadanos

y a las empresas y a dotarlos de la capacidad de beneficiarse de un mercado de datos

integrador y justo. La difusión de medidas de alfabetización y la implantación de medidas

de seguimiento oportunas podría contribuir a mejorar las condiciones de trabajo y, en

última instancia, respaldar la consolidación y la senda de innovación de la economía de los

datos en la Unión. Las autoridades competentes deben promover herramientas y adoptar

medidas para impulsar las capacidades de alfabetización en materia de datos de los

usuarios y entidades incluidos en el ámbito de aplicación del presente Reglamento y su

concienciación sobre los derechos y obligaciones que de este se derivan.

PE-CONS 49/1/23 REV 1 18

# **ES**

(20) En la práctica, no todos los datos generados por productos conectados o servicios

relacionados son fácilmente accesibles para sus usuarios y a menudo existen pocas

opciones de portabilidad de los datos generados por productos conectados a internet. Los

usuarios no pueden obtener los datos necesarios para recurrir a proveedores de servicios de

reparación y otros servicios, y las empresas no pueden poner en marcha servicios

innovadores, prácticos y más eficientes. En muchos sectores, los fabricantes, aunque no

tengan derecho legal a los datos, pueden determinar, a través del control del diseño técnico

de los productos conectados o de los servicios relacionados, qué datos se generan y cómo

se puede acceder a ellos. Por lo tanto, es necesario garantizar que los productos conectados

se diseñen y fabriquen ―y que los servicios relacionados se diseñen y presten― de manera

que los datos de los productos y los datos de los servicios relacionados, incluidos los

metadatos asociados necesarios para interpretar y utilizar dichos datos, también a efectos

de extraerlos, utilizarlos o compartirlos, siempre sean accesibles para el usuario fácilmente

y de forma segura, gratuitamente, en un formato completo, estructurado, de utilización

habitual y de lectura mecánica. Se denomina «datos fácilmente disponibles» a los datos del

producto y los datos del servicio relacionado que un titular de datos obtiene o puede

obtener del producto conectado o servicio relacionado de forma lícita y sin un esfuerzo

desproporcionado, por ejemplo, mediante el diseño del producto conectado, el contrato

celebrado entre el titular de datos y el usuario para la prestación de servicios relacionados y

sus medios técnicos de acceso a los datos. Los datos fácilmente disponibles no incluyen los

datos generados por el uso de un producto conectado cuando el diseño del producto

conectado no prevea que dichos datos se almacenen o transmitan fuera del componente en

que se generan o del producto conectado en su conjunto.

PE-CONS 49/1/23 REV 1 19

# **ES**

Por consiguiente, no debe entenderse que el presente Reglamento impone la obligación de

almacenar datos en la unidad informática central de un producto conectado. La ausencia de

tal obligación no debe impedir al fabricante o al titular de datos acordar voluntariamente

con el usuario la realización de dichas adaptaciones. Las obligaciones de diseño previstas

en el presente Reglamento también se entienden sin perjuicio del principio de

minimización de datos establecido en el artículo 5, apartado 1, letra c), del Reglamento

(UE) 2016/679 y no deben entenderse en el sentido de que imponen una obligación de

diseñar los productos conectados y servicios relacionados de tal manera que almacenen o

traten de algún modo datos personales distintos de los necesarios en relación con los fines

de su tratamiento. Podrían introducirse disposiciones de Derecho de la Unión o nacional

para describir otras especificidades, como los datos del producto que deben ser accesibles

desde los productos conectados o los servicios relacionados, dado que dichos datos pueden

ser esenciales para el funcionamiento, la reparación o el mantenimiento eficientes de

dichos productos conectados o servicios relacionados. Cuando las actualizaciones o

modificaciones posteriores de un producto conectado o un servicio relacionado, por parte

del fabricante u otra parte, den lugar a datos accesibles adicionales o a una restricción de

los datos accesibles inicialmente, esas alteraciones deben comunicarse al usuario en el

contexto de la actualización o modificación.

PE-CONS 49/1/23 REV 1 20

# **ES**

(21) Cuando se considere usuario a varias personas o entidades, por ejemplo en los casos de

copropiedad o cuando un propietario, alquilador o arrendatario comparta derechos de

acceso a los datos o de utilización de estos, el diseño del producto conectado o servicio

relacionado o la interfaz pertinente debe permitir que cada usuario tenga acceso a los datos

que genera. Por lo general, el uso de productos conectados que generan datos necesita la

creación de una cuenta de usuario. Esta cuenta permite la identificación del usuario por

parte del titular de datos, que puede ser el fabricante. También se puede utilizar como

medio para comunicarse y para presentar y tramitar las solicitudes de acceso a datos. En

caso de que varios fabricantes o proveedores de servicios relacionados hayan vendido,

alquilado o arrendado productos conectados o prestado servicios relacionados, integrados

entre sí, al mismo usuario, el usuario debe dirigirse a cada una de las partes con las que

haya celebrado un contrato. Los fabricantes o diseñadores de un producto conectado que

suelen utilizar varias personas deben establecer los mecanismos necesarios para crear

cuentas de usuario separadas para personas concretas, cuando proceda, o que varias

personas puedan utilizar la misma cuenta de usuario. Las soluciones de cuenta deben

permitir al usuario suprimir sus cuentas y los datos relacionados con ellas, y podrían

permitirle poner fin al acceso a los datos o a su utilización o intercambio, o presentar

solicitudes para ponerle fin, en particular, teniendo en cuenta las situaciones en las que

cambia la propiedad o el uso del producto conectado. Debe concederse acceso al usuario

mediante un mecanismo de solicitud sencillo, de ejecución automática, que no requiera

examen o autorización por parte del fabricante o del titular de datos. Esto significa que los

datos deben ponerse a disposición solo cuando el usuario desee el acceso. Cuando no sea

posible realizar la solicitud de acceso a los datos de manera automatizada, por ejemplo a

través de una cuenta de usuario o de una aplicación móvil que acompañe al producto

conectado o servicio relacionado, el fabricante debe informar al usuario de cómo puede

acceder a los datos.

PE-CONS 49/1/23 REV 1 21

# **ES**

(22) Los productos conectados pueden diseñarse para que determinados datos sean directamente

accesibles a partir de un almacenamiento de datos en el dispositivo o a partir de un servidor

remoto al que se comuniquen los datos. El acceso al almacenamiento de datos en el

dispositivo puede habilitarse a través de redes de área local por cable o inalámbricas

conectadas a un servicio de comunicaciones electrónicas o red móvil disponibles al

público. El servidor puede estar integrado en la capacidad del servidor local del fabricante

o en la de un tercero o un proveedor de servicios en la nube. No se considera que los

encargados del tratamiento tal como se definen en el artículo 4, punto 8, del Reglamento

(UE) 2016/679 actúan como titulares de datos. Ahora bien, el responsable del tratamiento

tal como se define en el artículo 4, punto 7, del Reglamento (UE) 2016/679 les puede

encomendar específicamente que pongan datos a disposición. Los productos conectados

pueden estar diseñados para permitir al usuario o a un tercero tratar los datos en el

producto conectado, en una instancia informática del fabricante o en un entorno de

tecnología de la información y las comunicaciones (TIC) elegido por el usuario o el

tercero.

PE-CONS 49/1/23 REV 1 22

# **ES**

(23) Los asistentes virtuales desempeñan un papel cada vez más importante en la digitalización

de los entornos de consumo y profesionales y son una interfaz fácil de utilizar que sirve

para reproducir contenidos, buscar información o activar productos conectados a internet.

Los asistentes virtuales pueden funcionar como una pasarela única, por ejemplo en un

entorno doméstico inteligente, y registrar cantidades significativas de datos pertinentes

sobre cómo interactúan los usuarios con productos conectados a internet, incluso los

fabricados por otras partes, y pueden sustituir a las interfaces proporcionadas por el

fabricante, como pantallas táctiles o aplicaciones para teléfonos inteligentes. Es posible

que el usuario desee poner dichos datos a disposición de fabricantes terceros para permitir

el desarrollo de servicios inteligentes innovadores. Los derechos de acceso a los datos que

establece el presente Reglamento deben ser aplicables a los asistentes virtuales. También

deben ser aplicables los derechos de acceso a los datos que establece el presente

Reglamento a los datos generados cuando un usuario interactúa con un producto conectado

a través de un asistente virtual proporcionado por una entidad distinta del fabricante del

producto conectado. Sin embargo, solo deben entrar en el ámbito del presente Reglamento

los datos resultantes de la interacción entre el usuario y un producto conectado o servicio

relacionado a través del asistente virtual. Los datos producidos por el asistente virtual que

no estén relacionados con el uso de un producto conectado o servicio relacionado no se

incluyen en el ámbito del presente Reglamento.

PE-CONS 49/1/23 REV 1 23

# **ES**

(24) Antes de celebrar un contrato de compraventa, alquiler o arrendamiento de un producto

conectado, el vendedor o arrendador ―que pueden ser el fabricante― deben proporcionar

al usuario información sobre los datos del producto que es capaz de generar el producto

conectado, incluido el tipo, el formato y el volumen estimado de dichos datos, de manera

clara y comprensible. Esto puede incluir información sobre las estructuras de los datos, los

formatos de datos, los vocabularios, los sistemas de clasificación, las taxonomías y las

listas de códigos, cuando estén disponibles, así como información clara, suficiente y

pertinente para el ejercicio de los derechos del usuario sobre cómo pueden almacenarse o

extraerse los datos, o cómo se puede acceder a ellos, junto con las descripciones de las

condiciones de utilización y la calidad de servicio de las interfaces de programación de

aplicaciones o, en su caso, el suministro de paquetes de desarrollo de software. Esa

obligación aporta transparencia sobre los datos del producto generados y mejora la

facilidad de acceso para el usuario. La obligación de información podría cumplirse, por

ejemplo, manteniendo un localizador uniforme de recursos (URL) estable en la web, que

puede distribuirse como un enlace web o un código QR, que apunte a la información

relevante, que podría ser proporcionado al usuario por el vendedor o arrendador ―que

puede ser el fabricante― antes de celebrar el contrato de compraventa, alquiler o

arrendamiento de un producto conectado. En cualquier caso, resulta necesario que el

usuario pueda almacenar la información de manera que sea accesible para su futura

consulta y que permita la reproducción inalterada de la información almacenada. No puede

esperarse que el titular de datos almacene los datos por tiempo indefinido en vista de las

necesidades del usuario del producto conectado, pero debe aplicar, no obstante, una

política razonable de conservación de datos, cuando proceda, de conformidad con el

principio de limitación del plazo de conservación de conformidad con el artículo 5,

apartado 1, letra e), del Reglamento (UE) 2016/679, que permita el ejercicio efectivo de los

derechos de acceso a los datos que confiere el presente Reglamento. La obligación de

informar no afecta a la obligación del responsable del tratamiento de proporcionar

información al interesado de conformidad con los artículos 12, 13 y 14 del Reglamento

(UE) 2016/679. La obligación de proporcionar información antes de la celebración de un

contrato de prestación de un servicio relacionado debe corresponder al posible titular de

datos, con independencia de si el titular de datos celebra un contrato de compraventa,

alquiler o arrendamiento de un producto conectado. También debe proporcionarse al

usuario la información cuando esta cambie durante la vida útil del producto conectado o el

período de vigencia del contrato del servicio relacionado, también cuando la finalidad para

la que se utilizarán los datos cambie con respecto a la finalidad especificada inicialmente.

PE-CONS 49/1/23 REV 1 24

# **ES**

(25) No debe entenderse que el presente Reglamento concede a los titulares de datos ningún

nuevo derecho a utilizar los datos del producto o los datos de un servicio relacionado.

Cuando el fabricante de un producto conectado sea un titular de datos, la base para que el

fabricante utilice datos no personales debe ser un contrato entre el fabricante y el usuario.

Dicho contrato podría formar parte de un pacto para la prestación de un servicio

relacionado, que podría celebrarse junto con el contrato de compraventa, alquiler o

arrendamiento del producto conectado. Toda cláusula contractual que estipule que el titular

de datos puede utilizar los datos de un producto o los datos de un servicio relacionado debe

ser transparente para el usuario, incluso en lo que respecta a las finalidades para las que el

titular de datos pretenda utilizar los datos. Tales finalidades pueden incluir mejorar el

funcionamiento del producto conectado o de los servicios relacionados, desarrollar nuevos

productos o servicios o agregar datos con el fin de poner a disposición de terceros los datos

derivados resultantes, siempre que dichos datos derivados no permitan la identificación de

los datos específicos transmitidos al titular de datos desde el producto conectado, ni

permitan a un tercero derivarlos del conjunto de datos. Toda modificación del contrato

debe depender del consentimiento informado del usuario. El presente Reglamento no

impide a las partes pactar cláusulas contractuales cuyo efecto sea excluir o limitar la

utilización de datos no personales, o de determinadas categorías de datos no personales,

por parte de un titular de datos. Tampoco impide a las partes pactar la puesta a disposición

de terceros de datos del producto o datos del servicio relacionado, de modo directo o

indirecto, incluso, en su caso, a través de otro titular de datos. Además, el presente

Reglamento no impide requisitos específicos de regulación sectorial en virtud del Derecho

de la Unión o del Derecho nacional compatible con el Derecho de la Unión que excluyan o

limiten la utilización de determinados datos por parte del titular de datos por razones de

políticas públicas bien definidas. El presente Reglamento no impide a los usuarios, en las

relaciones entre empresas, poner los datos a disposición de terceros o de titulares de datos

con arreglo a cualquier condición contractual lícita, incluso aceptando limitar o restringir el

intercambio ulterior de dichos datos, o recibir una compensación proporcional, por

ejemplo, a cambio de renunciar a su derecho a utilizar o compartir dichos datos. Aunque el

concepto de «titular de datos» generalmente no incluye a los organismos del sector

público, puede incluir a empresas públicas.

PE-CONS 49/1/23 REV 1 25

# **ES**

(26) Para fomentar la aparición de mercados líquidos, equitativos y eficientes de datos no

personales, los usuarios de productos conectados deben poder compartir datos con otros,

también con fines comerciales, con un mínimo esfuerzo jurídico y técnico. En la

actualidad, resulta a menudo difícil para las empresas justificar los costes de personal o

informáticos necesarios para preparar conjuntos de datos o productos de datos no

personales y ofrecerlos a otras posibles partes a través de servicios de intermediación de

datos, incluidos los mercados de datos. Así pues, un obstáculo importante para el

intercambio de datos no personales por parte de las empresas dimana de la falta de

previsibilidad de los rendimientos económicos derivados de la inversión en la organización

y puesta a disposición de conjuntos de datos o productos de datos. A fin de permitir la

aparición de mercados líquidos, equitativos y eficientes de datos no personales en la

Unión, debe aclararse qué parte tiene derecho a ofrecer dichos datos en un mercado. Por

tanto, los usuarios deben tener derecho a compartir datos no personales con destinatarios

de datos con fines comerciales y no comerciales. Este intercambio de datos podría ser

realizado directamente por el usuario, a través de un titular de datos a petición del usuario,

o a través de servicios de intermediación de datos. Los servicios de intermediación de

datos, regulados por el Reglamento (UE) 2022/868 del Parlamento Europeo y del
Consejo **[1]**, podrían facilitar la economía de los datos mediante el establecimiento de

relaciones comerciales entre los usuarios, los destinatarios de los datos y terceros, y pueden

ayudar a los usuarios a ejercer su derecho a utilizar los datos, como, por ejemplo, al

garantizar la anonimización de los datos personales o la agregación del acceso a los datos

de múltiples usuarios individuales. Cuando los datos estén excluidos de la obligación de un

titular de datos de ponerlos a disposición de los usuarios o de terceros, el alcance de dichos

datos podría especificarse en el contrato entre el usuario y el titular de datos para la

prestación de un servicio relacionado, de manera que los usuarios puedan determinar

fácilmente qué datos están a disposición para compartirlos con destinatarios de datos o con

terceros. Los titulares de datos no deben poner a disposición de terceros datos no

personales del producto con fines comerciales o no comerciales distintos del cumplimiento

de su contrato con el usuario, sin perjuicio de los requisitos legales en virtud del Derecho

de la Unión o nacional para que un titular de datos los ponga a disposición. Cuando

proceda, los titulares de datos deben obligar contractualmente a los terceros a no compartir

los datos recibidos de ellos.

**1** Reglamento (UE) 2022/868 del Parlamento Europeo y del Consejo, de 30 de mayo de 2022,
relativo a la gobernanza europea de datos y por el que se modifica el Reglamento
(UE) 2018/1724 (Reglamento de Gobernanza de Datos) (DO L 152 de 3.6.2022, p. 1).

PE-CONS 49/1/23 REV 1 26

# **ES**

(27) En los sectores caracterizados por la concentración de un pequeño número de fabricantes

que abastecen de productos conectados a los usuarios finales, los usuarios pueden disponer

únicamente de opciones limitadas en lo que respecta al acceso a los datos y a la utilización

e intercambio de estos. En tales circunstancias, los contratos pueden resultar insuficientes

para alcanzar el objetivo de la capacitación de los usuarios, lo que dificulta a los usuarios

obtener valor a partir de los datos generados por el producto conectado que compran,

alquilan o arriendan. Por consiguiente, existe un potencial limitado para que las pequeñas

empresas innovadoras ofrezcan soluciones basadas en datos de manera competitiva y para

alcanzar en la Unión una economía diversa de los datos. Por lo tanto, el presente

Reglamento debe basarse en los últimos avances en sectores específicos, como el Código

de conducta sobre el intercambio de datos agrarios mediante contrato. Pueden adoptarse

disposiciones de Derecho de la Unión o nacional para regular las necesidades y objetivos

específicos del sector. Además, los titulares de datos no deben utilizar ningún dato

fácilmente disponible que constituya un dato no personal, con el fin de obtener

información sobre la situación económica del usuario, sus activos o sus métodos de

producción o sobre ese uso por el usuario de cualquier otra manera que pueda socavar la

posición comercial del usuario en los mercados en los que opera. Esto podría incluir el uso

de la información sobre el rendimiento global de una empresa, o de una explotación

agraria, en las negociaciones contractuales con el usuario sobre la posible compra de los

productos, o de los productos agrícolas, del usuario en su propio detrimento, o para

alimentar bases de datos más amplias de determinados mercados ―por ejemplo, las bases

de datos sobre el rendimiento de los cultivos para la próxima temporada de cosecha―, ya

que tal uso podría afectar negativamente al usuario de manera indirecta. El usuario debe

disponer de la interfaz técnica necesaria para gestionar los permisos, preferiblemente con

opciones de permiso detalladas (como «permitir una vez» o «permitir cuando se utilice esta

aplicación o servicio»), incluida la opción de retirar tal permiso.

PE-CONS 49/1/23 REV 1 27

# **ES**

(28) En los contratos entre un titular de datos y un consumidor como usuario de un producto

conectado o servicio relacionado que genera datos, se aplica el Derecho de la Unión en

materia de protección de los consumidores, en particular las Directivas 93/13/CEE

y 2005/29/CE, para garantizar que el consumidor no esté sujeto a cláusulas contractuales

abusivas. A efectos del presente Reglamento, las cláusulas contractuales abusivas

impuestas unilateralmente a una empresa no deben ser vinculantes para ella.

(29) Los titulares de datos pueden exigir una identificación adecuada del usuario para verificar

el derecho de acceso a los datos por parte del usuario. En el caso de los datos personales

tratados por un encargado del tratamiento en nombre del responsable del tratamiento los

titulares de datos deben garantizar que el encargado del tratamiento reciba y tramite la

solicitud de acceso.

(30) El usuario debe ser libre de utilizar los datos para cualquier fin lícito. Se incluye en ello

proporcionar los datos que el usuario haya recibido en el ejercicio de los derechos que le

reconoce el presente Reglamento, a un tercero que ofrezca un servicio posventa que pueda

estar en competencia con un servicio prestado por un titular de datos, o dar instrucciones al

titular de datos para que lo haga. La solicitud debe ser presentada por el usuario o por un

tercero autorizado que actúe en nombre del usuario, lo que incluye al proveedor de un

servicio de intermediación de datos. Los titulares de datos deben garantizar que los datos

puestos a disposición del tercero sean tan exactos, completos, fiables, pertinentes y

actualizados como los datos a los que el propio titular de datos pueda acceder, o a los que

tenga derecho a acceder resultantes del uso del producto conectado o servicio relacionado.

En el tratamiento de los datos deben respetarse los derechos de propiedad intelectual. Es

importante mantener los incentivos a la inversión en productos con funcionalidades

basadas en la utilización de datos procedentes de sensores incorporados a dichos

productos.

PE-CONS 49/1/23 REV 1 28

# **ES**

(31) La Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo **[1]** establece que la

obtención, utilización o revelación de un secreto comercial se consideran lícitas, entre otras

cosas, cuando el Derecho de la Unión o nacional exijan o permitan dicha obtención,

utilización o revelación. Si bien el presente Reglamento exige a los titulares de datos que

divulguen determinados datos a los usuarios o a terceros elegidos por el usuario, incluso

cuando dichos datos cumplan los requisitos para ser protegidos como secretos comerciales,

debe interpretarse de forma que preserve la protección conferida a los secretos comerciales

en virtud de la Directiva (UE) 2016/943. En este contexto, los titulares de datos deben

poder exigir al usuario, o a terceros elegidos por el usuario, que preserven la

confidencialidad de los datos considerados como secretos comerciales. A tal fin, los

titulares de datos deben identificar los secretos comerciales antes de la divulgación y tener

la posibilidad de convenir con los usuarios, o con terceros elegidos por el usuario, las

medidas necesarias para preservar su confidencialidad, también mediante el uso de

cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso estrictos,

normas técnicas y la aplicación de códigos de conducta. Además del uso de cláusulas

contractuales tipo que ha de elaborar y recomendar la Comisión, el establecimiento de

códigos de conducta y de normas técnicas relativos a la protección de los secretos

comerciales en el tratamiento de los datos podría contribuir a la consecución del objetivo

del presente Reglamento y debe fomentarse. Cuando no exista un acuerdo sobre las

medidas necesarias o cuando el usuario o los terceros elegidos por el usuario no apliquen

las medidas convenidas o vulneren la confidencialidad de los secretos comerciales, el

titular de datos debe poder retener o suspender el intercambio de los datos identificados

como secretos comerciales.

**1** Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016,
relativa a la protección de los conocimientos técnicos y la información empresarial no
divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas
(DO L 157 de 15.6.2016, p. 1).

PE-CONS 49/1/23 REV 1 29

# **ES**

En tales casos, el titular de datos debe comunicar la decisión por escrito al usuario o al

tercero sin demora indebida y debe notificar a la autoridad competente del Estado miembro

en el que el titular de datos esté establecido que ha retenido o suspendido el intercambio de

datos e indicar qué medidas no se han convenido o aplicado y, en su caso, qué secretos

comerciales han visto su confidencialidad comprometida. En principio, los titulares de

datos no pueden rechazar una solicitud de acceso a los datos en virtud del presente

Reglamento alegando únicamente que determinados datos se consideran secretos

comerciales, ya que esto neutralizaría los efectos perseguidos por el presente Reglamento.

Sin embargo, en circunstancias excepcionales, un titular de datos que sea un poseedor de

un secreto comercial debe poder rechazar, según el caso, una solicitud para los datos

específicos en cuestión, si es capaz de demostrar al usuario o al tercero que, a pesar de las

medidas técnicas y organizativas tomadas por el usuario o por el tercero, existe una alta

probabilidad de que la revelación de dicho secreto comercial ocasione un grave perjuicio

económico. Un grave perjuicio económico implica una pérdida económica importante e

irreparable. El titular de datos debe, sin demora indebida, motivar debidamente su

denegación por escrito al usuario o al tercero y notificarla a la autoridad nacional

competente. Dicha motivación debe basarse en elementos objetivos que demuestren el

riesgo concreto de grave perjuicio económico que cabe esperar que se derive de una

divulgación de datos específica y los motivos por los que las medidas adoptadas para

proteger los datos solicitados se consideran insuficientes. En este contexto, puede tenerse

en cuenta un posible efecto negativo en la ciberseguridad. Sin perjuicio del derecho a

recurrir ante un órgano jurisdiccional de un Estado miembro, cuando el usuario o el tercero

deseen impugnar la decisión del titular de datos de denegar, retener o suspender el

intercambio de datos, el usuario o el tercero pueden presentar una reclamación ante la

autoridad competente, que debe decidir, sin demora indebida, si el intercambio de datos

debe iniciarse o reanudarse y en qué condiciones, o pueden convenir con el titular de datos

someter la cuestión a un órgano de resolución de litigios. Las excepciones al derecho de

acceso a los datos en el presente Reglamento no deben en ningún caso limitar el derecho de

acceso y el derecho a la portabilidad de los datos de los interesados en virtud del

Reglamento (UE) 2016/679.

PE-CONS 49/1/23 REV 1 30

# **ES**

(32) El objetivo del presente Reglamento no consiste solo en fomentar el desarrollo de

productos conectados o servicios relacionados nuevos e innovadores y estimular la

innovación en los mercados de posventa, sino también en estimular el desarrollo de

servicios totalmente novedosos que utilicen los datos en cuestión, incluso los basados en

datos procedentes de diversos productos conectados o servicios relacionados. Al mismo

tiempo, el presente Reglamento pretende evitar la reducción de los incentivos a la

inversión para el tipo de producto conectado del que se obtienen datos, por ejemplo,

utilizando los datos para desarrollar un producto conectado competidor que los usuarios

consideren intercambiable o sustituible atendiendo a sus características, su precio o el uso

que se prevea hacer de él. El presente Reglamento no prohíbe el desarrollo de servicios

relacionados utilizando datos obtenidos en virtud del presente Reglamento, ya que ello

tendría en la innovación un efecto disuasorio no deseable. La prohibición de utilizar los

datos a los que se accede en virtud del presente Reglamento para desarrollar un producto

conectado competidor protege los esfuerzos de innovación de los titulares de datos. La

determinación de si un producto conectado compite con el producto conectado en el que se

originan los datos depende de si ambos productos conectados son competidores en el

mismo mercado de producto. Esto se debe determinar sobre la base de los principios

establecidos en el Derecho de la competencia de la Unión para delimitar el mercado de

productos de referencia. No obstante, los fines lícitos para la utilización de los datos

podrían incluir la ingeniería inversa, siempre que cumpla los requisitos establecidos en el

presente Reglamento y en el Derecho de la Unión o nacional. Este puede ser el caso para la

finalidad de reparar o prolongar la vida útil de un producto conectado o de prestar servicios

posventa a productos conectados.

PE-CONS 49/1/23 REV 1 31

# **ES**

(33) Un tercero al que se pongan datos a disposición puede ser una persona física o jurídica,

como un consumidor, una empresa, una organización de investigación, una organización

sin ánimo de lucro o una entidad que actúe a título profesional. Al poner los datos a

disposición del tercero, un titular de datos no debe explotar de manera abusiva su posición

para buscar una ventaja competitiva en mercados en los que el titular de datos y el tercero

puedan estar en competencia directa. Por consiguiente, el titular de datos no debe utilizar

ningún dato fácilmente disponible con el fin de obtener información sobre la situación

económica, los activos o los métodos de producción del tercero, ni el uso por este de

cualquier otra manera que pueda socavar la posición comercial del tercero en los mercados

en los que el tercero opera. El usuario debe poder compartir datos no personales con

terceros con fines comerciales. Previo acuerdo con el usuario, y con sujeción a lo dispuesto

en el presente Reglamento, los terceros deben poder transferir a otros terceros los derechos

de acceso a los datos otorgados por el usuario, también a cambio de una compensación.

Los intermediarios de datos entre empresas y los sistemas de gestión de información

personal, denominados «servicios de intermediación de datos» en el Reglamento

(UE) 2022/868, pueden ayudar a los usuarios o los terceros a establecer relaciones

comerciales con un número indeterminado de posibles contrapartes para cualquier fin lícito

que entre en el ámbito de aplicación del presente Reglamento. Podrían desempeñar un

papel fundamental a la hora de agregar el acceso a los datos, de modo que puedan

facilitarse los análisis de macrodatos o el aprendizaje automático, siempre que los usuarios

mantengan el pleno control de la decisión de proporcionar sus datos a dicha agregación y

de las condiciones comerciales en las que se vayan a utilizar sus datos.

PE-CONS 49/1/23 REV 1 32

# **ES**

(34) El uso de un producto conectado o servicio relacionado puede generar datos relativos al

interesado, en particular, cuando el usuario sea una persona física. El tratamiento de dichos

datos está sujeto a las normas establecidas en virtud del Reglamento (UE) 2016/679,

incluso cuando los datos personales y no personales de un conjunto de datos estén

indisolublemente vinculados. El interesado puede ser el usuario u otra persona física. Los

datos personales solo pueden ser solicitados por un responsable del tratamiento o un

interesado. Un usuario que sea el interesado tiene derecho, en determinadas circunstancias,

en virtud del Reglamento (UE) 2016/679, a acceder a los datos personales que le

incumban, derecho que no se ve afectado por el presente Reglamento. En virtud del

presente Reglamento, el usuario que sea una persona física tiene también derecho a acceder

a todos los datos generados por el uso de un producto conectado, tanto personales como no

personales. Cuando el usuario no sea el interesado sino una empresa, incluido un

empresario individual, excluidos los casos de uso doméstico compartido del producto

conectado, el usuario debe tener la consideración de responsable del tratamiento. Por

consiguiente, dicho usuario, que como responsable del tratamiento desea solicitar datos

personales generados por el uso de un producto conectado o un servicio relacionado, debe

tener una base lícita para el tratamiento de los datos como exige el artículo 6, apartado 1,

del Reglamento (UE) 2016/679, como el consentimiento del interesado o la ejecución de

un contrato en el que el interesado sea parte. Dicho usuario debe garantizar que el

interesado esté debidamente informado de los fines determinados, explícitos y legítimos

del tratamiento de dichos datos, y de la manera en que el interesado puede ejercer

efectivamente sus derechos. Cuando el titular de datos y el usuario sean corresponsables

del tratamiento en el sentido del artículo 26 del Reglamento (UE) 2016/679, están

obligados a determinar, de manera transparente y de mutuo acuerdo, sus responsabilidades

respectivas en el cumplimiento de dicho Reglamento. Debe entenderse que dicho usuario,

una vez que los datos se hayan puesto a disposición, puede a su vez convertirse en titular

de datos si cumple los criterios establecidos en el presente Reglamento y, por tanto, está

sujeto a la obligación de poner los datos a disposición en virtud del presente Reglamento.

PE-CONS 49/1/23 REV 1 33

# **ES**

(35) Los datos del producto o los datos del servicio relacionado solo deben ponerse a

disposición de un tercero a petición del usuario. El presente Reglamento complementa en

consecuencia el derecho de los interesados, establecido en el artículo 20 del Reglamento

(UE) 2016/679, a recibir los datos personales que les incumban en un formato

estructurado, de uso habitual y de lectura mecánica, así como a transmitirlos a otro

responsable del tratamiento, cuando dichos datos se traten por procedimientos

automatizados sobre la base del artículo 6, apartado 1, letra a), o del artículo 9, apartado 2,

letra a), o sobre la base de un contrato con arreglo al artículo 6, apartado 1, letra b), de

dicho Reglamento. Los interesados también tienen derecho a que los datos personales se

transmitan directamente de responsable a responsable, pero solo cuando esto sea

técnicamente posible. El artículo 20 del Reglamento (UE) 2016/679 especifica que se trata

de los datos proporcionados por el interesado, pero no especifica si ello requiere un

comportamiento activo por parte del interesado o si también es aplicable cuando un

producto conectado o servicio relacionado, por su diseño, observa el comportamiento de un

interesado u otra información relacionada con un interesado de manera pasiva. Los

derechos que se derivan del presente Reglamento complementan el derecho a la recepción

y la portabilidad de los datos personales en virtud del artículo 20 del Reglamento

(UE) 2016/679 de varias maneras. El presente Reglamento concede a los usuarios el

derecho a acceder a cualquier dato del producto o dato del servicio relacionado y a ponerlo

a disposición de terceros, independientemente de que sea de carácter personal, de la

distinción entre datos proporcionados activamente u observados pasivamente y de la base

jurídica del tratamiento. A diferencia del artículo 20 del Reglamento (UE) 2016/679, el

presente Reglamento exige y garantiza la viabilidad técnica del acceso de terceros a todos

los tipos de datos incluidos en su ámbito de aplicación, ya sean personales o no personales,

asegurando así que los obstáculos técnicos no sigan obstaculizando o impidiendo el acceso

a dichos datos. El presente Reglamento también permite a los titulares de datos establecer

una compensación razonable a cargo de terceros, pero no del usuario, por los costes en que

se incurra al proporcionar acceso directo a los datos generados por el producto conectado

del usuario. Si el titular de datos y un tercero no pueden acordar las condiciones de dicho

acceso directo, no debe impedirse en modo alguno que el interesado ejerza los derechos

establecidos en el Reglamento (UE) 2016/679, incluido el derecho a la portabilidad de los

datos, buscando vías de recurso de conformidad con dicho Reglamento. En este contexto,

debe entenderse que, de conformidad con el Reglamento (UE) 2016/679, un contrato no

permite el tratamiento de categorías especiales de datos personales por parte del titular de

datos o del tercero.

PE-CONS 49/1/23 REV 1 34

# **ES**

(36) El acceso a todos los datos almacenados en equipos terminales, y a los que se acceda desde

estos, está sujeto a la Directiva 2002/58/CE y requiere el consentimiento del abonado o

usuario en el sentido de dicha Directiva, a menos que sea estrictamente necesario para

prestar un servicio de la sociedad de la información expresamente solicitado por el usuario

o por el abonado o únicamente para la transmisión de una comunicación. La

Directiva 2002/58/CE protege la integridad de los equipos terminales del usuario en lo que

respecta al uso de las capacidades de tratamiento y almacenamiento y a la recopilación de

información. Los equipos de la internet de las cosas se consideran equipos terminales si

están directa o indirectamente conectados a una red pública de comunicaciones.

(37) Con el fin de evitar la explotación de los usuarios, los terceros a los que se hayan puesto

datos a disposición a petición del usuario deben tratar estos datos solo para la finalidad

acordada con el usuario e intercambiarlos con otro tercero solo con el consentimiento del

usuario a dicho intercambio.

PE-CONS 49/1/23 REV 1 35

# **ES**

(38) En consonancia con el principio de minimización de datos, los terceros deben acceder solo

a la información necesaria para prestar el servicio solicitado por el usuario. Tras haber

recibido acceso a los datos, el tercero debe tratarlos para la finalidad acordada con el

usuario sin injerencia del titular de datos. Para el usuario debe ser tan fácil denegar o

interrumpir el acceso del tercero a los datos como autorizarlo. Ni los terceros ni los

titulares de datos deben dificultar indebidamente el ejercicio de las opciones o los derechos

de los usuarios, tampoco ofreciendo opciones a los usuarios de manera no neutra, o

coaccionándolos, engañándolos o manipulándolos de algún modo, o neutralizando o

mermando su autonomía, toma de decisiones u opciones, tampoco a través de una interfaz

digital de usuario o de una parte de ella. En ese contexto, los terceros o los titulares de

datos no deben basarse en los denominados «patrones oscuros» (elementos engañosos) a la

hora de diseñar sus interfaces digitales. Los «patrones oscuros» son técnicas de diseño que

impulsan o engañan a los consumidores para que tomen decisiones que conllevan

consecuencias negativas para sí mismos. Estas técnicas de manipulación pueden utilizarse

para persuadir a los usuarios, en particular, a los consumidores vulnerables, de que adopten

comportamientos que estos no desean, y para engañarlos induciéndoles a tomar decisiones

sobre transacciones de divulgación de datos o para influir injustificadamente en la toma de

decisiones de los usuarios del servicio, de tal manera que se neutralice o merme su

autonomía, su toma de decisiones y su capacidad de elegir entre distintas opciones. Las

prácticas comerciales habituales y legítimas que sean conformes con el Derecho de la

Unión no deben considerarse por sí mismas «patrones oscuros». Los terceros y los titulares

de datos deben cumplir sus obligaciones en virtud del Derecho de la Unión pertinente, en

particular, los requisitos establecidos en las Directivas 98/6/CE **[1]** y 2000/31/CE **[2]** del

Parlamento Europeo y del Consejo, y de las Directivas 2005/29/CE y 2011/83/UE.

**1** Directiva 98/6/CE del Parlamento Europeo y del Consejo, de 16 de febrero de 1998, relativa
a la protección de los consumidores en materia de indicación de los precios de los productos
ofrecidos a los consumidores (DO L 80 de 18.3.1998, p. 27).
**2** Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa
a determinados aspectos jurídicos de los servicios de la sociedad de la información, en
particular el comercio electrónico en el mercado interior (Directiva sobre el comercio
electrónico) (DO L 178 de 17.7.2000, p. 1).

PE-CONS 49/1/23 REV 1 36

# **ES**

(39) Los terceros también deben abstenerse de utilizar los datos incluidos en el ámbito de

aplicación del presente Reglamento para trazar perfiles de personas, a menos que el

tratamiento sea estrictamente necesario para prestar el servicio solicitado por el usuario,

incluido en el contexto de las decisiones automatizadas. El requisito de suprimir los datos

cuando ya no sean necesarios para el fin acordado con el usuario, salvo que se acuerde otra

cosa en relación con los datos no personales, complementa el derecho de supresión del

interesado con arreglo al artículo 17 del Reglamento (UE) 2016/679. Cuando un tercero

sea un proveedor de un servicio de intermediación de datos se aplican las garantías para el

interesado que establece el Reglamento (UE) 2022/868. El tercero puede utilizar los datos

para desarrollar un producto conectado o servicio relacionado, nuevo e innovador, pero no

para desarrollar un producto conectado competidor.

PE-CONS 49/1/23 REV 1 37

# **ES**

(40) Las empresas emergentes, las pequeñas empresas, las empresas que se consideran

medianas empresas con arreglo al artículo 2 del anexo de la Recomendación 2003/361/CE

y las empresas de sectores tradicionales con capacidades digitales menos desarrolladas

tienen dificultades para acceder a los datos pertinentes. El presente Reglamento tiene por

objeto facilitar el acceso de estas entidades a los datos, garantizando al mismo tiempo que

las obligaciones correspondientes sean lo más proporcionadas posible para evitar

extralimitaciones. Al mismo tiempo, en la economía digital ha surgido un pequeño número

de empresas muy grandes con un poder económico considerable gracias a la acumulación y

agregación de grandes volúmenes de datos y a la infraestructura tecnológica necesaria para

su monetización. Entre esas empresas muy grandes se cuentan algunas que prestan

servicios básicos de plataforma que controlan ecosistemas de plataformas enteros en la

economía digital, y que los operadores del mercado existentes o nuevos no son capaces de

desafiar o disputar. El Reglamento (UE) 2022/1925 del Parlamento Europeo y del

Consejo **[1]** tiene por objeto corregir esas ineficiencias y desequilibrios permitiendo a la

Comisión designar a una empresa como «guardián de acceso», e impone una serie de

obligaciones a dichos guardianes de acceso designados, como la prohibición de combinar

determinados datos sin consentimiento y la obligación de garantizar los derechos efectivos

a la portabilidad de los datos en virtud del artículo 20 del Reglamento (UE) 2016/679. De

conformidad con el Reglamento (UE) 2022/1925, y habida cuenta de la inigualable

capacidad de esas empresas para adquirir datos, la inclusión de las empresas guardianas de

acceso como beneficiarias del derecho de acceso a los datos no es necesaria para alcanzar

el objetivo del presente Reglamento y, por tanto, sería desproporcionada para los titulares

de datos sujetos a dichas obligaciones.

**1** Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo, de 14 de septiembre
de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se
modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados
Digitales) (DO L 265 de 12.10.2022, p. 1).

PE-CONS 49/1/23 REV 1 38

# **ES**

Esta inclusión también limitaría probablemente los beneficios del presente Reglamento

para las pymes, vinculados a la equidad de la distribución del valor de los datos entre los

distintos agentes del mercado. Esto significa que una empresa que presta servicios básicos

de plataforma que ha sido designada guardián de acceso no puede solicitar ni obtener

acceso a los datos de los usuarios generados por el uso de un producto conectado o servicio

relacionado o por un asistente virtual sobre la base del presente Reglamento. Además, los

terceros a los que se pongan datos a disposición a petición del usuario no pueden poner los

datos a disposición de un guardián de acceso. Por ejemplo, el tercero no puede subcontratar

la prestación de servicios a un guardián de acceso. Sin embargo, esto no impide que

terceros utilicen servicios de tratamiento de datos ofrecidos por un guardián de acceso.

Tampoco impide a esas empresas obtener y utilizar los mismos datos por otros medios

lícitos. Los derechos de acceso que confiere el presente Reglamento contribuyen a que los

consumidores dispongan de una mayor variedad de servicios. Dado que los acuerdos de

carácter voluntario entre guardianes de acceso y titulares de datos no se ven afectados, la

limitación de la concesión de acceso a los guardianes de acceso no los excluiría del

mercado ni les impediría ofrecer sus servicios.

PE-CONS 49/1/23 REV 1 39

# **ES**

(41) Habida cuenta del estado actual de la tecnología, resultaría excesivamente gravoso para las

microempresas y pequeñas empresas imponer nuevas obligaciones de diseño en relación

con los productos conectados fabricados o diseñados que suministran o los servicios

relacionados que prestan. Sin embargo, no sucede así cuando, para fabricar o diseñar un

producto conectado o para prestar un servicio relacionado, se subcontrata a una

microempresa o pequeña empresa que cuenta con una empresa asociada o con una empresa

vinculada en el sentido del artículo 3 del anexo de la Recomendación 2003/361/CE que no

se considere microempresa o pequeña empresa. En estas situaciones, la empresa que haya

subcontratado la fabricación o el diseño a una microempresa o pequeña empresa puede

compensar adecuadamente al subcontratista. No obstante, una microempresa o pequeña

empresa puede estar sujeta a los requisitos establecidos en el presente Reglamento como

titular de datos cuando no sea el fabricante del producto conectado o un proveedor de

servicios relacionados. Se debe aplicar un período transitorio para las empresas que hayan

adquirido la condición de medianas empresas menos de un año antes y para los productos

conectados durante un año después de la fecha en la que hayan sido introducidos en el

mercado por una mediana empresa. Ese período de un año permite a dichas medianas

empresas adaptarse y prepararse antes de estar expuestas a la competencia en el mercado

de servicios para los productos conectados que fabrican, según los derechos de acceso que

confiere el presente Reglamento. Ese período transitorio no se aplica cuando dichas

medianas empresas cuenten con una empresa asociada o una empresa vinculada que no

tenga la consideración de microempresa o pequeña empresa o cuando dichas medianas

empresas hayan sido subcontratadas para fabricar o diseñar el producto conectado o para

prestar el servicio relacionado.

PE-CONS 49/1/23 REV 1 40

# **ES**

(42) Habida cuenta de la variedad de productos conectados que producen datos de distinta

naturaleza, volumen y frecuencia, con diferentes niveles de datos y riesgos de

ciberseguridad, y que ofrecen oportunidades económicas de diferente valor, y con el fin de

garantizar la coherencia de las prácticas de intercambio de datos en el mercado interior,

también entre sectores, y de fomentar y promover prácticas justas de intercambio de datos

incluso en ámbitos en los que no se conceda tal derecho de acceso a los datos, el presente

Reglamento establece normas horizontales sobre las modalidades de acceso a los datos en

aquellos supuestos en que un titular de datos esté obligado por el Derecho de la Unión o

por la normativa nacional adoptada de conformidad con el Derecho de la Unión a poner los

datos a disposición de un destinatario de datos. Dicho acceso debe basarse en condiciones

justas, razonables, no discriminatorias y transparentes. Esas normas generales de acceso no

se aplican a las obligaciones de poner los datos a disposición en virtud del Reglamento

(UE) 2016/679. El intercambio voluntario de datos no se ve afectado por esas normas. Las

cláusulas contractuales tipo no vinculantes para el intercambio de datos entre empresas que

debe desarrollar y recomendar la Comisión pueden ayudar a las partes a celebrar contratos

que incluyan condiciones justas, razonables y no discriminatorias y que se deben aplicar de

manera transparente. Sin embargo, la celebración de contratos, que puede incluir las

cláusulas contractuales tipo no vinculantes, no debe significar que el derecho a compartir

datos con terceros esté condicionado en modo alguno a la existencia de tal contrato. En

caso de que las partes no puedan alcanzar un acuerdo contractual sobre el intercambio de

datos, ni siquiera con el apoyo de órganos de resolución de litigios, el derecho a compartir

datos con terceros es exigible ante los órganos jurisdiccionales nacionales.

PE-CONS 49/1/23 REV 1 41

# **ES**

(43) Sobre la base del principio de libertad contractual, las partes deben seguir siendo libres de

negociar las condiciones precisas para la puesta a disposición de los datos en sus contratos,

en el marco de las normas generales de acceso para la puesta a disposición de los datos.

Las condiciones de dichos contratos podrían incluir medidas técnicas y organizativas,

también en relación con la seguridad de los datos.

(44) A fin de garantizar que las condiciones de acceso obligatorio a los datos sean equitativas

para ambas partes de un contrato, las normas generales sobre los derechos de acceso a los

datos deben hacer referencia a la norma relativa a la necesidad de evitar cláusulas

contractuales abusivas.

(45) Ningún acuerdo celebrado en las relaciones entre empresas para poner los datos a

disposición debe discriminar entre categorías comparables de destinatarios de datos,

independientemente de que las partes sean grandes empresas o pymes. Para compensar la

falta de información sobre las condiciones que figuran en los distintos contratos, lo que

dificulta que el destinatario de los datos evalúe si las condiciones de puesta a disposición

de los datos no son discriminatorias, debe ser responsabilidad de los titulares de datos

demostrar que una cláusula contractual no es discriminatoria. No se considera una

discriminación ilegal que el titular de datos utilice cláusulas contractuales diferentes para

poner los datos a disposición, si dichas diferencias están justificadas por razones objetivas.

Esas obligaciones se entienden sin perjuicio de lo dispuesto en el Reglamento

(UE) 2016/679.

PE-CONS 49/1/23 REV 1 42

# **ES**

(46) Con el fin de fomentar la inversión continua en la generación y puesta a disposición de

datos valiosos, incluidas las inversiones en herramientas técnicas pertinentes, evitando al

mismo tiempo cargas excesivas en el acceso a los datos y a su utilización que hagan que el

intercambio de datos ya no sea viable desde el punto de vista comercial, el presente

Reglamento contiene el principio según el cual, en las relaciones entre empresas, los

titulares de datos pueden solicitar una compensación razonable cuando estén obligados con

arreglo al Derecho de la Unión o la normativa nacional adoptada de conformidad con el

Derecho de la Unión a poner los datos a disposición de un destinatario de datos. Tal

compensación no debe entenderse como un pago por los propios datos. La Comisión debe

adoptar orientaciones sobre el cálculo que se considera una compensación razonable en la

economía de los datos.

PE-CONS 49/1/23 REV 1 43

# **ES**

(47) En primer lugar, una compensación razonable por el cumplimiento de la obligación en

virtud del Derecho de la Unión o la normativa nacional adoptada de conformidad con el

Derecho de la Unión para dar cumplimiento a una solicitud de puesta a disposición de

datos puede incluir una compensación por los costes en que se haya incurrido al poner los

datos a disposición. Esos costes pueden ser técnicos, como los costes necesarios para la

reproducción de los datos, su difusión por medios electrónicos y su almacenamiento, pero

no para la recopilación o producción de datos. Esos costes técnicos también pueden incluir

los costes de tratamiento necesarios para poner los datos a disposición, incluidos los costes

asociados al formateo de los datos. Los costes relacionados con la puesta a disposición de

datos también pueden incluir los costes destinados a facilitar solicitudes concretas de

intercambio de datos. También pueden variar en función del volumen de los datos, así

como de las disposiciones adoptadas para ponerlos a disposición. Los acuerdos a largo

plazo entre los titulares de datos y los destinatarios de datos, por ejemplo a través de un

modelo de suscripción o la utilización de contratos inteligentes, pueden reducir los costes

en transacciones periódicas o repetitivas en una relación de negocios. Los costes

relacionados con la puesta a disposición de los datos pueden corresponder a una solicitud

concreta o ser compartidos con otras solicitudes. En el último caso, un único destinatario

de datos no debe pagar la totalidad de los costes de puesta a disposición de los datos. En

segundo lugar, una compensación razonable también puede incluir un margen, salvo

cuando se trate de pymes y organizaciones de investigación sin ánimo de lucro. El margen

puede variar en función de factores relacionados con los propios datos, como el volumen,

el formato o la naturaleza de los datos. Puede tener en cuenta los costes de recopilación de

los datos. Por lo tanto, un margen puede disminuir cuando el titular de datos haya

recopilado los datos para su propia actividad sin inversiones significativas, o puede

aumentar cuando las inversiones en la recopilación de datos a efectos de la actividad del

titular de datos sean elevadas. Puede limitarse o incluso excluirse en situaciones en las que

la utilización de los datos por parte del destinatario de datos no afecte a las propias

actividades del titular de datos. El hecho de que los datos sean cogenerados por un

producto conectado que sea propiedad, alquilado o arrendado por el usuario también podría

reducir el importe de la compensación en comparación con otras situaciones en las que los

datos son generados por el titular de datos, por ejemplo durante la prestación de un servicio

relacionado.

PE-CONS 49/1/23 REV 1 44

# **ES**

(48) La intervención no es necesaria cuando el intercambio de datos se realiza entre grandes

empresas, ni cuando el titular de datos es una pyme y el destinatario de datos es una gran

empresa. En tales casos, se considera que las empresas son capaces de negociar la

compensación dentro de los límites de lo que es razonable y no discriminatorio.

(49) Con el fin de proteger a las pymes de cargas económicas excesivas que les dificultarían

comercialmente el desarrollo y la gestión de modelos de negocio innovadores, la

compensación razonable que pagarían por la puesta a disposición de los datos no debe

superar los costes directamente relacionados con la puesta a disposición de los datos. Los

costes directamente relacionados son aquellos que son atribuibles a solicitudes

individuales, teniendo en cuenta que el titular de los datos debe establecer de forma

permanente las interfaces técnicas necesarias o el software y la conectividad necesarios. El

mismo régimen debe aplicarse a las organizaciones de investigación sin ánimo de lucro.

(50) En casos debidamente justificados, como cuando sea necesario proteger la participación de

los consumidores y la competencia o promover la innovación en determinados mercados,

el Derecho de la Unión o la normativa nacional adoptada de conformidad con el Derecho

de la Unión pueden disponer que se conceda una compensación regulada por la puesta a

disposición de tipos de datos específicos.

PE-CONS 49/1/23 REV 1 45

# **ES**

(51) La transparencia es un principio importante para garantizar que la compensación solicitada

por un titular de datos sea razonable o, si el destinatario de datos es una pyme o una

organización de investigación sin ánimo de lucro, que la compensación no supere los

costes directamente relacionados con la puesta a disposición de los datos al destinatario de

datos y que sea atribuible a la solicitud individual de que se trate. A fin de que los

destinatarios de datos puedan evaluar y verificar que la compensación cumple los

requisitos del presente Reglamento, el titular de datos debe proporcionar al destinatario de

datos información con suficiente detalle para calcular la compensación.

(52) Garantizar el acceso a formas alternativas de resolución de litigios nacionales y

transfronterizos derivados de la puesta a disposición de los datos debe redundar en

beneficio de los titulares y destinatarios de datos y, por lo tanto, reforzar la confianza en el

intercambio de datos. Cuando las partes no puedan acordar unas condiciones justas,

razonables y no discriminatorias para la puesta a disposición de los datos, los órganos de

resolución de litigios deben ofrecer a las partes una solución sencilla, rápida y económica.

Si bien el presente Reglamento solo establece las condiciones que deben cumplir los

órganos de resolución de litigios para ser certificados, los Estados miembros son libres de

adoptar cualquier norma específica para el procedimiento de certificación, incluida, la

expiración o revocación de la certificación. Las disposiciones del presente Reglamento

relativas a la resolución de litigios no deben obligar a los Estados miembros a crear

órganos de resolución de litigios.

(53) El procedimiento de resolución de litigios en virtud del presente Reglamento es un

procedimiento voluntario que permite a los usuarios, titulares de datos y destinatarios de

datos acordar someter sus litigios a los órganos de resolución de litigios. Por lo tanto, las

partes deben tener libertad para dirigirse a un órgano de resolución de litigios de su

elección, ya sea dentro o fuera de los Estados miembros en los que estén establecidas.

PE-CONS 49/1/23 REV 1 46

# **ES**

(54) A fin de evitar casos de recurso a dos o más órganos de resolución de litigios para un

mismo litigio, en particular en una situación transfronteriza, un órgano de resolución de

litigios debe poder rechazar la tramitación de una solicitud de resolución de un litigio que

ya se haya presentado ante otro órgano de resolución de litigios o ante un órgano

jurisdiccional de un Estado miembro.

(55) A fin de garantizar la aplicación uniforme del presente Reglamento, los órganos de

resolución de litigios deben tener en cuenta las cláusulas contractuales tipo no vinculantes

que debe elaborar y recomendar la Comisión, así como las disposiciones de Derecho de la

Unión o nacional que especifiquen las obligaciones de intercambio de datos o las

directrices emitidas por las autoridades sectoriales para la aplicación de dichas

disposiciones de Derecho.

(56) No debe impedirse que las partes en los procedimientos de resolución de litigios ejerzan su

derecho fundamental a la tutela judicial efectiva y a un juez imparcial. Por consiguiente, la

decisión de someter un litigio a un órgano de resolución de litigios no debe privar a dichas

partes de su derecho a recurrir ante un órgano jurisdiccional de un Estado miembro. Los

órganos de resolución de litigios deben poner a disposición del público informes anuales

de actividad.

PE-CONS 49/1/23 REV 1 47

# **ES**

(57) Los titulares de datos pueden aplicar medidas técnicas de protección adecuadas para evitar

la divulgación y el acceso ilícitos a los datos. Sin embargo, estas medidas no deben

discriminar entre destinatarios de datos ni obstaculizar el acceso o la utilización de los

datos por los usuarios o destinatarios de datos. En caso de prácticas abusivas por parte de

un destinatario de datos, como inducir a error al titular de datos proporcionando

información falsa con la intención de utilizar los datos con fines ilícitos, incluido el

desarrollo de un producto conectado competidor sobre la base de los datos, el titular de

datos y, cuando proceda y no sean la misma persona, el poseedor del secreto comercial o el

usuario pueden solicitar al tercero o al destinatario de los datos que aplique medidas

correctoras o de reparación sin demora indebida. Toda solicitud de este tipo, y en particular

las solicitudes de poner fin a la producción, la oferta o la introducción en el mercado de

bienes, datos derivados o servicios, así como las destinadas a poner fin a la importación, la

exportación o el almacenamiento de mercancías infractoras o a su destrucción, deben

evaluarse a la luz de su proporcionalidad en relación con los intereses del titular de datos,

del poseedor del secreto comercial o del usuario.

(58) Cuando una de las partes se encuentra en una posición negociadora más fuerte, existe el

riesgo de que pueda aprovecharla en detrimento de la otra parte contratante a la hora de

negociar el acceso a los datos, con el resultado de que dicho acceso sea menos viable desde

el punto de vista comercial y, a veces, económicamente prohibitivo. Estos desequilibrios

contractuales perjudican a todas las empresas que no cuentan con una capacidad

significativa de negociar las condiciones de acceso a los datos, y que podrían no tener otra

opción que aceptar cláusulas contractuales de tipo «lo tomas o lo dejas». Por lo tanto, las

cláusulas contractuales abusivas que regulen el acceso a los datos y su utilización, o la

responsabilidad y los recursos en caso de incumplimiento o resolución unilateral de

obligaciones relacionadas con los datos, no deben ser vinculantes para las empresas cuando

dichas condiciones se les hayan impuesto unilateralmente.

PE-CONS 49/1/23 REV 1 48

# **ES**

(59) Las normas sobre cláusulas contractuales deben tener en cuenta el principio de libertad

contractual como concepto esencial en las relaciones entre empresas. Por lo tanto, no todas

las cláusulas contractuales deben someterse a un control del carácter abusivo, sino

únicamente las impuestas unilateralmente. Se trata de situaciones del tipo «lo tomas o lo

dejas» en las que una parte presenta una determinada cláusula contractual y la otra no

puede influir en el contenido de dicha cláusula pese a haber intentado negociarla. Una

cláusula contractual que sea planteada simplemente por una de las partes y aceptada por la

otra empresa, o una cláusula que se negocie y posteriormente se acuerde de forma

modificada entre las partes contratantes no debe considerarse que se haya impuesto

unilateralmente.

(60) Además, las normas sobre cláusulas contractuales abusivas deben aplicarse solo a aquellos

elementos de un contrato que estén relacionados con la puesta a disposición de datos, es

decir, las cláusulas contractuales relativas al acceso a los datos y a su utilización, así como

a la responsabilidad o los recursos por incumplimiento y resolución unilateral de las

obligaciones relacionadas con los datos. Las secciones del mismo contrato que no guarden

relación con la puesta a disposición de datos no deben estar sujetas al control del carácter

abusivo establecido en el presente Reglamento.

PE-CONS 49/1/23 REV 1 49

# **ES**

(61) Los criterios para determinar las cláusulas contractuales abusivas solo deben aplicarse a

cláusulas contractuales excesivas cuando se abuse de una posición negociadora más fuerte.

La gran mayoría de las cláusulas contractuales que son comercialmente más favorables

para una parte que para la otra, incluidas las que son habituales en los contratos entre

empresas, constituyen una expresión normal del principio de libertad contractual y siguen

siendo aplicables. A efectos del presente Reglamento, desviarse manifiestamente de las

buenas prácticas comerciales incluiría, entre otras cosas, el menoscabo objetivo de la

capacidad de la parte a la que se haya impuesto unilateralmente la cláusula para proteger su

interés comercial legítimo en los datos en cuestión.

(62) A fin de garantizar la seguridad jurídica, el presente Reglamento establece una lista de

cláusulas que siempre se consideran abusivas y una lista de cláusulas que se presumen

abusivas. En este último caso, la empresa que impone la cláusula contractual debe poder

refutar la presunción de abuso demostrando que la cláusula contractual enumerada en el

presente Reglamento no es abusiva en el caso concreto de que se trate. Si una cláusula

contractual no está incluida en la lista de cláusulas que siempre se consideran abusivas o

que se presumen abusivas, se aplica la disposición general relativa al carácter abusivo. A

este respecto, las cláusulas contractuales enumeradas como abusivas en el presente

Reglamento deben servir como referencia para interpretar la disposición general relativa al

carácter abusivo. Por último, las cláusulas contractuales tipo no vinculantes para los

contratos de intercambio de datos entre empresas, que la Comisión debe desarrollar y

recomendar, también pueden ser útiles para las partes comerciales a la hora de negociar

contratos. Si una cláusula contractual se declara abusiva, el contrato de que se trate debe

seguir aplicándose sin ella, a menos que la cláusula contractual abusiva no sea separable de

las demás cláusulas del contrato.

PE-CONS 49/1/23 REV 1 50

# **ES**

(63) En situaciones de necesidad excepcional, puede ser necesario que los organismos del

sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión

utilicen en el ejercicio de sus funciones legales de interés público los datos existentes,

incluidos, cuando proceda, los metadatos de acompañamiento, para responder a

emergencias públicas o en otros casos excepcionales. Las necesidades excepcionales son

circunstancias imprevisibles y limitadas en el tiempo, a diferencia de otras circunstancias

que podrían planificarse, programarse, ser periódicas o frecuentes. Aunque el concepto de

«titular de datos» generalmente no incluye a los organismos del sector público, puede

incluir a las empresas públicas. Las organizaciones que realizan actividades de

investigación y las organizaciones que financian la investigación también se pueden

organizar como organismos del sector público u organismos de Derecho público. A fin de

limitar la carga para las empresas, las microempresas y las pequeñas empresas solo deben

estar obligadas a proporcionar datos a los organismos del sector público, a la Comisión, al

Banco Central Europeo o a los organismos de la Unión en situaciones de necesidad

excepcional en las que se necesiten dichos datos para responder a una emergencia pública

y los organismos del sector público, la Comisión, el Banco Central Europeo o los

organismos de la Unión no puedan obtener tales datos por otros medios en tiempo

oportuno y de manera efectiva en condiciones equivalentes.

PE-CONS 49/1/23 REV 1 51

# **ES**

(64) En caso de emergencia pública, ya sea una emergencia de salud pública, una emergencia

derivada de una catástrofe natural (incluidas las agravadas por el cambio climático y la

degradación del medio ambiente) o una catástrofe grave provocada por el ser humano,

como un incidente grave de ciberseguridad, el interés público resultante de la utilización de

los datos prevalecerá sobre el interés de los titulares de datos de disponer libremente de los

datos que obran en su poder. En tal caso, los titulares de datos deben estar obligados a

poner los datos a disposición de los organismos del sector público, la Comisión, el Banco

Central Europeo o los organismos de la Unión que así lo requieran. La existencia de una

emergencia pública debe determinarse o declararse con arreglo al Derecho de la Unión o

nacional y sobre la base de los procedimientos pertinentes, incluidos los de las

organizaciones internacionales pertinentes. En tales casos, el organismo del sector público

debe demostrar que los datos incluidos en el ámbito de la solicitud no podrían obtenerse de

otro modo de manera oportuna y eficaz y en condiciones equivalentes, por ejemplo,

mediante el suministro voluntario de datos por otra empresa o la consulta de una base de

datos pública.

PE-CONS 49/1/23 REV 1 52

# **ES**

(65) También puede surgir una necesidad excepcional en situaciones en las que no existe

emergencia alguna. En tales casos, un organismo del sector público, la Comisión, el Banco

Central Europeo o un organismo de la Unión solo debe poder solicitar datos no personales.

El organismo del sector público debe demostrar que los datos son necesarios para la

realización de alguna tarea específica desempeñada en interés público que haya sido

expresamente prevista por la ley, como la elaboración de estadísticas oficiales o la

mitigación o recuperación de una emergencia pública. Además, dicha solicitud solo puede

hacerse cuando el organismo del sector público, la Comisión, el Banco Central Europeo o

un organismo de la Unión haya determinado unos datos específicos que de otro modo no

podrían obtenerse de manera oportuna y efectiva y en condiciones equivalentes, y solo si

ha agotado todos los demás medios a su disposición para obtener dichos datos, como la

obtención de datos mediante acuerdos voluntarios, incluida la compraventa de datos no

personales en el mercado mediante la oferta de tarifas de mercado, o el apoyo en las

obligaciones existentes de poner datos a disposición o la adopción de nuevas medidas

legislativas que puedan garantizar la disponibilidad oportuna de los datos. También deben

aplicarse las condiciones y principios aplicables a las solicitudes, como las relacionadas

con la limitación de la finalidad, la proporcionalidad, la transparencia y la limitación

temporal. En los casos de solicitudes de datos necesarios para la elaboración de estadísticas

oficiales, el organismo del sector público solicitante también debe demostrar si el Derecho

nacional le permite comprar datos no personales en el mercado.

PE-CONS 49/1/23 REV 1 53

# **ES**

(66) El presente Reglamento no debe aplicarse ni prejuzgar los acuerdos voluntarios para el

intercambio de datos entre entidades públicas y privadas, incluido el suministro de datos

por parte de las pymes, y se entiende sin perjuicio de los actos jurídicos de la Unión que

prevén solicitudes de información obligatorias de entidades públicas a entidades privadas.

El presente Reglamento no debe afectar a las obligaciones impuestas a los titulares de

datos de proporcionar datos con motivo de necesidades de carácter no excepcional, en

particular, cuando se conozca la gama de datos y de titulares de datos o cuando la

utilización de los datos pueda tener lugar periódicamente, como en el caso de las

obligaciones de información y las obligaciones en el mercado interior. Los requisitos de

acceso a los datos para verificar el cumplimiento de las normas aplicables, incluso en los

casos en que los organismos del sector público asignen la tarea de verificación del

cumplimiento a entidades que no sean organismos del sector público, tampoco deben verse

afectados por el presente Reglamento.

(67) El presente Reglamento complementa y se entiende sin perjuicio del Derecho de la Unión

y nacional que establezca el acceso a los datos y habilite la utilización de estos con fines

estadísticos, en particular, el Reglamento (CE) n.º 223/2009 del Parlamento Europeo y del

Consejo **[1]**, así como los actos jurídicos nacionales relativos a las estadísticas oficiales.

(68) Para el ejercicio de sus funciones en los ámbitos de la prevención, la investigación, la

detección o el enjuiciamiento de infracciones penales o administrativas, la ejecución de

sanciones penales o administrativas, así como la recopilación de datos con fines fiscales o

aduaneros, los organismos del sector público, la Comisión, el Banco Central Europeo o los

organismos de la Unión deben basarse en sus competencias en virtud del Derecho de la

Unión o nacional. Por consiguiente, el presente Reglamento no afecta a los actos

legislativos relativos al intercambio, el acceso y la utilización de datos en dichos ámbitos.

**1** Reglamento (CE) n.º 223/2009 del Parlamento Europeo y del Consejo, de 11 de marzo
de 2009, relativo a la estadística europea y por el que se deroga el Reglamento (CE,
Euratom) n.º 1101/2008 relativo a la transmisión a la Oficina Estadística de las
Comunidades Europeas de las informaciones amparadas por el secreto estadístico, el
Reglamento (CE) n.º 322/97 del Consejo sobre la estadística comunitaria y la
Decisión 89/382/CEE, Euratom del Consejo por la que se crea un Comité del programa
estadístico de las Comunidades Europeas (DO L 87 de 31.3.2009, p. 164).

PE-CONS 49/1/23 REV 1 54

# **ES**

(69) De conformidad con el artículo 6, apartados 1 y 3, del Reglamento (UE) 2016/679, al

establecer la base jurídica es necesario un marco proporcionado, limitado y predecible a

escala de la Unión para que, en caso de necesidades excepcionales, los titulares de datos

pongan los datos a disposición de los organismos del sector público, la Comisión, el Banco

Central Europeo o los organismos de la Unión, tanto para garantizar la seguridad jurídica

como para minimizar las cargas administrativas que recaen sobre las empresas. A tal fin,

las solicitudes de datos procedentes de organismos del sector público, la Comisión, el

Banco Central Europeo u organismos de la Unión y destinadas a los titulares de datos

deben ser específicas, transparentes y proporcionadas en el alcance de su contenido y su

granularidad. La finalidad de la solicitud y la utilización prevista de los datos solicitados

deben ser específicas y explicarse claramente, y permitir al mismo tiempo la flexibilidad

necesaria para que la entidad solicitante desempeñe sus tareas específicas en aras del

interés público. La solicitud también debe respetar los intereses legítimos del titular de

datos al que se dirige. La carga para los titulares de datos debe reducirse al mínimo

obligando a las entidades solicitantes a respetar el principio de «solo una vez», que impide

que los mismos datos sean solicitados más de una vez por más de un organismo del sector

público o la Comisión, el Banco Central Europeo o los organismos de la Unión. Para

garantizar la transparencia, las solicitudes de datos presentadas por la Comisión, el Banco

Central Europeo o los organismos de la Unión deben hacerse públicas sin demora indebida

por la entidad que solicita los datos. El Banco Central Europeo y los organismos de la

Unión deben informar a la Comisión de sus solicitudes. Si la solicitud de datos la presenta

un organismo público, este también debe notificar al coordinador de datos del Estado

miembro en el que esté establecido el organismo del sector público. Debe garantizarse la

disponibilidad pública en línea de todas las solicitudes. Una vez recibida una notificación

de solicitud de datos, la autoridad competente podrá decidir evaluar la legalidad de la

solicitud y ejercer sus funciones en relación con el cumplimiento y la aplicación del

presente Reglamento. El coordinador de datos debe garantizar la disponibilidad pública en

línea de todas las solicitudes presentadas por organismos del sector público.

PE-CONS 49/1/23 REV 1 55

# **ES**

(70) El objetivo de la obligación de proporcionar los datos es garantizar que los organismos del

sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión

tengan los conocimientos necesarios para responder a emergencias públicas, prevenirlas o

recuperarse de ellas, o para mantener la capacidad de realizar tareas específicas

expresamente previstas por la ley. Los datos obtenidos por dichas entidades pueden ser

sensibles desde el punto de vista comercial. Por consiguiente, ni el Reglamento

(UE) 2022/868 ni la Directiva (UE) 2019/1024 del Parlamento Europeo y del Consejo **[1]**

deben aplicarse a los datos puestos a disposición en virtud del presente Reglamento, y no

deben considerarse datos abiertos disponibles para su reutilización por terceros. No

obstante, esto no debe afectar a la aplicabilidad de la Directiva (UE) 2019/1024 en lo que

se refiere a la reutilización de las estadísticas oficiales para cuya elaboración se hayan

utilizado datos obtenidos con arreglo al presente Reglamento, siempre que dicha

reutilización no incluya los datos subyacentes. Además, siempre que se cumplan las

condiciones establecidas en el presente Reglamento, no debe resultar afectada la

posibilidad de compartir los datos para llevar a cabo investigaciones o para el desarrollo, la

elaboración y la difusión de estadísticas oficiales. Los organismos del sector público

también deben poder intercambiar los datos obtenidos en virtud del presente Reglamento

con otros organismos del sector público, la Comisión, el Banco Central Europeo o los

organismos de la Unión con el fin de hacer frente a las necesidades excepcionales para las

que se han solicitado los datos.

**1** Directiva (UE) 2019/1024 del Parlamento Europeo y del Consejo, de 20 de junio de 2019,
relativa a los datos abiertos y la reutilización de la información del sector público (DO L 172
de 26.6.2019, p. 56).

PE-CONS 49/1/23 REV 1 56

# **ES**

(71) Los titulares de datos deben tener la posibilidad de denegar una solicitud presentada por un

organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la

Unión o pedir su modificación sin demora indebida y, en cualquier caso, en un plazo de

cinco o treinta días hábiles, dependiendo del carácter de la necesidad excepcional invocada

en la solicitud. Cuando proceda, el titular de datos debe tener esa posibilidad cuando no

tenga control sobre los datos solicitados, es decir, cuando no tenga acceso inmediato a los

datos y no pueda determinar su disponibilidad. Debe existir una razón válida para no poner

los datos a disposición si puede demostrarse que la solicitud es similar a una solicitud

presentada previamente con el mismo fin por otro organismo del sector público o la

Comisión, el Banco Central Europeo o un organismo de la Unión y no se haya notificado

al titular de los datos la supresión de estos con arreglo al presente Reglamento. El titular de

datos que deniegue la solicitud o que pida su modificación debe comunicar la justificación

subyacente al organismo del sector público, la Comisión, el Banco Central Europeo o el

organismo de la Unión que solicite los datos. Cuando los derechos _sui generis_ sobre bases

de datos en virtud de la Directiva 96/9/CE del Parlamento Europeo y del Consejo **[1]** se

apliquen en relación con los conjuntos de datos solicitados, los titulares de datos deben

ejercer sus derechos de manera que no se impida al organismo del sector público, la

Comisión, el Banco Central Europeo o un organismo de la Unión obtener los datos o

intercambiarlos de conformidad con el presente Reglamento.

**1** Directiva 96/9/CE del Parlamento Europeo y del Consejo, de 11 de marzo de 1996, sobre la
protección jurídica de las bases de datos (DO L 77 de 27.3.1996, p. 20).

PE-CONS 49/1/23 REV 1 57

# **ES**

(72) Cuando se trate de una necesidad excepcional relacionada con una respuesta a emergencias

públicas, los organismos del sector público deben utilizar datos no personales siempre que

sea posible. En el caso de solicitudes basadas en una necesidad excepcional no relacionada

con una emergencia pública, no pueden solicitarse datos personales. Cuando el alcance de

la solicitud incluya datos personales, el titular de los datos debe anonimizarlos. Cuando sea

estrictamente necesario incluir datos personales en los datos que deban ponerse a

disposición de un organismo del sector público, la Comisión, el Banco Central Europeo o

el organismo de la Unión, o cuando la anonimización resulte imposible, la entidad que

solicite los datos debe demostrar la necesidad estricta y los fines específicos y limitados del

tratamiento. Deben cumplirse las normas aplicables en materia de protección de datos

personales. La puesta a disposición de los datos y su utilización posterior deben ir

acompañadas de garantías para los derechos e intereses de las personas afectadas por

dichos datos.

(73) Los datos puestos a disposición de los organismos del sector público, la Comisión, el

Banco Central Europeo o los organismos de la Unión sobre la base de una necesidad

excepcional deben utilizarse solo para los fines para los que se solicitaron, a menos que el

titular de datos que los haya puesto a disposición haya consentido expresamente que los

datos se utilicen para otros fines. Los datos deben suprimirse cuando ya no sean necesarios

para los fines indicados en la solicitud, a menos que se acuerde de otro modo, y debe

informarse al titular de datos al respecto. El presente Reglamento se basa en los regímenes

de acceso existentes en la Unión y en los Estados miembros y no modifica las

disposiciones de Derecho nacional en materia de acceso del público a los documentos en el

contexto de las obligaciones de transparencia. Los datos deben suprimirse cuando ya no

sean necesarios para cumplir dichas obligaciones de transparencia.

PE-CONS 49/1/23 REV 1 58

# **ES**

(74) Al reutilizar los datos proporcionados por los titulares de datos, los organismos del sector

público, la Comisión, el Banco Central Europeo o los organismos de la Unión deben

respetar tanto el vigente Derecho de la Unión o nacional aplicable, como las obligaciones

contractuales a las que esté sujeto el titular de datos. Deben abstenerse de desarrollar o

mejorar un producto conectado o servicio relacionado que compita con el producto

conectado o servicio relacionado del titular de datos, así como de compartir los datos con

un tercero para esos fines. Asimismo, deben dar reconocimiento público a los titulares de

datos a petición de estos y deben ser responsables de mantener la seguridad de los datos

recibidos. Cuando la revelación de secretos comerciales del titular de datos a organismos

del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión

sea estrictamente necesaria para cumplir el objetivo para el que se han solicitado los datos,

debe garantizarse la confidencialidad de dicha revelación antes de la divulgación de datos.

PE-CONS 49/1/23 REV 1 59

# **ES**

(75) Cuando esté en juego la salvaguardia de un bien público significativo, como en la

respuesta a emergencias públicas, no debe esperarse que el organismo del sector público, la

Comisión, el Banco Central Europeo o el organismo de la Unión de que se trate compensen

a las empresas por los datos obtenidos. Las emergencias públicas son acontecimientos

inusuales y no todas requieren la utilización de datos que obran en propiedad de las

empresas. Al mismo tiempo, la obligación de proporcionar datos podría suponer una carga

considerable para las microempresas y las pequeñas empresas. Por lo tanto, deben poder

reclamar una compensación incluso en el contexto de la respuesta a emergencias públicas.

Por tanto, no es probable que las actividades empresariales de los titulares de datos se vean

afectadas negativamente como consecuencia de que los organismos del sector público, la

Comisión, el Banco Central Europeo o los organismos de la Unión puedan acudir al

presente Reglamento. No obstante, en casos de necesidad excepcional distintos de los

casos de respuesta a emergencias públicas, que pueden ser más frecuentes, los titulares de

datos deben tener derecho a una compensación razonable que no debe superar los costes

técnicos y de organización en que se incurra para satisfacer la solicitud y el margen

razonable necesario para poner los datos a disposición del organismo del sector público, la

Comisión, el Banco Central Europeo o el organismo de la Unión. La compensación no

debe entenderse como un pago por los propios datos o como obligatoria. Los titulares de

datos no deben poder reclamar una compensación cuando el Derecho nacional impida a los

institutos nacionales de estadística u otras autoridades nacionales responsables de la

elaboración de estadísticas compensar a los titulares de datos por la puesta a disposición de

los datos. El organismo del sector público, la Comisión, el Banco Central Europeo o el

organismo de la Unión de que se trate debe poder impugnar el nivel de compensación

solicitado por el titular de datos sometiendo el asunto a la autoridad competente del Estado

miembro en el que esté establecido el titular de datos.

PE-CONS 49/1/23 REV 1 60

# **ES**

(76) Los organismos del sector público, la Comisión, el Banco Central Europeo o los

organismos de la Unión deben tener derecho a intercambiar los datos que hayan obtenido

en virtud de la solicitud con otras entidades o personas cuando ello sea necesario para

llevar a cabo actividades de investigación científica o actividades analíticas que no pueda

realizar por sí mismo, siempre y cuando esas actividades sean compatibles con los fines

para los que se solicitaron los datos. Debe informar oportunamente al titular de datos de

dicho intercambio. Estos datos también pueden intercambiarse en las mismas

circunstancias con los institutos nacionales de estadística y Eurostat para desarrollar,

elaborar y difundir estadísticas oficiales. No obstante, estas actividades de investigación

deben ser compatibles con la finalidad para la que se solicitaron los datos y el titular de

datos debe ser informado del ulterior intercambio de los datos que ha proporcionado. Las

personas físicas que lleven a cabo actividades de investigación o las organizaciones de

investigación con las que puedan compartirse esos datos deben actuar sin ánimo de lucro o

en el contexto de una misión de interés público reconocida por el Estado. Las

organizaciones en las que las empresas comerciales tengan una influencia importante, que

les permita ejercer un control debido a situaciones estructurales que podría dar lugar a un

acceso preferente a los resultados de la investigación, no deben considerarse

organizaciones de investigación a efectos del presente Reglamento.

PE-CONS 49/1/23 REV 1 61

# **ES**

(77) Para hacer frente a una emergencia pública transfronteriza u otra necesidad excepcional,

las solicitudes de datos pueden dirigirse a titulares de datos en Estados miembros distintos

del organismo del sector público solicitante. En tal caso, el organismo del sector público

solicitante debe notificarlo a la autoridad competente del Estado miembro en el que esté

establecido el titular de datos para que dicha autoridad pueda examinarla con arreglo a los

criterios establecidos en el presente Reglamento. Lo mismo debe aplicarse a las solicitudes

presentadas por la Comisión, el Banco Central Europeo o un organismo de la Unión.

Cuando se soliciten datos personales, el organismo del sector público debe notificarlo a la

autoridad de control responsable de supervisar la aplicación del Reglamento

(UE) 2016/679 en el Estado miembro en el que esté establecido el organismo del sector

público. La autoridad competente en cuestión debe estar facultada para asesorar al

organismo del sector público, a la Comisión, al Banco Central Europeo o al organismo de

la Unión para que cooperen con los organismos del sector público del Estado miembro en

el que esté establecido el titular de datos en relación con la necesidad de garantizar una

carga administrativa mínima para el titular de datos. Cuando la autoridad competente tenga

objeciones fundadas respecto de la conformidad de la solicitud con el presente

Reglamento, debe rechazar la solicitud del organismo del sector público, la Comisión, el

Banco Central Europeo o el organismo de la Unión, que deben tener en cuenta dichas

objeciones antes de iniciar cualquier acción adicional, incluido volver a presentar la

solicitud.

PE-CONS 49/1/23 REV 1 62

# **ES**

(78) La capacidad de los clientes de servicios de tratamiento de datos, incluidos los servicios en

la nube y en el borde, de cambiar de un servicio de tratamiento de datos a otro,

manteniendo al mismo tiempo una funcionalidad mínima del servicio y sin interrupción del

servicio, o de utilizar los servicios de varios proveedores simultáneamente sin trabas ni

costes indebidos de transferencia de datos, es una condición clave para lograr un mercado

más competitivo con menores barreras de entrada para los nuevos proveedores de servicios

de tratamiento de datos, y para garantizar una mayor resiliencia para los usuarios de estos

servicios. Los clientes que se beneficien de ofertas gratuitas también deben beneficiarse de

las disposiciones sobre cambio que se establecen en el presente Reglamento, de modo que

esas ofertas no den lugar a una situación de bloqueo para los clientes.

(79) El Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo **[1]** anima a los

proveedores de servicios de tratamiento de datos a que desarrollen y apliquen eficazmente

códigos de conducta autorreguladores que incluyan las mejores prácticas para, entre otras

cosas, facilitar el cambio de proveedor de servicios de tratamiento de datos y la

transferencia de datos. Dada la limitada aceptación de los marcos autorreguladores

desarrollados como respuesta y la falta general de disponibilidad de normas e interfaces

abiertas, es necesario adoptar un conjunto de obligaciones legales mínimas para los

proveedores de servicios de tratamiento de datos a fin de eliminar los obstáculos

precomerciales, comerciales, técnicos, contractuales y organizativos, que no se limitan a

reducir la velocidad de la transferencia de datos en la salida del cliente, lo que dificulta el

cambio efectivo de servicios de tratamiento de datos.

**1** Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo, de 14 de noviembre
de 2018, relativo a un marco para la libre circulación de datos no personales en la Unión
Europea (DO L 303 de 28.11.2018, p. 59).

PE-CONS 49/1/23 REV 1 63

# **ES**

(80) Los servicios de tratamiento de datos deben abarcar los servicios que permiten acceso de

red ubicuo y bajo demanda a un conjunto compartido, configurable, modulable y elástico

de recursos informáticos distribuidos. Esos recursos informáticos incluyen recursos tales

como las redes, los servidores u otras infraestructuras virtuales o físicas, software,

incluidas herramientas de desarrollo de software, almacenamiento, aplicaciones y

servicios. La capacidad del cliente del servicio de tratamiento de datos de autoabastecerse

unilateralmente de capacidades de computación, como, por ejemplo, tiempo de servidor o

almacenamiento en red, sin ninguna interacción humana por parte del proveedor de

servicios de tratamiento de datos podría describirse como que requiere un esfuerzo mínimo

de gestión y conlleva una interacción mínima entre el proveedor y el cliente. El término

«ubicuo» se utiliza para describir las capacidades de computación desplegadas en el

conjunto de la red y a las que se accede a través de mecanismos que promueven el uso de

plataformas de cliente ligero o pesado heterogéneas (desde navegadores a dispositivos

móviles y estaciones de trabajo). El término «modulable» se refiere a los recursos de

computación que el proveedor de servicios de tratamiento de datos puede asignar de

manera flexible con independencia de la localización geográfica de los recursos para hacer

frente a fluctuaciones de la demanda. El término «elástico» se usa para describir los

recursos informáticos que se movilizan y liberan según la demanda, de modo que se

puedan aumentar o reducir con rapidez los recursos disponibles en función de la carga de

trabajo. La expresión «conjunto compartido» se usa para describir recursos informáticos

que se proporcionan a múltiples usuarios que comparten un acceso común al servicio, pero

en el que el procesamiento se lleva a cabo por separado para cada usuario, aunque el

servicio se preste desde el mismo equipo electrónico. El término «distribuido» se emplea

para describir los recursos informáticos que se encuentran ubicados en distintos

ordenadores o dispositivos conectados en red y que se comunican y coordinan entre sí

intercambiando mensajes. El término «muy distribuido» se emplea para describir servicios

de tratamiento de datos que implican tratar los datos más cerca del punto en que los datos

se generan o recogen, por ejemplo, en un dispositivo de tratamiento de datos conectado.

Está previsto que la computación en el borde, que es un ejemplo de este tipo de tratamiento

de datos muy distribuido, genere nuevos modelos de negocio y de prestación de servicios

de computación en nube, que deben ser abiertos e interoperables desde el principio.

PE-CONS 49/1/23 REV 1 64

# **ES**

(81) El concepto genérico de «servicios de tratamiento de datos» abarca un número

considerable de servicios con una gama muy amplia de fines, funcionalidades y estructuras

técnicas diferentes. Como generalmente entienden los proveedores y usuarios, y en

consonancia con unas normas ampliamente utilizadas, los servicios de tratamiento de datos

entran en uno o varios de los tres modelos de prestación de servicios de tratamiento de

datos siguientes, a saber, infraestructura como servicio (IaaS, por sus siglas en inglés),

plataforma como servicio (PaaS, por sus siglas en inglés) y software como servicio (SaaS,

por sus siglas en inglés). Estos modelos de prestación de servicios representan una

combinación específica y preestablecida de recursos informáticos ofrecidos por un

proveedor de servicios de tratamiento de datos. Esos tres modelos fundamentales de

prestación de servicios de tratamiento de datos se complementan con variaciones

emergentes, cada una de las cuales consta de una combinación distinta de recursos

informáticos, como, por ejemplo, almacenamiento como servicio y base de datos como

servicio. Los servicios de tratamiento de datos pueden clasificarse de un modo más

detallado y dividirse en una lista no exhaustiva de conjuntos de servicios de tratamiento de

datos que comparten el mismo objetivo principal y las mismas funcionalidades principales,

así como el mismo tipo de modelos de tratamiento de datos, que no están relacionados con

las características operativas del servicio (en lo sucesivo, «mismo tipo de servicio»). Los

servicios incluidos en el mismo tipo de servicio pueden compartir el mismo modelo de

prestación de servicio de tratamiento de datos; sin embargo, puede parecer que dos bases

de datos comparten el mismo objetivo principal, pero, tras considerar su modelo de

tratamiento de datos, su modelo de distribución y los casos de utilización a los que se

dirigen, dichas bases de datos podrían entrar en una subcategoría más detallada de

servicios similares. Los servicios del mismo tipo de servicio pueden tener características

diferentes y competidoras, como el rendimiento, la seguridad, la resistencia y la calidad del

servicio.

PE-CONS 49/1/23 REV 1 65

# **ES**

(82) Socavar la extracción de los datos exportables que pertenecen al cliente del proveedor de

servicios de tratamiento de datos de origen puede impedir el restablecimiento de las

funcionalidades del servicio en la infraestructura del proveedor de destino de los servicios

de tratamiento de datos. Con el fin de facilitar la estrategia de salida del cliente, evitar

tareas innecesarias y gravosas, y garantizar que el cliente no pierda ninguno de sus datos

como consecuencia del proceso de cambio, el proveedor de servicios de tratamiento de

datos de origen debe informar al cliente previamente del alcance de los datos que puede

exportar una vez que el cliente decida cambiar a otro servicio prestado por un proveedor de

servicios de tratamiento de datos diferente o a una infraestructura de TIC local. El alcance

de los datos exportables debe incluir, como mínimo, los datos de entrada y salida, incluidos

los metadatos, generados directa o indirectamente, o cogenerados por el uso del servicio de

tratamiento de datos por el cliente, excluidos cualquier activo o dato del proveedor de

servicios de tratamiento de datos o de un tercero. Los datos exportables deben excluir

cualquier activo o dato del proveedor de servicios de tratamiento de datos o del tercero,

que esté protegido por derechos de propiedad intelectual o constituya secreto comercial de

dicho proveedor o tercero, o datos relacionados con la integridad y seguridad del servicio,

cuya exportación exponga al proveedor de servicios de tratamiento de datos a

vulnerabilidades de ciberseguridad. Estas exclusiones no deben impedir ni retrasar el

proceso de cambio.

PE-CONS 49/1/23 REV 1 66

# **ES**

(83) Los activos digitales se refieren a elementos en forma digital para los que el cliente tiene

derecho de uso, incluidas las aplicaciones y metadatos relacionados con la configuración

de los ajustes, la seguridad y la gestión de los derechos de acceso y control, y otros

elementos como las manifestaciones de tecnologías de virtualización, incluidas las

máquinas y los contenedores virtuales. Los activos digitales pueden transferirse cuando el

cliente tenga derecho de uso independiente de la relación contractual con el servicio de

tratamiento de datos del que se propone cambiar. Esos otros elementos son esenciales para

la utilización eficaz de los datos y aplicaciones del cliente en el entorno del proveedor de

servicios de tratamiento de datos de destino.

(84) El objetivo del presente Reglamento es facilitar el cambio de servicios de tratamiento de

datos, que englobe las condiciones y acciones que son necesarias para que un cliente

resuelva unilateralmente un contrato de servicio de tratamiento de datos, celebre uno o

varios contratos nuevos con diferentes proveedores de servicios de tratamiento de datos y

transmita sus datos exportables y activos digitales, y, en su caso, el beneficio de la

equivalencia funcional.

PE-CONS 49/1/23 REV 1 67

# **ES**

(85) El proceso de cambio es una operación impulsada por el cliente que consta de varias fases,

incluida la extracción de datos, relativo a la descarga de datos desde el ecosistema del

proveedor de servicios de tratamiento de datos de origen; la transformación, cuando los

datos se estructuran de modo que no se ajustan al esquema de la ubicación de destino; y la

carga de los datos en una nueva ubicación de destino. En una situación específica descrita

en el presente Reglamento, la desagregación de un servicio concreto del contrato y su

traslado a un proveedor diferente también debe considerarse un cambio. En ocasiones, una

entidad tercera gestiona el proceso de cambio en nombre del cliente. En consecuencia,

debe entenderse que todos los derechos y obligaciones del cliente establecidos por el

presente Reglamento, incluida la obligación de cooperar de buena fe, se aplican a dicha

entidad tercera en estas circunstancias. Los proveedores de servicios de tratamiento de

datos y los clientes tienen distintos niveles de responsabilidad, en función de las fases del

proceso mencionado. Por ejemplo, el proveedor de servicios de tratamiento de datos de

origen es responsable de extraer los datos a un formato de lectura mecánica, pero son el

cliente y el proveedor de servicios de tratamiento de datos de destino quienes deben cargar

los datos en el nuevo entorno, a menos que se haya obtenido un servicio profesional de

transición específico. Un cliente que tenga la intención de ejercer los derechos

relacionados con el cambio, previstos en el presente Reglamento, debe informar al

proveedor de servicios de tratamiento de datos de origen de la decisión de cambiar a un

proveedor de servicios de tratamiento de datos diferente, de cambiar a una infraestructura

de TIC local o de suprimir los activos y los datos exportables de dicho cliente.

PE-CONS 49/1/23 REV 1 68

# **ES**

(86) Por equivalencia funcional se entiende restablecer, sobre la base de los datos exportables y

los activos digitales del cliente, un nivel mínimo de funcionalidad en el entorno de un

nuevo servicio de tratamiento de datos del mismo tipo de servicio después del cambio,

cuando el servicio de tratamiento de datos de destino ofrezca un resultado materialmente

comparable en respuesta a la misma entrada para características compartidas suministrada

al cliente en virtud del contrato. Solo cabe esperar que los proveedores de servicios de

tratamiento de datos faciliten la equivalencia funcional de las características que los

servicios de tratamiento de datos de origen y de destino ofrecen de forma independiente. El

presente Reglamento no constituye una obligación de facilitar la equivalencia funcional

para los proveedores de servicios de tratamiento de datos distintos de los que ofrecen

servicios del modelo de prestación IaaS.

(87) Los servicios de tratamiento de datos se utilizan en todos los sectores y varían en cuanto a

complejidad y tipo de servicio. Esta es una consideración importante con respecto al

proceso y a los plazos de transferencia. No obstante, debe poder aplicarse una prórroga del

período transitorio por motivos de inviabilidad técnica para permitir la finalización del

proceso de cambio en el plazo establecido solo en casos debidamente justificados. La carga

de la prueba a este respecto debe recaer plenamente en el proveedor del servicio de

tratamiento de datos de que se trate. Esto se entiende sin perjuicio del derecho exclusivo

del cliente a prorrogar el período transitorio una vez por un período que el cliente

considere más adecuado para sus propios fines. El cliente puede invocar ese derecho a una

prórroga antes del período transitorio o durante este, teniendo en cuenta que el contrato

sigue siendo aplicable durante el período transitorio.

PE-CONS 49/1/23 REV 1 69

# **ES**

(88) Los costes por cambio son costes añadidos que exigen los proveedores de tratamiento de

datos a sus clientes por el proceso de cambio. Normalmente, estos costes tienen como fin

repercutir en el cliente que desee efectuar un cambio los costes en los que pueda incurrir el

proveedor de servicios de tratamiento de datos de origen debido al proceso de cambio.

Entre los costes por cambio se encuentran los costes relativos al tránsito de los datos de un

proveedor de servicios de tratamiento de datos a otro, o hacia un sistema de infraestructura

de TIC local (en lo sucesivo, «costes de salida de datos»), o los costes incurridos en

acciones de apoyo específicas durante el proceso de cambio. Los costes de salida de datos

innecesariamente elevados y otros costes injustificados que no estén relacionados con los

costes reales del cambio disuaden a los clientes de cambiar, restringen la libre circulación

de datos y pueden limitar la competencia y provocar efectos de bloqueo para los clientes,

reduciendo los incentivos para elegir un proveedor de servicios diferente o adicional. Por

lo tanto, deben suprimirse los costes por cambio tres años después de la fecha de entrada

en vigor del presente Reglamento. Los proveedores de servicios de tratamiento de datos

deben poder imponer costes por cambio reducidos hasta esa fecha.

PE-CONS 49/1/23 REV 1 70

# **ES**

(89) El proveedor de servicios de tratamiento de datos de origen debe poder externalizar

determinadas tareas y compensar a entidades terceras con el fin de cumplir las obligaciones

establecidas en el presente Reglamento. Un cliente no debe asumir los costes derivados de

la externalización de servicios contratada por el proveedor de servicios de tratamiento de

datos de origen durante el proceso de cambio, y dichos costes deben considerarse

injustificados, a menos que cubran el trabajo realizado por el proveedor de servicios de

tratamiento de datos, a petición del cliente, de apoyo adicional en el proceso de cambio que

vayan más allá de las obligaciones que el presente Reglamento impone expresamente al

proveedor en razón de un cambio. Nada de lo dispuesto en el presente Reglamento impide

que un cliente compense a entidades terceras por el apoyo en el proceso de migración, ni

que las partes acuerden contratos para servicios de tratamiento de datos de duración

determinada, incluidas sanciones proporcionadas por resolución anticipada para cubrir la

resolución unilateral anticipada de dichos contratos, de conformidad con el Derecho de la

Unión o nacional. Para fomentar la competencia, la supresión gradual de los costes

asociados al cambio entre distintos proveedores de servicio de tratamiento de datos debe

incluir específicamente los costes de salida de datos impuestos por un proveedor de

servicios de tratamiento de datos a un cliente. Los costes estándar del servicio por la

prestación de los servicios de tratamiento de datos en sí mismos no constituyen costes por

cambio. Esos costes estándar del servicio no pueden ser suprimidos y siguen siendo

aplicables hasta que deje de aplicarse el contrato de prestación de los servicios pertinentes.

El presente Reglamento permite al cliente solicitar la prestación de servicios adicionales

que vayan más allá de las obligaciones que el presente Reglamento impone al proveedor en

razón de un cambio. Esos servicios adicionales pueden ser prestados y facturados por el

proveedor cuando se presten a petición del cliente y este acepte por adelantado el precio de

dichos servicios.

PE-CONS 49/1/23 REV 1 71

# **ES**

(90) Hace falta un enfoque regulador para la interoperabilidad que sea ambicioso y que inspire

la innovación para superar la dependencia de un solo proveedor, que obstaculiza la

competencia y el desarrollo de nuevos servicios. La interoperabilidad entre servicios de

tratamiento de datos implica múltiples interfaces y niveles de infraestructuras y programas

informáticos, y rara vez se limita a una prueba binaria de si se puede lograr o no. Por el

contrario, la construcción de dicha interoperabilidad está sujeta a un análisis de costes y

beneficios que es necesario para determinar si vale la pena perseguir resultados

razonablemente previsibles. La norma ISO/IEC 19941:2017 es una importante norma

internacional que constituye una referencia importante para la consecución de los objetivos

del presente Reglamento, ya que contiene consideraciones técnicas que aclaran la

complejidad de dicho proceso.

(91) Cuando los proveedores de servicios de tratamiento de datos sean a su vez clientes de

servicios de tratamiento de datos prestados por un tercer proveedor, ellos mismos se

beneficiarán de cambios más efectivos, aunque sigan vinculados por las obligaciones del

presente Reglamento en lo relativo a sus propias ofertas de servicios.

PE-CONS 49/1/23 REV 1 72

# **ES**

(92) Los proveedores de servicios de tratamiento de datos deben estar obligados a ofrecer toda

la asistencia y el apoyo, dentro de su capacidad y en proporción a sus respectivas

obligaciones, que se requiere para que el proceso de cambio a un servicio de otro

proveedor de servicios de tratamiento de datos sea satisfactorio, eficaz y seguro. El

presente Reglamento no exige a los proveedores de servicios de tratamiento de datos que

desarrollen nuevas categorías de servicios de tratamiento de datos, tampoco en el marco o

sobre la base de la infraestructura informática de diferentes proveedores de servicios de

tratamiento de datos con objeto de garantizar la equivalencia funcional en un entorno

distinto del de sus propios sistemas. Un proveedor de servicios de tratamiento de datos de

origen no tiene acceso ni información sobre el entorno del proveedor de servicios de

tratamiento de datos de destino. No debe entenderse que la equivalencia funcional obliga al

proveedor de servicios de tratamiento de datos de origen a reconstruir el servicio en

cuestión dentro de la infraestructura del proveedor de servicios de tratamiento de datos de

destino. En cambio, el proveedor de servicios de tratamiento de datos de origen debe

adoptar todas las medidas razonables a su alcance para facilitar el proceso de lograr la

equivalencia funcional proporcionando capacidades, información adecuada,

documentación, apoyo técnico y, en su caso, las herramientas necesarias.

PE-CONS 49/1/23 REV 1 73

# **ES**

(93) También debe exigirse a los proveedores de servicios de tratamiento de datos que eliminen

los obstáculos existentes y no impongan otros nuevos, también para los clientes que deseen

cambiar a una infraestructura de TIC local. Los obstáculos pueden ser, entre otros, de

carácter precomercial, comercial, técnico, contractual u organizativo. Los proveedores de

servicios de tratamiento de datos también deben estar obligados a eliminar los obstáculos a

la desagregación de un servicio concreto de otros servicios de tratamiento de datos

prestados en virtud de un contrato y a poner el servicio pertinente a disposición para el

cambio, cuando no existan obstáculos técnicos importantes y demostrados que impidan

dicha separación.

(94) A lo largo de todo el proceso de cambio debe mantenerse un alto nivel de seguridad. Esto

significa que el proveedor de servicios de tratamiento de datos de origen debe ampliar el

nivel de seguridad al que se comprometió para el servicio a todas las modalidades técnicas

de las que dicho proveedor es responsable durante el proceso de cambio, como las

conexiones de red o los dispositivos físicos. Los derechos existentes en relación con la

resolución unilateral de los contratos, incluidos los introducidos por el Reglamento

(UE) 2016/679 y la Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo **[1]** no

deben verse afectados. El presente Reglamento no debe entenderse como que impide a los

proveedores de servicios de tratamiento de datos prestar o proporcionar a sus clientes

servicios, características y funcionalidades nuevos y mejorados o competir con otros

proveedores de servicios de tratamiento de datos sobre esa base.

**1** Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019,
relativa a determinados aspectos de los contratos de suministro de contenidos y servicios
digitales (DO L 136 de 22.5.2019, p. 1).

PE-CONS 49/1/23 REV 1 74

# **ES**

(95) La información que han de proporcionar los proveedores de servicios de tratamiento de

datos a los clientes podría apoyar la estrategia de salida del cliente. Dicha información

debe incluir procedimientos para iniciar el cambio del servicio de tratamiento de datos; los

formatos de datos de lectura mecánica a los que pueden exportarse los datos del usuario;

las herramientas destinadas a exportar datos, incluidas las interfaces abiertas, así como la

información sobre compatibilidad con normas armonizadas o especificaciones comunes

basadas en especificaciones de interoperabilidad abierta; información sobre las

restricciones y limitaciones técnicas conocidas que podrían afectar al proceso de cambio; y

el tiempo estimado necesario para completar el proceso de cambio.

(96) Para facilitar la interoperabilidad y el cambio entre servicios de tratamiento de datos, los

usuarios y proveedores de servicios de tratamiento de datos deben considerar el uso de

herramientas de ejecución y cumplimiento, en particular las publicadas por la Comisión en

forma de un código normativo de la UE sobre computación en la nube y unas directrices

sobre contratación pública de servicios de tratamiento de datos. En particular, las cláusulas

contractuales estándar son beneficiosas porque incrementan la confianza en los servicios

de tratamiento de datos, crean una relación más equilibrada entre usuarios y proveedores

de servicios de tratamiento de datos y mejoran la seguridad jurídica sobre las condiciones

aplicables para el cambio a otros servicios de tratamiento de datos. En ese contexto, los

usuarios y proveedores de servicios de tratamiento de datos deben considerar el uso de

cláusulas contractuales estándar u otras herramientas autorreguladoras de cumplimiento,

siempre que cumplan el presente Reglamento, desarrolladas por los organismos o grupos

de expertos pertinentes establecidos en virtud del Derecho de la Unión.

PE-CONS 49/1/23 REV 1 75

# **ES**

(97) Con el fin de facilitar el cambio entre servicios de tratamiento de datos, todas las partes

implicadas, incluidos los proveedores de servicios de tratamiento de datos, tanto de origen

como de destino, deben cooperar de buena fe para que el proceso de cambio se haga

efectivo, permitir la transferencia segura y oportuna de los datos necesarios en un formato

de utilización habitual, de lectura mecánica y mediante interfaces abiertas, al mismo

tiempo que se evitan perturbaciones del servicio y se mantiene la continuidad del servicio.

(98) Los servicios de tratamiento de datos que se refieran a servicios la mayor parte de cuyas

características principales se hayan desarrollado a medida para responder a las demandas

específicas de un cliente concreto o en los que todos los componentes se hayan

desarrollado a efectos de un cliente individual deben quedar exentos de algunas de las

obligaciones aplicables al cambio de servicio de tratamiento de datos. Esto no debe incluir

los servicios que el proveedor de servicios de tratamiento de datos ofrece a gran escala

comercial a través de su catálogo de servicios. Una de las obligaciones del proveedor de

servicios de tratamiento de datos es informar debidamente a los posibles clientes de tales

servicios, antes de la celebración de un contrato, de las obligaciones establecidas en el

presente Reglamento que no se aplican a los servicios pertinentes. Nada impide al

proveedor de servicios de tratamiento de datos desplegar finalmente dichos servicios a

escala, en cuyo caso dicho proveedor tendría que cumplir todas las obligaciones ligadas al

cambio establecidas en el presente Reglamento.

PE-CONS 49/1/23 REV 1 76

# **ES**

(99) En consonancia con el requisito mínimo de permitir el cambio de proveedor de servicios de

tratamiento de datos, el presente Reglamento también tiene por objeto mejorar la

interoperabilidad para el uso paralelo de múltiples servicios de tratamiento de datos con

funcionalidades complementarias. Esto se refiere a situaciones en las que los clientes no

ponen fin a un contrato para cambiar a otro proveedor de servicios de tratamiento de datos,

sino en las que múltiples servicios de distintos proveedores se utilizan en paralelo, de

manera interoperable, para beneficiarse de las funcionalidades complementarias de los

diferentes servicios en la configuración del sistema del cliente. Sin embargo, se reconoce

que la salida de datos de un proveedor de servicios de tratamiento de datos a otro para

facilitar el uso paralelo de los servicios puede ser una actividad continua, a diferencia de la

salida puntual requerida como parte del proceso de cambio. Por lo tanto, los proveedores

de servicios de tratamiento de datos deben poder seguir cobrando por la salida de datos, sin

superar los costes incurridos, para fines de uso paralelo tres años después de la fecha de

entrada en vigor del presente Reglamento. Esto es importante, entre otras cosas, para el

despliegue eficaz de estrategias multinube, que permiten a los clientes aplicar estrategias

informáticas preparadas para el futuro y reducen la dependencia de proveedores concretos

de servicios de tratamiento de datos. Facilitar un enfoque multinube para los clientes de

servicios de tratamiento de datos también contribuye a aumentar su resiliencia operativa

digital, tal como se reconoce para las entidades de servicios financieros en el Reglamento

(UE) 2022/2554 del Parlamento Europeo y del Consejo **[1]** .

**1** Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre
de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican
los Reglamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE)
n.º 909/2014 y (UE) 2016/1011 (DO L 333 de 27.12.2022, p. 1) **.**

PE-CONS 49/1/23 REV 1 77

# **ES**

(100) Se espera que las especificaciones y normas de interoperabilidad abiertas desarrolladas de

conformidad con el anexo II del Reglamento (UE) n.º 1025/2012 del Parlamento Europeo

y del Consejo **[1]** en el ámbito de la interoperabilidad y la portabilidad permitan un entorno

en la nube multiproveedor, que constituye un requisito clave para la innovación abierta en

la economía de los datos europea. Dado que la adopción por el mercado de las normas

definidas en el marco de la iniciativa de coordinación de la normalización en la nube

(CSC), concluida en 2016, ha sido limitada, también es necesario que la Comisión confíe

en las partes del mercado para desarrollar las especificaciones de interoperabilidad abiertas

pertinentes a fin de seguir el rápido ritmo del desarrollo tecnológico en este sector. La

Comisión puede adoptar entonces estas especificaciones de interoperabilidad abiertas en

forma de especificaciones comunes. Además, cuando los procesos centrados en el mercado

no hayan demostrado una capacidad de establecer especificaciones comunes o normas que

faciliten la interoperabilidad efectiva en la nube en los niveles PaaS y SaaS, la Comisión

debe poder pedir a los organismos europeos de normalización, sobre la base del presente

Reglamento y de conformidad con el Reglamento (UE) n.º 1025/2012, que elaboren dichas

normas para los tipos específicos de servicios para los que aún no existen tales normas.

Además de ello, la Comisión va a animar a los actores del mercado a desarrollar las

especificaciones de interoperabilidad abiertas pertinentes.

**1** Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre
de 2012, sobre la normalización europea, por el que se modifican las Directivas 89/686/CEE
y 93/15/CEE del Consejo y las Directivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE,
98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE y 2009/105/CE del Parlamento Europeo y
del Consejo y por el que se deroga la Decisión 87/95/CEE del Consejo y la Decisión
n.º 1673/2006/CE del Parlamento Europeo y del Consejo (DO L 316 de 14.11.2012, p. 12).

PE-CONS 49/1/23 REV 1 78

# **ES**

Después de consultar a las partes interesadas, la Comisión, mediante actos de ejecución,

debe poder hacer obligatorio el uso de normas armonizadas de interoperabilidad o

especificaciones comunes para tipos de servicios específicos a través de una referencia en

un repositorio central de la Unión de normas para la interoperabilidad de los servicios de

tratamiento de datos. Los proveedores de servicios de tratamiento de datos deben

garantizar la compatibilidad con dichas normas armonizadas y especificaciones comunes

basadas en especificaciones de interoperabilidad abiertas, que no deben afectar

negativamente a la seguridad ni a la integridad de los datos. Las normas armonizadas de

interoperabilidad de los servicios de tratamiento de datos y las especificaciones comunes

basadas en especificaciones de interoperabilidad abiertas tendrán su referencia solo si

cumplen los criterios especificados en el presente Reglamento, que tienen el mismo

significado que los requisitos del anexo II del Reglamento (UE) n.º 1025/2012 y las facetas

de interoperabilidad definidas en la norma internacional ISO/IEC 19941:2017. Además, la

normalización debe tener en cuenta las necesidades de las pymes.

PE-CONS 49/1/23 REV 1 79

# **ES**

(101) Los terceros países pueden adoptar leyes, reglamentaciones y otros actos jurídicos que

tengan por objeto transferir directamente o proporcionar el acceso de las administraciones

públicas a datos no personales que se encuentran fuera de sus fronteras, también en la

Unión. Las sentencias de órganos jurisdiccionales o las decisiones de autoridades judiciales

o administrativas de terceros países, incluidas autoridades policiales de terceros países, que

requieran dicha transferencia de datos no personales o el acceso a estos deben tener fuerza

legal al amparo de un acuerdo internacional, como un tratado de asistencia judicial mutua,

en vigor entre el tercer país solicitante y la Unión o un Estado miembro. En otros casos,

pueden darse situaciones en las que una solicitud de transferir o dar acceso a datos no

personales derivada del Derecho de un tercer país entre en conflicto con una obligación de

proteger dichos datos en virtud del Derecho de la Unión o del Derecho nacional del Estado

miembro que corresponda, en particular, en lo que se refiere a la protección de los

derechos fundamentales de la persona, como el derecho a la seguridad y el derecho a la

tutela judicial efectiva, o los intereses fundamentales de un Estado miembro relacionados

con la seguridad o la defensa nacionales, así como la protección de los datos sensibles

desde el punto de vista comercial, incluida la protección de los secretos comerciales, y la

protección de los derechos de propiedad intelectual e industrial, incluidos sus compromisos

contractuales en materia de confidencialidad conforme a dicho Derecho. Cuando no

existan acuerdos internacionales que regulen estas cuestiones, la transferencia o el acceso a

datos no personales han de permitirse solo si se ha verificado que el ordenamiento jurídico

del tercer país exige que se establezcan los motivos y la proporcionalidad de la decisión,

que la resolución judicial o la decisión revista un carácter específico y que la oposición

motivada del destinatario esté sujeta a examen por un órgano jurisdiccional competente del

tercer país, facultado para tomar debidamente en cuenta los intereses jurídicos pertinentes

del proveedor de dichos datos. Cuando sea posible con arreglo a las condiciones de la

solicitud de acceso a los datos de la autoridad del tercer país, el proveedor de servicios de

tratamiento de datos debe poder informar al cliente cuyos datos se solicitan antes de

conceder acceso a dichos datos a fin de verificar la existencia de un conflicto potencial de

dicho acceso con el Derecho de la Unión o nacional, como el relativo a la protección de

datos sensibles desde el punto de vista comercial, incluida la protección de los secretos

comerciales, los derechos de propiedad intelectual e industrial y los compromisos

contractuales en materia de confidencialidad.

PE-CONS 49/1/23 REV 1 80

# **ES**

(102) Para impulsar la confianza en los datos es esencial que las salvaguardas para garantizar a

los ciudadanos, los organismos del sector público y las empresas de la Unión el control de

sus datos se apliquen en la medida de lo posible. Además, deben respetarse el Derecho, los

valores y las normas de la Unión en cuanto a la seguridad, la protección de los datos y de la

privacidad, y la protección de los consumidores, entre otros aspectos. Con el fin de evitar

el acceso ilícito de las administraciones públicas a datos no personales por parte de las

autoridades de terceros países, los proveedores de servicios de tratamiento de datos sujetos

al presente Reglamento, como los servicios en la nube y en el borde, deben adoptar todas

las medidas razonables para impedir el acceso a los sistemas en los que se almacenen datos

no personales, incluso, cuando proceda, mediante el cifrado de datos, el sometimiento

frecuente a auditorías, el respeto verificado de los pertinentes sistemas de certificación de

garantías de seguridad y la modificación de las políticas de empresa.

PE-CONS 49/1/23 REV 1 81

# **ES**

(103) La normalización y la interoperabilidad semántica deben desempeñar un papel clave para

proporcionar soluciones técnicas que garanticen la interoperabilidad dentro de los espacios

comunes europeos de datos, y entre ellos, que son marcos interoperables de normas y

prácticas comunes, específicos para un fin o un sector o intersectoriales, con el fin de

compartir o tratar conjuntamente los datos para, entre otros, el desarrollo de nuevos

productos y servicios, la investigación científica o las iniciativas de la sociedad civil. El

presente Reglamento establece determinados requisitos esenciales de interoperabilidad.

Los participantes en espacios de datos que ofrezcan datos o servicios basados en datos a

otros participantes, que son entidades que facilitan o participan en el intercambio de datos

dentro de espacios comunes europeos de datos, incluidos los titulares de datos, deben

cumplir esos requisitos en lo que respecta a los elementos que estén bajo su control. El

cumplimiento de esas normas se puede garantizar mediante el cumplimiento de los

requisitos esenciales establecidos en el presente Reglamento o presuponer mediante el

cumplimiento de normas armonizadas o especificaciones comunes a través de una

presunción de conformidad. A fin de facilitar la conformidad con los requisitos para la

interoperabilidad es necesario establecer una presunción de conformidad para soluciones

de interoperabilidad que cumplan las normas armonizadas o partes de estas de conformidad

con el Reglamento (UE) n.º 1025/2012, que representa el marco por defecto para elaborar

normas que prevean tales presunciones. La Comisión debe evaluar los obstáculos a la

interoperabilidad y dar prioridad a las necesidades de normalización, sobre cuya base

puede solicitar a una o varias organizaciones europeas de normalización, de conformidad

con el Reglamento (UE) n.º 1025/2012, que elaboren normas armonizadas que satisfagan

los requisitos esenciales establecidos en el presente Reglamento.

PE-CONS 49/1/23 REV 1 82

# **ES**

Cuando dichas solicitudes no den lugar a normas armonizadas o dichas normas

armonizadas sean insuficientes para garantizar la conformidad con los requisitos esenciales

del presente Reglamento, la Comisión debe poder adoptar especificaciones comunes en

esos ámbitos, siempre que al hacerlo respete debidamente el papel y las funciones de las

organizaciones de normalización. La adopción de especificaciones comunes debe tener

lugar únicamente como solución alternativa excepcional para facilitar el cumplimiento de

los requisitos esenciales del presente Reglamento o cuando el proceso de normalización

esté bloqueado o cuando se produzcan retrasos en el establecimiento de normas

armonizadas adecuadas. Cuando dichos retrasos se deban a la complejidad técnica de la

norma en cuestión, la Comisión debe tenerlo en cuenta antes de considerar la posibilidad

de establecer especificaciones comunes. Las especificaciones comunes se deben elaborar

de manera abierta e inclusiva y se debe tener en cuenta, cuando proceda, el asesoramiento

del Comité Europeo de Innovación en materia de Datos (CEID) establecido por el

Reglamento (UE) 2022/868. Por otra parte, se podrían adoptar especificaciones comunes

en distintos sectores, de conformidad con el Derecho de la Unión o nacional, sobre la base

de las necesidades específicas de dichos sectores. Además, la Comisión debe estar

facultada para hacer obligatorio el desarrollo de normas armonizadas para la

interoperabilidad de los servicios de tratamiento de datos.

PE-CONS 49/1/23 REV 1 83

# **ES**

(104) A fin de promover la interoperabilidad de las herramientas para la ejecución automatizada

de los acuerdos de intercambio de datos, es necesario establecer requisitos esenciales para

los contratos inteligentes que los profesionales creen para terceros o que se integren en

aplicaciones que apoyen la ejecución de acuerdos para el intercambio de datos. A fin de

facilitar la conformidad de ese tipo de contratos inteligentes con dichos requisitos

esenciales, es necesario establecer una presunción de conformidad de los contratos

inteligentes que cumplan las normas armonizadas o partes de estas de conformidad con el

Reglamento (UE) n.º 1025/2012. El concepto de «contrato inteligente» en el presente

Reglamento es tecnológicamente neutro. Los contratos inteligentes, por ejemplo, pueden

estar conectados a un libro mayor electrónico. Los requisitos esenciales deben aplicarse

únicamente a los proveedores de contratos inteligentes, exceptuando cuando desarrollen

contratos inteligentes internamente exclusivamente para uso interno. El requisito esencial

de garantizar que los contratos inteligentes se puedan interrumpir y resolver

unilateralmente implica el consentimiento mutuo de las partes en el acuerdo de intercambio

de datos. La aplicabilidad de las normas pertinentes de la normativa civil, contractual y de

protección de los consumidores a los acuerdos de intercambio de datos sigue o debe seguir

sin verse afectada por el uso de contratos inteligentes para la ejecución automatizada de

tales acuerdos.

PE-CONS 49/1/23 REV 1 84

# **ES**

(105) Para demostrar el cumplimiento de los requisitos esenciales del presente Reglamento, el

proveedor de un contrato inteligente o, en su defecto, la persona cuya actividad comercial,

empresarial o profesional implique el despliegue de contratos inteligentes para terceros en

el contexto de la ejecución total o parcial de un acuerdo de puesta a disposición de datos en

el contexto del presente Reglamento, debe realizar una evaluación de conformidad y

expedir una declaración UE de conformidad. Dicha evaluación de conformidad debe estar

sujeta a los principios generales establecidos en el Reglamento (CE) n.º 765/2008 del

Parlamento Europeo y del Consejo **[1]** y en la Decisión n.º 768/2008/CE del Parlamento

Europeo y del Consejo **[2]** .

(106) Además de obligar a los desarrolladores profesionales de contratos inteligentes a cumplir

los requisitos esenciales, también es importante animar a aquellos participantes dentro de

espacios de datos que ofrezcan datos o servicios basados en datos a otros participantes

dentro de los espacios comunes europeos de datos, y a través de ellos, a apoyar la

interoperabilidad de las herramientas para el intercambio de datos, incluidos los contratos

inteligentes.

**1** Reglamento (CE) n.º 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio
de 2008, por el que se establecen los requisitos de acreditación y por el que se deroga el
Reglamento (CEE) n.º 339/93 (DO L 218 de 13.8.2008, p. 30).
**2** Decisión n.º 768/2008/CE del Parlamento Europeo y del Consejo, de 9 de julio de 2008,
sobre un marco común para la comercialización de los productos y por la que se deroga la
Decisión 93/465/CEE del Consejo (DO L 218 de 13.8.2008, p. 82).

PE-CONS 49/1/23 REV 1 85

# **ES**

(107) A fin de garantizar la aplicación e implementación del presente Reglamento, los Estados

miembros deben designar una o más autoridades competentes. Si un Estado miembro

designa más de una autoridad competente, debe designar también, a un coordinador de

datos entre ellas. Es preciso que las autoridades competentes cooperen entre sí. Mediante el

ejercicio de sus poderes de investigación de conformidad con los procedimientos

nacionales aplicables, las autoridades competentes deben poder buscar y obtener

información, en particular, en relación con las actividades de entidades dentro de sus

competencias y, también en el contexto de investigaciones conjuntas, teniendo

debidamente en cuenta que las medidas de supervisión y ejecución relativas a una entidad

bajo la competencia de otro Estado miembro deben ser adoptadas por la autoridad

competente de ese otro Estado miembro, cuando proceda, de conformidad con los

procedimientos relativos a la cooperación transfronteriza. Las autoridades competentes

deben prestarse asistencia mutua y oportuna, en particular cuando una autoridad

competente de un Estado miembro posea información pertinente para una investigación

llevada a cabo por las autoridades competentes en otros Estados miembros, o pueda

recopilar dicha información a la que las autoridades competentes del Estado miembro en el

que esté establecida la entidad no tengan acceso. Las autoridades competentes y los

coordinadores de datos deben identificarse en el registro público llevado por la Comisión.

El coordinador de datos podría ser un medio adicional para facilitar la cooperación en

situaciones transfronterizas, como cuando una autoridad competente de un Estado

miembro determinado no sepa a qué autoridad debe dirigirse en el Estado miembro del

coordinador de datos, por ejemplo, cuando el caso esté relacionado con más de una

autoridad competente o sector. El coordinador de datos debe actuar, entre otras cosas,

como punto de contacto único para todas las cuestiones relacionadas con la aplicación del

presente Reglamento. Cuando no se haya designado un coordinador de datos, la autoridad

competente debe asumir las tareas asignadas al coordinador de datos en virtud del presente

Reglamento. Las autoridades responsables de la supervisión del cumplimiento de la

normativa en materia de protección de datos y las autoridades competentes designadas con

arreglo al Derecho de la Unión o nacional deben ser responsables de la aplicación del

presente Reglamento en sus ámbitos de competencia. A fin de evitar conflictos de

intereses, las autoridades competentes responsables de la aplicación y ejecución del

presente Reglamento en el ámbito de la puesta a disposición de datos a raíz de una

solicitud sobre la base de una necesidad excepcional no deben beneficiarse del derecho a

presentar dicha solicitud.

PE-CONS 49/1/23 REV 1 86

# **ES**

(108) A fin de hacer valer sus derechos en virtud del presente Reglamento, las personas físicas y

jurídicas deben tener derecho a solicitar reparación por la vulneración de sus derechos en

virtud del presente Reglamento presentando reclamaciones. El coordinador de datos debe

proporcionar, cuando se le solicite, toda la información necesaria a las personas físicas y

jurídicas para la presentación de sus denuncias ante la correspondiente autoridad

competente. Dichas autoridades deben ser obligadas a cooperar para garantizar que una

denuncia se gestione y resuelva adecuadamente, de manera efectiva y en tiempo oportuno.

A fin de aprovechar el mecanismo de la red de cooperación en materia de protección de los

consumidores y facilitar las acciones de representación, el presente Reglamento modifica

los anexos del Reglamento (UE) 2017/2394 del Parlamento Europeo y del Consejo **[1]** y de la

Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo **[2]** .

**1** Reglamento (UE) 2017/2394 del Parlamento Europeo y del Consejo, de 12 de diciembre
de 2017, sobre la cooperación entre las autoridades nacionales responsables de la aplicación
de la legislación en materia de protección de los consumidores y por el que se deroga el
Reglamento (CE) n.º 2006/2004 (DO L 345 de 27.12.2017, p. 1).
**2** Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo, de 25 de noviembre
de 2020, relativa a las acciones de representación para la protección de los intereses
colectivos de los consumidores, y por la que se deroga la Directiva 2009/22/CE (DO L 409
de 4.12.2020, p. 1).

PE-CONS 49/1/23 REV 1 87

# **ES**

(109) Las autoridades competentes deben garantizar que el incumplimiento de las obligaciones

establecidas en el presente Reglamento esté sujeto a sanciones. Dichas sanciones podrían

consistir en sanciones económicas, advertencias, amonestaciones u órdenes para que las

prácticas comerciales se ajusten a las obligaciones impuestas por el presente Reglamento.

Las sanciones establecidas por los Estados miembros deben ser efectivas, proporcionadas y

disuasorias, y deben tener en cuenta las recomendaciones del CEID, contribuyendo así a

lograr el mayor nivel posible de coherencia en el establecimiento y la aplicación de

sanciones. Cuando proceda, las autoridades competentes deben recurrir a medidas

provisionales para limitar los efectos de una supuesta infracción mientras la investigación

de dicha infracción esté en curso. Al hacerlo, deben tener en cuenta, entre otros factores, la

naturaleza, gravedad, magnitud y duración de la infracción, atendiendo al interés público

en juego, el alcance y el tipo de actividades realizadas, así como la capacidad económica

del infractor. También deben tener en cuenta si la parte infractora incumple sistemática o

repetidamente las obligaciones que le incumben en virtud del presente Reglamento. A fin

de garantizar el respeto del principio _non bis in idem_ y, en particular, evitar que la misma

infracción de las obligaciones establecidas en el presente Reglamento se sancione más de

una vez, el Estado miembro que tenga la intención de ejercer su competencia en relación

con una parte infractora que no esté establecida en la Unión ni tenga en ella un

representante legal debe informar, sin demora indebida, a todos los coordinadores de datos,

así como a la Comisión.

PE-CONS 49/1/23 REV 1 88

# **ES**

(110) El CEID debe asesorar y prestar asistencia a la Comisión en la coordinación de las

prácticas y políticas nacionales sobre los temas contemplados por el presente Reglamento,

así como en la consecución de sus objetivos en relación con la normalización técnica para

mejorar la interoperabilidad. También debe desempeñar un papel clave a la hora de

facilitar debates exhaustivos entre las autoridades competentes sobre la aplicación y

control del cumplimiento del presente Reglamento. Ese intercambio de información tiene

por objeto aumentar el acceso efectivo a la justicia, así como la ejecución y cooperación

judicial en toda la Unión. Entre otras funciones, las autoridades competentes deben recurrir

al CEID como plataforma para evaluar, coordinar y adoptar recomendaciones sobre el

establecimiento de sanciones por infracciones del presente Reglamento. Dicho Comité

debe permitir a las autoridades competentes, con la ayuda de la Comisión, a coordinar el

enfoque óptimo para determinar e imponer dichas sanciones. Ese enfoque evita la

fragmentación, dejando al mismo tiempo flexibilidad a los Estados miembros, y debe dar

lugar a recomendaciones eficaces que respalden la aplicación coherente del presente

Reglamento. El CEID también debe desempeñar un papel consultivo en los procesos de

normalización y en la adopción de especificaciones comunes mediante actos de ejecución,

en la adopción de actos delegados para establecer un mecanismo de seguimiento de los

costes por cambio impuestos por los proveedores de servicios de tratamiento de datos y

para especificar en mayor medida los requisitos esenciales para la interoperabilidad de los

datos, de los mecanismos y servicios de intercambio de datos, así como de los espacios

comunes europeos de datos. También debe asesorar y prestar asistencia a la Comisión en la

adopción de las directrices que establecen especificaciones de interoperabilidad para el

funcionamiento de los espacios comunes europeos de datos.

PE-CONS 49/1/23 REV 1 89

# **ES**

(111) Con el fin de ayudar a las empresas a redactar y negociar contratos, la Comisión debe

desarrollar y recomendar cláusulas contractuales tipo no vinculantes para los contratos de

intercambio de datos entre empresas, teniendo en cuenta, en su caso, las condiciones de

sectores específicos y las prácticas existentes con mecanismos voluntarios de intercambio

de datos. Esas cláusulas contractuales tipo serán principalmente una herramienta práctica

para ayudar en particular a las pymes a celebrar un contrato. Cuando se utilicen de forma

generalizada e integral, esas cláusulas contractuales tipo también deben tener el efecto

beneficioso de influir en el diseño de los contratos sobre el acceso y la utilización de datos

y, por tanto, deben conducir en general a unas relaciones contractuales más justas a la hora

de acceder a los datos y compartirlos.

(112) Con el fin de eliminar el riesgo de que titulares de datos que están en bases de datos,

obtenidos o generados por medio de componentes físicos, como sensores, de un producto

conectado y de un servicio relacionado u otros datos generados por máquinas, reclamen el

derecho _sui generis_ en virtud del artículo 7 de la Directiva 96/9/CE obstaculizando de este

modo, en particular, el ejercicio efectivo del derecho de los usuarios a acceder y utilizar los

datos y el derecho a compartir datos con terceros en virtud del presente Reglamento, el

presente Reglamento debe aclarar que el derecho _sui generis_ no es aplicable a dichas bases

de datos, ya que no se cumplirían los requisitos de protección. Ello no obsta a la posible

aplicación del derecho _sui generis_ en virtud del artículo 7 de la Directiva 96/9/CE a bases

de datos que contengan datos que no entren en el ámbito de aplicación del presente

Reglamento, siempre que se cumplan los requisitos de protección en virtud del apartado 1

de dicho artículo.

PE-CONS 49/1/23 REV 1 90

# **ES**

(113) A fin de tener en cuenta los aspectos técnicos de los servicios de tratamiento de datos,

deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290

del TFUE, por lo que respecta a complementar el presente Reglamento a fin de establecer

un mecanismo de supervisión de los costes por cambio impuestos por los proveedores de

servicios de tratamiento de datos en el mercado y especificar más detalladamente los

requisitos esenciales sobre interoperabilidad exigibles a los participantes en espacios de

datos que ofrecen datos o servicios de datos a otros participantes. Reviste especial

importancia que la Comisión lleve a cabo las consultas oportunas durante la fase

preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad

con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016

sobre la mejora de la legislación **[1]** . En particular, a fin de garantizar una participación

equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo

reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros,

y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de

la Comisión que se ocupen de la preparación de actos delegados.

**1** DO L 123 de 12.5.2016, p. 1.

PE-CONS 49/1/23 REV 1 91

# **ES**

(114) A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben

conferirse a la Comisión competencias de ejecución en lo relativo a la adopción de

especificaciones comunes que garanticen la interoperabilidad de los datos, de los

mecanismos y servicios de intercambio de datos, así como de los espacios comunes

europeos de datos, de especificaciones comunes para la interoperabilidad de los servicios

de tratamiento de datos, y de especificaciones comunes para la interoperabilidad de los

contratos inteligentes. También deben conferirse a la Comisión competencias de ejecución

con el fin de publicar las referencias de las normas armonizadas y especificaciones

comunes para la interoperabilidad de servicios de tratamiento de datos en un repositorio

central de la Unión de normas para la interoperabilidad de los servicios de tratamiento de

datos. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE)

n.º 182/2011 del Parlamento Europeo y del Consejo **[1]** .

(115) El presente Reglamento debe entenderse sin perjuicio de las normas que aborden

necesidades específicas de sectores o ámbitos de interés público concretos. Dichas normas

pueden incluir requisitos adicionales sobre los aspectos técnicos del acceso a datos, como

las interfaces para el acceso a datos, o sobre la forma de proporcionar el acceso a datos, por

ejemplo, directamente desde el producto o a través de servicios de intermediación de datos.

Dichas normas también pueden incluir límites a los derechos de los titulares de datos a

acceder a los datos de los usuarios o a utilizarlos, u otros aspectos que vayan más allá del

acceso y la utilización de datos, como los relacionados con la gobernanza o los requisitos

de seguridad, incluidos los requisitos de ciberseguridad. Asimismo, el presente

Reglamento debe entenderse sin perjuicio de normas más específicas en el contexto del

desarrollo de espacios comunes europeos de datos o, salvo las excepciones previstas en el

presente Reglamento, del Derecho de la Unión y nacional que establezcan el acceso a los

datos y autoricen su utilización con fines de investigación científica.

**1** Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero
de 2011, por el que se establecen las normas y los principios generales relativos a las
modalidades de control por parte de los Estados miembros del ejercicio de las competencias
de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

PE-CONS 49/1/23 REV 1 92

# **ES**

(116) El presente Reglamento no debe afectar a la aplicación de la normativa de competencia, en

particular a los artículos 101 y 102 del TFUE. Las disposiciones del presente Reglamento

no deben utilizarse para restringir la competencia de forma contraria al TFUE.

(117) Con el fin de permitir a los agentes incluidos en el ámbito de aplicación del presente

Reglamento adaptarse a las nuevas normas previstas en él y para adoptar las disposiciones

técnicas necesarias, dichas normas deben ser aplicables a partir del … [veinte meses a

partir de la fecha de entrada en vigor del Reglamento].

(118) El Supervisor Europeo de Protección de Datos y el Comité Europeo de Protección de

Datos, a los que se consultó de conformidad con el artículo 42, apartados 1 y 2, del

Reglamento (UE) 2018/1725, emitieron su dictamen el 4 de mayo de 2022.

(119) Dado que los objetivos del presente Reglamento, a saber, garantizar la equidad en la

asignación del valor de los datos entre los agentes de la economía de los datos y fomentar

el acceso equitativo a los datos y su utilización para contribuir al establecimiento de un

verdadero mercado interior de datos, no pueden ser alcanzados de manera suficiente por

los Estados miembros, sino que, debido a las dimensiones o a los efectos de la acción y a la

utilización transfronteriza de los datos, pueden lograrse mejor a escala de la Unión, esta

puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el

artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de

proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo

necesario para alcanzar dichos objetivos.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

PE-CONS 49/1/23 REV 1 93

# **ES**

## **Capítulo I** **Disposiciones generales**

_Artículo 1_

_Objeto y ámbito de aplicación_

1. El presente Reglamento establece normas armonizadas sobre lo siguiente, entre otros:

a) la puesta a disposición de datos de productos y de datos de servicios relacionados en

favor de los usuarios del producto conectado o servicio relacionado;

b) la puesta a disposición de datos por parte de los titulares de datos en favor de los

destinatarios de datos;

c) la puesta a disposición de datos por parte de los titulares de datos en favor de los

organismos del sector público, la Comisión, el Banco Central Europeo y los

organismos de la Unión, cuando exista una necesidad excepcional de disponer de

dichos datos para el desempeño de alguna tarea específica realizada en interés

público;

d) la facilitación del cambio entre servicios de tratamiento de datos;

e) la introducción de salvaguardias contra el acceso ilícito de terceros a los datos no

personales, y

f) el desarrollo de normas de interoperabilidad para el acceso, la transferencia y la

utilización de datos.

PE-CONS 49/1/23 REV 1 94

# **ES**

2. El presente Reglamento es aplicable a los datos personales y no personales, incluidos los

siguientes tipos de datos, en los contextos siguientes:

a) el capítulo II se aplica a los datos, excepto el contenido, relativos al rendimiento, uso

y entorno de los productos conectados y los servicios relacionados;

b) el capítulo III se aplica a cualquier dato del sector privado que sea objeto de

obligaciones legales de intercambio de datos;

c) el capítulo IV se aplica a cualquier dato del sector privado al que se acceda y que se

utilice sobre la base de contratos entre empresas;

d) el capítulo V se aplica a cualquier dato del sector privado, centrándose en los datos

no personales;

e) el capítulo VI se aplica a cualquier dato y servicio tratado por los proveedores de

servicios de tratamiento de datos;

f) el capítulo VII se aplica a cualquier dato no personal que se encuentre en la Unión

por los proveedores de servicios de tratamiento de datos.

3. El presente Reglamento se aplica a:

a) los fabricantes de productos conectados introducidos en el mercado de la Unión y los

proveedores de servicios relacionados, independientemente del lugar de

establecimiento de dichos fabricantes y proveedores;

PE-CONS 49/1/23 REV 1 95

# **ES**

b) los usuarios de la Unión de los productos conectados o servicios relacionados a que

se refiere la letra a);

c) los titulares de datos, con independencia de su lugar de establecimiento, que pongan

datos a disposición de los destinatarios de datos de la Unión;

d) los destinatarios de datos de la Unión a cuya disposición se ponen datos;

e) los organismos del sector público, la Comisión, el Banco Central Europeo o los

organismos de la Unión que soliciten a los titulares de datos que pongan datos a su

disposición cuando exista una necesidad excepcional de dichos datos para el

desempeño de alguna tarea específica realizada en interés público, y a los titulares de

datos que proporcionen esos datos en respuesta a dicha solicitud;

f) los proveedores de servicios de tratamiento de datos, con independencia de su lugar

de establecimiento, que presten dichos servicios a clientes de la Unión;

g) los participantes en espacios de datos y proveedores de aplicaciones que utilicen

contratos inteligentes y personas cuya actividad comercial, empresarial o profesional

implique el despliegue de contratos inteligentes para terceros en el contexto de la

ejecución de un acuerdo.

4. Cuando el presente Reglamento se refiera a productos conectados o servicios relacionados,

se entenderá que incluyen también los asistentes virtuales, en la medida en que interactúen

con un producto conectado o servicio relacionado.

PE-CONS 49/1/23 REV 1 96

# **ES**

5. El presente Reglamento se entenderá sin perjuicio del Derecho de la Unión ni del Derecho

nacional en materia de protección de datos personales, de la intimidad y de la

confidencialidad de las comunicaciones e integridad de los equipos terminales, que se

aplicará a los datos personales tratados en relación con los derechos y obligaciones

establecidos en el presente Reglamento, en particular, los Reglamentos (UE) 2016/679 y

(UE) 2018/1725 y la Directiva 2002/58/CE, incluidos los poderes y competencias de las

autoridades de control y de los derechos de los interesados. En la medida en que los

usuarios tengan la condición de interesados, los derechos establecidos en el capítulo II del

presente Reglamento complementarán el derecho de acceso de los interesados y los

derechos a la portabilidad de los datos con arreglo a los artículos 15 y 20 del Reglamento

(UE) 2016/679. En caso de conflicto entre el presente Reglamento y el Derecho de la

Unión en materia de protección de datos personales o de la intimidad, o la normativa

nacional adoptada de conformidad con el Derecho de la Unión en la materia, prevalecerá el

Derecho aplicable de la Unión o nacional en materia de protección de datos personales o

de la intimidad.

6. El presente Reglamento no se aplica a los acuerdos voluntarios celebrados con vistas al

intercambio de datos entre entidades privadas y públicas, en particular a los acuerdos

voluntarios para el intercambio de datos, ni los condiciona.

PE-CONS 49/1/23 REV 1 97

# **ES**

El presente Reglamento no afecta a los actos jurídicos de la Unión o nacionales que

contemplen el intercambio, el acceso y la utilización de datos con fines de prevención,

investigación, detección o enjuiciamiento de infracciones penales o la ejecución de

sanciones penales, o a efectos aduaneros y fiscales, en particular, los Reglamentos

(UE) 2021/784, (UE) 2022/2065 y (UE) 2023/1543, y la Directiva (UE) 2023/1544, ni a la

cooperación internacional en dicho ámbito. El presente Reglamento no se aplica a la

recogida, intercambio, acceso o utilización de datos en virtud del Reglamento

(UE) 2015/847 y de la Directiva (UE) 2015/849. El presente Reglamento no se aplica a los

ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y, en cualquier

caso, no afecta a las competencias de los Estados miembros relativas a la seguridad

pública, la defensa o la seguridad nacional, independientemente del tipo de entidad a la que

los Estados miembros hayan confiado el desempeño de tareas en relación con dichas

competencias, o de su facultad para salvaguardar otras funciones esenciales del Estado,

incluida la garantía de la integridad territorial del Estado y el mantenimiento del orden

público. El presente Reglamento no afecta a las competencias de los Estados miembros en

materia de aduanas y administración fiscal, ni a la salud y seguridad ciudadanas.

7. El presente Reglamento complementa el enfoque de autorregulación del Reglamento

(UE) 2018/1807 mediante la introducción de obligaciones de aplicabilidad general sobre el

cambio de nube.

8. El presente Reglamento se entiende sin perjuicio de los actos jurídicos nacionales y de la

Unión por los que se establece la protección de los derechos de propiedad intelectual, en

particular, las Directivas 2001/29/CE, 2004/48/CE y (UE) 2019/790.

PE-CONS 49/1/23 REV 1 98

# **ES**

9. El presente Reglamento complementa y se entiende sin perjuicio del Derecho de la Unión

con objeto de promover los intereses de los consumidores y garantizar un elevado nivel de

protección de los consumidores, así como proteger su salud, su seguridad y sus intereses

económicos, en particular, las Directivas 93/13/CEE, 2005/29/CE y 2011/83/UE.

10. El presente Reglamento no impide la celebración de contratos lícitos voluntarios de

intercambio de datos, incluidos los contratos celebrados sobre la base de la reciprocidad,

que cumplan los requisitos establecidos en el presente Reglamento.

_Artículo 2_

_Definiciones_

A los efectos del presente Reglamento, se entenderá por:

1) «datos»: cualquier representación digital de actos, hechos o información y cualquier

compilación de tales actos, hechos o información, incluso en forma de grabación sonora,

visual o audiovisual;

2) «metadatos»: una descripción estructurada del contenido o de la utilización de los datos

que facilita la búsqueda o la utilización de esos datos;

3) «datos personales»: los datos personales tal como se definen en el artículo 4, punto 1, del

Reglamento (UE) 2016/679;

4) «datos no personales»: aquellos que no sean datos personales;

PE-CONS 49/1/23 REV 1 99

# **ES**

5) «producto conectado»: un bien que obtiene, genera, o recoge datos relativos a su uso o

entorno y que puede comunicar datos del producto a través de un servicio de

comunicaciones electrónicas, una conexión física o un acceso en el dispositivo y cuya

función primaria no es el almacenamiento, el tratamiento ni la transmisión de datos en

nombre de alguien que no sea el usuario;

6) «servicio relacionado»: un servicio digital, distinto de un servicio de comunicaciones

electrónicas, incluido el software, que está conectado con el producto en el momento de la

compraventa, el alquiler o el arrendamiento, de tal manera que su ausencia impediría al

producto conectado realizar una o varias de sus funciones, o que el fabricante o un tercero

conecta posteriormente al producto para añadir, actualizar o adaptar las funciones del

producto conectado;

7) «tratamiento»: toda operación o conjunto de operaciones realizadas sobre datos o

conjuntos de datos, ya sea por procedimientos automatizados o no, como la recogida,

registro, organización, estructuración, conservación, adaptación o modificación,

extracción, consulta, utilización, divulgación por transmisión, difusión o cualquier otro

medio de puesta a disposición, cotejo o interconexión, limitación, supresión o destrucción;

8) «servicio de tratamiento de datos»: servicio digital que se presta a un cliente y que permite

un acceso de red ubicuo y bajo demanda a un conjunto compartido de recursos

informáticos configurables, modulables y elásticos de carácter centralizado, distribuido o

muy distribuido, que puede movilizarse y liberarse rápidamente con un mínimo esfuerzo

de gestión o interacción con el proveedor de servicios;

PE-CONS 49/1/23 REV 1 100

# **ES**

9) «mismo tipo de servicio»: un conjunto de servicios de tratamiento de datos que comparten

el mismo objetivo primario, modelo de servicio de tratamiento de datos y funcionalidades

principales;

10) «servicio de intermediación de datos»: un servicio de intermediación de datos tal como se

define en el artículo 2, punto 11, del Reglamento (UE) 2022/868;

11) «interesado»: el interesado tal como se indica en el artículo 4, punto 1, del Reglamento

(UE) 2016/679;

12) «usuario»: una persona física o jurídica que posee un producto conectado o a la que se le

han transferido por contrato derechos temporales de uso de dicho producto conectado, o

que recibe servicios relacionados;

13) «titular de datos»: una persona física o jurídica que tiene el derecho o la obligación, con

arreglo al presente Reglamento, al Derecho de la Unión aplicable o a la normativa nacional

adoptada de conformidad con el Derecho de la Unión, de utilizar y poner a disposición

datos, incluidos, cuando se haya pactado contractualmente, los datos del producto o los

datos de servicios relacionados que haya extraído o generado durante la prestación de un

servicio relacionado;

14) «destinatario de datos»: una persona física o jurídica que actúa con un propósito

relacionado con su actividad comercial, empresa, oficio o profesión, distinta del usuario de

un producto conectado o servicio relacionado, a disposición de la cual el titular de datos

pone los datos, incluso un tercero previa solicitud del usuario al titular de datos o de

conformidad con una obligación legal en virtud del Derecho de la Unión o de la normativa

nacional adoptada de conformidad con el Derecho de la Unión;

PE-CONS 49/1/23 REV 1 101

# **ES**

15) «datos del producto»: datos generados por el uso de un producto conectado que el

fabricante ha diseñado para que puedan ser extraídos, a través de un servicio de

comunicaciones electrónicas, una conexión física o un acceso en el dispositivo, por un

usuario, un titular de los datos o un tercero, incluido, cuando proceda, el fabricante;

16) «datos de servicios relacionados»: datos que representan la digitalización de acciones del

usuario o de eventos relacionados con el producto conectado, registrados

intencionadamente por el usuario o generados como subproducto de la acción del usuario

durante la prestación de un servicio relacionado por el proveedor;

17) «datos fácilmente disponibles»: datos del producto y datos del servicio relacionado que un

titular de datos obtiene o puede obtener lícitamente del producto conectado o servicio

relacionado, sin un esfuerzo desproporcionado que vaya más allá de una operación simple;

18) «secreto comercial»: un secreto comercial tal como se define en el artículo 2, punto 1, de la

Directiva (UE) 2016/943;

19) «poseedor de un secreto comercial»: poseedor de un secreto comercial tal como se define

en el artículo 2, punto 2, de la Directiva (UE) 2016/943;

20) «elaboración de perfiles»: la elaboración de perfiles tal como se define en el artículo 4,

punto 4, del Reglamento (UE) 2016/679;

21) «comercialización»: todo suministro de un producto conectado para su distribución,

consumo o utilización en el mercado de la Unión en el transcurso de una actividad

comercial, ya sea a cambio de pago o a título gratuito;

PE-CONS 49/1/23 REV 1 102

# **ES**

22) «introducción en el mercado»: la primera comercialización de un producto conectado en el

mercado de la Unión;

23) «consumidor»: toda persona física que actúe con fines ajenos a su propia actividad

comercial, negocio, oficio o profesión;

24) «empresa»: una persona física o jurídica que, en relación con los contratos y prácticas

contemplados por el presente Reglamento, actúa con fines relacionados con su actividad

comercial, empresa, oficio o profesión;

25) «pequeña empresa»: una pequeña empresa tal como se define en el artículo 2, apartado 2,

del anexo de la Recomendación 2003/361/CE;

26) «microempresa»: una microempresa tal como se define en el artículo 2, apartado 3, del

anexo de la Recomendación 2003/361/CE;

27) «organismos de la Unión»: los órganos y organismos de la Unión establecidos en virtud de

actos adoptados sobre la base del Tratado de la Unión Europea, del TFUE o del Tratado

constitutivo de la Comunidad Europea de la Energía Atómica;

28) «organismo del sector público»: las autoridades nacionales, regionales o locales de los

Estados miembros y las entidades de derecho público de los Estados miembros, o las

asociaciones constituidas por una o más de dichas autoridades o por una o más de dichas

entidades;

PE-CONS 49/1/23 REV 1 103

# **ES**

29) «emergencia pública»: una situación excepcional, limitada en el tiempo, como una

emergencia de salud pública, una emergencia derivada de catástrofes naturales, una

catástrofe grave provocada por el hombre, incluido un incidente grave de ciberseguridad,

que afecta negativamente a la población de la Unión, del conjunto o de partes de un Estado

miembro, que entraña un riesgo de repercusiones graves y duraderas para las condiciones

de vida o la estabilidad económica, la estabilidad financiera o la degradación sustancial e

inmediata de los activos económicos de la Unión o del Estado miembro en cuestión, y que

se determina o declara oficialmente de conformidad con los procedimientos

correspondientes en virtud del Derecho de la Unión o nacional;

30) «cliente»: una persona física o jurídica que ha establecido una relación contractual con un

proveedor de servicios de tratamiento de datos con el objetivo de utilizar uno o varios

servicios de tratamiento de datos;

31) «asistentes virtuales»: software que puede procesar peticiones, tareas o preguntas, incluidas

las basadas en material de audio, material escrito, gestos o movimientos, y que, basándose

en dichas peticiones, tareas o preguntas, proporciona acceso a otros servicios o controla las

funciones de productos conectados;

32) «activos digitales»: elementos en forma digital, incluidas las aplicaciones, para los que el

cliente tiene derecho de uso, independientemente de la relación contractual establecida con

el servicio de tratamiento de datos del que el cliente se pretende cambiar;

33) «infraestructura de TIC local»: la infraestructura de TIC y de los recursos informáticos

propiedad del cliente, alquilados o arrendados por el cliente, situados en el centro de datos

del propio cliente y gestionados por el cliente o por un tercero;

PE-CONS 49/1/23 REV 1 104

# **ES**

34) «cambio»: el proceso en el que intervienen un proveedor de servicios de tratamiento de

datos de origen, un cliente de un servicio de tratamiento de datos y, en su caso, un

proveedor de servicios de tratamiento de datos de destino, en el que el cliente de un

servicio de tratamiento de datos pasa de utilizar un servicio de tratamiento de datos a otro

servicio de tratamiento de datos del mismo tipo de servicio, u otro servicio, ofrecido por un

proveedor de servicios de tratamiento de datos diferente, o a una infraestructura de TIC

local, incluido mediante la extracción, transformación y carga de datos;

35) «costes de salida de datos»: los costes de transferencia de datos cobrados a los clientes por

extraer sus datos a través de la red de la infraestructura de las TIC de un proveedor de

servicios de tratamiento de datos a los sistemas de un proveedor diferente o a una

infraestructura de TIC local;

36) «costes por cambio»: los costes, excluidos los costes de servicio estándar o la sanciones

por resolución anticipada, impuestas por un proveedor de servicios de tratamiento de datos

a un cliente por las acciones que le exige el presente Reglamento para cambiar al sistema

de un proveedor diferente o a una infraestructura de TIC local, incluidos los costes de

salida de datos;

37) «equivalencia funcional»: restablecer, sobre la base de los datos exportables y activos

digitales del cliente, un nivel mínimo de funcionalidad en el entorno de un nuevo servicio

de tratamiento de datos, del mismo tipo de servicio, después del proceso de cambio,

cuando el servicio de tratamiento de datos de destino proporcione un resultado

materialmente comparable en respuesta a la misma entrada para características compartidas

suministrada al cliente en virtud del contrato;

PE-CONS 49/1/23 REV 1 105

# **ES**

38) «datos exportables»: a efectos de lo dispuesto en los artículos 23 a 31 y en el artículo 35,

los datos de entrada y salida, incluidos los metadatos, directa o indirectamente generados o

cogenerados por el uso por parte del cliente del servicio de tratamiento de datos, excluidos

cualesquiera activos o datos protegidos por derechos de propiedad intelectual, o que

constituyan secretos comerciales, de proveedores de servicios de tratamiento de datos o de

terceros;

39) «contrato inteligente»: programa informático utilizado para la ejecución automatizada de

un acuerdo o de parte de este, que utiliza una secuencia de registros electrónicos de datos y

garantiza su integridad y la exactitud de su orden cronológico;

40) «interoperabilidad»: la capacidad de dos o más espacios de datos o redes de comunicación,

sistemas, productos conectados, aplicaciones, servicios de tratamiento de datos o

componentes para intercambiar y utilizar datos con el fin de desempeñar sus funciones;

41) «especificación de interoperabilidad abierta»: una especificación técnica en el ámbito de

las tecnologías de la información y la comunicación, que está orientada a lograr la

interoperabilidad entre servicios de tratamiento de datos;

42) «especificaciones comunes»: un documento, distinto de una norma, con soluciones

técnicas que proponen una forma de cumplir determinados requisitos y obligaciones

establecidos en el presente Reglamento;

43) «norma armonizada»: una norma armonizada tal como se define en el artículo 2, punto 1,

letra c), del Reglamento (UE) n.º 1025/2012.

PE-CONS 49/1/23 REV 1 106

# **ES**

## **Capítulo II** **Intercambio de datos de empresa a consumidor** **y de empresa a empresa**

_Artículo 3_

_Obligación de hacer accesibles para el usuario los datos de los productos_

_y los datos de servicios relacionados_

1. Los productos conectados se diseñarán y fabricarán, y los servicios relacionados se

diseñarán y prestarán, de manera tal que los datos de los productos y los datos de servicios

relacionados, incluidos los metadatos pertinentes necesarios para interpretar y utilizar

dichos datos, sean, por defecto, accesibles con facilidad, con seguridad, gratuitamente, en

un formato completo, estructurado, de utilización habitual y de lectura mecánica, y, cuando

proceda y sea técnicamente viable, accesibles para el usuario directamente.

2. Antes de celebrar un contrato de compraventa, alquiler o arrendamiento de un producto

conectado, el vendedor o arrendador, que puede ser el fabricante, proporcionarán al

usuario, como mínimo, la siguiente información, de manera clara y comprensible:

a) el tipo, el formato y el volumen estimado de datos del producto que el producto

conectado es capaz de generar;

b) si el producto conectado es capaz de generar datos de forma continua y en tiempo

real;

c) si el producto conectado es capaz de almacenar datos en el propio dispositivo o en un

servidor remoto, incluido, cuando proceda, el período de conservación previsto;

PE-CONS 49/1/23 REV 1 107

# **ES**

d) el modo en que el usuario puede acceder a los datos, extraerlos o, en su caso,

suprimirlos, incluidos los medios técnicos para hacerlo, así como sus condiciones de

utilización y calidad del servicio.

3. Antes de celebrar un contrato de prestación de un servicio relacionado, el proveedor de

dicho servicio proporcionará al usuario, como mínimo, la siguiente información, de manera

clara y comprensible:

a) el carácter, el volumen estimado y la frecuencia de recopilación de los datos del

producto que se espera obtenga el posible titular de datos y, cuando proceda, las

modalidades mediante las que el usuario puede acceder a estos datos o extraerlos,

incluidas las medidas del posible titular de datos relativas al almacenamiento de los

datos y la duración de conservación de estos;

b) el carácter y el volumen estimado de los datos del servicio relacionado que vayan a

generarse, así como las modalidades mediante las que el usuario puede acceder a

estos datos o extraerlos, incluidas las medidas del posible titular de datos relativas al

almacenamiento de los datos y la duración de conservación de estos;

c) si el posible titular de datos prevé utilizar él mismo los datos fácilmente disponibles

y los fines para los que se utilizarán dichos datos, y si tiene la intención de permitir

que uno o varios terceros utilicen los datos para la finalidad acordada con el usuario;

d) la identidad del posible titular de los datos, como su nombre comercial y la dirección

geográfica en la que está establecido y, cuando proceda, de otras partes que efectúen

tratamiento de datos;

e) los medios de comunicación que permitan al usuario ponerse rápidamente en

contacto con el posible titular de datos y comunicarse con él de manera eficiente;

PE-CONS 49/1/23 REV 1 108

# **ES**

f) el modo en que el usuario puede solicitar que los datos se compartan con un tercero

y, cuando proceda, dejar de compartir los datos;

g) el derecho del usuario a presentar una reclamación relativa a cualquier infracción de

las disposiciones del presente capítulo ante la autoridad competente designada con

arreglo al artículo 37;

h) si un posible titular de datos es el poseedor de secretos comerciales contenidos en los

datos a los que se pueda acceder desde el producto conectado o generados durante la

prestación de un servicio relacionado y, cuando el posible titular de datos no sea el

poseedor del secreto comercial, la identidad del poseedor del secreto comercial;

i) la duración del contrato entre el usuario y el posible titular de datos, así como las

cláusulas de resolución unilateral del contrato.

_Artículo 4_

_Derechos y obligaciones de los usuarios y titulares de datos respecto del acceso, utilización y_

_puesta a disposición de los datos de productos y de los datos de servicios relacionados_

1. Cuando el usuario no pueda acceder directamente a los datos desde el producto conectado,

o del servicio relacionado, los titulares de datos facilitarán al usuario el acceso sin demora

indebida a los datos fácilmente disponibles, y los correspondientes metadatos necesarios

para interpretar y utilizar dichos datos, con la misma calidad disponible para el titular de

datos, con facilidad, con seguridad, gratuitamente y en un formato completo, estructurado,

de utilización habitual y de lectura mecánica y, cuando proceda y sea técnicamente viable,

de forma continua y en tiempo real. Esto se hará sobre la base de una simple solicitud por

medios electrónicos cuando sea técnicamente viable.

PE-CONS 49/1/23 REV 1 109

# **ES**

2. Los usuarios y los titulares de datos podrán estipular contractualmente limitaciones o

prohibiciones del acceso a los datos, de su utilización o su posterior intercambio, si dicho

tratamiento puede socavar los requisitos de seguridad del producto conectado, según lo

establecido en el Derecho de la Unión o nacional, dando lugar a un efecto adverso grave

para la salud, la seguridad o la protección de las personas físicas. Las autoridades

sectoriales podrán proporcionar a los usuarios y a los titulares de datos asesoramiento

técnico en ese contexto. Cuando el titular de datos se niegue a compartir datos en virtud del

presente artículo, lo notificará a la autoridad competente designada en cumplimiento del

artículo 37.

3. Sin perjuicio del derecho del usuario a recurrir, en cualquier fase, ante un órgano

jurisdiccional de un Estado miembro, el usuario, en relación con cualquier litigio con el

titular de datos relativo a las limitaciones o prohibiciones contractuales a que se refiere el

apartado 2, podrá:

a) presentar, de conformidad con el artículo 37, apartado 5, letra b), una reclamación

ante la autoridad competente, o

b) convenir con el titular de datos en remitir el asunto a un órgano de resolución de

litigios de conformidad con el artículo 10, apartado 1.

4. Los titulares de datos no dificultarán indebidamente el ejercicio de las opciones o los

derechos de los usuarios a que se refiere este artículo, también ofreciendo opciones a los

usuarios de manera no neutra o neutralizando o mermando la autonomía, la toma de

decisiones o las opciones del usuario a través de la estructura, el diseño, la función o el

modo de funcionamiento de la interfaz digital de usuario o de una parte de ella.

PE-CONS 49/1/23 REV 1 110

# **ES**

5. Para verificar si una persona física o jurídica puede tener la consideración de usuario a

efectos del apartado 1, un titular de datos no exigirá a dicha persona que proporcione

ninguna información más allá de lo necesario. Los titulares de datos no conservarán

ninguna información, en particular datos de registro, sobre el acceso del usuario a los datos

solicitados más allá de lo necesario para la correcta ejecución de la solicitud de acceso del

usuario y para la seguridad y el mantenimiento de la infraestructura de datos.

6. Los secretos comerciales se preservarán y se revelarán solo cuando el titular de datos y el

usuario adopten antes de la revelación todas las medidas necesarias para preservar su

confidencialidad, en particular, con respecto a terceros. El titular de datos o, cuando no

sean la misma persona, el poseedor de secretos comerciales, identificará los datos

protegidos como secretos comerciales, incluso en los metadatos pertinentes, y acordará con

el usuario las medidas técnicas y organizativas proporcionadas necesarias para preservar la

confidencialidad de los datos compartidos, en particular en relación con terceros, tales

como cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso

estrictos, normas técnicas y la aplicación de códigos de conducta.

PE-CONS 49/1/23 REV 1 111

# **ES**

7. En los casos en que no exista un acuerdo sobre las medidas necesarias a que se refiere el

apartado 6, o si el usuario no aplica las medidas acordadas en virtud del apartado 6 o

vulnera la confidencialidad de los secretos comerciales, el titular de datos podrá retener o,

en su caso, suspender el intercambio de datos identificados como secretos comerciales. La

decisión del titular de datos se justificará debidamente y se comunicará por escrito al

usuario sin demora indebida. En tales casos, el titular de datos notificará a la autoridad

competente designada en cumplimiento del artículo 37 que ha retenido o suspendido el

intercambio de datos e indicará qué medidas no se han acordado o aplicado y, en su caso,

qué secretos comerciales han visto su confidencialidad comprometida.

8. En circunstancias excepcionales, cuando el titular de datos que sea poseedor de un secreto

comercial pueda demostrar que es muy probable que sufra un perjuicio económico grave

como consecuencia de la revelación de secretos comerciales, a pesar de las medidas

técnicas y organizativas adoptadas por el usuario en cumplimiento del apartado 6 del

presente artículo, dicho titular de datos podrá rechazar, según el caso, una solicitud de

acceso a los datos específicos en cuestión. Dicha demostración estará debidamente

justificada sobre la base de elementos objetivos, en particular la aplicabilidad de la

protección de los secretos comerciales en terceros países, la naturaleza y el nivel de

confidencialidad de los datos solicitados, así como la singularidad y la novedad del

producto conectado, y se presentará por escrito al usuario sin demora indebida. Cuando el

titular de datos se niegue a compartir datos con arreglo al presente apartado, lo notificará a

la autoridad competente designada en cumplimiento del artículo 37.

PE-CONS 49/1/23 REV 1 112

# **ES**

9. Sin perjuicio del derecho del usuario a recurrir, en cualquier fase, ante un órgano

jurisdiccional de un Estado miembro, un usuario que desee impugnar la decisión del titular

de datos de rechazar o de retener o suspender el intercambio de datos de conformidad con

los apartados 7 y 8, podrá:

a) presentar, de conformidad con el artículo 37, apartado 5, letra b), una reclamación

ante la autoridad competente, que decidirá, sin demora indebida, si se iniciará o

reanudará el intercambio de datos y en qué condiciones, o

b) convenir con el titular de datos en remitir el asunto a un órgano de resolución de

litigios de conformidad con el artículo 10, apartado 1.

10. El usuario no utilizará los datos obtenidos con arreglo a una solicitud contemplada en el

apartado 1 para desarrollar un producto conectado que compita con el producto conectado

del que proceden los datos, ni compartirá los datos con un tercero con esa intención, ni

utilizará dichos datos para obtener información sobre la situación económica, los activos y

los métodos de producción del fabricante o, en su caso, del titular de datos.

11. El usuario no usará medios coercitivos ni abusará de las lagunas de la infraestructura

técnica de un titular de datos destinada a proteger los datos, con el fin de obtener acceso a

estos.

12. Cuando el usuario no sea el interesado cuyos datos personales se solicitan, el titular de

datos pondrá a disposición del usuario los datos personales generados por el uso de un

producto conectado o servicio relacionado solo cuando exista una base jurídica válida para

el tratamiento con arreglo al artículo 6 del Reglamento (UE) 2016/679 y, en su caso, se

cumplan las condiciones del artículo 9 de dicho Reglamento y del artículo 5, apartado 3, de

la Directiva 2002/58/CE.

PE-CONS 49/1/23 REV 1 113

# **ES**

13. Un titular de datos solo utilizará cualquier dato fácilmente disponible que no sea personal

sobre la base de un contrato con el usuario. Un titular de datos no utilizará dichos datos

para obtener información sobre la situación económica, los activos y los métodos de

producción del usuario, ni sobre el uso por parte de este de cualquier otra manera que

pueda socavar la posición comercial de dicho usuario en los mercados en los que este

opere.

14. Los titulares de datos no pondrán a disposición de terceros los datos no personales del

producto, con fines comerciales o no comerciales distintos del cumplimiento de su contrato

con el usuario. Cuando proceda, los titulares de datos obligarán contractualmente a los

terceros a no compartir los datos recibidos de ellos.

_Artículo 5_

_Derecho del usuario a compartir datos con terceros_

1. A petición de un usuario o de una parte que actúe en nombre de un usuario, el titular de

datos pondrá a disposición de un tercero los datos fácilmente disponibles, y los metadatos

correspondientes necesarios para interpretar y utilizar dichos datos sin demora indebida,

con la misma calidad que esté a disposición del titular de datos, con facilidad, con

seguridad, gratuitamente para el usuario, en un formato completo, estructurado, de

utilización habitual y de lectura mecánica, y, cuando proceda y sea técnicamente viable, de

forma continua y en tiempo real. Los datos se pondrán a disposición por parte del titular de

datos al tercero de conformidad con los artículos 8 y 9.

PE-CONS 49/1/23 REV 1 114

# **ES**

2. El apartado 1 no se aplicará a los datos fácilmente disponibles en el contexto de la

experimentación de productos conectados, sustancias o procesos nuevos que aún no se

hayan introducido en el mercado, a menos que se permita su uso por un tercero

contractualmente.

3. Ninguna empresa designada como guardián de acceso, de conformidad con el artículo 3 del

Reglamento (UE) 2022/1925, podrá ser un tercero admisible en virtud del presente artículo

y, por tanto, no podrá:

a) instar o incentivar comercialmente a un usuario de ninguna manera, incluso

ofreciendo una compensación monetaria o de otro tipo, para que ponga a disposición

de uno de sus servicios datos que el usuario haya obtenido en virtud de una solicitud

con arreglo al artículo 4, apartado 1;

b) instar o incentivar comercialmente a un usuario para que solicite al titular de datos

que ponga a disposición de uno de sus servicios datos en virtud del apartado 1 del

presente artículo;

c) recibir datos de un usuario que este haya obtenido en virtud de una solicitud con

arreglo al artículo 4, apartado 1.

4. Para verificar si una persona física o jurídica puede tener la consideración de usuario o de

tercero a efectos del apartado 1, no se le exigirá al usuario ni al tercero que proporcione

ninguna información más allá de lo necesario. Los titulares de datos no conservarán

ninguna información sobre el acceso del tercero a los datos solicitados más allá de lo

necesario para la correcta ejecución de la solicitud de acceso del tercero y para la seguridad

y el mantenimiento de la infraestructura de datos.

PE-CONS 49/1/23 REV 1 115

# **ES**

5. El tercero no usará medios coercitivos ni abusará de las lagunas de la infraestructura

técnica de un titular de datos diseñada para proteger los datos con el fin de obtener acceso

a los datos.

6. El titular de datos no utilizará ningún dato fácilmente disponible con el fin de obtener

información sobre la situación económica, los activos o los métodos de producción del

tercero, ni sobre el uso por parte de este de cualquier otra manera que pueda socavar la

posición comercial del tercero en los mercados en los que opera, a menos que el tercero

haya dado permiso para tal uso y tenga la posibilidad técnica de retirar con facilidad dicho

permiso en cualquier momento.

7. Cuando el usuario no sea el interesado cuyos datos personales se soliciten, los datos

personales generados por el uso de un producto conectado o servicio relacionado se

pondrán a disposición del tercero por parte del titular de datos solo cuando exista una base

jurídica válida para el tratamiento con arreglo al artículo 6 del Reglamento (UE) 2016/679

y, en su caso, se cumplan las condiciones del artículo 9 de dicho Reglamento y del

artículo 5, apartado 3, de la Directiva 2002/58/CE.

8. El hecho de que el titular de datos y el tercero no lleguen a un acuerdo sobre las

modalidades de transmisión de los datos no obstaculizará, evitará ni interferirá en el

ejercicio de los derechos del interesado en virtud del Reglamento (UE) 2016/679 y, en

particular, en el derecho a la portabilidad de los datos con arreglo al artículo 20 de dicho

Reglamento.

PE-CONS 49/1/23 REV 1 116

# **ES**

9. Los secretos comerciales se preservarán y se revelarán a terceros solo en la medida en que

dicha revelación sea estrictamente necesaria para cumplir el objetivo convenido entre el

usuario y el tercero. El titular de datos o, cuando no sean la misma persona, el poseedor de

secretos comerciales, identificará los datos protegidos como secretos comerciales, incluso

en los metadatos pertinentes, y acordará con el tercero todas las medidas técnicas y

organizativas proporcionadas necesarias para preservar la confidencialidad de los datos

compartidos, tales como cláusulas contractuales tipo, acuerdos de confidencialidad,

protocolos de acceso estrictos, normas técnicas y la aplicación de códigos de conducta.

10. En los casos en que no exista un acuerdo sobre las medidas necesarias a que se refiere el

apartado 9 del presente artículo o si el tercero no aplica las medidas acordadas en virtud del

apartado 9 del presente artículo o vulnera la confidencialidad de los secretos comerciales,

el titular de datos podrá retener o, en su caso, suspender el intercambio de datos

identificados como secretos comerciales. La decisión del titular de datos se justificará

debidamente y se comunicará por escrito al tercero sin demora indebida. En tales casos, el

titular de datos notificará a la autoridad competente designada en cumplimiento del

artículo 37 que ha retenido o suspendido el intercambio de datos e indicará qué medidas no

se han convenido o aplicado y, en su caso, qué secretos comerciales han visto su

confidencialidad comprometida.

PE-CONS 49/1/23 REV 1 117

# **ES**

11. En circunstancias excepcionales, cuando el titular de datos que sea poseedor de un secreto

comercial pueda demostrar que es muy probable que sufra un perjuicio económico grave

como consecuencia de la revelación de secretos comerciales, a pesar de las medidas

técnicas y organizativas adoptadas por el tercero en cumplimiento del apartado 9 del

presente artículo, dicho titular de datos podrá rechazar, según el caso, una solicitud de

acceso a los datos específicos en cuestión. Dicha demostración estará debidamente

justificada sobre la base de elementos objetivos, en particular la aplicabilidad de la

protección de los secretos comerciales en terceros países, la naturaleza y el nivel de

confidencialidad de los datos solicitados y la singularidad y la novedad del producto

conectado, y se presentará por escrito al tercero sin demora indebida. Cuando el titular de

datos se niegue a compartir datos con arreglo al presente apartado, lo notificará a la

autoridad competente designada en cumplimiento del artículo 37.

12. Sin perjuicio del derecho del tercero a recurrir, en cualquier fase, ante un órgano

jurisdiccional de un Estado miembro, un tercero que desee impugnar una decisión del

titular de datos de rechazar o de retener o suspender el intercambio de datos en virtud de

los apartados 10 y 11, podrá:

a) formular, de conformidad con el artículo 37, apartado 5, letra b), una reclamación

ante la autoridad competente, que decidirá, sin demora indebida, si se debe iniciar o

reanudar el intercambio de datos y en qué condiciones, o

b) convenir con el titular de datos en remitir el asunto a un órgano de resolución de

litigios de conformidad con el artículo 10, apartado 1.

13. El derecho a que se refiere el apartado 1 no afectará negativamente a los derechos de los

interesados conforme al Derecho aplicable de la Unión y nacional en materia de protección

de datos personales.

PE-CONS 49/1/23 REV 1 118

# **ES**

_Artículo 6_

_Obligaciones de terceros que reciben datos a petición del usuario_

1. Un tercero tratará los datos que se pongan a su disposición con arreglo al artículo 5

únicamente para la finalidad y en las condiciones acordados con el usuario y respetando el

Derecho de la Unión y nacional en materia de protección de datos personales, incluidos los

derechos del interesado en lo que respecta a los datos personales. El tercero suprimirá los

datos cuando ya no sean necesarios para la finalidad acordada, a menos que acuerde otra

cosa con el usuario en relación con los datos no personales.

2. El tercero no podrá:

a) dificultar indebidamente el ejercicio de las opciones o los derechos de los usuarios

con arreglo al artículo 5 y al presente artículo, tampoco ofreciendo opciones a los

usuarios de manera no neutra o coaccionándolos, engañándolos o manipulándolos, o

neutralizando o mermando la autonomía, la toma de decisiones o las opciones de los

usuarios, tampoco a través de una interfaz digital de usuario o de una parte de ella;

b) no obstante lo dispuesto en el artículo 22, apartado 2, letras a) y c), del Reglamento

(UE) 2016/679, utilizar los datos que reciba para la elaboración de perfiles, a menos

que sea necesario para prestar el servicio solicitado por el usuario;

PE-CONS 49/1/23 REV 1 119

# **ES**

c) poner los datos que reciba a disposición de otro tercero, a menos que los datos se

pongan a disposición sobre la base de un contrato con el usuario, y siempre que el

otro tercero tome todas las medidas necesarias acordadas entre el titular de datos y el

tercero para preservar la confidencialidad de los secretos comerciales;

d) poner los datos que reciba a disposición de una empresa designada como guardián de

acceso de conformidad con el artículo 3 del Reglamento (UE) 2022/1925;

e) utilizar los datos que reciba para desarrollar un producto que compita con el producto

conectado del que proceden los datos a los que ha accedido ni compartir los datos

con otro tercero con tal finalidad; los terceros tampoco utilizarán datos no personales

de los productos o datos no personales de los servicios relacionados que se pongan a

su disposición para obtener información sobre la situación económica, los activos y

los métodos de producción del titular de datos, ni sobre el uso por este;

f) utilizar los datos que reciba de una manera que afecte negativamente a la seguridad

del producto conectado o del servicio relacionado;

g) ignorar las medidas específicas acordadas con un titular de datos o con el poseedor

de los secretos comerciales de conformidad con el artículo 5, apartado 9, ni

comprometer la confidencialidad de los secretos comerciales;

h) impedir a aquellos usuarios que sean consumidores, entre otros, sobre la base de un

contrato, poner los datos que reciba a disposición de otras partes.

PE-CONS 49/1/23 REV 1 120

# **ES**

_Artículo 7_

_Ámbito de aplicación de las obligaciones de intercambio de datos_

_de empresa a consumidor y de empresa a empresa_

1. Las obligaciones del presente capítulo no se aplicarán a los datos generados mediante el

uso de productos conectados fabricados o diseñados o servicios relacionados prestados por

una microempresa o pequeña empresa, siempre que dicha empresa no tenga una empresa

asociada o una empresa vinculada en el sentido del artículo 3 del anexo de la

Recomendación 2003/361/CE, que no pueda considerarse microempresa o pequeña

empresa, y cuando no se haya subcontratado a la microempresa o pequeña empresa para

fabricar o diseñar un producto conectado o para prestar un servicio relacionado.

Lo mismo se aplicará a los datos generados mediante el uso de productos conectados

fabricados o de servicios relacionados prestados por empresas que hayan adquirido la

consideración de medianas empresas con arreglo al artículo 2 del anexo de la

Recomendación 2003/361/CE hace menos de un año, y cuando se trate de productos

conectados, durante un año después de que una mediana empresa los haya introducido en

el mercado.

2. Ninguna cláusula contractual que, en detrimento del usuario, excluya la aplicación de los

derechos del usuario en virtud del presente capítulo, establezca excepciones o modifique

los efectos de esos derechos, será vinculante para el usuario.

PE-CONS 49/1/23 REV 1 121

# **ES**

## **Capítulo III** **Obligaciones de los titulares de datos obligados a poner los datos** **a disposición en virtud del derecho de la Unión**

_Artículo 8_

_Condiciones en las que los titulares de datos ponen datos_

_a disposición de los destinatarios de datos_

1. Cuando, en relaciones entre empresas, un titular de datos esté obligado a poner datos a

disposición de un destinatario de datos en virtud del artículo 5 o de otras disposiciones

aplicables de Derecho de la Unión o de la normativa nacional adoptada de conformidad

con el Derecho de la Unión, acordará con el destinatario de datos las modalidades de

puesta a disposición de los datos y lo hará en condiciones justas, razonables y no

discriminatorias y de manera transparente de conformidad con el presente capítulo y el

capítulo IV.

2. Ninguna cláusula contractual sobre el acceso a los datos y su utilización o sobre la

responsabilidad y las vías de recurso por incumplimiento o resolución unilateral de

obligaciones relativas a datos será vinculante si constituye una cláusula contractual abusiva

en el sentido del artículo 13 o si, en detrimento del usuario, excluye la aplicación, establece

excepciones o modifica los derechos del usuario en virtud del capítulo II.

PE-CONS 49/1/23 REV 1 122

# **ES**

3. Los titulares de datos no discriminarán en lo que respecta a las modalidades de puesta a

disposición de datos, entre categorías comparables de destinatarios de datos, incluidas las

empresas asociadas o empresas vinculadas al titular de datos al poner a disposición los

datos. Cuando un destinatario de datos considere que las condiciones en las que se han

puesto a su disposición los datos son discriminatorias, el titular de los datos proporcionará

sin demora indebida al destinatario de datos, previa solicitud motivada, información que

demuestre que no ha habido discriminación.

4. El titular de los datos no pondrá los datos a disposición de un destinatario de datos,

incluido con carácter exclusivo, a menos que así lo solicite el usuario con arreglo al

capítulo II.

5. Los titulares de datos y los destinatarios de datos no estarán obligados a proporcionar

ninguna información que vaya más allá de lo necesario para verificar el cumplimiento de

las condiciones contractuales pactadas para la puesta a disposición de datos o de sus

obligaciones en virtud del presente Reglamento o de otras disposiciones aplicables de

Derecho de la Unión o de la normativa nacional adoptada de conformidad con el Derecho

de la Unión.

6. Salvo que se disponga otra cosa en el Derecho de la Unión, incluidos el artículo 4,

apartado 6, y el artículo 5, apartado 9, del presente Reglamento, o en la normativa nacional

adoptada de conformidad con el Derecho de la Unión, la obligación de poner los datos a

disposición de un destinatario de datos no obligará a la revelación de secretos comerciales.

_Artículo 9_

_Compensación por la puesta a disposición de datos_

1. Toda compensación acordada entre un titular de datos y un destinatario de datos por la

puesta a disposición de datos en relaciones entre empresas deberá ser no discriminatoria y

razonable, y podrá incluir un margen.

PE-CONS 49/1/23 REV 1 123

# **ES**

2. A la hora de convenir la compensación, el titular de datos y el destinatario de datos tendrán

en cuenta, en particular:

a) los costes en que se haya incurrido para poner los datos a disposición, incluidos, en

particular, los costes necesarios para el formateo de los datos, su difusión por medios

electrónicos y su almacenamiento;

b) las inversiones en la recogida y producción de datos, cuando proceda, teniendo en

cuenta si otras partes han contribuido a la obtención, generación o recogida de los

datos en cuestión.

3. La compensación a que se refiere el apartado 1 también puede depender del volumen, el

formato y la naturaleza de los datos.

4. Cuando el destinatario de datos sea una pyme o una organización de investigación sin

ánimo de lucro, y cuando dicho destinatario de datos no tenga empresas asociadas o

empresas vinculadas, que no se consideren pymes, ninguna compensación acordada podrá

superar los costes a que se refiere el apartado 2, letra a).

5. La Comisión adoptará directrices sobre el cálculo de la compensación razonable, teniendo

en cuenta el asesoramiento del Comité Europeo de Innovación en materia de Datos (CEID)

a que se refiere el artículo 42.

6. El presente artículo no será óbice para que otras disposiciones de Derecho de la Unión de

normativa nacional adoptada con arreglo al Derecho de la Unión excluyan la

compensación por la puesta a disposición de datos o prevean una compensación inferior.

PE-CONS 49/1/23 REV 1 124

# **ES**

7. El titular de datos proporcionará al destinatario de datos información que contenga la base

para el cálculo de la compensación con el suficiente detalle para que el destinatario de

datos pueda evaluar si se cumplen los requisitos de los apartados 1 a 4.

_Artículo 10_

_Resolución de litigios_

1. Los usuarios, los titulares de datos y los destinatarios de datos tendrán acceso a algún

órgano de resolución de litigios, certificado de conformidad con el apartado 5 del presente

artículo, para resolver todo litigio con arreglo al artículo 4, apartados 3 y 9, y al artículo 5,

apartado 12, así como los litigios relacionados con las condiciones justas, razonables y no

discriminatorias para poner los datos a disposición y la forma transparente de hacerlo, de

conformidad con el presente capítulo y el capítulo IV.

2. Los órganos de resolución de litigios darán a conocer los costes, o los mecanismos

utilizados para determinar los costes, a las partes afectadas antes de que estas soliciten una

decisión.

3. En el caso de los litigios remitidos a un órgano de resolución de litigios en virtud del

artículo 4, apartados 3 y 9, y del artículo 5, apartado 12, cuando el órgano de resolución de

litigios resuelva un litigio en favor del usuario o del destinatario de datos, el titular de datos

soportará todas las tasas cobradas por el órgano de resolución de litigios y reembolsará a

dicho usuario o dicho destinatario de datos cualquier otro gasto razonable en que haya

incurrido en relación con la resolución de litigios. Si el órgano de resolución de litigios

resuelve un litigio en favor del titular de datos, el usuario o el destinatario de datos no

estará obligado a reembolsar las tasas u otros gastos que el titular de datos haya pagado o

deba pagar en relación con la resolución de litigios, a menos que el órgano de resolución

de litigios considere que el usuario o el destinatario de los datos actuó manifiestamente de

mala fe.

PE-CONS 49/1/23 REV 1 125

# **ES**

4. Los clientes y los proveedores de servicios de tratamiento de datos tendrán acceso a algún

órgano de resolución de litigios, certificado de conformidad con el apartado 5 del presente

artículo, para resolver litigios en relación con vulneraciones de los derechos de los clientes

e incumplimientos de las obligaciones del proveedor de un servicio de tratamiento de datos

de conformidad con los artículos 23 a 31.

5. A petición del órgano de resolución de litigios, el Estado miembro en el que esté

establecido dicho órgano lo certificará, siempre que este haya demostrado que cumple

todas las condiciones siguientes:

a) es imparcial e independiente, y debe dictar sus resoluciones con arreglo a unas

normas de procedimiento claras, no discriminatorias y justas;

b) dispone de los conocimientos técnicos necesarios, en particular, en relación con las

condiciones justas, razonables y no discriminatorias, incluida la compensación,

relativos a la puesta a disposición de datos de manera transparente, que permitan que

el órgano pueda determinar efectivamente dichas condiciones;

c) es fácilmente accesible a través de tecnologías de comunicación electrónicas;

d) es capaz de adoptar sus decisiones de manera rápida, eficiente y rentable al menos en

una de las lenguas oficiales de la Unión.

6. Los Estados miembros notificarán a la Comisión los órganos de resolución de litigios

certificados de conformidad con el apartado 5. La Comisión publicará la lista de dichos

órganos en un sitio web específico y la mantendrá actualizada.

PE-CONS 49/1/23 REV 1 126

# **ES**

7. Los órganos de resolución de litigios rechazarán tratar cualquier solicitud de resolución de

un litigio que ya se haya presentado ante otro órgano de resolución de litigios o ante un

órgano jurisdiccional de un Estado miembro.

8. Los órganos de resolución de litigios brindarán a las partes la posibilidad de expresar, en

un plazo razonable, sus puntos de vista sobre los asuntos que esas partes hayan sometido a

dichos órganos. En ese contexto, se proporcionará a cada una de las partes litigantes las

observaciones de la otra parte y cualquier declaración realizada por peritos. Se brindará a

las partes la posibilidad de formular comentarios sobre dichas observaciones y

declaraciones.

9. Los órganos de resolución de litigios adoptarán su decisión sobre los asuntos que les sean

planteados en un plazo de noventa días a partir de la recepción de la solicitud con arreglo a

los apartados 1 y 4. Dicha decisión se formulará por escrito o en un soporte duradero e irá

justificada por una exposición de motivos.

10. Los órganos de resolución de litigios elaborarán y harán públicos los informes anuales de

actividad. Dichos informes anuales incluirán, en particular, la siguiente información

general:

a) una agregación de los resultados de los litigios;

b) la duración media de la resolución de los litigios;

c) los motivos más comunes de los litigios.

PE-CONS 49/1/23 REV 1 127

# **ES**

11. Con el fin de facilitar el intercambio de información y las mejores prácticas, los órganos de

resolución de litigios podrán decidir la inclusión de recomendaciones en el informe

mencionado en el apartado 10 sobre cómo evitar o resolver problemas.

12. La decisión de los órganos de resolución de litigios será vinculante para las partes solo si

estas han dado su consentimiento expreso a su carácter vinculante antes del inicio del

procedimiento de resolución de litigios.

13. El presente artículo no afectará al derecho de las partes a interponer un recurso efectivo

ante los órganos jurisdiccionales de los Estados miembros.

_Artículo 11_

_Medidas técnicas de protección sobre la utilización o divulgación no autorizadas de datos_

1. El titular de datos podrá aplicar medidas técnicas de protección adecuadas, incluidos

contratos inteligentes y cifrado, para impedir el acceso no autorizado a los datos, incluidos

los metadatos, y garantizar el cumplimiento de los artículos 4, 5, 6, 8 y 9, así como de las

condiciones contractuales acordadas para la puesta a disposición de los datos. Dichas

medidas técnicas de protección no discriminarán entre destinatarios de datos ni

obstaculizarán el derecho de un usuario a obtener una copia, extraer, utilizar o acceder a

los datos o a proporcionar datos a terceros de conformidad con el artículo 5 ni ningún

derecho de un tercero en virtud del Derecho de la Unión o de normativa nacional adoptada

de conformidad con el Derecho de la Unión. Los usuarios, los terceros y los destinatarios

de datos no modificarán ni suprimirán dichas medidas técnicas de protección a menos que

el titular de datos acepte.

PE-CONS 49/1/23 REV 1 128

# **ES**

2. En las circunstancias a que se refiere el apartado 3, el tercero o el destinatario de datos

atenderá, sin demora indebida, las solicitudes del titular de datos y, en su caso, del

poseedor de un secreto comercial cuando no sea la misma persona, o del usuario para:

a) suprimir los datos puestos a disposición por el titular de datos y cualquier copia de

los datos;

b) poner fin a la producción, oferta o comercialización o utilización de bienes, datos

derivados o servicios producidos sobre la base de conocimientos obtenidos a través

de dichos datos, o la importación, exportación o almacenamiento de mercancías

infractoras con esos fines, y destruir cualquier mercancía infractora, cuando exista un

riesgo grave de que la utilización ilícita de dichos datos cause un perjuicio

significativo al titular de datos, al poseedor de un secreto comercial o al usuario, o

cuando dicha medida no fuese desproporcionada a la luz de los intereses del titular

de datos, del poseedor de un secreto comercial o del usuario;

c) informar al usuario de la utilización o divulgación no autorizadas de los datos y de

las medidas adoptadas para poner fin a la utilización o divulgación no autorizadas de

los datos;

d) compensar a la parte que sufra la utilización indebida o la divulgación de dichos

datos a los que se haya accedido o utilizado de forma ilícita.

3. El apartado 2 se aplicará cuando un tercero o un destinatario de datos:

a) con el fin de obtener datos haya proporcionado a un titular de datos información

falsa, haya utilizado medios engañosos o coercitivos o haya abusado de las lagunas

en la infraestructura técnica del titular de datos destinada a proteger los datos;

PE-CONS 49/1/23 REV 1 129

# **ES**

b) haya utilizado los datos puestos a disposición con fines no autorizados, incluido el

desarrollo de un producto conectado competidor en el sentido del artículo 6,

apartado 2, letra e);

c) haya divulgado ilícitamente datos a otro tercero;

d) no haya mantenido las medidas técnicas y organizativas acordadas en virtud del

artículo 5, apartado 9, o

e) haya modificado o eliminado medidas técnicas de protección aplicadas por el titular

de datos en virtud del apartado 1 del presente artículo sin el consentimiento del

titular de datos;

4. El apartado 2 también será aplicable cuando el usuario altere o elimine las medidas

técnicas de protección aplicadas por el titular de datos o no mantenga las medidas técnicas

y organizativas adoptadas por el usuario de acuerdo con el titular de datos o, cuando no

sean la misma persona, el poseedor de un secreto comercial, con el fin de preservar

secretos comerciales, así como respecto de cualquier otra persona que reciba los datos por

parte del usuario en infracción del presente Reglamento.

5. Cuando el destinatario de los datos infrinja el artículo 6, apartado 2, letras a) o b), los

usuarios tendrán los mismos derechos que los titulares de datos en virtud del apartado 2 del

presente artículo.

_Artículo 12_

_Ámbito de aplicación de las obligaciones de los titulares de datos_

_obligados por el Derecho de la Unión a poner los datos a disposición_

1. El presente capítulo se aplicará cuando, en las relaciones entre empresas, el titular de datos

esté obligado, en virtud del artículo 5 o en virtud del Derecho de la Unión aplicable o de

normativa nacional adoptada de conformidad con el Derecho de la Unión, a poner los datos

a disposición de un destinatario de datos.

PE-CONS 49/1/23 REV 1 130

# **ES**

2. Ninguna cláusula contractual de un acuerdo de intercambio de datos que, en detrimento de

una de las partes o, en su caso, en detrimento del usuario, excluya la aplicación del

presente capítulo, establezca excepciones a este o modifique sus efectos, será vinculante

para esa parte.

## **Capítulo IV** **Cláusulas contractuales abusivas entre empresas en relación con** **el acceso a los datos y su utilización**

_Artículo 13_

_Cláusulas contractuales abusivas impuestas unilateralmente a otra empresa_

1. Las cláusulas contractuales sobre el acceso a los datos y su utilización o sobre la

responsabilidad y las vías de recurso por incumplimiento o resolución unilateral de

obligaciones relativas a datos que hayan sido impuestas unilateralmente por una empresa a

otra empresa no serán vinculantes en caso de ser abusivas.

2. No se considerará abusiva una cláusula contractual que refleje disposiciones imperativas

del Derecho de la Unión o disposiciones del Derecho de la Unión que se aplicarían si las

cláusulas contractuales no regularan la materia.

3. Una cláusula contractual será abusiva si, por su naturaleza, su aplicación se aparta

manifiestamente de las buenas prácticas comerciales en materia de acceso a los datos y su

utilización, contrariamente a la buena fe y a la lealtad de las relaciones comerciales.

PE-CONS 49/1/23 REV 1 131

# **ES**

4. En particular, a los efectos del apartado 3, una cláusula contractual tendrá la consideración

de abusiva si tiene por objeto o efecto:

a) excluir o limitar la responsabilidad de la parte que haya impuesto unilateralmente la

cláusula en caso de acciones intencionadas o negligencia grave;

b) excluir las vías de recurso de que dispone la parte a la que se haya impuesto

unilateralmente la cláusula en caso de incumplimiento de obligaciones contractuales

o la responsabilidad de la parte que haya impuesto unilateralmente la cláusula en

caso de infracción de dichas obligaciones;

c) otorgar a la parte que haya impuesto unilateralmente la cláusula el derecho exclusivo

de determinar si los datos proporcionados son acordes con el contrato o de interpretar

cualquier cláusula contractual.

5. A los efectos del apartado 3, se presumirá que una cláusula contractual es abusiva si tiene

por objeto o efecto:

a) limitar de forma inadecuada las vías de recurso en caso de incumplimiento de

obligaciones contractuales o responsabilidad en caso de incumplimiento de dichas

obligaciones, o ampliar la responsabilidad de la empresa a la que se haya impuesto

unilateralmente la cláusula;

PE-CONS 49/1/23 REV 1 132

# **ES**

b) permitir a la parte que haya impuesto unilateralmente la cláusula acceder a los datos

de la otra parte contratante y utilizarlos de manera que cause un grave perjuicio a los

intereses legítimos de dicha otra parte, en particular cuando esos datos contengan

datos sensibles desde el punto de vista comercial o estén protegidos por secretos

comerciales o derechos de propiedad intelectual;

c) impedir a la parte a la que se haya impuesto unilateralmente la cláusula utilizar los

datos que haya proporcionado o generado durante el período de vigencia del

contrato, o limitar la utilización de estos datos en tal medida que esa parte no pueda

utilizar, recopilar ni controlar esos datos, ni acceder a ellos, ni explotar su valor de

manera adecuada;

d) impedir que la parte a la que se haya impuesto unilateralmente la cláusula resuelva

unilateralmente el contrato en un plazo razonable;

e) impedir a la parte a la que se haya impuesto unilateralmente la cláusula obtener una

copia de los datos que haya proporcionado o generado durante el período de vigencia

del contrato o dentro de un plazo razonable tras su resolución unilateral;

f) permitir a la parte que haya impuesto unilateralmente la cláusula resolver

unilateralmente el contrato con un plazo de preaviso excesivamente corto, habida

cuenta de cualquier posibilidad razonable de la otra parte contratante de cambiar a un

servicio alternativo y comparable y del perjuicio financiero ocasionado por esa

resolución, salvo cuando haya razones fundadas para hacerlo;

PE-CONS 49/1/23 REV 1 133

# **ES**

g) permitir que la parte que haya impuesto unilateralmente la cláusula modifique

sustancialmente el precio especificado en el contrato o cualquier otra condición

sustantiva relativa a la naturaleza, el formato, la calidad o la cantidad de los datos

que deban compartirse, cuando el contrato no especifique ninguna razón válida ni

derecho de la otra parte para resolver unilateralmente el contrato en caso de

efectuarse tal modificación.

La letra g) del presente apartado no afectará a las cláusulas en virtud de las cuales la parte

que haya impuesto unilateralmente la cláusula se reserva el derecho de modificar

unilateralmente las cláusulas de un contrato de duración indeterminada, siempre que el

contrato especificase alguna razón válida para efectuar dicha modificación unilateral, que

la parte que haya impuesto unilateralmente la cláusula esté obligada a proporcionar a la

otra parte contratante un preaviso razonable para efectuar la modificación planeada y que

la otra parte contratante tenga libertad para resolver unilateralmente el contrato sin coste

alguno en caso de que se produzca tal modificación.

6. Se considerará que una cláusula contractual se ha impuesto unilateralmente en la acepción

del presente artículo si ha sido aportada por una de las partes contratantes sin que la otra

parte contratante haya podido influir en su contenido pese a haber intentado negociarlo.

Corresponderá a la parte contratante que haya aportado la cláusula contractual demostrar

que no ha sido impuesta unilateralmente. La parte contratante que haya aportado la

cláusula contractual controvertida no podrá alegar que se trata de una cláusula contractual

abusiva.

7. En caso de que la cláusula contractual abusiva sea disociable de las demás cláusulas del

contrato, estas serán vinculantes.

PE-CONS 49/1/23 REV 1 134

# **ES**

8. El presente artículo no se aplicará a las cláusulas comerciales del objeto principal del

contrato ni a la adecuación del precio, con respecto a los datos suministrados a cambio.

9. Las partes de un contrato que entre en el ámbito de aplicación del apartado 1 no excluirán

la aplicación del presente artículo, ni establecerán excepciones a este ni modificarán sus

efectos.

## **Capítulo V** **Poner datos a disposición de los organismos del sector público,** **la Comisión, el Banco Central Europeo y los organismos de la Unión** **en razón de necesidades excepcionales**

_Artículo 14_

_Obligación de poner a disposición datos en razón de una necesidad excepcional_

Cuando un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de

la Unión demuestre una necesidad excepcional, tal como figura en el artículo 15, de utilizar

determinados datos, incluidos los metadatos pertinentes necesarios para interpretar y utilizar dichos

datos, para desarrollar sus funciones estatutarias en interés público, los titulares de datos que sean

personas jurídicas, distintos de organismos del sector público, que posean dichos datos los pondrán

a disposición previa solicitud debidamente motivada.

PE-CONS 49/1/23 REV 1 135

# **ES**

_Artículo 15_

_Necesidad excepcional de utilizar los datos_

1. Una necesidad excepcional de utilizar determinados datos en el sentido del presente

capítulo estará limitada en el tiempo y en su ámbito de aplicación y se considerará que

existe únicamente en cualquiera de las circunstancias siguientes:

a) cuando los datos solicitados sean necesarios para responder a una emergencia pública

y el organismo del sector público, la Comisión, el Banco Central Europeo o el

organismo de la Unión no pueda obtener dichos datos por medios alternativos de

manera oportuna y efectiva en condiciones equivalentes;

b) en circunstancias no contempladas en la letra a) y únicamente en lo que respecta a los

datos no personales, cuando:

i) un organismo del sector público, la Comisión, el Banco Central Europeo o un

organismo de la Unión actúe sobre la base del Derecho de la Unión o nacional

y haya identificado datos específicos cuya ausencia le impida desempeñar una

tarea específica realizada en interés público, que haya sido expresamente

prevista por la ley, como la elaboración de estadísticas oficiales o la mitigación

de una emergencia pública o recuperación tras dicha emergencia, y

PE-CONS 49/1/23 REV 1 136

# **ES**

ii) el organismo del sector público, la Comisión, el Banco Central Europeo o el

organismo de la Unión haya agotado todos los demás medios a su disposición

para obtener dichos datos, incluida la compra de datos no personales en el

mercado ofreciendo precios de mercado, o basándose en obligaciones

existentes de poner datos a disposición o la adopción de nuevas medidas

legislativas que puedan garantizar la disponibilidad de los datos en tiempo

oportuno.

2. El apartado 1, letra b), no se aplicará a las microempresas ni a las pequeñas empresas.

3. La obligación de demostrar que el organismo del sector público no ha podido obtener datos

no personales comprándolos en el mercado no se aplicará cuando la tarea específica

desempeñada en interés público sea la elaboración de estadísticas oficiales y cuando el

Derecho nacional no permita la compra de dichos datos.

_Artículo 16_

_Relación con otras obligaciones de poner datos a disposición de los organismos del sector público,_

_la Comisión, el Banco Central Europeo y los organismos de la Unión_

1. El presente capítulo no afectará a las obligaciones establecidas en el Derecho de la Unión o

nacional a efectos de la presentación de informes, de dar cumplimiento a las solicitudes de

acceso a información o de la demostración o verificación del cumplimiento de obligaciones

legales.

PE-CONS 49/1/23 REV 1 137

# **ES**

2. El presente capítulo no se aplicará a los organismos del sector público, a la Comisión, al

Banco Central Europeo ni a los organismos de la Unión que efectúen actividades con fines

de prevención, investigación, detección o enjuiciamiento de infracciones penales o

administrativas o de ejecución de sanciones penales, ni a la administración aduanera o

tributaria. El presente capítulo no afecta al Derecho aplicable de la Unión y nacional en

materia de prevención, investigación, detección o enjuiciamiento de infracciones penales o

administrativas o de ejecución de sanciones penales o administrativas, ni de administración

aduanera o tributaria.

_Artículo 17_

_Solicitudes de puesta a disposición de datos_

1. Cuando un organismo del sector público, la Comisión, el Banco Central Europeo o un

organismo de la Unión solicite datos con arreglo al artículo 14, deberá:

a) especificar qué datos son necesarios, incluidos los metadatos pertinentes necesarios

para interpretarlos y utilizarlos;

b) demostrar que se cumplen las condiciones necesarias para la existencia de una

necesidad excepcional a que se refiere el artículo 15 para la que se solicitan los datos;

c) explicar la finalidad de la solicitud, la utilización prevista de los datos solicitados,

incluso, cuando proceda, por un tercero de conformidad con el apartado 4 del

presente artículo, la duración de dicha utilización y, en su caso, la forma en que el

tratamiento de los datos personales responde a la necesidad excepcional;

PE-CONS 49/1/23 REV 1 138

# **ES**

d) especificar, siempre que sea posible, cuándo se prevé que los datos sean suprimidos

por todas las partes que tengan acceso a ellos;

e) justificar la elección del titular de datos al que se dirige la solicitud;

f) especificar todos los demás organismos del sector público o la Comisión, el Banco

Central Europeo o los organismos de la Unión y los terceros con los que se prevea

compartir los datos solicitados;

g) cuando se soliciten datos personales, especificar cualquier medida técnica y

organizativa necesaria y proporcionada para aplicar los principios de protección de

datos y las garantías necesarias, como la seudonimización, y si el titular de los datos

puede aplicar la anonimización antes de poner los datos a disposición;

h) indicar la disposición legal por la que se asigna al organismo del sector público

solicitante, a la Comisión, al Banco Central Europeo o a los organismos de la Unión

la tarea específica desempeñada en interés público pertinente para solicitar los datos;

i) especificar el plazo en que deben ponerse los datos a disposición y el plazo a que se

refiere el artículo 18, apartado 2, en que el titular de datos puede denegar o pedir la

modificación de la solicitud;

j) hacer todo lo posible por evitar que el cumplimiento de la solicitud de datos dé lugar

a la responsabilidad de los titulares de datos por infracción del Derecho de la Unión o

nacional.

PE-CONS 49/1/23 REV 1 139

# **ES**

2. Toda solicitud de datos presentada con arreglo al apartado 1 del presente artículo deberá:

a) expresarse por escrito y en un lenguaje claro, conciso y sencillo comprensible para el

titular de datos;

b) ser específica por lo que respecta al tipo de datos solicitados y corresponder a datos

que el titular de datos controle en el momento de la solicitud;

c) guardar proporción con la necesidad excepcional y estar debidamente motivada, por

lo que respecta a la granularidad y el volumen de los datos solicitados y la frecuencia

de acceso a los datos solicitados;

d) respetar los objetivos legítimos del titular de datos, con el compromiso de garantizar

la protección de los secretos comerciales de conformidad con el artículo 19,

apartado 3, y habida cuenta del coste y el esfuerzo necesarios para poner los datos a

disposición;

e) referirse a datos no personales y, sólo si se demuestra que ello es insuficiente para

responder a la necesidad excepcional de utilizar datos, de conformidad con el

artículo 15, apartado 1, letra a), solicitar datos personales en forma seudonimizada y

establecer las medidas técnicas y organizativas que se vayan a adoptar para proteger

los datos;

f) informar al titular de datos de las sanciones que impondrá de conformidad con el

artículo 40 la autoridad competente designada en cumplimiento del artículo 37 en

caso de que no se atienda la solicitud;

PE-CONS 49/1/23 REV 1 140

# **ES**

g) cuando la solicitud proceda de un organismo del sector público, transmitirse al

coordinador de datos a que se refiere el artículo 37 del Estado miembro en el que esté

establecido el organismo del sector público solicitante, que la hará pública en línea

sin demora indebida, a menos que el coordinador de datos considere que dicha

publicación podría crear un riesgo para la seguridad pública;

h) cuando la solicitud proceda de la Comisión, el Banco Central Europeo o los

organismos de la Unión, ponerse a disposición en línea sin demora indebida;

i) cuando se soliciten datos personales, notificarse sin demora indebida a la autoridad

de control responsable de supervisar la aplicación del Reglamento (UE) 2016/679 en

el Estado miembro en el que esté establecido el organismo del sector público.

El Banco Central Europeo y los organismos de la Unión informarán a la Comisión de sus

solicitudes.

3. Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo

de la Unión no pondrá los datos obtenidos de conformidad con el presente capítulo a

disposición para su reutilización tal como se define en el artículo 2, punto 2, del

Reglamento (UE) 2022/868 o en el artículo 2, punto 11, de la Directiva (UE) 2019/1024.

El Reglamento (UE) 2022/868 y la Directiva (UE) 2019/1024 no se aplicarán a aquellos

datos en poder de organismos del sector público que se obtengan de conformidad con el

presente capítulo.

PE-CONS 49/1/23 REV 1 141

# **ES**

4. Lo dispuesto en el apartado 3 del presente artículo no impedirá a un organismo del sector

público, la Comisión, el Banco Central Europeo o un organismo de la Unión intercambiar

los datos obtenidos con arreglo al presente capítulo con otro organismo del sector público o

la Comisión, el Banco Central Europeo o un organismo de la Unión con el fin de completar

las tareas a que se refiere el artículo 15, tal como se especifica en la solicitud con arreglo al

apartado 1, letra f), del presente artículo, ni poner los datos a disposición de un tercero en

los casos en que se haya delegado en ese tercero, mediante un acuerdo disponible al

público, la realización de inspecciones técnicas u otras funciones. Las obligaciones de los

organismos del sector público con arreglo al artículo 19, en particular, las garantías para

preservar la confidencialidad de los secretos comerciales, se aplicarán también a dichos

terceros. Cuando un organismo del sector público, la Comisión, el Banco Central Europeo

o un organismo de la Unión transmita o ponga a disposición datos en aplicación del

presente apartado, lo notificará al titular de datos del que haya recibido los datos sin

demora indebida.

5. Cuando el titular de datos considere que sus derechos en virtud del presente capítulo han

sido vulnerados por la transmisión o puesta a disposición de datos, podrá presentar una

reclamación ante la autoridad competente designada en cumplimiento del artículo 37 del

Estado miembro en el que esté establecido el titular de datos.

6. La Comisión elaborará un modelo para las solicitudes con arreglo al presente artículo.

PE-CONS 49/1/23 REV 1 142

# **ES**

_Artículo 18_

_Cumplimiento de las solicitudes de datos_

1. Cuando un titular de datos reciba una solicitud de puesta a disposición de datos con arreglo

al presente capítulo, pondrá los datos a disposición del organismo del sector público, la

Comisión, el Banco Central Europeo o un organismo de la Unión solicitante sin demora

indebida, teniendo en cuenta las medidas técnicas, organizativas y jurídicas necesarias.

2. Sin perjuicio de las necesidades específicas relativas a la disponibilidad de datos definidas

en el Derecho de la Unión o nacional, el titular de datos podrá denegar o solicitar la

modificación de una solicitud de poner a disposición los datos con arreglo al presente

capítulo sin demora indebida y, en cualquier caso, a más tardar cinco días hábiles después

de la recepción de una solicitud de los datos necesarios para responder a una emergencia

pública y sin demora indebida y, en cualquier caso, a más tardar treinta días hábiles

después de la recepción de dicha solicitud en otros casos de necesidad excepcional, por

cualquiera de los motivos siguientes:

a) que el titular de datos no tenga control sobre los datos solicitados;

b) que otro organismo del sector público o la Comisión, el Banco Central Europeo o un

organismo de la Unión haya presentado previamente una solicitud similar para el

mismo fin y no se haya notificado la supresión de los datos al titular de los datos de

conformidad con el artículo 19, apartado 1, letra c);

c) que la solicitud no reúna las condiciones establecidas en el artículo 17, apartados 1

y 2.

PE-CONS 49/1/23 REV 1 143

# **ES**

3. En caso de que el titular de datos decida denegar la solicitud o pedir su modificación de

conformidad con el apartado 2, letra b), indicará la identidad del organismo del sector

público o la Comisión, el Banco Central Europeo o el organismo de la Unión que haya

presentado previamente una solicitud con la misma finalidad.

4. Cuando los datos solicitados incluyan datos personales, el titular de datos anonimizará

adecuadamente los datos, a menos que el cumplimiento de la solicitud de poner datos a

disposición de un organismo del sector público, la Comisión, el Banco Central Europeo o

un organismo de la Unión exija la divulgación de datos personales. En tales casos, el titular

de datos seudonimizará los datos.

5. Cuando el organismo del sector público, la Comisión, el Banco Central Europeo o el

organismo de la Unión desee impugnar la negativa de un titular de datos a proporcionar los

datos solicitados, o cuando el titular de datos desee impugnar la solicitud y el asunto no

pueda resolverse mediante una modificación adecuada de la solicitud, el asunto se

someterá a la autoridad competente designada en cumplimiento del artículo 37 del Estado

miembro en el que esté establecido el titular de datos.

_Artículo 19_

_Obligaciones de los organismos del sector público,_

_la Comisión, el Banco Central Europeo y los organismos de la Unión_

1. Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo

de la Unión que reciba datos de conformidad con una solicitud presentada con arreglo al

artículo 14:

a) no podrá utilizar los datos de manera incompatible con la finalidad para la que hayan

sido solicitados;

PE-CONS 49/1/23 REV 1 144

# **ES**

b) habrá aplicado medidas técnicas y organizativas que preserven la confidencialidad y

la integridad de los datos solicitados y la seguridad de las transferencias de datos, en

particular los datos personales, y garanticen los derechos y libertades de los

interesados;

c) suprimirá los datos en cuanto dejen de ser necesarios para la finalidad declarada e

informará sin demora indebida al titular de datos y a las personas u organizaciones

que hayan recibido los datos de conformidad con el artículo 21, apartado 1, de que

los datos han sido suprimidos, a menos que el archivo de los datos sea necesario de

conformidad con el Derecho de la Unión o nacional sobre acceso público a los

documentos en el contexto de las obligaciones de transparencia.

2. El organismo del sector público, la Comisión, el Banco Central Europeo, el organismo de

la Unión o el tercero que reciba datos con arreglo al presente capítulo no podrá:

a) utilizar los datos o las ideas sobre la situación económica, los activos y los métodos

de producción o funcionamiento del titular de datos para desarrollar o mejorar un

producto conectado o servicio relacionado que compita con el producto conectado o

servicio relacionado del titular de datos;

b) compartir los datos con otro tercero para cualquiera de los fines a que se refiere la

letra a).

PE-CONS 49/1/23 REV 1 145

# **ES**

3. La revelación de secretos comerciales a un organismo del sector público, a la Comisión, al

Banco Central Europeo o a un organismo de la Unión se exigirá solo en la medida en que

sea estrictamente necesario para cumplir la finalidad de una solicitud en virtud del

artículo 15. En tal caso, el titular de datos o, si no se trata de la misma persona, el poseedor

del secreto comercial, identificará los datos protegidos como secretos comerciales, también

en los metadatos pertinentes. El organismo del sector público, la Comisión, el Banco

Central Europeo o el organismo de la Unión adoptarán, antes de la revelación de los

secretos comerciales, todas las medidas técnicas y organizativas necesarias y adecuadas

para preservar la confidencialidad de los secretos comerciales, incluido, en su caso, el uso

de cláusulas contractuales tipo, normas técnicas y la aplicación de códigos de conducta.

4. Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo

de la Unión será responsable de la seguridad de los datos que reciba.

_Artículo 20_

_Compensación en caso de necesidad excepcional_

1. Los titulares de datos distintos de las microempresas y pequeñas empresas pondrán a

disposición de forma gratuita los datos necesarios para responder a una emergencia pública

con arreglo al artículo 15, apartado 1, letra a). El organismo del sector público, la

Comisión, el Banco Central Europeo o el organismo de la Unión que haya recibido los

datos dará reconocimiento público al titular de datos si este así lo solicita.

PE-CONS 49/1/23 REV 1 146

# **ES**

2. El titular de datos tendrá derecho a una compensación justa por poner a disposición datos

en cumplimiento de una solicitud presentada con arreglo al artículo 15, apartado 1, letra b).

Tal compensación cubrirá los costes técnicos y organizativos soportados para dar

cumplimiento a la solicitud, incluidos, en su caso, los costes de anonimización,

seudonimización, agregación y de adaptación técnica, más un margen razonable. A

petición del organismo del sector público, la Comisión, el Banco Central Europeo o el

organismo de la Unión, el titular de datos proporcionará información sobre la base de

cálculo de los costes y del margen razonable.

3. El apartado 2 también será de aplicación cuando una microempresa y pequeña empresa

exija una compensación por poner a disposición los datos.

4. Los titulares de datos no tendrán derecho a una compensación por la puesta de datos a

disposición en cumplimiento de una solicitud realizada con arreglo al artículo 15,

apartado 1, letra b), cuando la tarea específica desempeñada en interés público sea la

elaboración de estadísticas oficiales y el Derecho nacional no permita la compra de datos.

Los Estados miembros notificarán a la Comisión los casos en que el Derecho nacional no

permita la compra de datos para la elaboración de estadísticas oficiales.

5. Cuando el organismo del sector público, la Comisión, el Banco Central Europeo o el

organismo de la Unión no acepte el nivel de compensación solicitado por el titular de

datos, podrá presentar una reclamación ante la autoridad competente designada en

cumplimiento del artículo 37 del Estado miembro en el que esté establecido el titular de

datos.

PE-CONS 49/1/23 REV 1 147

# **ES**

_Artículo 21_

_Intercambio de datos con organizaciones de investigación u organismos estadísticos,_

_obtenidos en el contexto de alguna necesidad excepcional_

1. Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo

de la Unión tendrá derecho a compartir datos recibidos en virtud del presente capítulo:

a) con personas u organizaciones con miras a la realización de investigaciones

científicas o análisis compatibles con el fin para el que se solicitaron los datos, o

b) con los institutos nacionales de estadística y Eurostat para la elaboración de

estadísticas oficiales.

2. Las personas físicas u organizaciones que reciban los datos con arreglo al apartado 1

actuarán sin fines lucrativos o en el contexto de una misión de interés público reconocida

en el Derecho de la Unión o nacional. Quedarán excluidas las organizaciones sujetas a una

influencia importante de empresas comerciales que es probable que resulte en un acceso

preferente a los resultados de la investigación.

3. Las personas físicas u organizaciones que reciban los datos con arreglo al apartado 1 del

presente artículo cumplirán las mismas obligaciones que se aplican a los organismos del

sector público, a la Comisión, al Banco Central Europeo o a los organismos de la Unión

con arreglo al artículo 17, apartado 3, y al artículo 19.

PE-CONS 49/1/23 REV 1 148

# **ES**

4. No obstante lo dispuesto en el artículo 19, apartado 1, letra c), las personas físicas u

organizaciones que reciban los datos con arreglo al apartado 1 del presente artículo podrán

conservar los datos recibidos para el fin para el que se solicitaron los datos hasta seis meses

desde la supresión de los datos por los organismos del sector público, la Comisión, el

Banco Central Europeo y los organismos de la Unión.

5. Cuando un organismo del sector público, la Comisión, el Banco Central Europeo o un

organismo de la Unión se proponga transmitir o poner datos a disposición con arreglo al

apartado 1 del presente artículo, lo notificará sin demora indebida al titular de datos del que

se hayan recibido los datos, indicando la identidad y los datos de contacto de la

organización o persona física que reciba los datos, la finalidad de la transmisión o puesta a

disposición de los datos, el plazo durante el cual se utilizarán los datos y las medidas

técnicas y organizativas de protección adoptadas, también cuando se trate de datos

personales o secretos comerciales. Cuando el titular de datos no acepte la transmisión o

puesta a disposición de datos, podrá presentar una reclamación ante la autoridad

competente designada en cumplimiento del artículo 37 del Estado miembro en el que esté

establecido el titular de datos.

_Artículo 22_

_Asistencia mutua y cooperación transfronteriza_

1. Los organismos del sector público, la Comisión, el Banco Central Europeo y los

organismos de la Unión cooperarán y se asistirán mutuamente con el fin de aplicar el

presente capítulo de manera coherente.

2. Los datos compartidos en el contexto de la petición y prestación de asistencia con arreglo

al apartado 1 no podrán utilizarse de manera incompatible con la finalidad prevista en la

petición.

PE-CONS 49/1/23 REV 1 149

# **ES**

3. Cuando un organismo del sector público prevea solicitar datos a un titular de datos

establecido en otro Estado miembro, notificará previamente su intención a la autoridad

competente designada en cumplimiento del artículo 37 en dicho Estado miembro. Este

requisito se aplicará también a las solicitudes de la Comisión, el Banco Central Europeo y

los organismos de la Unión. La solicitud será examinada por la autoridad competente del

Estado miembro en el que esté establecido el titular de los datos.

4. Tras haber examinado la solicitud a la luz de los requisitos establecidos en el artículo 17, la

autoridad competente pertinente adoptará, sin demora indebida, una de las siguientes

medidas:

a) transmitirá la solicitud al titular de datos y, en su caso, asesorará al organismo del

sector público solicitante, a la Comisión, al Banco Central Europeo o al organismo

de la Unión sobre la necesidad, en su caso, de cooperar con los organismos del sector

público del Estado miembro en el que esté establecido el titular de datos con el fin de

reducir la carga administrativa que pesa sobre el titular de datos en el cumplimiento

de la solicitud;

b) rechazará la solicitud por razones debidamente motivadas, de conformidad con el

presente capítulo.

El organismo del sector público solicitante, la Comisión, el Banco Central Europeo y el

organismo de la Unión tendrán en cuenta el asesoramiento y los motivos de la autoridad

competente pertinente de conformidad con el párrafo primero antes de iniciar cualquier

acción adicional, como volver a enviar la solicitud, en su caso.

PE-CONS 49/1/23 REV 1 150

# **ES**

## **Capítulo VI** **Cambio entre servicios de tratamiento de datos**

_Artículo 23_

_Eliminación de los obstáculos a un cambio efectivo_

Los proveedores de servicios de tratamiento de datos adoptarán las medidas previstas en los

artículos 25, 26, 27, 29 y 30 para permitir a los clientes cambiar a un servicio de tratamiento de

datos que cubra el mismo tipo de servicio, que sea prestado por un proveedor diferente de servicios

de tratamiento de datos o a una infraestructura de TIC local o, cuando proceda, usar varios

proveedores de servicios de tratamiento de datos simultáneamente. En particular, los proveedores de

servicios de tratamiento de datos eliminarán y no pondrán obstáculos precomerciales, comerciales,

técnicos, contractuales y organizativos que disuada a los clientes:

a) resolver, tras el plazo máximo de preaviso y la tramitación con éxito del proceso de

cambio, de conformidad con el artículo 25, el contrato de servicio de tratamiento de datos;

b) celebrar nuevos contratos con otro proveedor de servicios de tratamiento de datos que

cubran el mismo tipo de servicio;

PE-CONS 49/1/23 REV 1 151

# **ES**

c) transferir los datos exportables del cliente y sus activos digitales a un proveedor diferente

de servicios de tratamiento de datos o a una infraestructura de TIC local, incluso después

de haberse beneficiado de una oferta gratuita;

d) de conformidad con el artículo 24, alcanzar la equivalencia funcional en el uso del nuevo

servicio de tratamiento de datos en el entorno de las TIC de un proveedor o proveedores

diferentes de servicios de tratamiento de datos que incluyan el mismo tipo de servicio;

e) la desagregación, cuando sea técnicamente viable, de los servicios de tratamiento de datos

a que se refiere el artículo 30, apartado 1, de otros servicios de tratamiento de datos

prestados por el proveedor de servicios de tratamiento de datos.

_Artículo 24_

_Alcance de las obligaciones técnicas_

Las responsabilidades de los proveedores de servicios de tratamiento de datos establecidas en los

artículos 23, 25, 29, 30 y 34, se aplicarán solo a los servicios, contratos o prácticas comerciales

prestados por el proveedor de servicios de tratamiento de datos de origen.

PE-CONS 49/1/23 REV 1 152

# **ES**

_Artículo 25_

_Cláusulas contractuales relativas al cambio_

1. Los derechos del cliente y las obligaciones del proveedor de servicios de tratamiento de

datos en relación con el cambio de proveedor de esos servicios o, en su caso, el cambio a

una infraestructura de TIC local se establecerán con claridad en un contrato escrito. El

proveedor de servicios de tratamiento de datos pondrá dicho contrato a disposición del

cliente antes de su firma, de un modo que permita al cliente conservar y reproducir el

contrato.

2. Sin perjuicio de lo dispuesto en la Directiva (UE) 2019/770, el contrato a que se refiere el

apartado 1 del presente artículo incluirá al menos los siguientes elementos:

a) cláusulas que permitan al cliente, previa solicitud, cambiar a un servicio de

tratamiento de datos ofrecido por un proveedor diferente de servicios de tratamiento

de datos o trasladar todos los datos exportables y activos digitales a una

infraestructura de TIC local, sin demora indebida y, en cualquier caso, en un plazo no

superior al período transitorio obligatorio máximo de treinta días naturales, que

comenzará al final del plazo máximo de preaviso a que se refiere la letra d), durante

el cual el contrato de servicio se seguirá aplicando y durante el cual el proveedor de

servicios de tratamiento de datos:

i) prestará una asistencia razonable al cliente y a terceros autorizados por el

cliente en el proceso de cambio,

PE-CONS 49/1/23 REV 1 153

# **ES**

ii) actuará con la diligencia debida para mantener la continuidad de las actividades

y continuará la prestación de las funciones o servicios en virtud del contrato,

iii) proporcionará información clara sobre los riesgos conocidos para la

continuidad de la prestación de las funciones o servicios por parte del

proveedor de servicios de tratamiento de datos de origen,

iv) garantizará que se mantenga un alto nivel de seguridad a lo largo de todo el

proceso de cambio, en particular, la seguridad de los datos durante su

transferencia y la seguridad continua de los datos durante el período de

extracción especificado en la letra g), de conformidad con el Derecho aplicable

de la Unión o nacional;

b) la obligación del proveedor de servicios de tratamiento de datos de apoyar la

estrategia de salida del cliente pertinente para los servicios contratados, también

proporcionando toda la información pertinente;

c) la cláusula en la que se especifique que el contrato se considerará resuelto y se

notificará al cliente la resolución, en uno de los siguientes casos:

i) cuando proceda, una vez concluido con éxito el proceso de cambio,

ii) al final del plazo máximo de preaviso a que se refiere la letra d), cuando el

cliente no desee cambiar de proveedor, sino suprimir todos sus datos

exportables y activos digitales una vez resuelto el servicio;

d) un plazo máximo de preaviso para el inicio del proceso de cambio, que no excederá

de dos meses;

PE-CONS 49/1/23 REV 1 154

# **ES**

e) una especificación exhaustiva de todas las categorías de datos y activos digitales que

pueden ser exportadas durante el proceso de cambio, que deberá comprender, como

mínimo, todos los datos exportables;

f) una especificación exhaustiva de las categorías de datos específicas del

funcionamiento interno del servicio de tratamiento de datos del proveedor que deben

quedar excluidas de los datos exportables con arreglo a la letra e) del presente

apartado cuando exista un riesgo de violación de secretos comerciales del proveedor,

siempre que dichas exenciones no impidan ni retrasen el proceso de cambio previsto

en el artículo 23;

g) un período mínimo para la extracción de datos de al menos treinta días naturales

después de la expiración del período transitorio pactado entre el cliente y el

proveedor de servicios de tratamiento de datos, de conformidad con la letra a) del

presente apartado y el apartado 4;

h) una cláusula que garantice la supresión total de todos los datos exportables y activos

digitales generados directamente por el cliente, o directamente relacionados con el

cliente, tras la expiración del período de extracción a que se refiere la letra g) o tras

la expiración de un período alternativo pactado fijado en una fecha posterior a la

fecha de expiración del período de extracción a que se refiere la letra g), siempre que

el proceso de cambio haya finalizado con éxito;

i) los costes por cambio que puedan imponer los proveedores de servicios de

tratamiento de datos de conformidad con el artículo 29.

PE-CONS 49/1/23 REV 1 155

# **ES**

3. El contrato al que se refiere el apartado 1, incluirá cláusulas que estipulen que el cliente

puede notificar al proveedor de servicios de tratamiento de datos su decisión de realizar

una o varias de las siguientes acciones una vez expire el plazo máximo de preaviso a que

se refiere el apartado 2, letra d):

a) cambiar a un proveedor diferente de servicios de tratamiento de datos, en cuyo caso

el cliente proporcionará los datos de contacto necesarios de dicho proveedor;

b) cambiar a una infraestructura de TIC local;

c) suprimir sus datos exportables y sus activos digitales.

4. Cuando el período transitorio obligatorio máximo establecido en el apartado 2, letra a), sea

técnicamente inviable, el proveedor de servicios de tratamiento de datos notificará la

inviabilidad técnica al cliente dentro de un plazo de catorce días hábiles desde que se haya

presentado la solicitud de cambio, y justificará debidamente dicha inviabilidad e indicará

un período transitorio alternativo, que no excederá de siete meses. De conformidad con el

apartado 1, se garantizará la continuidad del servicio durante todo el período transitorio

alternativo.

5. Sin perjuicio de lo dispuesto en el apartado 4, el contrato al que se refiere el apartado 1

incluirá disposiciones que otorguen al cliente el derecho a prorrogar el período transitorio

una vez por un período que el cliente considere más adecuado para sus propios fines.

PE-CONS 49/1/23 REV 1 156

# **ES**

_Artículo 26_

_Obligación de información de los proveedores de servicios de tratamiento de datos_

El proveedor de servicios de tratamiento de datos proporcionará al cliente:

a) información sobre los procedimientos disponibles para el cambio y la transferencia al

servicio de tratamiento de datos, incluida la información sobre los métodos y formatos de

cambio y de transferencia disponibles, así como las restricciones y limitaciones técnicas

conocidas por el proveedor de servicios de tratamiento de datos;

b) una referencia a un registro en línea actualizado alojado por el proveedor de servicios de

tratamiento de datos, con detalles de todas las estructuras y formatos de datos, así como de

las normas pertinentes y las especificaciones de interoperabilidad abiertas, en el que estén

disponibles los datos exportables a que se refiere el artículo 25, apartado 2, letra e).

_Artículo 27_

_Obligación de buena fe_

Todas las partes implicadas, incluidos los proveedores de servicios de tratamiento de datos de

destino, cooperarán de buena fe para que el proceso de cambio sea eficaz, posibilitar la

transferencia de los datos en tiempo oportuno y mantener la continuidad del servicio de tratamiento

de datos.

PE-CONS 49/1/23 REV 1 157

# **ES**

_Artículo 28_

_Obligaciones de transparencia contractual en materia de acceso y transferencia internacionales_

1. Los proveedores de servicios de tratamiento de datos pondrán a disposición en sus sitios

web la siguiente información y la mantendrán actualizada:

a) la jurisdicción a la que está sujeta la infraestructura de TIC desplegada para el

tratamiento de datos de sus servicios individuales;

b) una descripción general de las medidas técnicas, organizativas y contractuales

adoptadas por el proveedor de servicios de tratamiento de datos para impedir el

acceso o transferencia internacionales por parte de las administraciones públicas de

datos no personales que se encuentren en la Unión, cuando dicho acceso o

transferencia pueda entrar en conflicto con el Derecho de la Unión o con el Derecho

nacional del Estado miembro de que se trate.

2. Los sitios web a que se refiere el apartado 1 se enumerarán en los contratos de todos los

servicios de tratamiento de datos ofrecidos por los proveedores de servicios de tratamiento

de datos.

_Artículo 29_

_Supresión gradual de los costes por cambio_

1. A partir del … [tres años a partir de la fecha de entrada en vigor del presente Reglamento],

los proveedores de servicios de tratamiento de datos no impondrán al cliente ningún coste

por cambio por el proceso de cambio.

PE-CONS 49/1/23 REV 1 158

# **ES**

2. Del … [fecha de entrada en vigor del presente Reglamento] hasta el… [tres años a partir de

la fecha de entrada en vigor del presente Reglamento], los proveedores de servicios de

tratamiento de datos podrán imponer al cliente costes por cambio reducidos por el proceso

de cambio.

3. Los costes por cambio reducidos contemplados en el apartado 2 no excederán de los costes

soportados por el proveedor de servicios de tratamiento de datos que tengan una relación

directa con el proceso de cambio de que se trate.

4. Antes de celebrar un contrato con un cliente, los proveedores de servicios de tratamiento

de datos proporcionarán al posible cliente información clara sobre los costes estándar del

servicio y las sanciones por resolución anticipada que podrían imponerse, así como sobre

la reducción de los costes por cambio que podrían imponerse durante el plazo a que se

refiere el apartado 2.

5. Cuando proceda, los proveedores de servicios de tratamiento de datos proporcionarán

información al cliente sobre los servicios de tratamiento de datos que impliquen un cambio

muy complejo o costoso o para los que sea imposible cambiar de proveedor sin

interferencias significativas en los datos, los activos digitales o la arquitectura del servicio.

6. Cuando proceda, los proveedores de servicios de tratamiento de datos pondrán la

información a que se refieren los apartados 4 y 5 a disposición pública para los clientes a

través de una sección específica de su sitio web o de cualquier otra forma fácilmente

accesible.

PE-CONS 49/1/23 REV 1 159

# **ES**

7. La Comisión estará facultada para adoptar actos delegados, de conformidad con el

artículo 45, con el fin de completar el presente Reglamento mediante el establecimiento de

un mecanismo de seguimiento que permita a la Comisión supervisar los costes por cambio

aplicados por los proveedores de servicios de tratamiento de datos en el mercado para

garantizar que la supresión y la reducción de los costes por cambio con arreglo a los

apartados 1 y 2 del presente artículo, se alcancen de conformidad con los plazos previstos

en dichos apartados.

_Artículo 30_

_Aspectos técnicos del cambio_

1. Los proveedores de servicios de tratamiento de datos que afectan a recursos informáticos

modulables y elásticos limitados a elementos de infraestructura, como los servidores, las

redes y los recursos virtuales necesarios para explotar la infraestructura, pero que no

proporcionan acceso a los servicios operativos, aplicaciones y software almacenados,

tratados o implantados en esos elementos de infraestructura, adoptarán, de conformidad

con el artículo 27, todas las medidas razonables a su alcance para facilitar que el cliente,

tras cambiar a un servicio que cubra el mismo tipo de servicio, logre la equivalencia

funcional en el uso del servicio de tratamiento de datos de destino. El proveedor de

servicios de tratamiento de datos de origen facilitará el proceso de cambio proporcionando

capacidades, información adecuada, documentación, apoyo técnico y, cuando proceda, las

herramientas necesarias.

PE-CONS 49/1/23 REV 1 160

# **ES**

2. Los proveedores de servicios de tratamiento de datos, distintos de a los que se refiere el

apartado 1, pondrán gratuitamente interfaces abiertas a disposición de todos sus clientes y

de los proveedores de servicios de tratamiento de datos de destino afectados, de igual

manera, para facilitar el proceso de cambio. Estas interfaces incluirán información

suficiente sobre el servicio de que se trate para permitir el desarrollo de programas

informáticos para comunicarse con los servicios, a efectos de la portabilidad de los datos y

la interoperabilidad.

3. En el caso de servicios de tratamiento de datos distintos de los contemplados en el

apartado 1 del presente artículo, los proveedores de servicios de tratamiento de datos

garantizarán la compatibilidad con las especificaciones comunes basadas en

especificaciones de interoperabilidad abiertas o normas armonizadas de interoperabilidad

al menos doce meses después de la publicación de las referencias a dichas especificaciones

comunes de interoperabilidad o normas armonizadas de interoperabilidad de los servicios

de tratamiento de datos en el repositorio central de la Unión de normas para la

interoperabilidad de los servicios de tratamiento de datos tras la publicación de los actos de

ejecución correspondientes en el _Diario Oficial de la Unión Europea_ de conformidad con

el artículo 35, apartado 7.

4. Los proveedores de servicios de tratamiento de datos distintos de los contemplados en el

apartado 1 del presente artículo actualizarán el registro en línea a que se refiere el

artículo 26, letra b), de conformidad con sus obligaciones en virtud del apartado 3 del

presente artículo.

PE-CONS 49/1/23 REV 1 161

# **ES**

5. En caso de cambio entre servicios del mismo tipo de servicio, para los que no se hayan

publicado las especificaciones comunes o las normas armonizadas de interoperabilidad a

que se refiere el apartado 3 del presente artículo en el repositorio central de la Unión de

normas para la interoperabilidad de los servicios de tratamiento de datos de conformidad

con el artículo 35, apartado 8, el proveedor de servicios de tratamiento de datos exportará,

a petición del cliente, todos los datos exportables en un formato estructurado, de utilización

habitual y de lectura mecánica.

6. Los proveedores de servicios de tratamiento de datos no estarán obligados a desarrollar

nuevas tecnologías o servicios, ni a revelar o transferir activos digitales protegidos por

derechos de propiedad intelectual o que constituyan un secreto comercial, a un cliente o a

un proveedor diferente de servicios de tratamiento de datos, ni a comprometer la seguridad

y la integridad del servicio del cliente o del proveedor.

_Artículo 31_

_Régimen específico para determinados servicios de tratamiento de datos_

1. Las obligaciones establecidas en el artículo 23, letra d), en el artículo 29 y en el artículo 30,

apartados 1 y 3, no se aplicarán a los servicios de tratamiento de datos una mayor parte de

cuyas características principales se hayan desarrollado a medida para satisfacer las

necesidades específicas de un cliente concreto o en los que todos los componentes se hayan

desarrollado para los fines de un cliente concreto, y cuando esos servicios de tratamiento

de datos no se ofrezcan a gran escala comercial a través del catálogo de servicios del

proveedor de servicios de tratamiento de datos.

PE-CONS 49/1/23 REV 1 162

# **ES**

2. Las obligaciones establecidas en el presente capítulo no se aplicarán a los servicios de

tratamiento de datos prestados como versión no destinada a la producción con fines de

ensayo y evaluación y durante un período de tiempo limitado.

3. Antes de la celebración de un contrato sobre la prestación de los servicios de tratamiento

de datos a que se refiere el presente artículo, el proveedor de servicios de tratamiento de

datos informará al posible cliente de las obligaciones del presente capítulo que no sean

aplicables.

## **Capítulo VII** **Acceso y transferencia internacionales ilícitos de datos no personales** **por parte de administraciones públicas**

_Artículo 32_

_Acceso y transferencia internacionales por parte de administraciones públicas_

1. Los proveedores de servicios de tratamiento de datos personales adoptarán todas las

medidas técnicas, organizativas y jurídicas adecuadas, lo que incluye la celebración de

contratos, para impedir el acceso y la transferencia internacionales y por parte de las

administraciones públicas de terceros países de datos no personales que se encuentren en la

Unión, cuando dicha transferencia o acceso entren en conflicto con el Derecho de la Unión

o con el Derecho nacional del Estado miembro de que se trate, sin perjuicio de lo dispuesto

en los apartados 2 o 3.

PE-CONS 49/1/23 REV 1 163

# **ES**

2. Las resoluciones o sentencias de órganos jurisdiccionales de un tercer país y las decisiones

de autoridades administrativas de un tercer país en las que se exija a un proveedor de

servicios de tratamiento de datos transferir o dar acceso a datos no personales incluidos en

el ámbito de aplicación del presente Reglamento que se encuentren en la Unión solo se

reconocerá o ejecutará de cualquier forma si se basan en un acuerdo internacional, como

un tratado de asistencia jurídica mutua, vigente entre el tercer país solicitante y la Unión o

entre el tercer país solicitante y un Estado miembro.

3. En ausencia de un acuerdo internacional de los contemplados en el apartado 2, cuando un

proveedor de servicios de tratamiento de datos sea el destinatario de una resolución o

sentencia de un órgano jurisdiccional de un tercer país o de una decisión de una autoridad

administrativa de un tercer país de transferir o dar acceso a datos no personales incluidos

en el ámbito de aplicación del presente Reglamento que se encuentren en la Unión y el

cumplimiento de dicha decisión entrañe el riesgo de que el destinatario entre en conflicto

con el Derecho de la Unión o con el Derecho nacional del Estado miembro de que se trate,

la transferencia a dichos datos o el acceso a los mismos por parte de dicha autoridad de un

tercer país solo tendrá lugar cuando:

a) el sistema del tercer país exija que se expongan los motivos y la proporcionalidad de

dicha resolución o sentencia y que la resolución o sentencia sea de carácter

específico, por ejemplo, estableciendo un vínculo suficiente con determinadas

personas sospechosas o infracciones;

b) la oposición motivada del destinatario se someta a la apreciación de un órgano

jurisdiccional competente del tercer país, y

PE-CONS 49/1/23 REV 1 164

# **ES**

c) el órgano jurisdiccional competente del tercer país que dicte la resolución o sentencia

o revise la resolución de una autoridad administrativa esté facultado, con arreglo al

Derecho del tercer país, para tener debidamente en cuenta los intereses jurídicos

pertinentes del proveedor de los datos protegidos por el Derecho de la Unión o por el

Derecho nacional del Estado miembro pertinente.

El destinatario de la resolución o sentencia podrá solicitar el dictamen del organismo

nacional pertinente o de la autoridad competente en materia de cooperación internacional

en asuntos jurídicos, con el fin de determinar si se cumplen las condiciones establecidas en

el párrafo primero, en particular, cuando considere que la decisión puede referirse a

secretos comerciales y otros datos sensibles desde el punto de vista comercial, así como a

contenidos protegidos por derechos de propiedad intelectual, o que la transferencia puede

dar lugar a una reidentificación. El organismo o autoridad nacional competente podrá

consultar a la Comisión. Si el destinatario considera que la decisión o sentencia puede

afectar a los intereses de la seguridad nacional o de la defensa de la Unión o de sus Estados

miembros, solicitará el dictamen del organismo o autoridad nacional competente, a fin de

determinar si los datos solicitados se refieren a intereses de seguridad nacional o de

defensa de la Unión o de sus Estados miembros. Si el destinatario no ha recibido una

respuesta en el plazo de un mes, o si el dictamen de tal organismo o autoridad llega a la

conclusión de que no se cumplen las condiciones establecidas en el párrafo primero, el

destinatario podrá denegar por esos motivos la solicitud de transferencia o acceso a datos

no personales.

PE-CONS 49/1/23 REV 1 165

# **ES**

El CEID a que se refiere el artículo 42 asesorará y asistirá a la Comisión en la elaboración

de directrices para la evaluación del cumplimiento de las condiciones establecidas en el

párrafo primero del presente apartado.

4. Si se cumplen las condiciones establecidas en los apartados 2 o 3, el proveedor de servicios

de tratamiento de datos proporcionará la cantidad mínima de datos permitida en respuesta a

una solicitud, sobre la base de la interpretación razonable de dicha solicitud por parte del

proveedor o del organismo o autoridad nacional competente a que se refiere el apartado 3,

párrafo segundo.

5. Antes de dar cumplimiento a dicha solicitud, el proveedor de servicios de tratamiento de

datos informará al cliente de que una autoridad de un tercer país ha presentado una

solicitud de acceso a sus datos, excepto en los casos en que la solicitud sirva a fines de

aplicación de la ley y mientras sea necesario para preservar la eficacia de las actividades

correspondientes de aplicación de la ley.

PE-CONS 49/1/23 REV 1 166

# **ES**

## **Capítulo VIII** **Interoperabilidad**

_Artículo 33_

_Requisitos esenciales en materia de interoperabilidad de los datos, de los mecanismos_

_y servicios de intercambio de datos, y de los espacios comunes europeos de datos_

1. Los participantes en espacios de datos que ofrezcan datos o servicios de datos a otros

participantes cumplirán los siguientes requisitos esenciales para facilitar la

interoperabilidad de los datos, de los mecanismos y servicios de intercambio de datos, y de

los espacios comunes europeos de datos que sean marcos interoperables específicos,

sectoriales o intersectoriales de normas y prácticas comunes para compartir o tratar

conjuntamente datos con el fin, entre otros, de desarrollar nuevos productos y servicios,

investigación científica o iniciativas de la sociedad civil:

a) el contenido del conjunto de datos, las restricciones de utilización, las licencias, la

metodología de recopilación de datos y la calidad e incertidumbre de los datos se

describirán en una medida suficiente, cuando proceda, en un formato de lectura

mecánica para que el destinatario pueda encontrar los datos, acceder a ellos y

utilizarlos;

b) las estructuras de datos, los formatos de datos, los vocabularios, los sistemas de

clasificación, las taxonomías y las listas de códigos, cuanto estén disponibles, se

describirán de manera que sean de acceso público y coherentes;

PE-CONS 49/1/23 REV 1 167

# **ES**

c) los medios técnicos para acceder a los datos, tales como las interfaces de

programación de aplicaciones, así como sus condiciones de uso y su calidad de

servicio, se describirán en una medida suficiente para permitir el acceso automático a

los datos y su transmisión automática entre las partes, incluido de forma continua, en

descarga masiva o en tiempo real, en un formato de lectura mecánica cuando sea

técnicamente viable y no impida el buen funcionamiento del producto conectado;

d) cuando proceda, se proporcionarán los medios que posibiliten la interoperabilidad de

las herramientas para automatizar la ejecución de los acuerdos de intercambio de

datos, como los contratos inteligentes.

Los requisitos pueden ser de carácter genérico o referirse a sectores específicos, si bien han

de tomar plenamente en consideración la interrelación con requisitos derivados de otras

disposiciones del Derecho de la Unión o nacional.

2. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 45 del

presente Reglamento por los que se complete el presente Reglamento especificando en

mayor medida los requisitos esenciales establecidos en el apartado 1 del presente artículo,

en relación con aquellos requisitos que, por su naturaleza, no puedan producir el efecto

deseado a menos que se especifiquen con más detalle en actos jurídicos vinculantes de la

Unión y con el fin de reflejar adecuadamente la evolución tecnológica y del mercado.

Cuando adopte actos delegados, la Comisión tendrá en cuenta el asesoramiento del CEID

de conformidad con el artículo 42, letra c), inciso iii).

PE-CONS 49/1/23 REV 1 168

# **ES**

3. Se presumirá que los participantes en espacios de datos que ofrezcan datos o servicios de

datos a otros participantes en espacios de datos que cumplan las normas armonizadas o

partes de estas normas, cuyas referencias se hayan publicado en el _Diario Oficial de la_

_Unión Europea,_ cumplen los requisitos esenciales establecidos en el apartado 1 en la

medida en que dichas normas armonizadas o partes de ellas cubran dichos requisitos.

4. De conformidad con el artículo 10 del Reglamento (UE) n.º 1025/2012, la Comisión pedirá

a una o varias organizaciones europeas de normalización que elaboren normas

armonizadas que cumplan los requisitos esenciales establecidos en el apartado 1 del

presente artículo.

5. La Comisión podrá adoptar, mediante actos de ejecución, especificaciones comunes que

cubran alguno o todos los requisitos esenciales establecidos en el apartado 1 cuando se

cumplan las siguientes condiciones:

a) que la Comisión haya solicitado, en virtud del artículo 10, apartado 1, del

Reglamento (UE) n.º 1025/2012, a una o varias organizaciones europeas de

normalización la redacción de una norma armonizada que cumpla los requisitos

esenciales establecidos en el apartado 1 del presente artículo y:

i) la solicitud no haya sido aceptada,

ii) las normas armonizadas en respuesta a dicha solicitud no se entreguen dentro

del plazo establecido de conformidad con el artículo 10, apartado 1, del

Reglamento (UE) n.º 1025/2012, o

iii) las normas armonizadas no se ajusten a la solicitud, y

PE-CONS 49/1/23 REV 1 169

# **ES**

b) no se haya publicado en el _Diario Oficial de la Unión Europea_ ninguna referencia a

normas armonizadas que regulen los requisitos esenciales pertinentes establecidos en

el apartado 1 del presente artículo, de conformidad con el Reglamento (UE)

n.º 1025/2012 y no se prevea la publicación de ningún proyecto de norma en un

plazo razonable.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a

que se refiere el artículo 46, apartado 2.

6. Antes de preparar un proyecto de acto de ejecución a que se refiere el apartado 5 del

presente artículo, la Comisión informará al comité a que se refiere el artículo 22 del

Reglamento (UE) n.º 1025/2012 de que considera que se cumplen las condiciones

establecidas en el apartado 5 del presente artículo.

7. Al preparar el proyecto de acto de ejecución a que se refiere el apartado 5, la Comisión

tendrá en cuenta el asesoramiento del CEID y las opiniones de otros organismos o grupos

de expertos pertinentes y consultará debidamente a todas las partes interesadas pertinentes.

8. Se presumirá que los participantes en espacios de datos que ofrezcan datos o servicios de

datos a otros participantes en espacios de datos que cumplan las especificaciones comunes

establecidas por los actos de ejecución a que se refiere el apartado 5, o partes de estos,

cumplen los requisitos esenciales establecidos en el apartado 1, en la medida en que dichos

requisitos estén contemplados por tales especificaciones comunes o partes de ellas.

PE-CONS 49/1/23 REV 1 170

# **ES**

9. Cuando una norma armonizada sea adoptada por una organización europea de

normalización y propuesta a la Comisión con el fin de publicar su referencia en el _Diario_

_Oficial de la Unión Europea_, la Comisión evaluará la norma armonizada de conformidad

con el Reglamento (UE) n.º 1025/2012. Cuando la referencia de una norma armonizada se

haya publicado en el _Diario Oficial de la Unión Europea_, la Comisión derogará los actos

de ejecución a que se refiere el apartado 5 del presente artículo, o partes de estos que

prevean los mismos requisitos esenciales que los contemplados por las normas

armonizadas.

10. Cuando un Estado miembro considere que una especificación común no cumple

plenamente los requisitos esenciales establecidos en el apartado 1, informará de ello a la

Comisión presentando una explicación detallada. La Comisión evaluará dicha explicación

detallada y podrá modificar, si procede, el acto de ejecución por el que se establezca la

especificación común en cuestión.

11. La Comisión podrá adoptar directrices teniendo en cuenta la propuesta del CEID de

conformidad con el artículo 30, letra h), del Reglamento (UE) 2022/868, que establezcan

marcos de interoperabilidad de las normas y prácticas comunes para el funcionamiento de

los espacios comunes europeos de datos.

PE-CONS 49/1/23 REV 1 171

# **ES**

_Artículo 34_

_Interoperabilidad a efectos del uso en paralelo de los servicios de tratamiento de datos_

1. Los requisitos establecidos en el artículo 23, el artículo 24, el artículo 25, apartado 2,

letra a), incisos ii) y iv), letras e) y f), y el artículo 30, apartados 2 a 5, se aplicarán también

_mutatis mutandis_ a los proveedores de servicios de tratamiento de datos para facilitar la

interoperabilidad a efectos del uso en paralelo de los servicios de tratamiento de datos.

2. Cuando un servicio de tratamiento de datos se utilice en paralelo con otro servicio de

tratamiento de datos, los proveedores de servicios de tratamiento de datos podrán imponer

costes de salida de datos, pero solo con el fin de repercutir los costes de salida soportados,

sin superar dichos costes.

_Artículo 35_

_Interoperabilidad de los servicios de tratamiento de datos_

1. Las especificaciones de interoperabilidad abiertas y las normas armonizadas para la

interoperabilidad de los servicios de tratamiento de datos deberán:

a) lograr, cuando sea técnicamente viable, la interoperabilidad entre distintos servicios

de tratamiento de datos que cubran el mismo tipo de servicio;

b) mejorar la portabilidad de los activos digitales entre distintos servicios de tratamiento

de datos que cubran el mismo tipo de servicio;

c) facilitar, cuando sea técnicamente viable, la equivalencia funcional entre los

servicios de tratamiento de datos a que se refiere el artículo 30, apartado 1, que

cubran el mismo tipo de servicios;

PE-CONS 49/1/23 REV 1 172

# **ES**

d) no afectar negativamente a la seguridad e integridad de los servicios de tratamiento

de datos y de los datos;

e) formularse de tal forma que permitan avances técnicos y la incorporación de nuevas

funciones e innovaciones en los servicios de tratamiento de datos.

2. Las especificaciones de interoperabilidad abiertas y las normas armonizadas para la

interoperabilidad de los servicios de tratamiento de datos abordarán adecuadamente:

a) los aspectos de la interoperabilidad de la nube en lo que respecta a la

interoperabilidad del transporte, la interoperabilidad sintáctica, la interoperabilidad

semántica de los datos, la interoperabilidad conductual y la interoperabilidad de los

marcos normativos;

b) los aspectos de la portabilidad de los datos en la nube en lo que respecta a la

portabilidad sintáctica de los datos, la portabilidad semántica de los datos y la

portabilidad de los marcos normativos relativos a los datos;

c) los aspectos de las aplicaciones en la nube en lo que respecta a la portabilidad

sintáctica de las aplicaciones, la portabilidad de las instrucciones de las aplicaciones,

la portabilidad de los metadatos de las aplicaciones, la portabilidad conductual de las

aplicaciones y la portabilidad de los marcos normativos de las aplicaciones.

3. Las especificaciones de interoperabilidad abiertas cumplirán lo dispuesto en el anexo II del

Reglamento (UE) n.º 1025/2012.

PE-CONS 49/1/23 REV 1 173

# **ES**

4. Tras tener en cuenta las normas internacionales y europeas pertinentes y las iniciativas de

autorregulación, la Comisión podrá, de conformidad con el artículo 10, apartado 1, del

Reglamento (UE) n.º 1025/2012, pedir a una o varias organizaciones europeas de

normalización que elaboren normas armonizadas que satisfagan los requisitos esenciales

establecidos en los apartados 1 y 2 del presente artículo.

5. La Comisión podrá adoptar, mediante actos de ejecución, especificaciones comunes sobre

la base de especificaciones de interoperabilidad abiertas que cubran todos los requisitos

esenciales establecidos en los apartados 1 y 2.

6. Cuando prepare el proyecto de acto de ejecución a que se refiere el apartado 5 del presente

artículo, la Comisión tendrá en cuenta las opiniones de las autoridades competentes a que

se refiere el artículo 37, apartado 5, letra h), y de otros organismos o grupos de expertos

pertinentes, y consultará debidamente a todas las partes interesadas pertinentes.

7. Cuando un Estado miembro considere que una especificación común no cumple

plenamente los requisitos establecidos en los apartados 1 y 2, informará de ello a la

Comisión presentando una explicación detallada. La Comisión evaluará dicha explicación

detallada y podrá modificar, si procede, el acto de ejecución por el que se establezca la

especificación común en cuestión.

8. A efectos del artículo 30, apartado 3, la Comisión publicará, mediante actos de ejecución,

las referencias de las normas armonizadas y las especificaciones comunes para la

interoperabilidad de los servicios de tratamiento de datos en un repositorio central de la

Unión de normas para la interoperabilidad de los servicios de tratamiento de datos.

PE-CONS 49/1/23 REV 1 174

# **ES**

9. Los actos de ejecución a que se refiere el presente artículo se adoptarán de conformidad

con el procedimiento de examen contemplado en el artículo 46, apartado 2.

_Artículo 36_

_Requisitos esenciales relativos a los contratos inteligentes_

_para la ejecución de acuerdos de intercambio de datos_

1. El proveedor de una aplicación que utilice contratos inteligentes o, en su defecto, la

persona cuya actividad comercial, empresarial o profesional implique el despliegue de

contratos inteligentes para terceros en el contexto de la ejecución de la totalidad o parte de

un acuerdo, para poner datos a disposición garantizará que los contratos inteligentes

cumplen los siguientes requisitos esenciales:

a) solidez y control de acceso, para garantizar que el contrato inteligente se haya

diseñado de manera que ofrezca unos mecanismos de control de acceso y un grado

de solidez muy elevado con el fin de evitar errores funcionales y contrarrestar los

intentos de manipulación por terceros;

b) resolución unilateral e interrupción seguras, para garantizar que exista un mecanismo

que permita poner fin a la ejecución de transacciones y que el contrato inteligente

incluye funciones internas que permitan reinicializar el contrato o darle instrucciones

para poner fin a la operación o interrumpirla, en particular, para evitar futuras

ejecuciones accidentales;

c) archivo y continuidad de los datos, para garantizar, en circunstancias en las que el

contrato inteligente deba finalizar o desactivarse, la posibilidad de archivar los datos

de las transacciones, así como la lógica y el código del contrato inteligente, con el fin

de llevar un registro de las operaciones con datos efectuadas previamente

(auditabilidad);

PE-CONS 49/1/23 REV 1 175

# **ES**

d) control de acceso, para garantizar que el contrato inteligente esté protegido con

mecanismos rigurosos de control de acceso en el nivel de la gobernanza y en el del

contrato inteligente, y

e) coherencia, para garantizar la coherencia con las condiciones del acuerdo de

intercambio de datos que ejecuta el contrato inteligente.

2. El proveedor del contrato inteligente o, en su defecto, la persona cuya actividad comercial,

empresarial o profesional implique el despliegue de contratos inteligentes para terceros en

el contexto de la ejecución de la totalidad o de parte de un acuerdo, para poner datos a

disposición realizará una evaluación de conformidad a efectos del cumplimiento de los

requisitos esenciales establecidos en el apartado 1 y expedirá una declaración UE de

conformidad respecto al cumplimiento de dichos requisitos.

3. Al expedir la declaración UE de conformidad, el proveedor de una aplicación que utilice

contratos inteligentes o, en su defecto, la persona cuya actividad comercial, empresarial o

profesional implique el despliegue de contratos inteligentes para terceros en el contexto de

la ejecución de la totalidad o de parte de un acuerdo de puesta a disposición de datos será

responsable del cumplimiento de los requisitos esenciales establecidos en el apartado 1.

4. Se presumirá que un contrato inteligente que se atenga a las normas armonizadas o las

partes pertinentes de estas normas, cuyas referencias se hayan publicado en el _Diario_

_Oficial de la Unión Europea,_ es conforme con los requisitos esenciales establecidos en el

apartado 1, en la medida en que dichos requisitos estén contemplados por tales normas

armonizadas o partes de ellas.

PE-CONS 49/1/23 REV 1 176

# **ES**

5. De conformidad con el artículo 10 del Reglamento (UE) n.º 1025/2012, la Comisión pedirá

a una o varias organizaciones europeas de normalización que elaboren normas

armonizadas que cumplan los requisitos esenciales establecidos en el apartado 1 del

presente artículo.

6. La Comisión podrá adoptar, mediante actos de ejecución, especificaciones comunes que

cubran alguno o todos los requisitos esenciales establecidos en el apartado 1 cuando se

cumplan las siguientes condiciones:

a) que la Comisión haya solicitado, en virtud del artículo 10, apartado 1, del

Reglamento (UE) n.º 1025/2012, a una o varias organizaciones europeas de

normalización la redacción de una norma armonizada que cumpla los requisitos

esenciales establecidos en el apartado 1 del presente artículo y:

i) la solicitud no haya sido aceptada,

ii) las normas armonizadas en respuesta a dicha solicitud no se entreguen dentro

del plazo establecido de conformidad con el artículo 10, apartado 1, del

Reglamento (UE) n.º 1025/2012, o

iii) las normas armonizadas no se ajusten a la solicitud, y

b) no se haya publicado en el _Diario Oficial de la Unión Europea_ ninguna referencia a

normas armonizadas que regulen los requisitos esenciales pertinentes establecidos en

el apartado 1 del presente artículo, de conformidad con el Reglamento (UE)

n.º 1025/2012 y no se prevea la publicación de ningún proyecto de norma en un

plazo razonable.

PE-CONS 49/1/23 REV 1 177

# **ES**

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a

que se refiere el artículo 46, apartado 2.

7. Antes de preparar un proyecto de acto de ejecución a que se refiere el apartado 6 del

presente artículo, la Comisión informará al Comité a que se refiere el artículo 22 del

Reglamento (UE) n.º 1025/2012 de que considera que se cumplen las condiciones

establecidas en el apartado 6 del presente artículo.

8. Cuando prepare el proyecto de acto de ejecución a que se refiere el apartado 6, la Comisión

tendrá en cuenta el asesoramiento del CEID y las opiniones de otros organismos o grupos

de expertos pertinentes y consultará debidamente a todas las partes interesadas pertinentes.

9. Se presumirá que el proveedor de un contrato inteligente o, en su defecto, la persona cuya

actividad comercial, empresarial o profesional implique el despliegue de contratos

inteligentes para terceros en el contexto de la ejecución de la totalidad o de parte de un

acuerdo de puesta a disposición de datos que cumplan las especificaciones comunes

establecidas por los actos de ejecución a que se refiere el apartado 6, o partes de estos,

cumple los requisitos esenciales establecidos en el apartado 1 en la medida en que dichos

requisitos estén cubiertos por tales especificaciones comunes o partes de ellas.

PE-CONS 49/1/23 REV 1 178

# **ES**

10. Cuando una norma armonizada sea adoptada por una organización europea de

normalización y propuesta a la Comisión con el fin de publicar su referencia en el _Diario_

_Oficial de la Unión Europea_, la Comisión evaluará la norma armonizada de conformidad

con el Reglamento (UE) n.º 1025/2012. Cuando la referencia de una norma armonizada se

haya publicado en el _Diario Oficial de la Unión Europea_, la Comisión derogará los actos

de ejecución a que se refiere el apartado 6 del presente artículo, o partes de este que

prevean los mismos requisitos esenciales que los contemplados por la norma armonizada.

11. Cuando un Estado miembro considere que una especificación común no cumple

plenamente los requisitos establecidos en el apartado 1, informará de ello a la Comisión

presentando una explicación detallada. La Comisión evaluará dicha explicación detallada y

podrá modificar, si procede, el acto de ejecución por el que se establezca la especificación

común en cuestión.

## **Capítulo IX** **Aplicación y ejecución**

_Artículo 37_

_Autoridades competentes y coordinadores de datos_

1. Cada Estado miembro designará una o varias autoridades nacionales competentes para

garantizar la aplicación y ejecución del presente Reglamento (en lo sucesivo, «autoridades

competentes»). Los Estados miembros podrán establecer una o varias autoridades nuevas o

recurrir a las autoridades existentes.

PE-CONS 49/1/23 REV 1 179

# **ES**

2. Cuando un Estado miembro designe más de una autoridad competente, designará a un

coordinador de datos de entre ellas para facilitar la cooperación entre las autoridades

competentes y ayudar a las entidades dentro del ámbito de aplicación del presente

Reglamento en todas las cuestiones relacionadas con la aplicación y el control del

cumplimiento de este. Las autoridades competentes cooperarán mutuamente en el ejercicio

de las funciones y competencias que les hayan sido asignadas con arreglo al apartado 5.

3. Las autoridades de control responsables de supervisar la aplicación del Reglamento

(UE) 2016/679 tendrán la responsabilidad de supervisar la aplicación del presente

Reglamento en lo que respecta a la protección de los datos personales. Se aplicarán _mutatis_

_mutandis_ los capítulos VI y VII del Reglamento (UE) 2016/679.

El Supervisor Europeo de Protección de Datos tendrá la responsabilidad de supervisar la

aplicación del presente Reglamento en lo que respecta a la Comisión, el Banco Central

Europeo o los organismos de la Unión. Cuando proceda, se aplicará _mutatis mutandis_ el

artículo 62 del Reglamento (UE) 2018/1725.

Las funciones y competencias de las autoridades de control a que se refiere el presente

apartado se ejercerán respecto al tratamiento de datos personales.

4. Sin perjuicio de lo dispuesto en el apartado 1 del presente artículo:

a) para cuestiones sectoriales específicas de la utilización y acceso de datos

relacionados con la aplicación del presente Reglamento, se respetará la competencia

de las autoridades sectoriales;

PE-CONS 49/1/23 REV 1 180

# **ES**

b) la autoridad competente responsable de la aplicación y ejecución de los artículos 23

a 31 y de los artículos 34 y 35 tendrá experiencia en el ámbito de los datos y los

servicios de comunicaciones electrónicas.

5. Los Estados miembros velarán por que las funciones y competencias de las autoridades

competentes estén claramente definidas e incluyan:

a) fomentar la alfabetización en materia de datos y la sensibilización entre los usuarios

y las entidades que entren en el ámbito de aplicación del presente Reglamento acerca

de los derechos y obligaciones previstos en el presente Reglamento;

b) tramitar las denuncias derivadas de supuestas infracciones del presente Reglamento,

también en relación con secretos comerciales, investigar el objeto de las denuncias en

la medida adecuada e informar periódicamente a los denunciantes, cuando proceda

de conformidad con el Derecho nacional, sobre el curso y el resultado de la

investigación en un plazo razonable, en particular cuando resulte necesario proseguir

la investigación o coordinar actuaciones con otra autoridad competente;

c) llevar a cabo investigaciones sobre asuntos que afecten a la aplicación del presente

Reglamento, también sobre la base de información recibida de otra autoridad

competente o autoridad pública;

d) imponer sanciones económicas efectivas, proporcionadas y disuasorias, que pueden

incluir multas coercitivas y multas con efecto retroactivo, o iniciar procedimientos

judiciales para la imposición de multas;

PE-CONS 49/1/23 REV 1 181

# **ES**

e) hacer un seguimiento de los avances tecnológicos y comerciales pertinentes para la

puesta a disposición y utilización de datos;

f) cooperar con las autoridades competentes de otros Estados miembros y, cuando

proceda, con la Comisión o el CEID, para garantizar la aplicación coherente y

eficiente del presente Reglamento, lo que incluye el intercambio de toda la

información pertinente por medios electrónicos, sin demora indebida, también con

respecto al apartado 10 del presente artículo;

g) cooperar con las autoridades competentes pertinentes responsables de la aplicación

de otros actos jurídicos de la Unión o nacionales, también con las autoridades

competentes en el ámbito de los datos y los servicios de comunicaciones

electrónicas, con la autoridad de control responsable del seguimiento de la aplicación

del Reglamento (UE) 2016/679 o con las autoridades sectoriales para garantizar que

el presente Reglamento se aplica de manera coherente con otras disposiciones del

Derecho de la Unión y nacional;

h) cooperar con las autoridades competentes pertinentes para garantizar que los

artículos 23 a 31 y los artículos 34 y 35 se cumplan de manera coherente con otras

disposiciones del Derecho de la Unión y medidas de autorregulación aplicables a los

proveedores de servicios de tratamiento de datos;

i) velar por la supresión de los costes por cambio de conformidad con el artículo 29;

j) examinar las solicitudes de datos formuladas con arreglo al capítulo V.

Si se ha designado, el coordinador de datos facilitará la cooperación a que se refieren las

letras f), g) y h) del párrafo primero y asistirá a las autoridades competentes si estas lo

solicitan.

PE-CONS 49/1/23 REV 1 182

# **ES**

6. En caso de que dicha autoridad competente haya sido designada, el coordinador de datos

deberá:

a) actuar como punto de contacto único para todas las cuestiones relacionadas con la

aplicación del presente Reglamento;

b) asegurar la disponibilidad pública en línea de las solicitudes de puesta a disposición

de datos presentadas por organismos del sector público en los casos de necesidad

excepcional con arreglo al capítulo V y promover acuerdos voluntarios de

intercambio de datos entre organismos del sector público y titulares de datos;

c) informar anualmente a la Comisión de las denegaciones notificadas con arreglo al

artículo 4, apartados 2 y 8, y al artículo 5, apartado 11.

7. Los Estados miembros notificarán a la Comisión los nombres de las autoridades

competentes y sus funciones y competencias, así como, cuando proceda, el nombre del

coordinador de datos. La Comisión mantendrá un registro público de dichas autoridades.

8. En el ejercicio de sus funciones y competencias de conformidad con el presente

Reglamento, las autoridades competentes se mantendrán imparciales y no estarán

sometidas a ninguna influencia externa, ya sea directa o indirecta, y no solicitarán ni

aceptarán instrucciones para casos concretos de ninguna otra autoridad pública o entidad

privada.

9. Los Estados miembros velarán por dotar a las autoridades competentes de los recursos

técnicos y humanos suficientes y de los conocimientos especializados pertinentes para el

ejercicio adecuado de sus funciones de conformidad con el presente Reglamento.

PE-CONS 49/1/23 REV 1 183

# **ES**

10. Las entidades incluidas en el ámbito de aplicación del presente Reglamento estarán sujetas

a la competencia del Estado miembro en el que esté establecida la entidad. Cuando la

entidad esté establecida en más de un Estado miembro, se considerará que es competencia

del Estado miembro en el que tenga su establecimiento principal, es decir, donde la entidad

tenga su domicilio social o administración central, desde el que se ejerza las principales

funciones financieras y el control operativo.

11. Toda entidad incluida en el ámbito de aplicación del presente Reglamento que ponga a

disposición productos conectados u ofrezca servicios en la Unión y que no esté establecida

en la Unión designará un representante legal en uno de los Estados miembros.

12. A efectos de garantizar el cumplimiento del presente Reglamento, toda entidad incluida en

el ámbito de aplicación del presente Reglamento que ponga a disposición productos

conectados u ofrezca servicios en la Unión, otorgará un mandato a un representante legal

para que las autoridades competentes se pongan en contacto con dicho representante,

además o en lugar de la entidad, en relación con todas las cuestiones relacionadas con esta.

Dicho representante legal cooperará y demostrará exhaustivamente a las autoridades

competentes, previa solicitud, las medidas y las disposiciones adoptadas por la entidad

incluida en el ámbito de aplicación del presente Reglamento que ponga a disposición

productos conectados u ofrezca servicios en la Unión, a fin de garantizar el cumplimiento

del presente Reglamento.

PE-CONS 49/1/23 REV 1 184

# **ES**

13. Se considerará que toda entidad incluida en el ámbito de aplicación del presente

Reglamento que ponga a disposición productos conectados u ofrezca servicios en la Unión

queda sometida a la competencia del Estado miembro en el que esté ubicado su

representante legal. La designación de un representante legal por tal entidad se entenderá

sin perjuicio de las responsabilidades que se puedan exigir a dicha entidad y de

cualesquiera acciones legales que puedan ejercitarse contra ella. Hasta que designe a un

representante legal de conformidad con el presente artículo, la entidad será competencia de

todos los Estados miembros, cuando proceda, a efectos de garantizar la aplicación y

ejecución del presente Reglamento. Cualquier autoridad competente podrá ejercer su

competencia, incluso imponiendo sanciones efectivas, proporcionadas y disuasorias,

siempre que la entidad no esté sujeta a procedimientos de ejecución en virtud del presente

Reglamento por los mismos hechos por otra autoridad competente.

14. Las autoridades competentes estarán facultadas para solicitar a los usuarios, titulares de

datos o destinatarios de datos, o a sus representantes legales, que sean competencia de su

Estado miembro, toda la información necesaria para verificar el cumplimiento del presente

Reglamento. Las solicitudes de información serán proporcionadas al cumplimiento de la

tarea subyacente y estarán motivadas.

15. Cuando una autoridad competente de un Estado miembro solicite asistencia o medidas de

ejecución a una autoridad competente de otro Estado miembro, presentará una solicitud

motivada. Una vez recibida dicha solicitud, la autoridad competente responderá, sin

demora indebida, detallando las medidas adoptadas o previstas.

PE-CONS 49/1/23 REV 1 185

# **ES**

16. Las autoridades competentes respetarán los principios de confidencialidad y de secreto

profesional y comercial, y protegerán los datos de carácter personal con arreglo al Derecho

de la Unión o nacional. Toda la información intercambiada en el contexto de una solicitud

de asistencia y proporcionada en virtud del presente artículo se utilizará únicamente en

relación con el asunto para el que se solicitó.

_Artículo 38_

_Derecho a presentar una reclamación_

1. Sin perjuicio de cualquier otro recurso administrativo o acción judicial, toda persona física

y jurídica tendrá derecho a presentar una reclamación individual o, cuando proceda,

colectiva ante la autoridad competente pertinente del Estado miembro en el que tenga su

residencia habitual, su lugar de trabajo o su lugar de establecimiento cuando considere que

los derechos que le confiere el presente Reglamento han sido vulnerados. El coordinador

de datos proporcionará, previa solicitud, toda la información necesaria a las personas

físicas y jurídicas para la presentación de sus reclamaciones ante la correspondiente

autoridad competente.

2. La autoridad competente ante la que se haya presentado la reclamación informará al

reclamante, con arreglo al Derecho nacional, sobre el curso del procedimiento y la decisión

tomada.

PE-CONS 49/1/23 REV 1 186

# **ES**

3. Las autoridades competentes cooperarán para tramitar y resolver las reclamaciones, de

manera efectiva y en tiempo oportuno, lo que incluirá el intercambio de toda información

pertinente por medios electrónicos, sin demora indebida. Dicha cooperación no afectará a

los mecanismos de cooperación previstos en los capítulos VI y VII del Reglamento

(UE) 2016/679 y en el Reglamento (UE) 2017/2394.

_Artículo 39_

_Derecho a una tutela judicial efectiva_

1. No obstante cualquier recurso administrativo o extrajudicial, toda persona física o jurídica

afectada tendrá derecho a una tutela judicial efectiva en lo que respecta a las decisiones

jurídicamente vinculantes adoptadas por las autoridades competentes.

2. En caso de que una autoridad competente no dé curso a una reclamación, cualquier persona

física o jurídica afectada tendrá derecho, de conformidad con el Derecho nacional, a la

tutela judicial efectiva o acceso a revisión por un órgano imparcial que disponga de los

conocimientos especializados adecuados.

3. Los recursos presentados en virtud del presente artículo se dirimirán ante los órganos

jurisdiccionales del Estado miembro de la autoridad competente contra la cual se

interponga el recurso a título individual o colectivo, según corresponda, por los

representantes de una o varias personas físicas o jurídicas.

PE-CONS 49/1/23 REV 1 187

# **ES**

_Artículo 40_

_Sanciones_

1. Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier

infracción del presente Reglamento y adoptarán todas las medidas necesarias para

garantizar su ejecución. Tales sanciones serán efectivas, proporcionadas y disuasorias.

2. A más tardar el … [veinte meses a partir de la fecha de entrada en vigor del presente

Reglamento], los Estados miembros comunicarán a la Comisión el régimen establecido y

las medidas adoptadas, y le notificarán sin demora toda modificación posterior. La

Comisión actualizará periódicamente y mantendrá un registro público de fácil acceso de

dichas medidas.

3. Por lo que respecta a la imposición de sanciones por infracciones del presente Reglamento,

los Estados miembros tendrán en cuenta las recomendaciones del CEID y los siguientes

criterios no exhaustivos:

a) la naturaleza, gravedad, magnitud y duración de la infracción;

b) cualquier medida adoptada por la parte infractora para mitigar o reparar el perjuicio

causado por la infracción;

c) las infracciones anteriores cometidas por la parte infractora;

d) los beneficios financieros obtenidos o las pérdidas evitadas por la parte infractora

debido a la infracción, en la medida en que dichos beneficios o pérdidas puedan

establecerse de forma fiable;

PE-CONS 49/1/23 REV 1 188

# **ES**

e) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso;

f) el volumen de negocio anual del infractor durante el ejercicio financiero anterior en

la Unión.

4. En caso de infracción de las obligaciones establecidas en los capítulos II, III y V del

presente Reglamento, las autoridades de control responsables de supervisar la aplicación

del Reglamento (UE) 2016/679 podrán, dentro de su ámbito de competencia, imponer

multas administrativas de conformidad con el artículo 83 del Reglamento (UE) 2016/679 y

hasta el importe mencionado en el artículo 83, apartado 5, de dicho Reglamento.

5. En caso de infracción de las obligaciones establecidas en el capítulo V del presente

Reglamento, el Supervisor Europeo de Protección de Datos podrá imponer, dentro de su

ámbito de competencia, multas administrativas acordes con el artículo 66 del Reglamento

(UE) 2018/1725 y hasta el importe mencionado en el artículo 66, apartado 3, de dicho

Reglamento.

_Artículo 41_

_Cláusulas contractuales tipo y cláusulas contractuales estándar_

La Comisión, antes del … [veinte meses a partir de la fecha de entrada en vigor del presente

Reglamento], elaborará y recomendará cláusulas contractuales tipo no vinculantes sobre el acceso a

los datos y su utilización, incluidas cláusulas relativas a la compensación razonable y la protección

de los secretos comerciales, así como cláusulas contractuales estándar no vinculantes para contratos

de computación en la nube para ayudar a las partes en la elaboración y negociación de contratos con

derechos y obligaciones contractuales justos, razonables y no discriminatorios.

PE-CONS 49/1/23 REV 1 189

# **ES**

_Artículo 42_

_Función del CEID_

El CEID establecido como grupo de expertos de la Comisión en virtud del artículo 29 del

Reglamento (UE) 2022/868, en el que estarán representadas las autoridades competentes, apoyará la

aplicación coherente del presente Reglamento mediante:

a) el asesoramiento y la asistencia a la Comisión en el desarrollo de una práctica coherente de

las autoridades competentes en la aplicación de los capítulos II, III, V y VII;

b) la facilitación de la cooperación entre las autoridades competentes mediante el desarrollo

de capacidades y el intercambio de información, en particular con el establecimiento de

métodos para el intercambio eficiente de información relativa al cumplimiento de los

derechos y obligaciones en virtud de los capítulos II, III y V en los casos transfronterizos,

incluida la coordinación con respecto al establecimiento de sanciones;

c) el asesoramiento y la asistencia a la Comisión en relación a lo siguiente:

i) la posibilidad de solicitar la elaboración de las normas armonizadas a que se refieren

el artículo 33, apartado 4, el artículo 35, apartado 4, y el artículo 36, apartado 5,

ii) la preparación de los actos de ejecución a que se refieren el artículo 33, apartado 5, el

artículo 35, apartados 5 y 8, y el artículo 36, apartado 6,

iii) la preparación de los actos delegados a que se refieren el artículo 29, apartado 7, y el

artículo 33, apartado 2, y

PE-CONS 49/1/23 REV 1 190

# **ES**

iv) la adopción de las directrices que establezcan los marcos de interoperabilidad de las

normas y prácticas comunes para el funcionamiento de los espacios comunes

europeos de datos a que se refiere el artículo 33, apartado 11.

## **Capítulo X** **Derecho sui generis con arreglo a la Directiva 96/9/CE**

_Artículo 43_

_Bases de datos que contienen ciertos datos_

El derecho _sui generis_ establecido en el artículo 7 de la Directiva 96/9/CE no se aplicará si los datos

son obtenidos o generados por un producto conectado o servicio relacionado que entre en el ámbito

de aplicación del presente Reglamento, en particular en relación con los artículos 4 y 5.

## **Capítulo XI** **Disposiciones finales**

_Artículo 44_

_Otros actos jurídicos de la Unión que regulan los derechos y obligaciones_

_en materia de acceso a los datos y su utilización_

1. No se verán afectadas las obligaciones específicas para la puesta a disposición de datos

entre empresas, entre empresas y consumidores y, con carácter excepcional, entre empresas

y organismos del sector público establecidas en actos jurídicos de la Unión que hayan

entrado en vigor el … [fecha de entrada en vigor del presente Reglamento] o antes de esa

fecha, así como en los actos delegados o actos de ejecución basados en dichas normas.

PE-CONS 49/1/23 REV 1 191

# **ES**

2. El presente Reglamento se entiende sin perjuicio del Derecho de la Unión que, a la luz de

las necesidades de un sector, de un espacio común europeo de datos o de un área de interés

público, establezca requisitos adicionales, en particular relativos a:

a) aspectos técnicos del acceso a los datos;

b) límites a los derechos de los titulares de datos de acceder a determinados datos

proporcionados por usuarios o de utilizarlos;

c) aspectos que vayan más allá del acceso a los datos y su utilización.

3. El presente Reglamento, con excepción del capítulo V, se entiende sin perjuicio del

Derecho de la Unión y nacional que establece el acceso a los datos y autoriza la utilización

de los datos con fines de investigación científica.

_Artículo 45_

_Ejercicio de la delegación_

1. Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones

establecidas en el presente artículo.

2. Los poderes para adoptar actos delegados mencionados en el artículo 29, apartado 7, y en

el artículo 33, apartado 2, se otorgan a la Comisión por un período de tiempo indefinido a

partir del … [la fecha de entrada en vigor del presente Reglamento].

PE-CONS 49/1/23 REV 1 192

# **ES**

3. La delegación de poderes mencionada en el artículo 29, apartado 7, y en el artículo 33,

apartado 2, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el

Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en

ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el

_Diario Oficial de la Unión Europea_ o en una fecha posterior indicada en ella. No afectará a

la validez de los actos delegados que ya estén en vigor.

4. Antes de la adopción de un acto delegado, la Comisión consultará a los expertos

designados por cada Estado miembro de conformidad con los principios establecidos en el

Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5. Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al

Parlamento Europeo y al Consejo.

6. Los actos delegados adoptados en virtud del artículo 29, apartado 7, o del artículo 33,

apartado 2, entrarán en vigor únicamente si, en un plazo de tres meses a partir de su

notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula

objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de

que no las formularán. El plazo se prorrogará tres meses a iniciativa del Parlamento

Europeo o del Consejo.

PE-CONS 49/1/23 REV 1 193

# **ES**

_Artículo 46_

_Procedimiento de comité_

1. La Comisión estará asistida por el Comité establecido por el Reglamento (UE) 2022/868.

Dicho Comité será un comité en el sentido del Reglamento (UE) n.º 182/2011.

2. En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del

Reglamento (UE) n.º 182/2011.

_Artículo 47_

_Modificación del Reglamento (UE) 2017/2394_

En el anexo del Reglamento (UE) 2017/2394 se añade el punto siguiente:

«29. Reglamento (UE) 2023/… del Parlamento Europeo y del Consejo, de …, sobre normas

armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el

Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828 (Reglamento de Datos)

(DO L …) [+] .».

_Artículo 48_

_Modificación de la Directiva (UE) 2020/1828_

En el anexo I de la Directiva (UE) 2020/1828 se añade el punto siguiente:

«68. Reglamento (UE) 2023/… del Parlamento Europeo y del Consejo, de …, sobre normas

armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el

Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828 (Reglamento de Datos)

(DO L …) [+] .».

+ DO: insértese en el texto el número de orden, la fecha y la referencia del DO del
Reglamento que figura en el documento PE-CONS 49/23 [2022/0047(COD)].

PE-CONS 49/1/23 REV 1 194

# **ES**

_Artículo 49_

_Evaluación y revisión_

1. A más tardar el … [cincuenta y seis meses a partir de la fecha de entrada en vigor del

presente Reglamento], la Comisión llevará a cabo una evaluación del presente Reglamento

y presentará un informe sobre sus principales conclusiones al Parlamento Europeo y al

Consejo, y al Comité Económico y Social Europeo. En la evaluación se analizarán, en

particular:

a) situaciones que hayan de considerarse situaciones de necesidad excepcional a efectos

del artículo 15 del presente Reglamento y de la aplicación del capítulo V del presente

Reglamento en la práctica, en particular, la experiencia adquirida con la aplicación

del capítulo V del presente Reglamento por parte de organismos del sector público,

la Comisión, el Banco Central Europeo y los organismos de la Unión; el número y el

resultado de los recursos iniciados ante la autoridad competente con arreglo al

artículo 18, apartado 5, sobre la aplicación del capítulo V del presente Reglamento,

comunicados por las autoridades competentes; el impacto de otras obligaciones

establecidas en el Derecho de la Unión o nacional a efectos del cumplimiento de las

solicitudes de acceso a información; el impacto de los mecanismos voluntarios de

intercambio de datos, como los establecidos por organizaciones de gestión de datos

con fines altruistas reconocidas en virtud del Reglamento (UE) 2022/868, en el

cumplimiento de los objetivos del capítulo V del presente Reglamento, y la función

de los datos personales en el contexto del artículo 15 del presente Reglamento,

incluida la evolución de tecnologías que protejan mejor la intimidad;

PE-CONS 49/1/23 REV 1 195

# **ES**

b) las repercusiones del presente Reglamento en la utilización de datos en la economía,

incluyendo la innovación en materia de datos, las prácticas de monetización de los

datos y los servicios de intermediación de datos, así como en el intercambio de datos

dentro de los espacios comunes europeos de datos;

c) la accesibilidad a diferentes categorías y tipos de datos y su utilización;

d) la exclusión de determinadas categorías de empresas como beneficiarias al amparo

del artículo 5;

e) la ausencia de cualquier impacto en los derechos de propiedad intelectual;

f) el impacto en los secretos comerciales, incluida la protección contra su obtención,

utilización y revelación ilícitas, así como el impacto del mecanismo que permite al

titular de datos denegar la solicitud del usuario con arreglo al artículo 4, apartado 8, y

al artículo 5, apartado 11, teniendo en cuenta, en la medida de lo posible, cualquier

revisión de la Directiva (UE) 2016/943;

g) si la lista de cláusulas contractuales abusivas a que se refiere el artículo 13 está

actualizada a la luz de las nuevas prácticas comerciales y del rápido ritmo de

innovación del mercado;

h) las variaciones en las prácticas contractuales de los proveedores de servicios de

tratamiento de datos y si esas variaciones se traducen en un cumplimiento suficiente

del artículo 25;

i) la reducción de los costes añadidos aplicados por los proveedores de servicios de

tratamiento de datos por el proceso de cambio, en consonancia con la supresión

gradual de esos costes de conformidad con el artículo 29;

j) la interacción del presente Reglamento con otros actos jurídicos de la Unión

pertinentes para la economía de los datos;

PE-CONS 49/1/23 REV 1 196

# **ES**

k) la prevención del acceso ilícito a datos no personales por parte de administraciones

públicas;

l) la eficacia del régimen de ejecución exigido en virtud del artículo 37;

m) las repercusiones del presente Reglamento en las pymes, por lo que respecta a su

capacidad para innovar y a la disponibilidad de servicios de tratamiento de datos para

los usuarios en la Unión y la carga del cumplimiento de las nuevas obligaciones.

2. A más tardar el … [cincuenta y seis meses a partir de la fecha de entrada en vigor del

presente Reglamento], la Comisión llevará a cabo una evaluación del presente Reglamento

y presentará un informe sobre sus principales conclusiones al Parlamento Europeo, al

Consejo y al Comité Económico y Social Europeo. Dicha evaluación valorará el impacto

de los artículos 23 a 31 y de los artículos 34 y 35, en particular, en lo que respecta a la

fijación de precios y la diversidad de los servicios de tratamiento de datos ofrecidos en la

Unión, prestando especial atención a las pymes proveedoras.

3. Los Estados miembros proporcionarán a la Comisión la información necesaria para la

preparación de los informes a que se refieren los apartados 1 y 2.

4. Sobre la base de los informes a que se refieren los apartados 1 y 2, la Comisión podrá

presentar, en su caso, una propuesta legislativa al Parlamento Europeo y al Consejo para

modificar el presente Reglamento.

PE-CONS 49/1/23 REV 1 197

# **ES**

_Artículo 50_

_Entrada en vigor y aplicación_

El presente Reglamento entrará en vigor a los veinte días de su publicación en el _Diario Oficial de_

_la Unión Europea_ .

Será aplicable a partir del … [veinte meses a partir de la fecha de entrada en vigor del presente

Reglamento].

La obligación derivada del artículo 3, apartado 1, será aplicable a los productos conectados y a los

servicios relacionados con ellos introducidos en el mercado después del … [treinta y dos meses a

partir de la entrada en vigor del presente Reglamento].

El capítulo III será aplicable en relación con las obligaciones de puesta a disposición de los datos en

virtud de disposiciones del Derecho de la Unión o de normativa nacional adoptada de conformidad

con el Derecho de la Unión que entren en vigor después del … [veinte meses a partir de la fecha de

entrada en vigor del presente Reglamento].

El capítulo IV será aplicable a los contratos celebrados después del … [veinte meses a partir de la

fecha de entrada en vigor del presente Reglamento].

PE-CONS 49/1/23 REV 1 198

# **ES**

El capítulo IV será aplicable a partir del … [cuarenta y cuatro meses a partir de la fecha de entrada

en vigor del presente Reglamento] a los contratos celebrados el … [veinte meses a partir de la fecha

de entrada en vigor del presente Reglamento] o con anterioridad, siempre que:

a) sean de duración indefinida, o

b) expiren al menos diez años a partir del … [fecha de entrada en vigor del presente

Reglamento].

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada

Estado miembro.

Hecho en Estrasburgo, el

_Por el Parlamento Europeo_ _Por el Consejo_

_La Presidenta_ _La Presidenta / El Presidente_

PE-CONS 49/1/23 REV 1 199

# **ES**