La Unión Europea busca que los datos industriales sean compartidos, almacenados y tratados en total respecto a las normas de la UE, en forma similar a lo que sucede con los datos personales y el RGPD.
El pasado 23 de febrero la Comisión Europea publicó el borrador de Ley del Dato[1]que tiene por objetivo regular las características especiales que presentan los datos para lograr un mayor aprovechamiento de los mismos que aún no son utilizables de acuerdo a su máximo potencial de uso o reuso. El dato, a diferencia de otros bienes es no rivalizable implicando que muchas personas pueden acceder al mismo tiempo, ser consumido ininterrumpidamente sin afectar su calidad ni generando el riesgo de que su oferta pueda verse agotada.
La Ley del Dato se dicta en el marco de la Estrategia de Datos establecida por la Unión Europea en el 2020[2], y que también incluye otras regulaciones que se encuentran en un grado de discusión más avanzado como la Artificial Intelligence Act, Digital Services Act y Digital Market Act. Respecto a su relación con el Reglamento General de Datos Personales (RGPD) se aclara que la Ley de Datos resulta también aplicable a los datos personales y que viene a complementar al RGPD.
Sin duda que este proyecto de regulación reafirma la intención de ejercer soberanía sobre los datos de los europeos brindandoles mayor control sobre los mismos y la creación de espacios de datos comunes y dándole relevancia a los datos no personales (datos industriales y comerciales) como categoría diferente de los datos personales así como de los datos públicos.
Las cuestiones puntuales más relevantes reguladas por la Ley del Dato consisten en:
i) Medidas que permite a los usuarios (consumidores o empresas) de dispositivos conectados (primordialmente pensando en Internet de las Cosas o IoT) acceder a datos que generen el uso de los mismos, actualmente aprovechados exclusivamente por los fabricantes, y permitir su compartimiento con terceros para su aprovechamiento posterior. Este acceso debe estar configurado desde el diseño de los dispositivos. Esta facultad no puede ser ejercida por los “gatekeepers”, conforme se definen en la Digital Market Act, ni contra las PyMEs. Esta medida viene a complementar el alcance del derecho de portabilidad previsto por el RGPD solo para datos personales, haciéndola extensiva a los datos no personales.
ii) Medidas para rebalancear el poder de negociación de las PyMEs evitando el abuso de desequilibrios contractuales en acuerdos de compartimiento de datos. Primordialmente busca neutralizar el alto poder de mercado que presenta un pequeño número de actores con capacidad de acumular grandes cantidades de datos que le otorgan ventajas competitivas gracias al volumen y variedad de los datos que poseen e imponer unilateralmente condiciones de acceso y uso de los datos discriminatorias. Puntualmente se prohiben cláusulas de limitación de responsabilidad inapropiadas, de restricción de remedios para casos de incumplimientos contractuales, etc.
iii) Permitir el acceso a los datos no personales, en lo posible, de los operadores privados por parte de entidades públicas en caso de que se pueda demostrar la necesidad pública excepcional de usar dichos datos.
Bajo determinadas circunstancias el requerido puede solicitar compensación al organismo público por los costos ocasionados más un margen razonable.
iv) Facilitar el cambio de operadores de servicios en la nube entre otros servicios de tratamiento de datos a través de modelos contractuales, estandarización técnica, sin costo, etc. Alcanzando una equivalencia funcional al servicio original junto con la remoción de obstáculos que impidan la portabilidad del servicio. Reviste gran importancia esta facultad atento que el acceso a esta infraestructura de tratamiento de datos es fundamental para la digitalización, y no quedar encadenado a un proveedor en particular del cual no se pueden migrar los activos por los altos costos de terminación contractual o migración involucrados.
v) Revisar la Directiva sobre Base de Datos de UE que otorga un derecho de propiedad intelectual sui generis, clarificando que las bases de datos conformadas por datos provenientes de dispositivos de IoT no estarán sujetos a protección legal especial, pudiendo ser accedidas y utilizada.
vi) Promover el desarrollo de especificaciones de interoperabilidad abiertas y con estandares de interoperabilidad europeos primordialmente vinculado con servicios, aplicaciones y datos en la nube. Establece recaudos para contratos inteligentes empleados para el compartimiento de datos.
vii) Brindar garantías para evitar transferencias no autorizadas de datos no personales. Establece obligación de adopción de todas las medidas legales, administrativas, técnicas para impedir el acceso de autoridades de 3eros países a los datos no personales salvo que esté basado en un tratado bilateral o internacional.
Se van a necesitar aclaraciones sobre el alcance extraterritorial hasta el cual pueden extenderse el cumplimiento de las obligaciones impuestas en esta regulación ya que apunta que se encuentren alcanzados los fabricantes de productos o proveedores de servicios relacionados colocados en el mercado de la UE, los usuarios de dichos productos, los tenedores de datos que los pongan a disposición de los receptores de datos en la UE, los receptores de datos en la UE a los que se le pongan a disposición los datos y a los proveedores de servicios de tratamiento de datos que ofrecen dichos servicios a clientes en la UE.
La Ley del Dato es un claro ejemplo de medida regulatoria ex ante adoptada en cuestiones asociadas a defensa de la competencia y los datos, y viene apartarse del criterio ex post que suele adoptarse en materia de antitrus, o sea emplear remedios específicos solamente una vez acaecido el daño y no en forma preventiva como en el caso de medidas ex ante que pretenden equilibrar el mercado. Al ser una Regulación será de aplicación directa en la totalidad de la Unión Europea sin tener que cada Estado Miembro sancionar una ley siguiendo las pautas fijadas a nivel europeo como sucede con las Directivas.
Sin perjuicio de lo cual cada uno de los Miembros preservaría la facultad de fijar el marco de sanciones que resultarán aplicables en casos de incumplimientos. Pudiendo establecer multas de hasta Euros 20 millones o 4% de la facturación anual del grupo empresario lo que resulte mayor en caso de no cumplimiento de las obligaciones de compartimiento de datos.
No obstante que se estima que esta regulación se estima que estará lista para su sanción dentro de un año y medio luego de superar las viscitudes del procedimiento de sanción de normas de la Unión Europea es imprescindible que las organizaciones que manejen datos industriales vinculados con actividades realizadas en la UE empiecen a merituar el impacto de esta regulación con obligaciones de díficil cumplimiento.
Comentarios
Publicar un comentario