Cláusulas modelo de la UE para la Ley de Datos: qué cubren y qué no

La Comisión Europea ha publicado un paquete de cláusulas contractuales tipo no vinculantes (MCT, por sus siglas en inglés) y cláusulas contractuales estándar (SCC) diseñado para simplificar la contratación bajo la Ley de Datos (Reglamento (UE) 2023/2854). Este documento no crea nuevas obligaciones legales, sino que ofrece un marco de referencia para que las partes, especialmente las pymes, puedan redactar contratos que cumplan con las disposiciones de acceso y uso de datos generados por productos conectados.

El objetivo principal es reducir la fragmentación contractual y minimizar la fricción en las negociaciones entre empresas. Las cláusulas están redactadas principalmente para relaciones B2B, aunque el texto oficial indica que también pueden adaptarse a relaciones entre empresas y consumidores si se incorporan las normas pertinentes de protección al consumidor. Su uso es voluntario y modificable, lo que significa que no sustituyen la necesidad de una revisión legal específica para cada caso.

El paquete incluye cuatro conjuntos de cláusulas que cubren las relaciones obligatorias de intercambio de datos establecidas en la Ley de Datos. El primer conjunto regula la relación entre el titular de datos y el usuario, definiendo los derechos de acceso y uso de los datos generados por un producto conectado. El segundo aborda la relación entre el usuario y un destinatario de datos de terceros, cuando el usuario instruye al titular para que comparta los datos.

Los otros dos conjuntos se centran en las interacciones entre el titular de datos y los destinatarios de terceros, cubriendo tanto los casos donde el titular está legalmente obligado a facilitar los datos como las condiciones de compensación por dicho intercambio. Estas cláusulas cumplen con el capítulo IV de la Ley de Datos, que establece que las cláusulas impuestas unilateralmente no son vinculantes si se consideran abusivas, ofreciendo así una base de equilibrio contractual.

Es fundamental distinguir estas cláusulas de la Ley de Datos de las Cláusulas Contractuales Estándar (SCC) del RGPD que ya utilizan proveedores como Microsoft, IBM y AWS para transferencias internacionales de datos personales. Mientras que las SCC del RGPD se enfocan en la protección de datos personales fuera del Espacio Económico Europeo, las nuevas MCT de la Ley de Datos se centran en el acceso a datos generados por productos conectados, incluyendo datos no personales.

Los grandes proveedores de nube ya ofrecen mecanismos de cumplimiento para la soberanía de datos y la residencia de datos, pero las nuevas cláusulas modelo introducen un enfoque específico en la portabilidad de datos de producto. Esto no invalida las políticas existentes de privacidad, sino que añade una capa contractual específica para el intercambio de datos operativos de dispositivos conectados, un área que las políticas estándar de cloud a menudo no detallan con la misma granularidad.

Para las empresas que gestionan infraestructuras cloud en la UE, la principal implicación es la necesidad de revisar sus contratos de servicio para incorporar estas cláusulas si desean alinear sus operaciones con la Ley de Datos. Esto es particularmente relevante para las pymes, que pueden utilizar estos modelos como punto de partida para evitar negociaciones complejas. La adopción de estas cláusulas puede acelerar los procesos de contratación y ofrecer mayor certeza legal.

Sin embargo, las empresas no deben asumir que la inclusión de estas cláusulas garantiza el cumplimiento total. Deben verificar que sus proveedores de nube soporten técnicamente los mecanismos de acceso y exportación de datos requeridos. La decisión práctica es evaluar si el proveedor ofrece APIs de exportación de datos compatibles con los requisitos de la Ley de Datos, ya que las cláusulas contractuales no pueden imponer capacidades técnicas que el proveedor no posee.

Las cláusulas modelo no abordan aspectos de rendimiento, seguridad técnica o disponibilidad de los servicios de nube. Se centran exclusivamente en los derechos de acceso, uso y compartición de datos. Por lo tanto, las empresas deben seguir dependiendo de los acuerdos de nivel de servicio (SLA) y las políticas de seguridad específicas de cada proveedor para garantizar la integridad y disponibilidad de sus infraestructuras.

Además, al ser no vinculantes, estas cláusulas no tienen fuerza de ley por sí mismas. Su valor reside en la estandarización y la reducción de costes de transacción. Las organizaciones deben ser conscientes de que cualquier modificación a estas cláusulas podría invalidar su alineación con la Ley de Datos, por lo que se recomienda mantenerlas intactas o realizar modificaciones mínimas supervisadas por expertos legales.