El 3r trimestre del año ha traído consigo cambios significativos en el panorama regulatorio europeo en materia de protección de datos, derecho digital y propiedad intelectual. A continuación, te presentamos un análisis detallado de las novedades más relevantes.

Derecho Digital: aplicación del Data Act

¿Qué es el Data Act y cuándo entra en vigor?

El Reglamento Europeo de Datos (Data Act) entró en aplicación el 12 de septiembre de 2025, tras su entrada en vigor el 11 de enero de 2024. Este reglamento marca un hito importante en la regulación del mercado digital europeo, estableciendo reglas claras sobre el acceso y uso justo de datos generados por productos y servicios conectados.

Principales obligaciones del Data Act

Las empresas deben estar preparadas para cumplir con varias obligaciones clave:

• Acceso a datos de productos conectados: Los usuarios, tanto empresas como particulares, tendrán derecho a consultar los datos generados por sus dispositivos y decidir si compartirlos con terceros.
• Revisión de contratos: El reglamento prohíbe cláusulas abusivas que limiten injustificadamente el uso o compartición de datos, con especial énfasis en acuerdos con pequeñas y medianas empresas.
• Diseño de productos: A partir de 2026, los dispositivos conectados deberán permitir a los usuarios acceso directo a los datos que generan.
• Portabilidad en servicios cloud: Las empresas están obligadas a facilitar el cambio de proveedor sin barreras técnicas ni costes desproporcionados.
• Acceso de administraciones públicas: Las organizaciones deberán estar preparadas para responder a requerimientos de datos de las administraciones en situaciones excepcionales.

Este marco regulatorio redefine el mercado digital europeo y refuerza la soberanía tecnológica del continente, requiriendo que las empresas realicen revisiones profundas de sus modelos de negocio, arquitectura de productos y políticas de cumplimiento normativo.

Protección de datos: directrices del CEPD sobre DSA y RGPD

Interacción entre el Reglamento de Servicios Digitales y la protección de datos

El Comité Europeo de Protección de Datos (CEPD) publicó en septiembre de 2025 las Guidelines 3/2025, abordando la interacción entre el Reglamento de Servicios Digitales (DSA) y el Reglamento General de Protección de Datos (RGPD).

Estas directrices son cruciales para plataformas y servicios en línea, ya que varias obligaciones del DSA implican directamente el tratamiento de datos personales. Los aspectos destacados incluyen:

• Moderación de contenidos: Las medidas para detectar o eliminar contenidos ilícitos deben basarse en bases jurídicas adecuadas (consentimiento, cumplimiento legal o interés legítimo) respetando principios de minimización y proporcionalidad.
• Notificación y recursos: Los mecanismos de denuncia implican tratamiento de datos de notificadores, siendo recomendable limitar los datos al mínimo necesario y garantizar la transparencia.
• Publicidad en línea: Se requiere mayor transparencia y se prohíbe utilizar categorías especiales de datos para segmentar anuncios.
• Protección de menores: Resulta fundamental evitar técnicas de verificación invasivas y prohibir la publicidad basada en perfiles que utilice datos de menores.

Transferencias de datos internacionales: sentencia sobre el Marco UE-EE.UU.

Validación del nuevo Marco de Protección de Datos

El Tribunal General de la Unión Europea dictó sentencia el 3 de septiembre de 2025 en el asunto T-553/23 (Latombe vs. Comisión Europea), confirmando la validez del Marco de Protección de Datos UE–EE.UU. Esta resolución aporta seguridad jurídica importante para las transferencias internacionales de datos.

El tribunal validó las garantías de independencia y supervisión del Data Protection Review Court estadounidense, confirmando que la recogida de datos por agencias de inteligencia está sujeta a límites claros y salvaguardas de proporcionalidad. No obstante, es recomendable que todas las entidades que realicen transferencias internacionales dispongan de procedimientos internos adecuados para asegurar el cumplimiento del RGPD.

Sentencias y resoluciones en protección de datos

Ejercicio del derecho de acceso: importancia de los cauces adecuados

La Audiencia Nacional confirmó que los responsables del tratamiento pueden establecer cauces específicos para la tramitación de derechos RGPD (correo del Data Protection Officer, formularios o dirección postal). El ejercicio de derechos mediante buzones genéricos sin constancia de recepción no constituye una limitación del derecho de acceso.

Multa de 500.000€ por infracción de seguridad

La AEPD confirmó una multa de 500.000€ a una entidad bancaria por infracción del artículo 5.1.f) RGPD tras una brecha de seguridad que expuso datos sensibles en la Dark Web. Este caso destaca la importancia de medidas de responsabilidad proactiva y controles efectivos en cadenas de tratamiento que impliquen múltiples encargados y subencargados.

Propiedad Intelectual: marcas y tipografías

Nulidad de marcas por mala fe: sentencia STJUE C-322/24

El TJUE confirmó que la mala fe en la solicitud de una marca constituye causa de nulidad absoluta e imprescriptible. Esto significa que la tolerancia del uso de una marca durante cinco años no impide reclamar su nulidad cuando se acredite registro con mala fe, reforzando la seguridad jurídica de los titulares.

Protección de tipografías y Derechos de Autor

Aunque parezcan elementos puramente estéticos, las tipografías están protegidas por derechos de propiedad intelectual. El hecho de que estén disponibles en internet no implica uso libre o gratuito. Antes de incorporar una fuente en proyectos, es esencial revisar las condiciones de licencia y conservar prueba de la autorización correspondiente.

Conclusiones

En resumen, se consolida un marco regulatorio europeo más robusto en protección de datos, derecho digital y propiedad intelectual. Las empresas y entidades públicas deben adaptar sus operaciones al Data Act, alinear sus prácticas con las directrices del CEPD, y fortalecer sus medidas de seguridad y cumplimiento normativo.