El derecho sui generis sobre bases de datos ha sido durante años una pieza central del sistema europeo de propiedad intelectual aplicada a la economía digital.
La finalidad de este derecho sui generis es proteger la inversión sustancial realizada por empresas en la obtención, verificación y estructuración de datos, reconociendo el valor económico de la organización de la información.
Sin embargo, con la entrada en vigor del Data Act (Reglamento UE 2023/2854) y el refuerzo del Digital Markets Act (Reglamento UE 2022/1925), se produce un cambio relevante en su función práctica: la protección de la base de datos se mantiene, pero deja de poder utilizarse como un instrumento de exclusión del acceso cuando la normativa reconoce dicho acceso.
El Data Act no elimina la propiedad intelectual sobre bases de datos; lo que hace es eliminar su uso como mecanismo de exclusión cuando el acceso al dato está legalmente garantizado.
Principio clave: no hay expropiación de la propiedad intelectual, pero sí límites a su uso competitivo
El principio estructural del nuevo marco es claro: el Data Act no expropia ni debilita la propiedad intelectual, pero impide su utilización de forma anticompetitiva.
En términos generales, el fabricante, proveedor o plataforma no puede invocar el derecho sui generis sobre bases de datos para impedir el acceso o la compartición de datos cuando el propio Data Act reconoce ese derecho de acceso a favor del usuario o de terceros autorizados.
Bajo el modelo anterior, la lógica dominante era la siguiente: si los datos están en mi base de datos y he invertido en su estructuración, controlo su acceso y su explotación.
En el modelo actual, esa lógica se invierte parcialmente: la inversión en la base de datos no puede neutralizar un derecho legal de acceso reconocido al usuario o a un tercero autorizado.
Uno de los errores más habituales en la práctica empresarial es confundir la existencia de una infraestructura tecnológica o de una base de datos con un derecho de propiedad absoluta sobre todos los datos generados en su interior.
No es correcto entender que “tengo la infraestructura, por tanto, tengo el control exclusivo de todo el dato generado”.
El Data Act rompe esta equivalencia automática y establece un modelo más matizado: la infraestructura puede estar protegida, pero el acceso a los datos puede estar legalmente garantizado en determinados supuestos.
Marco legal: derechos reconocidos, pero no ilimitados
El Data Act crea derechos de acceso, uso y portabilidad de los datos, pero estos derechos no son absolutos ni ilimitados. Su ejercicio debe convivir con otros marcos jurídicos esenciales del ordenamiento europeo.
En particular, el Data Act no autoriza:
- la vulneración del RGPD o la normativa de protección de datos personales,
- la apropiación indebida de software, algoritmos o modelos tecnológicos,
- la revelación sin límites de secretos empresariales,
- la infracción de derechos de propiedad intelectual o industrial,
- la puesta en riesgo de la ciberseguridad o la integridad de sistemas,
- ni el incumplimiento de normativa sectorial específica, como la sanitaria, financiera o de defensa.
Relación con la propiedad intelectual e industrial
El sistema de propiedad intelectual e industrial sigue plenamente vigente y continúa protegiendo elementos esenciales como:
- el software y su código fuente,
- los modelos de inteligencia artificial,
- las patentes,
- el diseño de interfaces,
- el copyright sobre contenidos protegidos,
- y la estructura de las bases de datos.
No obstante, esta protección no implica automáticamente un control exclusivo sobre todos los datos funcionales o co-generados dentro de un sistema. Es decir, la protección de la infraestructura no se extiende sin más al control absoluto del dato generado por su uso.
Cuándo el acceso está dentro del marco legal
El acceso, uso o compartición de datos se considera conforme a Derecho cuando concurren determinadas condiciones.
En primer lugar, cuando existe una base jurídica válida, como puede ser el consentimiento, la ejecución de un contrato o una obligación legal.
También debe respetarse la normativa de protección de datos cuando existan datos personales, cumpliendo con los principios de finalidad, minimización y proporcionalidad. El acceso debe responder a una finalidad legítima y concreta, como la reparación de un producto, la portabilidad de datos o su mantenimiento.
Asimismo, es necesario que no se vulneren secretos empresariales, software o algoritmos protegidos, salvo que exista obligación legal específica. El acceso debe garantizar la ciberseguridad e integridad de los sistemas, y limitarse a los datos estrictamente necesarios.
Finalmente, el uso de los datos no puede entrar en conflicto con normativa sectorial ni derivar en prácticas anticompetitivas o abusivas.
Cuándo el acceso no está dentro del marco legal:
Por el contrario, el acceso o uso de datos se considera contrario a Derecho cuando:
- se utilizan los datos para finalidades distintas a las autorizadas,
- se vulnera la privacidad de terceros,
- se exige acceso a código fuente, algoritmos o secretos empresariales no exigibles legalmente,
- se compromete la seguridad o infraestructura del sistema,
- o se infringen normas de propiedad intelectual, competencia o regulación sectorial aplicable.
Impacto internacional del Data Act y DMA: efectos para empresas fuera de la UE
El Data Act y el DMA afectan a empresas extranjeras que operan en el mercado europeo. Aunque no existe una extraterritorialidad formal, cualquier entidad que ofrezca servicios, productos o tenga usuarios en la UE debe cumplir con estas normas. Esto incluye plataformas digitales, cloud computing, IoT, marketplaces y fabricantes de dispositivos conectados. La relación con el mercado europeo determina la obligación de adaptarse al régimen.
Conclusión:
El derecho sui generis sobre bases de datos no desaparece con el Data Act, pero sí pierde su función como mecanismo de exclusión del mercado o de cierre de ecosistemas digitales.
La propiedad intelectual sigue protegiendo la inversión, la infraestructura y los desarrollos tecnológicos, pero deja de operar como un instrumento absoluto de control del dato cuando existe un derecho legal de acceso reconocido.
En el modelo anterior, los datos tendían a concentrarse en manos de quienes controlaban la infraestructura (plataformas, fabricantes o proveedores cloud), lo que generaba asimetrías de poder y dependencia estructural.
El Data Act busca corregir esto permitiendo que los datos circulen entre usuarios, empresas y terceros en condiciones reguladas, evitando su bloqueo en ecosistemas cerrados.
El objetivo no es solo técnico, sino estratégico: repartir el valor del dato para evitar la dependencia de las Big Tech y reforzar la soberanía digital europea.
