Caso práctico 4. La máquina es arrendada: ¿quién puede acceder a sus datos?

Material docente de Antonio Merchán Murillo · DIPrDigital

Nivel: últimos cursos del grado y máster. Duración orientativa: 90 minutos, en parejas. Supuesto ficticio. Fuentes comprobadas a 9 de noviembre de 2026. La actividad trabaja con el Reglamento de Datos y con la Recomendación (UE) 2026/2394, publicada el 6 de noviembre.

Objetivos

Distinguir al usuario de un producto conectado del propietario y del interesado en protección de datos. Reconstruir la relación entre usuario, titular y destinatario de datos. Separar el derecho de acceso, las condiciones de comunicación y la eficacia de las cláusulas recomendadas. Aplicar las reglas pertinentes sobre ley aplicable y competencia judicial sin atribuir al lugar de los servidores una función que la norma no le reconoce.

Supuesto de hecho

AgroBahía, SL tiene su administración central y único establecimiento en Cádiz. El 14 de octubre de 2026 recibe en arrendamiento durante tres años una máquina industrial conectada para el tratamiento de productos agrícolas. La propietaria es EquipLease, BV, establecida en Rotterdam. El contrato atribuye expresamente a AgroBahía el uso de la máquina durante ese período.

La máquina fue introducida en el mercado el 1 de octubre de 2026 por NordSensor, GmbH, cuyo domicilio social y administración central están en Hamburgo. NordSensor pertenece a un grupo de gran tamaño, no comprendido en las exclusiones empresariales del artículo 7 del Reglamento de Datos. La máquina envía periódicamente datos de funcionamiento a una infraestructura ubicada en Irlanda. A los efectos del caso, NordSensor es el titular de datos obligado a poner a disposición los datos comprendidos en los artículos 4 y 5.

El 15 de octubre, AgroBahía y NordSensor celebran un contrato de servicio relacionado con la máquina, que incluye el acceso al panel de funcionamiento. Sus condiciones generales eligen el Derecho suizo. No contienen una cláusula de elección de tribunal ni un convenio arbitral. Salvo esa elección de ley, los elementos pertinentes del contrato y de su ejecución están localizados en la Unión. No se aporta el contenido del Derecho suizo.

El 3 de noviembre, AgroBahía solicita a NordSensor que facilite determinados datos fácilmente disponibles y sus metadatos a Mantenimiento Luso, Lda, establecida en Oporto, para diagnosticar una avería. La petición procede de una representante de AgroBahía cuya autorización está acreditada. La reparadora es una pyme independiente, sin empresas asociadas o vinculadas que no sean pymes, y no es un guardián de acceso. Ha celebrado con AgroBahía un contrato que limita el uso de los datos al diagnóstico y mantenimiento de esta máquina.

La solicitud incluye temperaturas, vibraciones, consumos y códigos de error. También incluye registros de identificación de operarios y localización vinculables a trabajadores concretos. NordSensor dispone ya de todos esos datos sin necesidad de desarrollar un nuevo sistema de análisis. No se solicita el código del programa ni información inferida mediante inversiones adicionales. El informe de la reparadora indica que, para ese diagnóstico, bastan los registros técnicos y sus metadatos, sin las identidades de los operarios ni los registros de localización personal.

NordSensor rechaza toda la solicitud. Alega que AgroBahía no es propietaria de la máquina, que la elección del Derecho suizo excluye el Reglamento de Datos y que todos los datos de funcionamiento son secretos comerciales. Subsidiariamente propone cobrar a Mantenimiento Luso 2.400 euros anuales como compensación por la puesta a disposición, sin desglosar los costes. La empresa portuguesa ofrece medidas de confidencialidad y control de acceso, que todavía no se han concretado.

El 7 de noviembre, AgroBahía invoca la recién publicada Recomendación (UE) 2026/2394 y exige que se apliquen automáticamente sus modelos. Ese mismo día, NordSensor añade en su web una copia de un modelo europeo con el espacio destinado a la elección de tribunal sin completar. No consta aceptación de ese documento por AgroBahía ni por la reparadora. Ambas empresas desean preparar una respuesta coordinada y valorar una reclamación frente a NordSensor.

Documentación disponible

• Contrato de arrendamiento y acta de entrega de la máquina.
• Contrato del servicio relacionado, condiciones generales y aceptación de la elección de ley.
• Inventario técnico de los datos, metadatos y frecuencia con que NordSensor los obtiene.
• Solicitud de acceso, acreditación de la representación y respuesta de NordSensor.
• Contrato de diagnóstico entre AgroBahía y Mantenimiento Luso e informe que delimita los datos necesarios.
• Captura fechada de la copia del modelo europeo publicada por NordSensor.

Cuestiones

1. Construye un mapa de las relaciones. ¿Puede ser AgroBahía usuario a efectos del Reglamento de Datos aunque la propietaria sea EquipLease? Diferencia esa condición de la de interesado en protección de datos.
2. Identifica la vía jurídica para poner los datos a disposición de Mantenimiento Luso. ¿Qué relevancia tienen los datos fácilmente disponibles, los metadatos y el fin convenido con la reparadora?
3. Separa los registros técnicos de los datos vinculables a los trabajadores. ¿Bastan la solicitud de AgroBahía y su contrato con la reparadora para comunicar estos últimos? Formula una respuesta proporcionada al diagnóstico solicitado.
4. ¿Permite la invocación genérica de secretos comerciales rechazar toda la solicitud? Diferencia identificación del secreto, medidas de protección, suspensión y denegación excepcional de los datos específicos.
5. ¿Debe ser gratuita toda puesta a disposición para el destinatario? Aplica la distinción entre gratuidad para el usuario y compensación entre empresas. ¿Qué información falta para valorar los 2.400 euros?
6. Examina los efectos de la elección del Derecho suizo. ¿Qué aporta el artículo 3.4 de Roma I en el supuesto? ¿Modifica la ubicación de la infraestructura irlandesa esa respuesta?
7. Selecciona los anexos II, III y IV de la Recomendación que corresponden a cada relación. ¿Puede exigirse la incorporación automática de sus textos por el hecho de haberse publicado?
8. ¿Puede demandarse a NordSensor en Alemania? ¿Constituye una elección de tribunal la copia del modelo con el espacio sin completar? Distingue la vía judicial de los mecanismos del artículo 10 del Reglamento de Datos.
9. Redacta la recomendación final. Identifica los datos cuya comunicación propones, las condiciones pendientes, la documentación que debe pedirse y una vía de reclamación. Formula de manera condicionada las conclusiones que exijan comprobar hechos o Derecho extranjero.

Entrega y evaluación

Informe de 900–1.200 palabras, acompañado de una tabla que vincule cada petición o excepción con su sujeto, instrumento jurídico y consecuencia. La tabla y las referencias no computan en la extensión. No debe inventarse el contenido del Derecho suizo ni darse por acreditada una base de tratamiento o un secreto comercial que los hechos no prueban.

Criterio	Puntuación
Sujetos, relaciones y objeto de la solicitud	2 puntos
Protección de datos, secretos y compensación	4 puntos
Ley aplicable, competencia y valor de los modelos	3 puntos
Recomendación operativa y tratamiento de los límites	1 punto

Orientaciones de resolución · consultar después de realizar el caso

Usuario y ámbito temporal. El artículo 2.12 del Reglamento de Datos incluye a quien recibe por contrato derechos temporales de uso del producto. El arrendamiento permite encuadrar a AgroBahía sin convertirla en propietaria. El artículo 50 distingue la aplicación general desde el 12 de septiembre de 2025 y la obligación de diseño del artículo 3.1 para productos introducidos en el mercado después del 12 de septiembre de 2026. No deben confundirse ambos hitos. Los hechos sitúan la máquina y los contratos después de esas fechas.

Solicitud y destinatario. La comunicación directa a la reparadora remite al artículo 5, junto con los artículos 6, 8 y 9. Se parte de datos fácilmente disponibles y metadatos, y de un fin contractual determinado. La prestación de mantenimiento no equivale, por sí sola, a desarrollar un producto conectado competidor. Tampoco procede exigir acceso al código o a análisis inferidos que se han excluido expresamente del caso.

Datos de trabajadores. AgroBahía no es el interesado cuyos datos personales se solicitan. El artículo 5.7 exige una base válida conforme al artículo 6 RGPD y las demás condiciones que procedan. El contrato entre empresas no basta para aplicar automáticamente la base contractual a trabajadores que no son partes en él. En el expediente no se acredita otra base para comunicar los registros personales. El diagnóstico permite proponer la entrega de los datos técnicos separables y los metadatos necesarios, delimitando o excluyendo los campos personales innecesarios. La mera supresión de nombres no convierte necesariamente los restantes registros en anónimos.

Secretos comerciales. Deben examinarse los apartados 9–11 del artículo 5. La identificación de datos concretos y el acuerdo sobre medidas proporcionadas preceden a una decisión sobre suspensión o acceso. La denegación excepcional exige demostrar la elevada probabilidad de un perjuicio económico grave pese a las medidas, con justificación objetiva y las comunicaciones previstas. El caso no permite dar por probados ni el carácter secreto de todo el conjunto ni esa demostración. Que el titular haya rechazado la solicitud de forma insuficiente tampoco elimina las salvaguardias exigibles al destinatario.

Compensación. El artículo 5.1 establece gratuidad para el usuario. No excluye toda compensación entre titular y destinatario. Para la pyme independiente descrita, el artículo 9.4 limita la compensación a los costes del artículo 9.2.a). El artículo 9.7 permite exigir información suficientemente detallada sobre el cálculo. No basta el rótulo «licencia anual» para justificar el importe, pero tampoco puede declararse abusivo por su cifra sin comprobar los costes y las condiciones.

Ley aplicable. El artículo 3 de Roma I reconoce la elección. Como todos los demás elementos pertinentes están en la Unión, el artículo 3.4 impide que la elección de una ley de un tercer Estado perjudique las disposiciones del Derecho de la Unión que no puedan excluirse mediante acuerdo. Además, debe examinarse el ámbito propio de cada disposición del Reglamento de Datos. No se deduce de ello que toda norma de ese Reglamento sea una ley de policía del artículo 9. La localización irlandesa de la infraestructura no reemplaza las conexiones jurídicas aplicables.

Modelos. El anexo II contempla la relación entre titular y usuario, el III la relación entre usuario y destinatario y el IV la puesta a disposición por el titular al destinatario a petición del usuario. Sirven para adaptar y coordinar los acuerdos, sin incorporar por sí solos sus textos a los contratos existentes. Su publicación tampoco altera las condiciones de tratamiento de datos personales. El campo de tribunal sin completar no prueba un acuerdo atributivo de competencia.

Reclamación. El domicilio alemán de NordSensor ofrece el foro general del artículo 4 de Bruselas I bis, en relación con su artículo 63. Para afirmar un foro español adicional sería necesario justificar el fundamento de la acción y la conexión correspondiente, sin deducirlo solo del domicilio de AgroBahía. El artículo 10 del Reglamento de Datos prevé mecanismos específicos cuyo ámbito y condiciones deben comprobarse. Su apartado 12 no atribuye carácter vinculante automático a la decisión del órgano de resolución de litigios, sino que exige consentimiento expreso previo a ese efecto.

Propuesta. Presentar una solicitud delimitada por series, campos y metadatos, acreditar nuevamente la representación y el fin, pedir identificación de los secretos invocados, concretar garantías y exigir el cálculo de la compensación. Separar los datos personales innecesarios permite avanzar sin convertir una solicitud empresarial en una autorización general de comunicación. Conservar las versiones de los contratos y de la respuesta prepara tanto la negociación como una eventual reclamación.

Variante de profundización

Sustituye la pyme portuguesa por una empresa establecida fuera del Espacio Económico Europeo y añade acceso a datos personales desde ese país. Identifica qué análisis adicional exige el capítulo V RGPD. La Recomendación 2026/2394 y las cláusulas de la Decisión 2021/914 tienen funciones distintas. No deduzcas que firmar un modelo de acceso a datos resuelve las condiciones de transferencia internacional.

Fuentes de trabajo

• Reglamento de Datos, arts. 1–7, 8–10, 41 y 50. Véanse en particular los arts. 2.12, 5.7 y 5.9–12.
• Recomendación (UE) 2026/2394, anexos I–IV y sus apéndices sobre datos, representación y medidas de protección.
• Reglamento Roma I, arts. 3 y 9.
• Reglamento Bruselas I bis, arts. 4, 25 y 63.
• Reglamento general de protección de datos, arts. 4–6 y capítulo V.
• Decisión de Ejecución (UE) 2021/914, para la variante de profundización.