¿Quién responde del dato público? La reutilización europea, a prueba en un Estado descentralizado

La apertura de los datos públicos suele plantearse como una disyuntiva entre transparencia y privacidad. En un Estado con varios niveles de gobierno queda fuera una tercera pregunta: cuando ese dato se reutiliza y viaja hacia los espacios europeos de datos, ¿qué administración responde ante la ciudadanía?

El dato en poder de las administraciones es una de las materias primas de la economía digital. Los registros sanitarios, catastrales, educativos o de contratación pública tienen un valor que va más allá del expediente que los generó; ya que alimentan investigación, servicios y políticas públicas.

Por eso la Unión Europea (en adelante UE) lleva años construyendo un marco para que ese dato circule y se reutilice sin renunciar a la protección de las personas. El debate público, en cambio, tiende a reducirse a una falsa disyuntiva; es decir, abrir o no abrir, transparencia frente a privacidad.

Esa forma de plantearlo deja fuera una dimensión que en España resulta decisiva. El dato administrativo no está en un único cajón estatal: se reparte entre la Administración General del Estado (en adelante AGE), las Comunidades Autónomas (en adelante CCAA) y las entidades locales, cada una con sus competencias. El modelo europeo de reutilización tiene que operar sobre ese mapa real, no sobre un Estado imaginario de ventanilla única.

Un acervo europeo que se está reordenando en tiempo real

Quien quiera entender el tablero debe mirarlo ahora, porque se está moviendo. La Estrategia Europea de Datos se ha desplegado en piezas sucesivas: la Directiva de Datos Abiertos, el Reglamento de Gobernanza de Datos (DGA, por sus siglas en inglés) y, más recientemente, el Reglamento de Datos o Data Act, aplicable desde septiembre de 2025.

El resultado ha sido eficaz, pero también fragmentario, con reglas repartidas en varias normas. Para corregirlo, la Comisión Europea presentó en noviembre de 2025 el Reglamento Ómnibus Digital, que busca consolidar buena parte de esa normativa en un texto único. 

La propuesta contempla derogar la DGA e integrar sus reglas sobre reutilización de datos del sector público en un Data Act reestructurado. No es un ajuste menor, ya que reorganiza el marco justo cuando las administraciones empiezan a aplicarlo.

Sobre esa propuesta ya se han pronunciado las autoridades de protección de datos. En su dictamen conjunto de febrero de 2026, el Comité Europeo de Protección de Datos (en adelante CEPD) y el Supervisor Europeo de Protección de Datos (en adelante SEPD) valoran positivamente la simplificación, pero advierten de “preocupaciones significativas” (algunos cambios no son meramente técnicos y pueden generar inseguridad jurídica, además de afectar al nivel de protección de las personas).

Reutilizar no es abrir: el responsable que no desaparece

Reutilizar datos protegidos del sector público no equivale a publicarlos en abierto. La DGA se ocupa precisamente de las categorías que no pueden difundirse sin más porque sobre ellas concurren derechos de terceros (datos personales, secretos comerciales o información protegida por propiedad intelectual).

El objetivo no es abrir la puerta, sino habilitar un uso seguro y controlado. Y ese matiz tiene una consecuencia jurídica que a veces se pasa por alto; por ejemplo, cuando el dato reutilizado contiene información personal, el Reglamento General de Protección de Datos (en adelante RGPD) no se apaga.

El organismo público que custodia el dato y autoriza su reutilización no se convierte en un cauce natural. Sigue habiendo un tratamiento, siguen existiendo obligaciones y, sobre todo, sigue habiendo alguien que debe responder de que el uso respeta los principios de licitud, minimización y limitación de la finalidad.

En ese sentido, la propia DGA lo reconoce cuando exige a las administraciones preservar la naturaleza protegida de los datos mediante la anonimización o los entornos de tratamiento seguros. Pero preservar no es atribuir responsabilidad; ya que la pregunta que rara vez se formula con claridad es quién ocupa la posición de responsable, o de corresponsable, en cada eslabón de la cadena y, además, qué ocurre cuando ese eslabón cambia de administración.

Un mapa de datos con varios niveles de gobierno

Aquí la descentralización deja de ser un detalle y pasa a ser el problema. Buena parte del dato administrativo más valioso está en manos de las CCAA, en ejercicio de competencias propias. Su reutilización no es una operación puramente estatal, dado que implica a la administración autonómica que lo posee, a los órganos que autorizan el uso y, también, a estructuras europeas de intermediación.

Lo llamativo es que el diseño europeo ya cuenta con ello, aunque de forma discreta. La DGA obliga a los Estados a establecer un punto único de información que canalice las solicitudes de reutilización, y prevé que ese punto pueda conectarse con puntos de información locales, regionales o sectoriales cuando existan. La propia norma anticipa que el mapa de datos de un Estado puede tener varios niveles.

El riesgo no es técnico, es de responsabilidad. Un modelo con un punto nacional, y varios puntos autonómicos, funciona mientras esté claro  qué administración garantiza los derechos de la persona cuyos datos se reutilizan. En concreto, qué administración asume cada una de estas funciones: atender una solicitud de acceso, rectificación o supresión; evaluar el riesgo antes de habilitar un uso; y responder, y reparar, si el tratamiento falla.

Cuando esa atribución se difumina entre niveles de gobierno, la ciudadanía puede acabar sin un interlocutor identificable. Y un derecho fundamental sin un responsable claro es un derecho debilitado.

Que la simplificación no borre quién responde

Al trasladar las reglas de la DGA a un Data Act reestructurado, el Reglamento Ómnibus Digital reordena la reutilización justo cuando muchas administraciones autonómicas empiezan a operarla.

La simplificación es bienvenida, menos normas dispersas facilitan el cumplimiento. Pero simplificar el texto europeo no simplifica el reparto competencial interno, y ahí está el punto ciego.

El CEPD y el SEPD han insistido, más allá de los detalles, en la necesidad de atender a los modelos de gobernanza de los datos. Esa es la cuestión que un Estado descentralizado no puede dejar al azar. La arquitectura importa, dado que define quién decide, quién controla y quién responde.

La economía europea del dato promete valor para el sector público, y la promesa es real. Pero solo se materializa si el modelo de gobernanza resuelve, y no elude, una pregunta difícil de responder cuando el poder está repartido: cuando el dato público se pone a circular, ¿quién responde ante quien está detrás de ese dato? Mientras esa respuesta no sea indiscutible, la protección de datos no será una carga que frena la innovación, sino la condición que permite que la innovación se sostenga sobre la confianza.

Declaración de ausencia de conflicto de interés: el autor no ha recibido beneficios de terceros de carácter privado o comercial cuyos intereses puedan verse favorecidos por la publicación de este texto. El marco de investigación y la financiación pública en que se enmarca se detallan en el reconocimiento que figura a continuación.

Reconocimiento: investigación realizada en el ámbito de las actividades del Centro de Excelencia Jean Monnet “Good Observatory”, proyecto 101240230, en la UNED. Financiado por la Unión Europea. Las opiniones y puntos de vista expresados solo comprometen al autor y no reflejan necesariamente los de la Unión Europea o los de la Agencia Ejecutiva Europea de Educación y Cultura (EACEA). Ni la Unión Europea, ni la EACEA pueden ser considerados responsables de ellos.