O Regulamento dos Dados: acesso aos dados desde a conceção e o fim da dependência da nuvem

O Regulamento dos Dados (Data Act) é o mais discreto dos regulamentos europeus em curso e um dos mais estruturais. Não acrescenta um banner ao seu sítio web nem um rótulo ao seu produto. Muda quem é dono dos dados que os seus produtos geram e faz da mudança de fornecedor de nuvem um direito legal, em vez de uma negociação comercial.

O Regulamento (UE) 2023/2854 passou a ser aplicável a 12 de setembro de 2025. A obrigação que exige engenharia a sério, conceber os produtos de modo a que os dados sejam acessíveis por defeito, aplica-se desde 12 de setembro de 2026 aos produtos conectados e serviços conexos colocados no mercado depois dessa data. Não tem efeito retroativo. A proibição de encargos pela mudança de fornecedor de nuvem fica completa a 12 de janeiro de 2027.

Se desenvolve produtos conectados ou explora um serviço de tratamento de dados, isto está no seu roteiro, quer o tenha lá posto quer não.

Dois regulamentos num só

O Regulamento dos Dados faz duas coisas bastante diferentes, e convém tratá-las em separado.

A primeira parte dá aos utilizadores de produtos conectados um direito sobre os dados que esses produtos geram, e o direito de os ver partilhados com um terceiro à sua escolha.

A segunda parte obriga os fornecedores de serviços de tratamento de dados, ou seja, serviços de nuvem e de periferia (edge), a tornar a mudança para um concorrente exequível na prática e, a prazo, gratuita.

Ambas atacam o mesmo problema: os dados gerados pelos utilizadores acabam presos no fornecedor que os recolheu.

Produtos conectados: acesso aos dados por defeito

Um produto conectado é qualquer objeto físico que obtém, gera ou recolhe dados sobre a sua utilização ou o seu ambiente e consegue comunicar esses dados. A definição é propositadamente ampla. Veículos, maquinaria industrial, equipamento agrícola, dispositivos médicos, eletrodomésticos, wearables, contadores inteligentes, sistemas de edifícios e eletrónica de consumo cabem todos nela.

Um serviço conexo é o software que faz o produto funcionar como previsto, e está abrangido a par do hardware.

O que os utilizadores ganham

Os utilizadores têm direito a aceder aos dados do produto e aos dados do serviço conexo gerados pela sua utilização, de forma fácil, segura e gratuita, num formato completo, estruturado, de uso corrente e legível por máquina. Quando for tecnicamente viável, esse acesso deve ser direto e contínuo, e não uma exportação periódica.

Podem também exigir ao detentor dos dados que os partilhe com um terceiro que indiquem. Esse terceiro pode ser o serviço de um concorrente, uma oficina, uma seguradora ou um fornecedor de análise de dados. O detentor dos dados não pode usar cláusulas contratuais para o impedir, nem usar os dados partilhados para concorrer com o utilizador.

O que mudou a 12 de setembro de 2026

Desde essa data, os produtos conectados colocados no mercado e os respetivos serviços conexos têm de ser concebidos e fabricados de modo a que os dados do produto e do serviço conexo estejam acessíveis ao utilizador por defeito e, quando relevante e tecnicamente viável, diretamente.

É a palavra «concebidos» que faz disto um prazo de engenharia e não um prazo jurídico. Não se cumpre uma obrigação de conceção com um processo de apoio ao cliente. Tem de estar no produto.

Como se traduz em trabalho

Para a maioria das equipas, a lacuna não está na API, está em tudo o que fica por baixo.

Modelo de dados. É preciso distinguir os dados gerados pela utilização do produto pelo utilizador dos dados que a empresa deriva, enriquece ou infere. O utilizador tem direito aos primeiros. Essa distinção muitas vezes não existe nos esquemas atuais, em que a telemetria, as métricas derivadas e a análise interna estão nas mesmas tabelas.

Interfaces de acesso. Uma API a sério, com autenticação, autorização, paginação e limitação de pedidos, e ainda uma via de autosserviço para utilizadores sem perfil técnico. Um CSV enviado por email a pedido não cumpre o «de forma fácil e, quando relevante e tecnicamente viável, diretamente».

Delegação a terceiros. O utilizador pode indicar um destinatário. Isso implica um modelo de consentimento e autorização em que o utilizador concede acesso delimitado a alguém com quem a empresa não tem qualquer relação, e pode revogá-lo. Se a sua plataforma não tem o conceito de acesso delegado, esta é a maior fatia de trabalho.

Segredos comerciais. O regulamento procura equilibrar o acesso aos dados com a proteção dos segredos comerciais. O detentor dos dados pode exigir medidas proporcionadas para preservar a confidencialidade e, em circunstâncias restritas, recusar ou suspender a partilha. Isto tem de ser uma posição documentada e defensável, não uma recusa genérica, e vale a pena envolver os advogados cedo.

Informação pré-contratual. Antes da venda, tem de dizer ao comprador que dados o produto gera, como se acede a eles, se o acesso é contínuo e em tempo real e se tenciona usá-los. Isto é conteúdo da página de produto e da documentação, e deve ser revisto em conjunto com as obrigações de informação sobre o produto que entraram em vigor em setembro de 2026.

Mudança de fornecedor de nuvem: o fim da dependência

A segunda metade do Regulamento dos Dados visa os serviços de tratamento de dados, o que abrange IaaS, PaaS e SaaS.

Os fornecedores têm de:

• Eliminar os obstáculos comerciais, técnicos, contratuais e organizacionais à mudança.
• Concluir a mudança dentro de um período de transição máximo, em regra 30 dias após um pré-aviso de até dois meses, prorrogável quando for tecnicamente inviável.
• Permitir a exportação de todos os dados e ativos digitais exportáveis num formato estruturado, de uso corrente e legível por máquina.
• Disponibilizar interfaces abertas e, nos serviços de infraestrutura, equivalência funcional após a mudança.
• Garantir um período mínimo de 30 dias para recuperar os dados após a cessação do contrato.

Quanto aos encargos, os custos de mudança foram reduzidos a partir da data de aplicação e são totalmente abolidos a partir de 12 de janeiro de 2027. A partir daí, o fornecedor não pode cobrar nada pelo processo de mudança.

As cláusulas contratuais têm de refletir isto, incluindo o procedimento de mudança, o período de transição, a lista exaustiva das categorias de dados exportáveis e a assistência prestada.

Se compra serviços de nuvem

Isto é um trunfo real na negociação e a maioria dos compradores não o está a usar.

Na próxima renovação, peça a cláusula de mudança, as categorias de dados exportáveis e os compromissos de assistência à saída. Tem direito a eles. Se a resposta for vaga, isso já lhe diz alguma coisa sobre a dificuldade real de uma saída.

Também vale a pena fazer um teste de exportação, em vez de confiar numa página de documentação. Exporte tudo, tente perceber o que recebeu e veja se aquilo permitiria de facto reconstruir o seu serviço noutro lado. A distância entre o que o fornecedor diz ser exportável e o que é utilizável é, normalmente, onde está a dependência.

Se vende serviços de nuvem

Precisa da cláusula de mudança nos contratos, de um procedimento de mudança documentado, de um mecanismo de exportação que produza algo realmente utilizável e de um plano para o ponto de custo zero de janeiro de 2027, se hoje cobra taxas de saída de dados (egress) ou de cessação.

O preço da saída de dados merece atenção especial. Cobrar a transferência de dados para fora é uma prática antiga do setor, e a fronteira entre os encargos normais de saída de dados e os encargos de mudança é uma questão que os reguladores vão analisar.

Acesso do setor público e cláusulas entre empresas

Dois pontos mais pequenos que convém conhecer.

O regulamento dá aos organismos do setor público o direito de pedir dados a empresas privadas em situações de necessidade excecional, sobretudo emergências públicas. É restrito, mas se detém dados de interesse público deve saber que o procedimento existe.

Introduz também um teste de abusividade para as cláusulas contratuais sobre acesso e utilização de dados impostas unilateralmente a outra empresa. Uma cláusula que se afaste manifestamente das boas práticas comerciais não é vinculativa. É um travão útil às cláusulas de dados do tipo «é pegar ou largar» nos contratos com fornecedores.

O que pode mudar: o Omnibus Digital

A 19 de novembro de 2025, a Comissão propôs um Omnibus Digital (processo 2025/0360(COD)) que integraria o Regulamento Governação de Dados, a Diretiva Dados Abertos e o Regulamento relativo ao livre fluxo de dados não pessoais num Regulamento dos Dados reestruturado, e isentaria as pequenas empresas de algumas regras sobre a mudança de fornecedor de nuvem. É uma proposta, não é lei. A 10 de outubro de 2026, as comissões competentes do Parlamento ainda estavam a trabalhar em mais de 1 750 alterações ao seu projeto de relatório, e o Conselho não tinha mandato de negociação: a votação dos embaixadores de 7 de outubro foi adiada, ao que consta porque a França e a Alemanha querem uma proteção mais forte dos segredos comerciais no Regulamento dos Dados, e esperava-se nova tentativa a 11 de outubro. Até haver um texto adotado, planeie com base no Regulamento dos Dados tal como está, incluindo a data de janeiro de 2027 para os encargos de mudança.

O que faríamos agora

Se fabrica produtos conectados, a data de setembro de 2026 já passou. A obrigação de conceção aplica-se aos produtos colocados no mercado depois dela, por isso tudo o que lançar agora, e tudo o que está em desenvolvimento, está abrangido. Comece pela separação no modelo de dados, porque tudo o resto depende disso.

Se explora um serviço de tratamento de dados, reveja os contratos, as ferramentas de exportação e a estrutura de preços. O ponto de custo zero de janeiro de 2027 não está longe, e o impacto nas receitas exige uma decisão da administração, não da engenharia.

Se compra serviços de nuvem, use o seu trunfo na renovação e teste o caminho de exportação. Custa um dia e diz-lhe algo valioso sobre o seu risco real.

Todos os outros devem, ainda assim, confirmar se estão abrangidos. A definição de produto conectado é mais ampla do que a expressão sugere, e empresas que se veem como empresas de software às vezes vendem hardware sem que isso fique registado internamente.

O panorama geral

O Regulamento dos Dados faz parte de um conjunto de regras que, somadas, estão a refazer os pressupostos sobre os quais se constrói software na Europa. O guia de conformidade digital europeia para 2026 mapeia todo o terreno, incluindo os prazos que chegam ao mesmo tempo que este.

Há sobreposições reais a aproveitar. As API de acesso a dados criadas para o Regulamento dos Dados partilham infraestrutura com os pedidos de portabilidade ao abrigo do RGPD. Os inventários de componentes feitos para o Regulamento de Ciber-Resiliência mostram onde estão de facto os dados do produto. Construir isto como uma única capacidade da plataforma, e não como três projetos, é a diferença entre um trimestre e um ano.

Concebemos e desenvolvemos plataformas de dados, API e infraestrutura de nuvem para empresas que operam na Europa, incluindo os mecanismos de acesso delegado e de exportação que este regulamento pressupõe. Se quiser ajuda para delimitar o que a obrigação de conceção de setembro de 2026 significa para um produto concreto, escreva para office@c9group.dev ou saiba mais sobre o nosso trabalho com infraestrutura AWS e entrada no mercado europeu.

Construímos sistemas, não damos aconselhamento jurídico. A delimitação do âmbito e as posições sobre segredos comerciais são assunto para os seus advogados.