Paso 1: confirme que tiene el derecho
Empiece por la propiedad. Los registros que su empresa creó en el curso de su propio trabajo suelen poder licenciarse. Los registros que guarda para clientes, los planos de proveedores sujetos a confidencialidad y el contenido licenciado por terceros normalmente no, salvo con consentimiento. Revise los contratos con clientes, los acuerdos de confidencialidad, las condiciones laborales y las licencias de software en busca de cláusulas sobre el uso de datos.
Paso 2: gestione la información personal
| Jurisdicción | Punto clave | Fuente |
|---|---|---|
| UE / Reino Unido (RGPD) | Los datos seudonimizados siguen siendo datos personales; los datos realmente anónimos quedan fuera del RGPD. Los reguladores fijan un listón alto de anonimato en los modelos de IA. | Considerando 26; Dictamen 28/2024 del CEPD |
| Japón (APPI, ley de protección de datos personales) | La información procesada de forma seudónima en general no puede cederse a terceros; la procesada de forma anónima sí, con divulgación pública de las categorías y el método. | DLA Piper |
| Hong Kong (PDPO, ordenanza de datos personales) | Usar datos personales para un nuevo fin requiere el consentimiento prescrito; el regulador considera la venta de datos un nuevo fin. | PCPD, DPP3 |
| Taiwán (PDPA, ley de protección de datos personales) | El uso más allá del fin original requiere una base legal o consentimiento; los criterios de desidentificación son menos precisos. | Comentario |
| China continental (PIPL, ley de protección de información personal) | La información anonimizada queda excluida de la información personal; las transferencias internacionales activan obligaciones de consentimiento y evaluación. | Jones Day |
| Singapur (PDPA, ley de protección de datos personales) | Las directrices de 2024 de la PDPC abordan el consentimiento, las excepciones y la anonimización en sistemas de IA. | PDPC |
Esto es información general, no asesoramiento jurídico. Consulte con un abogado de su jurisdicción antes de firmar.
Paso 3: planifique la desidentificación
Decida quién elimina la información personal, cuándo y con qué estándar. Las prácticas varían: Google exigió que los registros de Spirit Airlines se depuraran de información personal; otros compradores afirman que los eliminan o transforman por su cuenta después de la transferencia. Si la salida de datos personales sin procesar de su empresa es un problema según su legislación, exija la desidentificación antes de cualquier entrega.
Paso 4: ponga el alcance por escrito
- Sistemas, equipos y periodos incluidos.
- Clientes, proyectos, personas o tipos de registros excluidos.
- El formato y el volumen de la copia.
- Quién la extrae y dónde se procesa.
Paso 5: obtenga la aprobación interna
Identifique quién puede autorizar una licencia: propietarios, directivos y, en ocasiones, una empresa matriz o un acreedor. Informe al área de TI y a quien gestione los contratos con clientes. En la evaluación de Calto Data preguntamos si su empresa puede autorizar el uso de sus registros, para detectar pronto cualquier cuestión de permisos.
Preguntas frecuentes
¿Tenemos que anonimizar los datos antes de licenciarlos?
La ley no siempre lo exige, pero es el enfoque más seguro. Si se mantienen datos personales, necesitará una base legal y a menudo consentimiento, según la jurisdicción.
¿Bastan los datos seudonimizados según el RGPD?
No. Los datos seudonimizados siguen siendo datos personales según el RGPD. Solo quedan fuera los datos que ya no permiten identificar a una persona.
¿Puede una empresa japonesa licenciar datos a una empresa de IA de EE. UU.?
Sí, pero la información personal debe tratarse conforme a la APPI, incluidas sus normas sobre cesión a terceros y transferencia internacional. La información procesada de forma anónima tiene normas más flexibles.
¿Necesitamos el consentimiento de los clientes?
Si los registros contienen información personal o confidencial de clientes, normalmente sí, salvo que se elimine o que sus contratos ya permitan ese uso.