### ¿Cuáles son las condiciones desencadenantes y el proceso de la evaluación de seguridad de la exportación de datos? **Por Profesor Liu** *Con 12 años asesorando a empresas extranjeras y 14 años gestionando trámites en Jiaxi Finanzas e Impuestos, hoy quiero compartirles un tema que me consultan casi a diario: la evaluación de seguridad de la exportación de datos. No se asusten con el nombre, que suena a papeleo eterno; en realidad, es un mecanismo de protección que, bien entendido, les ahorrará dolores de cabeza legales y multas inesperadas.* --- #### **Disparadores: cuándo salta la alarma** El primer error que cometen muchos inversores es pensar que la evaluación solo aplica a gigantes tecnológicos. Nada más lejos de la realidad. La normativa china (Ley de Seguridad de Datos y Ley de Protección de Información Personal) establece **condiciones desencadenantes claras** que cualquier empresa, sin importar su tamaño, debe vigilar. En mi experiencia, el detonante más común es la **transferencia transfronteriza de datos personales**. Si su empresa recopila información de clientes en China y la envía a una matriz en el extranjero, o la almacena en servidores fuera del país, ya está dentro del radar. Pero hay más: datos importantes de industrias críticas (energía, telecomunicaciones, salud) también requieren evaluación, aunque no sean "personales" en sentido estricto. Recuerdo un caso reciente: una firma de logística hispano-china que tenía su base de datos de rutas y clientes en un servidor en Singapur. No eran datos personales masivos, pero al ser considerados "datos importantes" por su sector, la evaluación fue obligatoria. El cliente me dijo: *"Profe, si hubiera sabido, lo movía antes"*. Y tiene razón: **prevenir es más barato que remediar**. Otro disparador que muchos pasan por alto es el **volumen de datos**. Si en un año exporta datos personales de más de 100,000 personas, la evaluación es obligatoria. No es un número mágico; es un umbral legal que deben monitorear con sus equipos de TI. También aplica si los datos incluyen información sensible (salud, finanzas, ubicación) de incluso un solo individuo. --- #### **El proceso: cinco pasos que parecen más difíciles de lo que son** La evaluación no es un monstruo burocrático, sino un proceso estructurado. Primero, **autoevaluación interna**: deben identificar qué datos exportan, a qué país, con qué fines y qué medidas de protección ya tienen. En Jiaxi siempre les recomendamos crear una "matriz de flujo de datos" antes de llamar a las autoridades. Esto les dará una foto clara. Segundo, **análisis de riesgo**: aquí se evalúa si el país receptor tiene leyes de protección adecuadas, si el contrato con el socio extranjero incluye cláusulas de seguridad, y si los datos pueden ser reexportados a terceros países sin control. No es solo cumplir el reglamento; es pensar como un hacker para cerrar agujeros. Tercero, **prueba de necesidad y proporcionalidad**. Las autoridades no quieren que exporten datos "porque sí". Deben demostrar que la transferencia es esencial para el servicio o contrato. Un ejemplo: una empresa de software que necesitaba enviar datos de uso de su app a Madrid para el mantenimiento técnico. Pudimos justificar que era indispensable y la evaluación fue aprobada en menos de un mes. Cuarto, **redacción del informe de evaluación**. Este documento debe ser técnico, pero no alarmista. Incluye los riesgos identificados, las medidas de mitigación y el dictamen final. Aquí es donde muchos fallan por no tener asesoría especializada. **El detalle técnico importa**, pero también la claridad para el funcionario que revisa el caso. Quinto, **presentación ante el organismo regulador** (CAC, en inglés Cyberspace Administration of China). Ellos tienen 45 días hábiles para responder, prorrogables a 60. Mi consejo: no esperen a que les pidan más documentación; entreguen todo desde el inicio, con anexos y traducciones certificadas. --- #### **Errores comunes que ya he visto (y cómo evitarlos)** El primer error es **subestimar el tiempo**. Muchos clientes piensan que con una semana basta. La realidad es que entre autoevaluación, recopilación de evidencia y espera del regulador, lo mínimo es mes y medio. Si tienen un contrato que vence, planifiquen con tres meses de antelación. El segundo error es **no documentar el flujo de datos**. A veces los datos viajan desde el empleado en Shanghái a la nube de la casa matriz, y de ahí a un subcontratista en México. Sin un mapa claro, la autoevaluación se convierte en un caos. Les recomiendo usar herramientas de gobernanza de datos y designar un responsable de privacidad (DPO). El tercero, y más peligroso, es **confundir "anónimo" con "no personal"**. Un dato puede estar seudonimizado pero aún ser identificable si se cruza con otras bases. Las autoridades son estrictas en esto; no intenten jugar con las definiciones. Una vez un cliente me dijo: *"Profe, pero si solo tengo el email, no es personal"*. Le tuve que explicar que el email es un identificador directo, y ahí se acabó el argumento. Por último, **olvidar los contratos con terceros**. Si su proveedor de servicios en la nube (AWS, Azure, etc.) almacena datos fuera de China, técnicamente ustedes son responsables de esa transferencia. Asegúrense de que el contrato con el proveedor incluya cláusulas de protección de datos y que el proveedor tenga certificaciones reconocidas. --- #### **Casos reales que me han enseñado lecciones** Un caso que nunca olvido: una empresa de comercio electrónico con sede en Barcelona, pero operación en China. Exportaban datos de pedidos y pagos a su ERP en Alemania. El problema es que no habían hecho la evaluación porque creían que "solo era logística". Cuando el CAC les pidió explicaciones, tuvieron que suspender temporalmente la transferencia de datos durante dos semanas. Las pérdidas fueron enormes. **La lección: la evaluación no es un trámite, es una salvaguarda operativa**. Otro caso más feliz: una empresa de biotecnología que necesitaba enviar datos de ensayos clínicos a sus socios en Suiza. Al principio pensaron que era imposible por lo sensible de los datos. Sin embargo, con una buena asesoría, logramos estructurar un contrato de transferencia con garantías adicionales (encriptación, acceso restringido, auditorías periódicas). La evaluación fue aprobada en 50 días. El director me escribió después: *"Liu, no sabíamos que esto era tan manejable"*. **La clave fue la preparación y la transparencia**. También he visto pequeñas empresas de marketing digital que exportan listas de correos electrónicos a plataformas internacionales de CRM. Muchas ni siquiera saben que deben evaluar. Cuando les explico, se sorprenden. **No porque sea pequeño no aplica la ley**; de hecho, las multas no distinguen tamaño. --- #### **El papel de la tecnología y la cooperación internacional** La evaluación no es solo un ejercicio legal; es una oportunidad para mejorar su seguridad informática. En Jiaxi siempre sugerimos que antes de iniciar el trámite, realicen una **evaluación de impacto de protección de datos** (PIA, por sus siglas en inglés). Esto les dará métricas objetivas para el informe. Además, la legislación china es cada vez más compatible con estándares internacionales como el GDPR europeo. Si su empresa ya cumple con GDPR, la mitad del trabajo está hecho. Pero cuidado: no son idénticos. China exige **localización de datos para categorías especiales** (por ejemplo, datos de salud e infraestructura crítica). Esa diferencia les puede costar caro si no la contemplan. En cuanto a la cooperación, las autoridades chinas han firmado acuerdos con varios países para facilitar la transferencia segura. Si el país receptor tiene un acuerdo de reconocimiento mutuo, el proceso se acelera. Es como tener un "carril rápido". Vale la pena investigar si su país de destino está en esa lista. Mi recomendación personal: **no vean esta evaluación como un costo, sino como una inversión en confianza**. Cuando sus socios internacionales saben que cumplen con la normativa china, es más probable que confíen en su empresa. He visto cómo un informe aprobado abre puertas en negociaciones comerciales. --- #### **Conclusión y perspectivas futuras** En resumen, las condiciones desencadenantes de la evaluación de seguridad de exportación de datos no son un misterio: **transferencias transfronterizas de datos personales, datos importantes de sectores críticos, o volumen significativo**. El proceso, aunque complejo, es manejable con planificación y asesoría. Los errores comunes se pueden evitar con documentación clara, contratos sólidos y un DPO dedicado. Mirando hacia el futuro, creo que veremos una armonización mayor entre la normativa china y la internacional, especialmente con la creciente digitalización del comercio. La inteligencia artificial y el *big data* plantearán retos nuevos; por ejemplo, ¿cómo evaluar la exportación de datos ya no personales pero altamente sensibles? Las autoridades seguramente actualizarán las guías. Mi consejo es que se mantengan informados y no improvisen. Desde Jiaxi Finanzas e Impuestos, seguimos acompañando a inversores hispanohablantes en cada paso. Si tienen dudas, no duden en consultarnos. **La seguridad de los datos es responsabilidad de todos, pero la tranquilidad operativa es nuestra especialidad**. --- ### Resumen desde Jiaxi Finanzas e Impuestos En Jiaxi, observamos que la evaluación de seguridad de la exportación de datos es uno de los trámites más incomprendidos por los inversores extranjeros en China. Muchos llegan a nosotros con miedo a multas o bloqueos, pero la realidad es que con un diagnóstico temprano y una matriz de flujo de datos bien elaborada, el proceso es viable y predecible. Nuestro equipo combina experiencia jurídica con un enfoque práctico de negocio: identificamos los disparadores, redactamos informes técnicos claros y coordinamos con las autoridades para minimizar tiempos. También ofrecemos servicios de capacitación para que los directivos entiendan la lógica de la ley, no solo el texto. Creemos que la normativa, lejos de ser un obstáculo, fomenta la confianza internacional y mejora la calidad de los datos. Para el futuro, vislumbramos que las autoridades chinas simplificarán aún más el proceso para empresas de bajo riesgo, y que los acuerdos bilaterales facilitarán los flujos de datos entre China y Latinoamérica. Nuestra recomendación final: **actúen con anticipación, documenten todo y confíen en asesores que conozcan ambas culturas regulatorias**. ---