En la era de los espacios de datos, compartir datos entre organizaciones ha dejado de ser un intercambio puntual de ficheros para convertirse en una transacción gobernada, trazable y automatizable. Los espacios de datos, tal y como los caracteriza la especificación UNE 0087:2025 y los primeros estándares europeos del comité CEN/CLC JTC 25 (la serie EN 18235 sobre Trusted Data Transactions), se apoyan en un principio esencial: los datos solo fluyen si existe confianza, y la confianza se construye con reglas explícitas.
Ahora bien, cuando una organización se incorpora a un espacio de datos, se encuentra con tres términos que se parecen, se confunden y, sin embargo, cumplen funciones muy distintas: data permit, data contract y data sharing agreement. En este artículo explicamos qué es cada uno, en qué se diferencian y cómo se complementan dentro del ciclo de vida de una transacción de datos entre organizaciones.
Tres instrumentos, tres preguntas distintas
Una forma sencilla de no perderse es asociar cada instrumento a la pregunta que responde:
-
- El data sharing agreement responde a ¿bajo qué condiciones jurídicas y organizativas nos comprometemos a compartir datos?
- El data permit responde a ¿quién me autoriza a acceder a estos datos y para qué finalidad concreta?
- El data contract responde a ¿qué datos voy a recibir exactamente, con qué estructura, calidad y condiciones de servicio?
Como puede intuirse, no compiten entre sí: operan en capas diferentes (jurídica, de gobernanza y técnico-operativa) de una misma transacción.
¿Qué es un data sharing agreement?
El data sharing agreement (DSA), o acuerdo de compartición de datos, es el instrumento jurídico y organizativo que formaliza la relación entre las partes que intercambian datos: proveedor, consumidor y, en su caso, el intermediario de datos. Es un acuerdo entre pares (bilateral o multilateral) y constituye la base de legitimidad de todo lo demás.
¿Qué suele recoger un DSA?
-
- Las finalidades para las que se ceden los datos y los usos permitidos y prohibidos.
- Los roles y responsabilidades de cada parte, incluyendo, cuando hay datos personales, la calificación conforme al RGPD (responsable, encargado, corresponsables).
- Las condiciones de licencia, propiedad intelectual y remuneración, si la hay.
- La duración, las causas de terminación y el régimen de responsabilidad e incumplimiento.
- Los requisitos de seguridad, confidencialidad y auditoría aplicables al tratamiento.
En el contexto de un espacio de datos, el DSA no se redacta desde cero en cada intercambio: el rulebook del espacio (el conjunto de reglas de gobernanza, acceso y uso que todos los participantes aceptan al adherirse) suele proporcionar plantillas y cláusulas tipo, de modo que los acuerdos concretos hereden las reglas comunes y solo particularicen lo específico de cada relación. Este enfoque es coherente con el Reglamento de Gobernanza de Datos (DGA, Reglamento (UE) 2022/868), que regula precisamente los servicios de intermediación de datos como facilitadores neutrales de estas relaciones.
¿Qué es un data permit?
El data permit, o permiso de datos, es una autorización administrativa o de gobernanza: un acto por el que una autoridad competente o un órgano de gobernanza del espacio de datos habilita a un usuario a acceder y tratar determinados datos, para una finalidad concreta y durante un tiempo limitado. A diferencia del DSA, no es un acuerdo entre pares, sino una decisión de un tercero que ejerce funciones de control.
El ejemplo más elaborado lo encontramos en el Espacio Europeo de Datos de Salud (EHDS, Reglamento (UE) 2025/327): para el uso secundario de datos sanitarios (por ejemplo, con fines de investigación), el solicitante debe obtener un data permit emitido por el organismo de acceso a los datos sanitarios, que evalúa la finalidad declarada, fija las condiciones de tratamiento (habitualmente en entornos seguros de procesamiento) y limita temporalmente la autorización.
Rasgos característicos del data permit:
-
- Lo emite una autoridad u órgano de gobernanza, no el proveedor del dato.
- Está vinculado a una finalidad específica y verificable, no a un uso genérico.
- Tiene vigencia limitada y es revocable si se incumplen las condiciones.
- Suele exigir condiciones de entorno (entornos seguros, prohibición de reidentificación, obligaciones de publicación de resultados, etc.).
Ejemplo de uso: un grupo de investigación solicita acceso a datos clínicos anonimizados de varios hospitales; el organismo de acceso evalúa la solicitud y emite un permiso que habilita el tratamiento exclusivamente en un entorno seguro y durante dieciocho meses.
¿Qué es un data contract?
El data contract, o contrato de datos, es el instrumento técnico-operativo del intercambio. Nacido en el ámbito de data mesh y del tratamiento del dato como producto (data as a product), especifica de forma precisa —e idealmente legible por máquina— qué se entrega y con qué garantías: es la «ficha técnica comprometida» del producto de datos.
¿Qué suele recoger un data contract?
-
- El esquema y la semántica de los datos: estructura, tipos, vocabularios y modelos de referencia utilizados.
- Los niveles de calidad comprometidos (exactitud, completitud, consistencia, actualidad) y sus umbrales, en línea con los procesos de calidad del dato de la familia UNE 0077–0081.
- Las condiciones de servicio: frecuencia de actualización, disponibilidad, latencia, canales de acceso.
- El versionado y la gestión de cambios, para que el consumidor no sufra rupturas inesperadas.
- Las políticas de uso ejecutables, expresadas en lenguajes como ODRL, que los conectores del espacio de datos pueden negociar y hacer cumplir de forma automática.
En los espacios de datos, esta capa está en plena estandarización: el borrador prEN 18235-3 del JTC 25, alineado con el artículo 33 del Reglamento de Datos (Data Act, Reglamento (UE) 2023/2854), incluye requisitos para la negociación y ejecución automatizadas de contratos de compartición de datos, cubriendo las fases de descubrimiento, negociación, intercambio y observabilidad del contrato. Dicho de otro modo: lo que el DSA pacta en lenguaje jurídico, el data contract lo convierte en condiciones verificables por las máquinas.
Diferencias clave entre los tres instrumentos
|
Característica |
Data sharing agreement |
Data permit |
Data contract |
|
Naturaleza |
Jurídico-organizativa |
Autorización de gobernanza |
Técnico-operativa |
|
Quién lo establece |
Las partes (proveedor, consumidor, intermediario) |
Una autoridad u órgano de gobernanza |
Proveedor y consumidor, a menudo negociado por los conectores |
|
Qué responde |
Bajo qué condiciones compartimos |
Quién puede acceder y para qué |
Qué se entrega y con qué garantías |
|
Forma habitual |
Documento legal (con plantillas del rulebook) |
Acto o resolución de autorización, con condiciones |
Especificación legible por máquina (esquemas, SLOs, políticas ODRL) |
|
Vigencia |
La pactada entre las partes |
Limitada y revocable |
Ligada al ciclo de vida del producto de datos (versionado) |
|
Referencias |
DGA, RGPD, rulebook del espacio |
EHDS, órganos de gobernanza sectoriales |
Data Act (art. 33), prEN 18235-3, ODRL |
¿Cómo encajan en el ciclo de vida de una transacción?
Lejos de ser alternativas, los tres instrumentos se encadenan a lo largo de la transacción de datos:
-
- El rulebook del espacio de datos establece las reglas comunes que todos los participantes aceptan al adherirse.
- Cuando el acceso está tutelado por una autoridad (datos sensibles, sectores regulados), el consumidor obtiene primero su data permit.
- Las partes formalizan el data sharing agreement, particularizando las plantillas del espacio a su relación concreta.
- El intercambio se ejecuta conforme al data contract, que los conectores negocian, aplican y monitorizan de forma automatizada.
De este modo, la confianza se construye de arriba abajo: de las reglas del ecosistema a la autorización, de la autorización al acuerdo y del acuerdo a la ejecución técnica controlada.
Como conclusión a esta entrada, el data sharing agreement, data permit y data contract no son sinónimos ni versiones más o menos formales de lo mismo: son las tres piezas que permiten que un intercambio de datos entre organizaciones sea a la vez legal, legítimo y operativo. El primero fija el marco jurídico entre las partes, el segundo aporta la habilitación de gobernanza cuando media una autoridad y el tercero garantiza que lo pactado se cumple, dato a dato, en la infraestructura del espacio de datos.
Las organizaciones que se incorporen a los espacios de datos —y la publicación de la UNE 0087:2025 y de la serie EN 18235 indica que serán cada vez más— deberán aprender a manejar los tres instrumentos con soltura, porque de su correcta articulación depende que compartir datos deje de ser un riesgo y pase a ser una ventaja competitiva.
Si tu organización está valorando participar en un espacio de datos o necesita definir sus acuerdos, permisos y contratos de datos, en DQTeam podemos ayudarte. ¡Hablemos de datos!
