Cómo proteger los secretos empresariales de la compañía ante salidas conflictivas de empleados y directivos

Cuando un empleado o directivo deja una empresa, puede llevar años teniendo acceso a bases de datos de clientes, precios, estrategias comerciales o documentación interna. Pero ¿qué ocurre si copia o utiliza esa información después de marcharse? ¿Está la empresa realmente protegida?

No basta con considerar que una información es confidencial. Para poder defenderla como secreto empresarial, la compañía debe haber adoptado previamente medidas para protegerla. En este artículo explicamos qué puede hacer una empresa para prevenir estos riesgos y cómo debe actuar si detecta un posible uso indebido de su información.

En un entorno empresarial cada vez más digitalizado, la información confidencial se ha convertido en uno de los principales activos de cualquier compañía. Bases de datos de clientes, documentación técnica, código fuente, estrategias comerciales, condiciones económicas, información financiera, credenciales, algoritmos, procesos internos o know-how pueden representar una ventaja competitiva decisiva.

Por ello, cada vez son más frecuentes los conflictos derivados de salidas de empleados, directivos, socios o colaboradores que, antes o después de abandonar la empresa, acceden, descargan, copian, transfieren o utilizan información sensible fuera de los cauces autorizados. En estos supuestos, el problema no es solo jurídico: también es técnico, probatorio y estratégico.

La protección eficaz de los secretos empresariales no empieza en el juzgado. Empieza mucho antes, en la forma en que la empresa identifica su información crítica, limita los accesos, establece protocolos internos, monitoriza sus sistemas y conserva evidencias que permitan acreditar una eventual infracción.

No toda información interna constituye, por sí sola, un secreto empresarial. La Ley 1/2019, de 20 de febrero, de Secretos Empresariales, exige tres requisitos: (i) que la información sea secreta, (ii) que tenga valor empresarial precisamente por ser secreta y (iii) que haya sido objeto de medidas razonables para mantenerla reservada. La ley incluye dentro de este concepto información o conocimiento tecnológico, científico, industrial, comercial, organizativo o financiero.

Esta precisión es esencial. No basta con que la empresa considere confidencial una información. Debe poder acreditar que no era conocida ni fácilmente accesible, que tenía valor competitivo y que la compañía había adoptado medidas reales para protegerla.

La vulneración de un secreto empresarial no exige necesariamente que la información se publique o se entregue formalmente a un competidor. Puede producirse mediante el mero acceso, copia, apropiación, o utilización de información no autorizada.

También debe prestarse especial atención al uso de repositorios externos, servicios cloud ajenos a la empresa y herramientas de inteligencia artificial en las que se introduzca información corporativa sin autorización. Estas prácticas pueden comprometer la confidencialidad de la información y dificultar el control posterior sobre su uso y difusión.

Entre las medidas que resulta aconsejable implantar se encuentran aquellas políticas, procedimientos y controles internos orientados a identificar, proteger y limitar el acceso a la información sensible de la compañía, generalmente implementadas mediante programas de Compliance. En particular, es recomendable contar con una política específica de confidencialidad y protección de información empresarial reservada; incorporar cláusulas de confidencialidad en los contratos laborales, de alta dirección y en las relaciones con proveedores, consultores o colaboradores externos; regular el uso de dispositivos corporativos, correo electrónico, sistemas internos, herramientas tecnológicas y plataformas colaborativas; y establecer un sistema de clasificación documental que permita diferenciar la información interna, confidencial, restringida o crítica.

Asimismo, resulta esencial aplicar controles de acceso por perfiles y conforme al principio de mínimo privilegio, de modo que cada empleado o directivo solo pueda acceder a la información estrictamente necesaria para el desempeño de sus funciones. A ello deben añadirse mecanismos que permitan acreditar la aceptación de las políticas internas por parte de empleados y directivos, protocolos específicos para cambios de rol, suspensión de permisos y salida de trabajadores, así como reglas claras sobre el uso de cuentas personales, dispositivos propios, repositorios externos, servicios cloud y herramientas de inteligencia artificial.

Finalmente, la empresa debe disponer de procedimientos efectivos de devolución de dispositivos, revocación de credenciales, cierre de sesiones activas y revisión de permisos una vez finalizada la relación laboral, mercantil o de colaboración, evitando que subsistan accesos no autorizados a sistemas o información sensible de la compañía.

En este ámbito, los departamentos de tecnologías y ciberseguridad desempeñan una función esencial. No solo deben prevenir ciberataques externos, sino también detectar accesos internos anómalos, descargas masivas, conexiones desde ubicaciones inusuales, exportaciones de datos, uso irregular de credenciales, creación de repositorios externos o accesos posteriores a la revocación de permisos.

Ahora bien, la monitorización empresarial debe diseñarse con respeto a los derechos fundamentales de los trabajadores. El art. 87 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales permite al empleador acceder a contenidos derivados del uso de medios digitales facilitados por la empresa para controlar el cumplimiento de obligaciones laborales o garantizar la integridad de los dispositivos, siempre que existan criterios de uso previamente establecidos, se respeten estándares mínimos de intimidad y se informe a los trabajadores.

Cuando se detecta un posible acceso no autorizado, la empresa debe actuar con rapidez, pero también con una estrategia definida. Una actuación precipitada puede alterar o destruir evidencias o comprometer la viabilidad de eventuales acciones judiciales que quiera emprender la empresa con posterioridad.

Ante este tipo de situaciones, resulta esencial que la empresa cuente con asesoramiento jurídico especializado desde el primer momento, tanto para diseñar una estrategia preventiva eficaz como para reaccionar adecuadamente cuando ya se ha producido un posible acceso, uso o revelación indebida de información confidencial. En la fase preventiva, dicho asesoramiento permite identificar qué información merece protección reforzada, definir políticas internas adecuadas, regular el uso de los sistemas corporativos y establecer mecanismos de control proporcionados y jurídicamente válidos. En la fase reactiva, permite preservar correctamente la prueba, coordinar la actuación de los equipos técnicos y jurídicos, reconstruir lo sucedido y valorar las medidas legales más adecuadas para proteger los secretos empresariales y los intereses de la compañía.