Las bases de datos son, con frecuencia, el activo más valioso que una empresa posee sin saberlo. Contienen la inteligencia comercial, el histórico de clientes, los datos de comportamiento de usuarios y el conocimiento operativo que da ventaja competitiva. Sin embargo, en nuestra experiencia asesorando a empresas en España, ese activo rara vez está protegido con la misma diligencia que un producto o una marca. El resultado es que, cuando un empleado se marcha con la base de datos, cuando un competidor la replica o cuando un proveedor tecnológico la utiliza más allá del contrato, la empresa descubre que no tiene palancas jurídicas efectivas para reaccionar.
El punto de partida es conceptual. Una base de datos no es solo tecnología: es una inversión sustancial en obtener, verificar y presentar información. La normativa de propiedad intelectual reconoce al productor un derecho exclusivo sobre ese esfuerzo. Ese derecho no exige que el contenido de la base sea original. Lo que importa es que la empresa ha invertido recursos considerables en construirla.
Esto tiene implicaciones directas para sectores como el comercio electrónico, la industria farmacéutica, los medios digitales, la distribución o cualquier empresa que mantenga un registro sistemático de clientes, proveedores o transacciones. El derecho sui generis del productor dura quince años desde la finalización de la base de datos, y se renueva cada vez que se realiza una inversión sustancial de actualización.
La pregunta que debería formularse la dirección no es «¿tenemos una base de datos?», sino «¿hemos documentado quién la ha construido, qué inversión representa y a quién pertenece?». Sin esa documentación, el derecho existe en teoría, pero resulta muy difícil de ejercer en la práctica ante un juzgado de lo mercantil.
En nuestra práctica hemos observado que muchas compañías tecnológicas e industriales operan durante años con bases de datos valiosas sin un contrato que determine si la titularidad corresponde a la empresa, a su equipo de desarrollo interno o a un tercero proveedor de servicios. Cuando llega el conflicto, esa laguna tiene un coste que el asesoramiento temprano habría evitado.
El marco jurídico español que regula las bases de datos no se limita a una sola norma. La dirección de la empresa debe conocer al menos tres planos normativos que interactúan entre sí.
El primero es la legislación de propiedad intelectual, que protege tanto la estructura original de la base de datos como el esfuerzo de producción mediante el derecho sui generis. El segundo es la normativa de secreto empresarial, que permite proteger el contenido de la base cuando reúne las condiciones de secreto, valor comercial y medidas razonables de confidencialidad. El tercero es el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD), que condicionan qué datos pueden estar en la base, cómo deben gestionarse y qué ocurre en caso de fuga o acceso no autorizado.
Estas tres capas no son alternativas: son acumulativas. Una empresa puede invocar simultáneamente la infracción del derecho sui generis por extracción no autorizada, el incumplimiento de la normativa de secreto empresarial por apropiación indebida y la vulneración de la normativa de protección de datos si la base incluye datos de personas físicas. Cada vía tiene requisitos propios, plazos diferentes y foros de reclamación distintos.
Un error frecuente que hemos detectado en nuestra práctica es tratar estos tres planos como departamentos estancos: el departamento legal gestiona la propiedad intelectual, el de IT gestiona el RGPD y nadie se ocupa de los contratos de confidencialidad. El resultado es que la empresa tiene coberturas parciales en cada plano, pero no tiene una estrategia de protección integrada.
Identificar el problema es solo el primer paso. La protección efectiva exige decisiones concretas en varios frentes.
La primera decisión es la titularidad. La empresa debe determinar quién es el productor jurídico de cada base de datos relevante. Si el desarrollo lo han hecho empleados propios, la titularidad corresponde a la empresa por la vía de la legislación laboral. Si lo ha hecho un contratista externo o una empresa de software, la titularidad debe haberse cedido expresamente por contrato. Sin una cláusula de cesión expresa en el contrato de desarrollo, el proveedor podría argumentar que conserva derechos sobre la base.
La segunda decisión afecta a los contratos con empleados y colaboradores. Las cláusulas de confidencialidad y de no competencia (non-compete) tienen requisitos de validez específicos en la legislación laboral española. Una cláusula de confidencialidad genérica no es suficiente para proteger el secreto empresarial de la base de datos: debe concretarse qué información es confidencial, por cuánto tiempo y con qué consecuencias en caso de incumplimiento.
La tercera decisión es la gestión de accesos. La normativa de secreto empresarial exige que el titular adopte medidas razonables para mantener el secreto. Si la base de datos está accesible para toda la plantilla sin control de permisos, sin registros de acceso y sin política interna documentada, el tribunal puede concluir que la empresa no tomó las medidas que le eran exigibles. Esa conclusión destruye la protección.
La cuarta decisión es la relativa a terceros. Los contratos de licencia con distribuidores, con clientes empresariales o con plataformas tecnológicas que tienen acceso a la base de datos deben incluir cláusulas precisas sobre el uso permitido, la prohibición de extracción, la responsabilidad por uso indebido y el régimen de auditoría. Un contrato de licencia mal redactado puede convertir en lícita una conducta que, sin él, sería una infracción.
La oportunidad que se pierde no es abstracta. Existen escenarios recurrentes que ilustran el coste de la inacción.
El primero es la salida de un empleado clave que se lleva la base de datos de clientes para constituir o incorporarse a un competidor. Sin un contrato de confidencialidad bien articulado, sin documentación de las medidas de control de acceso y sin una política interna que defina esa información como secreto empresarial, la empresa tiene pocas armas para obtener una medida cautelar rápida que paralice el daño.
El segundo es la réplica por un competidor. El derecho sui generis del productor prohíbe la extracción o reutilización sustancial del contenido de la base sin autorización. Pero para ejercer esa acción ante un juzgado de lo mercantil, la empresa debe acreditar que es el productor, que realizó una inversión sustancial y que el demandado ha extraído o reutilizado un volumen significativo. Si no se tiene documentación previa, la acreditación puede ser complicada y costosa.
El tercero es el incidente de seguridad. Cuando se produce una brecha de datos, la Agencia Española de Protección de Datos (AEPD) debe ser notificada en un plazo de 72 horas desde que la empresa tiene conocimiento del incidente, si existe riesgo para los derechos de las personas físicas afectadas. La falta de notificación en plazo, o una notificación incompleta, puede agravar las consecuencias regulatorias.
El cuarto es el conflicto en una operación corporativa. Cuando una empresa es objeto de una diligencia debida (due diligence) para una adquisición o una fusión, los compradores e inversores analizan específicamente si los activos tecnológicos están protegidos. Una base de datos sin documentación de titularidad, sin contratos de desarrollo adecuados y sin política de secreto empresarial puede ser un obstáculo en la valoración o, directamente, en el cierre de la operación.
El eje central del asesoramiento en protección de bases de datos no es el litigio, sino la prevención. Cuando la empresa llega a nosotros antes de que se produzca el conflicto, el margen de actuación es amplio y el coste es significativamente menor que el de la defensa reactiva.
Nuestro análisis parte de un diagnóstico de los activos de información de la empresa. Identificamos qué bases de datos tienen valor comercial protegible, quién es el productor jurídico de cada una, qué contratos regulan el acceso de terceros y qué medidas de seguridad está aplicando la empresa. Este diagnóstico no es un fin en sí mismo: es la base sobre la que construimos un plan de protección integrado.
El plan incluye, según el caso, la revisión y actualización de contratos de trabajo y de colaboración, la redacción de contratos de licencia adaptados al modelo de negocio de la empresa, la elaboración de una política interna de secreto empresarial que cumpla con los requisitos legales y la coordinación con el equipo de IT para asegurar que las medidas técnicas de control de acceso son coherentes con la estrategia jurídica.
Hemos protegido marcas, software y secretos empresariales de compañías tecnológicas e industriales, y nuestra práctica nos confirma que los conflictos más costosos son siempre los que podrían haberse evitado con una revisión contractual realizada antes de que la relación con el empleado o el proveedor llegara a su fin.
Cuando el conflicto ya se ha producido, nuestra actuación incluye la defensa ante los juzgados de lo mercantil, la solicitud de medidas cautelares urgentes para detener la infracción, la instrucción de procesos ante la AEPD y la representación en procedimientos de arbitraje, en colaboración con abogados colegiados y procuradores para la actuación procesal que lo requiera.
Si quiere entender cómo le afecta este marco a su empresa, consulte nuestra práctica de propiedad intelectual y tecnología, donde desarrollamos el alcance completo de los servicios de protección de activos intangibles.
La protección de una base de datos no es una acción puntual, sino un proceso que requiere atención en distintos momentos del ciclo de vida del activo.
Desde el inicio del desarrollo, el contrato con el equipo de desarrollo o el proveedor tecnológico debe incluir la cesión de derechos. Sin esa cláusula, cualquier actualización posterior del contrato puede ser contestada. En ese mismo momento deben establecerse las medidas de control de acceso y la clasificación de la información.
Durante la vida operativa de la base, cada actualización sustancial puede reiniciar el cómputo del plazo del derecho sui generis. Eso significa que mantener registros de las actualizaciones tiene valor jurídico, no solo tecnológico.
Cuando un empleado con acceso a la base causa baja en la empresa, existe una ventana de actuación inmediata: la revocación de credenciales, la notificación formal de las obligaciones de confidencialidad y, si existen indicios de extracción, la adopción de medidas conservatorias de prueba. El plazo para impugnar el despido en el orden laboral es de veinte días hábiles, pero las medidas de protección de la base de datos operan en un plano diferente y deben gestionarse de forma paralela, sin esperar a ese plazo.
En el marco de una operación de M&A, la due diligence de los activos tecnológicos es un hito crítico. Los compradores exigen acreditar la titularidad de las bases de datos, la ausencia de cargas o licencias implícitas y el cumplimiento del RGPD. Preparar ese expediente con anticipación acelera el proceso y reduce el riesgo de ajuste en el precio.
Finalmente, en caso de incidente de seguridad que afecte a datos personales, el plazo de 72 horas para notificar a la AEPD no espera a que la empresa haya completado su análisis interno. La gestión del incidente debe ser simultánea a la notificación regulatoria, lo que exige tener un protocolo preparado antes de que ocurra.
Existe una confusión habitual en este punto. El derecho sui generis del productor de bases de datos no requiere registro para nacer ni para ejercerse. Nace automáticamente con la inversión sustancial. Sin embargo, hay supuestos en los que el registro voluntario de la base de datos como obra en el Registro de la Propiedad Intelectual puede ser útil.
El registro crea una presunción de titularidad con fecha cierta. En un litigio donde el demandado discute quién creó primero la base de datos, esa presunción tiene valor probatorio. No es un requisito, pero puede ser una herramienta valiosa en sectores donde la competencia es agresiva y la imitación es frecuente.
Por otro lado, cuando la base de datos contiene elementos que pueden protegerse como secreto empresarial, el registro no sirve directamente a ese fin. El secreto empresarial se protege mediante la acreditación de las tres condiciones que exige la legislación: carácter secreto, valor comercial derivado de ese carácter y adopción de medidas razonables para mantenerlo. La documentación interna de esas medidas es más relevante para la protección del secreto que cualquier registro externo.
En nuestra práctica, la combinación más robusta es la que articula las tres vías de forma coherente: el derecho sui generis para la base en su conjunto, el secreto empresarial para los datos y algoritmos que aportan valor diferencial, y la protección como obra si la base tiene un nivel mínimo de originalidad en su estructura. A esto se añade, cuando es relevante, la protección de la marca que identifica el servicio o producto construido sobre la base de datos, tanto ante la Oficina Española de Patentes y Marcas (OEPM) como ante la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO) para la marca UE.
El primero es el más extendido: creer que con tener la marca registrada en España ya está todo protegido. La marca cubre el signo distintivo del producto o servicio, no el activo de información subyacente. Son protecciones complementarias, no sustitutivas.
El segundo error es confiar exclusivamente en la cláusula de confidencialidad del contrato de trabajo estándar. Esa cláusula suele ser genérica y no identifica específicamente las bases de datos como activo protegido. Sin identificación específica, la prueba del incumplimiento es mucho más difícil.
El tercer error es no actualizar la política de protección cuando la empresa crece. Una startup con cinco empleados puede gestionar la confidencialidad de forma informal. Una empresa con cien empleados y acceso de terceros a su base de datos no puede. La política debe escalar con la empresa.
El cuarto es ignorar el plano internacional. Si la empresa exporta datos a otros países o tiene clientes fuera de la Unión Europea, la protección debe contemplar la legislación aplicable en esos territorios. Coordinamos con abogados locales de confianza en la jurisdicción correspondiente para asegurar que la estrategia de protección tiene alcance global cuando el negocio lo requiere.
El quinto error, y probablemente el más costoso, es llegar a la negociación de una licencia o de una adquisición sin tener resueltos los títulos de propiedad. Un contrato de licencia sobre una base de datos cuya titularidad no está clara no protege al licenciante: le expone. Asesoramos con frecuencia a empresas que, en el momento de cerrar una operación significativa, descubren que necesitan con urgencia lo que debería haberse resuelto años antes.
Para ilustrar el tipo de situaciones que gestionamos, puede consultar nuestro análisis de un supuesto en el sector turístico y de hostelería en este caso de defensa, donde la protección de activos intangibles fue el eje de la estrategia.
La protección de bases de datos se enmarca habitualmente en una estrategia más amplia de gestión de intangibles. Asesoramos a empresas en el registro y defensa de marcas ante la OEPM y la EUIPO, en la protección de software mediante la legislación de propiedad intelectual, en la gestión de secretos empresariales y en la redacción de contratos de licencia para activos tecnológicos.
Cuando la empresa opera en sectores regulados – fintech, sanidad digital, plataformas de datos, inteligencia artificial – la intersección entre la propiedad intelectual, la normativa de protección de datos y el compliance regulatorio requiere un análisis integrado que abarca también nuestra práctica de protección de datos y compliance.
Si su empresa gestiona activos de información que aún no están protegidos de forma adecuada, o si está a punto de cerrar una operación en la que esos activos son relevantes, puede encontrar el contexto completo de nuestra práctica en la página de propiedad intelectual y tecnología.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.