Una base de datos comercial puede contener el activo más valioso de una empresa: su cartera de clientes, su histórico de precios, sus proveedores estratégicos o sus datos de comportamiento de compra. En el entorno competitivo actual, ese conjunto de información estructurada es, con frecuencia, lo que diferencia a una compañía de sus rivales. Y, sin embargo, muchas empresas la dejan desprotegida.
Esta pregunta resulta más relevante de lo que parece. Una base de datos no es únicamente un fichero de Excel o un CRM. Desde el punto de vista jurídico, es toda colección de obras, datos u otros elementos independientes, dispuestos de forma sistemática o metódica, y accesibles individualmente.
Esa definición es amplia. Abarca el catálogo de productos con fichas técnicas de un fabricante, la lista de contactos de un distribuidor, el repositorio de precios históricos de una plataforma de comercio electrónico o los datos de telemetría de una flota industrial.
Lo relevante para la empresa no es el volumen de datos, sino si hay una inversión sustancial en su obtención, verificación o presentación. Ese es el umbral que activa la protección jurídica específica de las bases de datos. En nuestra experiencia asesorando a empresas en España, muchas compañías no identifican este activo como protegible hasta que alguien externo lo extrae o lo replica sin autorización.
El coste de esa omisión puede ser difícil de cuantificar. Pero la oportunidad perdida es real: una base de datos no protegida es un activo que puede ser copiado, licenciado por la competencia o cedido sin consecuencias jurídicas visibles.
La protección de una base de datos comercial descansa, en España, sobre tres pilares normativos. Entenderlos por separado es la condición previa para activarlos de forma coherente.
La legislación de propiedad intelectual española incorporó, siguiendo la Directiva europea en la materia, un derecho específico para el fabricante de una base de datos. No se trata del clásico derecho de autor sobre una obra creativa. Es un derecho de naturaleza distinta: protege la inversión, no la creatividad.
Para que este derecho nazca, la empresa debe haber realizado una inversión sustancial – económica, de tiempo o de recursos humanos – en la obtención, verificación o presentación del contenido de la base de datos. Si se cumple ese requisito, el derecho existe desde el momento en que se crea la base de datos, sin necesidad de registro previo.
¿Qué otorga este derecho? Fundamentalmente, la facultad de prohibir la extracción o reutilización de una parte sustancial del contenido de la base de datos, evaluada en términos cualitativos o cuantitativos. Y también prohíbe la extracción o reutilización repetida de partes no sustanciales cuando el conjunto de esas extracciones equivalga a una parte sustancial.
La duración es de quince años desde la conclusión del proceso de fabricación. Si se produce una modificación sustancial de la base de datos, el plazo se renueva.
La normativa de secreto empresarial protege cualquier información – incluidas las bases de datos – que cumpla tres condiciones: que sea secreta, que tenga valor comercial por serlo y que el titular haya adoptado medidas razonables para mantenerla en secreto.
Este régimen es muy potente en la práctica. Permite actuar frente a la apropiación indebida por parte de empleados, competidores o proveedores, y puede combinarse con la protección sui géneris.
Sin embargo, exige una gestión activa. Si la empresa no documenta las medidas de confidencialidad adoptadas – cláusulas contractuales, controles de acceso técnico, clasificación interna de la información – puede perder la protección. En nuestra práctica, hemos observado que este es el punto más descuidado en empresas de tamaño medio: se asume que "todos saben que eso es confidencial", pero no existe documentación que lo acredite ante un tribunal.
Los contratos son el instrumento operativo por excelencia. Un contrato de licencia bien redactado define quién puede acceder a la base de datos, con qué finalidad, durante cuánto tiempo y bajo qué condiciones de uso. Un acuerdo de confidencialidad (NDA, del inglés non-disclosure agreement) establece las obligaciones de reserva frente a terceros.
Estos instrumentos son especialmente críticos en tres escenarios: cuando se accede a la base de datos para un proyecto de diligencia debida (due diligence); cuando un proveedor tecnológico accede a los datos para prestar un servicio de mantenimiento; y cuando la empresa plantea licenciar su base de datos como producto en sí mismo.
Un contrato de licencia inadecuado puede generar el efecto contrario al deseado: el licenciatario puede argumentar que tenía derecho a usar los datos en formas que la empresa no pretendía autorizar.
Proteger una base de datos comercial no es un acto único. Es un proceso con fases diferenciadas.
El punto de partida es identificar y clasificar las bases de datos que existen en la organización. Muchas empresas no tienen un inventario actualizado. La auditoría debe responder a: ¿qué datos contiene?, ¿quién los ha generado?, ¿qué inversión se ha realizado?, ¿quién tiene acceso? y ¿existe algún acuerdo de confidencialidad vigente sobre ellos?
Esta fase tiene también una dimensión de cumplimiento normativo. Si la base de datos contiene datos personales, la normativa de protección de datos – el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) – impone obligaciones adicionales que deben integrarse en la estrategia de protección.
Si la empresa desea invocar el derecho sui géneris, necesita poder acreditar que realizó una inversión sustancial. Eso implica conservar registros de los costes de obtención, verificación o presentación del contenido: horas de trabajo, costes de adquisición de datos de terceros, gastos tecnológicos asociados al sistema.
Esta documentación no tiene un formato específico. Pero debe existir y debe ser coherente. Un correo interno que menciona "cuánto nos costó montar esto" no es suficiente.
Para activar la protección como secreto empresarial, la empresa debe adoptar medidas razonables. En la práctica, eso incluye al menos tres tipos de actuación:
La ausencia de estas medidas puede llevar a que, ante un tribunal, la empresa no pueda acreditar que tenía la voluntad de mantener la información como secreta.
Todo acceso de un tercero a la base de datos – ya sea un proveedor, un cliente, un inversor o un socio estratégico – debe estar regulado por un contrato adecuado. Ese contrato debe definir con precisión el alcance de uso autorizado, las obligaciones de confidencialidad, las condiciones de devolución o destrucción de los datos al finalizar la relación y los remedios en caso de incumplimiento.
La hoja de términos (term sheet) de una operación de inversión o de una fusión suele incluir cláusulas de acceso a bases de datos. Si esas cláusulas no están bien redactadas, la empresa puede ceder más de lo que pretendía.
La protección jurídica solo tiene valor si se ejerce. La empresa debe tener un protocolo para detectar extracciones no autorizadas – mediante herramientas técnicas de monitorización y mediante cláusulas de auditoría en los contratos de licencia – y debe saber cómo reaccionar.
Las acciones disponibles frente a la infracción de los derechos sobre bases de datos incluyen medidas cautelares para paralizar la extracción o el uso no autorizado, la reclamación de indemnización por daños y perjuicios y la acción penal en los casos más graves. Los juzgados de lo mercantil son el foro competente para la mayoría de estas acciones.
El AUDIENCE_MYTH más común que encontramos en este ámbito es pensar que, con tener la marca registrada en España, ya está todo protegido. La marca – ya sea ante la Oficina Española de Patentes y Marcas (OEPM) para el ámbito nacional, o ante la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO) para la marca de la Unión Europea – protege un signo distintivo. No protege el contenido de una base de datos.
Son instrumentos complementarios, no sustitutivos. Una empresa de tecnología puede tener su marca registrada y carecer de cualquier protección sobre la base de datos que sustenta su producto.
¿Qué decisiones concretas debe tomar la dirección?
Hemos protegido marcas, software y secretos empresariales de compañías tecnológicas e industriales que afrontaron operaciones corporativas sin haber resuelto previamente la titularidad y el régimen jurídico de sus activos de datos. El resultado habitual es una negociación más larga, condiciones menos favorables o, en algunos casos, un bloqueo de la operación.
Esta es la pregunta que más tensión genera en la práctica. Una base de datos comercial frecuentemente contiene datos personales: nombres, correos electrónicos, historiales de compra, preferencias. Cuando eso ocurre, la empresa tiene dos marcos normativos que gestionar de forma simultánea y coherente.
El RGPD y la LOPDGDD no son solo obligaciones de cumplimiento. Bien gestionados, son también instrumentos de protección del activo. Una base de datos que cumple con la normativa de protección de datos es más robusta jurídicamente: tiene documentadas las bases legítimas de tratamiento, los períodos de conservación, los controles de acceso y los contratos con encargados de tratamiento.
Esa documentación refuerza la protección como secreto empresarial. Porque acredita que la empresa adoptó medidas activas de control sobre sus datos.
La notificación de una brecha de seguridad a la Agencia Española de Protección de Datos (AEPD) debe realizarse en el plazo de setenta y dos horas desde que se tenga constancia de ella. Si la brecha implica la sustracción de la base de datos, esa notificación debe coordinarse con las acciones jurídicas de protección del secreto empresarial y, si procede, con las acciones penales.
Coordinar ambas respuestas – la de protección de datos y la de propiedad intelectual – exige que el equipo jurídico tenga visibilidad sobre ambas dimensiones desde el primer momento. En nuestra experiencia, las empresas que gestionan estas dos áreas de forma aislada tienen una respuesta más lenta y menos eficaz ante una sustracción de datos.
Las empresas que invierten en investigación y desarrollo generan bases de datos como subproducto de su actividad: datos de ensayos, de simulaciones, de validaciones de procesos. Esas bases de datos pueden tener un valor comercial independiente del producto principal.
La protección mediante secreto empresarial es especialmente relevante en este contexto. A diferencia de la patente – que exige divulgación pública del invento a cambio del monopolio temporal – el secreto empresarial protege la información sin divulgación. Eso es una ventaja significativa cuando la base de datos no es, en sí misma, patentable o cuando la empresa no quiere revelar el proceso de generación de los datos.
No obstante, el secreto empresarial tiene un límite importante: no protege frente al descubrimiento independiente. Si un competidor genera la misma base de datos por sus propios medios, no hay infracción. Por eso, en muchos casos, la estrategia óptima combina el secreto con otras capas de protección contractual.
Un contrato de licencia en el contexto de I+D debe regular con precisión: si el licenciatario puede derivar nuevas bases de datos a partir de la original, a quién pertenecen esas bases de datos derivadas y qué ocurre con los datos al término de la licencia. Estas cuestiones, que parecen abstractas en el momento de firmar el contrato, se convierten en litigios complejos si no se han resuelto de antemano.
Para ampliar el análisis sobre los mecanismos de protección de los activos intangibles en el mercado español, puede consultar nuestra práctica de Propiedad intelectual y tecnología.
Esta es la tesis central de este análisis. Y merece ser tratada con franqueza.
La mayoría de los conflictos relacionados con bases de datos comerciales que llegan a nuestra práctica tienen un origen común: la empresa no definió las reglas de juego cuando podía hacerlo en posición de fuerza. Esperó a tener un problema. Y cuando llega el problema – un empleado que se lleva los datos al marchar, un proveedor que reutiliza la base de datos en un producto competidor, un competidor que ha replicado el catálogo – las opciones jurídicas son más costosas y los resultados, más inciertos.
El asesoramiento temprano actúa en tres dimensiones. Primera: identifica qué activos merecen protección y qué instrumentos son adecuados para cada uno. Segunda: diseña los contratos y las políticas internas antes de que sean necesarias como arma jurídica. Tercera: integra la protección de la base de datos en la estrategia corporativa más amplia, de forma que no sea un obstáculo sino un activo en operaciones de financiación, licencia o venta.
¿Cuál es el coste de no actuar? En términos directos, la pérdida de un activo de datos valioso que se ha cedido sin saberlo. En términos indirectos, la debilitación de la posición negociadora en cualquier operación futura que involucre ese activo.
Si su empresa evalúa opciones para proteger su base de datos antes de una operación o frente a un riesgo concreto, le ayudamos a comparar la vía adecuada: info@velardevidal.com.
Conviene aclarar, sin tecnicismos innecesarios, la relación entre la protección de bases de datos y otros instrumentos de propiedad industrial.
El registro de marca – ya sea nacional ante la OEPM o como marca de la Unión Europea ante la EUIPO – protege los signos distintivos: el nombre comercial, el logotipo, los colores corporativos. Una marca nacional tiene una duración de diez años renovables. Protege la identidad del producto o del servicio, no el contenido de los datos que lo sustentan.
La patente – con una duración de veinte años no renovables – protege invenciones técnicas. En algunos casos, los algoritmos de construcción o de consulta de una base de datos pueden tener dimensiones patentables. Pero la base de datos en sí misma, como conjunto de información, no es objeto de patente.
El diseño industrial protege la apariencia de un producto o de parte de él. La interfaz visual de una base de datos puede tener elementos protegibles como diseño, pero eso es marginal respecto al contenido.
La conclusión práctica es que ninguno de estos instrumentos sustituye a la protección específica de la base de datos. Son capas que se superponen. Una empresa que gestiona bien sus intangibles tiene, en paralelo: su marca registrada, sus acuerdos de confidencialidad vigentes, sus contratos de licencia bien redactados y su documentación de secreto empresarial actualizada.
Si su empresa tiene dudas sobre qué preguntas plantearse en relación con la marca y otros activos intangibles de un sector específico, puede encontrar un análisis orientativo en nuestro recurso sobre preguntas frecuentes en materia de marca.
A modo de síntesis operativa, estas son las medidas que una empresa debe haber adoptado para que su base de datos comercial esté razonablemente protegida:
Si quiere conocer también cómo actuar frente a la difusión no autorizada de contenidos protegidos en entornos digitales, le recomendamos nuestra guía sobre cómo retirar contenido infractor en internet.
La protección de una base de datos comercial se enmarca habitualmente en una estrategia más amplia de gestión de intangibles. En Velarde & Vidal asesoramos en el diseño de esa estrategia, desde el registro de marca y la protección de software hasta la negociación de contratos de licencia y la gestión de conflictos por apropiación indebida de secretos empresariales. Si su empresa opera en sectores intensivos en datos o tecnología, la práctica de Protección de datos y compliance puede ser relevante para estructurar el cumplimiento normativo de forma coherente con la protección del activo.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.