Una base de datos comercial puede ser el activo más valioso que tiene una empresa tecnológica, y también el más expuesto. Cada día que transcurre sin una estrategia de protección clara es una ventana abierta para la competencia, para el uso no autorizado por parte de exempleados y para la pérdida silenciosa del control sobre el intangible que sostiene el negocio. El marco legal español y europeo ofrece instrumentos sólidos, pero solo funcionan si se activa el mecanismo correcto en el momento adecuado.
El error más extendido en el sector tecnológico es tratar una base de datos como un subproducto del software, sin identidad jurídica propia. Esta confusión tiene consecuencias prácticas inmediatas: la empresa pierde derechos que podría haber consolidado, o descubre tarde que un tercero los ha adquirido.
La legislación de propiedad intelectual en España, alineada con la normativa europea, distingue dos planos de protección para una base de datos. El primero es el derecho de autor clásico, que ampara la selección o disposición de los contenidos cuando responden a una creación original. El segundo es el derecho sui generis, específico para el fabricante que ha realizado una inversión sustancial en la obtención, verificación o presentación del contenido. Ambos pueden coexistir sobre el mismo activo.
¿Por qué importa esta distinción? Porque el derecho sui generis protege la inversión, no la creatividad. Una tabla de productos con precios actualizados, un directorio de clientes con datos verificados o un catálogo de referencias técnicas pueden no ser creativos en sentido estricto, pero sí requieren inversión sustancial. Sin la protección adecuada, un competidor puede extraer o reutilizar parte de esa información sin incurrir en responsabilidad.
En nuestra experiencia asesorando a empresas tecnológicas, el descubrimiento de que la base de datos carecía de protección formal suele producirse en el peor momento: cuando ya se ha iniciado la explotación no autorizada o cuando la empresa está negociando una operación corporativa y el comprador cuestiona la titularidad del activo durante la diligencia debida (due diligence).
El marco aplicable no impone una lista de requisitos formales estrictos para que nazca la protección, pero sí exige que la empresa pueda acreditar la inversión realizada y la titularidad sobre el activo. Esta acreditación es la que falla con mayor frecuencia.
Tres elementos son críticos desde el punto de vista jurídico. Primero, la documentación de la inversión: registros internos, facturas, horas de desarrollo y datos que demuestren que la obtención, verificación o presentación del contenido exigió recursos relevantes. Segundo, la asignación contractual clara de los derechos cuando la base ha sido desarrollada por terceros – programadores externos, empresas subcontratadas o empleados con contratos anteriores a determinadas fechas –. Tercero, la adopción de medidas de confidencialidad que permitan, si procede, invocar el régimen del secreto empresarial.
La normativa sobre secretos empresariales vigente en España establece que la información tiene carácter secreto cuando no es generalmente conocida ni fácilmente accesible, tiene valor comercial y ha sido objeto de medidas razonables para mantener su confidencialidad. Las tres condiciones deben cumplirse simultáneamente. Una base de datos de clientes que se comparte por correo electrónico sin protocolo de acceso difícilmente superará ese test.
La notificación de brechas de seguridad a la Agencia Española de Protección de Datos (AEPD) en un plazo de 72 horas cuando la base de datos contiene datos personales añade una capa regulatoria que la dirección debe gestionar de forma paralela. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) se superponen a la normativa de propiedad intelectual cuando el contenido de la base incluye información de personas físicas. Ambos regímenes deben coordinarse.
La protección de una base de datos comercial no es un proyecto puntual. Es una secuencia de decisiones que debe adoptarse desde la fase de diseño del activo, no cuando ya circula en el mercado.
La primera decisión es estructural: ¿quién ostenta la titularidad? Si el desarrollo ha sido encargado externamente, la legislación de propiedad intelectual española establece que los derechos pertenecen al autor salvo cesión expresa. Un contrato de servicio que no contenga una cláusula de cesión explícita deja a la empresa compradora sin titularidad, aunque haya pagado íntegramente el desarrollo. Este es uno de los fallos más frecuentes que detectamos en revisiones de activos intangibles.
La segunda decisión afecta al modelo de explotación. Si la base de datos se va a licenciar a terceros, el contrato de licencia debe delimitar con precisión el alcance de uso permitido, las restricciones de extracción, la territorialidad y las condiciones de resolución. Un acuerdo de confidencialidad (NDA, non-disclosure agreement) complementario refuerza la protección del secreto empresarial frente a los licenciatarios.
La tercera decisión es la referida al registro. A diferencia de la marca, la protección de una base de datos por derecho sui generis no requiere inscripción constitutiva: nace con la inversión. Sin embargo, el depósito notarial o en entidades habilitadas de la versión de la base de datos en una fecha determinada genera una prueba de anterioridad que puede ser decisiva en un procedimiento judicial o en una negociación extrajudicial.
El plazo más sensible en el ciclo de vida de una base de datos comercial no es el de protección sino el de reacción frente al uso no autorizado. La legislación establece plazos de ejercicio de acciones que la empresa no puede perder. La inacción ante una infracción conocida puede debilitar la posición jurídica de la compañía en un litigio posterior.
El régimen del secreto empresarial, incorporado al ordenamiento español, protege una categoría más amplia que el derecho sui generis: cualquier información empresarial confidencial que reúna los tres requisitos ya indicados. Para las bases de datos comerciales, este régimen cobra especial importancia cuando el contenido no es en sí mismo original ni fruto de una inversión sustancial en sentido técnico, pero sí representa una ventaja competitiva.
Piénsese en una base de datos de preferencias de compra inferidas mediante algoritmos propios, en un repositorio de modelos de valoración desarrollados internamente o en un conjunto estructurado de relaciones comerciales que la empresa ha construido a lo largo de años. Ninguno de estos activos encaja con precisión en el molde del derecho sui generis, pero todos pueden protegerse como secreto empresarial si la empresa ha adoptado las medidas razonables de confidencialidad.
¿Qué medidas son razonables? En nuestra práctica hemos observado que los tribunales valoran especialmente la combinación de tres elementos: políticas internas de clasificación de información, acuerdos de confidencialidad firmados con empleados, directivos y proveedores, y controles técnicos de acceso (registros de usuario, autenticación, auditoría de accesos). La ausencia de cualquiera de estos tres pilares debilita la defensa.
La empresa tecnológica que confía solo en la capa técnica de protección – cifrado, acceso restringido – sin la capa contractual y documental comete el mismo error que la que solo contrata la capa jurídica sin protegerla técnicamente. Ambas dimensiones son necesarias.
Una base de datos comercial rara vez existe en aislamiento. Normalmente forma parte de un producto o servicio que tiene nombre, que se distribuye a través de software y que puede incluir elementos con valor de marca. La protección integral exige coordinar los instrumentos disponibles.
El registro de marca ante la Oficina Española de Patentes y Marcas (OEPM) protege el signo distintivo con una duración de diez años renovables, pero no protege el contenido de la base de datos ni el código del software. La marca UE gestionada ante la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO), con sede en Alicante, amplía la cobertura territorial a todos los Estados miembro con un solo procedimiento. Sin embargo, tampoco sustituye la protección específica de la base de datos.
El software que gestiona o genera la base de datos se protege como obra literaria al amparo de la legislación de propiedad intelectual. Esta protección nace con la creación y no requiere registro formal, aunque el depósito ante el Registro de la Propiedad Intelectual fortalece la prueba de anterioridad. En operaciones de M&A o de due diligence, la ausencia de registro genera incertidumbre que puede traducirse en descuentos en la valoración o en condiciones contractuales más exigentes para el vendedor.
Cuando la innovación incorporada en la base de datos o en el sistema que la gestiona es técnica y no meramente informacional, puede valorarse también la protección mediante patente ante la OEPM, cuya duración es de veinte años no renovables. Los requisitos de novedad y actividad inventiva son exigentes, y el proceso de concesión requiere análisis previo especializado.
La articulación correcta entre marca, derecho de autor, derecho sui generis, secreto empresarial y, en su caso, patente define la arquitectura de propiedad intelectual del producto. Esa arquitectura no se puede reconstruir a posteriori sin coste ni riesgo. Hemos protegido marcas, software y secretos empresariales de compañías tecnológicas e industriales, y en todos los casos la anticipación ha sido el factor diferencial entre una protección sólida y una contestable.
Puede ampliar la perspectiva sobre el conjunto de instrumentos disponibles en nuestra área de propiedad intelectual y tecnología, donde abordamos cada instrumento en detalle.
La pregunta que con mayor frecuencia nos plantea la dirección de una empresa tecnológica es: ¿cuándo debo implicar a los asesores jurídicos en la protección de la base de datos? La respuesta corta es: antes de lanzar el producto, no después.
El asesoramiento tardío no solo es más caro. Puede ser, en algunos casos, insuficiente. Si la base de datos ya ha sido divulgada sin medidas de confidencialidad, el secreto empresarial resulta de difícil invocación. Si el contrato con el desarrollador no incluía cláusula de cesión, la recuperación de los derechos puede requerir una negociación o un litigio. Si la marca ya está registrada por un tercero en las clases relevantes, el recorrido de impugnación es largo y el resultado incierto.
El mito más extendido en el sector – que con tener la marca registrada en España ya está todo protegido – es también el más costoso. El registro de marca nacional protege el signo en el territorio español en las clases solicitadas. No protege el contenido, no protege el código, no impide la extracción de datos por un competidor y no garantiza cobertura en otros mercados. El alcance del registro, los contratos de licencia y la protección del secreto son los tres ejes que determinan quién controla realmente el intangible.
Un análisis jurídico inicial del activo – que identifique qué protecciones están disponibles, cuáles son prioritarias y cuál es la secuencia de actuaciones recomendada – cuesta una fracción de lo que cuesta resolver un conflicto posterior. El análisis cubre, además, la base necesaria para cualquier operación corporativa futura: los compradores e inversores exigen cada vez más acreditar la titularidad limpia de los activos intangibles como condición para cerrar la operación.
Si su empresa opera en el sector financiero regulado y quiere entender cómo se articulan estas protecciones con la normativa sectorial, puede revisar nuestro análisis sobre fintech y servicios financieros: coexistencia de marcos regulatorios.
La secuencia que presentamos a continuación refleja el enfoque que aplicamos en nuestra firma cuando acompañamos a una empresa tecnológica en la protección de sus activos de datos. No es una lista de comprobación genérica: es el proceso que permite construir una posición jurídica sólida y mantenible.
El punto de partida es siempre el mismo: saber exactamente qué se tiene. Muchas empresas desconocen el perímetro exacto de sus bases de datos comerciales, quién contribuyó a crearlas, qué contratos las gobiernan y qué información contienen en términos jurídicamente relevantes. El inventario debe documentar el origen de los datos, el proceso de obtención y verificación, la inversión realizada y los contratos vigentes sobre el activo.
Una vez delimitado el activo, la empresa debe asegurarse de que ostenta todos los derechos. Ello implica revisar los contratos con desarrolladores, colaboradores y empleados. Cuando se detectan cesiones incompletas o inexistentes, conviene subsanarlas mediante acuerdos específicos antes de que el activo se monetice o se someta a una revisión de terceros.
Con el inventario y la titularidad claros, el asesor jurídico puede recomendar la combinación óptima de protecciones. Normalmente incluye: depósito probatorio de la versión de la base de datos con sello de fecha cierta, activación del régimen de secreto empresarial mediante medidas técnicas y contractuales, registro de la marca del producto ante la OEPM o la EUIPO según la estrategia territorial, y, si procede, análisis de patentabilidad de la tecnología subyacente.
La protección jurídica del activo se proyecta hacia el exterior mediante contratos. Los contratos de licencia deben regular con precisión los usos permitidos de la base de datos, las restricciones de extracción y reutilización, las condiciones de sublicencia, la duración y las consecuencias del incumplimiento. Los acuerdos de confidencialidad deben firmarse antes de cualquier divulgación a terceros, incluyendo inversores potenciales en fases tempranas de negociación.
La protección no termina con la firma del contrato o el depósito del activo. La vigilancia activa de usos no autorizados – herramientas de monitorización en línea, alertas de registro de marcas ante la OEPM y la EUIPO – permite detectar infracciones en fase temprana, cuando las opciones de reacción son más amplias y menos costosas. Cuando se detecta un uso no autorizado, la empresa debe actuar dentro de los plazos que fija la legislación aplicable, ya que la demora puede perjudicar su posición.
La protección de la base de datos debe integrarse en los procesos habituales de la empresa: incorporación de nuevos empleados y colaboradores con firma de acuerdos de confidencialidad desde el inicio, revisión periódica del inventario de activos intangibles y actualización de los contratos de licencia cuando evoluciona el producto. En operaciones de inversión o adquisición, la documentación ordenada del activo reduce los riesgos de la due diligence y refuerza la posición negociadora de la empresa.
Las empresas del sector turístico y hotelero que gestionan bases de datos de clientes se enfrentan a cuestiones similares de registro y protección de activos intangibles; puede ampliar perspectiva en nuestras preguntas frecuentes sobre registro y protección en turismo y hostelería.
La práctica de nuestra firma en el asesoramiento a empresas tecnológicas nos permite identificar con precisión los errores que se repiten con más frecuencia. Conocerlos es el primer paso para evitarlos.
El primero es desarrollar la base de datos con recursos mixtos – empleados propios, autónomos y subcontratistas – sin un marco contractual unificado que asigne los derechos a la empresa desde el inicio. El resultado es una titularidad fragmentada que puede ser muy costosa de consolidar a posteriori.
El segundo es no activar el régimen de secreto empresarial por considerar que las medidas técnicas de acceso son suficientes. Las medidas técnicas sin la capa contractual y documental no satisfacen los requisitos que la normativa y la jurisprudencia exigen para invocar la protección del secreto.
El tercero es registrar la marca solo en España y en las clases que el equipo interno considera evidentes, sin análisis de estrategia territorial ni de clases adyacentes. Una empresa que opera digitalmente puede ver su marca usurpada en mercados clave sin poder reaccionar si el registro es demasiado estrecho.
El cuarto es no actualizar los contratos de licencia cuando el producto evoluciona. Un contrato de licencia negociado para la versión inicial de una base de datos puede no cubrir las nuevas funcionalidades o los nuevos territorios en los que opera la empresa.
El quinto – y quizás el más grave – es retrasar el asesoramiento hasta que se ha producido la infracción. En ese momento, las opciones siguen siendo reales, pero el coste es siempre mayor y el resultado menos predecible.
A modo de resumen ejecutivo, recogemos los elementos que deben estar en orden para que la protección de la base de datos comercial sea efectiva y sostenible.
La protección de bases de datos comerciales se inserta en una estrategia más amplia de gestión de activos intangibles. En Velarde & Vidal asesoramos también en la estructuración de operaciones de M&A en las que los activos tecnológicos son el objeto principal de la transacción – donde la revisión de la titularidad de propiedad intelectual es un elemento central de la diligencia debida – y en los aspectos de protección de datos que afectan al contenido de las bases de datos cuando incluyen información personal.
Si su empresa está evaluando la protección de otros activos intangibles – modelos de inteligencia artificial, software propietario, bases de conocimiento – las mismas consideraciones de titularidad, secreto y licencia son aplicables con matices específicos que conviene analizar caso a caso.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.