El empleado se fue a la competencia con la base de datos de clientes

Marco de decisión: qué de lo que se llevó está realmente protegido

No todo lo que se llevó el comercial está protegido legalmente. El marco de decisión tiene tres capas y en cada una la posición de la empresa es distinta.

La primera capa son las informaciones que tienen carácter de secreto comercial. Aquí entran la lista de clientes con las condiciones comerciales, los cálculos, los márgenes, los precios de los proveedores o la documentación técnica. Sin embargo, solo están protegidas si son relevantes para la competencia, valorables, no accesibles habitualmente y si la empresa realmente las mantenía en secreto. Esta última condición descarta buena parte de lo que las empresas consideran su secreto. Un disco compartido de libre acceso debilita considerablemente la posibilidad de demostrar el secreto, aunque por sí solo no es un motivo automático para que la protección no exista.

La segunda capa son los datos personales de los clientes y de las personas de contacto. Su sustracción es un problema aparte, porque la empresa, como responsable del tratamiento, responde de quién tuvo acceso a los datos y de cómo se cerró ese acceso. Junto con el litigio contra el antiguo empleado, la empresa debe atender también sus propias obligaciones, y ambas cosas corren en paralelo.

La tercera capa son los conocimientos y la experiencia del empleado. Estos se los puede llevar, e intentar prohibírselo carece de sentido. Sin embargo, no es cierto que una información deje de estar protegida solo porque el empleado la memorizó: lo decisivo es la naturaleza de la información y la forma en que se utiliza, no si salió en una memoria USB. El conocimiento general del mercado sigue siendo del empleado, mientras que un margen concreto y no público de un cliente o un modelo de precios sí pueden estar protegidos.

Para decidir si conviene ir a juicio, la pregunta clave es una sola: ¿podemos demostrar que se trataba de datos que protegíamos y cómo se gestionaron? Una sospecha general de que el antiguo empleado contacta a nuestros clientes no basta. Sobre la configuración de la protección de datos nos pronunciamos también en el artículo Protección jurídica de los conjuntos de datos como secreto comercial.

Procedimiento paso a paso

La primera semana tras la salida determina si la empresa tendrá pruebas en la mano o solo impresiones.

El primer paso es asegurar las huellas digitales antes de que se sobrescriban. Los registros de acceso al CRM, el historial de exportaciones, el correo enviado, la conexión de discos externos. La mayoría de los sistemas conserva estos datos solo durante un tiempo limitado, por lo que este paso no admite demora hasta que la empresa decida si quiere litigar.

El segundo paso es asegurar los dispositivos. El portátil y el teléfono no se reutilizan ni se reinstalan de inmediato, sino que se hace una copia de seguridad en el estado en que fueron devueltos, y se redacta un acta de entrega. El acta debe incluir también lo que faltaba en el dispositivo, es decir, carpetas borradas o cuentas cerradas.

El tercer paso es determinar exactamente qué falta o qué se descargó. No de forma genérica, «la base de datos de clientes», sino el archivo concreto, la fecha, la hora y el alcance. Tanto el tribunal como la parte contraria trabajan con cifras concretas, y una afirmación genérica sobre una base de datos sustraída no resiste ni siquiera una negociación de acuerdo.

El cuarto paso es un requerimiento por escrito. Debe contener la identificación de la información en cuestión, el requerimiento de cesar en su uso, de eliminarla y de confirmar por escrito que no quedaron copias. El requerimiento se envía tanto al antiguo empleado como a su nuevo empleador. Este último suele reaccionar más rápido que el propio empleado, porque el riesgo lo asume toda su empresa.

El quinto paso es valorar si los datos sustraídos contienen datos personales de clientes o de personas de contacto. Si se trata de una violación de la seguridad que puede suponer un riesgo para las personas afectadas, la empresa, como responsable del tratamiento, tiene el plazo para notificarlo a la autoridad de control sin dilación indebida, preferiblemente en un plazo de 72 horas desde que tuvo conocimiento de ello. Debe documentarse cada incidente, incluso el que no se notifica. En las empresas sujetas a la normativa de ciberseguridad puede surgir además una obligación de notificación independiente.

El sexto paso es decidir cómo continuar: un acuerdo con un compromiso por escrito, una medida cautelar allí donde exista un riesgo inminente de daño, o una demanda por competencia desleal.

El séptimo paso es corregir la propia configuración interna: revisión de los derechos de acceso, limitación de las exportaciones masivas, cláusulas de confidencialidad en los contratos de trabajo y retirada de los accesos el mismo día del cese. Este es el paso que las empresas posponen con más frecuencia, y sin embargo es el que determina cómo se desarrollará la próxima salida.

Qué es estándar en el mercado y qué es una señal de alarma

En las empresas que lo tienen bien resuelto, es estándar que los documentos sensibles estén marcados como confidenciales y que solo tenga acceso a ellos quien los necesita, y que la exportación masiva desde el CRM esté prohibida o bien se registre y requiera aprobación.

También es estándar que las condiciones comerciales de los clientes clave las conozca más de una persona, no solo un comercial, y que la empresa las gestione en el sistema, no en sus notas.

Es estándar asimismo la confidencialidad por escrito en el contrato de trabajo y, en el caso de socios, mediante un contrato aparte; a su forma dedicamos el artículo Modelo de NDA con comentario de un abogado.

Las señales de alarma pueden detectarse antes de que la persona se marche. La primera es un comercial que lleva desde hace tiempo su propio registro de clientes fuera del sistema corporativo, porque entonces la empresa no tiene control sobre lo que él tiene en su poder. La segunda es un aumento de las exportaciones y descargas en el período en que el empleado ha presentado o está preparando su renuncia.

La tercera señal es una situación en la que las relaciones con los clientes clave solo las conoce un comercial. Esto se previene compartiendo los contactos dentro del equipo, no mediante regulación jurídica. Una herramienta relacionada es la prohibición de competencia, a la que dedicamos el artículo La cláusula de no competencia en las relaciones jurídico-mercantiles.

Dónde está el límite legal

La ley otorga a la empresa herramientas potentes, pero las condiciona a que la propia empresa haya protegido la información.

La base es la definición. Según el § 504 del Código Civil checo (Ley n.º 89/2012 Sb., en adelante «OZ») constituyen secreto comercial los hechos relacionados con la empresa que son relevantes para la competencia, determinables, valorables y no accesibles habitualmente en los círculos comerciales correspondientes, y cuyo titular garantiza de forma adecuada, en su propio interés, su carácter secreto. Esta última condición es, en la práctica, decisiva y se valora conforme a la configuración global de la protección: limitación de accesos, autenticación, directrices internas, confidencialidad contractual y registro de actividad. La simple mención «confidencial» no basta y, a la inversa, un archivo de libre acceso difícilmente puede defenderse como secreto.

El propio comportamiento lo define el § 2985 OZ. Constituye una violación del secreto comercial la conducta mediante la cual alguien comunica o pone a disposición sin autorización, o utiliza para sí mismo o para un tercero, un secreto comercial que puede emplearse en la competencia y del que tuvo conocimiento porque le fue confiado o se hizo accesible en virtud de su relación laboral u otra relación con el competidor. El propio nuevo empleador puede así incurrir en responsabilidad propia, especialmente si sabe o, dadas las circunstancias, debería saber que está utilizando un secreto comercial obtenido de forma ilícita.

Las pretensiones las recoge el § 2988 OZ. La persona cuyo derecho se haya visto amenazado o vulnerado por competencia desleal puede exigir que el infractor cese en la conducta desleal o elimine el estado antijurídico, así como una compensación adecuada, la indemnización de daños y la restitución del enriquecimiento sin causa. La pretensión de cesación es clave, porque persigue detener el uso ulterior de la información. Sin embargo, la sola presentación de la demanda no detiene nada por sí misma, y cuando es necesario intervenir antes de una resolución sobre el fondo, entra en juego la medida cautelar. Según el § 5a de la Ley n.º 221/2006 Sb., además, si el infractor sabía de la violación del secreto comercial, el tribunal puede fijar la indemnización de daños y la compensación de forma global, conforme al canon de licencia habitual.

Durante la vigencia de la relación laboral ayuda el § 304 ZP, según el cual los empleados solo pueden ejercer, junto con su empleo, una actividad remunerada idéntica al objeto de actividad del empleador con el consentimiento previo por escrito del empleador.

Para el período posterior a la finalización de la relación laboral rige un régimen especial, y la regulación general de las cláusulas de no competencia del OZ no se aplica a los empleados. Según el § 310 ZP, el empleado puede comprometerse a abstenerse, durante un máximo de un año, de ejercer una actividad remunerada idéntica al objeto de actividad del empleador o de naturaleza competidora. La cláusula debe incluir el compromiso del empleador de abonar, por cada mes, una compensación económica adecuada, de al menos la mitad del salario medio mensual, y debe constar por escrito. Solo puede pactarse cuando, dada la naturaleza de la información y los conocimientos adquiridos, resulte equitativamente exigible.

Atención también a la forma de obtener las pruebas. Según el § 316 ZP, el empleador puede controlar de forma proporcionada si el empleado no utiliza los medios de trabajo para fines personales, pero solo puede invadir su privacidad mediante el control del correo electrónico por un motivo grave derivado de la naturaleza especial de su actividad, y aun así debe informar previamente al empleado sobre el alcance y la forma del control.

La protección de la base de datos ofrece una vía independiente. Según el § 88a de la Ley checa de derechos de autor (autorský zákon), corresponde al fabricante de la base de datos un derecho especial (sui generis) si la elaboración de esta supuso una inversión sustancial, con independencia de la protección por derechos de autor. En el caso de un CRM exportado de forma masiva, se trata de un segundo fundamento jurídico junto con el secreto comercial.

Resumen final

El resultado de un litigio sobre know-how se decide dos veces. La primera, al configurar los derechos de acceso; la segunda, en la primera semana tras la salida del empleado, cuando se aseguran las pruebas. Quien resuelve bien ambas cosas tiene una posición en la que la parte contraria suele preferir llegar a un acuerdo antes que litigar.

El límite legal no puede sortearse con una fórmula en el contrato. Está protegido lo que la propia empresa mantenía en secreto, no se puede prohibir al empleado que aproveche su propia experiencia, y solo puede limitársele tras su salida mediante una cláusula de no competencia conforme al Código del Trabajo checo, es decir, como máximo durante un año y a cambio de una compensación económica. El despacho de abogados ARROWS lleva este tipo de litigios dentro del servicio Litigios mercantiles y judiciales y cuenta con un seguro de responsabilidad civil profesional con un límite de 350 000 000 CZK (aprox. 14,4 millones EUR). Escríbanos a consultas@arws.cz.