Secretos empresariales. Gestión de salidas: protegiendo la información en momentos críticos

Las personas trabajadoras son uno de los activos más valiosos de la empresa. El factor humano es esencial para el buen funcionamiento de las sociedades, pero también supone un riesgo para la protección de los secretos empresariales. Por ello, es importante tener implementado un sistema integral que permita prevenir y, en caso de que ocurra, hacer frente a la sustracción de los secretos de la empresa.

La garantía de la integridad de los secretos empresariales debe comenzar ya en el momento de la contratación de las personas trabajadoras que vayan a tener acceso a ellos y extenderse a lo largo de toda la relación laboral hasta su extinción.

Defensa de los secretos empresariales en el contrato de trabajo

Conviene detenerse, en primer lugar, en las obligaciones de las personas trabajadoras que, fijadas por artículo 5 del texto refundido de la Ley del Estatuto de los Trabajadores, aprobado por el Real Decreto Legislativo 2/2015, de 23 de octubre, sirven como base de las cláusulas que se recojan en el contrato:

Los trabajadores tienen como deberes básicos:

a) Cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad con las reglas de la buena fe y diligencia.

(…)

c) Cumplir las órdenes e instrucciones del empresario en el ejercicio regular de sus facultades directivas

d) No concurrir con la actividad de la empresa, en los términos fijados en esta ley.

La incorporación al contrato de trabajo de cláusulas destinadas a proteger la información confidencial constituye la base sobre la que descansa la defensa de los derechos de la empresa. En primer lugar, resulta conveniente recoger en el contrato una cláusula de confidencialidad que refuerce y aclare la obligación, inherente a toda relación laboral, que la persona trabajadora asume en ese sentido. Para mayor seguridad, puede valorarse la suscripción de pactos de no concurrencia o de no competencia poscontractual.

En segundo lugar, el cumplimiento por parte de la persona trabajadora de las anteriores obligaciones —‍legales y contractuales— puede ser verificado por el empresario mediante el establecimiento de medidas de control. Se trata de una vigilancia que debe realizarse siempre con respeto a los derechos fundamentales de las personas trabajadoras, en particular —en lo que respecta a la protección de los secretos empresariales—, a la dignidad y la intimidad en el uso de los dispositivos digitales —con especial énfasis, en este último aspecto, en los criterios de utilización de dichos dispositivos recogidos en el artículo 87.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (“LOPD”)—.

Finalmente, la defensa de los secretos empresariales frente al riesgo de apropiación indebida por parte de una persona trabajadora no solo presenta una dimensión contractual, sino que debe complementarse con otro tipo de medidas destinadas a prevenir este tipo de situaciones y que, llegado el caso, faciliten la defensa de los intereses de la sociedad. Debe ponerse especial énfasis en el establecimiento de protocolos de acceso a la información confidencial, complementados con formación adecuada que permita a las personas trabajadoras conocer la importancia de garantizar la confidencialidad de la información sensible.

Asimismo, puede hacerse uso de herramientas tecnológicas como el control de acceso y la monitorización de la actividad que afecte a la información sensible, o el cifrado de determinados ficheros, complementado por un sistema de auditoría en el que se recojan la revisión periódica de accesos y un protocolo de actuación ante incidentes.

Utilización de medios digitales para la apropiación indebida de secretos empresariales

Aunque la apropiación indebida puede tomar muy distintas formas, merece especial mención aquella que se consuma a través de los medios electrónicos que la sociedad pone a disposición de las personas trabajadoras. Entre otras, es habitual que se produzca una apropiación indebida de información sensible mediante:

• la descarga masiva de archivos;
• el envío de información a cuentas personales;
• el uso de dispositivos USB; o
• el acceso no autorizado tras la finalización de la relación laboral.

Este tipo de apropiaciones indebidas plantea problemas singulares, en la medida en que algunos de los sistemas (p. ej., correo electrónico, discos duros y memorias, ordenadores y teléfonos móviles) se encuentran dentro de la esfera de la intimidad de las personas trabajadoras, que, como expresión de un derecho constitucional, cuenta con protección expresa.

Efectivamente, el artículo 87.3 de la LOPD indica que:

3. Los empleadores deberán establecer criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente. En su elaboración deberán participar los representantes de los trabajadores.

El acceso por el empleador al contenido de dispositivos digitales respecto de los que haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados.

Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado.

Así, para que la monitorización sea lícita deben establecerse los criterios de utilización de los dispositivos digitales —incluida la posibilidad de que el empresario adopte medidas de supervisión/monitorización—‍, su alcance, finalidad y eventuales medidas que podría adoptar la empresa como consecuencia de dicha monitorización —p. ej., de carácter disciplinario—. Ello con la participación de la representación legal de las personas trabajadoras.

Una vez que se disponga de los criterios, debe informarse individualmente a la persona trabajadora e, idealmente, incorporar a su documentación contractual una copia firmada de la política de uso de dispositivos digitales, así como de cualquier otra política o protocolo relacionado con la protección de secretos empresariales.

Investigación interna ante la sospecha de apropiación indebida de secretos empresariales

Cuando la empresa sospeche que una persona trabajadora está apropiándose indebidamente de información considerada secreto empresarial, es conveniente iniciar una investigación interna destinada a esclarecer los hechos, determinar si los secretos empresariales se han visto comprometidos y adoptar las medidas oportunas.

En estos casos, entran en conflicto el interés de la empresa en defender sus secretos empresariales con el derecho a la intimidad de las personas trabajadoras, especialmente cuando se sospecha que la apropiación indebida se ha llevado a cabo a través de medios electrónicos. Dado que la investigación puede afectar a la esfera de los derechos fundamentales de las personas trabajadoras, deben adoptarse medidas para minimizar la incidencia en su intimidad, como dispone la Sentencia de la Gran Sala del Tribunal Europeo de Derechos Humanos, de 5 de septiembre de 2017, caso Barbulescu contra Rumanía. Esta importante sentencia, conocida como Barbulescu II, fija los requisitos necesarios para que la monitorización sea lícita:

• la persona trabajadora debe recibir información clara sobre la posibilidad de monitorización y de su alcance, de manera previa a que tenga lugar;
• la monitorización de las comunicaciones de la persona trabajadora debe responder a una necesidad real y concreta de la sociedad y respetar un adecuado equilibrio entre el interés de la empresa y el derecho de aquella al respeto de su vida privada;
• la monitorización debe realizarse de la forma menos intrusiva posible para alcanzar su objetivo, sin que la vigilancia que se lleve a cabo tenga carácter generalizado; y
• debe ponderarse el alcance de la monitorización en relación con el grado de intrusión en la intimidad de la persona trabajadora.

Sobre las anteriores bases, rige el principio de proporcionalidad, que implica que cualquier intromisión en los derechos fundamentales de una persona trabajadora —en el caso que nos ocupa, en su intimidad— deba ser idónea, necesaria y equilibrada en relación con la protección de los secretos empresariales. En consecuencia, deben realizarse tres valoraciones distintas:

• juicio de idoneidad: debe poder justificarse que la medida de monitorización es susceptible de alcanzar el objetivo pretendido en la investigación;
• juicio de necesidad: debe acreditarse que la medida es necesaria, entendiendo la necesidad como la inexistencia de otra medida menos intrusiva que permita igualmente alcanzar el fin pretendido; y
• juicio de proporcionalidad: deben derivarse de la medida ventajas para el interés general que superen los perjuicios sobre el resto de los derechos en conflicto.

Otra de las dificultades que plantea la realización de este tipo de investigaciones es de carácter técnico, habida cuenta de que se trata de ficheros informáticos de fácil manipulación y de que recae sobre la sociedad la carga de probar la existencia de una apropiación indebida de secretos empresariales. Por ello, es común recurrir a peritajes informáticos para realizar tareas como la investigación de discos duros y otros soportes, la recuperación de archivos borrados, la certificación de correos electrónicos o la detección de software ilegal.

Con el objetivo de garantizar la integridad de la prueba, conviene recordar que debe trabajarse sobre copias clónicas certificadas por un fedatario público —ya sea el letrado de la Administración de Justicia, en procedimientos judiciales, o un notario—, nunca sobre el material original. Del mismo modo, es importante mantener la trazabilidad de la cadena de custodia del material.

El que la investigación se realice teniendo en cuenta los principios descritos resulta de capital importancia para la defensa de los derechos de la sociedad y, en su caso, para la adopción de las medidas disciplinarias oportunas cuando las personas afectadas sigan siendo empleadas de la empresa.

Conclusión

La protección de los secretos empresariales frente al riesgo que pueden suponer las personas trabajadoras debe extenderse a lo largo de toda la relación laboral. A tal efecto, deben incorporarse al contrato cláusulas que contribuyan a la protección de la información sensible y establecerse las políticas necesarias para reducir el riesgo, complementadas con formación.

Llegado el caso, una investigación que se lleve a cabo con arreglo a los principios enunciados permite afrontar con garantías el procedimiento disciplinario que pueda derivarse de ella, asegurando así que la sociedad disponga de todas las herramientas jurídicas necesarias para la defensa de sus intereses.