¿Qué medidas razonables protegen un secreto comercial?

Cuando se pierde un caso de secretos comerciales, por lo general se pierde por las medidas razonables. El demandado no niega que la información fuera valiosa; demuestra que la empresa la trataba como a todo lo demás: sin acuerdo de confidencialidad, con carpetas de red abiertas, sin nada marcado y sin un procedimiento de salida. La ley no exige una seguridad perfecta. Exige medidas razonables según las circunstancias, lo que los tribunales interpretan como medidas proporcionales al valor de la información y al tamaño y los recursos de la empresa. A una startup de diez personas no se le exige el estándar de un contratista de defensa, pero sí el de una startup de diez personas a la que le importaba proteger su información. Lo que sigue es la lista de medidas razonables para proteger secretos comerciales que usa nuestro equipo de protección de secretos comerciales al crear o auditar un programa.

Empiece por identificar la información

No se puede proteger lo que no se ha nombrado. La primera medida es un inventario: una lista escrita de las categorías de información que la empresa trata como secretos comerciales, dónde se encuentra cada una, quién tiene acceso y por qué tiene valor. No necesita describir los secretos en sí. Necesita demostrar que la empresa tomó una decisión deliberada sobre qué era confidencial, en lugar de alegar después de los hechos que todo lo era. Los tribunales desconfían del demandante que identifica el secreto comercial solo cuando empieza el litigio, y algunos exigen que lo identifique con precisión antes de que comience la etapa de exhibición de pruebas (discovery). Nuestro artículo sobre qué se considera un secreto comercial explica la prueba que debe superar cada punto del inventario.

Contratos con todas las personas que tienen acceso

Las obligaciones de confidencialidad deben vincular a toda persona y entidad que tenga contacto con la información:

• Los empleados firman un acuerdo de información confidencial al ser contratados, antes de recibir acceso, con una definición que cubra las categorías del inventario.
• Los contratistas y consultores firman un acuerdo con el mismo alcance, más la cesión de todo lo que desarrollen.
• Los proveedores, fabricantes y socios firman un acuerdo de confidencialidad (NDA) antes de cualquier divulgación sensible, con restricciones de uso además de la obligación de no divulgar.
• Los posibles compradores e inversionistas firman un NDA antes de la debida diligencia, aunque se hayan negado a firmarlo en la presentación inicial.
• Los clientes que reciben documentación técnica aceptan términos de confidencialidad en la licencia o en el contrato marco.

Los acuerdos deben estar bien redactados y aplicarse de manera uniforme. Un NDA que exige marcar los documentos confidenciales, cuando nunca se marca nada, puede debilitar la reclamación en lugar de reforzarla. Las trampas se explican en nuestro artículo sobre si un NDA basta por sí solo para proteger los secretos comerciales.

Controles de acceso que correspondan al inventario

Restrinja el acceso según la necesidad de conocer la información y asegúrese de poder demostrarlo. Permisos por función en sistemas de archivos, repositorios de código y bases de datos; autenticación multifactor; registros de quién accedió a qué y cuándo, y almacenamiento separado para el material más sensible. La seguridad física también cuenta: salas o archivadores con llave para fórmulas y prototipos, registro de visitantes y credenciales. A un tribunal lo convence un sistema que habría detectado una filtración, no una política que dice que debería existir uno.

Las unidades compartidas son el problema recurrente. Si cualquier empleado puede abrir la carpeta que contiene el modelo de precios, el modelo de precios no se está protegiendo. Organizar la información por niveles, de modo que solo las personas que necesitan el nivel sensible puedan llegar a él, es la medida más eficaz y menos costosa de esta lista.

Marcado y etiquetado

Etiquete como confidenciales o de propiedad exclusiva los documentos, las pantallas y las exportaciones de datos que lo sean. El marcado no es un requisito legal, pero cumple dos funciones: le indica al destinatario que el material está restringido, lo que desarma una alegación posterior de que no lo sabía, y le demuestra al tribunal que la empresa gestionaba activamente sus secretos. Mantenga el marcado en una medida proporcional. Si todo está marcado como confidencial, incluido el menú del almuerzo, la etiqueta deja de significar algo.

Políticas, capacitación y constancia de lectura

Adopte una política escrita de información confidencial y pida a los empleados que firmen una constancia de haberla leído. Capacítelos sobre ella al incorporarse y periódicamente después, y conserve los registros de asistencia. La política debe abarcar el manejo de documentos, el uso de dispositivos personales y cuentas personales en la nube, el trabajo remoto, las redes sociales, las presentaciones en conferencias y qué hacer cuando un tercero pide información. Nuestra página de gobierno corporativo y políticas internas describe cómo encajan estas políticas con el resto del marco de cumplimiento de una empresa.

Incorporación y salida del personal

Los empleados que se van son la fuente más común de apropiación indebida, y el procedimiento de salida es la medida que los tribunales examinan con más atención. El último día: revoque todos los accesos a los sistemas, recoja los dispositivos de la empresa, obtenga una constancia firmada de que el empleado devolvió o eliminó todo el material confidencial, recuérdele por escrito sus obligaciones vigentes y, en el caso de empleados con acceso a secretos importantes, haga una entrevista de salida en la que pregunte a dónde va y qué hará. Revise los registros de actividad recientes del empleado en busca de descargas o transferencias inusuales. La incorporación es la imagen inversa: pida a los nuevos empleados que confirmen que no traen información confidencial de un empleador anterior, lo que protege a la empresa de terminar siendo la demandada.

Proveedores, servicios en la nube y terceros

La información compartida con proveedores y almacenada en servicios en la nube sigue siendo su secreto comercial si el intercambio está controlado. Los contratos con proveedores deben restringir el uso al encargo, exigir que el proveedor aplique sus propias medidas razonables y exigir la devolución o destrucción al final. El almacenamiento en la nube no es una divulgación, pero la configuración de la cuenta forma parte de sus medidas; un bucket abierto es un archivador abierto. Nuestro equipo de gestión de riesgos y cumplimiento legal revisa los términos con proveedores teniendo esto en cuenta.

Cómo documentar sus medidas razonables

Cada punto anterior genera un registro: acuerdos firmados, registros de acceso, listas de asistencia a capacitaciones, constancias de lectura de políticas, listas de verificación de salida. Consérvelos. En un litigio, la pregunta no es si la empresa tenía buenas intenciones, sino qué puede demostrar que hizo. Una carpeta, física o digital, que muestre el programa en funcionamiento es lo que convierte un argumento sobre medidas razonables de una historia verosímil en una prueba.

Si desea una auditoría de sus prácticas actuales frente a esta lista, una consulta con Capitol Law Partners puede identificar las brechas y el orden en que conviene cerrarlas. Programe una consulta.

Este artículo tiene únicamente fines informativos y no constituye asesoramiento legal. Esta comunicación no establece una relación abogado-cliente.

Cagatay Ersoy. Estrategia práctica para fundadores, inversores y empresas en crecimiento.

¿Necesita ayuda con este tema? Consulte nuestra página de programas de protección de secretos comerciales o programe una consulta.