Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
El pleito de Apple contra OpenAI por dos ingenieros que se marcharon se decide por los límites que se trazaron, o no se trazaron, mucho antes de la dimisión. La legislación inglesa lleva puntuando así desde que una empresa de pollos demandó a su propio jefe de ventas en los años ochenta.
«Cómo protejo los secretos comerciales cuando se va un empleado?» es la pregunta que tarde o temprano le llega a cualquier dirección jurídica, y llega en el tiempo verbal equivocado. Quiar cuando la carta de dimisión aterriza sobre la mesa, la solidez de cualquier demanda futura ya está fijada, y no la fijaron los abogados, sino las decisiones de identidad y de cuentas tomadas años antes. La legislación inglesa lleva puntuando así casi cuarenta años. La mayoría de los sistemas de TI no se diseñaron para estar a la altura.
La demostración en directo la está protagonizando Apple, que ha demandado a sus propios exingenieros. La denuncia de Apple nombra a Tang Tan y Chang Liu, dos extrabajadores de Apple que ahora están en OpenAI, y los acusa de llevarse información confidencial y de intentar reclutar a antiguos compañeros al salir. Son acusaciones, no hechos probados. OpenAI ha pedido el archivo del caso, mientras Apple solicita una medida cautelar que bloquee cualquier uso de los supuestos secretos mientras el litigio avanza por un tribunal federal de California. Quita las marcas y el juzgado y te queda la forma estándar de cualquier disputa por talento que se marcha, tanto en Madrid como en Cupertino: una parte dice «se llevaron nuestros documentos», la otra responde «demuestra que es un secreto comercial».
¿Qué protege realmente la legislación inglesa cuando un empleado se va?
Menos de lo que la mayoría de las empresas asume, y el precedente que marca la pauta es, literalmente, un caso de pollos. En Faccenda Chicken contra Fowler, el Tribunal de Apelación británico juzgó a un jefe de ventas que se marchó con las rutas de reparto, los nombres de clientes y los precios en la cabeza, y montó su propio negocio en competencia directa. El tribunal resolvió que, una vez terminada la relación laboral, el deber implícito de confidencialidad solo protege los secretos comerciales en sentido estricto. La información confidencial que se ha fundido con la pericia, la memoria y la experiencia de un empleado se va con él, salvo que un pacto de no competencia válido diga lo contrario. Conocimiento en la cabeza es movilidad protegida; archivos en una carpeta son una demanda en potencia. Una empresa cuyos sistemas no distinguen entre ambas cosas no tiene forma de hacer valer una diferencia que la ley exige.
Más tarde la ley añadió una segunda vía, con trampa incluida. El reglamento británico de ejecución de secretos comerciales de 2018 define un secreto comercial como información secreta, con valor comercial precisamente por serlo, y sometida a «pasos razonables según las circunstancias» para mantenerla en secreto. Conviene precisar la jurisdicción aquí, porque casi nadie lo hace: la ley federal estadounidense de secretos comerciales exige un requisito muy similar de «medidas razonables», y esa es la prueba que Apple debe superar en California. Inglaterra es más enrevesada: el reglamento de 2018 convive con la acción tradicional por incumplimiento de confidencialidad, que no lleva ese requisito estatutario de pasos razonables, así que allí un demandante tiene dos vías en vez de una. España, por cierto, resuelve esto de forma más parecida al reglamento británico que al estadounidense: la Ley 1/2019 de Secretos Empresariales, que traspone la misma directiva europea que inspiró la norma británica, también exige medidas razonables de protección para que la información merezca la etiqueta de secreto. El alivio es limitado en ambos sistemas: si fallas la prueba de los pasos razonables, pierdes la vía estatutaria directamente, y encima le regalas a la defensa el guión para el interrogatorio.
¿Por qué importa que el personal conecte cuentas personales en dispositivos de empresa?
Porque los «pasos razonables» se juzgan por lo que de verdad ocurrió en todo el parque de dispositivos, no por lo que decía la política interna. Una de las acusaciones que sobrevuela el caso Apple debería inquietar a cualquier empresa que funcione a base de comodidad: otra demanda laboral distinta, recogida por Los Angeles Times, alega que el personal vincula habitualmente los dispositivos corporativos a cuentas personales de iCloud. Es una alegación, en otro litigio, y sin probar. Pero el patrón que describe es casi universal, porque es el patrón que premian las propias plataformas. Mantener dos identidades herméticamente separadas en ecosistemas de consumo implica dos inicios de sesión, dos bibliotecas de fotos, dos métodos de pago y un cambio constante entre perfiles. El personal enlaza cuentas porque es el camino de menor resistencia, y nadie protesta el primer día. La empresa se embolsa la comodidad al instante y la paga años después, en la única moneda que aceptan los tribunales: un límite demostrable. Si un juez pregunta cómo se protegieron las joyas de la corona y la respuesta honesta es «vivían en una cuenta que también guardaba las fotos de las vacaciones del empleado», el argumento de los pasos razonables se acaba antes de llegar a la fase de pruebas.
Y la exposición va en las dos direcciones. La empresa que contrata hereda la ambigüedad: si tu nuevo ingeniero jefe llega con una cuenta personal llena de material que nadie sabe clasificar, la dejadez de su anterior empleador acaba de convertirse en tu riesgo legal.
¿Cómo mides tu propia exposición?
Haz este recuento una vez esta semana; no hacen falta abogados. Saca el inventario de dispositivos de tu herramienta de gestión (MDM) y cuenta cuántos equipos gestionados tienen además una identidad personal conectada junto al perfil de empresa: un Apple ID personal sincronizando iCloud Drive o Fotos, una cuenta personal de Google con Drive activado, una cuenta personal de Microsoft abierta en el navegador. Si tu herramienta no te da ese dato, revisa veinte portátiles a mano; la versión manual ya resulta reveladora. El porcentaje resultante es tu índice de mezcla de identidades, y funciona también como ensayo general del proceso de disclosure al que te enfrentarías en un litigio, porque cada uno de esos dispositivos es un lugar donde documentos de la empresa y material privado comparten contenedor, algo que le pedirías a un tribunal que aceptara como «separado».
Luego haz dos preguntas más. ¿Qué porcentaje de tu material genuinamente secreto, la categoría en sentido estricto que protege la doctrina Faccenda, está restringido a una lista nominal de personas y no a «todo el personal»? Y la última vez que diste de baja a alguien, ¿podrías haber sacado en un día la lista completa de sistemas a los que su cuenta tenía acceso? Si te encoges de hombros ante cualquiera de las dos, tus secretos comerciales están protegidos por la esperanza, no por un sistema.
¿Cómo se protegen los secretos comerciales cuando un empleado se marcha?
Sobre todo en la incorporación; la salida solo recoge las pruebas. Cuatro movimientos hacen casi todo el trabajo. Haz que la identidad corporativa sea el camino de menor resistencia, para que nadie necesite un atajo personal para hacer su trabajo. Ata la clasificación a los contenedores, porque un secreto que vive en todas partes no cumple ninguna definición de secreto. Haz que la revocación corresponda con la realidad: cortar una cuenta solo sirve si esa cuenta era la única puerta. Y diseña las salidas nombrando artefactos concretos en vez de agitar la mano hacia «información confidencial», porque tanto Faccenda como el reglamento de 2018 premian la precisión. Nada de esto es un ticket de TI: es una decisión de estrategia sobre cómo los sistemas de tu organización encarnan su posición legal, y se afila a medida que los agentes de software empiezan a manejar sus propias credenciales: la misma lógica de límites sustenta la seguridad de los sistemas agenticos, donde el «empleado» que podría marcharse con tus datos es un proceso.
La versión sin adornos: la legislación inglesa (y la española, por la misma raíz europea) no va a impedir que el conocimiento salga por la puerta, y solo detendrá los documentos si los trataste como secretos mientras aún eran tuyos. Cuenta esta semana cuántos dispositivos tienen identidades mezcladas y sabrás en qué lado de esa línea estás antes de que te lo diga un tribunal.
Preguntas frecuentes
¿Puede una empresa impedir que un extrabajador use lo que aprendió en el puesto?
En general, no. Desde Faccenda Chicken contra Fowler, los tribunales ingleses sostienen que la pericia, la experiencia y el saber hacer general adquiridos durante el empleo pertenecen al trabajador y se van con él; solo los secretos comerciales en sentido estricto siguen protegidos tras la salida, salvo que exista un pacto de no competencia válido que añada algo más. En la práctica, la disputa real casi siempre gira en torno a los artefactos (documentos, archivos, código, datos de clientes) y los sistemas que los custodiaban, no en torno al conocimiento en sí.
¿Qué cuentan como pasos razonables para proteger secretos comerciales?
Tanto el reglamento británico de 2018 como la Ley 1/2019 de Secretos Empresariales en España incorporan los «pasos razonables según las circunstancias» como parte de la propia definición de secreto comercial, así que quien no pueda demostrarlos no tiene, literalmente, una demanda estatutaria que presentar. Los tribunales miran lo que ocurrió en el día a día: acceso limitado a quien lo necesitaba, material marcado y guardado en ubicaciones controladas, cláusulas de confidencialidad en los contratos y una revocación de accesos que de verdad cortara el acceso al salir.
¿Se debe permitir que el personal conecte cuentas personales en dispositivos de empresa?
Solo si lo contienes de forma deliberada. Las prohíbiciones generales suelen fracasar porque van contra los incentivos de la propia plataforma; el personal enlaza cuentas porque separarlas resulta incómodo. El enfoque que funciona es hacer que la identidad corporativa baste por sí sola para el trabajo, usar perfiles o contenedores gestionados para mantener los datos segregados, y asumir que cualquier comodidad que mezcle ambas identidades también está mezclando tus futuras pruebas.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- La verificación de edad se muda al sistema operativo, y parte el mercado en dos
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.