Cómo proteger la información confidencial de tu empresa en México

Proteger información confidencial es una responsabilidad que comienza mucho antes de que ocurra una filtración. Las empresas comparten diariamente datos, documentos, procesos y estrategias con trabajadores, proveedores, clientes, socios, contadores, agencias, desarrolladores y asesores externos.

Entre esa información pueden encontrarse bases de clientes, listas de precios, márgenes de utilidad, procesos internos, credenciales de acceso, propuestas, diseños, fórmulas, estrategias comerciales, expedientes laborales y proyectos que todavía no son públicos.

El problema aparece cuando la empresa considera que todo está protegido únicamente porque un contrato contiene una cláusula que dice “la información será confidencial”.

Para proteger información confidencial no basta con colocar una etiqueta, firmar un convenio o pedir discreción. También es necesario identificar qué información tiene valor, restringir el acceso, establecer usos permitidos, aplicar medidas de seguridad y conservar evidencia de que esas reglas realmente existían.

Una carpeta llamada “SUPER CONFIDENCIAL NO ABRIR” disponible para todo el personal no es exactamente una estrategia de protección. Es más bien una invitación con letras mayúsculas.

¿Qué es la información confidencial de una empresa?

La información confidencial es aquella cuyo conocimiento, uso o divulgación se encuentra limitado a determinadas personas debido a su naturaleza, valor o relación con la operación empresarial.

Puede incluir información:

• Comercial.
• Técnica.
• Financiera.
• Administrativa.
• Estratégica.
• Laboral.
• Contractual.
• Relacionada con datos personales.
• Recibida de clientes o proveedores.

Algunos ejemplos son:

• Bases de datos de clientes.
• Historiales de compra.
• Listas de proveedores.
• Precios especiales.
• Márgenes de utilidad.
• Costos de producción.
• Procesos internos.
• Métodos de trabajo.
• Estrategias de ventas.
• Proyecciones financieras.
• Campañas no publicadas.
• Código fuente.
• Fórmulas.
• Diseños y prototipos.
• Credenciales y contraseñas.
• Información salarial.
• Expedientes de trabajadores.
• Contratos con clientes.
• Propuestas comerciales.
• Información recibida bajo acuerdos de confidencialidad.

No toda la información interna tiene la misma naturaleza ni necesita el mismo nivel de protección. Una política de vacaciones no requiere necesariamente los mismos controles que una fórmula, una base de clientes o las credenciales bancarias de la empresa.

Diferencia entre información confidencial y secreto industrial

La información confidencial es un concepto amplio. Un secreto industrial es una categoría jurídica específica protegida por la Ley Federal de Protección a la Propiedad Industrial.

De acuerdo con esa legislación, puede considerarse secreto industrial la información de aplicación industrial o comercial que:

• Se conserva con carácter confidencial.
• Permite obtener o mantener una ventaja competitiva o económica.
• No es de acceso general.
• Está sometida a medios o sistemas suficientes para preservar su confidencialidad.
• Tiene acceso restringido.

Por ello, para proteger información confidencial como secreto industrial, la empresa debe demostrar algo más que su interés en mantenerla reservada.

También debe poder explicar:

• Qué información estaba protegida.
• Por qué tenía valor.
• Dónde se encontraba.
• Quién podía consultarla.
• Cómo se informó su carácter confidencial.
• Qué controles impedían accesos no autorizados.
• Qué usos estaban permitidos.
• Qué ocurrió cuando terminó la relación con una persona autorizada.

¿Qué información no se considera secreto industrial?

La legislación excluye la información que:

• Sea del dominio público.
• Sea generalmente conocida.
• Sea de fácil acceso dentro del sector donde se utiliza.
• Deba divulgarse por una disposición legal.
• Deba entregarse por orden judicial.

Por ejemplo, una lista de precios publicada abiertamente en el sitio web difícilmente puede tratarse como secreto industrial.

Tampoco basta con descargar información pública, agregarle una marca de agua con la palabra “confidencial” y esperar que jurídicamente se transforme en un secreto empresarial.

La protección debe concentrarse en información verdaderamente reservada y valiosa.

¿La Ley Federal del Trabajo obliga a guardar confidencialidad?

Sí. La Ley Federal del Trabajo establece entre las obligaciones de las personas trabajadoras guardar los secretos técnicos, comerciales y de fabricación que conozcan por razón de su trabajo, así como los asuntos administrativos reservados cuya divulgación pueda causar perjuicios a la empresa.

Además, la Ley Federal de Protección a la Propiedad Industrial dispone que la persona que tenga acceso a un secreto industrial con motivo de su trabajo, profesión, cargo o relación de negocios, y haya sido advertida sobre su confidencialidad, debe abstenerse de divulgarlo sin autorización.

Estas obligaciones legales son importantes, pero la empresa no debería depender únicamente de ellas.

Para proteger información confidencial conviene respaldar la obligación mediante:

• Contratos laborales.
• Convenios de confidencialidad.
• Políticas internas.
• Controles de acceso.
• Capacitación.
• Registros digitales.
• Procedimientos de salida.
• Medidas de seguridad físicas y tecnológicas.

La empresa debe poder acreditar que la persona sabía qué información era reservada y cómo podía utilizarla.

¿Un acuerdo de confidencialidad es suficiente?

No por sí solo.

Un acuerdo de confidencialidad ayuda a definir las obligaciones de cada parte, pero no sustituye las medidas operativas necesarias para restringir el acceso y evitar divulgaciones.

Por ejemplo, el convenio pierde buena parte de su utilidad práctica si:

• Todas las personas utilizan la misma contraseña.
• Los archivos pueden descargarse sin control.
• No existen permisos por puesto.
• Las cuentas de exempleados permanecen activas.
• La información se comparte mediante correos personales.
• No existe una clasificación documental.
• Nadie recibe capacitación.
• La empresa no sabe qué información fue extraída.

La definición legal del secreto industrial exige medidas suficientes para conservar su confidencialidad y restringir el acceso. El contrato es una de esas medidas, no el sistema completo.

12 medidas para proteger información confidencial de tu empresa

1. Identifica la información que realmente necesitas proteger

El primer paso para proteger información confidencial es realizar un inventario.

La empresa debe identificar:

• Qué información posee.
• Dónde se encuentra almacenada.
• Quién la utiliza.
• Cómo se comparte.
• Qué personas externas tienen acceso.
• Qué información pertenece a terceros.
• Qué archivos contienen datos personales.
• Qué ocurriría si llegara a un competidor.
• Qué materiales ya son públicos.
• Qué información dejó de ser necesaria.

Puede clasificarse en niveles como:

• Pública.
• Uso interno.
• Confidencial.
• Altamente confidencial.
• Restringida a determinada área o dirección.

La clasificación permite aplicar controles proporcionales y evitar que absolutamente todo reciba la misma etiqueta.

2. Limita el acceso conforme a las funciones

No todas las personas necesitan consultar toda la información de la empresa.

Los permisos deberían asignarse según el puesto y las actividades reales.

Por ejemplo:

• Ventas puede consultar los datos de sus clientes asignados.
• Recursos Humanos puede acceder a expedientes laborales.
• Nómina puede consultar información salarial y bancaria.
• Contabilidad puede utilizar los documentos financieros necesarios.
• Sistemas puede administrar cuentas sin utilizar comercialmente los datos.
• Un proveedor externo debe acceder únicamente a los archivos indispensables para su servicio.

El principio práctico es sencillo: cada persona debe contar con el acceso mínimo necesario para realizar su trabajo.

Los documentos que contienen información laboral deben integrarse y resguardarse dentro del expediente laboral de cada trabajador.

3. Utiliza cuentas individuales y contraseñas seguras

Para proteger información confidencial, la empresa debe evitar cuentas compartidas siempre que sea posible.

Las cuentas individuales permiten identificar:

• Quién inició sesión.
• Qué archivos consultó.
• Qué información descargó.
• Qué modificaciones realizó.
• Cuándo tuvo acceso.

También conviene utilizar:

• Contraseñas únicas.
• Autenticación en dos pasos.
• Bloqueo automático.
• Gestores de contraseñas.
• Alertas de accesos inusuales.
• Revisión periódica de permisos.
• Eliminación inmediata de cuentas innecesarias.

Compartir una sola contraseña entre veinte personas resulta cómodo hasta que alguien elimina un archivo, descarga una base o cambia la contraseña. Después empieza el episodio empresarial de detectives.

4. Utiliza acuerdos de confidencialidad adaptados

El convenio debe identificar con claridad:

• Las partes.
• La finalidad de la entrega.
• Las categorías de información protegida.
• Los usos autorizados.
• Las conductas prohibidas.
• Las personas que podrán acceder.
• Las medidas de seguridad.
• La forma de reportar incidentes.
• La devolución o eliminación de archivos.
• La duración de las obligaciones.
• Las excepciones aplicables.

No conviene utilizar una cláusula genérica como:

“Toda la información relacionada con la empresa será confidencial para siempre.”

La descripción debe ser suficientemente amplia para cubrir lo importante, pero suficientemente precisa para que la persona sepa qué debe proteger.

Los formatos legales pueden utilizarse en procesos ordinarios, pero deben adaptarse cuando existe información estratégica, un riesgo especial o una relación compleja.

5. Incorpora obligaciones dentro del contrato laboral

Cuando un puesto implique acceso a información reservada, el contrato laboral puede incluir obligaciones de confidencialidad relacionadas con las funciones reales.

Puede establecer:

• Las categorías de información a las que tendrá acceso.
• Las finalidades permitidas.
• La prohibición de compartir archivos sin autorización.
• Las reglas para utilizar dispositivos personales.
• La obligación de proteger credenciales.
• El procedimiento para reportar incidentes.
• La devolución de documentos y equipos.
• Las obligaciones que continuarán después de la salida.

Cuando la información sea especialmente sensible, el contrato puede complementarse con un acuerdo separado.

La obligación debe relacionarse con el puesto. Una persona de ventas, una encargada de nómina y un desarrollador no tienen acceso a la misma información ni representan los mismos riesgos.

Antes de elegir el documento aplicable, conviene revisar la diferencia entre contrato laboral y prestación de servicios.

6. Protege la información compartida con proveedores

La información no sale únicamente mediante trabajadores.

También puede compartirse con:

• Contadores.
• Abogados.
• Agencias de publicidad.
• Desarrolladores.
• Servicios de nómina.
• Plataformas digitales.
• Empresas de almacenamiento.
• Consultores.
• Proveedores de mantenimiento.
• Socios comerciales.

Antes de entregar información, el contrato de servicios debe definir:

• La finalidad de la entrega.
• Los archivos que podrán utilizarse.
• Las personas autorizadas.
• Las medidas de seguridad.
• Las reglas para subcontratar.
• La prohibición de reutilizar la información.
• El procedimiento ante una vulneración.
• La devolución o eliminación al terminar.

Dar acceso completo a un proveedor para que “revise unas cosas” no es una finalidad particularmente precisa.

7. Distingue la información empresarial de los datos personales

No toda información confidencial es un secreto industrial. Una base de datos puede contener información comercial de valor y, al mismo tiempo, datos personales de clientes o trabajadores.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga a establecer medidas administrativas, técnicas y físicas para proteger los datos contra daño, pérdida, alteración, destrucción, uso o acceso no autorizado.

También exige controles para que las personas que intervienen en su tratamiento mantengan la confidencialidad, incluso después de terminar su relación con la empresa.

Para proteger información confidencial que contenga datos personales, la empresa debe revisar:

• Qué datos recopila.
• Para qué los utiliza.
• Quién tiene acceso.
• Cuánto tiempo los conserva.
• Con quién los comparte.
• Cómo atiende los derechos correspondientes.
• Qué hará ante una vulneración.

Consulta la guía sobre el aviso de privacidad para trabajadores.

8. Regula el uso de equipos y dispositivos personales

La empresa debe establecer reglas claras para el uso de:

• Computadoras.
• Teléfonos.
• Memorias externas.
• Servicios de almacenamiento.
• Correos personales.
• Aplicaciones de mensajería.
• Impresoras.
• Dispositivos personales.

La política debe indicar si la información puede descargarse, copiarse, imprimirse o almacenarse fuera de los sistemas empresariales.

Cuando se entreguen computadoras, celulares, discos u otras herramientas, conviene documentar su identificación, estado, accesorios y devolución mediante una carta responsiva de equipo de trabajo.

La responsiva no sustituye las políticas de seguridad ni autoriza descuentos salariales automáticos por cualquier pérdida o daño.

9. Controla copias, descargas e impresiones

Una empresa puede restringir correctamente el acceso a una carpeta y aun así perder el control cuando la información es descargada, copiada o enviada fuera del sistema.

Para proteger información confidencial pueden implementarse medidas como:

• Restricciones de descarga.
• Marcas de identificación.
• Registros de actividad.
• Permisos temporales.
• Bloqueo de dispositivos externos.
• Limitaciones de impresión.
• Caducidad de enlaces compartidos.
• Cifrado de archivos.
• Controles para envíos externos.

Las medidas deben ser proporcionales al valor de la información y a la capacidad operativa de la empresa.

10. Capacita al personal

La seguridad no depende únicamente de programas, contraseñas o contratos.

Las personas deben conocer:

• Qué información es confidencial.
• Cómo clasificarla.
• Con quién puede compartirse.
• Qué medios están autorizados.
• Cómo reconocer correos fraudulentos.
• Qué hacer si envían un archivo a la persona equivocada.
• Cómo reportar la pérdida de un dispositivo.
• Qué prácticas están prohibidas.

La capacitación debe documentarse mediante listas, constancias o registros digitales.

No sirve entregar una política de cuarenta páginas durante el ingreso y asumir que nadie volverá a cometer un error durante los siguientes diez años.

11. Establece un procedimiento de salida del personal

La terminación de una relación es uno de los momentos más importantes para proteger información confidencial.

Antes o al momento de la salida conviene:

• Desactivar cuentas.
• Cambiar credenciales compartidas.
• Retirar accesos físicos.
• Recuperar equipos.
• Revisar dispositivos asignados.
• Solicitar devolución de documentos.
• Cancelar sesiones activas.
• Revocar permisos en plataformas.
• Recordar las obligaciones de confidencialidad.
• Documentar la devolución o eliminación de archivos.
• Conservar evidencia del cierre.

Las cuentas no deberían permanecer activas durante semanas “por si se necesita algo”. Si se requiere recuperar información, la empresa debe hacerlo mediante un procedimiento controlado.

Cuando concluye una relación también deben documentarse los pagos y la causa de salida. Consulta la diferencia entre finiquito y liquidación laboral.

12. Prepara un procedimiento para incidentes

Una filtración puede producirse por:

• Envío de un correo a una persona equivocada.
• Robo de un dispositivo.
• Pérdida de documentos.
• Acceso no autorizado.
• Descarga masiva.
• Cuenta comprometida.
• Error de configuración.
• Divulgación intencional.
• Ataque informático.

El procedimiento debe indicar:

• A quién debe reportarse.
• Cómo preservar evidencias.
• Cómo contener el acceso.
• Qué contraseñas o permisos deben cambiarse.
• Qué personas deben intervenir.
• Cómo analizar la información afectada.
• Si existen obligaciones de notificación.
• Cómo documentar las medidas tomadas.

Cuando la vulneración involucre datos personales y afecte significativamente los derechos patrimoniales o morales de las personas titulares, la legislación establece una obligación de informarles de forma inmediata para que puedan proteger sus derechos.

¿Qué debe contener un convenio de confidencialidad?

Identificación de las partes

Debe señalar quién entrega la información y quién la recibe.

Cuando intervenga una sociedad, debe utilizarse su denominación correcta y verificarse que la persona que firme cuente con facultades suficientes.

Finalidad

Debe explicar por qué se compartirá la información.

Por ejemplo:

• Prestar un servicio.
• Evaluar una inversión.
• Desarrollar software.
• Participar en una contratación.
• Analizar una alianza.
• Ejecutar funciones laborales.
• Preparar una propuesta.

Definición de la información protegida

Puede comprender:

• Información técnica.
• Información comercial.
• Datos financieros.
• Bases de datos.
• Procesos internos.
• Diseños.
• Código fuente.
• Contratos.
• Credenciales.
• Información verbal identificada posteriormente.
• Documentos marcados como confidenciales.

Usos permitidos

Debe indicar si la persona puede:

• Consultar la información.
• Analizarla.
• Reproducirla.
• Utilizarla dentro de un proyecto.
• Compartirla con personal autorizado.

Conductas prohibidas

Puede prohibirse:

• Divulgar.
• Vender.
• Copiar sin autorización.
• Usar para beneficio personal.
• Entregar a competidores.
• Descargar en dispositivos no autorizados.
• Utilizar fuera de la finalidad acordada.
• Intentar obtener información adicional sin permiso.

Personas autorizadas

Debe establecer si la información podrá compartirse con empleados, asesores, afiliadas o subcontratistas.

Cuando se permita, esas personas también deben quedar sujetas a obligaciones equivalentes.

Excepciones

Normalmente se excluye la información que:

• Era conocida legítimamente.
• Era pública.
• Fue desarrollada de manera independiente.
• Fue obtenida legalmente de otra fuente.
• Debe entregarse por orden de autoridad.

Medidas de seguridad

El convenio puede establecer controles mínimos sobre almacenamiento, transmisión, copias, contraseñas, accesos, dispositivos y reportes de incidentes.

Devolución o eliminación

Debe señalar qué ocurrirá cuando termine la relación o la información deje de ser necesaria.

Puede solicitarse:

• Devolver documentos.
• Eliminar archivos.
• Destruir copias.
• Entregar equipos.
• Confirmar por escrito la eliminación.

Vigencia

Debe distinguirse entre:

• La duración de la relación.
• El periodo en que puede utilizarse la información.
• El tiempo que continuará la obligación de confidencialidad.

No toda información conserva su valor de manera indefinida. Una estrategia de lanzamiento puede hacerse pública en semanas, mientras que una fórmula o método puede permanecer reservado durante años.

Consecuencias del incumplimiento

El convenio puede establecer responsabilidades y acciones aplicables conforme a la legislación.

No conviene incluir cantidades desproporcionadas, sanciones improvisadas o descuentos laborales automáticos sin analizar su procedencia.

Cómo acreditar que la empresa protegía la información

Ante una controversia, puede resultar útil conservar:

• El inventario de información.
• La clasificación interna.
• Contratos y convenios firmados.
• Constancias de capacitación.
• Políticas comunicadas.
• Registros de acceso.
• Historial de descargas.
• Correos de autorización.
• Bitácoras de sistemas.
• Constancias de entrega de equipos.
• Documentos de devolución.
• Registros de cancelación de cuentas.
• Reportes de incidentes.
• Evidencia de las medidas de contención.

Cuando existan hechos atribuibles a una persona trabajadora, la empresa debe investigarlos y documentarlos objetivamente. Consulta cómo elaborar una acta administrativa laboral.

El acta no sustituye la evidencia ni convierte automáticamente la divulgación en una causa válida de rescisión.

Errores frecuentes al proteger información confidencial

• Considerar confidencial absolutamente todo.
• Confiar únicamente en una cláusula contractual.
• No advertir el carácter reservado de la información.
• Utilizar el mismo convenio para todos los puestos.
• Compartir cuentas y contraseñas.
• Dar acceso completo a proveedores.
• Permitir descargas sin control.
• No proteger dispositivos.
• Utilizar correos personales.
• No revisar permisos periódicamente.
• Mantener activas cuentas de exempleados.
• No regular el trabajo remoto.
• Confundir datos personales con secretos industriales.
• No contar con un procedimiento de incidentes.
• No conservar registros.
• Aplicar sanciones sin investigar.
• Solicitar firmas en documentos genéricos o incompletos.

Muchos de estos riesgos pueden reducirse al contar con los documentos laborales necesarios para estructurar una empresa.

Lista para revisar la protección de tu empresa

Verifica si actualmente cuentas con:

• Inventario de información.
• Clasificación por nivel de sensibilidad.
• Identificación de secretos industriales.
• Lista de personas autorizadas.
• Cuentas individuales.
• Permisos por área y puesto.
• Autenticación en dos pasos.
• Contratos laborales con obligaciones de confidencialidad.
• Convenios para puestos sensibles.
• Convenios con proveedores.
• Avisos de privacidad.
• Medidas físicas de seguridad.
• Medidas tecnológicas.
• Copias de respaldo.
• Capacitación documentada.
• Procedimiento para reportar incidentes.
• Proceso de baja de cuentas.
• Procedimiento para recuperar equipos.
• Registro de accesos y descargas.
• Revisión periódica de permisos.

No es necesario transformar toda la empresa en una fortaleza digital durante una tarde. Conviene comenzar por la información cuya divulgación produciría el mayor daño.

Preguntas frecuentes sobre información confidencial

¿Toda la información interna es un secreto industrial?

No. Para considerarse secreto industrial debe tener aplicación comercial o industrial, proporcionar una ventaja competitiva o económica y estar sometida a medidas suficientes de confidencialidad y acceso restringido.

¿Es obligatorio firmar un acuerdo de confidencialidad?

No existe una obligación general de utilizar un documento separado en todas las relaciones. Sin embargo, puede ser recomendable cuando una persona tendrá acceso a información relevante, porque permite definir con precisión las obligaciones y usos autorizados.

¿La confidencialidad continúa después de terminar la relación laboral?

Puede continuar respecto de información que conserve su carácter confidencial, especialmente cuando el contrato o convenio establece obligaciones posteriores y la información no se ha vuelto pública.

¿Puede prohibirse que una persona utilice toda su experiencia profesional?

Un acuerdo debe proteger información específica, no impedir de manera absoluta que una persona utilice conocimientos generales, habilidades, experiencia o información legítimamente pública.

¿Una lista de clientes puede ser confidencial?

Puede serlo cuando contiene información comercial no pública, tiene valor para la empresa y está sometida a medidas reales de protección. Una lista obtenida directamente de fuentes públicas requiere un análisis diferente.

¿Poner la palabra “confidencial” en un archivo es suficiente?

No. La marca puede ayudar a comunicar el carácter reservado, pero debe acompañarse de controles, permisos, contratos y medidas de seguridad.

¿Puede una empresa revisar los archivos de sus equipos?

La revisión debe relacionarse con una finalidad legítima, respetar las reglas informadas, considerar la privacidad de las personas y limitarse a los equipos, cuentas e información empresarial correspondiente.

¿Qué debe hacerse cuando se envía un archivo a la persona equivocada?

Debe reportarse inmediatamente, solicitar su eliminación, revisar el contenido afectado, cambiar accesos cuando sea necesario, preservar evidencias y analizar si existe una obligación de notificación.

¿Un proveedor debe firmar el mismo convenio que un trabajador?

No necesariamente. El documento debe adaptarse al tipo de relación, información compartida, finalidad, duración, acceso permitido y posibilidad de subcontratación.

¿Una filtración justifica automáticamente un despido?

No. Deben analizarse los hechos, la intención, la información afectada, las reglas comunicadas, la evidencia, el perjuicio y la causa legal aplicable. Una decisión de terminación requiere una revisión específica.

Protege la información que mantiene funcionando tu negocio

Proteger información confidencial requiere documentos claros, accesos restringidos, medidas de seguridad, capacitación y procesos que continúen funcionando después de firmar un contrato.

La empresa debe identificar qué información tiene valor, definir quién puede utilizarla, controlar cómo se comparte y actuar rápidamente cuando ocurre un incidente.

El Paquete Blindaje Legal de Colabora Legal incluye 25 documentos editables y un manual de uso para apoyar la contratación, operación y protección documental de las empresas.

Entre ellos se encuentra un acuerdo de confidencialidad laboral, contratos, cartas responsivas y documentos para organizar las relaciones con trabajadores y prestadores de servicios.

Conoce el Paquete Blindaje Legal

Para consultar las disposiciones vigentes, revisa la Ley Federal de Protección a la Propiedad Industrial, la Ley Federal del Trabajo y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Aviso: Este contenido es informativo y no sustituye una asesoría jurídica personalizada. La protección de información, los convenios, las medidas disciplinarias y las acciones frente a una divulgación deben analizarse conforme a los hechos, documentos y riesgos particulares de cada empresa.