Acuerdo de Confidencialidad para Empleados de Terceros — España

El Acuerdo de Confidencialidad para Empleados de Terceros es, en España, el contrato escrito regulado por Código Civil art. 1255; Ley 1/2019 de Secretos Empresariales art. 3–5, que fija por escrito los derechos y obligaciones recíprocos de las partes y resulta exigible ante los tribunales civiles.

La distinción entre este acuerdo y un NDA estándar entre empresas es determinante en el derecho español. Conforme al Artículo 1257 del Código Civil, los contratos solo obligan a las partes contratantes (relatividad contractual): un NDA suscrito entre la empresa A y el proveedor B no vincula automáticamente a los empleados individuales del proveedor. Si bien el Artículo 5 de la Ley 1/2019 LSE impone responsabilidad directa a las personas físicas que obtengan, utilicen o divulguen secretos empresariales en el ejercicio de sus funciones laborales, un NDA individual escrito con cada empleado de tercero ofrece obligaciones más claras y ejecutables, permitiendo la acción legal directa contra el individuo conforme a los artículos 1101 y 1106 del Código Civil sin necesidad de levantar el velo societario del proveedor.

Entre los empleados de terceros que habitualmente necesitan este acuerdo en España destacan: los contratistas TI (desarrolladores de software, administradores de sistemas) que implementan o mantienen los sistemas de información de la empresa divulgadora; los auditores (auditores de cuentas) y asesores fiscales que revisan los registros financieros confidenciales para el cumplimiento ante la Agencia Tributaria (AEAT); los consultores de gestión que asesoran sobre restructuraciones o estrategia; los encargados del tratamiento conforme al Artículo 28 RGPD cuyo personal individual accede a datos personales almacenados por la empresa divulgadora; y los trabajadores de Empresas de Trabajo Temporal (ETT) cedidos conforme a la Ley 14/1994 en las instalaciones de la empresa divulgadora que acceden a sistemas de negocio confidenciales.

El marco del RGPD añade una dimensión específica a los NDA para empleados de terceros en España: cuando el empleado de tercero accede a datos personales de los clientes, empleados u otros interesados de la empresa divulgadora, el individuo debe quedar vinculado por las obligaciones de tratamiento de datos del Artículo 29 RGPD —tratar solo conforme a las instrucciones documentadas del responsable y mantener la confidencialidad de los datos personales—. La Agencia Española de Protección de Datos (AEPD) ha confirmado que las cadenas de subencargos del tratamiento deben vincular a cada encargado individual a obligaciones equivalentes de confidencialidad y seguridad de datos conforme al Artículo 28.4 RGPD.

El Juzgado de lo Mercantil ostenta la jurisdicción sobre las reclamaciones por apropiación indebida de secretos empresariales conforme al Artículo 13 de la Ley 1/2019 LSE. Las acciones de daños civiles pueden ejercitarse contra el empleado de tercero directamente conforme a los artículos 1101 y 1902 del Código Civil (responsabilidad extracontractual), incluso sin relación contractual directa entre la empresa divulgadora y el individuo, si este ha actuado ilícitamente conforme a los artículos 3 a 5 de la LSE.

El Acuerdo de Confidencialidad con Empleados y Terceros en España es necesario en los siguientes supuestos.

Incorporación de nuevos empleados: cualquier empresa que comparta información confidencial — datos de clientes, know-how técnico, estrategia comercial, código fuente o bases de datos — con trabajadores debe formalizar el acuerdo de confidencialidad en el momento de la incorporación o, como muy tarde, antes del acceso a la información protegida. El Artículo 5.a) del Estatuto de los Trabajadores (RDL 2/2015) impone al trabajador el deber básico de cumplir las obligaciones concretas de su puesto, pero el NDA contractual refuerza el deber con consecuencias civiles y penales específicas.

Negociaciones comerciales y due diligence: cuando dos empresas negocian una fusión, adquisición, joint venture o acuerdo de distribución, el intercambio de información financiera, técnica y comercial sensible antes de la firma del acuerdo definitivo requiere un NDA previo. Sin él, la información divulgada podría utilizarse por la contraparte para competir o para ventaja propia, sin consecuencias jurídicas claras más allá de la responsabilidad extracontractual del Artículo 1902 del Código Civil.

Relaciones con proveedores y subcontratistas: cuando un proveedor, consultor externo o subcontratista accede a sistemas informáticos, instalaciones, bases de datos de clientes o procesos productivos de la empresa contratante, el NDA delimita el alcance de la información compartida y prohíbe su uso para fines distintos de la prestación del servicio contratado, complementando las obligaciones del encargado del tratamiento bajo el Artículo 28 RGPD.

Protección de secretos empresariales: tras la transposición de la Directiva (UE) 2016/943 mediante la Ley 1/2019, de 20 de febrero, de Secretos Empresariales (LSE), la protección legal del secreto empresarial exige que su titular haya adoptado medidas razonables para mantener la reserva de la información. El NDA es la medida contractual por excelencia que acredita esta diligencia ante los Juzgados de lo Mercantil en caso de litigio por apropiación indebida de secretos empresariales.

Proyectos de I+D y propiedad intelectual: en proyectos de investigación, desarrollo e innovación (I+D+i) con colaboradores externos, universidades o centros tecnológicos, el NDA define qué información técnica es confidencial y establece reglas de propiedad intelectual sobre los resultados, complementando los contratos de licencia de patentes sujetos a la Ley 24/2015 de Patentes.

Cumplimiento del RGPD y la LOPDGDD: cuando la información confidencial incluye datos personales de clientes, empleados o terceros, el NDA debe coordinarse con el contrato de encargo del tratamiento (Artículo 28 RGPD) y las medidas de seguridad exigidas por la Agencia Española de Protección de Datos (AEPD). Las infracciones graves del RGPD por divulgación no autorizada de datos personales pueden acarrear multas de hasta 20 millones de euros o el 4% del volumen de negocio global anual.

Periodos de postempleo: las cláusulas de confidencialidad post-contractual deben coordinarse con los pactos de no competencia postcontractual del Artículo 21 ET, que exigen compensación económica adecuada para ser válidos. Un NDA sin compensación que incluya prohibiciones de competencia encubiertas puede ser declarado nulo por los Juzgados de lo Social.

El Acuerdo de Confidencialidad para Empleados de Terceros España, conforme al Artículo 1255 del Código Civil y la Ley 1/2019 de Secretos Empresariales, debe incluir los siguientes elementos esenciales para vincular directamente a la persona física de la tercera organización.

Identificación de las Partes: Nombre completo, DNI o NIE (o número de pasaporte para no nacionales españoles), organización empleadora, cargo y dirección de contacto del firmante individual (empleado de tercero o contratista). Denominación social completa, NIF y domicilio social de la empresa divulgadora. El acuerdo debe hacer referencia al contrato comercial subyacente entre la empresa divulgadora y la organización empleadora del individuo.

Alcance del Acceso: Descripción precisa de los sistemas, instalaciones, proyectos o categorías de información específicos a los que el individuo tendrá acceso —por ejemplo, acceso a la base de datos de clientes, sistemas de información financiera, documentación de I+D o archivos de datos personales—. La precisión del alcance del acceso limita la responsabilidad del individuo a la información efectivamente accesible e impide que el acuerdo sea impugnado por excesivamente amplio.

Definición de Información Confidencial: Definición exhaustiva de la información confidencial conforme a los criterios del Artículo 1 de la Ley 1/2019 LSE —información no conocida públicamente, con valor comercial y mantenida en secreto— más las categorías específicas del negocio: secretos empresariales, datos de clientes, condiciones de proveedores, especificaciones técnicas, código de software, proyecciones financieras y cualquier información marcada como confidencial por la empresa divulgadora.

Obligaciones del Individuo: La persona física debe: (1) mantener estricta confidencialidad durante y después del período de prestación; (2) acceder a la información confidencial solo en la medida necesaria para el proyecto o servicio asignado; (3) no copiar, transmitir, descargar ni almacenar información confidencial en dispositivos personales o sistemas no autorizados; (4) notificar inmediatamente a la empresa divulgadora cualquier brecha de seguridad sospechada, acceso no autorizado o pérdida de materiales confidenciales; y (5) devolver o destruir de manera certificada todos los materiales confidenciales al concluir el proyecto o la prestación.

Duración: La obligación de confidencialidad durante la prestación es absoluta. El plazo post-prestación —habitualmente de dos a tres años— debe constar expresamente. Para los secretos empresariales que cumplan los requisitos de la Ley 1/2019 LSE, la obligación del individuo de no divulgar se mantiene mientras la información conserve su carácter secreto, con independencia del plazo contractual.

Obligaciones de Protección de Datos: Cuando el individuo acceda a datos personales de los interesados de la empresa divulgadora —clientes, empleados u otros—, el acuerdo debe incluir las obligaciones del Artículo 29 RGPD: tratar solo conforme a las instrucciones documentadas de la empresa divulgadora, mantener la confidencialidad de los datos personales, aplicar las medidas técnicas y organizativas adecuadas conforme al Artículo 32 RGPD y notificar las brechas de datos personales al DPD de la empresa divulgadora en el plazo del Artículo 33 RGPD (72 horas desde el conocimiento).

Remedios: Remisión a los remedios civiles de los artículos 9 a 11 de la Ley 1/2019 LSE contra el individuo —medidas cautelares, indemnización de daños y perjuicios, comiso de materiales infractores— y responsabilidad civil conforme a los artículos 1101 y 1902 del Código Civil. También pueden aplicarse sanciones administrativas de la AEPD conforme al Artículo 83 RGPD por vulneraciones de protección de datos de hasta 20 millones de euros o el 4 % del volumen de negocios global anual.

Ley Aplicable y Jurisdicción: Derecho español como ley rectora y el Juzgado de lo Mercantil (para reclamaciones por secretos empresariales) o el Juzgado de Primera Instancia (para reclamaciones civiles generales) del domicilio social de la empresa divulgadora.

Forms-legal.com ofrece esta plantilla de Acuerdo de Confidencialidad para Empleados de Terceros España como complemento práctico a los contratos de servicios entre empresas. Se recomienda la revisión por un abogado español para confirmar que el acuerdo se adapta adecuadamente al alcance específico de acceso del individuo y a los requisitos sectoriales de protección de datos aplicables. La plataforma forms-legal.com ofrece esta plantilla adaptada a la legislación española vigente para facilitar la elaboración de este documento con todas las garantías legales.