Abogado Espionaje Industrial: Secretos de Empresa

El espionaje industrial —o delito de descubrimiento y revelación de secretos de empresa— se tipifica en los artículos 278 a 280 del Código Penal. Castiga a quien, para descubrir un secreto de empresa, se apodera de datos, documentos o soportes informáticos, o emplea medios técnicos de escucha, transmisión o grabación. Como abogados penalistas especializados en derecho penal económico, defendemos tanto a empresas víctimas como a profesionales acusados.

Le han denunciado por llevarse información de su empresa: qué pasa ahora

El procedimiento por espionaje industrial se tramita habitualmente como procedimiento abreviado. Tras la denuncia o querella se abre la instrucción, en la que el juzgado practica las diligencias necesarias —peritajes informáticos, requerimientos a la empresa, declaraciones— para determinar si existen indicios bastantes. Concluida la instrucción se formula, en su caso, escrito de acusación, y el enjuiciamiento corresponde según la pena al Juzgado de lo Penal cuando el límite punitivo no excede de cinco años, o a la Audiencia Provincial cuando lo supera. Estos delitos no son competencia de la Audiencia Nacional, lo que conviene aclarar por la confusión que a veces genera el carácter sensible de la información implicada.

La prescripción se rige por el Art. 131 CP, que tras la reforma operada por la Ley Orgánica 5/2010 ya no contempla el tramo de tres años. Para las penas del espionaje industrial, cuyo máximo no supera los cinco años de prisión, el plazo de prescripción del delito es de cinco años; si por un concurso con otros delitos de pena más grave —por ejemplo, el descubrimiento de secretos del Art. 197 en sus modalidades agravadas— el supuesto alcanzara una pena máxima superior a cinco años y hasta diez, el plazo sería de diez años. El cómputo arranca desde la consumación, y la defensa verifica con precisión las fechas y los actos con virtualidad interruptora, porque una prescripción correctamente apreciada extingue la responsabilidad penal.

En el plano de las soluciones negociadas, la conformidad permite acordar con la acusación una pena ajustada que evite el juicio oral, especialmente cuando concurren atenuantes como la confesión o la reparación del daño. La reparación voluntaria del perjuicio causado a la empresa —devolución de soportes, cese en el uso de la información, indemnización— puede operar como atenuante y, en su caso, facilitar tanto la conformidad como la suspensión de la pena. Cada estrategia se valora atendiendo a la fortaleza de la prueba de cargo, a la licitud de su obtención y a la situación personal de quien es investigado, para orientar la defensa hacia el resultado más favorable posible.

Cómo defendemos una acusación de espionaje industrial

• No es secreto de empresa: La información no cumple los requisitos legales: no era secreta (ya era pública o fácilmente accesible), no tenía valor comercial por su secreto, o la empresa no implementó medidas razonables de protección.
• Desarrollo propio: La información que el acusado utiliza la desarrolló él mismo durante su experiencia profesional. El know-how personal no es secreto de empresa.
• Autorización implícita: El acusado tenía acceso legítimo a la información y su uso posterior estaba dentro de los usos habituales del sector.
• Whistleblowing: La revelación de secretos estaba justificada por la denuncia de irregularidades graves (fraude, riesgos para la salud pública, delitos medioambientales).
• Prueba digital ilícita: Los logs de acceso, los registros de USBs o las evidencias forenses digitales se obtuvieron vulnerando derechos del trabajador.

Qué Tiene que Probar la Acusación (Arts. 278-280 CP)

La protección penal de los secretos empresariales se articula en tres artículos:

• Art. 278 CP (Descubrimiento): Apoderamiento por cualquier medio de datos, documentos o soportes informáticos que contengan secretos de empresa. Pena: prisión 2-4 años y multa 12-24 meses.
• Art. 279 CP (Difusión por insider): Revelación de secretos de empresa por quien tiene obligación legal o contractual de guardar reserva (trabajadores, directivos, socios). Pena: prisión 2-4 años y multa 12-24 meses, inhabilitación 2-5 años.
• Art. 280 CP (Receptor): Quien, sabiendo el origen ilícito, utiliza los secretos revelados en provecho propio o de tercero. Pena: prisión 1-3 años y multa 12-24 meses.

Desde 2019, la Ley 1/2019 de Secretos Empresariales complementa la protección penal con una vía civil que permite solicitar medidas cautelares, cesación e indemnización.

Conductas Típicas de Espionaje Industrial

• Robo de bases de datos de clientes: El empleado que se marcha a la competencia copiando la cartera de clientes, precios y condiciones comerciales.
• Sustracción de know-how: Copia de fórmulas, procesos de fabricación, algoritmos, diseños técnicos o recetas industriales.
• Hackeo de sistemas: Acceso no autorizado a servidores, cloud, emails corporativos o sistemas ERP para extraer información competitiva.
• Ingeniería social: Obtención de información confidencial mediante engaño a empleados (phishing dirigido a ejecutivos, pretexting).
• Empleados infieles: Trabajadores que, antes de abandonar la empresa, copian información estratégica en dispositivos USB, cuenta personales de cloud o emails privados.
• Grabación en instalaciones: Uso de micrófonos, cámaras ocultas o dispositivos de transmisión en oficinas, laboratorios o salas de reuniones.

Penas por Espionaje Industrial

• Descubrimiento (Art. 278): Prisión 2-4 años + multa 12-24 meses.
• Difusión por insider (Art. 279): Prisión 2-4 años + multa + inhabilitación 2-5 años.
• Uso de secretos (Art. 280): Prisión 1-3 años + multa 12-24 meses.
• Agravante: Si los hechos afectan a intereses de la defensa nacional o intereses generales de la economía: prisión en mitad superior.

Requisito de Procedibilidad: Denuncia del Agraviado (Art. 287 CP)

Los delitos relativos a los secretos de empresa son semipúblicos, pero el precepto que lo establece no es el artículo 201 CP —reservado al descubrimiento y revelación de secretos de los particulares— sino el artículo 287.1 CP, que exige denuncia de la persona agraviada o de sus representantes legales para proceder por los delitos de la sección en la que se ubican los artículos 278 a 280. Sin esa denuncia el Ministerio Fiscal no puede sostener la acusación. Cuando la persona agraviada sea menor de edad, persona con discapacidad necesitada de especial protección o una persona desvalida, también podrá denunciar el Ministerio Fiscal.

Tratándose de una empresa, la denuncia debe presentarla quien ostente su representación orgánica, lo que obliga a verificar desde el inicio la legitimación de quien acude al juzgado y la correcta acreditación de poderes. Es uno de los primeros extremos que la defensa examina, porque su ausencia o su defecto puede impedir la válida apertura del proceso.

Existe una excepción relevante. El artículo 287.2 CP dispone que no será precisa la denuncia cuando la comisión del delito afecte a los intereses generales o a una pluralidad de personas. En el ámbito empresarial esta vía suele invocarse cuando la sustracción de secretos compromete a múltiples afectados, datos de terceros o intereses que trascienden a la propia compañía. Determinar si concurre o no esa excepción es una cuestión jurídica de primer orden, pues de ella depende que el proceso pueda subsistir cuando falta la denuncia formal del titular del secreto.

Conviene deshacer aquí un equívoco frecuente: a diferencia de lo que ocurre en los delitos contra la intimidad, el artículo 287 no contempla el perdón del ofendido como causa de extinción de la responsabilidad penal. El artículo 130.1.5.º CP solo atribuye ese efecto al perdón cuando se trata de delitos leves perseguibles a instancia de la persona agraviada o cuando la ley así lo prevea, y no es el caso de los artículos 278 a 280. Un acuerdo con la empresa denunciante puede tener, eso sí, un peso decisivo por otras vías: la reparación del daño como atenuante, la retirada de la acusación particular o una conformidad negociada. Lo que no produce es la extinción automática de la acción penal.

Prueba Digital y Forense: Logs de Acceso, Cadena de Custodia y Licitud

En el espionaje industrial la prueba suele ser digital: registros de acceso a sistemas, descargas masivas a dispositivos externos, reenvíos de correo a cuentas particulares, conexiones a la nube o trazas de copia de archivos confidenciales. La defensa analiza con rigor la autenticidad e integridad de ese material, porque un volcado de logs o una imagen forense solo tienen valor probatorio si se ha preservado la cadena de custodia. Cualquier ruptura, manipulación posterior o falta de constancia de quién accedió a la evidencia, cuándo y con qué método, debilita su fuerza incriminatoria y puede ser combatida mediante prueba pericial informática de parte.

Junto a la integridad técnica se sitúa la licitud constitucional de la obtención de la prueba. Las empresas que descubren una fuga de secretos a menudo monitorizan dispositivos, correos o sistemas de sus empleados. Esa monitorización debe respetar la protección de datos, los derechos digitales reconocidos en el ámbito laboral y, según los casos, el secreto de las comunicaciones del Art. 18 de la Constitución. Una intervención de comunicaciones o un acceso a contenidos personales realizado sin la debida cobertura, sin información previa o sin proporcionalidad, puede determinar la nulidad de la prueba conforme al Art. 11 de la Ley Orgánica del Poder Judicial.

La consecuencia de la ilicitud es de gran calado: la prueba obtenida con vulneración de derechos fundamentales no surte efecto, y la doctrina de la conexión de antijuridicidad puede arrastrar a otras pruebas derivadas de aquella. Por ello, la defensa estudia el origen de cada elemento incriminatorio, el modo en que la empresa lo recabó y la existencia de autorización judicial cuando era exigible. Frente a registros de sistemas y peritajes presentados por la acusación, la pericia contradictoria y el examen de la trazabilidad del material permiten cuestionar tanto la autenticidad como la admisibilidad de la evidencia.

Concursos, Imágenes Cedidas sin Consentimiento (Art. 197.7) y Frontera Civil-Administrativa

El espionaje industrial rara vez se presenta aislado. Es frecuente su concurso con el descubrimiento y revelación de secretos del Art. 197 CP cuando, además del secreto de empresa, se accede a datos personales o comunicaciones de terceros, y con la administración desleal del Art. 252 CP cuando quien actúa abusa de las facultades de gestión patrimonial que la empresa le había confiado. Calificar correctamente estos concursos es decisivo, porque de ellos depende la pena finalmente aplicable y la posible apreciación de un concurso de normas o de delitos, materia en la que la defensa puede reducir de forma sustancial el reproche penal.

Un supuesto particular surge cuando en el material sustraído figuran imágenes o grabaciones obtenidas inicialmente con consentimiento y después difundidas sin él. El Art. 197.7 CP sanciona precisamente la divulgación, sin autorización de la persona afectada, de imágenes o grabaciones que se obtuvieron con su anuencia en un ámbito personal, cuando la difusión menoscaba gravemente su intimidad. El elemento clave es el consentimiento: existió para la captación, pero no para la difusión posterior, y ese desajuste es el núcleo del tipo. La defensa examina el alcance real del consentimiento prestado y si la conducta encaja en este precepto o queda extramuros de él.

Por último, conviene delimitar la frontera con las vías no penales. La Ley 1/2019 de Secretos Empresariales ofrece una protección civil del secreto, y la Ley 3/1991 de Competencia Desleal reprime la explotación de información reservada y la captación irregular de la clientela. Muchos conflictos sobre know-how, listas de clientes o proyectos se resuelven mejor por la vía civil o mercantil, y la protección de datos cuenta además con su propio cauce administrativo ante la autoridad de control. Sostener que el hecho carece de la gravedad y dolo que exige el tipo penal, y que debe ventilarse en sede civil, administrativa o de competencia desleal, es una línea defensiva de notable solidez.

El obligado a guardar reserva: el artículo 279 CP y los pactos de confidencialidad

El Código Penal separa dos conductas que en la práctica se confunden. El artículo 278 CP castiga el apoderamiento del secreto por quien no tenía acceso legítimo a él; el artículo 279 CP castiga algo distinto: la difusión, revelación o cesión de un secreto de empresa llevada a cabo por quien tenía legal o contractualmente obligación de guardar reserva, con prisión de dos a cuatro años y multa de doce a veinticuatro meses. Y añade una regla que conviene invocar siempre que encaje: si el secreto se utilizara en provecho propio, las penas se impondrán en su mitad inferior.

El tipo del artículo 279 presupone, por tanto, un deber de reserva preexistente, y ahí se libra la defensa. Hay que examinar si ese deber existía realmente y con qué alcance: cláusula de confidencialidad firmada y su ámbito material y temporal, deberes derivados del cargo, protocolos internos efectivamente comunicados al trabajador. Conviene además no confundir el deber de reserva con el pacto de no competencia postcontractual, que es una figura laboral con requisitos y compensación propios: incumplirlo puede generar consecuencias contractuales, pero no convierte por sí solo en delito el uso de la experiencia y los conocimientos profesionales adquiridos, que el trabajador se lleva legítimamente consigo. Separar el saber hacer personal del secreto empresarial ajeno es, en la mayoría de estos procedimientos, la línea defensiva principal.

El tercero que aprovecha el secreto ajeno: el artículo 280 CP

La empresa competidora que recibe una información sustraída, el nuevo empleador que se beneficia de la documentación que trae un fichaje o el intermediario que la transmite no quedan fuera del Código Penal, pero responden por un precepto más benigno. El artículo 280 CP castiga a quien, con conocimiento del origen ilícito del secreto y sin haber tomado parte en su descubrimiento, realiza alguna de las conductas de los artículos 278 y 279, con prisión de uno a tres años y multa de doce a veinticuatro meses.

Los dos elementos que el tipo exige son también los dos frentes de la defensa. El primero es el conocimiento del origen ilícito: no basta con recibir información valiosa, ni con la sospecha genérica de que un candidato pueda traer documentación de su anterior empresa; hace falta acreditar que se sabía que procedía de un apoderamiento o de una revelación contraria al deber de reserva. El segundo es la ausencia de participación en el descubrimiento, que delimita la frontera con los artículos 278 y 279: si se acredita que el tercero encargó, dirigió o financió la obtención, la calificación se desplaza a esos preceptos, mucho más graves. Documentar los controles de incorporación de nuevos empleados —la advertencia expresa de no aportar material ajeno, la trazabilidad de lo que se sube a los sistemas de la empresa— es la forma más eficaz de sostener que no hubo ese conocimiento.

La empresa que recibe el secreto: responsabilidad penal de la persona jurídica (art. 288 CP)

La investigación no se detiene en las personas físicas. El artículo 288 CP prevé que, cuando conforme al artículo 31 bis una persona jurídica resulte responsable de los delitos de este capítulo —entre ellos expresamente los artículos 278, 279 y 280—, se le imponga multa de dos a cinco años, o del triple al quíntuple del beneficio obtenido o que se hubiera podido obtener si la cantidad resultante fuese más elevada, cuando el delito de la persona física tenga prevista pena de más de dos años de privación de libertad; y multa de seis meses a dos años, o del tanto al duplo del beneficio, en el resto de los casos. Atendidas las reglas del artículo 66 bis, los tribunales pueden imponer además las penas de las letras b) a g) del artículo 33.7: suspensión de actividades, clausura de locales, prohibición de actividades, inhabilitación para obtener subvenciones o contratar con el sector público e intervención judicial.

El mismo artículo 288 dispone la publicación de la sentencia en los periódicos oficiales y permite al juez, si lo solicita el perjudicado, ordenar su reproducción total o parcial en cualquier otro medio informativo a costa del condenado: para una compañía, ese pronunciamiento suele pesar más que la propia multa. La defensa de la persona jurídica es autónoma y con frecuencia diverge de la del directivo o el empleado investigado, de modo que conviene separarlas desde el primer momento y centrar el esfuerzo en acreditar un modelo de organización y gestión idóneo y eficazmente implantado: control de accesos, política de dispositivos, cláusulas de incorporación, canal de denuncias obligatorio y auditoría de la información que entra con cada nuevo fichaje.