NDA de confidencialidad en España: qué es, validez y claves legales

Qué es un NDA y para qué sirve

Un NDA de confidencialidad en España es un contrato por el que una o varias partes se obligan a no divulgar información sensible que han conocido en una negociación, una colaboración o un proyecto común. Sirve para dejar claro qué se puede compartir, con quién y durante cuánto tiempo.

En la práctica española, protege datos comerciales, financieros, técnicos y estratégicos: márgenes, listas de clientes, prototipos, código fuente, planes de expansión, patentes en preparación o documentación interna. También ayuda a ordenar el intercambio de información antes de firmar un contrato mayor, por ejemplo en una compraventa de negocio, un acuerdo de distribución o un desarrollo tecnológico en Madrid, Valencia o Barcelona.

Qué información suele proteger

Un buen NDA no debe quedarse en una fórmula vaga. Conviene concretar si cubre:

• secretos comerciales y know-how
• información financiera y contable
• estrategias de mercado y precios
• documentación técnica, planos o software
• datos de clientes, proveedores y empleados
• resultados de I+D, muestras y prototipos

Qué no hace

El NDA no convierte una idea en un derecho exclusivo por sí sola. Lo que protege es la confidencialidad de la información que se entrega y su uso fuera del perímetro pactado. Si alguien ya conocía ese dato, si era público o si lo obtuvo por una fuente legítima ajena al acuerdo, la cláusula no puede inventar una reserva donde no la había.

Un NDA ordena el uso de la información y da una base clara para exigir responsabilidad si se filtra sin permiso.

Tipos de NDA: unilateral, bilateral y multilateral

En España, la elección no depende solo del número de firmas. Importa quién revela qué, en qué momento y con qué finalidad. Un NDA mal encajado genera más ruido que protección.

NDA unilateral

Es el formato más sencillo. Una empresa, una universidad o un profesional entrega información sensible y la otra parte se obliga a no divulgarla ni usarla fuera del fin pactado. Encaja bien cuando una pyme de Sevilla contrata a un desarrollador externo para revisar un software o cuando un despacho comparte documentación reservada con un perito.

NDA bilateral

Aquí ambas partes se protegen a la vez. Es el modelo típico en negociaciones avanzadas entre dos empresas españolas que comparan cuentas, cartera de clientes o tecnología antes de cerrar una alianza. También aparece en acuerdos de colaboración con centros tecnológicos o en operaciones de compra de negocio.

NDA multilateral

Cuando intervienen tres o más partes, el acuerdo debe definir con precisión quién puede revelar qué a quién. En proyectos consorciados en España es clave fijar excepciones, uso interno de la información y responsabilidades cruzadas, porque una filtración de un firmante puede perjudicar a todos los demás.

Cuándo conviene firmarlo y cuándo no usarlo

Un NDA tiene sentido cuando de verdad vas a enseñar información sensible que, si se escapa, te puede perjudicar en España. No es un trámite vacío; tampoco un muro mágico para todo.

Cuándo sí

• En una negociación comercial con datos de precios, márgenes o clientes.
• Cuando vas a enseñar un prototipo, un diseño técnico o documentación interna.
• Si vas a externalizar desarrollo, marketing o soporte y el proveedor verá información crítica.
• En fases avanzadas con inversores, cuando ya existe un term sheet o una due diligence preliminar.
• En proyectos de I+D, transferencia tecnológica o colaboración universidad-empresa.

Cuándo no

• Para pedirlo en un pitch inicial a inversores: suele ser un error amateur y enfría la conversación.
• Para intentar proteger una idea en abstracto: en España, una idea sola no queda blindada por firmar un NDA.
• Cuando la información que vas a enseñar es genérica, pública o irrelevante.
• Si el acuerdo se usa como escudo para bloquear preguntas normales de mercado y no para proteger datos reales.

Si el riesgo es bajo, un NDA añade fricción sin aportar mucho. Si el intercambio es serio, ayuda a marcar reglas, a probar el incumplimiento y a negociar con más orden.

Cláusulas esenciales de un NDA válido en España

Un NDA útil en España no se sostiene con cuatro líneas genéricas. Tiene que decir quién firma, qué se protege, cómo se usa la información, cuánto dura la obligación y qué pasa si alguien la rompe.

Si el NDA incorpora datos personales o acceso a sistemas, conviene añadir obligaciones de seguridad, devolución o destrucción de copias y limitaciones de acceso interno. En una pyme de Bilbao no se redacta igual que en una operación tecnológica en Barcelona, pero la base debe ser la misma: claridad y prueba.

Penalización y resolución del contrato

1. Fija una penalización proporcional al daño previsible, no una cifra aleatoria que un juez pueda tumbar por exagerada.
2. Define qué cuenta como incumplimiento: revelar, usar, copiar, reenviar o dejar accesible la información a terceros.
3. Añade la posibilidad de resolución inmediata si la filtración rompe la confianza o hace inútil el acuerdo.
4. Señala la ley aplicable y el fuero: normalmente, Derecho español y juzgados de la provincia que interese pactar dentro de lo permitido.
5. Deja claro si la penalización sustituye o no a la reclamación de daños adicionales.

Validez jurídica y normativa aplicable en España

En España, el NDA encaja en la libertad de pacto del derecho privado, siempre que no contradiga la ley, la moral ni el orden público. El punto de partida lo dan los arts. 1091, 1255, 1258 y 1278 del Código Civil: lo pactado obliga, las partes pueden fijar cláusulas dentro de la ley, el contrato exige buena fe y no hace falta una forma especial salvo casos concretos.

La protección también se conecta con la art. 13 de la Ley 3/1991, de Competencia Desleal, útil cuando la difusión o el uso indebido de información reservada encaja en conductas desleales. Y si el NDA incluye datos personales, entra en juego el RGPD, en especial los arts. 5, 6 y 32: principios de tratamiento, base jurídica y seguridad.

En la práctica, eso significa tres cosas muy concretas en España: el contrato puede firmarse en PDF o en papel si hay consentimiento, la cláusula debe ser clara y la protección de datos no se arregla copiando una fórmula estándar. Si hay datos personales, el acuerdo tiene que convivir con la minimización, la confidencialidad y las medidas técnicas y organizativas adecuadas.

El NDA es válido si está bien pactado, pero no sustituye ni la ley ni la disciplina de protección de datos.

Normas y artículos que conviene citar

• arts. 1091, 1255, 1258 y 1278 del Código Civil: fuerza vinculante del contrato, libertad de pacto, buena fe y forma contractual.
• art. 13 de la Ley 3/1991, de Competencia Desleal: referencia útil si el incumplimiento afecta a información reservada en el tráfico mercantil.
• arts. 5, 6 y 32 del RGPD: principios, base de legitimación y seguridad cuando hay datos personales.

Duración, alcance de la confidencialidad y protección de datos

En España es razonable pactar 24 meses, 36 meses o 60 meses según el proyecto. Si la información sigue siendo crítica, la obligación puede durar más tiempo, incluso de manera indefinida para ciertos secretos, siempre que la redacción sea clara y proporcionada.

Ejemplo práctico con plazo y penalización

Imagina una startup de Valencia que entrega a un proveedor de desarrollo una demo, el código fuente parcial y una lista de 200 clientes potenciales para preparar una campaña. Firman un NDA con una duración de 24 meses y una cláusula penal de 12.000 € por cada divulgación no autorizada, además de la reclamación de daños acreditados si superan esa cifra.

A los 8 meses, el proveedor reenvía el dossier a otro cliente. La startup puede exigir el cese inmediato, reclamar la penalización y pedir daños adicionales si demuestra pérdida de negocio. El plazo de 24 meses sigue protegiendo el material durante todo el ciclo del proyecto y evita que la obligación quede en el aire.

Qué hacer si se incumple un NDA

1. Recopila pruebas de inmediato con correos, capturas, documentos, metadatos y testigos. Si puedes, hazlo en las primeras 24 horas con apoyo de tu abogado en España.
2. Envía un burofax por Correos con certificación de texto y acuse de recibo, dando un plazo corto —por ejemplo, 5 o 7 días— para cesar la difusión, devolver copias y confirmar la eliminación.
3. Activa la resolución del contrato si estaba prevista y si la filtración vacía de sentido el acuerdo. En paralelo, bloquea accesos, cambia contraseñas y limita nuevas entregas.
4. Reclama daños y perjuicios ante el Juzgado de lo Mercantil competente, o ante el juzgado civil que corresponda según el caso y el contrato. Si además hay datos personales y una brecha de seguridad, valora la actuación ante la AEPD y tu asesor de protección de datos.

Cuanto antes se mueva el expediente, mejor. En estos asuntos la prueba pesa mucho más que la indignación.

Modelos y asesoramiento en universidades y entidades españolas

• La UPV, a través del Servicio de Promoción y Apoyo a la Investigación, Innovación y Transferencia (I2T), ofrece modelos de acuerdo en español e inglés adaptados a su normativa, revisión de modelos alternativos y apoyo para dudas sobre confidencialidad, protección de resultados, propuestas y transferencia de material y datos.
• Las OTRI y oficinas de transferencia de universidades públicas españolas suelen revisar NDA antes de compartir resultados de investigación, prototipos, software o documentación técnica.
• En proyectos con financiación pública, consorcios o colaboración empresa-universidad, merece la pena pasar el borrador por la oficina de transferencia antes de firmarlo.
• Si el NDA afecta a patentes, código fuente o material biológico, conviene que lo revise también un abogado mercantil español para ajustar la penalización, la duración y la jurisdicción.
• En Madrid, Sevilla, Zaragoza, Valencia o Bilbao encontrarás estructuras de apoyo distintas, pero la lógica es la misma: proteger bien la información sin bloquear la colaboración.

Un modelo descargado de internet puede servir de punto de partida, pero en España suele quedarse corto cuando hay transferencia tecnológica, datos personales o una penalización seria. Mejor adaptar el texto al caso real que pelear luego con una cláusula ambigua.