Cláusula de confidencialidad (NDA) en contratos comerciales: qué debe incluir y qué evitar

Qué debe incluir una cláusula de confidencialidad

Una NDA que sirva para exigir cumplimiento en Colombia debe cubrir cinco elementos. Si falta cualquiera de ellos, el texto puede seguir siendo válido en abstracto, pero pierde fuerza cuando toca demostrar la infracción ante un juez o un árbitro.

• Definición de información confidencial: qué se considera cubierto y cómo se identifica.
• Obligaciones de la parte receptora: qué puede y qué no puede hacer con la información.
• Excepciones: qué información no queda cubierta por la obligación.
• Duración: por cuánto tiempo se debe mantener la reserva.
• Consecuencias por incumplimiento: pena, indemnización, medidas cautelares.

Cómo definir la información confidencial

Este es el punto donde se pierde la mayoría de las NDAs. Una cláusula que diga "toda la información intercambiada entre las partes es confidencial" parece sólida pero es la más débil de todas, porque cuando llega el momento de reclamar hay que probar qué se compartió, cuándo y bajo qué carácter. Hay tres formas de definir información confidencial y la buena práctica es combinarlas.

• Por rótulo: se considera confidencial la información que la parte reveladora entregue marcada como tal (con la palabra "Confidencial", "Reservado" o equivalente). Aplica bien a documentos escritos y correos electrónicos, no aplica a información verbal.
• Por naturaleza: se considera confidencial la información que, por su contenido, un empresario razonable identificaría como tal (estados financieros no publicados, listado de clientes, código fuente, procesos internos). Cubre lo que no viene rotulado.
• Por listado: se enumeran expresamente las categorías de información cubierta. Da certeza pero deja por fuera lo no listado. Es el complemento ideal a las otras dos.

Excepciones que deben quedar por escrito

La contracara natural de la definición son las excepciones. Una obligación de confidencialidad sin excepciones es inejecutable en la práctica porque siempre habrá información que la parte receptora podía usar legítimamente. Las excepciones estándar en Colombia son:

• Información que ya era pública al momento de la divulgación, o que llega a ser pública sin culpa de la parte receptora.
• Información que la parte receptora ya conocía por medios legítimos antes del contrato, siempre que pueda demostrarlo con evidencia previa (correos, documentos internos).
• Información obtenida de un tercero que no estaba sujeto a deber de reserva con la parte reveladora.
• Información desarrollada de forma independiente por la parte receptora, sin usar la información confidencial.
• Información cuya divulgación es requerida por autoridad competente en ejercicio legítimo de sus funciones (orden judicial, requerimiento de una superintendencia). En este caso se recomienda pactar la obligación de notificar previamente a la parte reveladora para que pueda oponerse.

Sin estas excepciones, la parte receptora queda expuesta a reclamos por información que en realidad no debía proteger, y en un litigio el juez terminaría reconociéndolas de todas formas, con la ventaja de que ya vinieron pactadas.

Duración de la obligación

Aquí entra la pregunta más frecuente: cuánto tiempo debe durar la obligación. La respuesta depende de la naturaleza de la información.

• Información comercial ordinaria (precios, estrategia, clientes, condiciones): la duración habitual es la vigencia del contrato más dos a cinco años posteriores. Después de ese plazo la información suele haber perdido valor comercial.
• Secretos técnicos, know-how y fórmulas:aquí sí se puede pactar obligación indefinida, siempre que la información conserve el valor por el simple hecho de mantenerse secreta. Sin justificación, la obligación indefinida es discutible en juicio.
• Datos personales: la reserva se rige por la Ley 1581 de 2012 y no depende del plazo del contrato sino del vínculo con el titular.

Interacción con la Ley 1581 de 2012

Un error frecuente es asumir que la NDA cubre el tratamiento de datos personales. No lo hace, o mejor, no lo hace en el sentido que la ley exige. La cláusula de confidencialidad opera entre las partes: obliga al receptor a no divulgar información. El régimen de datos personales opera frente al titular: exige autorización, finalidad, seguridad y respeto de derechos.

Si en el marco del contrato una parte va a tratar datos personales para la otra (por ejemplo, un proveedor de nómina, un contact center, una plataforma de facturación), conviene complementar la NDA con:

• Acuerdo de tratamiento de datos que defina quién actúa como responsable y quién como encargado.
• Enumeración de finalidades autorizadas.
• Medidas técnicas y organizativas de seguridad.
• Obligación de notificar incidentes de seguridad en un plazo razonable.
• Procedimiento para el ejercicio de derechos por parte del titular (habeas data).

La NDA sin este complemento deja a la empresa expuesta ante la Superintendencia de Industria y Comercio.

Consecuencias por incumplimiento

Una cláusula de confidencialidad sin consecuencias pactadas es una declaración de intenciones. En Colombia hay tres herramientas que conviene combinar.

• Cláusula penal: monto preestablecido que se debe pagar en caso de incumplimiento. Facilita la reclamación porque no exige probar el monto exacto del perjuicio. Ojo, la cláusula penal en dinero está limitada por el artículo 1592 del Código Civil.
• Indemnización de perjuicios: si la pena pactada no cubre el daño real, se puede reclamar la diferencia siempre que así se haya estipulado expresamente. Si no se aclara, se entiende que la pena sustituye a la indemnización.
• Medidas cautelares: pedirle al juez o al tribunal arbitral que ordene el cese inmediato del uso o divulgación de la información. Especialmente útil en secretos técnicos donde la reparación posterior no repararía el daño.

Errores frecuentes al redactar una NDA

• Definición demasiado amplia: "toda información intercambiada" sin criterios de identificación debilita la cláusula porque el receptor puede alegar que no sabía qué era confidencial.
• Obligación indefinida sin justificación:cuando la información protegida es comercial ordinaria, la obligación perpetua se cuestiona en juicio y se termina limitando por el juez.
• No incluir excepciones legales: el receptor tendrá una defensa natural (información pública, requerida por autoridad), y pactar las excepciones de antemano evita discusiones sobre buena o mala fe.
• No prever destrucción o devolución al terminar:sin esta obligación, la información sigue en manos del receptor durante todo el período posterior. Conviene pactar devolución o certificación de destrucción en un plazo razonable después de terminado el contrato.
• Confundir NDA con acuerdo de tratamiento de datos:la primera obliga entre partes, la segunda es exigible por los titulares y la Superintendencia. Son complementarias, no sustitutas.
• Olvidar la información verbal: si la definición solo cubre lo escrito, las reuniones y llamadas quedan por fuera. Conviene pactar que la información verbal identificada como confidencial se confirme por escrito en un plazo corto (por ejemplo, treinta días).

Cómo Klos revisa la NDA

Klos detecta los cinco elementos esenciales de una cláusula de confidencialidad al subir el contrato, señala si la definición de información confidencial es demasiado amplia o demasiado estrecha, revisa que las excepciones legales estén cubiertas, alerta si la duración es indefinida sin justificación clara y verifica que las consecuencias por incumplimiento estén dentro del tope legal del Código Civil. También levanta bandera si el contrato implica tratamiento de datos personales y la NDA no está complementada con un acuerdo específico bajo la Ley 1581 de 2012.

Si quieres ver cómo funciona el pipeline completo, tenemos una página dedicada al análisis de contratos con IA en Klos con el detalle de qué se revisa en cada tipo de cláusula y cómo se cuantifica en pesos el impacto de cada punto observado. Para dudas puntuales sobre un contrato, puedes escribir a contacto@klosai.com.