Secreto comercial frente a transparencia: ¿cómo proteger sus datos sensibles en la era del DPP?

Si le dijera al director general de una empresa manufacturera de éxito «A partir del año que viene tendrá que publicar su gama exacta de productos y su lista de proveedores para que cualquiera los consulte escaneando con el móvil», lo más probable es que cundiera el pánico. Y sería perfectamente comprensible.

Durante siglos, las empresas han basado su éxito en guardar secretos. La receta de Coca-Cola, la aleación concreta de un reloj suizo o el proveedor exclusivo de tejidos ultraligeros para material deportivo son activos que valen miles de millones.

Hoy, sin embargo, la Unión Europea impone un nuevo paradigma: el DPP, cuyo objetivo principal es la transparencia radical. Y aquí llega el choque inevitable. ¿Cómo ser transparentes ante consumidores y reguladores sin regalar a la competencia nuestra propiedad intelectual y nuestros secretos comerciales?

En este artículo vemos cómo pueden las empresas moverse por este campo de minas y convertir el DPP de amenaza en una herramienta segura y controlable.

La paradoja de la transparencia: ¿qué temen de verdad las empresas?

Para encontrar una solución, primero hay que definir el problema. Los temores de las empresas ante la implantación del DPP se concentran en tres ámbitos:

• Robo de propiedad intelectual: el miedo a que los datos detallados de los materiales revelen el «ingrediente secreto» del producto. Si un competidor en la otra punta del mundo puede leer en el pasaporte digital las proporciones químicas exactas de su pintura innovadora, copiarla le resultará muy fácil.
• Robo de proveedores: encontrar proveedores fiables, de calidad y baratos lleva años. Si el DPP exige trazabilidad completa, a la competencia le basta con ver a qué fábrica de Vietnam compra usted los componentes para contactar directamente con ella.
• Pérdida de poder de negociación: si sus proveedores o clientes tienen acceso completo a sus costes de producción y a sus márgenes (que pueden deducirse de datos detallados de la cadena de suministro), pierde margen para negociar.

¿Qué exige realmente la ley y qué NO exige?

El primer paso para disipar estos temores es entender exactamente qué dice el Reglamento de diseño ecológico para productos sostenibles (ESPR), que introduce el DPP en Europa. La buena noticia es que la Comisión Europea no quiere acabar con la competitividad de las empresas: la ley prevé expresamente la protección de la propiedad intelectual y de los secretos comerciales.

El DPP no le obliga a publicar:

• recetas exactas ni fórmulas propias
• contratos comerciales ni precios de las materias primas
• detalles de sus procesos de fabricación y su saber hacer

El DPP le obliga a publicar:

• datos de sostenibilidad (huella de carbono, consumo de agua)
• información sobre la presencia de sustancias químicas peligrosas (sustancias preocupantes)
• instrucciones para reciclar, reparar y mantener correctamente el producto
• el origen de las materias primas fundamentales (para garantizar que no se han obtenido con trabajo ilegal)

Distinguir entre estas dos categorías es la base sobre la que construirá su estrategia de protección de datos.

Estrategias de defensa: ¿cómo ser transparente y estar protegido?

Las tecnologías que hacen posible el DPP son las mismas que pueden proteger sus datos. Estos son los cuatro mecanismos básicos que toda empresa debería implantar.

Acceso a los datos según el rol

Es el concepto más importante de la arquitectura del DPP. Un pasaporte digital no es un PDF que cualquiera pueda leer de principio a fin, sino una base de datos dinámica que muestra información distinta según quién escanee el código.

• El usuario final: escanea el producto en la tienda y ve información de cara al consumidor: huella de carbono, porcentaje de materiales reciclados, instrucciones de lavado o cuidado y certificados de origen ético.
• El servicio técnico autorizado o taller de reparación: escanea el mismo código, pero con una clave de software especial accede a los esquemas técnicos de desmontaje, la lista de piezas de recambio y el historial de mantenimiento.
• La planta de reciclaje: solo accede a la composición química exacta de los materiales (por ejemplo, qué tipo de plástico se ha usado) para saber a qué contenedor destinarlos, pero no ve quién fabricó el plástico.
• Las autoridades reguladoras y las aduanas: tienen el nivel de acceso más alto para verificar el cumplimiento de la ley, pero están obligadas por ley a guardar el secreto comercial.

Al separar los datos por roles, cada uno recibe exactamente lo que necesita, ni un dato más.

Pruebas de conocimiento cero

Es un concepto criptográfico que parece ciencia ficción, pero que ya se usa de forma activa en la tecnología blockchain (cadena de bloques). ¿En qué consiste? Es un método por el que una parte puede demostrar a otra que una afirmación es cierta sin revelar ninguna información salvo el hecho de que es cierta.

Un ejemplo de la vida real: imagine que quiere entrar en una discoteca. El portero tiene que saber que usted es mayor de 18 años. En lugar de enseñarle el DNI, le muestra en el móvil un token criptográfico que se ilumina en verde. El token solo dice: «Esta persona es mayor de 18 años».

Un ejemplo en el DPP: tiene que demostrar que el algodón de su camiseta no se recogió con trabajo infantil. En lugar de indicar en el pasaporte el nombre y la ubicación exactos de su explotación en la India (que son secreto comercial), utiliza una «prueba de conocimiento cero» (zero-knowledge proof) emitida por un organismo de certificación. El consumidor ve un sello verde de «Origen ético demostrado», pero su competidor no puede saber de qué explotación se trata.

Agregar los datos y usar intervalos

Cuando la ley exige transparencia sobre la composición, muchas veces no hace falta dar datos hasta el segundo decimal. En lugar de revelar su receta exacta, use intervalos.

En lugar de escribir en el pasaporte «El producto contiene un 62,5 % de poliéster reciclado, un 30 % de algodón ecológico y un 7,5 % de elastano de la marca X», puede facilitar datos agregados que cumplen el reglamento y protegen su secreto: «Contiene entre un 60 y un 70 % de polímero reciclado y fibras ecológicas». (Naturalmente, depende de los requisitos concretos de cada clase de producto, que la UE todavía está terminando de definir).

Almacenamiento descentralizado

Las empresas no están obligadas a subir todos sus datos sensibles a una base de datos europea central en la que los piratas informáticos podrían colarse. El modelo europeo del DPP es descentralizado: sus datos sensibles se quedan en sus propios servidores seguros.

En el registro público de la UE solo se publica un hash (huella digital) del pasaporte y un enlace a su servidor. Cuando alguien solicita los datos, el sistema comprueba que tenga los derechos necesarios antes de que su servidor le envíe la información. Si los datos se modificaran, el hash dejaría de coincidir, lo que garantiza que nadie ha falsificado el pasaporte.

Repensar el secreto comercial en el siglo XXI

Las soluciones técnicas son de vital importancia, pero el cambio de verdad tiene que producirse en la mentalidad de la dirección.

Durante décadas, el instinto empresarial fue «Ocultar todo lo posible». Hoy, sin embargo, vivimos en una época de sobreabundancia de información. Lo cierto es que, si un competidor está lo bastante motivado y tiene un buen laboratorio de ingeniería inversa, lo más probable es que ya sepa de qué está hecho su producto. Del mismo modo, en un mundo globalizado las cadenas de suministro rara vez se mantienen del todo en secreto.

La nueva ventaja competitiva está en construir la cadena más sostenible, ética y eficiente, más que en ocultar a sus proveedores. Las empresas que dominarán la era del DPP serán las que usen la transparencia como arma. Cuando puede demostrar criptográficamente a un cliente que su producto es mejor para el planeta que el de la competencia, gana una confianza que ningún secreto comercial puede comprar.

Pasos concretos: ¿qué deben hacer hoy las empresas?

Si dirige una empresa que está a punto de implantar el DPP, no espere a que el departamento de informática resuelva por su cuenta el problema de la seguridad. Es una cuestión estratégica de negocio.

Audite y clasifique los datos

Forme un equipo con profesionales de I+D, producción, marketing y asesoría jurídica. Reparta todos los datos de sus productos en tres columnas:

• Públicos: los puede ver cualquiera
• Restringidos: para recicladores y talleres de reparación
• Estrictamente confidenciales: solo para los reguladores y uso interno

Elija el socio tecnológico adecuado

Al elegir la plataforma de software con la que creará sus pasaportes digitales, la primera pregunta no debería ser «¿Cuánto cuesta?», sino «¿Cómo gestionan los derechos de acceso? ¿Admiten pruebas de conocimiento cero?».

Revise los contratos con sus proveedores

Sus proveedores tendrán que facilitarle datos para incluirlos en su DPP, y también temerán por sus secretos. Redacte nuevos contratos que garanticen que sus datos sensibles se agregan o se cifran antes de llegar al pasaporte final.

Conclusión

El pasaporte digital de producto pone en entredicho uno de los dogmas más antiguos de los negocios: que el secreto es igual a beneficio. La protección de la propiedad intelectual sigue siendo fundamental, pero los métodos para protegerla están cambiando.

Con una arquitectura de datos bien diseñada, basada en el acceso según el rol, la descentralización y métodos criptográficos avanzados, las empresas pueden lograr lo que antes era imposible: abrir sus puertas a la confianza del consumidor y dejar a la competencia al otro lado de la valla. Transparencia y seguridad ya no están reñidas; son las dos caras de la misma moneda digital.