Apuntes sobre bases de datos

Las bases de datos se encuentran reguladas por el Real Decreto Legislativo 1/1996 de 12 de Abril, por el que se aprueba el Texto Refundido de la Ley de Propiedad Intelectual, regularizando, aclarando y armonizando las disposiciones legales vigentes sobre la materia, constituyendo la piedra angular en esta materia. Dicho Real Decreto transpone al Ordenamiento Jurídico Español la Directiva 96/9/CE del Parlamento Europeo y del Consejo, de 11 de marzo de 1996, sobre la protección jurídica de las bases de datos que afectan a la materia de propiedad intelectual, así como la modificación realizada por la Ley 1/2000 de 7 de enero de Enjuiciamiento civil.

Intentaré hacer un estudio jurídico en base al plagio de una base de datos online. Veremos qué acciones civiles y/o penales, además de procesales pueden llevarse a cabo. Además, hablaré de varios apuntes técnicos. Por último, hablaré de los elementos de prueba (muescas notariales) y de la problemática sobre si una digitalización de una base de datos es o no susceptible de protección por un derecho «sui géneris».

Partimos de la consideración de una base de datos como un depósito común de documentación, útil para diferentes usuarios y distintas aplicaciones, que permite la recuperación e la información adecuada, para la resolución de un problema planteado en una consulta.

Todas las bases de datos deben partir de un fondo documental seleccionado, al que se somete a un proceso con objeto de que se pueda recuperar la información orientada a la solución de un determinado problema. Así consideramos la base de datos como un almacenamiento de documentación, organizada y estructurada de forma que permita recuperarla como información. Esto es, que de respuesta a una consulta, a un problema.

Consideramos a las bases de datos como colecciones de obras, datos u otros elementos independientes accesibles por medios telemáticos. La LPI protege las bases de datos en cuanto a la forma de expresar la disposición: el orden de los elementos que lo integran. Pero se exige el cumplimiento del requisito de la originalidad. En ese sentido, decir que en el caso «Aranzadi» Vs «El derecho» -estudiado mas adelante- se consideró a la base de datos de Aranzadi (compuesta por mecanismos de búsqueda por disposición, texto libre, marginal, etc) como «original». Es decir, podemos decir que se hace una interpretación amplia de lo que es originalidad.

Sin embargo, este requisito no quiere decir que en los casos en que la forma de disposición de los contenidos no sea original no haya protección legal. Para estos supuestos, la ley establece el llamado derecho sui generis, que protege la inversión que realiza el fabricante de la base para la obtención, verificación o presentación del contenido.

Se pretende evitar el copiado ilícito del contenido de las bases de datos, cuando su elaboración haya supuesto para el titular una inversión sustancial, ya sea a nivel económico, de tiempo o esfuerzo. Este derecho sui generis es independiente del derecho de autor sobre la base de datos que se ha comentado anteriormente, y por ello en determinados casos la base de datos se podrá beneficiar de una doble protección legal.

Así, tenemos:

• Una originalidad en la base de datos
• Un derecho sui generis, protegiendo la inversión realizada.

El derecho sui generis protegerá la inversión sustancial, evaluada de forma cualitativa o cuantitativa, que realice el fabricante de la base de datos, ya sea de medios financieros, empleo de tiempo, esfuerzo, u otros de similar naturaleza, para la obtención, verificación o presentación de su contenido. Es por tanto un derecho claramente diferenciado del derecho de autor, que protegerá la forma de estructura el contenido de una base de datos, y no el propio contenido. Este derecho se plasma en la, posibilidad que tiene el fabricante para prohibir la extracción y/o reutilización de la totalidad o de un parte sustancial del contenido de la base de datos, siempre medida desde un punto de vista cualitativo o cuantitativo. Este derecho es transmisible en todas las formas previstas para transmisiones inter vivos o mortis causa.

El párrafo 2 del art. 134 de la LPI (Texto Refundido de la Ley de Propiedad Intelectual vigente) establece unas limitaciones a los actos que un usuario autorizado de una base de datos puede realizar y que rebatirían el planteamiento anterior. Entre ellas destacamos la prohibición de realizar actos que sean contrarios a una explotación normal de dicha base o lesionen injustificadamente los intereses legítimos del fabricante de la base.

El art. 133 de la vigente LPI define el contenido del derecho «sui generis»: » El derecho «sui generis» sobre una base de datos protege la inversión sustancial, evaluada cualitativa o cuantitativamente, que realiza su fabricante ya sea de medios financieros, empleo de tiempo, esfuerzo, energía u otros de similar naturaleza, para la obtención, verificación, o presentación de su contenido».
Procesalmente, decir que la infracción de los derechos que otorga la ley de propiedad intelectual puede ser castigada mediante el ejercicio de acciones civiles y penales.

Respecto a las civiles señalar que:

• El Procedimiento ordinario es el competente en este caso.
• Se puede instar el cese de las actividades que atenten contra los derechos del legítimo titular, con la indemnización de daños y perjuicios (económicos y morales).
• También puede solicitar con carácter previo al inicio de las actuaciones judiciales, la adopción de las llamadas medidas cautelares destinadas a proteger sus derechos con carácter urgente.
• Podemos pedir el cese, suspensión, prohibición de la acción, retirada del comercio de ejemplares ilícitos y sucesiva destrucción, precinto de aparatos utilizados…
• La acción para reclamar los daños y perjuicios prescribe a los cinco años desde que el interesado pudo ejercitarla.
• Igualmente, podemos pedir la adopción de medidas cautelares. En particular, la intervención de los ingresos, suspensión de la actividad de reproducción, distribución y comunicación pública, el secuestro de los ejemplares producidos o utilizados y el del material empleado exclusivamente para la reproducción o comunicación pública, el embargo de los equipos, aparatos y materiales utilizados, etc…
• Penalmente, el tipo penal habla de que, la persona que, con la intención de beneficiarse y en perjuicio de un tercero, reproduzca, plagie, distribuya o comunique públicamente, en todo o en parte, una obra literaria, artística o científica, su transformación, interpretación o ejecución artística fijada en cualquier tipo de soporte o comunicada a través de cualquier medio, sin la autorización de los titulares de los correspondientes derechos de propiedad intelectual o de sus cesionarios puede ser castigada por cometer un delito contra la propiedad intelectual sancionado con pena de prisión de 6 meses a 2 años o de multa de 6 a 24 meses.

Una vez explicados los derechos de autor y sui generis que tienen las bases de datos, hay que reseñar que estos derechos no son absolutos.

Serán considerados nulos de pleno derecho aquellos actos de disposición contrarios a los derechos de los usuarios legítimos.

Los legítimos usuarios podrán extraer y reutilizar una parte sustancial del contenido de la base de datos en algunos casos, en especial si la extracción tiene fines educativos o de investigación científica en la medida en que esté justificada por el objetivo perseguido (además, se debe de citar la fuente). Por supuesto, si existe interés en salvaguardar la «seguridad pública» también puede extraerse una parte sustancial. El fabricante no podrá prohibir al legítimo usuario, la extracción y o reutilización de partes no sustanciales del contenido de la base de datos con independencia del fin a que se destine. El problema en muchos casos es determinar si la extracción ha sido sustancial o no lo ha sido. Pero en cualquier caso, un legítimo usuario no podrá realizar actos contarios a una «explotación normal» de una base de datos o, por supuesto, realizar actos que perjudiquen al titular de los derechos de autor.

En una utilización ilegítima de una base de datos en internet, los logs de acceso nos dirán las direcciones ip de las máquinas que han extraído el contenido, y sabiendo su origen, la mejor reclamación que podemos realizar es ante el servidor-isp al que pertenezcan dichas ips. Es fácilmente averiguable en la base de datos de Whois (online) o utilizando comandos especiales desde la línea de comando, como tracert, que «traza» el rastreo de la ip hasta dar con el lugar donde está ubicada dicha ip (y posteriormente ver cuál es su isp).

Una simple llamada de teléfono, indicando al proveedor que la ip ha cometido acciones ilegales y que han infringido derechos de la base de datos, para posteriormente darnos los datos personales de los individuos debería de bastar para que los accesos a la base de datos concluyeran. De hecho es lo que suele ocurrir en la mayoría de los casos: los isps no se hacen responsables de los actos fraudulentos de sus usuarios, pero si colaboran -en ocasiones «demasiado»- con una investigación policial o judicial.

El principal motivo que esgrimiríamos ante el isp de turno sería la utilización de la conexión para fines delictivos, algo que no puede amparar el proveedor de servicios, mas aún con la nueva LSSICE en ciernes. Además, podemos proceder a que el isp nos de los datos personales del titular de dicho acceso a internet, aunque, paradójicamente, el isp no debería dárnoslo: podría vulnerar la intimidad, ya que estamos instando una petición de información sin el oportuno requerimiento judicial.

Nos enfrentamos a que, como dicha prueba ha sido obtenida vulnerando la intimidad del infractor, ésta sea considerada nula, e incluso, al inicio de una posible reconvención por la violación de los derechos de honor, intimidad y propia imagen (ley 1/82). Además, hay que reseñar que esto admite prueba en contrario: en el fondo, tenemos una ip que es una máquina, no una persona. Tenemos como mucho un titular de dicha dirección ip. Una máquina que, aunque en el isp esté registrada a un determinado nombre, puede ser usada por una pluralidad de personas. Esto además, no es exactamente así, ya que existen dos tipos de ips: las direcciones ip fijas y dinámicas. Las primeras no cambian, como su propio nombre indica.

Las segundas, te las asigna el servidor cada vez que te conectas a la red con el isp de turno. En cualquier caso, un servidor debe de llevar el registro de las direcciones de todos sus clientes en un momento dado, por lo que no debería de haber problema al comprobar que la dirección ip X.X.X.X perteneciente a tal isp pertenecía al usuario tal, el día y hora que los hechos ocurrieron.

Por otra parte, los «hackers» utilizan una dirección ip ajena a su propia máquina para ocultar su identidad, mediante un virus troyano que infecta la máquina que será la pasarela para cometer fechorías como esta. En otras ocasiones, utilizan un software como «wingate», programas «proxies» que ocultan su verdadera identidad. Es decir, puede que nuestras investigaciones nos lleven a una persona inocente, infectada con un virus, que simplemente ha sufrido el ataque de un hacker. A esta persona se le conoce como «bouncer». Ponerse en contacto con el bouncer para que le pase a la máquina Ip (a la que pertenece el log de acceso) un antivirus actualizado y un programa antitroyano (especializado en este tipo de archivos maliciosos) nos dará una idea de su autoría o no.

Si está infectado, casi con toda seguridad el no era consciente de lo que ocurría, y una posible responsabilidad por negligencia, dada la frecuencia de los virus en internet, sería dificilmente esgrimible. Si no lo está, la autoría pertenece a dicha máquina. Al tener las fechas-horas de acceso, esto facilita mucho la situación.

Respecto de los logs de acceso:

• Si son accesos parametrizados, buscarse testigos que, a una determinada hora, sean conscientes de los accesos a dicha web. El hecho de que estos sean automáticos puede provocar la facilidad de la obtención de pruebas testificales por esta vía.
• Y de la misma forma, levantar un acta notarial que de fe pública sobre la intrusión y la extracción. Esto es, que el notario sea testigo del caso en su totalidad, testigo no solo de la dirección ip, sino también de la «automatización» de los accesos -es decir, que estos se producen cada cierto tiempo-.

Por estas dos vías, podemos acompañar una posible demanda civil y/o penal con una prueba testifical y pericial basándonos en la existencia de estos archivos. Presentar los «logs de acceso» sin nada mas podría suponer la impugnación de la prueba y su no inclusión en el caso. En cualquier caso, como siempre, todo dependería de la importancia que le diera el juzgador.

Un informe pericial resulta altamente aconsejable: es necesario un informe en un lenguaje comprensible al juzgador para que se determine la gravedad e ilegalidad de lo producido. En este caso, a diferencia del anterior donde el tipo objetivo que exige el Código penal para penar la conducta está perfectamente acreditado -me refiero al ánimo de lucro- creo que no cabe una acción penal. Es decir, si nos centramos en la sola extracción de los contenidos de las bases de datos, sin saber si se están revendiendo los contenidos de dicha base de datos o lo están usando para meros fines personales, el tipo penal del 270 exige dicho ánimo.

El simple acceso a una base de datos sin saber que se hace con los datos a los que se ha accedido no contiene los suficientes elementos del tipo penal de dicho artículo, ya que no sabemos el destino de los datos a los que se ha accedido.

Por el contrario, si sabemos que se están utilizando con fines lucrativos, una demanda penal si que parece obvia. El derecho penal no debería entrar en unas conductas de las que no tenemos pruebas sobre su posible tipicidad: la doctrina es unánime al afirmar que el derecho penal ha de ser la última herramienta del estado para sancionar una conducta. Sobre esto, cabe reseñar la Sentencia de la Audiencia Provincial de Barcelona, Sección 10ª, con fecha 10-6-1995:

«(…) no toda vulneración o desconocimiento de los derechos derivados de la propiedad intelectual suponen sin más la realización de una conducta típica, y por ello, que no es suficiente con la realidad constatada de que el acusado con su conducta haya infringido lo dispuesto en el artículo 99.2 de la Ley de Pro piedad Intelectual, en relación con la autorización del titular del derecho de explotación; porque no debe perderse de vista que el derecho de propiedad en cualquiera de sus manifestaciones goza de una protección tanto civil como penal, y esta última, por su naturaleza y circunstancias, debe actuar sólo con relación a los supuestos más graves de vulneración o desconocimiento del derecho. (…) El acusado tenía en su poder un número considerable de copias ilegales de programas, pero no hay constancia probatoria alguna de que hubiera realizado cualquier acto de tráfico o enajenación de los mismos … de modo que lo único que le es imputable es la posesión que, aun cuando pueda vulnerar lo dispuesto en el artículo 99.2 de la Ley de Propiedad Intelectual, no entraña el tipo penal por el que se pretende la condena, que debe reservarse para supuestos más graves de vulneración y perjuicio de la propiedad intelectual, según antes se ha razonado.»

Por tanto, la reclamación ante el Isp es la vía mas recomendable, ya que el hecho delictivo está siendo provocado por el usuario final de un proveedor situado en territorio español. Existen otras vías de reclamación, la Secretaría de Estado de Telecomunicaciones, el arbitraje de consumo, o asociaciones de usuarios (por ejemplo, la AUI, asociación de usuarios de internet), pero dado que es una reclamación por el mal uso de una conexión de un usuario, esto es, no es un mal comportamiento del Isp u operador, la vía mas efectiva es la reclamación ante el propio Isp.

Muescas notariales

Las muescas notariales en el código de la base de datos es la principal vía para probar la autoría. Un acta notarial que de fe publica, previamente, de posibles errores ortográficos, o de reseñas que forman parte del código fuente, para posteriormente, comprobar que la base de datos contiene dichas muescas, es un elemento muy eficaz a la hora de probar dicha autoría.

En el caso «El derecho» VS «Aranzadi» resultó condenado El derecho por haber copiado de la base de datos de la histórica editorial jurídica Aranzadi. Las sentencias del Tribunal Supremo se refiere a un total de 12 años, del 82 al 93. Y la principal prueba que determinó la victoria de la segunda sobre la primera fueron los errores ortográficos -muescas- hechas con vistas a que esto pudiera ocurrir.

Entre los centenares de errores que coinciden en las dos bases de datos se encuentran estos: en una sentencia del Tribunal Supremo figura la frase «lo dispuesto…» y en los dos CD-Rom consta «los dispuestos…»; «exigirse indemnización» pasa a ser «exigirse la indemnización; «Lloma-rit» está escrito con guión en la sentencia porque va al final de una línea y se transcribe con ese guión por Aranzadi y después por El Derecho pese a no ser un fin de línea; la palabra «tardanza» se convierte en «tardanaza». En este caso, el juez estimó que aunque las sentencias no tienen derechos de autor, si está protegido por el llamado «derecho sui generis», explicado mas arriba. Y para demostrar el plagio, se determinó que los errores ortográficos eran prueba suficiente para determinar la autoría de una determinada base de datos.

-Digitalización y derecho «sui géneris»

El derecho sui géneris protege el desembolso, esfuerzo, etc que alguien, persona física o jurídica, realiza a la hora de construir una determinada base de datos. En ese sentido, tenemos el supuesto por el que alguien realiza una base de datos informática -esto es, digital- convirtiendo al formato de ceros y unos una obra que se encuentra en soporte «analógico», por ejemplo, en formato «papel». ¿Hasta qué punto el «esfuerzo digitalizador» puede verse protegido por este derecho? ¿Merece la pena hablar de derecho sui generis en esta ocasión?

En este sentido, los editores de los boletines oficiales publicados en Internet en principio gozan del derecho «sui generis» sobre los archivos que publican sus páginas. No es relevante para el presente caso, el hecho de que se traten de textos legales, ya que el derecho «sui generis» protege la inversión en la publicación digital y el mantenimiento que están realizando los editores de los boletines oficiales o las empresas subcontratadas que se encargan de la publicación en Internet. El esfuerzo es cuantificable económicamente al observar que para la publicación de los archivos en Internet es necesario un equipo informático, conexiones telemáticas, documentalistas contratados, programas de tratamiento de texto y de publicación en Internet, un espacio físico para el desarrollo de la actividad y unos costes fijos de mantenimiento de las instalaciones.

El artículo 133 de la LPI habla en términos de inversión de una base de datos, por tanto, el digitalizar -por ejemplo- un listín telefónico conlleva, sin lugar a dudas, una inversión protegible por la vía de este artículo. En ese sentido, creo que no hay dudas que es protegible y perfectamente esgrimible ante cualquier tribunal.
Es posible demostrar que la inversión ha sido sustancial, justificándola en cuestiones de distinta naturaleza, como por ejemplo:

• Los costes económicos soportados en las distintas fases de producción de la base de datos, aportando facturas de proveedores que hayan participado en el proyecto y los documentos contables que demuestren la inversión económica realizada.
• El tiempo dedicado por el autor, sus empleados o proveedores. Es conveniente realizar depósitos notariales durante las diversas fases del proyecto con el fin de demostrar la evolución de la base de datos y la duración del trabajo realizado.
• El esfuerzo invertido en las labores de obtención, corrección, verificación, análisis, interrelación y presentación de la información contenida en la base de datos.

Sin embargo, pueden existir opiniones encontradas en este aspecto: en efecto, ese «esfuerzo digitalizador» pudiera no ser suficiente. El artículo 133 habla de inversión sustancial, y ya sea ésta cualitativa o cuantitativa. Nos encontramos ante un concepto jurídico indeterminado, pues hasta dónde una inversión es sustancia y hasta dónde no lo es?

En este caso, habría que preguntarse cuánto tiempo se ha empleado en digitalizar el fabricante de la base de datos, en preparar u organizar su contenido y preparación, etc, etc. En definitiva: sólo un juez podrá decirnos si efectívamente estamos ante una inversión sustancial.