Temas:  protección de datos, seguridad informática

Probablemente toda la información de nuestro negocio esté en programas informáticos: contabilidad, facturación, nóminas, … La información está en el ordenador, o incluso en la "nube", pero ¿puede la empresa controlar lo que el trabajador hace con la información?, ¿cómo podemos protegernos ante posibles fugas de información internas malintencionadas por parte de los trabajadores?

Es conocido el caso de una famosa entidad que en 2007, tuvo una sanción de 60.000 euros por parte de la Agencia Española de Protección de Datos, debido a que uno de sus trabajadores se había instalado el Emule, y había permitido que determinada información de la entidad quedara abierta a la red para que cualquiera pudiera tener acceso a ella. ¿Por qué la sanción es para la empresa, cuando la infracción la ha cometido el trabajador? No voy a hablar sobre cuestiones técnicas de la Agencia, que justifican la sanción a la entidad pero, entre otras cosas, el problema es que la entidad no le había comunicado al trabajador que estaba prohibido el uso de Emule.

¿Qué no se puede hacer?

La empresa debe implantar una política de uso de medios informáticos, esto no es otra cosa que definir e informar a todos los trabajadores acerca de lo que pueden hacer con las herramientas informáticas cedidas por la empresa: móvil, ordenador, portátil, conexión a Internet y qué es lo que no. ¿Pueden tus trabajadores tener acceso a Facebook?, ¿pueden llevarse documentos a casa a través de una llave USB?, ¿pueden descargar el Emule?

A través de nuestra experiencia en Datalia, sabemos que cada empresa es un mundo, si estamos ante una agencia de publicidad que lleva las redes sociales de sus clientes, no podemos prohibir el acceso a Facebook o Twitter, porque de eso se trata su trabajo, así que cada empresa debe redactar su propia política. Recientemente el Tribunal de Justicia de la Rioja ha considerado como despido procedente el caso de una trabajadora que se pasaba buena parte de su jornada laboral en Facebook y navegando por Internet para temas personales. El hecho de que la empresa tuviera una política de uso de medios informáticos bien implantada fue clave para que el despido fuera considerado procedente.

Medios de producción

En esa política debemos informar, entre otras cosas, a nuestro personal de que los medios informáticos que le entregamos son medios de producción, que no está permitido su uso a efectos personales (esto dependiendo de la permisividad del empresario), que se le entrega para facilitar el cumplimiento de sus funciones laborales y que, por tanto, está bajo la vigilancia y control empresarial tal y como establece el Estatuto de los Trabajadores.

Es muy importante que esta política se haya redactado de manera personalizada y que responda certeramente a la situación de la empresa y sobre todo que esté alineada con los objetivos del empresario.

Además una vez redactado es necesario que esta política sea informada y difundida entre todo el personal de la empresa.

Si nuestra política de usos informáticos, cumple perfectamente con las normativas aplicables, puede librarnos de un problema. En estos momentos en Datalia estamos gestionando un procedimiento penal de un cliente contra un trabajador que durante su jornada laboral enviaba información confidencial de la empresa a través de su cuenta de Hotmail para montar su propia empresa y hacerles la competencia.

Aun así, desgraciadamente hay muchos casos parecidos en los que la empresa ha tenido que pagar un despido improcedente por no tener ninguna política establecida ni bien difundida.

Mecanismos de control

Además, la tecnología nos permite establecer otros mecanismos de control, que se pueden considerar intrusivos a la intimidad de nuestros trabajadores si no tomamos las medidas adecuadas, tal y como exige la normativa en materia de protección de datos.

Me estoy refiriendo a sistemas de videovigilancia, sistemas de acceso por huella digital e incluso sistemas de geolocalización.
Para evitar sanciones con la Agencia Española de Protección de Datos y con el resto de instituciones debemos implantar estas medidas cumpliendo perfectamente lo exigido en la normativa.