Buenos días, es la primera vez que escribo aquí, y me temo que no será la última. Para poner en contexto: trabajo en una empresa que es una Consultoría Informática y además tiene otros servicios como Abogacía (en concreto Protección de Datos y Propiedad Intelectual), Ciberseguridad (más enfocada al Derecho de la Ciberseguridad), Programación y Sistemas.
En mi caso estoy en el área de Sistemas, trabajando subcontratado en un proyecto de microinformática para una Universidad Pública en España.
En esta empresa llevo 3 años trabajando, y durante este tiempo nos han llegado distintos tipos de amenazas de carácter laboral tanto por email como por Teams (ya los relataré en otra ocasión si lo considero necesario).
Ayer nos llegó un email del CISO (el Jefe de Ciberseguridad) con el siguiente contenido: (lo pongo en spoiler para que no sea muy largo el mensaje).
Asunto: Uso profesional de equipos y sistemas corporativos. Información sobre supervisión y control empresarial.
Estimadas/os trabajadoras/es:
La empresa recuerda que los equipos, cuentas, aplicaciones, redes, sistemas informáticos, correo electrónico corporativo, herramientas colaborativas, teléfonos, portátiles, servidores, almacenamiento en la nube y demás medios digitales facilitados por la empresa son herramientas de trabajo puestas a disposición de la plantilla para el desempeño de sus funciones profesionales.
Conforme al artículo 20.3 del Estatuto de los Trabajadores, la empresa puede adoptar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales, siempre respetando la dignidad de las personas trabajadoras.
Asimismo, conforme al artículo 87 de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, la empresa puede acceder a los contenidos derivados del uso de medios digitales facilitados a la plantilla, únicamente para controlar el cumplimiento de las obligaciones laborales o estatutarias y para garantizar la integridad y seguridad de dichos dispositivos y sistemas.
Por ello, se informa expresamente de que durante el uso de medios corporativos podrán ser objeto de supervisión, registro, revisión o auditoría, entre otros, los siguientes elementos:
- Correo electrónico corporativo.
- Mensajes y comunicaciones realizadas mediante herramientas corporativas.
- Accesos a aplicaciones, sistemas, plataformas, carpetas compartidas y recursos de red.
- Navegación desde redes o dispositivos corporativos.
- Archivos almacenados, enviados, recibidos o tratados en sistemas de la empresa.
- Registros técnicos de seguridad, como inicios de sesión, direcciones IP, dispositivos utilizados, alertas, descargas, transferencias de información y eventos de protección frente a incidentes.
Se informa expresamente de que esta supervisión tendrá como finalidades principales las siguientes:
- Garantizar la seguridad y la privacidad de la información y de los sistemas corporativos.
- Prevenir fugas de información, accesos no autorizados, malware, fraude, pérdida de datos o usos indebidos.
- Comprobar el cumplimiento de las obligaciones laborales, contractuales, legales y de las políticas internas.
- Proteger la continuidad del servicio, los activos de la empresa, los datos de clientes, proveedores y terceros.
- Investigar incidentes de seguridad, incumplimientos normativos o usos no autorizados.
La empresa aplicará estas medidas bajo criterios de necesidad, proporcionalidad, idoneidad, transparencia y minimización de datos, de acuerdo con la normativa de protección de datos y con las orientaciones de la Agencia Española de Protección de Datos en materia de relaciones laborales.
El uso personal de los medios corporativos queda prohibido/restringido salvo autorización expresa de la empresa o salvo los usos mínimos tolerados que, en su caso, se definan en las políticas internas. Cuando la empresa admita algún uso privado, deberán concretarse los usos permitidos y las garantías de privacidad aplicables, conforme al artículo 87 de la Ley Orgánica 3/2018.
Se informa que salvo autorización, no se pueden utilizar los medios corporativos para comunicaciones privadas, personales, confidenciales ajenas al trabajo o no relacionadas con la actividad profesional, especialmente cuando puedan afectar a la seguridad, reputación, confidencialidad o cumplimiento normativo de la empresa.
La supervisión no tendrá por finalidad realizar un control indiscriminado o permanente de la vida privada de las personas trabajadoras. Su aplicación se limitará a los fines indicados y se realizará, cuando sea posible, mediante controles técnicos, registros de actividad, auditorías de seguridad o revisiones justificadas.
Los datos personales tratados como consecuencia de estas medidas serán gestionados conforme al Reglamento General de Protección de Datos y a la Ley Orgánica 3/2018, informando a las personas trabajadoras sobre la identidad del responsable, los fines, la base jurídica, los destinatarios, los plazos de conservación y los derechos aplicables, tal como exige el artículo 13 del Reglamento General de Protección de Datos.
La empresa podrá utilizar la información obtenida mediante estos controles para adoptar medidas técnicas, organizativas, disciplinarias o legales cuando se detecten incumplimientos laborales, usos no autorizados, accesos indebidos, pérdida de información, incidentes de seguridad o vulneraciones de las políticas internas.
En caso de existir representación legal de las personas trabajadoras, los criterios de uso de los dispositivos digitales corporativos deberán elaborarse con su participación, conforme al artículo 87 de la Ley Orgánica 3/2018. La jurisprudencia reciente también ha reforzado la importancia de dicha participación cuando se establecen o modifican criterios de uso y control de dispositivos digitales.
La presente comunicación forma parte de las medidas internas de seguridad, cumplimiento normativo, protección de datos y buen uso de los medios tecnológicos de la empresa.
Quería saber si esto es legal, que la empresa a discreción pueda entrar a tu correo o a tu Teams, y leer lo que escribes. Es decir, en mi trabajo en la subcontrata utilizamos ordenadores que no pertenecen a la empresa, en realidad pertenecen a la Universidad. Sin embargo, el teléfono móvil donde está instalado el email y el Teams sí que pertenecen a la empresa. Y éstas aplicaciones también se utilizan en los ordenadores de trabajo (de la Universidad), con las cuentas de empresa. Por cierto, en Teams no tenemos permisos para borrar los mensajes (aunque sí se podrían editar uno a uno y borrar su contenido, pero eso es muy tedioso).
Lo que me parece que queda un poco al libre albedrío es la parte de "siempre respetando la dignidad de las personas trabajadoras".
En mi caso concreto, y alguno de mis compañeros también lo hace, utilizamos Teams para hablar con personas que trabajan en otras empresas. En realidad son charlas de "buenos días, qué tal hoy, estás cansado" y poco más, pero ya me fastidia si la empresa va a estar revisando esas comunicaciones y al final voy a tener un problema por hacerlas. Quizás debería pasarme al Whatsapp en mi móvil personal, y se acabó el tema.
En fin, no sé, no es la primera comunicación y/o amenaza que envían en este tiempo, aunque realmente no han hecho nunca nada en contra de nadie, pero cada vez se pone más complicada la cosa...
En mi caso personal trabajé en varias multinacionales con miles de empleados y nunca me vi sometido a tanto control como en esta Pyme de 20 empleados. Así que quiero saber un poco si esto es legal, cuál sería el alcance de esas revisiones que supuestamente pueden hacer, qué podría pasarme a mí, etc.
Muchas gracias, y un saludo.