Protección de datos en teletrabajo y recursos humanos: qué revisar

¿Tienes razón?

Que un trabajador use su propia computadora o una conexión doméstica no es en sí una vulneración automática de la ley. Lo que determina si hay un problema son tres cuestiones principales: el tipo de datos que se procesan (por ejemplo, salud, afiliación sindical, datos biométricos), las garantías técnicas y organizativas para protegerlos, y las instrucciones y controles internos que el empleador impone y supervisa. Si RR.HH. maneja historias clínicas, licencias médicas o evaluaciones psicológicas, la exigencia de protección es mayor; si se trata de datos básicos de nómina, sigue habiendo obligación de cuidado, pero el esquema de riesgos y medidas es distinto.

También importa la base legal del tratamiento: si se procesa para dar cumplimiento a la relación laboral o para cumplir una obligación legal, eso lo legitima, pero no exime de medidas de seguridad. Por último, hay que revisar contratos con terceros: ¿la plataforma de nómina o la nube donde guardás legajos tiene cláusulas de confidencialidad y seguridad, y dónde están físicamente los servidores? Esos tres elementos —naturaleza del dato, medidas y relaciones con proveedores— configuran si tenés razón al preocuparte.

Cómo se soluciona

1) Hacé un inventario inmediato de datos usados en teletrabajo. Incluí: legajos, certificados médicos, recibos de sueldo, evaluaciones, grabaciones de videocalls y registros de accesos. Para cada ítem, indicá si se aloja en nube, en dispositivo personal o en servidor de la empresa.

2) Clasificá los datos por sensibilidad. Señalá claramente cuáles requieren un nivel reforzado de protección (por ejemplo, datos de salud). Esa clasificación te guía sobre cifrado, control de accesos y trazabilidad.

3) Revisá y actualizá las políticas internas por escrito. Incluí reglas sobre uso de dispositivos personales, almacenamiento en la nube, conexión a redes Wi‑Fi públicas, uso de VPN corporativa, y gestión de contraseñas. Redactá instrucciones claras sobre manejo de documentación física y su custodia en el domicilio.

4) Implementá controles técnicos básicos ya: acceso por usuario individual, autenticación fuerte donde sea posible (multi‑factor), cifrado de datos sensibles en tránsito y en reposo, y backups en entornos seguros. Si no podés técnicamente, limitá el acceso remoto a la mínima información necesaria.

5) Formalizá acuerdos con proveedores. Exigí cláusulas sobre confidencialidad, medidas de seguridad, subcontratación y responsabilidad. Verificá dónde están los servidores y las políticas de localización de datos.

6) Capacitación práctica y comprobable. Hacé cursos breves, guardá constancia de asistencia y evaluaciones. Distribuí guías rápidas: qué no enviar por correo personal, cómo reportar incidentes y cómo desechar documentación.

7) Establecé un canal para incidentes y un responsable claro dentro de RR.HH. para recibir reportes y coordinar respuesta.

Qué podés hacer vos hoy mismo: pedí al área de RR.HH. el inventario mínimo y guardalo en un archivo cifrado; exigí que las transmisiones de certificados médicos se hagan por un canal seguro y no por chat personal.

Cuándo llamar a un especialista: cuando haya datos sensibles involucrados, cuando exista una brecha de seguridad o cuando proveedores clave no acepten cláusulas mínimas de protección.

Qué puede pasar

1) Se arregla con una carta o medida interna. Muchas veces basta documentar la falta y corregir prácticas: cambiar la configuración de una plataforma, exigir VPN y firmar nuevos acuerdos con proveedores. Ese resultado es frecuente y suele resolver el problema sin mayores costos.

2) Acuerdo o conciliación. Si un ex trabajador denuncia una vulneración y la empresa reconoce el hecho o quiere evitar un reclamo, pueden negociar un acuerdo que incluya medidas correctivas, capacitación y, eventualmente, reparación. Un acuerdo puede ser preferible a un proceso prolongado: llega antes y evita exposición pública, aunque implique un costo.

3) Procedimiento administrativo o judicial. Si la vulneración afecta datos sensibles o hay daño efectivo, puede abrirse un procedimiento ante la autoridad competente o una demanda civil. Si perdés, además de la afectación reputacional podés tener que adoptar medidas forzadas por resolución judicial y afrontar costas. Una sentencia contra una empresa insolvente puede ser difícil de cobrar; la condena no siempre garantiza efectivo inmediato.

Y si ganás, ¿cobrás? La sentencia no garantiza que el tercero tenga recursos para pagar. Es importante evaluar el patrimonio del demandado y las medidas cautelares adecuadas.

Errores que arruinan el caso

• No conservar copia de cómo se gestionó el incidente: borrar logs o no guardar correos puede destruir prueba.
• Confiar en compromisos verbales con proveedores en lugar de un contrato escrito que detalle medidas de seguridad.
• Permitir acceso compartido a cuentas sin trazabilidad ni control individual.
• Ignorar la formación del personal: la mayoría de las brechas son por errores humanos.
• No separar quienes gestionan RR.HH. de quienes administran TI: falta de responsabilidades claras vuelve imposible demostrar diligencia.