¿Cuándo puede una empresa revisar el ordenador de un trabajador?
Ordenadores, teléfonos móviles, tablets y cuentas de correo corporativo forman parte del día a día de cualquier empresa. Pero cuando surge un conflicto laboral aparece una cuestión importante: ¿puede una empresa revisar el ordenador de un trabajador y analizar la información que contiene?
Cuando una empresa necesita revisar el ordenador de un trabajador, debe hacerlo con una finalidad concreta y aplicando criterios de proporcionalidad.
La empresa puede ejercer determinadas medidas de control sobre los dispositivos que proporciona a sus empleados, pero este control no es ilimitado. Debe respetar el derecho a la intimidad y privacidad del trabajador y realizarse con una finalidad legítima y de forma proporcionada.
En este artículo explicamos qué puede controlar una empresa, cuáles son los límites de ese control y qué papel puede desempeñar un perito informático cuando es necesario analizar un ordenador, correo electrónico u otro dispositivo corporativo.
¿Puede una empresa controlar el ordenador de un trabajador?
El artículo 87 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, reconoce expresamente el derecho de los trabajadores a la intimidad en el uso de los dispositivos digitales facilitados por la empresa.
Al mismo tiempo, la empresa puede acceder a determinada información para comprobar el cumplimiento de las obligaciones laborales o garantizar la integridad de sus dispositivos.
Por tanto, que un ordenador pertenezca a la empresa no significa que pueda examinarse todo su contenido sin ningún límite.
La política de uso de los dispositivos es fundamental
Uno de los aspectos más importantes es que la empresa haya establecido previamente unas reglas claras sobre cómo pueden utilizarse los dispositivos corporativos.
Por ejemplo:
- Si está permitido utilizarlos para fines personales
- Qué controles puede realizar la empresa
- Qué sistemas pueden ser supervisados
- En qué circunstancias puede accederse a la información almacenada
Los trabajadores deben conocer previamente estos criterios.
Esto es especialmente relevante cuando la empresa permite cierto uso personal de ordenadores, teléfonos móviles o cuentas de correo corporativo, ya que también deben establecerse garantías destinadas a proteger la intimidad del trabajador.
Bărbulescu v. Rumanía: una sentencia clave sobre privacidad en el trabajo
Uno de los asuntos más importantes relacionados con el control empresarial de los dispositivos electrónicos es el caso Bărbulescu v. Rumanía, resuelto por la Gran Sala del Tribunal Europeo de Derechos Humanos en 2017.
El procedimiento se originó después de que una empresa supervisara las comunicaciones electrónicas de un trabajador y accediera al contenido de mensajes personales.
El Tribunal Europeo de Derechos Humanos consideró que se había vulnerado el artículo 8 del Convenio Europeo de Derechos Humanos, relativo al respeto de la vida privada y de la correspondencia.
La sentencia establece una idea especialmente importante: una empresa puede adoptar determinadas medidas de supervisión, pero deben existir garantías suficientes frente a posibles abusos.
Entre otros aspectos, debe valorarse:
- Si el trabajador había sido informado previamente
- El alcance del control realizado
- El grado de intromisión en su privacidad
- La existencia de una razón legítima
- Si podían haberse utilizado medidas menos invasivas
En definitiva, el control empresarial puede ser legítimo, pero debe estar justificado y ser proporcional.
¿Qué puede analizar una empresa si sospecha una irregularidad?
Los conflictos suelen aparecer cuando existen sospechas de actuaciones como:
- Extracción de información confidencial
- Eliminación de documentación
- Envío de información a terceros
- Utilización indebida del correo corporativo
- Copia de archivos
- Conexión de dispositivos USB
- Utilización no autorizada de recursos de la empresa
- Cualquier otra conducta susceptible de generar un conflicto laboral o judicial
En estas situaciones no resulta recomendable comenzar examinando indiscriminadamente todo el contenido del ordenador.
Antes de revisar el ordenador de un trabajador, conviene definir qué información se necesita analizar y qué alcance tendrá la investigación.
La investigación debería diseñarse atendiendo al objetivo concreto que pretende comprobarse y aplicando criterios de necesidad y proporcionalidad.
Cómo puede realizarse un análisis forense respetando la privacidad
Desde el punto de vista pericial, un análisis forense del ordenador de un trabajador puede limitarse técnicamente a la información relacionada con los hechos investigados.
Por ejemplo, pueden establecerse:
Palabras clave:
Nombres, direcciones de correo electrónico, empresas, proyectos, clientes o términos directamente relacionados con los hechos investigados.
Rangos de fechas:
Puede limitarse la búsqueda al periodo temporal relacionado con el conflicto.
Tipos concretos de archivos:
Documentos, correos electrónicos, archivos eliminados, dispositivos USB conectados, registros de actividad u otros elementos relacionados con el objeto de la investigación.
Búsquedas forenses específicas:
Las herramientas de informática forense permiten realizar búsquedas dirigidas sobre grandes volúmenes de información, reduciendo la necesidad de acceder a contenidos que no tienen relación con la investigación.
Este enfoque permite localizar evidencias digitales relevantes y, al mismo tiempo, limitar la exposición de información privada ajena al objeto del análisis.
La importancia de preservar correctamente la evidencia digital
Cuando la información puede terminar utilizándose en un procedimiento judicial, no basta con localizar un archivo, hacer una captura de pantalla o imprimir un correo electrónico.
Debe poder determinarse:
- De dónde procede la información
- Cómo se ha obtenido
- Cómo se ha preservado
- Qué actuaciones se han realizado sobre ella
- Si se ha mantenido íntegra durante el análisis
Por ello, el análisis debería realizarse aplicando procedimientos de informática forense, preservando correctamente la evidencia digital y documentando técnicamente las actuaciones realizadas.
El objetivo no es únicamente localizar información, sino poder determinar posteriormente su origen, integridad y contexto.
Privacidad del trabajador y control empresarial
La cuestión fundamental no consiste únicamente en determinar quién es el propietario del ordenador.
Lo relevante es establecer:
qué se pretende investigar, por qué existe una causa que justifica el análisis, qué información se necesita examinar y cómo se va a realizar.
La normativa española reconoce determinadas facultades de control empresarial, pero también protege expresamente la intimidad de los trabajadores.
La jurisprudencia europea refuerza esta misma idea: el control empresarial no puede convertirse en una supervisión indiscriminada de la vida privada del trabajador.
¿Qué aporta un perito informático en un conflicto laboral?
Cuando un conflicto laboral depende de lo ocurrido en un ordenador, teléfono móvil, correo electrónico o cualquier otro dispositivo digital, el peritaje informático permite analizar técnicamente los hechos.
Un perito informático puede identificar, preservar y analizar evidencias digitales relacionadas con la investigación, documentando el procedimiento seguido y los resultados obtenidos.
Entre otras actuaciones, puede analizar:
- Ordenadores de empresa
- Teléfonos móviles
- Cuentas y archivos de correo electrónico
- Archivos eliminados
- Dispositivos USB
- Actividad realizada en el sistema
- Documentación digital
- Otros rastros informáticos relacionados con los hechos investigados
El objetivo es que las conclusiones del informe estén sustentadas en evidencias digitales verificables y no únicamente en capturas de pantalla, impresiones o interpretaciones de la información encontrada.
En Ciberforensic realizamos análisis forenses de ordenadores, teléfonos móviles, correos electrónicos y otros dispositivos digitales, aplicando procedimientos destinados a preservar la información y obtener evidencias técnicamente verificables que puedan ser utilizadas en un procedimiento judicial.
