Política de Uso de Tecnología en México (LFT y LFPDPPP)

La Política de Uso de Tecnología en México es un documento formal de la empresa que establece las reglas, los estándares y las limitaciones que rigen el uso por parte de los empleados de los recursos de tecnología de la información propiedad de la empresa o administrados por ella (incluidos computadoras, laptops, dispositivos móviles, servidores, software, bases de datos, conexiones a internet, cuentas de correo electrónico corporativo, plataformas en la nube y herramientas de comunicación) dentro de la relación de trabajo regulada por la Ley Federal del Trabajo (LFT).

El fundamento legal de una Política de Uso de Tecnología en México descansa en varias leyes interconectadas. El artículo 422 de la Ley Federal del Trabajo establece el derecho del patrón de expedir el Reglamento Interior de Trabajo, que rige las normas operativas dentro del centro de trabajo. Una Política de Uso de Tecnología por lo general forma parte del Reglamento Interior de Trabajo o se anexa a él, el cual, conforme al artículo 424 de la LFT, debe depositarse ante la Secretaría del Trabajo y Previsión Social (STPS) cuando la empresa tiene 20 o más trabajadores. El artículo 133 de la LFT prohíbe a los patrones exigir a los trabajadores realizar actividades no estipuladas en el contrato de trabajo; en correspondencia, los patrones deben definir con claridad los usos permitidos y prohibidos de los recursos tecnológicos dentro del ámbito laboral.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el Diario Oficial de la Federación el 5 de julio de 2010, es central para cualquier Política de Uso de Tecnología porque el artículo 3 de la LFPDPPP define el alcance de la protección de datos personales aplicable a todas las entidades del sector privado en México. Cuando los empleados usan los sistemas de la empresa, surgen dos conjuntos de obligaciones de protección de datos: la obligación del patrón de proteger los datos personales de los empleados (atendida en el aviso de privacidad del contexto laboral) y la responsabilidad del patrón de evitar que los empleados usen los sistemas de la empresa para tratar datos personales de terceros en violación de la LFPDPPP. El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) aplica la LFPDPPP y puede imponer multas de 100 a 320,000 veces la Unidad de Medida y Actualización (UMA) por las violaciones.

El artículo 134, fracción XIII, de la Ley Federal del Trabajo impone a los trabajadores un deber legal de confidencialidad: deben guardar el secreto de los asuntos técnicos, comerciales y de fabricación, lo que en la era digital se extiende a la información confidencial almacenada o transmitida a través de los sistemas de TI de la empresa. El artículo 47, fracción IX, de la LFT establece que el patrón puede rescindir el contrato de trabajo sin responsabilidad cuando un trabajador revela secretos de fabricación o técnicos que causan un perjuicio a la empresa; esta disposición aplica de manera directa a los empleados que usan de manera indebida los recursos tecnológicos corporativos para extraer o compartir datos confidenciales.

La Norma Oficial Mexicana NOM-035-STPS-2018, aplicable a todos los centros de trabajo con más de 50 trabajadores, incluye disposiciones sobre los entornos organizacionales de comunicación que se intersecan con el uso de la tecnología: la vigilancia excesiva de los trabajadores o el monitoreo irrazonable de las comunicaciones personales pueden constituir un factor de riesgo psicosocial que el patrón está obligado a mitigar conforme al protocolo de la NOM-035. Una Política de Uso de Tecnología en México bien redactada debe, por tanto, equilibrar el interés legítimo del patrón de proteger los activos de TI y la información confidencial con el derecho del trabajador a la privacidad y al trato digno garantizado por el artículo 3 Bis de la LFT.

La Ley Federal de Telecomunicaciones y Radiodifusión (LFTR), publicada en el DOF el 14 de julio de 2014, y su reglamento establecen obligaciones de conservación de los datos de comunicaciones electrónicas por parte de los proveedores de telecomunicaciones; un patrón que monitorea el correo electrónico corporativo o el tráfico de internet como operador de red debe cumplir las reglas aplicables de conservación de datos y de privacidad conforme a la LFTR y a la LFPDPPP para evitar la exposición regulatoria.

La Política de Uso de Tecnología en México la necesita cualquier patrón (sin importar su tamaño, sector o industria) que proporciona a los empleados acceso a los recursos de TI propiedad de la empresa o administrados por ella como parte de sus funciones. El documento adquiere relevancia legal cuando ocurre una acción disciplinaria, un despido o una vulneración de datos y el patrón necesita demostrar que reglas claras y documentadas regían el uso de la tecnología en el centro de trabajo.

La política es esencial cuando la empresa opera con un Reglamento Interior de Trabajo registrado ante la STPS conforme al artículo 424 de la LFT; los lineamientos de inspección laboral de la STPS revisan de manera específica si las normas internas cubren el uso de la tecnología de información y comunicación, en particular en las empresas con 20 o más trabajadores.

Una Política de Uso de Tecnología en México se necesita cuando la empresa trata datos personales de clientes, pacientes, estudiantes u otros terceros a través de sus sistemas de TI; la LFPDPPP exige que el patrón implemente medidas de seguridad técnicas, administrativas y físicas proporcionales a la sensibilidad de los datos, y una política de uso de tecnología dirigida a los empleados es una de las salvaguardas administrativas que el INAI revisa en caso de un incidente de seguridad o de una queja por vulneración de datos.

La política se requiere cuando los empleados trabajan de manera remota (teletrabajo) conforme a los artículos 330-A a 330-K de la Ley Federal del Trabajo; la reforma de teletrabajo de 2021 exige al patrón proporcionar las herramientas y el equipo necesarios para el trabajo remoto, y una Política de Uso de Tecnología es el vehículo apropiado para definir el uso aceptable, los requisitos de seguridad (VPN, cifrado, bloqueo de pantalla), los límites de reembolso de gastos y el derecho del patrón de auditar el equipo remoto conforme a una orden judicial.

Una Política de Uso de Tecnología en México también se necesita cuando la empresa ha enfrentado o prevé riesgos relacionados con que los empleados usen los sistemas de la empresa para acceder a redes sociales, descargar software no autorizado, conectar dispositivos personales a la red corporativa o almacenar datos de la empresa en cuentas personales en la nube. Las políticas de uso aceptable documentadas fortalecen la posición del patrón en cualquier procedimiento de rescisión ante el Tribunal Laboral o en una denuncia penal por violación de la confidencialidad conforme al artículo 210 del Código Penal Federal.

Para las empresas sujetas a la Ley del Mercado de Valores (LMV) mexicana o reguladas por la Comisión Nacional Bancaria y de Valores (CNBV), una Política de Uso de Tecnología alineada con los marcos de ciberseguridad es un requisito regulatorio y forma parte de las obligaciones de control interno que se revisan durante las inspecciones de la CNBV.

Una Política de Uso de Tecnología en México completa debe contener los siguientes elementos clave para cumplir la Ley Federal del Trabajo, la LFPDPPP y los estándares aplicables de ciberseguridad y protección de datos que aplican el INAI y la STPS.

Ámbito de aplicación: una manifestación clara que identifique a qué empleados, contratistas, trabajadores temporales (trabajadores por honorarios) y becarios está sujeta la política, y qué recursos de TI (computadoras, laptops, teléfonos móviles, tabletas, servidores, plataformas en la nube, cuentas de correo electrónico corporativo, conexiones a internet, redes internas LAN/WAN/wifi, sistemas de videoconferencia y cualquier otra tecnología proporcionada o administrada por la empresa) quedan comprendidos en la cobertura de la política. La política debe especificar que aplica tanto en el centro de trabajo físico como durante el trabajo remoto o híbrido (teletrabajo o modalidad híbrida) conforme a los artículos 330-A a 330-K de la LFT.

Estándares de uso aceptable: una descripción detallada de los fines para los que pueden usarse los recursos tecnológicos de la empresa (principalmente para tareas relacionadas con el trabajo) y las limitaciones del uso personal. La política debe distinguir con claridad entre las actividades prohibidas en todo momento (descargar malware, acceder a los sistemas de la competencia, transmitir datos confidenciales de la empresa a cuentas de correo personales, visitar sitios web prohibidos) y las actividades restringidas pero permitidas dentro de límites (un uso personal limitado de internet durante los periodos de descanso). El deber de confidencialidad del artículo 134, fracción XIII, de la LFT debe citarse como el fundamento legal para prohibir a los empleados compartir o revelar secretos comerciales a través de la tecnología de la empresa o personal.

Correo electrónico corporativo y herramientas de comunicación: las reglas que rigen el uso de las cuentas de correo electrónico corporativo, las plataformas de mensajería internas, las herramientas de videoconferencia y las aplicaciones de colaboración. La política debe señalar que las cuentas de correo electrónico corporativo siguen siendo propiedad del patrón y pueden monitorearse para fines legítimos de negocio dentro de los límites de la LFPDPPP y de la ley de privacidad aplicable; el monitoreo ilimitado o encubierto de todas las comunicaciones personales sin aviso es incompatible con los estándares de protección de datos del INAI y con las disposiciones de riesgo psicosocial de la NOM-035-STPS-2018.

Requisitos de seguridad de los dispositivos: las obligaciones específicas para proteger los dispositivos de la empresa, incluidos el uso obligatorio de contraseñas robustas o autenticación biométrica, el bloqueo automático de pantalla tras la inactividad, el almacenamiento cifrado de los datos sensibles, la prohibición de conectar dispositivos USB personales a los sistemas corporativos sin autorización y los requisitos de usar la VPN de la empresa al trabajar de manera remota. Estas salvaguardas técnicas reflejan las medidas de seguridad requeridas conforme al artículo 48 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y a su reglamento.

Redes sociales y comunicaciones públicas: los lineamientos sobre el uso de las redes sociales por parte de los empleados, que distingan entre la actividad personal en redes sociales (protegida por la libertad de expresión) y las actividades prohibidas, como publicar información confidencial de la empresa, denostar a clientes o colegas o suplantar a la empresa en línea. Cualquier política que restrinja la actividad en redes sociales fuera del horario debe calibrarse con cuidado para evitar infringir los derechos constitucionales del empleado conforme al artículo 7 de la Constitución Política (libertad de expresión) y al artículo 3 Bis de la LFT (no discriminación y dignidad en el trabajo).

Reglas de uso de dispositivos personales (BYOD): cuando el patrón permite a los empleados usar dispositivos personales para fines de trabajo (en particular durante el teletrabajo), la política debe especificar los requisitos mínimos de seguridad de los dispositivos personales (uso de VPN, inscripción en MDM, bloqueo de pantalla), los datos que pueden y no pueden almacenarse en los dispositivos personales y el proceso para borrar de manera remota los datos de la empresa de un dispositivo personal al término de la relación de trabajo, con referencia expresa a los derechos ARCO del empleado conforme al artículo 22 de la LFPDPPP respecto de los datos almacenados en el dispositivo.

Monitoreo y aplicación: una manifestación transparente de que el patrón puede monitorear la actividad de la red corporativa, el tráfico del correo electrónico corporativo y los registros de uso de los dispositivos para fines de seguridad y cumplimiento, dentro del alcance permitido por la LFPDPPP y las guías del INAI, y de que los empleados no tienen expectativa de privacidad respecto de las comunicaciones realizadas a través de los sistemas corporativos. Las consecuencias disciplinarias por las violaciones a la política deben referir las disposiciones específicas del Reglamento Interior de Trabajo y las causas de rescisión del artículo 47 de la LFT aplicables a la revelación no autorizada de secretos comerciales o a la mala conducta grave.

Respuesta ante vulneración de datos: un breve procedimiento que los empleados deben seguir si descubren o sospechan una vulneración de datos, un acceso no autorizado o la pérdida de un dispositivo de la empresa, con los datos de contacto del equipo de seguridad de TI y la referencia a la obligación del patrón de notificar al INAI dentro de las 72 horas conforme al artículo 20 de la LFPDPPP si una vulneración de datos personales afecta los derechos de los titulares. Forms-legal.com recomienda que esta política se revise cada año y se actualice para reflejar los cambios en la infraestructura de TI de la empresa, los criterios de inspección de la STPS y la orientación de aplicación del INAI.