Acceptable Use Policy Mexico (Política de Uso Aceptable)

Sí, pero con limitaciones importantes conforme al derecho mexicano. Los patrones pueden monitorear el uso que los empleados hacen de los sistemas de TI de la empresa —incluidos el correo electrónico, la navegación en internet y la actividad en las aplicaciones— cuando se cumplen requisitos legales específicos conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y la Ley Federal del Trabajo (LFT). El monitoreo debe revelarse a los empleados de manera previa —ya sea en el contrato de trabajo (contrato de trabajo), en el contrato colectivo de trabajo (contrato colectivo de trabajo), en el aviso de privacidad de la empresa conforme al Artículo 15 de la LFPDPPP, o en la Política de Uso Aceptable que los empleados reconocen formalmente. Los Artículos 63 y 64 del Reglamento de la LFPDPPP establecen que el monitoreo de los empleados es lícito cuando sirve a un propósito legítimo empresarial (propósito legítimo empresarial), es proporcional a ese propósito y no se extiende a las comunicaciones personales en dispositivos personales. El monitoreo de teléfonos móviles personales o cuentas de correo personales —incluso durante la jornada— sin consentimiento constituye una violación a la intimidad (violación a la intimidad) conforme al Artículo 16 de la Constitución Política y puede ser accionable como una violación al derecho laboral. El INAI ha sostenido que el monitoreo generalizado de todas las comunicaciones de los empleados sin una justificación específica vulnera el principio de proporcionalidad de la LFPDPPP. Una Política de Uso Aceptable que defina con claridad qué se monitorea, con qué propósito y en qué circunstancias proporciona la base legal para el monitoreo lícito y reduce de manera significativa el riesgo de reclamaciones conforme a la LFT y la LFPDPPP.

El Código Penal Federal (CPF) contiene varias disposiciones clave que definen los delitos informáticos (delitos informáticos) en México, que una Política de Uso Aceptable eficaz debe referenciar para disuadir la conducta prohibida y establecer las consecuencias legales de las violaciones. Los Artículos 211 Bis 1 a 211 Bis 7 —comúnmente referidos como el capítulo de delitos informáticos— tipifican: el acceso no autorizado a sistemas informáticos protegidos por medidas de seguridad (acceso ilícito a sistemas informáticos), sancionable con prisión de seis meses a dos años; la modificación, destrucción o pérdida de información (modificación o destrucción de información), sancionable con prisión de uno a cuatro años; y la copia o el uso no autorizado de información protegida, sancionable con prisión de tres meses a un año. Cuando los sistemas informáticos pertenecen a una institución financiera, una dependencia del gobierno federal o infraestructura crítica, las penas conforme a los Artículos 211 Bis 5 a 211 Bis 7 aumentan hasta en un 50%. El Artículo 167 del CPF tipifica la interferencia en las redes de telecomunicaciones. El Artículo 202 tipifica el material de explotación sexual infantil. Los Artículos 386 y 387 cubren el fraude cometido por medios electrónicos (fraude informático). Una Política de Uso Aceptable que prohíba expresamente las actividades que caen bajo estas disposiciones del CPF y haga referencia a las penas que implican sirve como un disuasivo importante —los usuarios que firman o reconocen la política no pueden alegar desconocimiento de las consecuencias penales del delito cibernético cometido usando los recursos de TI de la organización.

Las políticas de BYOD (uso de dispositivos personales) en México requieren un equilibrio cuidadoso conforme a la Ley Federal del Trabajo (LFT), la LFPDPPP y el derecho constitucional del empleado a la privacidad conforme al Artículo 16 de la Constitución Política. Cuando una organización permite o exige a los empleados usar dispositivos personales para el trabajo —práctica que se expandió de manera significativa con las reformas de la oficina en casa a la LFT en enero de 2021— la Política de Uso Aceptable debe atender varios aspectos distintos. Primero, qué datos y sistemas de la empresa pueden accederse desde los dispositivos personales —lo que típicamente requiere la instalación de una solución de Gestión de Dispositivos Móviles (MDM) que pueda segmentar los datos de la empresa de los datos personales en el dispositivo. Segundo, qué requisitos de seguridad aplican a los dispositivos personales usados para el trabajo —versiones mínimas del sistema operativo, cifrado obligatorio, uso obligatorio de VPN, prohibición de almacenar datos de la empresa en cuentas personales en la nube. Tercero, qué sucede cuando un dispositivo personal usado para el trabajo se pierde, es robado o se ve comprometido —incluido el derecho de la organización a borrar de forma remota los datos de la empresa del dispositivo, y el procedimiento para hacerlo de una manera que no destruya los datos personales del empleado. El Artículo 330-E de la LFT exige a los patrones que proporcionan equipo a los trabajadores remotos mantenerlo en buen estado de funcionamiento —para los escenarios de BYOD, es esencial un acuerdo claro sobre las responsabilidades de mantenimiento. Los lineamientos del INAI advierten que las soluciones de MDM deben configurarse técnicamente para acceder únicamente a la partición de trabajo de un dispositivo BYOD, no a las fotos, mensajes o aplicaciones personales —acceder a datos personales en el dispositivo personal de un empleado sin consentimiento vulnera el Artículo 8 de la LFPDPPP.

La Ley Federal del Trabajo (LFT) prevé un marco disciplinario escalonado para las violaciones de los empleados a las políticas internas, incluida la Política de Uso Aceptable. Para las violaciones menores o por primera vez, el patrón puede emitir una amonestación escrita (amonestación escrita) conforme a la fracción X del Artículo 423 de la LFT, que exige al patrón llevar un registro de las amonestaciones y presentarlas en cualquier procedimiento disciplinario posterior. Para las violaciones reiteradas o la conducta que causa un daño al patrón pero que no llega al nivel de causa justificada de terminación, el patrón puede imponer una suspensión sin goce de sueldo (suspensión sin goce de sueldo) de hasta ocho días, sujeta a la aprobación de la STPS (Secretaría del Trabajo y Previsión Social). Para las violaciones graves —incluida la actividad delictiva usando los sistemas de TI de la empresa, la revelación no autorizada de información confidencial (violación de secretos industriales) conforme a la Ley Federal de Protección a la Propiedad Industrial (LFPPI), o la insubordinación grave— el patrón puede rescindir la relación de trabajo sin responsabilidad (rescisión sin responsabilidad patronal) conforme al Artículo 47 de la LFT, eliminando la obligación de pagar la liquidación (liquidación). Para que la rescisión sea válida conforme al Artículo 47 de la LFT, el patrón debe notificar al empleado por escrito dentro de los 30 días siguientes a tener conocimiento de la violación, precisando la conducta exacta y la cláusula de la política violada. No seguir este procedimiento convierte la rescisión en un despido injustificado (despido injustificado) que exige el pago de tres meses de salario más 20 días por cada año de servicio más las partes constitucionales —lo que hace que una Política de Uso Aceptable bien documentada y debidamente firmada sea esencial para la capacidad del patrón de tomar acciones disciplinarias lícitas.

Sí. La Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech, DOF 9 de marzo de 2018) y sus disposiciones de aplicación emitidas por la Comisión Nacional Bancaria y de Valores (CNBV) y el Banco de México (Banxico) imponen obligaciones específicas de gobierno de TI y ciberseguridad a las instituciones de tecnología financiera reguladas (Instituciones de Tecnología Financiera o ITF) —incluidas las Instituciones de Fondos de Pago Electrónico (IFPE) y las Instituciones de Financiamiento Colectivo (IFC). La Circular Única de Instituciones de Tecnología Financiera (CUFintech) de la CNBV exige a las ITF mantener: políticas escritas de seguridad de TI, incluida una Política de Uso Aceptable que cubra a todo el personal con acceso a los sistemas de producción; un sistema de gestión de seguridad de la información (sistema de gestión de seguridad de la información) alineado con la ISO 27001 o equivalente; procedimientos documentados de gestión de identidades y accesos (gestión de identidades y accesos), incluido el principio de mínimo privilegio (principio de mínimo privilegio); capacitación obligatoria en concienciación de seguridad (capacitación en seguridad) para todo el personal al menos una vez al año; y un plan de respuesta a incidentes (plan de respuesta a incidentes) integrado con la política. Las ITF también deben notificar a la CNBV los incidentes de ciberseguridad dentro de las 24 horas siguientes a su detección —la política debe incluir un procedimiento interno de escalamiento que permita cumplir este plazo de notificación. El incumplimiento de los requisitos de ciberseguridad de la CNBV puede derivar en sanciones administrativas conforme al Artículo 109 de la Ley Fintech, incluidas multas de hasta 1.2 millones de UDIS, la suspensión de operaciones y la revocación de la licencia de operación de la ITF —lo que hace de una Política de Uso Aceptable integral una necesidad regulatoria y no solo una mejor práctica.

El uso de redes sociales por los empleados (uso de redes sociales) plantea cuestiones jurídicas complejas conforme al derecho laboral, el derecho de protección de datos y el derecho de propiedad intelectual mexicanos que una Política de Uso Aceptable debe abordar con precisión. La LFT no aborda específicamente las redes sociales, pero la fracción IX del Artículo 47 de la LFT permite la rescisión sin responsabilidad respecto de los empleados que causan un daño grave al patrón por la revelación de secretos de fabricación o de negocio confidenciales —lo que los tribunales laborales mexicanos han aplicado a los empleados que publican información confidencial de la empresa en plataformas de redes sociales. La política debe distinguir entre tres categorías de uso de redes sociales: el uso de las cuentas de redes sociales propiedad de la empresa (cuentas que pertenecen a la empresa), que es actividad de trabajo sujeta a la plena supervisión del patrón; el uso de cuentas personales de redes sociales durante la jornada en dispositivos o redes de la empresa, que la política puede restringir o prohibir y monitorear dentro de los límites de la LFPDPPP; y el uso de cuentas personales de redes sociales fuera de la jornada en dispositivos personales, que en general está protegido por el derecho constitucional del empleado a la libertad de expresión conforme al Artículo 6 de la Constitución Política y el derecho a la privacidad conforme al Artículo 16. La política no debe prohibir a los empleados discutir las condiciones de trabajo, los salarios o los derechos laborales en redes sociales —tal restricción vulneraría la prohibición de la fracción XXXI del Artículo 132 de la LFT a la injerencia del patrón en los derechos de los trabajadores garantizados por los Convenios de la Organización Internacional del Trabajo (OIT) de los que México es parte. Las prohibiciones claras de revelar información de negocio confidencial, datos de clientes y secretos industriales cubiertos por el marco de acuerdos de confidencialidad de la organización son lícitas y exigibles.

Cuando las autoridades mexicanas —incluidas la Fiscalía General de la República (FGR), la Secretaría de Seguridad y Protección Ciudadana (SSPC) o la Unidad de Inteligencia Financiera (UIF)— solicitan acceso a datos almacenados en los sistemas de TI de una organización, esta debe equilibrar el cumplimiento de sus obligaciones legales conforme al Artículo 189 de la LFTR y el derecho procesal penal con sus obligaciones de protección de datos conforme a la LFPDPPP y sus obligaciones contractuales de confidencialidad hacia clientes y usuarios. El Artículo 189 de la LFTR exige a los concesionarios de telecomunicaciones cooperar con las solicitudes de intervención lícitas de las autoridades facultadas —las empresas privadas que no son operadoras de telecomunicaciones tienen una obligación más acotada pero aún significativa de cumplir con las órdenes judiciales y los requerimientos ministeriales conforme al Código Nacional de Procedimientos Penales (CNPP). Una Política de Uso Aceptable debe incluir un procedimiento de respuesta a solicitudes de datos que especifique: quién dentro de la organización tiene facultad para recibir y responder las solicitudes gubernamentales de datos (típicamente el abogado general o el responsable de protección de datos); el proceso para verificar la validez legal y el alcance de la solicitud —incluido que se presenten las órdenes judiciales antes de revelar los datos; el proceso para notificar a los usuarios afectados cuando esté legalmente permitido; y la documentación que debe conservarse sobre la solicitud, el alcance de los datos revelados y el fundamento legal invocado. El área jurídica de la organización debe revisar cualquier solicitud gubernamental de datos antes de su revelación —el exceso de cumplimiento (revelar más datos de los que exige la orden legal) puede exponer a la organización a responsabilidad conforme a la LFPDPPP frente a los usuarios cuyos datos se revelaron.