Servicios de protección de datos en Las Rozas de Madrid

7. PROCEDIMIENTO DE TRABAJO FUERA DE LOS LOCALES DE LA ORGANIZACIÓN

Tener previsto el trabajo fuera de los locales de la empresa por algunos empleados, así como de forma temporal nos ayudará a cumplir con el art. 32 del Reglamento General de Datos en lo que respecta al deber de garantizar la resiliencia de los sistemas de información. Esto es, la capacidad que tiene nuestra empresa de adaptarse a los cambios imprevistos, por ejemplo, ante el caso de pandemia por el efecto del coronavirus. El estado de alarma subsiguiente implicó que muchos trabajadores no pudieran acudir a su puesto de trabajo, y aquellas empresas que tenían un buen sistema de trabajo a distancia, que contaban con herramientas tales como equipos portátiles, servidores configurados para trabajar en remoto, redes VPN y aplicaciones webs online han podido trabajar sin dificultad. Estas empresas habrían demostrado que tienen una buena capacidad de resiliencia.

Para realizar tratamientos de datos fuera de los locales de la empresa se deben seguir las siguientes normas:

7.1 Gestión de autorizaciones.
7.2 Teletrabajo.

7.1 Gestión de autorizaciones

Para tratar datos fuera de los locales de la empresa, al igual que para almacenarlos en dispositivos portátiles, se deberá tener autorización, cumpliendo con el procedimiento de gestión de soportes que haya establecido la empresa. Las autorizaciones que se otorguen deberán ser lo más concretas posibles, para que la persona autorizada no la considere como una autorización válida para todos los tratamientos.

Modelo de autorización:

7.2 Teletrabajo

El Teletrabajo es un sistema por el cual el empleado de una organización puede realizar su actividad productiva laboral predominantemente desde su domicilio particular, o bien, desde otro que éste haya elegido libremente.

El teletrabajo gracias a las nuevas tecnologías permite que la calidad de vida de los empleados sea mejor, aunque con la llegada de la pandemia del coronavirus, y el consiguiente estado de alarma decretado el 14 de marzo de 2020 en todo el país, muchas empresas se han visto obligadas a implantar teletrabajo para que no se paralice la producción.

El Instituto Nacional de Seguridad y Salud en el Trabajo define un criterio para que se considere que exista teletrabajo:

• Que se realice en una actividad profesional remunerada.
• Que el trabajo no se centralice, es decir, que el trabajador desempeñe sus funciones en un lugar distinto al centro de trabajo de la organización.
• Que existan medios tecnológicos al alcance del empleado por los cuáles se pueda desarrollar el trabajo.

El artículo 13 del Estatuto de los trabajadores contempla el trabajo a distancia o el teletrabajo, señalando que el acuerdo por el que se cree el trabajo a distancia se realizará por escrito, bien en el momento de la firma del contrato inicial, o bien posteriormente. Además, también recoge que los trabajadores que tele-trabajen tendrán los mismos derechos que aquéllos que desarrollen los servicios en el centro de trabajo de la empresa, por tanto, también tendrán las mismas obligaciones. Ello implica que el empleador y el tele-trabajador deban cumplir con normativa de protección de datos formalizando un acuerdo en el que reflejen las particularidades del teletrabajo:

1. En primer lugar, habrá que definir quién será el responsable de dotar los medios por los cuáles se vaya a realizar la prestación del servicio en el domicilio del trabajador, ordenador de sobremesa o portátil, teléfono, tablet, impresora, … y sobre todo las aplicaciones informáticas con las cuáles se ejecutará el trabajo, debiendo adoptar todas las medidas de seguridad necesarias.
2. Con carácter general conviene que estos recursos los aporte la empresa, sobre todo las aplicaciones informáticas, puesto que le garantiza un mayor control de la información. Aunque, a veces puede ocurrir que sea el trabajador quien aporte total o parcialmente dichos recursos. En tal caso, se debe obtener el consentimiento del trabajador para que trate en sus equipos la información prevista, incluyendo al menos las siguientes medidas de seguridad:
   • Los equipos de trabajo que utilice el trabajador serán únicamente los autorizados por la empresa.
   • En el supuesto de que la empresa disponga de aplicaciones web, se utilizarán éstas y no se almacenará la información en los equipos del empleado.
   • El acceso a redes inalámbricas ha de configurarse de manera que se utilice un protocolo cifrado, permitiendo la autenticación del usuario y de la red.
   • El empresario deberá requerir que los dispositivos dispongan de sistemas operativos y antimalware actualizados. Además, se deberá implementar una configuración de los equipos y aplicaciones informáticas de manera que permita acceder con credenciales de seguridad, identificando y autentificando al usuario, utilizando contraseñas seguras con al menos 8 caracteres que combinen mayúsculas, minúsculas y números. En función de la naturaleza de los datos tratados puede ser necesario contar con mayores medidas de seguridad, como disponer de un registro de acceso a la información, mediante el cual pueda conocerse qué usuario ha accedido al fichero, la hora exacta, si el acceso ha sido autorizado o denegado, y qué información ha sido modificada.
3. El empleador entregará al trabajador una copia de la política de seguridad de la empresa donde se incluyen las medidas de seguridad que la empresa ha implementado, además de precauciones de seguridad que debe tener en cuenta el trabajador, así como las limitaciones que se imponen durante la jornada laboral en la utilización de los recursos que la empresa ha dispuesto.
4. El empleador informará al trabajador que, de no seguirse las medidas de seguridad previstas por la empresa, se podrán tomar medidas disciplinarias por incumplimiento de las mismas.
5. El trabajador deberá utilizar los documentos y datos personales únicamente con fines relacionados con el trabajo, obligándose a conservarlos adecuadamente y a guardar estricto secreto profesional, comprometiéndose a otorgar máxima confidencialidad a esta información.

A continuación, se relacionan un conjunto de procedimientos de seguridad que contienen medidas que se pueden desarrollar, ampliar o reducir según las necesidades de la empresa. Se pueden tomar como referencia para proteger los ficheros y así poder cumplir con lo señalado en el art. 32 de Reglamento General de Protección de datos (RGPD), que versa sobre la seguridad del tratamiento de datos. Pulse en cada una de ellas para obtener más información.

Procedimientos de Seguridad. Introducción

1. Procedimientos de gestión de usuarios y control de acceso.
2. Procedimientos de gestión de contraseñas.
3. Procedimientos de gestión de soportes.
4. Procedimientos de seguridad en locales, departamentos y dispositivos físicos.
5. Procedimientos de ficheros temporales y copias de trabajo de documentos.
6. Procedimientos de gestión de telecomunicaciones.
7. Procedimientos de trabajo fuera de los locales.
8. Procedimientos de protección en equipos, redes y aplicaciones informáticas.
9. Procedimientos de gestión de copias de seguridad.
10. Procedimientos de gestión de incidencias.