Sobre el monitoreo del email y otras responsabilidades

Con motivo de un reciente fallo de la sala IV de la Cámara Nacional de Apelaciones Laboral y los antecedentes de los diferentes fueros de la Justicia Nacional, creemos prudente volver a hablar sobre la importancia de una adecuada gestión, administración y control del uso de las herramientas informáticas por parte del personal de las empresas.

Son muchas las normas que contemplan responsabilidades por el uso debido o indebido de las mismas y el correspondiente control por parte del empleador así como las relativas a la intimidad de las personas que generan responsabilidades objetivas para las empresas que manipulan información utilizando tecnología.

No se requiere sofisticación en el uso de la tecnología, ya que hoy en día las computadoras, las cuentas de correos electrónicos, los accesos VPN o remotos, etc., son herramientas de trabajo generalizadas y es ahí, en la cotidianeidad, donde el relajo de los procesos suele generar responsabilidades empresariales por omisión o por incorrecto uso de las potestades de dirección y vigilancia propias de la actividad empresarial.

La jurisprudencia ha resuelto que las comunicaciones telefónicas y electrónicas tienen protección constitucional, que el correo electrónico, como nuevo medio de comunicación entre las personas, es inviolable, y debe recibir el mismo tratamiento que la correspondencia epistolar y los papeles privados, protegidos por el Art. 18 CN, etc.

Por su parte, el 31 de marzo del corriente año, en el fallo “Lodigiani, Roberto Horacio c/Central Multiservicios SRL s/ despido”, la Sala IV del fuero laboral legitimó el despido con causa de un empleado que mediante el uso de la cuenta de correo provista por la empresa, había injuriado a compañeros de trabajo. Este fallo analiza los siguientes aspectos: (i) Existencia de violación de correspondencia epistolar; (ii) Legitimidad del uso de un email no dirigido a la empresa como prueba de la pérdida de confianza al empleado que torna imposible la continuación de la relación laboral.

Respecto del primer punto, concluyó que se acreditó de modo fehaciente no sólo la existencia de un manual de conducta, sino que además se acreditó la entrega del mismo al empleado, haciendo hincapié que por rol del empleado dentro de la empresa, su conducta configuró una injuria grave que habilita el despido con causa. En virtud de haberse comprobado que la empresa había informado sobre el uso que se debía dar al correo corporativo y demás herramientas informáticas, la Cámara Laboral consideró que no había existido violación de correspondencia epistolar ni de la privacidad del empleado.

Sobre el segundo punto, la cámara consideró válida la prueba acompañada para revertir el despido en cuanto el email dirigido a compañeros de trabajo y a un superior con contenido injuriante configuraba causa grave y justa para la extinción del vínculo laboral.

Más allá de las conclusiones del fallo en lo que hace a la materia laboral, la fundamentación de las mismas tuvo como eje central la implementación de procesos adecuados para la comunicación y capacitación sobre el uso de herramientas informáticas, la redacción de normas claras, uniformes sobre dichos aspectos, el trato respetuoso entre los compañeros de trabajo y la intolerancia ante situaciones que alteren el normal desenvolvimiento de las relaciones humanas en el ámbito laboral, fueron el eje del accionar de la empresa y la conducta del empleado se calificó jurídicamente como contraria a la buena fe de un “buen trabajador”.

Como se menciona en las primeras líneas de esta nota, la gestión del uso de herramientas informáticas (mensajeros, Internet, correo electrónico, etc.) no solo requiere un uso ordenado y controlado, a los fines de evitar responsabilidades laborales y daño a la imagen empresaria, sino también a fin de evitar el incumplimiento de obligaciones objetivas establecidas por las leyes vigentes en el país que permiten hablar de la existencia de un deber de vigilancia en cabeza de las organizaciones, que requieren de una correcta delegación de funciones en directivos y empleados y una adecuada instrumentación de medidas y procesos a fin de acreditar el cumplimiento de ese deber de vigilancia (de datos, propiedad intelectual, correspondencia de terceros almacenada de diferentes maneras, incluida la digital) y evitar la responsabilidad por comisión de delitos o infracciones por omisión.

La Ley 25.326 de Protección de Datos Personales coloca en cabeza de las organizaciones (grandes, pequeñas, unipersonales, etc.) la obligación de registrar las bases de datos a fin de proteger al titular de los datos, de utilización abusiva e incorrecta de los mismos. La interpretación que ha realizado la autoridad de control (DNPDP) a través del dictado de diferentes resoluciones ha llevado a extender el régimen a todas las bases de datos, considerando que como mínimo una organización posee tres bases de datos registrables y sobre las que debe poseer medidas de seguridad, manual de procedimientos, etc. En definitiva coloca a las empresas en tutoras de los datos de terceros obligándolas a cuidarlos en un ámbito adecuado, mantenerlos actualizados y destruirlos al cumplirse el fin por el cual fueron recabados. Asimismo obliga a los titulares de dichas bases a cumplir con medidas de seguridad, capacitación, restricción de acceso a los datos, generando así una obligación genérica de custodia, obligaciones concretas de hacer y responsabilidades objetivas por la simple acreditación de la omisión.

La Ley 24.766 sobre Confidencialidad de la Información coloca también en cabeza de las empresas la obligación de tomar medidas de resguardo de las mismas. La conocida Ley 26.388 de Delitos Informáticos, modificatoria del Código Penal, implica la instauración de responsabilidades objetivas por violación del deber de vigilancia o por omisión en el cumplimiento de las obligaciones legales de custodia, buena fe, etc., propias de la conducta requerida a un buen hombre de negocios, de acuerdo al tipo de información que maneja.

Por su parte, tanto el Código Civil como el Comercial y la legislación laboral responsabilizan a las empresas por los hechos de sus dependientes. Estas disposiciones suelen verse reflejadas en cláusulas contractuales sobre responsabilidad por la confidencialidad, multas por violación de las mismas, protección de know how, etc.

Corresponde preguntarse, entonces, de qué modo no se violan estas normas cuando se ejercen las facultades de dirección y vigilancia propias de la actividad empresaria; de qué modo se está incumpliendo con la obligación de hacer y de vigilancia que imponen las normas mencionadas; de qué modo se está expuesto a asumir responsabilidades económicas por hechos delictivos o infracciones administrativas realizadas por negligencia o intencionalmente por terceros respecto de los cuales se debe responder; de qué modo se asume una responsabilidad por omisión.

Es por ello que hoy ya no se habla sobre la posibilidad o no de monitorear el correo electrónico corporativo y cómo, sino que se habla sobre ¿qué sucede si un empleado envía un virus a través de la cuenta de e-mail de la empresa?, ¿y si lo hace un gerente?, ¿y un socio?, ¿y si el virus no es enviado, sino introducido en los sistemas de la empresa alterando, inutilizando o destruyendo datos o programas propios?, ¿y si los datos o programas son de terceros?

El estado actual de la legislación llama a revisar y actualizar las políticas de las organizaciones y el estado de sus procesos en cuanto a la existencia de:

• bases de datos: pertinencia de las mismas y de los datos almacenados; actualización de los mismos o destrucción; existencia de procesos de seguridad, medidas técnicas de seguridad y responsabilidad sobre el uso;
• políticas de uso de herramientas informáticas: acreditación de su conocimiento por parte de los usuarios de las mismas (empleados, contratados, terceros que accedan, etc.); acreditación de capacitación, de controles objetivos y parejos en la organización y de toma de medidas correctivas en caso de desvío en el uso de modo tal de no aparecer arbitraria una sanción fundada en una disposición del reglamento de uso de herramientas informáticas;
• medidas de seguridad para el resguardo de la información confidencial de terceros de modo tal de restringir el riesgo por fuga de información y acreditar eventualmente que las medidas de seguridad tomadas para su resguardo fueron acordes a las obligaciones asumidas con el fin de cortar la cadena de responsabilidad en caso de ser necesario.

La gestión de las herramientas informáticas y la información digital de la empresa debiera ocupar un lugar importante en la agenda de la dirección y gerencia con el objetivo que las medidas tecnológicas que se tomen tengan un adecuado sustento fáctico y jurídico y sean eficientes para repeler una acción de responsabilidad civil, penal o administrativa de modo tal de tomar los recaudos del caso a los efectos de prevenir eventuales responsabilidades.

Contar con una política de administración de los recursos tecnológicos (sistemas, datos y software) e implementar las medidas tecnológicas y legales apropiadas puede ayudar a la empresa a evitar responsabilidades civiles y penales, que suelen afectar no sólo el patrimonio, sino también el buen nombre y honor y, por ende, el lugar ganado en el mercado.

Fuente: Carranza Torres

Suscríbete a nuestro Boletín