Ordenadores, móviles, correo electrónico, mensajería, servicios en la nube, plataformas de videoconferencia y herramientas de inteligencia artificial forman parte del trabajo diario de casi cualquier organización. Precisamente por eso, utilizar estos recursos sin reglas claras puede generar incidentes de seguridad, filtraciones de información, conflictos laborales y tratamientos de datos personales excesivos.
Un protocolo de uso de medios digitales sirve para definir qué usos están permitidos, qué conductas están prohibidas, qué controles puede aplicar la empresa y qué garantías protegen a las personas trabajadoras. No debe ser una simple lista de prohibiciones: debe reflejar la realidad tecnológica de la organización y establecer un equilibrio entre seguridad, productividad, control empresarial y derechos digitales.
¿Es obligatorio disponer de un protocolo de uso de medios digitales?
En España, el artículo 87 de la LOPDGDD reconoce el derecho a la intimidad en el uso de los dispositivos digitales facilitados por el empleador y obliga a establecer criterios de utilización. En la elaboración de esos criterios debe participar la representación legal de los trabajadores, cuando exista, y las personas trabajadoras deben ser informadas de su contenido.
El marco legal puede consultarse directamente en el artículo 87 de la LOPDGDD publicado en el BOE.
Aunque la norma habla de criterios de utilización, en la práctica lo más útil es documentarlos en una política o protocolo de uso de medios digitales que pueda comunicarse, aplicarse y revisarse. El documento debe coordinarse con el RGPD, el Estatuto de los Trabajadores, las normas de seguridad, la política de desconexión digital y, cuando proceda, el teletrabajo.
Qué medios y sistemas debe incluir el protocolo
El protocolo debe identificar de forma clara qué recursos quedan sujetos a sus reglas. No basta con hablar genéricamente de «equipos informáticos». Debe adaptarse a los sistemas reales que utiliza la organización.
- Ordenadores de sobremesa y portátiles.
- Teléfonos móviles y tabletas corporativas.
- Correo electrónico y cuentas corporativas.
- Aplicaciones de mensajería y videoconferencia.
- Internet, redes internas, wifi y acceso remoto.
- Servicios de almacenamiento y colaboración en la nube.
- Aplicaciones de gestión empresarial.
- Dispositivos extraíbles y memorias USB.
- Herramientas de inteligencia artificial.
- Sistemas de registro, supervisión y seguridad.
- Dispositivos personales autorizados para trabajar.
También debe aclararse quiénes están sujetos al protocolo: plantilla, dirección, colaboradores, personal externo o cualquier otra persona con acceso autorizado a los sistemas.
Usos permitidos, limitados y prohibidos
Uno de los puntos esenciales es definir qué puede hacerse con los medios digitales. La empresa debe decidir si permite un uso exclusivamente profesional o si admite un uso personal razonable. Cualquiera de las dos opciones puede ser válida, pero debe estar claramente comunicada y ser coherente con la práctica real.
El documento debería regular, entre otras cuestiones, la instalación de programas, descarga de archivos, uso de servicios personales, reenvío de información a cuentas privadas, almacenamiento en nubes no autorizadas, utilización de redes sociales y conexión de dispositivos externos.
No tiene sentido prohibir una conducta que la propia organización tolera durante años. La expectativa de privacidad y la capacidad de aplicar medidas disciplinarias dependen, entre otros factores, de que las reglas sean conocidas, comprensibles y consistentes.
Controles empresariales y derecho a la intimidad
La empresa puede aplicar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales y proteger sus sistemas, pero esa facultad no es ilimitada. Los controles deben perseguir una finalidad legítima y superar criterios de idoneidad, necesidad y proporcionalidad.
El protocolo de uso de medios digitales debe explicar qué medidas de supervisión existen: registros de acceso, filtros de navegación, antivirus, sistemas de prevención de fuga de información, copias de seguridad, monitorización de seguridad o mecanismos de bloqueo. No es necesario revelar configuraciones que comprometan la seguridad, pero sí explicar suficientemente la naturaleza y alcance del control.
Siempre que pueda alcanzarse el mismo objetivo mediante una medida menos intrusiva, esta debería ser preferente. Bloquear técnicamente una descarga puede ser más proporcionado que registrar de manera continua todo lo que aparece en pantalla.
Acceso al correo y a los archivos de una persona trabajadora
El acceso empresarial al correo corporativo o a archivos personales asociados a una cuenta profesional es uno de los puntos más sensibles. No debería realizarse de forma indiscriminada ni por mera comodidad.
El protocolo debería definir en qué supuestos puede producirse un acceso, quién debe autorizarlo, qué personas pueden intervenir, qué información puede revisarse, cómo se documentará la actuación y cómo se protegerán contenidos privados o datos de terceros.
En muchas situaciones existen alternativas menos intrusivas, como buzones compartidos, respuestas automáticas, delegación temporal o reasignación previa de tareas. El acceso directo a una cuenta individual debería reservarse para supuestos justificados.
Contraseñas, autenticación y seguridad
Una política eficaz debe establecer reglas sobre contraseñas, autenticación multifactor, bloqueo de equipos, actualización de sistemas, privilegios de usuario, copias de seguridad y comunicación de incidentes. Las cuentas compartidas deberían evitarse porque dificultan la trazabilidad y aumentan el riesgo de acceso indebido.
En SIPY recomendamos integrar estas reglas dentro de una estrategia general de
protección de datos y seguridad de la información, de modo que el documento interno coincida con las medidas técnicas realmente implantadas.
Correo, mensajería, nube y dispositivos personales
El protocolo debe regular el uso del correo electrónico, servicios de mensajería, videoconferencia y almacenamiento en la nube. Debe evitarse el envío de información corporativa a cuentas personales, la utilización de nubes no autorizadas y la conservación de documentos fuera de los entornos aprobados.
Si se permite trabajar desde dispositivos personales, conviene coordinar estas reglas con una política BYOD específica. Debe quedar claro qué información puede almacenarse, qué medidas de seguridad son obligatorias, cómo se revocan accesos y qué sucede al finalizar la relación profesional.
Puedes ampliar esta cuestión en nuestro artículo sobre BYOD y riesgos de utilizar dispositivos personales para trabajar.
Inteligencia artificial: una regla que ya no puede faltar
La incorporación de herramientas generativas obliga a actualizar cualquier protocolo de uso de medios digitales. Una persona puede copiar un contrato, una consulta de un cliente, código fuente, información laboral o datos personales en una plataforma pública para pedir un resumen o generar contenido.
El protocolo debería identificar qué herramientas están autorizadas, qué información puede introducirse, qué datos están prohibidos, cuándo debe anonimizarse la información, quién debe revisar los resultados y cómo se gestionan la confidencialidad, la propiedad intelectual y los posibles errores.
También debe advertirse que una respuesta generada por inteligencia artificial puede contener errores, sesgos o información inventada. La validación humana debe formar parte del uso profesional de estas herramientas.
Desconexión digital y comunicaciones fuera de jornada
El protocolo no debería limitarse a lo que ocurre durante la jornada. El correo y la mensajería pueden prolongar silenciosamente el tiempo de trabajo. La empresa debe coordinar estas reglas con su política de desconexión digital.
Debe quedar claro cuándo existe obligación de atender comunicaciones, qué situaciones pueden considerarse urgentes, qué canales se utilizarán para emergencias y qué responsabilidad tienen quienes dirigen equipos. Reconocer formalmente la desconexión sirve de poco si la cultura interna premia la disponibilidad permanente.
Altas, bajas y devolución de equipos
La seguridad también depende de lo que ocurre cuando una persona entra, cambia de puesto o abandona la organización. El protocolo debe contemplar la creación de cuentas, asignación de permisos, entrega de dispositivos, devolución de equipos, revocación inmediata de accesos y gestión del correo y documentación al finalizar la relación.
Un acceso que permanece activo después de una baja puede ser tan peligroso como una contraseña débil. Por eso, recursos humanos, tecnología y responsables de seguridad deben coordinarse mediante un procedimiento claro.
Incidentes y brechas de seguridad
El documento debe indicar qué debe hacer una persona si pierde un dispositivo, envía información al destinatario equivocado, detecta un acceso extraño, recibe un correo sospechoso o introduce por error datos en una herramienta no autorizada.
La comunicación temprana es esencial. Una cultura basada exclusivamente en sanciones puede provocar que los errores se oculten y que la organización conozca el incidente cuando el daño ya es mayor.
La Agencia Española de Protección de Datos recoge criterios específicos sobre protección de datos y relaciones laborales que resultan útiles para diseñar este tipo de políticas.
Qué estructura debería tener un protocolo de uso de medios digitales
- Objeto, finalidad y ámbito de aplicación.
- Medios, cuentas y sistemas incluidos.
- Usos autorizados, limitados y prohibidos.
- Uso personal permitido, cuando proceda.
- Contraseñas, autenticación y seguridad.
- Correo electrónico, Internet y mensajería.
- Servicios en la nube y dispositivos extraíbles.
- Teletrabajo y dispositivos personales.
- Reglas de uso de inteligencia artificial.
- Confidencialidad, propiedad intelectual y secretos empresariales.
- Registros y medidas de supervisión.
- Acceso empresarial a correos y archivos.
- Desconexión digital.
- Gestión de incidentes.
- Altas, cambios y bajas de usuarios.
- Formación y responsabilidades.
- Régimen disciplinario conforme a la normativa y convenio aplicable.
- Revisión y actualización periódica.
El régimen disciplinario no debería crear sanciones nuevas al margen de la legislación laboral y del convenio aplicable. El protocolo debe describir reglas y consecuencias dentro del marco jurídico existente.
Preguntas frecuentes
¿Es obligatorio un protocolo de uso de medios digitales?
El artículo 87 de la LOPDGDD exige establecer criterios de utilización de los dispositivos digitales puestos a disposición de las personas trabajadoras. Documentarlos en un protocolo facilita su comunicación, aplicación y acreditación.
¿Debe participar la representación de los trabajadores?
Sí, cuando exista, debe participar en la elaboración de los criterios de utilización. Además, deben revisarse los requisitos adicionales que pueda establecer el convenio colectivo aplicable.
¿Puede la empresa acceder al correo corporativo?
Puede hacerlo en determinados supuestos para controlar obligaciones laborales o proteger sus sistemas, pero el acceso debe responder a una finalidad legítima, estar previamente informado y ser necesario y proporcionado.
¿Puede prohibirse cualquier uso personal?
Puede establecerse un uso exclusivamente profesional, pero la regla debe ser clara, conocida y coherente con la práctica empresarial. También puede permitirse un uso personal limitado con condiciones concretas.
¿Debe incluir reglas sobre inteligencia artificial?
Sí, especialmente cuando el personal puede utilizar herramientas generativas o la organización emplea sistemas automatizados. Deben definirse herramientas autorizadas, datos prohibidos, validación humana y reglas de confidencialidad.
Conclusión
Un protocolo de uso de medios digitales bien diseñado protege a la organización y ofrece seguridad jurídica a las personas trabajadoras. Su valor no está en acumular prohibiciones, sino en explicar con claridad qué puede utilizarse, para qué, qué controles existen, quién puede acceder a la información y qué garantías se aplican.
La política debe coincidir con la realidad tecnológica de la empresa. Si los sistemas, aplicaciones o controles cambian, el documento también debe actualizarse. Un protocolo desconocido, desactualizado o contrario a la práctica cotidiana ofrece una falsa sensación de cumplimiento.
#ProtecciónDeDatos #DerechosDigitales #RGPD #Ciberseguridad #PrivacidadLaboral #InteligenciaArtificial #RecursosHumanos #CumplimientoNormativo #sipylopd #SIPY
Información adicional
Este contenido tiene carácter exclusivamente informativo y general y no constituye asesoramiento jurídico, laboral, técnico ni de ciberseguridad individualizado. La aplicación concreta del RGPD, la LOPDGDD, el Estatuto de los Trabajadores, la normativa de desconexión digital, trabajo a distancia, inteligencia artificial y seguridad depende de la actividad, el convenio aplicable, los sistemas utilizados, los controles implantados y las circunstancias reales de cada organización.
Si necesitas elaborar, revisar o actualizar tu protocolo interno, puedes contactar con SIPY a través de nuestra página de contacto para analizar el caso y adaptar el documento a los medios digitales y riesgos reales de tu organización.
