Teletrabajo en el despacho: trabajar desde casa sin abrir una brecha

Un viernes por la tarde, un administrador se lleva el portátil a casa con el listado de propietarios de dos comunidades. El sábado lo deja en el coche. El lunes ya no está. El portátil no tenía cifrado.

Esa escena resume el riesgo del teletrabajo en un despacho de fincas: los datos salen de la oficina y con ellos salen las medidas de seguridad, a menos que usted las acompañe. Sí se puede trabajar desde casa cumpliendo el RGPD. Hace falta decidir cómo.

Qué cambia cuando se trabaja desde casa

La responsabilidad no cambia: el despacho sigue siendo responsable de la seguridad de los datos, esté el empleado en la oficina o en su salón. El artículo 32 del RGPD (se abre en una ventana nueva) exige medidas técnicas y organizativas adecuadas al riesgo, y el riesgo en casa es distinto: redes domésticas sin control, familiares que comparten dispositivo, equipos personales sin actualizar.

Además, existe una norma específica sobre trabajo a distancia (Ley 10/2021) que, cuando el trabajo a distancia es regular (al menos el treinta por ciento de la jornada en un periodo de tres meses), exige un acuerdo por escrito entre empresa y trabajador y contiene previsiones sobre la dotación de medios y sobre la protección de datos y la seguridad de la información. Revise con su asesoría laboral el acuerdo de cada empleado. Lo que sigue complementa esa parte.

Medidas técnicas mínimas

Equipos

• Preferible: portátil del despacho, configurado por usted, con cifrado de disco, bloqueo automático, antivirus y actualizaciones al día.
• Si se usa un equipo personal, hay que fijar reglas: cuenta de usuario independiente, cifrado, prohibición de que lo use otra persona y no guardar documentos en local.
• Prohibir las memorias USB sin cifrar.

Acceso a la información

• Acceso remoto seguro al servidor o a la nube del despacho, con doble factor de autenticación.
• Trabajar sobre el sistema, no copiar: los documentos se quedan en el programa de gestión o en la nube corporativa, no en el escritorio del portátil.
• Cuentas individuales: nada de compartir contraseñas entre compañeros.

Red doméstica

Pida lo básico: cambiar la contraseña de fábrica del router, cifrado WPA2 o superior, no usar wifis públicas sin una conexión protegida (VPN) y mantener el router actualizado. No son medidas exóticas, pero casi nadie las aplica sin que se lo pidan.

Medidas organizativas

Aquí se gana o se pierde el cumplimiento:

• Política de teletrabajo escrita, de una o dos páginas, firmada por cada empleado.
• Quién puede teletrabajar y con qué datos: quizá no todas las comunidades ni todos los expedientes. Los más sensibles (por ejemplo, un expediente que contenga datos de salud de un propietario) pueden quedar en la oficina.
• Espacio de trabajo: pantalla que no vea nadie más, conversaciones telefónicas fuera del alcance de la familia.
• Papel: lo ideal es no llevarse nada. Si no hay más remedio, en carpeta cerrada y de vuelta al día siguiente. Destrucción segura, nunca en la basura doméstica.
• Videollamadas: herramientas del despacho, no grabar sin avisar y cuidado al compartir pantalla.

Control del empleado y desconexión digital

Cuando usted establece medidas de control sobre los equipos, debe respetar los derechos digitales de los trabajadores. La LOPDGDD (se abre en una ventana nueva) los regula en los artículos 87 a 91: intimidad en el uso de dispositivos digitales, desconexión digital y límites a la videovigilancia y a la geolocalización en el trabajo. Dos consecuencias prácticas:

1. Los criterios de uso de los equipos deben ser claros y conocidos antes de aplicarlos.
2. No puede vigilar al empleado en su casa con cámaras ni instalar programas invasivos por defecto. Cualquier control debe ser proporcionado y estar informado.

La desconexión digital también afecta al administrador que escribe a las diez de la noche. Defina horarios y respételos.

Qué hacer si algo sale mal

Un portátil perdido, un correo enviado a quien no era o un acceso sospechoso son incidentes. Prepare un procedimiento sencillo para el empleado en casa:

1. Avisar de inmediato, sin buscar culpables.
2. Anular el acceso al equipo (bloqueo remoto) y cambiar contraseñas.
3. Si los datos son del propio despacho, este notifica a la AEPD sin dilación indebida y, si es posible, en 72 horas desde que lo supo, salvo que sea improbable que haya riesgo para las personas (art. 33 RGPD). Si son datos de una comunidad, el despacho avisa a la comunidad sin dilación, porque la decisión de notificar es suya. Si el portátil iba cifrado, el análisis de riesgo suele resultar mucho más favorable.

Por eso la primera pregunta de cualquier revisión es siempre si los equipos van cifrados.

Documentar lo que se ha decidido

La responsabilidad proactiva exige poder demostrar que se cumple. Guarde la política de teletrabajo, la lista de equipos autorizados, los compromisos de confidencialidad (aquí, qué debe incluir) y la constancia de la formación. Si el programa de gestión es en la nube, compruebe que permite acceso seguro y registro de accesos; lo vemos en cómo elegir el programa de gestión.

Un caso para ponerlo a prueba

Piense en una auxiliar que trabaja dos días por semana desde casa con el portátil del despacho. Compruebe tres cosas: que el disco está cifrado, que entra al programa de gestión con doble factor y que no guarda ningún listado en local. Si las tres respuestas son afirmativas, la pérdida del equipo seguiría siendo un incidente que hay que anotar, pero con un riesgo para las personas mucho menor. Si alguna falla, ya sabe por dónde empezar mañana.

En resumen

• El teletrabajo no reduce la responsabilidad del despacho: las medidas de seguridad deben acompañar a los datos.
• Equipos cifrados, acceso remoto con doble factor y trabajar sobre el sistema, no sobre copias, son la base técnica.
• Una política escrita y firmada, con límites sobre qué datos salen de la oficina, es la base organizativa.
• El control sobre el trabajador debe ser proporcionado e informado.
• Tenga un procedimiento claro para avisar y actuar ante pérdidas o accesos indebidos.

Si ya hay empleados trabajando desde casa, empiece por comprobar hoy mismo qué equipos usan y si están cifrados.